AAPP-00018-2016

1/32 Procedimiento Nº AP/00018/2016 RESOLUCIÓN: R/02621/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00018/2016, instruido por la Agencia Española de Protección de Datos a la entidad AGENCIA TRIBUTARIA DE SEVILLA, de oficio y en virtud de las denuncias presentadas por las entidades ASOCIACION DE CONSUMIDORES Y USUARIOS EN ACCION DE SEVILLA (FACUA) y GRUPO MUNICIPAL CIUDADANOS SEVILLA, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 04/09/2015, la Directora de la Agencia Española de Protección de Datos acordó la apertura de actuaciones previas de investigación, con motivo de las noticias publicadas en prensa los primeros días de septiembre, sobre la existencia de una quiebra de seguridad en los servicios que el Ayuntamiento de Sevilla ofrece a los ciudadanos a través de internet. Por otra parte, con fechas 07/09/2015 y 16/09/2015, se recibieron sendos escritos de las entidades Asociación de Consumidores y Usuarios en Acción Sevilla (en lo sucesivo FACUA) y Grupo Municipal Ciudadanos Sevilla (en lo sucesivo CIUDADANOS SEVILLA), en los que se pone de manifiesto que, a través de la web de la Oficina Virtual de la Agencia Tributaria de Sevilla, introduciendo un número de DNI, se podía acceder a toda la información de su titular: datos personales, impuestos, multas, etc. Con la denuncia de CIUDADANOS SEVILLA se aportó impresión de pantalla con el resultado del acceso a la web https://www.sevilla.org a través de la búsqueda “agencia tributaria de Sevilla indique el nif de la persona”, realizada utilizando el buscador Google, que ofrece como resultado un enlace a la Oficina Virtual de la Agencia Tributaria del Ayuntamiento de Sevilla (en lo sucesivo Agencia Tributaria de Sevilla), en la URL https://www.servilla.org.................html. Asimismo, se aportó impresión de pantalla con el detalle de los datos personales a los que se tiene acceso al introducir un número de DNI (nombre y apellidos de los contribuyentes, domicilio, deudas pendientes, tributos y expedientes a los que corresponden, números de recibos, cuentas bancarias, matrículas de vehículos…). Estas comprobaciones constan diligenciadas notarialmente. La entidad FACUA aporta varios artículos insertados en diarios digitales que se refieren a los hechos denunciados. En octubre de 2015, se publicaron nuevas noticias en medios de comunicación sobre otro posible fallo en la misma web de la “Oficina Virtual de Sevilla”, en las que se indica que utilizando certificado digital para el acceso a la misma existe una opción de cambio de contribuyente que solicita un número de CIF o DNI, permitiendo el acceso a toda la información del titular. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/32 A- En relación con la brecha de seguridad producida en el mes de septiembre. 1. Con fechas 04 y 09/09/2015, por los Servicios de Inspección de la AEPD se realizaron diversas consultas a través de la Oficina Virtual de la Agencia Tributaria del Ayuntamiento de Sevilla, no obteniéndose constancia sobre la posibilidad de acceder a datos de los contribuyentes introduciendo únicamente el dato relativo al DNI. En todos los casos, además del NIF/CIF se requiere, para el acceso a la información de que se trate, se exige la introducción de otros datos: para la consulta de recibo de Impuesto de bienes inmuebles, de naturaleza rústica o urbana, deben introducirse los valores en “Referencia catastral” y “Valor catastral”; para el Impuesto de Actividades Económicas, la “Referencia censal”; para la consulta de recibo de Impuesto de Vehículos de Tracción Mecánica, la “Matrícula del vehículo”; para la consulta de recibos de Tasas, el “Número de Expediente”; para la consulta de multas, la “Matrícula del Vehículo”, el “Expediente” y “Boletín”; etc. Asimismo, se comprueba que el acceso a la URL https://www.servilla.org.................html no obtiene resultados. 2. Con fecha 16/09/2015, se realizó una inspección en la sede de la Agencia Tributaria del Ayuntamiento de Sevilla, de la que se desprende lo siguiente: . La Agencia Tributaria del Ayuntamiento de Sevilla tiene suscrito un contrato de servicios, de fecha 27/03/2013, con la empresa TECNOCOM ESPAÑA SOLUTIONS, S.L. (en lo sucesivo TECNOCOM), empresa adjudicataria del concurso para la “Contratación de un servicio a la Agencia Tributaria de Sevilla consistente en la ejecución de trabajos de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación (ALBA) durante los ejercicios 20132015”. El contrato suscrito obliga a lo estipulado en el Pliego de Cláusulas Administrativas Particulares y en el Pliego de Prescripciones para la Contratación del Servicio y el. En ninguno de ellos se hace referencia a lo estipulado en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). De lo estipulado en el Pliego de Cláusulas Administrativas Particulares cabe destacar lo siguiente: “III. EJECUCIÓN DEL CONTRATO 12, Responsable del contrato. El órgano de contratación podrá designar una persona responsable del contrato conforme se establece en el artículo 52 del TRLCSP… 13. Ejecución del contrato. Condiciones especiales de ejecución… 13.2 Ejecución. La ejecución del contrato se realizará a riesgo y ventura del contratista. El contrato se ejecutará con sujeción a lo establecido en su clausulado y en los pliegos, y de acuerdo con las instrucciones que... para su interpretación diere al contratista el órgano de contratación. El contratista será responsable de la calidad técnica de los trabajos que desarrolle y de las prestaciones y servicios realizados, así como de las consecuencias que se deduzcan para la Administración o para terceros de las omisiones, errores, métodos inadecuados o conclusiones incorrectas en la ejecución del contrato. El contratista estará obligado a presentar un programa de trabajo, cuando así se especifique en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/32 el anexo 1 y con el contenido que en el mismo se indique en el Pliego de Prescripciones Técnicas, que será aprobado por el órgano de contratación. El contratista no podrá sustituir al personal facultativo adscrito a la realización de los trabajos, sin la expresa autorización del responsable del contrato. El contratista está obligado a guardar sigilo respecto de los datos y antecedentes que, no siendo públicos o notorios, estén relacionados con el objeto del contrato, de los que tenga conocimiento con ocasión del mismo… 18. Recepción. En el Pliego de Prescripciones Técnicas Particulares se indicará, en su caso, el lugar de entrega del objeto del contrato. La constatación de la correcta ejecución del objeto del contrato se acreditará mediante certificación expedida por el responsable del contrato. El órgano de contratación determinará si la prestación realizada por el contratista se ajusta a las prescripciones establecidas para su ejecución y cumplimiento, requiriendo, en su caso, la realización de las prestaciones contratadas y la subsanación de los defectos observados con ocasión de la recepción. Si los trabajos efectuados no se adecuan a la prestación contratada, como consecuencia de vicios o defectos imputables al contratista, podrá rechazar la misma quedando exento de la obligación de pago o teniendo derecho, en su caso, a la recuperación del precio satisfecho. La recepción del objeto de contrato se efectuará de acuerdo con lo previsto en los artículos 222 y 307 del TRLCSP. Una vez efectuada la recepción de la totalidad del trabajo y cumplido el plazo de garantía que; en su caso, se indique en el anexo 1, se procederá a la devolución de la garantía prestada, si no resultaren responsabilidades que hubieran de ejercitarse sobre la garantía, de conformidad con lo establecido en el artículo 102 del TRLCSP”. Por otra parte, en el Pliego de Prescripciones para la Contratación del Servicio se establece lo siguiente: “INTRODUCCION Este documento describe el pliego de condiciones técnicas relativo a la contratación de servicios para el mantenimiento del Sistema de Gestión Tributaria y de Recaudación (ALBA) de la Agencia Tributaria de Sevilla. La Delegación de Hacienda del Ayuntamiento de Sevilla procedió a la adjudicación de contrato para el desarrollo de dicho Sistema en el año 2000. Realizado el desarrollo y la implantación de la generalidad de los subsistemas incluidos en el mismo, se observa la necesidad de efectuar concretas adaptaciones derivadas fundamentalmente de las modificaciones normativas experimentadas y de la necesidad de incorporar nuevas prácticas de gestión que modernicen la gestión tributaria y de recaudación. Por otra parte, los diversos usuarios vienen solicitando mejoras en los procedimientos implantados que permitan facilitar, más allá del desarrollo previsto en el contrato inicial y los posteriores de desarrollo, nuevas funcionalidades de los trabajos que se vienen realizando con el aplicativo, y es absolutamente probable que se continúe con la solicitud de nuevas adaptaciones o modificaciones a la aplicación. Por otra parte, es clara la absoluta necesidad de contar en el Ayuntamiento de Sevilla, y en especial en la Agencia Tributaria de Sevilla (en adelante ATSe), con un Sistema Integrado de Gestión Tributaria y de Recaudación que funcione con máximas garantías de eficacia y legalidad, siendo absolutamente reintegrable, a través de una mejora de la recaudación tributaria, cualquier actuación en dicho sentido que se pudiera realizar. Por otra parte, la ATSe tiene como competencia la implantación, mejora y actualización del citado Sistema en todas sus áreas de gestión tributaria, inspección, tesorería, contabilidad, multas y recaudación. Ese apoyo habrá de entenderse sin perjuicio de las competencias de cada servicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/32 en la definición funcional de la actividad administrativa, y del Servicio de Informática Municipal en materia de desarrollo de los Sistemas de Información y de gestión de la infraestructura informática… 2.3 Definiciones A efectos de este pliego se tendrán en cuenta las siguientes definiciones: Análisis Revisión del Documento de Especificación Funcional ya existente o nueva elaboración si se trata de una extensión funcional. Se detallarán tanto los requisitos exigidos al Sistema como la especificación funcional del mismo. Diseño Se revisará o ampliará el diseño técnico al Sistema adaptándose en la especificación de la arquitectura física del sistema, la estructura física de datos y el entorno tecnológico a su estado actual y a sus proyecciones futuras. Construcción En esta fase se abordarán los módulos de nuevo desarrollo o modificaciones de los componentes de los sistemas afectados y de los procedimientos de usuario. Se consideran incluidos dentro del módulo de desarrollo de componentes del sistema: . La preparación del entorno de desarrollo, pruebas y procedimiento de operación. . Generación del código de los componentes, así como su documentación y prueba unitaria. . Realización de las pruebas intrínsecas de integración así como la evaluación de los resultados de dichas pruebas y las posibles correcciones a que hubiera lugar. Las pruebas se realizarán sobre una base de datos representativa del sistema con el conjunto de casos de prueba definido en la fase de diseño. Implantación Se considera la implantación como la preparación y realización de las pruebas de los subsistemas afectados, teniendo en cuenta el sistema globalmente considerado,- la confección de un plan de implantación, así como la realización de las pruebas de aceptación. Asimismo se considera incluida en esta fase la instalación de los procedimientos tanto automáticos como manuales de producción y la generación o actualización de la documentación pertinente y ayudas al usuario final. Todas las tareas de análisis, diseño y construcción necesarias para la implantación de los procesos desarrollados se efectuaran en base a las normas metodológicas que defina el Servicio de Informática Municipal, y de acuerdo con las herramientas de desarrollo, y plataforma tecnológica, que dicho servicio considere, y sin perjuicio de lo expresado en el apartado de características técnicas del Sistema. 2.4 Objeto, condiciones y alcance del trabajo De forma inicial se desarrollarán las tareas de análisis, diseño, construcción e implantación necesarias para el cumplimiento de los objetivos funcionales del proyecto. Estos trabajos no deben entenderse como la mera definición y codificación de un paquete de programas; por el contrario, se define como objetivo final el funcionamiento de dichos objetivos funcionales de cada aplicación, de acuerdo con las líneas definidas por la ATSe y los servicios afectados, y las líneas técnicas definidas por el Servicio de Informática Municipal. Las definiciones funcionales establecidas se considerarán el marco general a realizar, debiendo establecerse a través del análisis oportuno la definición concreta de la actuación, y en cualquier caso con un carácter amplio con la filosofía de cubrir el número más amplio de posibilidades, siendo competencia de los directores de proyecto la definición del alcance en el caso de cualquier duda al respecto entre la empresa desarrolladora y los servicios responsables. No obstante, los directores funcional y técnico del proyecto, a través de las reuniones de trabajo que se establezcan periódicamente con el jefe del proyecto, ordenarán al mismo la realización de labores de desarrollo, mantenimiento, producción o apoyo a usuarios, que en el marco del Sistema y sin estar incluidos en la anterior lista de tareas, se decidan realizar. Podrán, a su vez, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/32 otorgarse órdenes de trabajo concretas o genéricas, puntuales o periódicas, de análisis, programación, desarrollo técnico, construcción, parametrización, depuración de datos, o de cualquier otro tipo que se considere conveniente para la buena marcha de la aplicación. Del cumplimiento y esfuerzos realizados de cada orden de trabajo, se dará cuenta en la siguiente reunión de trabajo, donde igualmente se analizarán las órdenes de trabajo en ejecución y la priorización de las órdenes pendientes de ejecución… 4 ORGANIZACIÓN DEL TRABAJO Existirá un comité de seguimiento del proyecto donde se encontrarán representadas las unidades de la ATSe implicadas en el proyecto. Igualmente existirá un grupo de trabajo funcional para la puesta en común de las decisiones sobre los procedimientos administrativos, modelos de documentos y flujos de trabajo. La ATSe designará un Director Funcional del Proyecto. A su vez, existirá un Director Técnico del Proyecto nombrado por el Jefe de Servicio de Informática Municipal entre su personal La empresa de servicio de asistencia técnica contratada para cada aplicación y proyecto aportará un equipo de trabajo integrado por un Jefe de Proyecto y de cuantos técnicos de adecuada cualificación y nivel de dedicación sean necesarios según la planificación que se fije. Dichos recursos mínimos necesarios se detallan en el apartado 5, junto con los requisitos mínimos de cada miembro del equipo humano. Los trabajos se prestarán de manera continuada en las oficinas del Ayuntamiento de Sevilla o de la propia empresa, en los turnos de trabajo que fueran necesarios para cumplir la planificación acordada. Se podrá planificar la realización de órdenes de trabajo para el correcto seguimiento de los mismos. Las funciones y responsabilidades de los Directores funcional y técnico del Proyecto y del Delegado del contratista (Jefe de proyecto) serán respectivamente: Directores funcional y técnico del Proyecto. - Dirigir, supervisar y coordinar la realización y desarrollo de los trabajos, en función de su alcance respectivo. En especial el director técnico deberá decidir y establecer los aspectos técnicos (herramientas de software, distribución del software, cambio de la estructura o el diseño de la base de datos, diseños técnicos, etc.). - Aprobar y comunicar conjuntamente al Jefe de Proyecto los contenidos de los trabajos para su realización. - Velar conjuntamente por el nivel de calidad de los trabajos, revisando y comprobando los mismos. - Coordinar las entrevistas entre usuarios y técnicos involucrados en el proyecto. - Decidir sobre la aceptación de las modificaciones técnicas y funcionales propuestas por el Jefe del Proyecto a lo largo del desarrollo de los trabajos. Asegurar el seguimiento del Programa de realización de los trabajos. - Hacer cumplir las normas de funcionamiento y las condiciones estipuladas en este Documento. - Aprobar conjuntamente los resultados y certificaciones parciales y totales de la realización de los proyectos. A estos efectos deberán recibir y analizar los resultados y documentación elaborados a la finalización de cada etapa, pudiendo introducir las modificaciones o correcciones oportunas antes del comienzo de las siguientes, requiriéndose su aprobación final. Delegado del Contratista (Jefe del Proyecto) - Organizar la ejecución del proyecto de acuerdo con el Programa de realización de los trabajos y poner en práctica las instrucciones de los Directores del Proyecto - Ostentar la representación del equipo técnico contratado en sus relaciones con la Administración Municipal en lo referente a la ejecución de los trabajos. - Proponer a os Directores del Proyecto las modificaciones que estime necesarias sobre las “Ordenes de Trabajo”, surgidas durante el desarrollo de los trabajos. - Asegurar el nivel de calidad de los trabajos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/32 Presentar a los Directores del Proyecto, para su aprobación, los resultados parciales y totales de la realización del proyecto. CONDICIONES GENERALES DE REALIZACIÓN 5.5 Confidencialidad de la información. No se podrá transferir información alguna sobre los trabajos a personas o entidades no explícitamente mencionados en este sentido en el contrato sin el consentimiento, por escrito, de la ATSe. 5.6 Programa del trabajo Los directores del proyecto, previa deliberación con el contratista aprobarán el programa de trabajo presentado por éste, pudiendo introducir a lo largo de su ejecución las variantes en el mismo que se estimen necesarias, dentro de los límites contractuales. 5.7 Aceptación final Para efectuar la aceptación final del proyecto la ATSe efectuará las pruebas que estime oportunas de verificación y validación del objeto del presente documento”. . El Sistema Integrado de Gestión Tributaria y de Recaudación (Oficina Virtual) permite al ciudadano el acceso a los datos tributarios utilizando certificado digital o número DNI junto con otra información específica del trámite a realizar (número de matrícula, expediente, referencia catastral, importe….). . Con fecha de 04/03/2015, se procedió a la implantación –puesta en producción- de una modificación del método de acceso utilizando certificado digital, motivado por la necesidad de la adecuación a las diferentes versiones de los navegadores y la diferente versión del reconocimiento de certificado digital emitido por la Fábrica Nacional de Moneda y Timbre. En la puesta en producción se mantuvo, por error, un programa que solo debía de existir en el entorno de desarrollo, el cual mostraba un formulario de entrada a la Oficina Virtual que solicita como única autenticación el número de NIF. Este formulario estaba disponible para su acceso a través de Internet, si bien no se permitía su acceso directamente desde las opciones disponibles en la Oficina Virtual. Solo se podía acceder al mismo utilizando unas palabras claves como criterios de búsqueda en buscadores de Internet Google, Yahoo…, o directamente conociendo la dirección web completa https://www.sevilla.or..........htm. El acceso a través de dicho formulario requería únicamente la indicación del NIF o CIF del contribuyente. Con fecha 03/09/2015, se presentó en el Registro del Ayuntamiento una denuncia de un partido político, en la que se pone de manifiesto que la web de la Agencia Tributaria tiene una brecha de seguridad que permite el acceso a los datos privados de los contribuyentes conociendo únicamente el NIF. El Ayuntamiento no recibió la denuncia hasta días posteriores, aunque tuvo conocimiento de los hechos el mismo día 3, sobre las 13 horas, informados por personal del Ayuntamiento que conoció la rueda de prensa. A partir de este momento, se realizaron las siguientes acciones: . La Agencia Tributaria comprobó que realizando una búsqueda del patrón especifico “agencia tributaria sevilla indique nif de la persona” en Google se accedía al formulario que solicita el NIF en el enlace https://www.sevilla.or..........htm. Al registrar un NIF como autenticación se accedía a todos los datos tributarios del contribuyente. En ese momento se decidió el bloqueo de la Oficina Virtual sobre las 14 horas, restableciéndose el sistema a las 17:30 horas. . Una vez conocida la incidencia, el Instituto Tecnológico del Ayuntamiento, como responsable de los servidores que alojan la web y la seguridad de acceso, procedió a deshabilitar el acceso al formulario a las 13:54 horas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/32 . La Agencia Tributaria abrió un expediente informativo reservado como consecuencia de esta incidencia de seguridad y solicitó informes, entre otros, al Departamento de Informática de la Agencia Tributaria, a TECNOCOM, y al Instituto Tecnológico del Ayuntamiento. Con fecha 11/09/2015, el Departamento de Informática informó como sigue: “- El pasado Jueves día 3 de los corrientes, recibo llamada de la Sra. Gerente de esta Agencia, indicándome la existencia de un fallo de seguridad en la Oficina Virtual de la ATSe, sobre las 13,00 horas, del que ha tenido constancia por una rueda de prensa realizada por un determinado partido político donde ha puesto de manifiesto tal situación. - Desde ese mismo momento junto con la Sra. Jefa del Proyecto del Sistema de Gestión Tributaria de la Agencia y del mantenimiento correctivo, evolutivo y nuevos desarrollos de la 0V, de la empresa Tecnocom, nos disponemos a Intentar localizar el posible acceso no autorizado, no siendo capaces de llegar a la situación expuesta en la rueda de prensa, hasta que recibo la llamada de un integrante del Gabinete de Prensa del Ayuntamiento de Sevilla (desconozco el nombre) donde se me hace. Indicación exacta de la manera de proceder para llegar al determinado enlace. - La información que se me facilita por el Gabinete de Prensa, es en concreto la búsqueda del patrón específico “agencia tributaria Sevilla indique nif de la persona” en el buscador de Internet Google, que llevaba únicamente en este caso, no en otro, a un enlace de la 0V, en concreto a https://www.servilla.org.................htm. - Comprobamos que efectivamente introduciendo el nif de un contribuyente daba paso a la Información tributaria del contribuyente en cuestión, de la misma forma que lo hacen las Gestorías autorizadas mediante la adhesión pertinente al convenio entre esta Agencia y el Colegio de Gestores Administrativos de Sevilla, pero sin solicitar credenciales algunas, esto es, de acceso libre. No teniendo constancia alguna el que suscribe de la existencia de dicha página hasta ese momento. - Aunque la página referenciaba claramente el carácter de pruebas de su razón de ser, dado que en la misma aparecía la palabra “Desarrollo”, apuntaba a la base de datos de producción, esto es, la real no la de pruebas. - Desde ese momento, 14 00 horas y hasta las 17 30 aproximadamente desde ese mismo día, se procedió a imposibilitar cualquier acceso a la plataforma de la OV, hasta que el error fue detectado y corregido por el personal de la firma Tecnocom, que estuvieron dispuestos desde el primer momento a solucionarlo… - Se le solicita al ITAS, el fichero de trazas del servidor intermediario (proxy Inverso) que es quien verdaderamente intercepta las peticiones desde la red a la dirección de destino específica… - Indagando sobre el enlace comprometido en la 0V, comprobamos que existe desde Marzo del presente año, coincidiendo con una encomienda de trabajos a la firma Tecnocom, donde se les solicitó adecuaran los mecanismos de autenticación y firma a la nueva versión de la plataforma municipal (©firma) para no perder las visitas de los usuarios con navegadores Mozilla Firefox y Google Chrome (90% del tráfico),, ya que tanto el colectivo de desarrolladores del proyecto Mozilla como la firma Google, habían abandonado el uso de la capa de navegación segura 2 (SSL2) y esto hacía que no pudieran acceder a la plataforma”. En el informe emitido por el Instituto Tecnológico (ITAS) consta lo siguiente: “1. Introducción.

1. a)La ATSe es un organismo autónomo del Ayuntamiento de Sevilla que cuenta en su plantilla con personal dedicado a las TIC. Este personal se encarga del equipamiento de los propios usuarios de la ATSe y del diseño de las aplicaciones de gestión necesarias para su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/32 funcionamiento, estando subcontratadas las tareas de desarrollo y mantenimiento de estas aplicaciones con empresas externas.
2. b)Dichas aplicaciones están alojadas en servidores bajo la supervisión del ITAS en las instalaciones de éste último. Asimismo, las Bases de Datos de esas aplicaciones están centralizadas en los servidores centrales del ITAS, siendo éste el encargado de su explotación, mantenimiento y salvaguarda. Las aplicaciones web de la ATSe están alojadas en la DMZ (DeMilitarized Zone) ubicada en el CPD del ITAS, siendo este, por tanto, responsable de la seguridad perimetral de dichos servidores, por lo que dispone de los medios necesarios para evitar accesos no autorizados y ataques a los servicios allí alojados, así de protegerlas de vulnerabilidades que puedan propiciar esos ataques y/o accesos no autorizados.
3. c)En sesión del Consejo del ITAS celebrada el 19 de Noviembre de 2014 se aprobó el nombramiento del Comité para la Gestión y Coordinación de la Seguridad de la Información del Ayuntamiento de Sevilla. Dentro de dicho Comité, se nombró como Responsable de la Seguridad de la ATSe al Gerente de dicha ATSe y como Responsable del Sistema al Jefe de Sección de Informática de la ATSe.
4. d)El supuesto fallo de seguridad consistía en el acceso a datos personales de los contribuyentes gestionados por la ATSe mediante la simple introducción de un DNI válido en el formulario https://www.servilla.org.................html, sin hacer más comprobaciones ni solicitar ningún tipo de autenticación mediante certificados que acreditaran que el demandante de información era realmente la persona a la que se referían los datos mostrados”. En relación con la secuencia de hechos, el citado Instituto añade: . Se comprobó, a través de los registros de acceso a la Oficina Virtual (LOG), que, con fecha 08/03/2015, se produjo un cambio en la autenticación del acceso a los datos contenidos en el Sistema a través del formulario web entradaContribuyente.htm y que a partir de esta fecha se producen accesos mediante autenticación con certificado digital y otros accesos no autenticados redirigidos desde buscadores a dicho formulario web, todo ello debido a la existencia de la página web entradaContribuyente.htm con fecha anterior a 8 de marzo. No obstante, a este formulario se accede solo de forma directa a través de los buscadores o de la propia URL, no estando vinculado a la página de inicio de la Oficina Virtual. . A partir del 31/03/2015 se detecta el primer acceso directo desde un buscador a la URL https://www.sevilla.or..........htm. Aunque se habían producido 16 accesos a dicho formulario entre el día 8 y el 31 de marzo, únicamente constan dos direcciones IP distintas, lo que hace suponer que se trataran de pruebas realizadas por el equipo de desarrollo. . Posteriormente se comprueba que se accede al formulario desde una aplicación denominada “Gestiontramites”, que cambió de nombre a “tramítamelo”. A partir del 08/06/2015 hasta el 28/08/2015 se realizan 11 accesos desde buscadores y 10 accesos desde “tramítamelo”. . Con fecha 28/08/2015 se producen 208 accesos al formulario desde diferentes IP y la mayoría desde dispositivos móviles, y con fecha 03/09/2015 se producen 596 intentos de acceso, de los cuales solo 129 son exitosos ya que en esa fecha se deshabilita el formulario. . El número de contribuyentes que constan en la base de datos es 2.858.441. Y como “Conclusiones” se indica: “
5. a)El incidente acaecido con el formulario http://www.sevilla,org.........,htm, si bien se trata de un fallo de seguridad, no se puede considerar una vulnerabilidad del sistema, Sí de la aplicación (formulario) ya que no asegura el acceso a los datos de cada contribuyente mediante un sistema de autenticación oportuno. El fallo consistía en que la lógica de la aplicación no constataba mediante certificados ni ninguna otra comprobación que la persona que hacía la consulta era el referido en los datos mostrados…
6. c)Estos test de vulnerabilidades, a pesar de que comprueban entradas sin validar, no habrían C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/32 llegado al formulario en cuestión al no estar éste enlazado a ningún otro formulario de la Oficina Virtual.
7. d)El número de accesos que tiene el citado formulario desde el 8 de marzo hasta el 28 de agosto (fecha presumible en la que se produce la denuncia de la persona que descubrió la existencia del formulario) es realmente mínimo, por lo que no se puede deducir que se hayan estado extrayendo datos personales de contribuyentes con ningún fin.
8. e)Por tanto, podemos concluir que no se ha tratado de un ataque contra los servidores y aplicaciones del Ayuntamiento de Sevilla, que no se ha hecho un uso masivo del formulario con el fallo en la seguridad y que el impacto del citado fallo ha sido mínimo en cuanto al acceso a datos de contribuyentes”. . En el informe emitido por TECNOCOM consta que “en base a las comprobaciones que se efectuaron el jueves 3 de septiembre, se identificó un código determinado como posible causante del problema. Se procedió a la corrección de este código de forma inmediata y se realizaron las pruebas para confirmar que ya no se producía el acceso no controlado”. “Tras comprobar que al utilizar la cadena de búsqueda antes indicada se accedía a un entorno de pruebas de la Oficina Virtual (circunstancia que se conoce porque en dicho entorno aparece el texto “desarrollo”), se desactiva dicho entorno de pruebas de forma inmediata. A pesar de ello, el acceso a la Oficina Virtual a través de dicha cadena de búsqueda siguió activo, por lo que se sugirió al responsable de sistemas de la Agencia la desactivación temporal de la Oficina Virtual hasta la resolución del problema, y éste accedió a desactivar la Oficina Virtual en explotación. A partir de la desactivación completa de la Oficina Virtual, los técnicos de TECNOCOM informan a sus responsables sobre este incidente el mismo jueves 3 de septiembre sobre las 14:45 horas, solicitando apoyo adicional para tratar de solventar el mismo en el menor plazo posible, Los responsables de TECNOCOM se desplazan inmediatamente a las dependencias de la Agencia, acompañados de dos técnicos de apoyo y contando con el soporte de otros dos técnicos en remoto, al objeto de tratar de proporcionar una solución y verificar que no pudieran haberse producido otras incidencias En base a las comprobaciones que se efectuaron el jueves 3 de septiembre, se identificó un código determinado como posible causante del problema. Se procedió a la corrección de este código de forma inmediata y se realizaron las pruebas para confirmar que ya no se producía el acceso no controlado. Una vez comunicadas a la Gerente de la Agencia las actuaciones realizadas y la constatación de la resolución del problema, y a su petición expresa, se restableció el servicio, sobre las 18:00 horas de ese mismo jueves 3 de septiembre”. . A la vista de los Informes, los representantes del Ayuntamiento manifestaron que no se han detectado accesos masivos, ni descargas de datos masivas, ni accesos realizados desde direcciones IP fuera del territorio nacional. Tampoco se ha detectado ninguna modificación en los datos de los contribuyentes ni la utilización de ninguno de ellos por terceros. . En la Inspección realizada se verificó que: . Los datos personales y de gestión tributaria que se visualizaban en el acceso a través del formulario entradaContribuyente.htm corresponden con los accesos permitidos utilizando certificado digital. . El acceso a la Oficina Virtual sin utilizar certificado digital solo tiene habilitadas unas pocas gestiones tributarias, y para cada una de ellas se solicita el NIF y al menos otro dato adicional. . Se comprobó que, utilizando los NIF y datos de los contribuyentes que han sido aportados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/32 en la denuncia, se puede acceder a parte de las gestiones tributarias (conociendo el NIF y un dato identificativo de la gestión), verificándose la coincidencia de los mismos. B. En relación con la brecha de seguridad producida en fecha 23/10/2015, la Agencia Tributaria del Ayuntamiento de Sevilla informó lo siguiente: . Con fecha 29/10/2015, la Agencia Tributaria abre un expediente informativo reservado al tener conocimiento de una posible nueva brecha de seguridad en la web de la Oficina Virtual, requiriéndose diversos informes. Según estos informes, se constató que, accediendo con el perfil de “Persona jurídica con certificado digital”, se ofrecía la opción de “Cambiar Contribuyente” mediante la cual se daba la posibilidad de introducir un CIF/DNI y acceder a la información y gestión de ese titular con las mismas utilidades que las ofrecidas con certificado digital. El Instituto Tecnológico informó lo siguiente: “1. Introducción
9. d)El supuesto fallo de seguridad consistía en el acceso a datos personales de los contribuyentes gestionados por la ATSe, una vez se había accedido con un Certificado Digital de Persona Jurídica válido. Bastaba con acceder al formulario y teclear el DN1/CIF del contribuyente deseado para que la aplicación mostrara los datos del mismo, sin hacer más comprobaciones ni solicitar ningún tipo de autenticación mediante certificados que acreditaran que el demandante de Información era realmente la persona a la que se referían los datos mostrados. 2. Hechos.
10. a)A diferencia del Incidente anterior, en esta ocasión los usuarios accedían al formulario de validación navegando por las distintas opciones de menús. Todo ello hasta llegar a un formularlo llamado /ovweb/autenticacion.htm en el que, si se dispone de un Certificado Digital válido y reconocido, se procedía a autenticar al solicitante.
11. b)A partir de este momento, los datos de navegación no se recogen en los logs de acceso, ya que no se cambia de formulario, Por ello, es inviable detectar si el contribuyente que había accedido debidamente validado ha efectuado distintas consultas a distintos DNI/CIF,
12. c)El contenido de los logs fueron enviados al Responsable del Sistema de la ATSe mediante correo electrónico el pasado 23 de octubre de 2015 a las 10:06 para su estudio y por si podía aportar algo en la investigación en curso. 3. Conclusiones
13. a)El incidente acaecido, si bien se trata de un fallo de seguridad, no se puede considerar una vulnerabilidad del sistema. Sí de la aplicación (formulario) ya que no asegura el acceso a los datos de cada contribuyente mediante un sistema de autenticación oportuno. El fallo consistía en que la aplicación permitía a un usuario debidamente autenticado mediante Certificado Digital, cambiar el objeto de su consulta introduciendo otros DNI/CIF, sin que la aplicación exigiera una nueva autenticación del usuario… b)…Está previsto que en las próximas semanas se realicen estas auditorías a las webs municipales entre las que se va a Incluir la de la propia ATSe.
14. c)Estos test de vulnerabilidades, a pesar de que comprueban entradas sin validar, no habrían detectado este fallo, al tratarse de una lógica implementada en un formulario, cosa que se escapa del alcance de estos Test,
15. d)Con la información registrada en los Logs de acceso a los servidores Proxy, es imposible determinar si un contribuyente debidamente acreditado ha introducido más de un CIF/N1F y ha accedido a la información correspondiente”. El Departamento de Administración de la Agencia Tributaria de Sevilla, en relación con el contrato suscrito con TECNOCOM, informó lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/32 “Por lo que respecta a la seguridad de los sistemas de información, este contrato, como cualquier otro de esta naturaleza este sujeto a lo dispuesto por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Debido al hecho de que esta ley establece con precisión todas las determinaciones relativas a la protección de los datos y la seguridad de los sistemas de información, no se añadieron obligaciones específicas para el contratista en los pliegos del contrato. El párrafo final del apartado 13.2 Ejecución del contrato. Condiciones especial de ejecución. Ejecución del Pliego de Cláusulas Administrativas Particulares del Contrato dispone: “El contratista está obligado a guardar sigilo respecto de los datos y antecedentes que, no siendo públicos o notorios, estén relacionados con el objeto del contrato de los que tenga conocimiento con ocasión de/mismo” Igualmente el Pliego de Prescripciones Técnicas en su apartado 2 “CONTENIDO DEL TRABAJO” subapartado 2,1 “Descripción del Sistema” dispone expresamente: “El Sistema de Gestión Tributaria y de Recaudación está concebido como un sistema integrado que incluye todos los subsistemas de gestión, control y producción relacionados con los ingresos públicos del Ayuntamiento de Sevilla. Así su función es aglutinar y gestionar toda la información que se produce en estas materias, cuidando su integridad seguridad y consistencia”. Estás exigencias, redactadas en términos genéricos, deben entenderse referidas al cumplimiento de todas las disposiciones establecidas en esta materia por la Ley Orgánica de Protección de Datos de Carácter Personal, antes referida”. Asimismo, el Departamento de Recaudación y Relaciones con el Contribuyente señaló en su informe de 09/11/2015 que “en ningún momento del desarrollo e implementación de la Oficina Virtual, pudo dar a la empresa responsable del desarrollo de la aplicación informática tales indicaciones de acceso (posibilidad de acceder a las mismas utilidades ofrecidas por el certificado digital introduciendo el DNI de otro contribuyente), precisamente porque, por su propio carácter, el acceso con certificado digital, se entiende reservado, en todo caso, a los datos de la persona jurídica o persona física que lo representa, y que está legitimada para acceder”. Igualmente, la entidad TECNOCOM emitió informe sobre la incidencia detectada señalando lo siguiente: “A primera hora del viernes 23 de octubre de 2015, nos comunican responsables de la Agencia Tributaria que aparece noticia en prensa de que accediendo cori un certificado digital a la oficina virtual de la Agencia Tributaria (la “Oficina Virtual”), e introduciendo el DNI o el CIF de cualquier contribuyente, se está pudiendo consultar información reservada de dichos contribuyentes, El equipo técnico de TECNOCOM y los técnicos de la Agencia intentan conjuntamente reproducir el problema sin éxito Mientras se realizan estas pruebas para identificar el problema, la Agencia Tributaria decide desactivar la Oficina Virtual, Tras varias horas de pruebas y comprobaciones se localiza, para el caso de los certificados de persona jurídica, un posible tratamiento similar al mencionado en la noticia, hecho que es confirmado por las pruebas realizadas por técnicos de la Agencia Tributaria. Inmediatamente se procedió al cambio de dicho tratamiento de acuerdo a las instrucciones de los responsables de la Agencia Tributaria, y se realizaron las pruebas para confirmar que se comportaba de forma adecuada. Una vez comunicadas a la gerente de la Agencia Tributaria las actuaciones realizadas para la resolución de la incidencia y constatado por ella misma y por la directora del Departamento de Recaudación y Relaciones con el Contribuyente el funcionamiento correcto de la Oficina Virtual, y bajo su petición expresa, se restableció el servicio sobre las 15:30 horas de ese mismo viernes 23 de octubre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/32 Sobre los motivos que han podido ocasionar esta situación, la información de la que dispone Tecnocom es la siguiente: 1- Hasta la fecha 3/10/2013, el certificado de persona jurídica tenía un comportamiento similar al de cualquier otro certificado de persona física En esa fecha se solicita por parte de la Gerencia de Urbanismo que para ese tipo de certificado de persona jurídica, se traten los datos de la empresa en lugar de los del representante, dejando además registrados los datos de este. 2.- Con fecha 9/10/2013, y como respuesta a la solicitud de la Gerencia de Urbanismo, quedó activado en producción lo solicitado en el tipo de certificado para la Gerencia de Urbanismo y se dejó desactivado para la Agencia Tributaria. 3.- Con fecha 19/8/2014, se recibe una petición por parte de la Agencia Tributaria, a través del gestor de trabajos “Mantis”, por la que se solicita a Tecnocom que dicho comportamiento, que estaba inactivo, pase a activo. Tecnocom procedió al cambio, y siguiendo el proceso establecido, lo puso a disposición de la Agencia Tributaria para su prueba y aceptación. 4,- Desde ese momento y hasta la fecha de la incidencia en cuestión, Tecnocom no ha tenido ninguna solicitud de cambio ni notificación alguna sobre el comportamiento de este certificado”. TERCERO: Con fecha 20/04/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Agencia Tributaria de Sevilla por la presunta infracción de los artículos 12.2 y 9 de dicha norma, tipificadas como leve y grave en los artículos 44.2.
16. d)y 44.3.
17. h)de la citada Ley Orgánica, respectivamente. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la entidad Agencia Tributaria de Sevilla solicitó el archivo del procedimiento de acuerdo con las consideraciones siguientes: . En relación con el primer incidente de seguridad, señala que no puede calificarse como una vulnerabilidad del sistema, aunque sí del formulario de acceso, y que el error no se produce en el diseño de los accesos a la Oficina Virtual, sino que es una incidencia técnica puntual causada por el mantenimiento de una codificación que sólo debía encontrase en el entorno de desarrollo, y que permitía el acceso, a través de Internet, a la Oficina Virtual, solicitando como única autenticación el Nif. Pero este acceso nunca fue directo ni generalizado, sino que solo se podía acceder al mismo utilizando unas palabras claves como criterios de búsqueda en determinados buscadores de internet. El citado incidente, que no pudo detectarse a través de los test de vulnerabilidades e intrusismo a los que son sometidas las aplicaciones web municipales, tuvo un impacto mínimo en cuanto al acceso a datos de contribuyentes, produciéndose la inmensa mayoría en el día en el que se hace pública la denuncia: el total de consultas de DNI realizadas ascienden a 105, desde marzo de 2015 hasta el 03/09/2015, que representa, teniendo en cuenta el número total de accesos a la Oficina Virtual, un 0,139%. . El segundo incidente de seguridad, que fue detectado y solucionado el 23/10/2015, tampoco puede calificarse como una vulnerabilidad del sistema, ya que el acceso se realiza mediante un proceso de validación y autenticación, a través de un certificado digital válido y reconocido, ni se considera un error en el diseño de esta aplicación, ya que la Agencia Tributaria en ningún momento del desarrollo e implementación de la Oficina Virtual pudo dar a la empresa responsable de dicho desarrollo tales indicaciones en el acceso. En todo caso, se entiende que el acceso a través de certificado está reservado a los datos de la persona que ostenta la titularidad del mismo. Por la misma razón, tampoco se puede calificar la incidencia como un error u omisión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/32 por parte de la empresa responsable, que no recibió indicación al respecto. Actualmente, la opción “Cambiar Contribuyente” se encuentra disponible para el personal de la Agencia y para los perfiles de “representantes” y “Colaboradores sociales” que han acreditado su condición de representantes o gestores administrativos, para evitar que deban repetir el proceso de autenticación cada vez que atiendan a un contribuyente distinto. . No existe a través de la opción “Contribuyente Certificado Digital de Persona Jurídica” un número de accesos elevados y se observa que los accesos de una misma persona jurídica a varios CIF coinciden con el carácter de administradores de las distintas empresas consultadas, o actúan en calidad de representantes. La empresa TECNOCOM ha informado que han accedido 27 certificados a 112 contribuyentes, en 134 días. El Departamento de Informática de la Agencia Tributaria ha comprobado que, de esos 27 certificados, 25 tenían habilitación para acceder, bien por ostentar el perfil Colaborador o representante o bien por ser administradores de las empresas sobre las cuales se ha realizado el acceso. Por lo que tan solo dos certificados fueron los que accedieron irregularmente a 46 contribuyentes durante este período, suponiendo en porcentaje un 0,034%. . En relación con el posible incumplimiento de lo establecido en el artículo 12.2 de la LOPD, señala que la prestación de servicios está formalizada mediante un contrato de prestación de servicios para la realización de trabajos de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación del Ayuntamiento de Sevilla (ALBA) durante los ejercicios 2013 2015 (con previsión de prórroga por dos años más), que fue suscrito el 27 de marzo de 2013, cuyas obligaciones, incluidas las que se refieren al cumplimiento de la LOPD, están descritas en el Pliego de Prescripciones Técnicas (apartado 2 referido a la obligación de cuidar la seguridad de la información). Posteriormente, con fecha 23/05/2016 se recibió un nuevo escrito de la Agencia Tributaria que aporta la resolución dictada por la Gerencia en el procedimiento de información reservada iniciado con motivo de los incidentes de seguridad objeto de las presentes actuaciones. En esta resolución se recoge el detalle de las informaciones aportadas al expediente, ya reseñadas, y resuelve considerar que el incidente de seguridad no se puede calificar como una vulnerabilidad del sistema ni como un error en el diseño de esta aplicación informática; que se produjo de forma involuntaria, que su repercusión fue mínima y se adoptaron de inmediato medidas preventivas y correctoras, dentro del marco del Plan de Actuación, en fase de desarrollo e implementación, que se ha puesto en marcha por parte de esta Agencia Tributaria en colaboración con TECNOCOM. Asimismo, se considera necesario cubrir la plaza de Director del Departamento de Informática de la Agencia Tributaria de Sevilla, ya que no existe ningún responsable que coordine el funcionamiento del Departamento ni existen el Director Funcional ni el Director Técnico del Proyecto, que son los que deben relacionarse con la empresa adjudicataria. Dicha resolución contiene una referencia al Plan de Actuación puesto en marcha con el propósito de no volver a incurrir en este tipo de disfuncionalidades, que engloba las medidas que constan reseñadas en el Hecho Probado Décimo. QUINTO: Con fecha 06/07/2016, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios las denuncias formuladas, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05706/2015, y por presentadas las alegaciones al acuerdo de inicio AP/00018/2016 formuladas por la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/32 Tributaria de Sevilla. Asimismo, por el instructor del procedimiento se acordó incorporar a las presentes actuaciones el escrito de alegaciones presentado por la entidad Tecnocom España Solutions, S.L. en el expediente PS/00166/2016, en el que pone de manifiesto lo siguiente: . Tal y como obra en el Expediente, ni el Contrato ni los Pliegos hacían referencia a la condición de encargado del tratamiento de TECNOCOM ni al acceso a datos de carácter personal de los que la ATS fuera responsable para la prestación de los servicios. A pesar de lo cual, el cumplimiento de las obligaciones objeto del Contrato sí ha generado el acceso ocasional de TECNOCOM a datos personales, razón por la cual está en disposición de suscribir un contrato de acceso a datos por cuenta de terceros en cumplimiento de lo establecido en el artículo 12 LOPD. No obstante, no tuvo acceso a datos de carácter personal en los hechos objeto del Acuerdo ni, en consecuencia, debió participar en la implementación de las correspondientes medidas de seguridad. . Invoca los principios de presunción de inocencia y de culpabilidad, señalando que su labor en sede de Oficina Virtual se redujo a la prestación de un servicio en su calidad de desarrollador de software para el cual no era necesario, por no estar dentro de sus atribuciones, el acceso a datos reales de carácter personal. Tal acceso y su posterior tratamiento, correspondía al Instituto Tecnológico del Ayuntamiento de Sevilla (“ITAS”) en tanto responsable (
18. i)de la puesta en funcionamiento de lo desarrollado en fase de prueba, (
19. ii)de la seguridad de acceso a la información contenida en la Oficina Virtual, así como (iii) de su ulterior custodia en sus instalaciones. Tanto la documentación obrante en el Expediente como las instrucciones dictadas por la ATS en relación con el desarrollo de la Oficina Virtual, incluidas las instrucciones concretas dictadas por la misma con motivo de las brechas de seguridad de las que trae causa el procedimiento, se desprende que no ha existido vulneración alguna por parte de TECNOCOM de las medidas de seguridad contenidas en los artículos 91 y 93 del RLOPD. Así, desde el momento en que TECNOCOM no requería de acceso a datos de carácter personal para el desarrollo del software en sede de Oficina Virtual, TECNOCOM no debía ni podía implementar las medidas en cuestión. Las brechas informáticas objeto del expediente se producen en el marco de las siguientes peticiones de la ATS relativas a desarrollos de software para el sistema Oficina Virtual, realizados por TECNOCOM siguiendo las instrucciones de la ATS en los términos indicados en el Contrato y los pliegos:. . Respecto a la Primera Brecha, debido a la incompatibilidad entre las nuevas versiones de los navegadores y el método de autenticación empleado hasta la fecha, la ATS solicito a TECNOCOM, a principios del año 2015, un cambio en el método de acceso a la Oficina Virtual, cambio que fue puesto por aquella en producción el 4 de marzo de 2015 . Respecto a la Segunda Brecha, las instrucciones/actuaciones que pudieron originarla fueron las siguientes: . Hasta el 03/10/2013, el certificado de persona jurídica tenía un comportamiento similar al de cualquier otro certificado de persona física. En esa, fecha se solicitó por parte de la Gerencia de Urbanismo que para ese tipo de certificado de persona jurídica, se traten los datos de la empresa en lugar de los del representante, dejando además registrados los datos de éste. . Con fecha 09/10/2013, y como respuesta a la solicitud de la Gerencia de Urbanismo, quedó activado en producción este tipo de certificado para la Gerencia de Urbanismo y se dejó desactivado para la Agencia Tributaria. . Con fecha 09/08/2014, se recibe una petición por parte de la Agencia Tributaria, a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/32 del gestor de trabajos “Mantis”, por la que ve solicita a TECNOCOM dicho comportamiento, que estaba inactivo, pase a activo. . TECNOCOM procedió al cambio, y siguiendo el proceso establecido, lo puso a disposición de la Agencia Tributaria para su prueba y aceptación. . Desde ese momento y hasta la fecha de la incidencia en cuestión, TECNOCOM no ha tenido ninguna solicitud de cambio ni notificación alguna sobre el comportamiento de este certificado. Tal es la metodología pactada por las partes en el apartado 2.3 del Pliego de Prescripciones en virtud del cual “todas las tareas de análisis, diseño y construcción necesarias para la implantación de los procesos desarrollados se efectuarán en base a normas metodológicas que defina el Servicio de Informática Municipal, y de acuerdo con las herramientas de desarrollo, y plataforma tecnológica, que dicho servicio considere, y sin perjuicio de lo expresado en el apartado de características técnicas del Sistema”. Respecto a la Oficina Virtual, TECNOCOM trabaja únicamente en un entorno de desarrollo en el que realiza labores de desarrollo de software en función de las instrucciones recibidas de la ATS y determinados tests de funcionamiento del software desarrollado, y que las pruebas de aceptación para su aprobación y la puesta en funcionamiento de los desarrollos de software en el entorno de producción (destino final de dichos desarrollos) son responsabilidad de la ATS. Así se indica en el Informe del Departamento de Informática de la ATS de 11/09/2015: “Aunque la página referenciaba (la dirección web https://www.servilla.org.................htm accesible solo a través de buscadores o introduciendo directamente el enlace) claramente el carácter de pruebas de su razón de ser, dado que en la misma aparecía la palabra Desarrollo apuntaba a la base de datos de producción, esto es, la real no la de pruebas”. Así, TECNOCOM procedió a realizar en ambos supuestos los oportunos desarrollos de software para su posterior aprobación y puesta en producción por la ATS, de nuevo en función de lo establecido en el apartado 4 del Pliego de Prescripciones, bajo el cual los Directores funcionales y técnicos del proyecto -personal de la ATS- tienen las responsabilidades que se detallan en el mismo. Es en este entorno de desarrollo en el que se produce un error de programación consistente en el mantenimiento, por error, del código causante de la Primera Brecha (tal y como consta en el Informe de TECNOCOM. Dicho código no debía existir en el entorno de producción, circunstancia que, por su complejidad, no es detectada por ninguna de las auditorías realizadas por TECNOCOM ni por el ITAS a través de los test de vulnerabilidades e intrusismo a los que se someten las aplicaciones web municipales. Sin embargo, no existe nexo causal alguno entra el citado error y la infracción del artículo 9.1 de la LOPD, en los términos descritos en el Acuerdo de apertura. Es la ATS junto con el ITAS quien pone en producción la solución tecnológica aprobada contra una base de datos personales que apunta a datos reales. Así, TECNOCOM es la empresa encargada del desarrollo de contenidos web para la Oficina Virtual y no la responsable de su explotación ni, por lo tanto, de la gestión de la seguridad de acceso de los usuarios ni de actividades adicionales relacionadas con su explotación como el suministro de infraestructura, administración y comunicaciones que dan soporte a dicha web, atribuciones ambas que corresponden, a juzgar por el contenido del informe de 11/09/2015 aportado por el ITAS, a este organismo en su calidad de encargado “del equipamiento de os C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/32 usuarios de la ATS y del diseño de las aplicaciones de gestión necesarias para su funcionamiento”. El informe confirma, asimismo, que el formulario en cuestión de la Oficina Virtual no pasó el correspondiente test de vulnerabilidades -competencia asimismo del ITAS- con carácter previo a su puesta en producción por no estar enlazado a ningún otro formulario de la Oficina Virtual. Es, asimismo, el ITAS el encargado de deshabilitar el acceso al formulario (así se establece en el citado informe de 11/09/2015 aportado por el ITAS en su calidad de responsable de la seguridad de acceso de la Oficina Virtual. En todo caso, señala TECNOCOM que está dando estricto cumplimiento a las obligaciones de confidencialidad contenidas en el apartado 5.4 del Pliego de Prescripciones, si bien se circunscriben exclusivamente a los trabajos llevados a cabo como parte de la prestación de servicios y no a datos de carácter personal, y a todas las obligaciones derivadas del artículo 12 LOPD, cual seguir las instrucciones del responsable del tratamiento, no tratar los datos para otra finalidad, no comunicarlos a terceros y custodiarlos con las debidas medidas de seguridad para su devolución, en caso de así ser solicitado, a la finalización de la prestación de servicios. Finalmente, reitera que llevó a cabo actuaciones de mero desarrollador de software de la Oficina Virtual, que no requerían el acceso a datos de carácter personal, correspondiendo tal acceso así como la implementación de las oportunas medidas de seguridad a la ATS para la efectiva puesta en producción del software. Así, en ningún momento, se trasladó a TECNOCOM la obligación de adoptar medidas de seguridad específicas durante el desarrollo de la Oficina Virtual ni TECNOCOM tuvo acceso consciente a datos de carácter personal. SÉXTO: Con fecha 20/09/2016, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se declare que la entidad Agencia Tributaria de Sevilla ha infringido lo dispuesto en los artículos 9 y 12.2 de la LOPD, tipificadas como grave y leve en los artículos 44.3.
20. h)y 44.2.
21. d)de la misma norma, respectivamente; que se declare que dicha entidad ha adoptado las medidas adecuadas para la identificación y autenticación de los ciudadanos que acceden a su sistema de información, por lo que no procede instar la adopción de medidas correctoras en relación con el incumplimiento de lo establecido en el citado artículo 9 de la LOPD; y que se acuerde requerir a la misma para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 12.2 de la citada Ley Orgánica, en aquellos supuestos en los que se encargue a una entidad tercera la prestación de un determinado servicio que conlleve el acceso por ésta a datos de carácter personal. Se propuso, asimismo, que se comunique la Resolución que se adopte al Defensor del Pueblo. SÉPTIMO: Notificada la citada propuesta, con fecha 18/10/2016 se recibe escrito de alegaciones de la Agencia Tributaria de Sevilla en el que señala lo siguiente: . Con fecha 14/07/2016 ha formalizado con la entidad TECNOCOM un “Contrato de acceso a datos de carácter personal” que incluye las previsiones del artículo 12 de la LOPD, incluidas las medidas de seguridad que está obligado a cumplir el encargado del tratamiento (incluye en su escrito una transcripción de las estipulaciones del contrato en las que así se conviene). . Ha dispuesto, como medida de orden interno, la incorporación como anexo a los pliegos de cláusulas administrativas particulares del “Contrato de acceso a datos de carácter personal”, que ha de ser formalizado por el adjudicatario de manera simultánea a la firma el contrato administrativo. . En relación con la infracción del artículo 9 de la LOPD, reitera que adoptó las medidas técnicas y organizativas necesarias dirigidas a la corrección, restablecimiento y mantenimiento ulterior de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/32 la seguridad de los datos. Detalla las medidas adoptadas que ya constan en las actuaciones y añade que en junio de 2016 ha sido cubierta la plaza de Dirección del Departamento de Informática que se encontraba vacante. Asimismo, señala que se han realizado auditorías de seguridad por parte de una empresa externa, cuyo resultado ha sido incorporado al Plan de Mejora de la Oficina Virtual. HECHOS PROBADOS 1. La Agencia Tributaria de Sevilla es un organismo autónomo del Ayuntamiento de Sevilla. Esta Agencia dispone de personal propio, que se encarga del diseño de las aplicaciones de gestión necesarias para su funcionamiento, estando subcontratadas las tareas de desarrollo y mantenimiento de estas aplicaciones con empresas externas. 2. La Agencia Tributaria de Sevilla cuenta con un Sistema de Gestión Tributaria y de Recaudación (ALBA), desarrollado en el año 2000, el cual tiene habilitada una Oficina Virtual que permite al ciudadano el acceso a los datos tributarios utilizando certificado digital o número DNI, junto con otra información específica del trámite a realizar (número de matrícula, expediente, referencia catastral, importe….). Dicho organismo tiene como competencia la implantación, mejora y actualización del citado Sistema en todas sus áreas de gestión tributaria, inspección, tesorería, contabilidad, multas y recaudación. 3. El Consejo del Instituto Tecnológico el Ayuntamiento de Sevilla, en sesión celebrada el 19 de Noviembre de 2014, aprobó el nombramiento del Comité para la Gestión y Coordinación de la Seguridad de la Información del Ayuntamiento de Sevilla. Dentro de dicho Comité, se nombró como Responsable de la Seguridad de la Agencia Tributaria de Sevilla al Gerente de la misma y como Responsable del Sistema al Jefe de Sección de Informática de la citada Agencia. 4. Para llevar a cabo las necesarias adaptaciones a la normativa, así como para incorporar nuevas prácticas de gestión y nuevas funcionalidades, la Agencia Tributaria de Sevilla suscribió con la empresa TECNOCOM un contrato de servicios, de fecha 27/03/2013, para “la ejecución de trabajos de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación (ALBA) durante los ejercicios 2013-2015”. Forman parte integrante de dicho contrato el Pliego de Cláusulas Administrativas Particulares y el Pliego de Prescripciones Técnicas que rigen la contratación, cuyo contenido consta reseñado en parte en el Antecedente Segundo. Se declara reproducido en este Hecho Probado el contenido de estos Pliegos, especialmente en lo relativo a la ejecución del contrato y a la organización del trabajo. Ninguno de los documentos citados hace referencia a lo estipulado en el artículo 12 de la LOPD. En relación con esta cuestión, el Departamento de Administración de la Agencia Tributaria de Sevilla informó que “este contrato, como cualquier otro de esta naturaleza este sujeto a lo dispuesto por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Debido al hecho de que esta ley establece con precisión todas las determinaciones relativas a la protección de los datos y la seguridad de los sistemas de información, no se añadieron obligaciones específicas para el contratista en los pliegos del contrato”. 5. En ejecución del contrato reseñado en el Hecho Probado Cuarto, con fecha de 04/03/2015, se procedió a la implantación –puesta en producción- de una modificación del método de acceso a la Oficina Virtual de la Agencia Tributaria de Sevilla utilizando certificado digital, motivado por la necesidad de la adecuación a las diferentes versiones de los navegadores y la diferente versión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/32 del reconocimiento de certificado digital emitido por la Fábrica Nacional de Moneda y Timbre. En la puesta en producción se mantuvo un programa que solo debía de existir en el entorno de desarrollo, el cual mostraba un formulario de entrada a la Oficina Virtual (entradaContribuyente.htm) que solicitaba como única autenticación el número de NIF o CIF del contribuyente. Este formulario estaba disponible a través de Internet, si bien no se permitía su acceso directamente desde la página de inicio de la Oficina Virtual. Solo se podía acceder al mismo utilizando unas palabras claves como criterios de búsqueda en buscadores de Internet Google, Yahoo…, o directamente conociendo la dirección web https://www.sevilla.or..........htm. Al registrar un NIF como autenticación se accedía a todos los datos tributarios del contribuyente. 6. Con fechas 07/09/2015 y 16/09/2015, se recibieron sendos escritos de las entidades FACUA y CIUDADANOS SEVILLA, en los que se pone de manifiesto que, a través de la web de la Oficina Virtual de la Agencia Tributaria de Sevilla, introduciendo un número de DNI, se podía acceder a toda la información de su titular: datos personales, impuestos, multas, etc. CIUDADANOS SEVILLA aportó impresión de pantalla con el resultado del acceso a la web https://www.sevilla.org a través de la búsqueda “agencia tributaria de Sevilla indique el nif de la persona”, realizada utilizando el buscador Google, que ofrece como resultado un enlace a la Oficina Virtual de la Agencia Tributaria de Sevilla, a la URL https://www.servilla.org.................html. Asimismo, aportó impresión de pantalla con el detalle de los datos personales a los que se tiene acceso al introducir un número de DNI (nombre y apellidos de los contribuyentes, domicilio, deudas pendientes, tributos y expedientes a los que corresponden, números de recibos, cuentas bancarias, matrículas de vehículos…). Estas comprobaciones constan diligenciadas notarialmente. 7. Con fechas 04 y 09/09/2015, por los Servicios de Inspección de la AEPD se realizaron diversas consultas a través de la Oficina Virtual de la Agencia Tributaria de Sevilla, no obteniéndose constancia sobre la posibilidad de acceder a datos de los contribuyentes introduciendo únicamente el dato relativo al DNI. En todos los casos, para el acceso a la información de que se trate, además del NIF/CIF se requiere la introducción de otros datos: para la consulta de recibo de Impuesto de bienes inmuebles, de naturaleza rústica o urbana, deben introducirse los valores en “Referencia catastral” y “Valor catastral”; para el Impuesto de Actividades Económicas, la “Referencia censal”; para la consulta de recibo de Impuesto de Vehículos de Tracción Mecánica, la “Matrícula del vehículo”; para la consulta de recibos de Tasas, el “Número de Expediente”; para la consulta de multas, la “Matrícula del Vehículo”, el “Expediente” y “Boletín”; etc. 8. Con fecha 23/10/2015, se produjo un nuevo incidente de seguridad en el sistema de información de la Agencia Tributaria de Sevilla: una vez se había accedido a la oficina Virtual con un Certificado Digital de Persona Jurídica válido, bastaba con acceder al formulario y teclear el DNI/CIF del contribuyente deseado para que la aplicación mostrara los datos del mismo, sin hacer más comprobaciones ni solicitar ningún tipo de autenticación mediante certificados que acreditaran que el demandante de Información era realmente la persona a la que se referían los datos mostrados. El fallo consistía en que la aplicación permitía a un usuario debidamente autenticado mediante Certificado Digital, cambiar el objeto de su consulta introduciendo otros DNI/CIF, sin que la aplicación exigiera una nueva autenticación. 9. La entidad TECNOCOM informó que la incidencia reseñada en el Hecho Probado Octavo se produjo al realizar una modificación solicitada por la Gerencia de Urbanismo el 03/10/2013, para que el certificado de persona jurídica permita tratar los datos de la empresa en lugar de los del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/32 representante. Esta modificación quedó activada en producción el 09/10/2013, pero se dejó desactivada para la Agencia Tributaria de Sevilla. Posteriormente, en agosto de 2014, el acceso a la Oficina Virtual mediante ese certificado fue puesto en producción. Según TECNOCOM procedió al cambio, y siguiendo el proceso establecido, lo puso a disposición de la Agencia Tributaria para su prueba y aceptación. 10. La Gerencia de la Agencia Tributaria de Sevilla dictó resolución en el procedimiento de información reservada iniciado con motivo del incidente de seguridad reseñado, acordando considerar que el incidente de seguridad no se puede calificar como una vulnerabilidad del sistema ni como un error en el diseño de esta aplicación informática; que se produjo de forma involuntaria, que su repercusión fue mínima y se adoptaron de inmediato medidas preventivas y correctoras, dentro del marco del Plan de Actuación, en fase de desarrollo e implementación, que se ha puesto en marcha por parte de esta Agencia Tributaria en colaboración con TECNOCOM. Asimismo, se declara necesario cubrir la plaza de Director del Departamento de Informática de la Agencia Tributaria de Sevilla, ya que no existe ningún responsable que coordine el funcionamiento del Departamento ni existen el Director Funcional ni el Director Técnico del Proyecto, que son los que deben relacionarse con la empresa adjudicataria. Dicha resolución contiene una referencia al Plan de Actuación puesto en marcha con el propósito de no volver a incurrir en este tipo de disfuncionalidades, que engloba las siguientes medidas: <<Revisión por parte de la empresa Tecnocom España Solutions, SL de los distintos “ACCESOS” a la Oficina Virtual, teniendo en cuenta los accesos con Certificado Digital Persona Física y Jurídica, en relación con los distintos perfiles de “Colaborador”, “Representante” “Atención Contribuyente”. Revisión por parte de la Agencia Tributaria de los “CONTENIDOS” de la Oficina Virtual, en relación a los distintos accesos y perfiles. Asimismo, se ha observado una carencia importante en la estructura del Departamento de Informática de esta Agencia, puesto que se encuentra desdotada la plaza de Director del Departamento, no existiendo, por tanto, ningún responsable que coordine el funcionamiento del mismo, máxime cuando en el pliego de prescripciones para la contratación de la ejecución de trabajos de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación ALBA, esta Agencia debe designar, para la organización de los trabajos, un Director Funcional del Proyecto y un Director Técnico, que son los que deben relacionarse con la empresa adjudicataria, en este caso Tecnocom España Solutions. Tanto el Director Funcional como el Director Técnico del Proyecto, que no existen, tienen, entre otras funciones, las de dirigir, supervisar y coordinar la realización y desarrollo de los trabajos; decidir sobre la aceptación de las modificaciones técnicas y funcionales que se propongan así como velar por el nivel de calidad de los trabajos, revisando y comprobando los mismos. Es por ello, por lo que enmarcado en una mejora del servicio que se presta a los ciudadanos y para evitar incidencias futuras, se hace necesario cubrir la plaza de Director del Departamento de Informática de la Agencia Tributaria de Sevilla, dada la complejidad de los trabajos que se abordan en el Sistema ALBA, que son de vital importancia para la gestión de los ingresos del Ayuntamiento de Sevilla>>. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
22. g)en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/32 artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
23. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
24. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido (nombre y apellidos de los contribuyentes, domicilio, deudas pendientes, tributos y expedientes a los que corresponden, números de recibos, cuentas bancarias, matrículas de vehículos…), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El artículo 12 de la LOPD estipula lo siguiente: “Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/32 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” De la lectura del citado artículo 12 se deduce que, para que concurra la figura del “acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado contrato permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de un abanico de garantías para los afectados que el propio artículo 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos, para lo cual se exige que conste en un contrato. A este respecto, el artículo 12 impone un requisito formal por cuanto el contrato debe constar escrito o, en todo caso, debe acreditarse formalmente su celebración. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación, que conste por escrito o en cualquier otra forma que permita acreditar su celebración y contenido, que deberá especificar las circunstancias previstas por los apartados 2 y 3 del citado precepto. Así lo ha recordado la Audiencia Nacional, en su Sentencia de 19 de noviembre de 2003, en la que se señala que “Para tener la condición legal de encargado del tratamiento, al que por cierto le es de aplicación el régimen sancionador que establece la Ley Orgánica 15/1999, según dispone el artículo 43.1 de la expresada Ley, es necesario cumplir una serie de exigencias necesarias, que operan a modo de garantías, establecidas en el artículo 12 de la Ley Orgánica 15/1999. Así es, cuando el tratamiento se realice por cuenta de un tercero debe constar “por escrito o en alguna otra forma que permita acreditar su celebración y contenido”, por lo que no basta con acreditar que existe una relación jurídica entre el responsable del fichero y el encargado del tratamiento, sino que ésta ha de constar por escrito o por otra forma que permita acreditar su “celebración y contenido”. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo) y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3). Las garantías a que se hace referencia son las expresamente exigidas por el artículo 12 de la LOPD. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/32 personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo), y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3).” Esta exigencia es congruente con el sistema de protección de la LOPD ya que, sin consentimiento ni conocimiento de los afectados, se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. En segundo lugar, el artículo 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En tercer lugar se impone como garantía para los afectados que no puedan producirse tratamientos ulteriores de dichos datos, al establecer rotundamente el mismo artículo que el encargado del tratamiento no podrá comunicarlos ni siquiera para su conservación a otras personas. En este caso, la prestación de servicios que la Agencia Tributaria de Sevilla encargó a TECNOCOM se encuadra en la situación prevista en el referido artículo 12 de la LOPD. Conforme a la citada normativa, la sociedad TECNOCOM interviene en los hechos en su condición de encargado de tratamiento, por virtud del contrato suscrito por la Agencia Tributaria de Sevilla para “la ejecución de trabajos de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación (ALBA) durante los ejercicios 2013-2015”, siendo ésta última la responsable del fichero o tratamientos, por cuanto tiene el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Para analizar esta cuestión, debe partirse de los conceptos de responsable del tratamiento y encargado del tratamiento, que se definen en el artículo 3 de la LOPD: “
25. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
26. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el mismo sentido, el artículo 5.1.
27. i)del Reglamento de desarrollo de la LOPD define al encargado del tratamiento como
28. i)“La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. La figura del encargado del tratamiento se ajusta a la actividad desarrollada en este caso por TECNOCOM. Dicha figura está regulada por el artículo 12 de la LOPD y en ella tienen cabida aquellos supuestos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad, restituyendo los datos al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/32 responsable una vez concluida la prestación contratada con aquél. Por el contrario, no se ajustarán a dicho concepto aquellos casos en los que la persona o entidad que reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que convertirá a dicha persona o entidad, a su vez, en un responsable del fichero o tratamiento. Conforme a lo dispuesto en el artículo 12 de la LOPD y en el artículo 20 del Reglamento de desarrollo de dicha Ley Orgánica, el acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la citadas normas salvo que el acceso “tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado”. De este modo, la existencia de un encargado del tratamiento vendrá delimitada por la concurrencia de dos características derivadas de la normativa anteriormente citada: la imposibilidad de decisión sobre la finalidad, contenido y uso del tratamiento y la inexistencia de una relación directa entre los afectados y el encargado, que deberá en todo caso obrar en nombre y por cuenta del responsable como si la relación fuese entre éste y el afectado. En los casos en que una Administración contrata la prestación de un servicio con un tercero, para delimitar los supuestos en los que el adjudicatario tendrá la condición de responsable o encargado del tratamiento deberá partirse, precisamente, de la propia naturaleza del contrato y de las consecuencias de su celebración, en el sentido de determinar si de la adjudicación se derivará el nacimiento de una relación directa entre quien gestiona el servicio público y el administrado que hace uso de tal servicio. Si los organismos o entidades colaboradoras se limitan a realizar el acto material de tratamiento sin desarrollar una función o actividad propia ocuparán la posición jurídica de encargado del tratamiento. En este caso, la entidad TECNOCOM se encarga de la ejecución de trabajos de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación (ALBA), sin que de ello resulte una relación que vincule a TECNOCOM con los usuarios de la Oficina Virtual de la Agencia Tributaria de Sevilla. La citada Agencia es quien ostenta la condición de responsable del fichero, no pudiendo ser la entidad prestadora del servicio TECNOCOM más que una encargada del tratamiento. TECNOCOM accede a los datos de los contribuyentes usuarios del sistema con la única finalidad de prestar un servicio a la Agencia Tributaria de Sevilla, no pudiendo utilizarlos para ninguna otra actividad y debiendo tratarlos conforme a las instrucciones del responsable del tratamiento. Asimismo, deberá devolver los datos a los que accede una vez concluida la prestación del servicio. La propia Agencia Tributaria de Sevilla, a través de su Departamento de Administración, ha reconocido que el contrato suscrito con TECNOCOM está sometido a la LOPD. En consecuencia, la relación jurídica que vincula a la Agencia Tributaria de Sevilla y a TECNOCOM exige la formalización de un contrato de encargado del tratamiento que cumpla las exigencias previstas en el artículo 12 de la LOPD antes reseñadas. El contenido de ese encargo del tratamiento regulado en el apartado 2 del citado artículo puede incorporarse en los documentos preparatorios de la contratación, como el Pliego de Cláusulas Administrativas Particulares o el Pliego de Prescripciones Técnicas, al propio contrato que se suscribe o puede constar por separado en un documento elaborado con esta concreta finalidad. En el presente caso, existe constancia formal sobre la relación jurídica que vincula a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/32 Agencia Tributaria de Sevilla y a TECNOCOM, que ampara el acceso por parte de ésta a los datos personales de contribuyentes, por virtud del contrato suscrito, pero la documentación formalizada no contiene ninguna referencia al artículo 12 de la LOPD, incumpliendo las obligaciones establecidas en relación al contenido del contrato de encargado del tratamiento. A este respecto, la Sentencia del Tribunal Supremo de 17/04/2007 declaró lo siguiente: “… lo que necesariamente exige una forma que refleje y deje constancia no sólo de su celebración sino de su contenido, que incluso se especifica en sus cláusulas imprescindibles en el propio precepto. Tal exigencia responde a la finalidad de la norma de garantizar que el acceso de terceros a los datos de carácter personal, objeto de tratamiento automatizado, se produzca únicamente en los casos y con las limitaciones legalmente establecidas, plasmándose las condiciones, finalidad y alcance de la cesión de forma que resulte controlable en su desarrollo y cumplimiento”. IV El artículo 44.2.
29. d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, considera infracción leve: “La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley.” En el presente procedimiento se imputa a la entidad Agencia Tributaria de Sevilla una infracción del artículo 12.2 de la LOPD, que aparece tipificado como infracción leve en el mencionado artículo 44.2.d), que resulta de la falta de instrucciones a TECNOCOM, en particular respecto a las medidas de seguridad que debía adoptar como encargada del tratamiento, y el resto de circunstancias previstas en aquel artículo, en relación con la prestación de servicios de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación (ALBA) al que se obligó esta entidad en virtud del contrato de servicios suscrito por ambas entidades en fecha 27/03/2013. V El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” VI Se imputa a la entidad Agencia Tributaria de Sevilla el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/32 “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
30. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
31. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
32. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
33. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/32
34. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
35. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
36. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad TECNOCOM, pertenecientes a los contribuyentes del Ayuntamiento de Sevilla, correspondiendo adoptar las calificadas de nivel medio, teniendo en cuenta el tipo de datos que incluye, tal como se especifica en los artículos 80 y 81.2.
37. c)del Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/32 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
38. b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, como responsable del fichero, la entidad Agencia Tributaria de Sevilla está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En relación con el Sistema de Gestión Tributaria y de Recaudación (ALBA), y con la Oficina Virtual que tiene habilitada dicho sistema para posibilitar al ciudadano el acceso a sus datos tributarios, la citada Agencia tiene competencia para la implantación, mejora y actualización del mismo en todas sus áreas de gestión tributaria, inspección, tesorería, contabilidad, multas y recaudación, disponiendo de personal propio encargado del diseño de las aplicaciones de gestión necesarias para su funcionamiento. Las tareas de desarrollo y mantenimiento de estas aplicaciones se contratan con empresas de servicios externas. Por otra parte, la Gerencia de la Agencia Tributaria de Sevilla tiene asignada la función de Responsable de la Seguridad de la información del Ayuntamiento de Sevilla, y el Jefe de Sección de Informática de la citada Agencia la de responsable del sistema. En este marco, para incorporar nuevas prácticas de gestión y nuevas funcionalidades al Sistema ALBA, la Agencia Tributaria de Sevilla suscribió con la empresa TECNOCOM un contrato de servicios, de fecha 27/03/2013, para “la ejecución de trabajos de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación (ALBA) durante los ejercicios 20132015”. De acuerdo con lo estipulado en este contrato, corresponde a la Agencia Tributaria de Sevilla aprobar el programa de trabajo que presente el contratista y constatar la correcta ejecución del contrato, determinando si la prestación realizada por el contratista se ajusta a las prescripciones establecidas para su ejecución y cumplimiento, y requiriendo, en su caso, la realización de las prestaciones contratadas y la subsanación de los defectos observados con ocasión de la recepción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/32 La Agencia Tributaria de Sevilla y los servicios afectados definen los objetivos funcionales de cada aplicación, y el Servicio de Informática Municipal las líneas técnicas y la metodología. Asimismo, dicha Agencia designa para este contrato al Director Funcional y el Servicio de Informática Municipal al Director Técnico del proyecto, que a través de las reuniones de trabajo que se establezcan periódicamente con el jefe del proyecto de TECNOCOM, ordenarán al mismo la realización de labores de desarrollo, mantenimiento, producción o apoyo a usuarios. Estos directores funcional y técnico del proyecto, de acuerdo con lo establecido en el Pliego de Prescripciones que rige la contratación, asumen las funciones y responsabilidades siguientes: . Dirigir, supervisar y coordinar la realización y desarrollo de los trabajos, en función de su alcance respectivo. En especial el director técnico deberá decidir y establecer los aspectos técnicos (herramientas de software, distribución del software, cambio de la estructura o el diseño de la base de datos, diseños técnicos, etc.). . Aprobar y comunicar conjuntamente al Jefe de Proyecto los contenidos de los trabajos para su realización. . Velar conjuntamente por el nivel de calidad de los trabajos, revisando y comprobando los mismos. . Decidir sobre la aceptación de las modificaciones técnicas y funcionales propuestas por el Jefe del Proyecto a lo largo del desarrollo de los trabajos. Asegurar el seguimiento del Programa de realización de los trabajos. . Aprobar conjuntamente los resultados y certificaciones parciales y totales de la realización de los proyectos. A estos efectos deberán recibir y analizar los resultados y documentación elaborados a la finalización de cada etapa, pudiendo introducir las modificaciones o correcciones oportunas antes del comienzo de las siguientes, requiriéndose su aprobación final. VII En este caso, sin embargo, ha quedado acreditado que la Agencia Tributaria de Sevilla incumplió la obligación de garantizar la seguridad de los datos, por cuanto no impidió de manera fidedigna que por parte de terceros se pudiera acceder a datos personales de los contribuyentes. En concreto, consta acreditado que en marzo de 2015, en ejecución del contrato reseñado se modificó el método de acceso a la Oficina Virtual y, en la puesta en producción, se mantuvo un programa que solo debía de existir en el entorno de desarrollo, el cual mostraba un formulario de entrada a la Oficina Virtual (entradaContribuyente.htm) que solicitaba como única autenticación el número de NIF o CIF del contribuyente, el cual estaba disponible en Internet, a través de buscadores, o directamente conociendo la dirección web https://www.sevilla.or..........htm. Al registrar un NIF como autenticación se accedía a todos los datos tributarios del contribuyente (nombre y apellidos de los contribuyentes, domicilio, deudas pendientes, tributos y expedientes a los que corresponden, números de recibos, cuentas bancarias, matrículas de vehículos…). El número de DNI no puede utilizarse como único dato de control para identificar y autenticar al usuario del sistema. Este mecanismo de acceso a la información contenida en el sistema ALBA, incluidos los datos personales registrados, no cumple las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto permite que un tercero pueda acceder al sistema con la mera indicación del número de DNI de un contribuyente, sin que el sistema lleve a cabo ningún proceso de verificación de la identidad de la persona que accede (autenticación), para comprobar que efectivamente los datos accedidos corresponden a la persona que realiza la consulta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/32 Posteriormente, con fecha 23/10/2015, se produjo un nuevo incidente de seguridad en el sistema de información de la Agencia Tributaria de Sevilla. Según consta en el Hecho Probado Octavo, una vez se había accedido a la oficina Virtual con un Certificado Digital de Persona Jurídica válido, bastaba con acceder al formulario y teclear el DNI/CIF del contribuyente deseado para que la aplicación mostrara los datos del mismo, sin hacer más comprobaciones ni solicitar ningún tipo de autenticación mediante certificados que acreditaran que el demandante de Información era realmente la persona a la que se referían los datos mostrados. El fallo consistía en que la aplicación permitía a un usuario debidamente autenticado mediante Certificado Digital, cambiar el objeto de su consulta introduciendo otros DNI/CIF, sin que la aplicación exigiera una nueva autenticación. La entidad TECNOCOM informó que esta incidencia reseñada en el Hecho Probado Octavo se produjo al realizar una modificación solicitada por la Gerencia de Urbanismo el 03/10/2013, para que el certificado de persona jurídica permita tratar los datos de la empresa en lugar de los del representante. Esta modificación se dejó desactivada para la Agencia Tributaria de Sevilla hasta que, en agosto de 2014, el acceso a la Oficina Virtual mediante ese certificado fue puesto en producción. Por tanto, el mecanismo de control de acceso a la información implantada en el sistema resultó deficiente, incumpliendo las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios según la naturaleza y el nivel de seguridad asignado al fichero en cuestión. Los datos personales de los contribuyentes eran accesibles desde la zona habilitada para los mismos, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas de manera que se evitase el acceso por terceros no autorizados, por lo que resulta vulnerado el artículo 9 de la LOPD. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que el la Agencia Tributaria de Sevilla ha incurrido en la infracción grave descrita, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad. Incluso ha quedado acreditado que no se encontraba cubierto el puesto de Director del Departamento de Informática, responsable del sistema de información, y no designaron a los directores funcional y técnico que debían relacionarse con la empresa prestadora del servicio de mantenimiento del Sistema ALBA, con las funciones y responsabilidades reseñadas. VIII En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/32 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Por otra parte, ha de señalarse que es la entidad Agencia Tributaria de Sevilla la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. IX El artículo 44.3.
39. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que la Agencia Tributaria de Sevilla ha incurrido en la infracción grave descrita. X En el presente caso, la entidad Agencia Tributaria de Sevilla ha justificado ante esta Agencia haber adoptado medidas dirigidas a subsanar las deficiencias formales que han motivado el procedimiento, habiéndose formalizado con la entidad TECNOCOM, adjudicataria del servicio de mantenimiento del Sistema Integrado de Gestión Tributaria y de Recaudación del Ayuntamiento de Sevilla (ALBA), un “Contrato de acceso a datos de carácter personal” que incluye las previsiones del artículo 12 de la LOPD, incluidas las medidas de seguridad que está obligado a cumplir la prestadora de del servicio como encargado del tratamiento; y ha dispuesto que dicho contrato de acceso a datos personales se incorpore como anexo a los pliegos de cláusulas administrativas particulares para que sea formalizado por los adjudicatarios de manera simultánea a la firma de los contratos administrativos. Se entiende, por tanto, que la Agencia Tributaria de Sevilla ha adoptado las medidas adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 12.2 de la LOPD. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/32 incidencias similares. Por otra parte, en relación con el primer incidente de seguridad, según el cual existía una posibilidad de acceso al sistema de información mediante el DNI del contribuyente, con posterioridad por los Servicios de Inspección de la AEPD se realizaron diversas consultas a través de la Oficina Virtual de la Agencia Tributaria de Sevilla, comprobando que en todos los casos, para el acceso a la información de que se trate, además del NIF/CIF se requiere la introducción de otros datos: para la consulta de recibo de Impuesto de bienes inmuebles, de naturaleza rústica o urbana, deben introducirse los valores en “Referencia catastral” y “Valor catastral”; para el Impuesto de Actividades Económicas, la “Referencia censal”; para la consulta de recibo de Impuesto de Vehículos de Tracción Mecánica, la “Matrícula del vehículo”; para la consulta de recibos de Tasas, el “Número de Expediente”; para la consulta de multas, la “Matrícula del Vehículo”, el “Expediente” y “Boletín”; etc. En relación con la brecha de seguridad producida en fecha 23/10/2015, consta acreditado que el mismo día se procedió a su corrección. Además, se han realizado auditorías a las web del Ayuntamiento de Sevilla y aprobado un Plan de Actuación para que no vuelvan a producirse este tipo de incidencias, cuyo detalle consta reseñado en el Hecho Probado Décimo. Contempla, entre otras medidas, cubrir la plaza de Director del Departamento de Informática (ya cubierta en junio de 2016) y la designación de los directores funcionales y técnico del proyecto que dirijan y supervisen los trabajos de adecuación del Sistema ALBA. Por tanto, se entiende que la Agencia Tributaria de Sevilla ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad AGENCIA TRIBUTARIA DE SEVILLA ha infringido lo dispuesto en el artículo 12.2 de la LOPD, tipificada como leve en el artículo 44.2.
40. d)de dicha norma. SEGUNDO: DECLARAR que la entidad AGENCIA TRIBUTARIA DE SEVILLA ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
41. h)de dicha norma. TERCERO: DECLARAR que la entidad AGENCIA TRIBUTARIA DE SEVILLA ha adoptado medidas adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 12 de la LOPD similar a la examinada en el presente procedimiento, habiendo dispuesto la formalización de un “Contrato de acceso a datos de carácter personal” que deberán suscribir las entidades prestadoras de servicios que conlleven el acceso a tales datos, por lo que no procede instar la adopción de medidas correctoras. CUARTO: DECLARAR que la entidad AGENCIA TRIBUTARIA DE SEVILLA ha adoptado medidas para la identificación y autenticación de los ciudadanos que acceden a su sistema de información, adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/32 por lo que no procede instar la adopción de medidas correctoras. QUINTO: NOTIFICAR la presente resolución a las entidades AGENCIA TRIBUTARIA DE SEVILLA, ASOCIACION DE CONSUMIDORES Y USUARIOS EN ACCION DE SEVILLA (FACUA) y GRUPO MUNICIPAL CIUDADANOS SEVILLA. SEXTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es