AAPP-00004-2017

1/9 Procedimiento Nº AP/00004/2017 RESOLUCIÓN: R/01439/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00004/2017, instruido por la Agencia Española de Protección de Datos al INSTITUTO NACIONAL DE ESTADISTICA, vista la denuncia presentada por C.C.C., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24 de febrero de 2016 tiene entrada en esta Agencia un escrito de C.C.C. en el que declara que al acceder la tarde del 24/02/2016 con su DNI electrónico a la sede electrónica del INE para consultar la admisión a trámite de una solicitud que había presentado en la mañana de ese mismo día, se ha encontrado que se ha descargado automáticamente el expediente sancionador de otro ciudadano. Aporta copia de una notificación electrónica emitida por el sistema Sanciones Administrativas del INE el día 15/02/2016. Aparece aceptada por B.B.B. con CIF/NIF D.D.D. el día 15/02/2016, tratándose dicha notificación del acuerdo de inicio de un procedimiento sancionador contra una sociedad limitada. El resto de la información que aparece en el documento se refiere a la sociedad sancionada. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad INSTITUTO NACIONAL DE ESTADISTICA, teniendo conocimiento de que: 1. En fecha 10 de mayo de 2016 se realizó visita de inspección al INSTITUTO NACIONAL DE ESTADISTICA durante la cual los representantes del Organismo realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Tuvieron noticia de la existencia de una brecha de seguridad a través de una queja recibida por medio del Ministerio de Hacienda y Administraciones Públicas, lo que originó una solicitud de la Inspección General del Ministerio recibida en el INE en fecha 25/2/2016. b. A partir del día 26/2/2016 se iniciaron las acciones de busca del origen de la brecha, realizándose múltiples pruebas y contactando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 con D. C.C.C. para intentar reproducir la navegación realizada que generó el fallo. Las pruebas realizadas con las indicaciones de las acciones realizadas por el reclamante, condujeron a que, en fecha 4/3/2016 se consiguiera localizar la fuente del problema. c. El origen del problema fue localizado y ese mismo día se modificó el código y quedó resuelto. El motivo por que se produjo la brecha de seguridad fue una inadecuada gestión de los identificadores de representante de empresas. Al darse de alta el usuario como representante para la comunicación por comparecencia ante la sede electrónica, no se generaba un identificador de representante. Esto no causaba ningún problema cuando el representante cerraba la sesión y la volvía a abrir posteriormente, una vez registrado, pero si realizaba una consulta nada más darse de alta como representante, se hacía una consulta sin identificador de representante, lo que permitía el acceso a notificaciones a terceros. Se realizó una modificación del código de la aplicación para que generase un identificador de representante de forma inmediata a producirse el alta como representante de la empresa, con lo que el problema quedó resuelto. El volumen de datos que fueron revelados a D. C.C.C. fue de una única notificación, debido a que el número de usuarios de la aplicación es bajo. d. En fecha 8/3/2016 se comunicó al reclamante la detección del problema y la resolución de la incidencia. e. Solicitada copia de la entrada recogida en el Registro de Incidencias respecto a la brecha, los representantes del INE informan que no ha sido recogida, pese a que disponen de una aplicación al efecto denominada e-Pulpo. Aportan los representantes del INE copia del informe remitido al Ministerio de Hacienda y Administraciones Públicas así como el escrito remitido al reclamante. En el informe remitido al Ministerio de Hacienda se le informa de forma detallada del la quiebra de seguridad producida, y en la carta al reclamante se le agradece la ayuda prestada para la resolución de la misma. 2. Mediante escrito de fecha 3/6/2016 aporta el INE información complementaria, mediante la que el Organismo informa: a. Que el módulo referido (Notificaciones) entró en producción en el año 2013 aunque es en los últimos meses cuando más uso está teniendo por su relación con el procedimiento sancionador en materia estadística. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 b. En relación a las pruebas a que fue sometido el módulo, aporta las pruebas realizadas del 22 de mayo al 3 de junio de 2013 por la unidad de desarrollo sobre el módulo específico y módulos asociados. En estos anexos se ofrece la última situación registrada por la unidad de desarrollo antes de la revisión final de entrada en explotación que se produjo tras la corrección del error en “Menú de tipos de notificaciones para representantes. Muestra siempre todas las opciones: propias, todos los representados y cada uno de los representados”. c. La SGTIC del INE no dispone de una unidad específica para la realización de pruebas de software/sistemas informáticos, las pruebas unitarias e integración son llevadas a cabo por la propia unidad de desarrollo, motivo por el que se carece de certificación formal de la realización de las pruebas realizadas. d. Respecto al motivo por el que no fue incluida una prueba que permitiese verificar que las consultas realizadas tenían un identificador de representante válido, informa el INE que, a pesar de que las pruebas unitarias y de integración dieron un resultado positivo, el error es consecuencia de un flujo de información no previsto ni previsible. No se incluyó una prueba que permitiese verificar el fallo detectado, por tratarse de una cadena de circunstancias no previsibles en ejecuciones reales (usuaro sin notificaciones, autoregistrado en el sistema, auto designado como representante y accediendo en la misma sesión). TERCERO: Con fecha 26/01/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a INSTITUTO NACIONAL DE ESTADISTICA con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción del artículo 9 de dicha norma, tipificada como grave en el artículo 44.3

1. h)de la citada Ley Orgánica. CUARTO: Con fecha 14/02/2017, la Secretaria General del INSTITUTO NACIONAL DE ESTADISTICA presento escrito de alegaciones en las que manifestaba lo siguiente: La circunstancia en la que se produjo la incidencia surgió en un contexto totalmente inusual (usuario sin notificaciones, auto-registrado en el sistema, auto designado como representante y accediendo en la misma sesión) no previsto en el plan de pruebas. La autenticación se hizo por certificado electrónico y el error no fue debido a un fallo en el proceso de autenticación, sin embargo se produjo un error de autorización, provocando en cualquier caso un fallo en el control de acceso a la información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Se estan anailzando marcos de desarrollo sin perjuicio de que no siempre sea posible evita la existencia de errores en el proceso de elaboracion del software y se estan realizando auditorias formales de pruebas unitarias y de integracion por parte de una Oficina de Calidad que hasta ahora eran realizadas por la propia unidad de desarrollo. En conclusion, se esta actuando con la mayor diligencia posibles, tratandose de un error fruto de un escenario de navegacion no previsible. Por ello no se ha vulnerado la obligación de implementar medidas de seguridad, pues es evidente que existían, sino que por causas imprevisibles se han revelado ineficaces en un momento puntual. Dadas las circunstancias dadas como la ausencia de intencionalidad, ni persistencia, así como la naturaleza de los perjuicios causados pues el acceso era a un acuerdo de un procedimiento sancionador de naturaleza estadística, es decir no eran datos sensibles o íntimos de una persona, por cuanto estos actos se publican en el BOE, se solicita que se dicte propuesta de resolución declarando la no existencia de responsabilidad, pues no ha habido perjuicio alguno para los ciudadanos. QUINTO: En fecha de 29/03/2017 se inició un periodo de practica de pruebas acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante INSTITUTO NACIONAL DE ESTADISTICA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01038/2016 y las alegaciones al acuerdo de inicio AP/00004/2017 presentadas por la Secretaria General del INSTITUTO NACIONAL DE ESTADISTICA, y la documentación que a ellas acompaña. SEXTO: En fecha de 21/04/2017, por el Instructor del Procedimiento se emitió Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos, se resuelva: I.Declarar que el INSTITUTO NACIONAL DE ESTADISTICA ha infringido lo dispuesto en los artículos 9 de la LOPD, tipificada como grave en el artículo 44.3
2. h)de dicha norma. II.Requerir a INSTITUTO NACIONAL DE ESTADISTICA, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la Ley Orgánica 15/1999. III.Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. IV.Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 SEPTIMO: De las actuaciones practicadas en el procedimiento de Infracción de Administraciones Públicas han quedado acreditados los siguientes HECHOS PROBADOS ÚNICO: En fecha de 24/02/2016, el denunciante accedió con su DNI electrónico a la sede electrónica del INE para consultar la admisión a trámite de una solicitud, pudiendo acceder a la copia de una notificación electrónica emitida por el sistema Sanciones Administrativas del INE el día 15/02/2016. Aparece aceptada por B.B.B. con CIF/NIF D.D.D. el día 15/02/2016, tratándose dicha notificación del acuerdo de inicio de un procedimiento sancionador contra una sociedad limitada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Tal como se hace constar en los hechos probados de la presente resolución, en este caso se ha puesto de manifiesto el acceso por terceros a datos de carácter personal, a través de la Sede Electrónica del INE, de información relativa a una notificación de un procedimiento sancionador en materia de estadística tramitado por la Secretaria General de dicho organismo. En este sentido, debe tenerse en cuenta que según consta en el Registro General de Ficheros Públicos de esta Agencia, el fichero denominado FICHERO AUTOMATIZADO DE INFRACCIONES ESTADISTICAS con código ***CÓD.1, inscrito en fecha de 6/10/2003, figura como responsable la Subdirección General de Recursos Humanos, extinta en la actualidad. Por ello, y de acuerdo con el Artículo 9 bis del Estatuto del INE, introducido por el apartado siete del artículo segundo del R.D. 950/2009, de 5 de junio, las competencias de la citada Subdirección y en concreto las relativas a procedimiento sancionador en materia estadística han sido asumidas por la Secretaria General del INE, debe considerarse como responsable del fichero, a la Secretaria General del Instituto Nacional de Estadística. (SGINE en adelante). III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En el presente caso se imputa a SGINE de la comisión de la infracción del infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”, en relación con lo dispuesto en los artículos 91 y 93 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RDLOPD en adelante) que establecen lo siguiente: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 De las actuaciones practicadas ha resultado probado que el denunciante tuvo acceso a través de la página web del INE, a un documento de un expediente sancionador instruido por dicho organismo donde aparecen los datos personales consistentes en nombre y apellidos y DNI de una tercera persona. Al contrario de lo alegado por la SGINE, se estima vulnerado el art. 9 de la LOPD en relación con los artículos 91 y 93 del RDLOPD, pues la implantación de medidas de seguridad requiere que éstas sean efectivas, pues de otro modo dicha implantación quedaría reducida a mero formalismo sin virtualidad ni eficacia y por tanto el derecho a la protección de datos de los ciudadanos estaría desprovisto de las garantías que el legislador introduce en la LOPD y su normativa de desarrollo. IV La conducta que se estima acreditada se encuentra tipificada como grave en el artículo 44.3
4. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen“ V En cuanto al análisis del elemento subjetivo en la comisión de la infracción, debe considerarse lo dispuesto en el artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que establece que 1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. (El subrayado es de la Agencia Española de Protección de Datos) Es decir, la simple inobservancia del deber de cuidado y por tanto la falta de diligencia de SGINE a la hora de la implantación de medidas de seguridad efectivas y que sirvan a la finalidad del precepto, constituye el elemento subjetivo en la comisión de la presente infracción. VI Dispone el Artículo 46.1 y 3 de la LOPD bajo la rúbrica “Infracciones de las Administraciones públicas” lo siguiente: 1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. (…) 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. (…) En el presente caso la SGINE manifiesta en sus alegaciones que ha iniciado actuaciones internas tendentes a que no se produzcan de nuevo los hechos analizados en el presente procedimiento de declaración de infracción, por lo que de acuerdo con lo recogido en el citado precepto, se insta a dicho organismo para que comunique a esta Agencia el resultado de las mismas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la SECRETARIA GENERAL DEL INSTITUTO NACIONAL DE ESTADISTICA ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3
5. h)de la citada Ley Orgánica. SEGUNDO: REQUERIR de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de UN MES desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD en relación con los hechos denunciados. TERCERO: NOTIFICAR la presente resolución a la SECRETARIA GENERAL DEL INSTITUTO NACIONAL DE ESTADISTICA y al superior jerárquico PRESIDENTE DEL INSTITUTO NACIONAL DE ESTADISTICA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es