← España

AAPP-00032-2018

1/12 Procedimiento Nº AP/00032/2018 RESOLUCIÓN: R/01660/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00032/2018, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE LEGANÉS, vista la denuncia presentada por denunciante 1, denunciante 2 y denunciante 3 en virtud de los siguientes, ANTECEDENTES PRIMERO: el 23/10/2017 tiene entrada en la Agencia escrito de D. A.A.A. (denunciante 1), Dña. B.B.B. (denunciante 2) y C.C.C. (denunciante 3), en el que denuncian al AYUNTAMIENTO DE LEGANÉS, por los siguientes hechos: El AYUNTAMIENTO DE LEGANES ha puesto a disposición de sus ciudadanos ocho encuestas de participación ciudadana en la web de su titularidad www.leganes.org durante 7 días cada una de ellas. No obstante, hasta el lunes 16/10/2017, se encontraban accesibles todas incluidas las que ya no estaban activas. Para participar en las encuestas había que cumplimentar un formulario disponible en cada una de ellas con los campos obligatorios de nombre y apellidos, DNI/NIE, correo electrónico y dirección postal junto con un apartado de observaciones y opiniones. Al finalizar el formulario, el sistema muestra las respuestas de las anteriores personas con todos sus datos personales visibles. Además, se podía copiar la dirección generada (URL) y acceder a estos datos en cualquier momento. El denunciante manifiesta que la plataforma que utiliza el Ayuntamiento es la herramienta gratuita de Google Forms, por lo que no existe contrato con Google y aunque al acceder al formulario parezca que se encuentra en el entorno de la web del Ayuntamiento, en realidad son páginas con las condiciones del servicio de Google (almacenar, reproducir, distribuir…contenidos) tanto para particulares como si la utilización se realiza a nombre de empresas. El denunciante ha indicado la ruta que permite el acceso a los datos denunciados: Ruta: www.leganes.org > consultas públicas (parte inf. dcha.) > Acceda al servicio de consultas públicas > pinchar sobre una de las 8 consultas > enlaces de interés (parte inf.) > consulta pública ordenanza, reglamento etc.> ver respuestas anteriores) Y, entre otra, anexa la siguiente documentación:  Impresiones de pantalla de los resultados de diferentes encuestas activas y no activas, dirección de acceso, periodo de tiempo en el que se permitía el acceso y constan los datos personales: o Encuesta No activa de Reglamento de Participación ciudadana, accesible desde el 22 de mayo hasta el 5 de junio de 2017 en la dirección ***URL.1. Constan los datos personales de 9 participantes: Nombre, Primer apellido, Segundo apellidos, Dni, correo electrónico y dirección postal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 o Encuesta No activa de Proyecto Ordenanza de uso de Instalaciones Deportivas, accesible desde el 4 al 12 de septiembre de 2017 en la dirección ***URL.1 Constan los datos personales de 8 participantes: Nombre, Primer apellido, Segundo apellidos, Dni, correo electrónico y dirección postal. o Encuesta de Proyecto Ordenanza Municipal de Medio Ambiente accesible desde el 4 al 12 de septiembre de 2017 en la dirección ***URL.2 Constan los datos personales de 8 participantes: Nombre, Primer apellido, Segundo apellidos, Dni, correo electrónico y dirección postal. o Encuesta de Proyecto Ordenanza Municipal Reguladora de la Tenencia y Protección de Animales de Compañía accesible desde el 4 al 12 de septiembre de 2017 en la dirección ***URL.3 Constan los datos personales de 4 participantes: Nombre, Primer apellido, Segundo apellidos, Dni, correo electrónico y dirección postal. o Encuesta de Proyecto de Reglamento de Acción Premial accesible desde el 4 al 12 de septiembre de 2017. Constan los datos personales de 4 participantes: Nombre, Primer apellido, Segundo apellidos, Dni, correo electrónico y dirección postal. No se ha aportado URL de acceso. o Noticia publicada en el periódico GENTE, de fecha 21 octubre-3 de noviembre, en cuya página 10 figura la denuncia ante la Agencia de Protección de Datos del partido Unión por Leganés respecto al fallo de seguridad en la web que permitió el acceso a datos de terceros y donde se informa que el Ayuntamiento ha manifestado que ha sido debido a un fallo técnico puntual que se subsanó. o Condiciones de Servicio de Google actualizada a fecha 25 de octubre de 2017 donde figura la política de privacidad de Google modificada en fecha 2 de octubre de 2017 y se indica que “Si usas nuestros servicios, aceptas que Google use dichos datos de conformidad con su política de privacidad”. o Versión en caché del listado de consultas de la web municipal correspondiente al 8 de octubre de 2017. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al AYUNTAMIENTO DE LEGANES, Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades: 1. Con fecha 26/03/2018, desde la Inspección de Datos se acceden a las direcciones web remitidas por los denunciantes sin obtener constancia de que las encuestas de participación ciudadana con datos personales de los participantes figuran en Internet:  ***URL.1.  ***URL.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12  ***URL.2  ***URL.3 2. Con fecha 02/04/2018 se accede a la dirección remitida por los denunciantes donde constaba el listado de las encuestas (***URL.4) obteniendo como respuesta “no se puede encontrar esta página” 3. Con fecha 14/03/2018 se recibe en la Agencia escrito de contestación al requerimiento de información remitido en fecha 04/12/2017, en que se pone de manifiesto:  El Ayuntamiento manifiesta que, de acuerdo al artículo 59 del Reglamento Orgánico Municipal tiene competencias, entre otras, de la aprobación y modificación de las ordenanzas y reglamentos municipales, y en este sentido, está obligado a dar cumplimiento al artículo 133 de La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que tiene que ver con la Participación de los ciudadanos en el procedimiento de elaboración de normas con rango de Ley y reglamentos, realizando una consulta pública con carácter previo a través del portal web del Organismo. El Ayuntamiento manifiesta que para ello se creó un espacio en su portal web desde el que se recababa la opinión de los ciudadanos en cuatro futuras normativas. En la web, cada una de las encuestas constaba de una descripción general y una segunda parte en la que figuraba el proyecto, un espacio para opinar y proponer y los resultados se hacían públicos siete días después. Las consultas públicas permanecen activas durante 7 días hábiles y con la herramienta de formularios on-line de Google se anexa un enlace con los comentarios de los participantes. Al finalizar la fecha de los 7 días se desactiva del formulario y la encuesta pasa a ser inactiva. Los resultados se almacenan en un fichero en formato Excel y se remiten a la Dirección de Coordinación Jurídica.  El Ayuntamiento manifiesta que con fecha 17/10/2017 se tiene constancia no formal de un problema respecto de publicación de datos personales en la web y desde el Departamento de Informática del Ayuntamiento se resuelve el problema que fue provocado al reutilizar un formulario anterior que por error visualizaba las contestaciones. Asimismo, y con carácter preventivo se desactivan todas las consultas públicas. Con fecha 18 de octubre se borran todos los datos salvo los necesarios para poder afrontar posibles reclamaciones.  En el portal del Ayuntamiento consta un Aviso Legal y Protección de Datos (http://www.leganes.org/portal/contenedor_ficha.jsp? seccion=s_fdes_d4_v1.jsp&contenido=615&nivel=1400&tipo=6&codMenuS N=71&codMenu=2137la) en donde figura como responsable el Ayuntamiento.  El Ayuntamiento manifiesta que utiliza la herramienta de formularios de Google para creación de los formularios de las encuestas (Google Forms) y Google Analytic para los resultados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12  El Ayuntamiento manifiesta que no hay constancia de la queja formulada por ningún ciudadano y ha verificado que desde el 01/01/2017 hasta el 11/03/2018 respecto a este tema no ha habido ninguna reclamación salvo la entrada del requerimiento de información de la Agencia en fecha 07/12/2017. TERCERO: Con fecha 24/04/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE LEGANÉS por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el del artículo 44.3.

  1. h)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio, en fecha 11/05/2018 el AYUNTAMIENTO DE LEGANÉS presentó escrito de alegaciones en el que, en síntesis, manifestaba que la inspección realizada por la Agencia venía a constatar la rápida actuación de corrección que realizó el AYUNTAMIENTO DE LEGANÉS, mostrando su disconformidad con la tipificación de los hechos ocurridos como graves; que una vez reconocido el error acontecido se solicita se acuerde su archivo o subsidiariamente el apercibimiento en los términos del 45.6 de la LOPD y en su defecto tipificar en el nivel inferior la infracción aludida. QUINTO: Con fecha 17/05/2018, se abrió un periodo de practica de pruebas acordándose: Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/06578/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00032/2018 presentadas por el AYUNTAMIENTO DE LEGANÉS. Todo ello con su correspondiente documentación adjunta. SÉXTO: En fecha 25/07/2018, fue emitida Propuesta de Resolución en el sentido de que por las Directora de la Agencia Española de Protección de Datos se declarara que el AYUNTAMIENTO DE LEGANES ha infringido el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. h)de la misma norma; que se declarara que dicha entidad ha adoptado medidas adecuadas para impedir que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD y se proponía que se comunicara la Resolución que se adoptase al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD. El AYUNTAMIENTO DE LEGANES transcurrido el plazo correspondiente no presentó alegación alguna a la Propuesta de Resolución. HECHOS PROBADOS PRIMERO. El 23/10/2017 y 30/10/2017 tienen entrada en esta Agencia escritos de los afectados (denunciantes 1, 2 y 3), en los que denuncian al AYUNTAMIENTO DE LEGANÉS con motivo de la puesta en marcha del proceso denominado Consultas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Públicas a través de la página web del consistorio para recoger ideas en la elaboración de las normas locales; en este proceso se ponía a disposición de los ciudadanos hasta ocho encuestas de participación ciudadana en la web de su titularidad; la participación suponía la cumplimentación de un formulario con los datos de carácter junto con un apartado para observaciones y opiniones; los denunciantes manifiestan que la plataforma que utiliza el Ayuntamiento es la herramienta gratuita de Google Forms, por lo que al acceder al formulario se tenía la apariencia de que te encontrabas en el entorno de la web del Ayuntamiento, cuando en realidad son páginas con las condiciones del servicio de Google tanto para particulares como si la utilización se realiza a nombre de empresas. Asimismo, indican la ruta que permite el acceso a los datos denunciados: www.leganes.org > consultas públicas (parte inf. dcha.) > Acceda al servicio de consultas públicas > pinchar sobre una de las 8 consultas > enlaces de interés (parte inf.) > consulta pública ordenanza, reglamento etc.> ver respuestas anteriores). SEGUNDO. Constan aportadas impresiones de pantalla con los resultados de diferentes encuestas municipales y en las que se tiene acceso a datos personales de los participantes: Encuesta No activa de Reglamento de Participación ciudadana, accesible desde el 22/05/2017 hasta el 05/06/2017 en la dirección: ***URL.1. Figuran los datos de carácter personal de 9 participantes con nombre y apellidos, DNI, correo electrónico y dirección postal. Encuesta No activa de Proyecto Ordenanza de uso de Instalaciones Deportivas, accesible desde el 04/09/2017 al 12/09/2017 en la dirección: ***URL.1 Figuran los datos de carácter personal de 8 participantes con nombre y apellidos, DNI, correo electrónico y dirección postal. Encuesta de Proyecto Ordenanza Municipal de Medio Ambiente accesible desde el 04/09/2017 al 12/09/2017 en la dirección: ***URL.2 Figuran los datos de carácter personal de 8 participantes con nombre y apellidos, DNI, correo electrónico y dirección postal. Encuesta de Proyecto Ordenanza Municipal Reguladora de la Tenencia y Protección de Animales de Compañía accesible desde el 04/09/2017 al 12/09/2017 en la dirección: ***URL.3 Figuran los datos de carácter personal de 4 participantes con nombre y apellidos, DNI, correo electrónico y dirección postal. TERCERO. El AYUNTAMIENTO DE LEGANÉS en escrito de 14/03/2018 ha aportado la descripción detallada del proyecto del procedimiento de Consultas Públicas de conformidad con lo señalado en el artículo 133 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Publicas, así como el procedimiento corporativo de desarrollo de las Consultas Públicas. CUARTO. Mediante Diligencia de la Inspección de Datos, de 02/04/2018, se hace constar que en dicha fecha se accede a la dirección ***URL.4. En la citada dirección figuraba el listado de las encuestas municipales, obteniendo como resultado “No se puede encontrar esta página (www.leganes.org)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 QUINTO. Mediante Diligencia de la Inspección de Datos, de 26/03/2018, se hace constar que en dicha fecha se accede a las direcciones aportadas por los denunciantes,  ***URL.1.  ***URL.1  ***URL.2  ***URL.3, En las citadas direcciones no se ha obtenido constancia de que las encuestas de participación ciudadana con datos personales de los participantes figuren en Internet. SEXTO. El AYUNTAMIENTO DE LEGANÉS en escrito de 11/05/2018 ha señalado en su alegación SEXTA que: “…, tras el error el Ayuntamiento de Leganés, actuó tan diligentemente que no dio lugar a pensar que actuara movido por algún interés, por lo que no hay ninguna intencionalidad. Se puede afirmar que, una vez comprobado el error se rectificó de inmediato subsanándolo, …”, y en su alegación SEPTIMA: “Al haber corregido de inmediato la situación no se tiene constancia de ninguna queja o reclamación de las personas afectadas o de terceras personas en el Ayuntamiento de Leganés en este sentido, …” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio N.º 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  4. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  5. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
  6. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” IV Se imputa al AYUNTAMEINTO DE LEGANES el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
  7. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
  8. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  9. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  10. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  11. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  12. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
  13. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). El citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 92 Gestión de soportes y documentos 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas. Así, el AYUNTAMIENTO DE LEGANES, como responsable del fichero está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las medidas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En el caso presente la propia entidad local reconoce en escrito de 11/05/2018 que tuvo constancia a través de un concejal de la Corporación de “un grave agujero en la protección de datos en las Consultas Públicas”; ante dicha información se tomaron de manera inmediata una serie de medidas: revisando y modificando el procedimiento de consultas, identificando la causa del error, actualizando el procedimiento de publicación de contenidos y desactivando con carácter preventivo todas las consultas públicas. El acceso a los datos personales y a las respuestas contenidas en las consultas realizadas establece la base de facto para fundamentar la imputación de la infracción del artículo 9 de la LOPD. El AYUNTAMIENTO DE LEGANES en el momento en el que tuvo conocimiento de los hechos adoptó medias adecuadas señaladas, así como cambios pertinentes para futuras consultas, creando una nueva cuenta con una única administradora y modificando el procedimiento de recogida de opiniones a los ciudadanos. Asimismo, es de destacar que la entidad no tuvo constancia de ninguna incidencia, queja o sugerencia formulada por ningún ciudadano. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V El artículo 44.3.
  14. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el AYUNTAMIENTO DE LEGANES carecía de las medidas de seguridad que la Ley exige al responsable del fichero, al haber permitido accesos no autorizados a los datos personales del denunciante. De acuerdo con los fundamentos anteriores, se deduce que por parte del AYUNTAMIENTO DE LEGANES se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia el acceso no autorizado a los datos personales de los ciudadanos participantes en las consultas ciudadanas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 promovidas por la entidad local sin las debidas medidas de índole técnica y organizativas necesarias que garantizasen la seguridad de los datos de carácter personal y que hubieran evitado su acceso no autorizado, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VI Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, la respuesta del AYUNTAMIENTO DE LEGANES fue razonablemente diligente, reconociendo los hechos, subsanando de manera inmediata los fallos de seguridad cometidos, no teniendo constancia de quejas o reclamaciones por parte de las personas afectadas y modificando el procedimiento de recogida de opiniones de los ciudadanos en sus servicios de Consultas Públicas evitando cualquier anomalía futura que pueda producirse. Por tanto, se entiende que la entidad AYUNTAMIENTO DE LEGANES ha adoptado las medidas necesarias para impedir el incumplimiento de lo establecido en el artículo 9 de la LOPD, por lo que no procede requerir la adopción de nuevas medidas. En el presente caso, constatada la comisión por el AYUNTAMIENTO de infracción del artículo 9 de la LOPD, no se requiere al mismo la adopción de medidas para que cese los efectos de la infracción por cuanto que ha acreditado en el transcurso del procedimiento que la entidad denunciada ha adoptado las medidas correctoras necesarias. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 PRIMERO: DECLARAR que el AYUNTAMIENTO DE LEGANÉS ha infringido lo dispuesto en el artículo 9.1 de la LOPD tipificada como grave en el artículo 44.3.
  15. h)de la citada Ley Orgánica. SEGUNDO: DECLARAR que el AYUNTAMIENTO DE LEGANÉS ha adoptado las medidas técnicas y organizativas adecuadas y necesarias de orden interno para impedir que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD similar a la analizada en el presente procedimiento. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE LEGANÉS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
  16. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.