L'Agence Espagnole de Protection des Données (AEPD) a publié une décision d'archivage à l'encontre de la Direction Générale de la Garde Civile (DGGC) concernant des manquements présumés en lien avec la création et l'exploitation d'une base de données non autorisée. Cette affaire débute par une plainte déposée le 27 mars 2023, signalant l'existence de cette base de données au sein du Commandement de la Garde Civile de Las Palmas.

L’enquête menée par l’autorité a permis de constater :
* Licéité du traitement (article 6 du RGPD) : La DGGC a créé et utilisé une base de données non autorisée, dénommée HEGENO (« Outil de gestion des nouveautés »), sous la forme d'une feuille de calcul fonctionnant sur ses serveurs. Cette base, qui n'était pas inscrite au registre des activités de traitement, centralisait un grand volume de données personnelles provenant de systèmes officiels (INTPOL, SIGO, VIOGEN), incluant des données sur les infractions pénales, l'état de santé, ainsi que des données d'identification et financières. L'enquête a révélé que l'accès à cette base au sein du Centre Opérationnel des Services (COS) n'était ni contrôlé ni audité, et que des rapports contenant des données non anonymisées étaient générés et partagés avec diverses unités, y compris pour des finalités de profilage.

Néanmoins, l'autorité a déclaré la prescription de l'infraction, la DGGC ayant démontré que l'utilisation de l'outil HEGENO avait cessé le 3 avril 2023, soit plus de deux ans avant la décision, ce qui correspond au délai de prescription pour les infractions graves. Le dossier a donc été archivé.