AAPP-00005-2016

1/11 Procedimiento Nº AP/00005/2016 RESOLUCIÓN: R/02746/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00005/2016, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUT MUNICIPAL DE L’ESPORT, vista la denuncia presentada por D. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/09/2015, tuvo entrada en esta Agencia un escrito presentado por D. B.B.B. (en lo sucesivo el denunciante) en el que denuncia que a través de la web de la entidad INSTITUT MUNICIPAL DE L’ESPORT, del Ayuntamiento de Palma de Mallorca (en lo sucesivo IME), en la URL http://.........palmademallorca.es................, que corresponde a la sección de "####........", se puede acceder a los datos personales de personas con ................ modificando secuencialmente los códigos numéricos de los efectos respectivos. Advierte que no existe ningún sistema de control de errores ni bloqueo por número de intentos fallidos, y que la información permanece accesible a terceros hasta que tiene lugar el pago, generalmente de julio a septiembre. Con el escrito de denuncia aporta los siguientes documentos: . Adjunta una muestra de los efectos a los que ha tenido acceso, todos ellos emitidos el 20/07/2015, en los que constan los datos personales de los interesados relativos a nombre, apellidos, ................... (en total, 75 efectos, algunos de los cuales corresponde a personas jurídicas. Por otra parte, el denunciante señaló en la misma denuncia que recibió un correo de “Bicipalma” del mismo Ayuntamiento con las direcciones de todos los destinatarios visibles. No obstante, no aportó documentación alguna al respecto. SEGUNDO: A la vista de los hechos denunciados, con fecha 25/09/2015, por la Subdirección de Inspección de Datos se incorporó a las actuaciones copia de las páginas obtenidas al acceder con distintos códigos numéricos a la dirección web http://.........palmademallorca.es/........, en el apartado “####” de la web de la entidad IME. Se comprueba que la información accedida es similar a la aportada con la denuncia. TERCERO: Con fecha 18/05/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la entidad IME por la presunta infracción del artículo 9 de dicha Ley Orgánica, en relación con los artículos 91 y 93 de su Reglamento de desarrollo, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 infracción de Administraciones Públicas, la entidad IME presentó escrito de alegaciones en el que solicita que se adopte un acuerdo de apercibimiento conforme a lo establecido en el artículo 45.6 de la LOPD, cuyos presupuestos se cumplen en el presente caso, y muestra su disposición a adoptar las medidas que se estimen convenientes. En su escrito, reconoce los hechos objeto de las actuaciones, que se produjeron de forma accidental, y señala que se han articulado de forma inmediata los mecanismos y medidas para restituir la situación, habiéndose desactivado las opciones que permiten el pago de recibos y facturas e iniciado la revisión de la aplicación informática por parte del Institut Municipal d`Innovació, como entidad gestora de los procesos informáticos del IME. Pone de manifiesto la falta de intencionalidad en la comisión de los hechos y la ausencia de beneficios derivados de los mismos. QUINTO: Con fecha 05/07/2016, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducida a efectos probatorios la denuncia formulada y su documentación, así como los documentos obtenidos y generados por la Inspección de Datos. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de inicio AP/00005/2016 formuladas por la entidad IME. En la misma fecha, por el instructor del procedimiento se acordó incorporar a las actuaciones el resultado del acceso realizado a las URLs siguientes: . http://.........palmademallorca.es................: Se comprueba que da acceso a una página con el mensaje “La operación no está accesible”. . http://.........palmademallorca.es/........: No se obtuvo ningún resultado . http://.........palmademallorca.es/......: Se comprueba que da acceso a una página con el mensaje “La operación no está accesible”. SÉXTO: Con fecha 26/09/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se declare que la entidad IME ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículos 44.3.
2. h)de la misma norma; y que se declare que dicha entidad ha adoptado las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo mencionado. Se propuso, asimismo, que se comunique la Resolución que se adopte al Defensor del Pueblo. SÉPTIMO: Notificada la citada propuesta, el plazo concedido a la entidad IME para formular alegaciones finalizó sin que en esta Agencia haya tenido entrada escrito alguno. HECHOS PROBADOS 1. El denunciante pudo acceder a través de la web de la entidad IME, en la URL http://.........palmademallorca.es................, en el apartado "####........", a los datos personales de personas con ................, modificando secuencialmente los códigos numéricos de los efectos respectivos, todos ellos emitidos en fecha 20/07/2015. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 estos efectos constan los datos personales de los interesados relativos a nombre, apellidos, ................... (en total 75 efectos, aunque algunos de los aportado por el denunciante corresponde a personas jurídicas). 2. Con fecha 25/09/2015, por la Subdirección de Inspección de Datos se accedió con distintos códigos numéricos a la dirección web http://.........palmademallorca.es/........, en el apartado “####”, comprobando que la información accedida es similar a la aportada por el denunciante. 3. Con fecha 05/07/2016, el instructor del procedimiento intentó acceder a las URLs siguientes, con el resultado que se indica: . http://.........palmademallorca.es................: Se comprueba que da acceso a una página con el mensaje “La operación no está accesible”. . http://.........palmademallorca.es/........: No se obtuvo ningún resultado . http://.........palmademallorca.es/......: Se comprueba que da acceso a una página con el mensaje “La operación no está accesible”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
4. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
5. a)de la Directiva 95/46/CE, del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido (nombre, apellidos, ...................), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” IV Se imputa a la entidad IME el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
6. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
7. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
8. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
9. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
10. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
11. c)La LOPD impone al responsable del fichero la adopción de medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
12. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad IME, pertenecientes a personas inscritas en las actividades que organiza la misma, correspondiendo adoptar las calificadas de nivel básico, teniendo en cuenta el tipo de datos que incluye, tal como se especifica en los artículos 80 y 81 del Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
13. b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, como responsable del fichero, la entidad IME está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, la citada entidad incumplió esta obligación, al haber quedado acreditada la posibilidad de acceder, sin restricción alguna, a los datos personales relativos las personas participantes en las actividades desarrolladas por dicha entidad a través del área habilitada en la web para el pago de recibos, en concreto a los datos relativos a nombre, apellidos, .................... Consta en los Hechos Probados que accediendo a la aplicación web “Pagaments Ime”, en el apartado “####........”, modificando secuencialmente los códigos numéricos de los efectos o recibos emitidos se podía acceder a los correspondientes a otras personas, todos ellos emitidos en fecha 20/07/2015. Se trata de deficiencias apreciadas en el sistema de información diseñado por la propia entidad IME que quedaron acreditadas por la documentación aportada por el denunciante y por las comprobaciones realizadas por los Servicios de Inspección en fecha 25/09/2015, habiendo sido reconocidos por la propia entidad imputada. Así, los datos personales tratados por la entidad IME, pertenecientes a ciudadanos que participaban en las actividades que imparte la misma, resultaron accesibles por parte de terceros, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que IME ha incurrido en la infracción grave descrita. IME es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 plenamente imputable a dicha entidad. Así lo ha declarado la Audiencia Nacional en un supuesto similar, examinado en la Sentencia de fecha 24/09/2010, en cuyo Fundamento de Derecho Séptimo se indica lo siguiente: “A pesar de dichas alegaciones de la demanda y de conformidad con la normativa y la doctrina de esta Sala que se han expuesto en el fundamento jurídico anterior, consideramos que la infracción del deber de seguridad impuesta a XXX a tenor del artículo 9 de la LOPD, ha de ser confirmada por la misma. Y ello dado que dicha entidad actora, como encargada del tratamiento de los datos personales de la compañía de seguros, estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas en la normativa de aplicación, respecto de los ficheros informáticos de aquella y, entre ellas, las dirigidas a impedir el acceso no autorizado de terceros a los datos de los solicitantes de seguros "on line", que eran los que se contenían en el fichero "clientes" de tal compañía de seguros, que, como se ha indicado, requerían medidas de seguridad de nivel alto. Ha quedado acreditado, por el contrario, que XXX incumplió esta obligación, al posibilitar el acceso a datos de personas físicas sin que existiera un procedimiento de cifrado o cualquier otro que garantizara que la información obtenida en dichos accesos no podía ser identificada o manipulada por terceros, como pudo comprobar la Inspección de Datos, a través de la Web… Ha de tomarse en consideración que, contrariamente a lo invocado en la demanda, no solo podían acceder al referido fichero de datos aquellos a quienes cualquier solicitante de un seguro on line les hubiera dado la secuencia de caracteres de la URL generada por cada solicitud, sino que también, con gran facilidad, cualquier suscriptor de un seguro on line podía acceder a los datos personales de todos los demás suscriptores de seguros on line en dicha entidad… y ello con una simple operación consistente en intercambiar cualquiera de las de las equis o números finales de cada una de las URL generadas, por otro u otros números… Consideramos, por todo ello, que XXX infringió lo dispuesto en el artículo 9 de la LOPD…”. V En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Es la entidad IME la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VI El artículo 44.3.
14. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que IME ha incurrido en la infracción grave descrita. VII La entidad IME ha solicitado la aplicación de lo dispuesto en el apartado 6 del artículo 45 de la LOPD que admite la posibilidad, en determinados supuestos, de no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes. Sin embargo, en este caso, tratándose de infracciones cometidas por Administraciones Públicas, procede aplicar el artículo 46 de la LOPS, que establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. VIII En el presente caso, la entidad IME desactivó las opciones que permitían el pago de recibos y facturas a través de la web, habiendo solicitado al Institut Municipal d`Innovació de Palma, entidad gestora de los procesos informáticos del IME, la revisión de la deficiencia técnica detectada. Por tanto, se entiende que la entidad IME ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad INSTITUT MUNICIPAL DE L’ESPORT ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
15. h)de dicha norma. SEGUNDO: DECLARAR que la entidad INSTITUT MUNICIPAL DE L’ESPORT ha adoptado medidas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento, por lo que no procede instar la adopción de medidas correctoras. TERCERO: NOTIFICAR la presente resolución a L’ESPORT y a D. B.B.B.. INSTITUT MUNICIPAL DE CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es