AAPP-00004-2018

1/15 Procedimiento Nº AP/00004/2018 RESOLUCIÓN: R/00762/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00004/2018, instruido por la Agencia Española de Protección de Datos a la entidad UNIVERSIDAD DE MÁLAGA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/03/2017, tuvo entrada en esta Agencia un escrito presentado por D. A.A.A. (en lo sucesivo el denunciante), mediante el que formula denuncia contra la entidad UNIVERSIDAD DE MÁLAGA, señalando que desde el día 10/03/2017 recibe correos electrónicos de distintas personas solicitando la baja de varias listas del programa de prácticas/empleo de dicha Universidad denominado ICARO (más de cien de correos hasta el momento de la denuncia). Con su denuncia anexa la siguiente documentación:  Impresiones de cuatro pantallas de la bandeja de entrada de su correo electrónico en las que se cuentan 75 correo entrantes. En estas impresiones consta el nombre y apellidos del titular de las cuentas y, en la mayoría de ellos, en el “Asunto”, consta “acumacairo unsubcribe”.  Impresión de pantalla del contenido de dos de los correos electrónicos, remitidos desde las direcciones ***EMAIL.1@uma.es y ***EMAIL.2@uma.es. Según se indica en estos menajes, el primero de ellos corresponde a “demandantes de empleo en la agencia de colocación de la UMA, inscritos a través de ICARO” y el segundo a “Demandantes de Emprendimiento y Autoempleo suscritos a través de ICARO”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las comprobaciones siguientes: 1. Se comprueba que los correos electrónicos recibidos por el denunciante incluyen datos personales de terceros, en concreto la dirección de correo electrónico y si está inscrito en la lista de empleo o emprendimiento. 2. ICARO es una plataforma de gestión de prácticas de empresas y empleo utilizado por las Universidades Públicas Andaluzas, que permite a los interesados inscribirse en los programas que gestiona. 3. El portal ICARO incluye una Política de Privacidad que ofrece información a los visitantes en materia de protección de datos de carácter personal. En el caso de la UNIVERSIDAD DE MÁLAGA, y en relación con los datos de carácter personal de demandantes, se informa lo siguiente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 “En cumplimiento de La Ley Orgánica 15/1999, de 13 de diciembre, sobre Protección de Datos de Carácter Personal, le informamos que sus datos personales serán incorporados a un fichero titularidad de La UNIVERSIDAD DE MÁLAGA, con la finalidad de gestionar los programas de prácticas pre profesionales y/o empleo en entidades privadas u organismos públicos de los estudiantes universitarios que participan en la bolsa de trabajo de La Universidad, posibilitando de este modo el acercamiento entre éstos y las empresas u organismos que participan en el programa. Asimismo le informamos que en el caso de ser seleccionado para una oferta de prácticas o empleo, sus datos podrán ser comunicados a la entidad pública o privada interesada. En cumplimiento de la normativa vigente, La UNIVERSIDAD DE MÁLAGA garantiza que ha adoptado las medidas, técnicas y organizativas, necesarias para mantener el nivel de seguridad requerido, en atención a la naturaleza de los datos personales tratados. Le recordamos que en cualquier momento podrá ejercitar los derechos de acceso, rectificación, cancelación, y, en su caso, oposición, enviando una solicitud por escrito, acompañada de una fotocopia de su D.N.I., dirigida a: UNIVERSIDAD DE MÁLAGA. Secretaría General de La Universidad de Málaga. (C/...1) 4. En respuesta al requerimiento que le fue efectuado por los Servicios de Inspección, la UNIVERSIDAD DE MÁLAGA informó lo siguiente: a. Aportan copia impresa de los datos que constan en los ficheros del programa ICARO relativos al denunciante, entre los que se encuentra su dirección de correo electrónico. b. ICARO es la herramienta informática que utilizan las universidades públicas andaluzas para la gestión de prácticas y bolsas de empleo. Los datos son introducidos directamente por el interesado. c. Desde los Servicios Centrales de Informática de la UNIVERSIDAD DE MALAGA se configuró la lista de distribución de correo electrónico “***EMAIL.3@uma.es”, exportando desde el programa ICARO los usuarios inscritos como demandantes que tuvieran activada la opción "recibir información por correo electrónico". La lista de distribución se crea a partir de los datos de contacto (correo electrónico) y su objeto era comunicar la apertura del Servicio de Orientación Profesional. En la confección de la lista se prevé la configuración de un mecanismo que permita a los usuarios de forma automática cancelar su suscripción: "Para desubscribirte de la lista, manda un mensaje a: ***EMAIL.4@uma.es con el asunto UNSUBSCRIBE ***EMAIL.3@uma.es". Con fecha 10/03/2017, se envió un mensaje a dicha lista de distribución, informando sobre la apertura del mencionado Servicio de Orientación Profesional de la Universidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Esa misma tarde se detecta, desde ese Servicio, un error en la configuración de la lista de distribución: la configuración permite a cualquier suscriptor de la misma escribir a la dirección de difusión ***EMAIL.3@uma.es de forma que el mensaje es entregado a todos los suscriptores sin necesidad de que sea aprobado previamente por el administrador de la lista. Ello, unido a una mala interpretación de los suscriptores del mensaje para cancelar su inscripción que, en lugar de seguir las instrucciones y escribir a ***EMAIL.4@uma.es, responden directamente al mensaje informativo recibido, ocasiona que todos los suscriptores de la lista reciban mensajes UNSUBSCRIBE ***EMAIL.3@uma.es. d. Ante la imposibilidad contactar con los Servicios Centrales de Informática el mismo viernes 10 de marzo por la tarde, se tomó como medida de emergencia inmediata la eliminación de la lista de todos los suscriptores de forma que los mensajes que, a partir de ese momento, se enviaran de forma errónea no llegaran a ningún destinatario. El lunes 13 de marzo se contacta a primera hora de la mañana con los Servicios Centrales de Informática, los cuales actuaron de inmediato sobre la configuración de la lista de distribución, origen del problema, cambiando el parámetro "¿Quién puede enviar mensajes?”. De forma simultánea se contesta a todas las solicitudes de baja del servicio de forma personalizada y se dan las explicaciones oportunas sobre lo sucedido. e. En el informe elaborado por el Servicio de Empleabilidad y Emprendimiento de la UNIVERSIDAD DE MÁLAGA para dar respuesta al requerimiento de la AEPD, de fecha 23/07/2017, se hace constar expresamente que “reconoce la existencia de un problema ocasionado por un error en la configuración de una lista de correo electrónico, pero que actuó inmediatamente para corregirlo”. TERCERO: Con fecha 12/02/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la entidad UNIVERSIDAD DE MÁLAGA por la presunta infracción de los artículos 9 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.

1. h)y 44.3.
2. d)de la misma norma, respectivamente. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 13/03/2018, la entidad UNIVERSIDAD DE MÁLAGA presentó escrito de alegaciones de conformidad con las consideraciones siguientes: . En relación con las circunstancias puestas de manifiesto en el Antecedente Segundo, advierte que los correos recibidos por el denunciante no incluían información sobre demandantes de empleo o emprendimiento, sino demandantes de información sobre empleo o emprendimiento; y destaca que fueron adoptadas de inmediato las medidas oportunas para la corrección del error detectado. . Respecto a la calificación de los hechos como infracción grave, invoca el principio de proporcionalidad al que se refiere el artículo 29 de la Ley 40/2015, de 10 octubre, de Régimen Jurídico del Sector Público, para que se tengan en cuenta los hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 acontecidos y de inmediato corregidos. . Se trata de un hecho puntual debido a un error en la configuración de la lista de distribución que inmediatamente fue objeto de rectificación y corrección adoptándose las medias oportunas, sin que exista intencionalidad en dicha actuación que fue corregida de inmediato, por lo que no tendría cabida el error producido con la calificación pretendida de grave, aunque sí respecto a la infracción del art. 9.1 de la referida Ley Orgánica. . No debe considerarse que se haya producido vulneración de la obligación del secreto profesional ni del deber de guardarlos, toda vez que la difusión como ha quedado acreditado se produjo por un error en la configuración de la lista de distribución, sin que se deduzca voluntariedad alguna en dicha actuación. Además, dicha calificación refiere una connotación de intencionalidad o dejadez por incumplimiento de dichas obligaciones que, en el presente caso no se ha producido. Además, en ningún caso han sido objeto de vulneración los derechos del denunciante. . Al haber sido cometida la infracción por una Administración Pública y conforme a lo previsto en la propia LOPD, corresponderá dictar resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción (en este caso, el error producido fue corregido con carácter inmediato, adoptándose las medidas de configuración necesarias). En base a lo anterior y reconocida la infracción respecto a lo dispuesto en el art. 9.1 de la LOPD, la infracción debería tener la consideración de grave únicamente respecto a lo dispuesto en el art. 44.3.
3. h)de la citada Ley Orgánica, (al no tener cabida en los supuestos de infracciones leves recogidas en el art. 44.2 LOPD), debiendo tenerse en cuenta que han quedado acreditadas las medidas de corrección aplicadas por la UNIVERSIDAD DE MÁLAGA, habiendo adoptado además las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción. QUINTO: Con fecha 02/04/2018, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se declare que la entidad UNIVERSIDAD DE MÁLAGA ha infringido lo dispuesto en el artículo 9 de la LOPD, en relación con el artículo 91 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificada como grave en el artículo 44.3.
4. h)de la misma norma; y lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
5. d)de la misma norma; y que se declare que dicha entidad ha adoptado medidas de orden interno adecuadas para impedir que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD similar a la analizada en el presente procedimiento. Se propuso, asimismo, que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. SEXTO: Notificada la citada propuesta, la entidad AEAT presentó escrito de alegaciones en el que destaca que ha quedado acreditado en el procedimiento que adoptó las medidas oportunas para corregir el error detectado y declara reproducidas sus alegaciones anteriores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 HECHOS PROBADOS 1. ICARO es una plataforma de gestión de prácticas de empresas y empleo utilizado por las Universidades Públicas Andaluzas, que permite a los interesados inscribirse en los programas que gestiona. 2. La UNIVERSIDAD DE MÁLAGA dispone de un fichero en el que se registran los datos personales de las personas inscritas en el programa ICARO, cuya finalidad es gestionar los programas de prácticas pre profesionales y/o empleo en entidades privadas u organismos públicos de los estudiantes universitarios que participan en la bolsa de trabajo de La Universidad. 3. La UNIVERSIDAD DE MALAGA configuró la lista de distribución de correo electrónico “***EMAIL.3@uma.es”, integrada por los usuarios inscritos en ICARO que tuvieran activada la opción "recibir información por correo electrónico". La lista de distribución se crea a partir de los datos de contacto (correo electrónico). En la confección de la lista se habilitó un mecanismo para permitir a los usuarios de forma automática cancelar su suscripción mediante el envío de un correo electrónico a la dirección ***EMAIL.4@uma.es ("Para desubscribirte de la lista, manda un mensaje a: ***EMAIL.4@uma.es con el asunto UNSUBSCRIBE ***EMAIL.3@uma.es"), pero no se configuró de forma que se impidiese que los usuarios pudieran remitir correos electrónicos a la dirección ***EMAIL.3@uma.es 4. Con fecha 10/03/2017, la UNIVERSIDAD DE MALAGA envió un mensaje a la lista de distribución reseñada en el Hecho Probado Tercero, informando sobre la apertura del Servicio de Orientación Profesional de la Universidad. El mismo día, la UNIVERSIDAD DE MALAGA detectó que los mensajes remitidos por los suscriptores a la dirección de difusión ***EMAIL.3@uma.es (usuarios que respondieron directamente al correo recibido en lugar de dirigirse a la dirección ***EMAIL.4@uma.
6. es)eran entregados a todos los suscriptores sin necesidad de que fuesen aprobados previamente por el administrador de la lista, ocasionando que todos los suscriptores de la lista recibieran los mensajes “UNSUBSCRIBE ***EMAIL.3@uma.es”. 5. Con fecha 11/03/2017, el denunciante puso de manifiesto ante esta Agencia que el día 10/03/2017 recibió más de cien correos electrónicos de distintas personas solicitando la baja de varias listas del programa de prácticas/empleo de la UNIVERSIDAD DE MALAGA. En prueba de lo denunciado aportó copia impresa de la bandeja de entrada de su correo electrónico, en la que se cuentan 75 correo entrantes. En estas impresiones consta el nombre y apellidos del titular de las cuentas y, en la mayoría de ellos, en el “Asunto”, consta “acumacairo unsubcribe”. 6. La UNIVERSIDAD DE MALAGA informó a esta Agencia, en relación con los hechos denunciados que el mismo día 10/03/2017, como medida de emergencia, se eliminó la lista de suscriptores de forma que los mensajes que, a partir de ese momento, se enviaran de forma errónea no llegaran a ningún destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Posteriormente, con fecha 13/03/2017, se modificó la configuración de la lista de distribución cambiando el parámetro "¿Quién puede enviar mensajes?”. Asimismo, contestó todas las solicitudes de baja del servicio de forma personalizada y explicó lo sucedido. 7. En el informe, de fecha 23/07/2017, elaborado por el Servicio de Empleabilidad y Emprendimiento de la UNIVERSIDAD DE MÁLAGA se “reconoce la existencia de un problema ocasionado por un error en la configuración de una lista de correo electrónico, pero que actuó inmediatamente para corregirlo”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
8. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
9. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido, se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” IV Se imputa a la entidad UNIVERSIDAD DE MALAGA el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
10. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
11. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
12. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que: a Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. b Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD. c La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados. d El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad UNIVERSIDAD DE MALAGA pertenecientes a personas inscritas en el programa ICARO, correspondiendo adoptar las reguladas en el Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 91 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. En definitiva, como responsable del fichero, la entidad UNIVERSIDAD DE MALAGA está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de los que es responsable, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al establecer una configuración de la lista de distribución de correo electrónico “***EMAIL.3@uma.es” que no impidió de manera fidedigna que los integrantes de la misma pudieran acceder a datos personales otros suscriptores, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 según los detalles que constan en los Hechos Probados. Concretamente, ha quedado acreditado que, dentro de la plataforma ICARO, utilizada por la UNIVERSIDAD DE MALAGA para la gestión de prácticas pre profesionales y/o empleo en entidades privadas u organismos públicos de los estudiantes universitarios, esta entidad configuró la lista de distribución de correo electrónico “***EMAIL.3@uma.es”, integrada por los usuarios inscritos en ICARO que tuvieran activada la opción "recibir información por correo electrónico", y que debido a un error de programación en su configuración, posibilitó que los estudiantes inscritos pudieran remitir correos electrónicos directamente a la dirección ***EMAIL.3@uma.es. En la confección de la lista se habilitó un mecanismo para permitir a los usuarios de forma automática cancelar su suscripción mediante el envío de un correo electrónico a la dirección ***EMAIL.4@uma.es ("Para desubscribirte de la lista, manda un mensaje a: ***EMAIL.4@uma.es con el asunto UNSUBSCRIBE ***EMAIL.3@uma.es"), pero, según se ha indicado, no se configuró de forma que se impidiese que los usuarios pudieran remitir correos electrónicos a la dirección ***EMAIL.3@uma.es Ello posibilitó que, cuando la UNIVERSIDAD DE MALAGA, en fecha 10/03/2017, envió un mensaje a la lista de distribución informando sobre la apertura del Servicio de Orientación Profesional de la Universidad, los correos electrónicos que los alumnos dirigieron a aquella dirección solicitando la baja en la lista de distribución (usuarios que respondieron directamente al correo recibido desde la dirección ***EMAIL.3@uma.es, en lugar de dirigirse a la dirección ***EMAIL.4@uma.
13. es)fueran entregados a todos los suscriptores sin necesidad de que fuesen aprobados previamente por el administrador de la lista, ocasionando que todos los suscriptores de la lista recibieran los mensajes “UNSUBSCRIBE ***EMAIL.3@uma.es”, con detalle de sus datos personales relativos a nombre, apellidos y dirección de correo electrónico. Concretamente, el denunciante puso de manifiesto ante esta Agencia que el día 10/03/2017 recibió más de cien correos electrónicos de distintas personas solicitando la baja de varias listas del programa de prácticas/empleo de la UNIVERSIDAD DE MALAGA y aportó, en prueba de lo denunciado, copia impresa de la bandeja de entrada de su correo electrónico, en la que se cuentan 75 correo entrantes. En estas impresiones consta el nombre y apellidos del titular de las cuentas y, en la mayoría de ellos, en el “Asunto”, consta “acumacairo unsubcribe”. Se trata de deficiencias apreciadas en el sistema diseñado por la propia entidad UNIVERSIDAD DE MALAGA, que quedaron acreditadas por la documentación aportada por el denunciante y que han sido admitidas por la misma. En el informe, de fecha 23/07/2017, elaborado por el Servicio de Empleabilidad y Emprendimiento de la UNIVERSIDAD DE MÁLAGA se “reconoce la existencia de un problema ocasionado por un error en la configuración de una lista de correo electrónico”. Así, los datos personales tratados por la entidad UNIVERSIDAD DE MALAGA, pertenecientes a alumnos inscritos en el programa ICARO, resultaron accesibles para otros alumnos no interesados, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que dicha entidad ha incurrido en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 infracción grave descrita. UNIVERSIDAD DE MALAGA es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a la misma. V Ha de tenerse en cuenta que en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Es la entidad UNIVERSIDAD DE MALAGA la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. Dicha entidad, en sus alegaciones, señala que la incidencia reseñada se trata C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 hecho puntual inmediatamente rectificado y que no existe intencionalidad o voluntariedad en dicha actuación. Sin embargo, además de lo indicado, interesa destacar nuevamente que la infracción se consuma por el fallo de seguridad producido en la configuración de la lista de distribución y la falta de medidas adecuadas para haberlo evitado. La propia UNIVERSIDAD DE MALAGA admitió el error en dicha configuración, lo que equivale a un error de programación y de diseño de la lista de distribución. Las mejoras adoptadas para subsanar la incidencia confirman la falta de medidas de seguridad que han determinado la infracción, de la que es responsable la UNIVERSIDAD DE MALAGA, según ha quedado expuesto, al menos por una falta de la diligencia debida en la implantación de medidas de seguridad adecuadas. El incumplimiento de lo establecido en el artículo 9 de la LOPD no se produce en exclusiva en supuestos de ausencia total de tales medidas, sino también en aquellos otros en los que las adoptadas resultaran insuficientes o no efectivas y esta insuficiencia sea imputable a título de culpa. VI El artículo 44.3.
14. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que UNIVERSIDAD DE MALAGA ha incurrido en la infracción grave descrita. VII El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso efectuado por parte de terceros a los datos personales de personas inscritas en el programa ICARO, contenidos en los sistemas de información de la entidad UNIVERSIDAD DE MALAGA, concretamente los relativos a nombre, apellidos y dirección de correo electrónico. Por tanto, procede analizar el cumplimiento por parte de la entidad UNIVERSIDAD DE MALAGA del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la UNIVERSIDAD DE MALAGA vulneró este deber de confidencialidad en relación con las personas que remitieron, en fecha 10/03/2017, un correo electrónico solicitando su baja en la lista de distribución de correo electrónico “***EMAIL.3@uma.es”, en respuesta a un mensaje anterior de la misma fecha por el que aquella entidad informó sobre la apertura del Servicio de Orientación Profesional de la Universidad. Ha quedado acreditado que los correos de baja dirigidos a la misma dirección de correo electrónico de difusión (***EMAIL.3@uma.es), y no a la dirección dispuesta específicamente para ello (***EMAIL.4@uma.
15. es)fueron entregados a todos los suscriptores, entre ellos el denunciante, los cuales pudieron acceder a la información personal de los remitentes de tales correos de respuesta. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, circunstancias que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los contribuyentes afectados. VIII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
16. d)de la LOPD. En este precepto se establece lo siguiente: “
17. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
18. d)de la LOPD. IX Tratándose de infracciones cometidas por Administraciones Públicas, procede aplicar el artículo 46 de la LOPD, que establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. X En el presente caso, la respuesta de la UNIVERSIDAD DE MALAGA para mitigar los efectos de los incidentes de seguridad reseñados y corregir su causa fue inmediata. La primera medida en relación con el incidente de 10/03/2017, adoptada para salvar los efectos del error cometido en la configuración de la lista de distribución de correo electrónico “***EMAIL.3@uma.es”, adoptada el mismo día, consistió en eliminar la lista de suscriptores de forma que los mensajes que se enviaran a partir de ese momento a la citada dirección de correo electrónico no llegaran a ningún destinatario. Posteriormente, con fecha 13/03/2017, se modificó la configuración de la lista de distribución cambiando el parámetro "¿Quién puede enviar mensajes?”. Por tanto, se entiende que la entidad UNIVERSIDAD DE MALAGA ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad UNIVERSIDAD DE MÁLAGA ha infringido lo dispuesto en el artículo 9 de la LOPD, en relación con el artículo 91 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificada como grave en el artículo 44.3.
19. h)de la misma norma; y lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
20. d)de la misma norma. SEGUNDO: DECLARAR que la entidad UNIVERSIDAD DE MÁLAGA ha adoptado medidas de orden interno adecuadas para impedir que en el futuro pueda producirse una nueva infracción de los artículos 9 y 10 de la LOPD similar a la analizada en el presente procedimiento. TERCERO: NOTIFICAR la presente resolución a la entidad UNIVERSIDAD DE MÁLAGA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es