1/13 Procedimiento Nº AP/00019/2018 RESOLUCIÓN: R/01475/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00019/2018, instruido por la Agencia Española de Protección de Datos a la DIRECCIÓN PROVINCIAL SEPE ***LOCALIDAD.1, (MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL), vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3/10/2017 tuvo entrada en la AEPD una denuncia de A.A.A., responsable de la Sección Sindical de ***SINDICATO.1 en el Servicio Público de empleo en ***LOCALIDAD.1 y funcionario de la AGE (en lo sucesivo el denunciante) contra la DIRECCIÓN PROVINCIAL DEL SERVICIO PÚBLICO DE EMPLEO ESTATAL EN ***LOCALIDAD.1, por:
- a)Tener operativas dos bases de datos con datos personales que carecen de disposición reguladora y de autorización y se manejan de forma paralela a la unidad de informatica de la provincia. Una, derivada del servicio autorizado de grabación de llamadas a la Unidad de atención telemática en la provincia (RATEL) donde existe una aplicación que genera “diariamente”, “una base de datos” que se plasma en hojas Excel diarias. Se extraen de cada llamada, datos como documentos de identidad, números de teléfonos y otros parámetros, que tratan de obtener una información concisa sobre la gestión de los usuarios. Esta base de datos “se lleva obteniendo durante años”, “persistiendo el almacenamiento en papel de estos datos.” La otra, contiene datos personales sobre perceptores de prestaciones, se genera mensualmente en Access. SEGUNDO: Con su denuncia, el denunciante no aporta documento alguno, por lo que el 9/10/2017 se resuelve la no iniciación de procedimiento. Frente a la misma, el denunciante el 13/11/2017 interpuso recurso de reposición, en el que aportó:
- a)Un escrito de la Inspección General de Servicios dirigido al Delegado Sindical ***SINDICATO.1, y al denunciante, como miembro de la Junta Personal Servicios Periféricos en ***LOCALIDAD.1 de 16/10/2017. En el escrito se manifiesta: -“En relación con su escrito del pasado 27/03 por el que se denuncia ante esta Inspección General de servicios…la existencia de determinadas irregularidades en base a la existencia de bases de datos que podrían vulnerar la LOPD…”, “se ha solicitado información a la Dirección General del Servicio Público de Empleo Estatal quienes tras las averiguaciones correspondientes nos han remitido con fecha 26/09 un informe en el que …””Respecto de la existencia de bases de datos que podrían vulnerar la LOPD y tras la visita de la Inspección de servicios del SEPE y de la auditoría llevada a cabo por el Área de Seguridad y Logística de la Subdirección General de las Tecnologías de la información del SEPE, se ha constatado la existencia de dos ficheros de trabajo a los que no se aplica de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 manera eficiente la seguridad exigida por la LOPD, si bien en la actualidad se han cumplido con todas las medidas de seguridad por dicha área”. El recurso de reposición fue estimado por la AEPD el 5/12/2017 en el sentido de iniciar actuaciones previas por los hechos denunciados. TERCERO: Con fecha 22/01/2018 se solicitó a la Inspección General de Servicios del Ministerio de Empleo y Seguridad Social que informara de la Inspección y del resultado de la auditoría que se mencionaba en el escrito de 16/10/2017 aportado por el denunciante. Con fecha 15/02/2018, la Inspección General de Servicios responde, aportando:
- a)Un escrito “nota informativa” con conclusiones y recomendaciones, firmado el 30/06/2016 por el Jefe de la Inspección de Servicios. En el mismo se indica: - “actuaciones” visita a la Dirección Provincial del Servicio Público de empleo de ***LOCALIDAD.1, los días 1 y 2/06 realizada por el Jefe de la Inspección y una funcionaria del área de Seguridad y Logística de la Subdirección General de Tecnologías de la información y Comunicaciones, con entrevistas con la Directora Provincial del SEPE en ***LOCALIDAD.1 entre otros responsables. Como resultado de los antecedentes y resultado de las entrevistas realizadas se ha realizado el informe “ANALISIS DE FICHEROS DE CARÁCTER PERSONAL DE LA DIRECCIÓN PROVINCIAL DE ***LOCALIDAD.1” por el Área de Seguridad y Logística. -“conclusiones” Se pone de manifiesto que “cada Dirección Provincial ha creado y usado distintas aplicaciones informáticas, recomendándose su inmersión en las institucionales o corporativas”. Se han analizado los ficheros “PRESTACIONES” y “GESTION GRABACION LLAMADAS OFICINA V VIRTUAL SPEE”. “La DP de ***LOCALIDAD.1 debido a la dificultad en la consulta, ha considerado crear un fichero de trabajo que muestre de manera más fácil y clara el contenido de la información a sus empleados de las Oficinas de Prestaciones y en el otro es para resolver un problema muy concreto ya que en algunas ocasiones, en la misma llamada, se resuelve más de una gestión relaciona con prestaciones a distintos ciudadanos. Cuando se necesita recuperar esa llamada, no se puede hacer la relación: apellido +nombre + número de teléfono, ya que hay varios ciudadanos en la misma llamada y con el mismo número”. Del informe “Análisis ficheros de carácter personal de los Servicios centrales de ***LOCALIDAD.1” “se deduce que no se ha creado un nuevo fichero en el caso de “prestaciones” y que se aplica de manera deficiente la seguridad exigida por la LOPD en este fichero de nivel básico en el caso de grabación de llamadas de la oficina virtual SPEE”. -“recomendaciones” i. Tomar las medidas fijadas en el informe “ANALISIS DE FICHEROS DE CARÁCTER PERSONAL DE LA DIRECCIÓN PROVINCIAL DE ***LOCALIDAD.1” para la seguridad de los datos y el cumplimiento de la LOPD. ii. Transmitir tanto a los equipos directivos de las Direcciones Provinciales como a los coordinadores informáticos, la necesidad de que “todas las aplicaciones informáticas propias que utilicen para el funcionamiento diario de las Direcciones provinciales deben de cumplir la LOPD, recalcando la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 temporalidad de los mismos y una trazabilidad de los accesos con un estricto control de los mismos” iii. Comunicar a D A.A.A. los resultados del informe “ANALISIS DE FICHEROS DE CARÁCTER PERSONAL DE LA DIRECCIÓN PROVINCIAL DE ***LOCALIDAD.1”.
- b)El escrito titulado “ANALISIS DE FICHEROS DE CARÁCTER PERSONAL DE LA DIRECCIÓN PROVINCIAL DE ***LOCALIDAD.1” es un documento de 17/06/2015 pudiendo ser la fecha errónea y corresponderse a 2016. Analiza los dos ficheros, destacando: 1-FICHERO PRESTACIONES: Tras indicar la disposición general de su creación y su código de inscripción en la AEPD señala que el nivel de seguridad es ALTO. “Análisis de situación” Mensualmente desde estos Servicios Centrales-SSCC-, la SGTIC en la Unidad U: / vuelca los datos actualizados de prestaciones por desempleo en formato CSV para consulta en los Servicios Periféricos. Se presentan en tablas. Los datos son anonimizados representando los diferentes datos mediante códigos. Estos ficheros se pueden consultar a través de múltiples programas informáticos. La DP ***LOCALIDAD.1 debido a la dificultad en la consulta, ha considerado crear un fichero de trabajo que muestre de manera más fácil y clara el contenido de la información a sus empleados de las Oficinas de Prestaciones. La solución aplicada es la creación de una BD ACCESS. Una vez al mes se importan los datos del fichero actualizado que residen en la Unidad U: /, se vuelcan en la BD ACCESS donde se traducen los códigos enviados y se organiza la información, con el objeto de permitir a los usuarios acceder, registrar y analizar datos de una manera rápida y sencilla. Una vez analizada la BD ACCESS a la que nos referimos, vemos que: -No se incorporan nuevos datos. Los datos se presentan de forma clara. Creando unas tablas auxiliares con el código enviado traducido a texto claro. Asimismo, vinculan códigos con la tabla que trascribe los diferentes campos utilizando para ello las tablas que les proporciona la SGPD. La BD todos los meses actualiza su información con los nuevos datos. La BD no tiene control de acceso. La información viaja comprimida, pero no cifrada a través de la Intranet. El envío se hace a los buzones de todas las Oficinas de prestaciones de la DP de ***LOCALIDAD.1. Dado que no tienen clave de acceso, todos los empleados pueden acceder a los datos. Se puede considerar un fichero de trabajo de carácter temporal dado que: -no se incorporan nuevos datos -los datos en código han sido transformados en texto -se han creado relaciones entre tablas ya existentes para facilitar informes y búsquedas. Considerando estos ficheros como de carácter temporal o copias de trabajo, cita la aplicabilidad del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); artículos 87 y que debe cumplir las medidas de seguridad de nivel alto en dichos ficheros temporales, sus copias o la transmisión de los mismos. Establece las medidas de seguridad que se han de acometer en dicha copia, citando el control de acceso, artículo 91 así como gestión de distribución de soportes, identificación/autenticación para acceder a la información, registros de accesos etc., citando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 diversos artículos del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); 2-FICHERO GESTIÓN GRABACIÓN LLAMADAS OFICINA VIRTUAL SPEE. Detalla el Boletín Oficial del Estado en el que se crea el fichero, el código de inscripción en la AEPD y que es de nivel de seguridad básico. Indica que “Tiene como finalidad la gestión grabación de llamadas Oficina Virtual del SEPE, el almacenamiento y posterior reproducción de las llamadas, con el fin de garantizar la calidad del servicio y conservar un documento de voz que justifique la información de carácter personal o la realización de gestiones relacionadas con las prestaciones por desempleo a través de este servicio”. “Los empleados del SEPE con autorización, pueden recuperar las llamadas basándose en filtros de búsqueda. Además de este sistema, la DP de ***LOCALIDAD.1 recoge estos mismos datos de carácter personal que facilitan los propios ciudadanos en una BD Excel. “El objetivo de grabar los datos es para resolver un problema muy concreto: En algunas ocasiones, en la misma llamada, se resuelve más de una gestión relacionada con prestaciones a distintos ciudadanos. Cuando se necesita recuperar esa llamada, no se puede hacer la relación: Apellido, nombre, número de teléfono, ya que hay varios ciudadanos en la misma llamada y con mismo número”. “Se hace un archivo del contenido de Excel en papel” “Se almacena en el archivo general, que tienen seguridad física, es ignifugo y tienen dos puertas de acceso con llave, “pero los archivadores tienen en el lomo una identificación clara de su contenido”. En cuanto a la BD Excel, el sistema de trabajo es que cada empleado de la Oficina de RATEL de ***LOCALIDAD.1 graba los datos en una hoja Excel que tienen en su disco C:/durante toda la mañana. A última hora, vuelcan esa información a la unidad G: / que comparte toda la Oficina de RATEL. El Jefe de Oficina comprueba que se ha volcado la información, pero no que se hayan borrado los datos en el C: / de los equipos. Al día siguiente vuelven a repetir la tarea. Se indica que se implementa de manera deficiente la seguridad en este fichero. Indica que los datos que se trasvasan a la hoja Excel son ficheros temporales o copias de trabajo de documentos, señalando que los datos contenidos en el disco C: / deben borrarse después de haber sido volcado en la unidad común. Como medidas de seguridad que se deben establecer menciona: 1) asignación de un debido control de acceso a través de identificación de usuarios para el personal que lo requiera por el desempleo de sus funciones, toma de medidas para evitar accesos no autorizados. Incluir una clave de acceso al fichero que se guarda en G: / que solo conozca el responsable del fichero. 2) control de soportes y documentos, borrado de datos de soportes que se vayan a reutilizar. 3) “recomendamos cambiar el texto en el lomo de los archivadores disociándolo de su contenido” y el borrado de los discos C: / de los empleados que hayan grabado datos de carácter personal. 4) como recomendaciones para el tratamiento no automatizado, al tener copia en papel, se recomienda adaptar la inscripción del fichero para incluir el sistema parcialmente automatizado, por lo que les sería de aplicación las medidas contempladas en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 105, 107 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD);
- c)Aporta un escrito de 27/12/2016 firmado por el Coordinador Informático de la DP del SEPE ***LOCALIDAD.1, titulado: “informe sobre actuaciones realizadas” “que se elabora como consecuencia de las actuaciones realizadas tras la visita realizada el pasado mes de junio por el Inspector de Servicios y la funcionaria de la SGTIC.” -sobre el archivo base de datos en formato ACCESS de beneficiarios de prestaciones, se ha suprimido el envío por e-mail a las Oficinas y se ha puesto a disposición de los usuarios a través de la descarga desde un servidor de ficheros ubicados en la Coordinación informatica del SEPE ***LOCALIDAD.1, asegurando la trazabilidad. Los ficheros pueden ser descargados identificándose previamente con el usuario y password validado en el LDAP. Se guardan los accesos realizados identificando el usuario que accede. -sobre el “Listado de llamadas entrantes en Oficina virtual y su transposición a la hoja Excel”. Indica que la información que cada empleado diariamente recoge en las planillas que contenían los datos identificativos de cada llamada que pasaban a un resumen Excel, ahora se almacenan en la unidad F a la cual solo accede el Jefe de la Unidad. Por otro lado, se han dejado de imprimir las planillas en papel y los que están archivados en papel hasta ahora, se deberán destruir por estar la información ya digitalizada. CUARTO: Con fecha 13/04/2018, se acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la DIRECCIÓN PROVINCIAL SEPE ***LOCALIDAD.1, (MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL, SERVICIO PÚBLICO DE EMPLEO ESTATAL) por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 91.1 y 2, y 93.1 y .2 y 103.1 a 5.3 y 104, 105 y 108 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD). QUINTO: Notificado el citado acuerdo de inicio en fecha 11/05/2018 la denunciada solicita copia del expediente que le fue enviado el 18/05/2018, figurando según el acuse, recibido el 24/05/2018. Se reciben alegaciones de 23/05/2018, indicando: 1) No se ha recibido copia del expediente. 2) Además, realiza alegaciones en base a que tienen operativas dos bases de datos con datos personales que carecen de disposición reguladora y autorización, o no fueron notificados. A este respecto se debe indicar que ninguno de estos aspectos motiva la infracción imputada por esta AEPD. 3) Nunca se ha producido una filtración de datos. 4) Ya en diciembre 2016 se habían adoptado todas las medidas de seguridad recomendadas por la Inspección de Servicios, y existe un informe del Coordinador informático de la Dirección Provincial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 5) Se procedió a la destrucción de la documentación almacenada en papel que contenía las relaciones de llamadas de la unidad de RATEL, aporta certificados de destrucción de documentos del último semestre 2016. Aporta copia de un escrito enviado por correo electrónico entre dos empleados, fechado a 17/05/2018 en el que se confirma que los datos de grabación de las llamadas que se reflejan en las “planillas” son borradas diariamente de las unidades C: / de los equipos y volcados a la unidad F:/ donde solo el jefe tiene acceso con clave. Aporta copia de impresión de pantallas de una aplicación web alojada en un servidor privado interno y detalla el modo de acceso existiendo diversos tipos de usuarios según tareas y con permisos a distintas actuaciones. No determina a que aplicación corresponde la impresión de pantallas ni la aplicación a que se refiere. Aporta copia del mismo escrito de 26/12/2016 titulado “informe sobre actuaciones realizadas” que firma el Coordinador de informatica de la Dirección Provincial del SEPE ***LOCALIDAD.1 que ya figuraba en actuaciones previas. SEXTO: Con fecha 4/07/2018, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que “la DIRECCIÓN PROVINCIAL SEPE ***LOCALIDAD.1, MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL, SERVICIO PÚBLICO DE EMPLEO ESTATAL ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma.” Con fecha 24/07/2018 se recibe escrito de la denunciada en el que reitera lo manifestado, añadiendo que no se produjo resultado constatable de filtración de datos. La infracción dejó de producirse tras adoptarse las medidas, el 27/12/2016, y considera que no se han de adoptar medidas adicionales. HECHOS PROBADOS 1) El denunciante, presta servicios en el SEPE, Dirección Provincial (DP) de ***LOCALIDAD.1, y representa a un sindicato en el SEPE de la D.P de ***LOCALIDAD.1 y denuncia el 3/10/2017 que sobre dos bases de datos con las que trabajan: “PRESTACIONES”, y “RATEL” se extraen datos para el trabajo del día a día sin que se cumplan las medidas de seguridad. Con fecha 13/11/2017, el denunciante aportó la copia de un escrito que le remitió la Inspección de Servicios del Ministerio de Empleo y Seguridad Social el 16/10/2017. En el mismo se indicaba que se había efectuado una visita de Inspección por la Inspección del SEPE y una auditoría por la misma entidad en junio 2016 en base a la denuncia del denunciante. 2) La Dirección General del Servicio Público de Empleo Estatal tiene inscritos los ficheros PRESTACIONES con la finalidad de obtención de nómina y transferencia e perceptores de prestaciones de desempleo, pidiendo contener datos de salud entre otros, siendo el nivel de seguridad ALTO. También figura inscrito el fichero “GESTIÓN GRABACIÓN LLAMADAS OFICINA VIRTUAL SPEE” con la finalidad de grabación, almacenamiento y posterior reproducción de las llamadas al 901…para garantizar calidad en el servicio, conservar documento de voz que justifique la información de carácter personal o la realización de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 gestiones, siendo el nivel de seguridad del fichero básico, pudiendo recoger entre otros datos, el nombre y apellidos, cuenta bancaria. 3) De acuerdo con el informe de la Inspección de Servicios del SEPE firmado el 30/06/2016, derivada de la visita realizada los días 1 y 2/06/2016 a la DP del SEPE de ***LOCALIDAD.1, se desprende que la actuación parte de la denuncia del denunciante referida al manejo de bases de datos y su inadecuación a la LOPD Al informe se acompaña un documento de análisis de los ficheros del SEPE DP ***LOCALIDAD.1 firmado el 17/06/2015, realizado en base a dicha Inspección. Se indica que de dicho informe se ha entregado copia al denunciante. 4) Del citado análisis, se deduce:
- a)fichero PRESTACIONES: Con los datos que los Servicios centrales mandan a los periféricos sobre datos actualizados de prestaciones de desempleo, dado que se envían en tablas, anonimizados, con códigos, la DP ***LOCALIDAD.1 crea un fichero de trabajo traduciendo los códigos enviados por los Servicios Centrales para mostrar de forma clara el contenido de la información a sus empleados mediante una base de datos Access. El traspaso de datos se hace desde la Unidad U:/ a dicha base de datos actualizándose cada mes. Para acceder a dicha base de datos, así creada, no existe control de accesos. Dicha base de datos Access se envía a los buzones de todas las Oficinas de prestaciones de la DP de ***LOCALIDAD.1, y la información viaja a través de la Intranet sin cifrar. Todos los empleados que acceden al buzón de las oficinas de empleo de ***LOCALIDAD.1 tienen acceso a la base de datos, pues no existe clave de acceso. El análisis señala en el punto 1.3.3. que la creación de la base de datos utilizada “no tiene carácter de temporal por lo que se considerará una copia de la información sobre la cual se han realizado una serie de modificaciones”. El análisis de este fichero acaba exponiendo algunas medidas de seguridad a adoptar, puntos 1.3.4 a 1.3.8.
- b)fichero GESTION GRABACIONES LLAMADAS OFICINA VIRTUAL SPEE: Con los datos que se recogen de las llamadas telefónicas, además, el SEPE DP ***LOCALIDAD.1 en una base de datos Excel, cada empleado que gestiona la materia, graba diariamente los datos en una hoja excel que tiene en su disco C. A última hora, vuelcan esa información en la unidad G, que comparte toda la oficina RATEL (atención telemática). No existe verificación de que se hayan borrado los datos en C. Las hojas Excel de cada empleado se conservan en papel y se archivan en carpetas con el nombre de lo que contienen. Como medida se indica que la información que se vuelca desde C, ha de ser borrada después. El análisis de este fichero acaba exponiendo algunas medidas de seguridad a adoptar, puntos 2.3.3 a 2.3.6.1. 5) Constan correos electrónicos del Coordinador informatica de 9 y 17/11/2016 solicitando aclaraciones a la adopción de medidas de seguridad a la funcionaria que realizó los análisis C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 de los dos ficheros. De acuerdo con la nota del Coordinador de Informatica del SEPE DP ***LOCALIDAD.1 de 27/12/2016, el fichero temporal extraído de PRESTACIONES, se envía a las Oficinas de la provincia, a través de la Intranet, y en un apartado de descargas, con identificación de usuario y contraseña se puede acceder, guardándose el registro de todos los accesos. Los ficheros temporales de grabación de llamadas ya no se conservan en papel con las hojas Excel diarias, existiendo un control de accesos de los datos guardados en la unidad F y la información que se vuelca desde C es borrada diariamente. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento al denunciado una infracción del artículo 9 de la LOPD, que dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos a título de ejemplo, entre otros de “acceso no autorizado” por parte de terceros. Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos, también es un mecanismo de garantía la seguridad. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. La base sobre la que descansan las medidas de seguridad es el documento de seguridad de los ficheros, que de acuerdo con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 artículo 88 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); recogerá las “medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.” a fin de evitar como señala el artículo 9 de la LOPD “su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” El RLOPD en su artículo 87 indica “Ficheros temporales o copias de trabajo de documentos”: “1. Aquellos ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realización de trabajos temporales o auxiliares deberán cumplir el nivel de seguridad que les corresponda conforme a los criterios establecidos en el artículo 81. 2. Todo fichero temporal o copia de trabajo así creado será borrado o destruido una vez que haya dejado de ser necesario para los fines que motivaron su creación.” Dentro del nivel básico de seguridad, artículo 91 del RLOPD. Control de acceso “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.” artículo 92. Gestión de soportes y documentos “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. “ artículo 93. Identificación y autenticación “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.” artículo 94. Copias de respaldo y recuperación 1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos. 2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad. 3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. 4. Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad. Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad. Dentro del nivel alto de seguridad, el artículo 103. “Registro de accesos”. 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
- a)Que el responsable del fichero o del tratamiento sea una persona física.
- b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.” artículo 104. Telecomunicaciones “Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 Los motivos que originaron la apertura del procedimiento han sido: Sobre el fichero PRESTACIONES: -En la copia en formato ACCESS que se utilizaba con base en el fichero PRESTACIONES (NIVEL DE SEGURIDAD ALTO) no se contaba con control de acceso de usuarios. (103 del RLOPD). El envío de la base de datos se remitía a todas las oficinas de Prestaciones de la DP de ***LOCALIDAD.1 sin que sea preciso para acceder introducir contraseña alguna (103 del RLOPD). -Los datos enviados se envían a través de Intranet, de forma no cifrada. (104 del RLOPD) -No consta que se haga copia de seguridad de los archivos temporales si es que se conservan o si se destruyen, las garantías y formas de llevarlo a cabo y su control. (94 del RLOPD). Sobre el fichero GESTION GRABACION DE LLAMADAS: - No existe protocolo de destrucción de datos que cada funcionario graba en base de datos Excel y que luego se pasa de dicho Excel a la unidad C de los equipos. (92.4 del RLOPD). -Falta de control de borrado de datos desde la unidad C de los equipos una vez se vuelcan a la Unidad G. Falta de referencias sobre copia de seguridad de estos datos que en conjunto se han volcado en la unidad C y pasa a la unidad restringida G. (92.4 del RLOPD). -Faltaba control de acceso de usuario en la unidad G así como su asignación a usuario/concreto (93 del RLOPD). -Si se continúan conservando copias en papel, determinar el periodo por el que se almacenan justificándolo, y aplicar medidas de control de acceso (personal autorizado, registro de acceso) y gestión de soportes (información de datos a los que se accede y motivo). (93 del RLOPD). Las cuestiones sustantivas de las deficiencias deben ser contempladas en el correspondiente documento de seguridad. III La infracción de las medidas de seguridad figura tipificada en el artículo 44.3.
- h)de la LOPD como: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” IV El artículo 46 de la LOPD indica:” Infracciones de las Administraciones públicas”. “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones.” Los efectos de la infracción se consideran que han sido corregidos tras las medidas adoptadas por la denunciada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar que la DIRECCIÓN PROVINCIAL SEPE ***LOCALIDAD.1, MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL, SERVICIO PÚBLICO DE EMPLEO ESTATAL ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN PROVINCIAL SEPE ***LOCALIDAD.1, MINISTERIO DE EMPLEO Y SEGURIDAD SOCIAL, SERVICIO PÚBLICO DE EMPLEO ESTATAL. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es