A-00017-2017

1/6 Procedimiento Nº: A/00017/2017 RESOLUCIÓN: R/00962/2017 En el procedimiento A/00017/2017, instruido por la Agencia Española de Protección de Datos a la entidad FUNDACIÓ PRIVADA PER A LA CREATIVACIÓ, vista la denuncia presentada por C.C.C. y en virtud de los siguientes, HECHOS PRIMERO.- En fecha de 11/10/2016 tiene entrada en esta Agencia un escrito de la Autoridad Catalana de Protección de Datos (ACPD) que traslada una denuncia de C.C.C. (la denunciante en adelante) en el que pone de manifiesto que tras realizar una búsqueda en Google utilizando su nombre y apellidos encuentra un certificado personal en el que consta su DNI. Señala como entidad responsable a la Fundacio Privada per la Creativacio. Añade la ACPD que el sitio web donde se haya ubicado el certificado de la persona denunciante es B.B.B. accesible en internet donde se contiene documentos referentes a la Fundación Privada para la Creactivacion. SEGUNDO.- A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección se practicaron diligencias, teniendo conocimiento de que: En fecha de 11/10/2016 se realizó una búsqueda en Google utilizando nombre y apellidos de la denunciante verificándose la existencia en el resultado de búsqueda del enlace que consta en la denuncia con el Certificado de la citada Fundación y con el DNI de la denunciante alojado en el enlace B.B.B.. TERCERO: Con fecha 9 de febrero de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00017/2017. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 1/03/2017 se recibe en esta Agencia escrito del denunciado en el que tras explicar la razón por la que se producen los hechos – tenía una estructura de la información en su servidor que diferenciaba en un primer nivel de ficheros públicos y de privados, pero en niveles sucesivos o subapartados dependientes de los primeros, no es establecía adecuadamente dichas categorías y por tanto la accesibilidad de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 contenidos por terceros no respetaba la diferenciación inicial ni las medidas aplicadas a los mimos- comunica que en cuanto conoció la brecha de seguridad procedió a subsanarla: (…) tan pronto como se recibió el correo electrónico de la denunciante, la fundación procedió, de manera inmediata, a realizar todo lo que estaba a su alcance para evitar que el certificado y la información personal contenida en el mismo continuara siendo publica y accesible a través del enlace B.B.B. . en concreto, el mismo día 26, se tomaron las siguientes medidas: 1. Se solicitó al servidor la eliminación del fichero. 2. Se solicitó a Google la eliminación del enlace a través del servicio Google Web master Tools. Es decir, se procedió sin dilación alguna y de manera inmediata a adoptar las medidas técnicas necesarias para garantizar la seguridad de los datos personales de la denunciante. (….) no fue hasta el miércoles 26 de octubre, esto, hasta 15 días después de la entrada de la denuncia en la Agencia Española de Protección de Datos, que la denunciante lo puso en conocimiento de la Fundación, la cual, desconociendo tal situación, no pudo actúa hasta ese momento. (…) Actualmente no constan los datos de la denunciada accesibles a través de internet en ninguna página de su responsabilidad. Por lo que de acuerdo con la jurisprudencia que interpreta la naturaleza jurídica del apercibimiento previsto en el art. 45.6 de la LOPD, solicita el archivo del expediente en la medida de que ya ha adoptado las medidas necesarias que pudieran solicitarse para corregir su actuación de acuerdo con el art. 9 de la LOPD y disposiciones de desarrollo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Los hechos objeto de investigación fueron la comisión parte de FUNDACIÓ PRIVADA PER A LA CREATIVACIÓ, de la infracción del infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”, en relación con lo dispuesto en los artículos 91 y 93 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RDLOPD en adelante) que establecen lo siguiente: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. , Y a consecuencia de lo anterior, de la comisión de la infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. No obstante lo anterior y según lo dispuesto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público que dispone lo siguiente: Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida, se iniciaron las actuaciones centradas, únicamente, en la comisión de la infracción por la vulneración de las medidas de seguridad. III En fase de actuaciones previas de inspección se verificó que los datos de la denunciante fueron accesibles a través de internet por que la entidad denunciada mantenía el fichero sin medidas de seguridad (control de acceso y medidas tendentes a verifica la identificación y autenticación, arts. 91 y 93 RDLOPD) que impidieran el acceso por terceros. Consecuencia de ello se vulneró, tanto la obligación de establecer medidas de seguridad como el deber de secreto que incumbe a los responsables de los ficheros. No obstante lo anterior, la entidad denunciada tras reconocer y explicar los hechos puesto de manifiesto en la denuncia y determinar las razones de su acaecimiento, procedió a tomar medidas correctoras que han evitado que la situación irregular se mantenga. IV El artículo 45.6 de la LOPD, dispone lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
2. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
3. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
4. a)y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
5. b)del citado apartado 6 del artículo 45 de la LOPD. El primero porque las infracciones cometidas encuentran su tipificación en el art. 44.3
6. d)y
7. h)al considerar infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen,“ y La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley., El segundo requisito por que no constan en esta Agencia que la entidad denunciada haya sido sancionada o apercibida con anterioridad. Todo ello determina que la tramitación del apercibimiento es conforme a lo dispuesto en el citado art. 45.6 LOPD. V Ahora bien, debe analizarse que en el presente caso se da la circunstancia de que el apercibimiento que correspondería por el incumplimiento de los preceptos citados, de acuerdo con el 45.6 LOPD, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues como se ha puesto de manifiesto en, ya ha suprimido tanto de su servidor, como de Google ( ya no se indexa el enlace que permitía el acceso al fichero como resultado en ninguna búsqueda) el fichero donde se encontraba el certificado de la denunciante y ha modificado la estructura de la información y su clasificación de modo que se evita así que en el futuro puedan ocurrir de nuevo hechos similares. Por todo ello, conviene traer a colación lo dispuesto en las Sentencia de la Audiencia Nacional 455/2011 de fecha 29/11/2013 Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento previsto en la LOPD, como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de dicha sanción y cuyo objeto es la imposición de medidas correctoras, la citada Sentencia citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. A la vista del pronunciamiento recogido en la Sentencia de la Audiencia Nacional de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que el denunciado ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO.- ARCHIVAR EL PROCEDIMIENTO (A/00017/2017) a FUNDACIÓ PRIVADA PER A LA CREATIVACIÓ con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción de los artículos 9 y 10 de la LOPD tipificadas como grave en el artículo 44.3
8. d)y
9. h)de la citada ley orgánica. SEGUNDO.- NOTIFICAR la presente Resolución a CREATIVACIÓ y a C.C.C.. FUNDACIÓ PRIVADA PER A LA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es