La Agencia Española de Protección de Datos ha sancionado a la Dirección General de la Policía por incumplir la ley, una infracción que ha permitido el acceso a las bases de datos por parte de la trama Villarejo.
La resolución, a la que ha tenido acceso Confidencial Digital, señala que los policías implicados fueron un subinspector de lucha anti terrorista y un agente de seguridad de Granada.
Ambos recabaron entre marzo y abril de 2017 datos de un empresario y un abogado que aparecen en la pieza Pintor, una de las muchas en las que está dividida la causa contra el ex comisario. El procedimiento investiga los negocios entre Villarejo y Juan Muñoz, marido de la periodista Ana Rosa Quintana.
La Audiencia Nacional investiga si Muñoz contrató los servicios del ex policía para extorsionar a un deudor. Existen audios en los que se escucha a Villarejo informándole de que el CNI posee grabaciones en vídeo del empresario y el abogado esnifando cocaína en un bar.
Pues bien. Según la resolución de la Agencia de Protección de Datos, los agentes implicados accedieron a cuatro repositorios de la Policía para recabar información de estas dos personas. Se trata de las bases de datos ARGOS, SIDENPOL, Control de Hospederías y Entradas y Salidas de España.
Las pesquisas comenzaron en noviembre de 2018, cuando varios medios publicaron los citados audios sobre la relación entre Villarejo y Muñoz. Dos semanas después, concluyó la investigación, señalando que la Policía cometió una “infracción grave” al no proteger conforme a la ley sus bases de datos.
Asegura que, pese a que los accesos a las aplicaciones quedan registrados en un fichero de log, que almacena datos como el usuario, le fecha de consulta, el terminal etc., “no se realiza ninguna explotación preventiva de estos registros” ni “revisiones de la información de control”, así como “informes periódicos sobre los mismos”.
Es más. Cuando los inspectores de la Agencia solicitaron acceso a los ficheros, los representantes de la Dirección General de la Policía “manifestaron no poder facilitar dicha información, desconociendo si existe un informe de investigación sobre los accesos registrados”.
Más tarde, al requerirles el acceso de los agentes señalados por la Audiencia Nacional, se comprobó que en la aplicación “aparecen los campos de fechas con valor cero”, lo que cual significa que “no ha tenido nunca autorización de acceso”, algo que no hizo saltar las alarmas en su momento.
La Agencia ha resuelto que la Policía infringió gravemente el artículo 9 de la ley de protección de datos, que establece que “el responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal”.
Tampoco cumplió el artículo 103.5, ya que no se realizó explotación preventiva alguna de los accesos ni revisiones periódicas de la información.
Por estos hechos, considera que la Dirección General debe ser castigada por negligencia. La sanción en el caso de las Administraciones públicas consiste en la implementación de medidas “que procede adoptar para que cesen o se corrijan los efectos de la infracción”; en este caso, un plan de monitorización y gestión de registros de seguridad de dichas aplicaciones.
