1/17 Procedimiento Nº AP/00040/2018 RESOLUCIÓN: R/01630/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00040/2018, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE VILLA DEL PRADO, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 30 de enero de 2018 tiene entrada en esta Agencia escrito en el que Don A.A.A., Concejal Portavoz del Grupo de Vecinos por Villa del Pardo, y Don B.B.B., Concejal del Grupo Socialista del Ayuntamiento de Villa del Prado, exponen que se ha producido una quiebra de seguridad en la sede electrónica del Ayuntamiento de Villa del Prado (Madrid). En concreto, exponen que al acceder con el D.N.I. electrónico de cualquier usuario en la página web citado Ayuntamiento se puede acceder a todos los expedientes del Ayuntamiento de Villa del Pardo, de tal modo que resultan visibles todos los documentos que hayan anexado otros usuarios, tales como: escrituras de inmuebles, datos bancarios, domicilios, teléfonos, D.N.I., permiso de circulación, certificados etc… Un total aproximado de 6.113 páginas y expedientes desde el año 2000. Los denunciantes describen y documentan con pantallas impresas, el proceso realizado en el acceso efectuado, con fecha 30 de enero de 2018 con el usuario (D.N.I. electrónico) de Don A.A.A., que consiste en: Acceder a la web del Ayuntamiento en la dirección https://sede.villadelprado.es, donde se muestra el Portal Municipal de Tramitación y los trámites más utilizados. Al pulsar en la opción “+ trámites”, se ofrecen varias opciones de las que se selecciona la de “Registro Telemático”. A continuación, se muestra una nueva pantalla con los requisitos de “Estar en posesión de un certificado digital y registrarse como usuario del sistema” y la opción “Conectar”. Al pulsar la opción “Conectar” se accede con certificado digital a la Sede Electrónica. Una vez identificado correctamente, con sus datos, selecciona la opción “Mis expedientes”. La sede electrónica muestra una relación de los expedientes en los que figura como interesado Don A.A.A.. No obstante, la relación contiene 6.113 expedientes, y permite, en cada uno de ellos, acceder a la documentación que contienen. Don A.A.A. ha seleccionado uno de los expedientes y se ha descargado los documentos del mismo que corresponden a otra personal. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 día 23 de febrero de 2018, se mantiene una conversación telefónica con la Secretaria del Ayuntamiento de Villa del Prado con objeto de concretar la fecha de una visita de Inspección relacionada con los hechos denunciados, informándose por dicha Secretaria que tales hechos ya fueron objeto de investigación y resolución por el propio Ayuntamiento. La mencionada Secretaría se compromete a remitir a la AEPD toda la información y documentación disponible al respecto, sin perjuicio de lo cual, con esa misma fecha, desde la Subdirección General de Inspección de Datos se remite escrito al Ayuntamiento denunciado requiriendo la información y documentación citada. Con fecha 15 de marzo de 2018, se registra de entrada en esta Agencia escrito de contestación del Ayuntamiento de Villa de del Prado a la información requerida, a raíz de lo cual se tiene conocimiento de lo siguiente: El fichero en el que se gestionan los datos de los expedientes que fueron accesibles a través de la página web del Ayuntamiento es el denominado “EXPE2005”, inscrito en el Registro General de Protección de Datos con el código ***COD.1, y cuya finalidad es el registro de la documentación de entrada y salida. Respecto a los hechos denunciados: El Ayuntamiento, en cumplimiento de la ley 39/2015, implementó en su sede electrónica, en fecha 29 de noviembre de 2017, una nueva funcionalidad para que los ciudadanos accediesen a una copia electrónica de la documentación que habían aportado o la que se genera en la tramitación de sus procedimientos. Por un error en la codificación, usuarios que cumplían unas determinadas condiciones, podían acceder a los Registros de salida desde el año 2000. El acceso no era, en ningún caso, a todos los expedientes del Ayuntamiento. Estos registros solo llevan documentación adjunta desde el año 2012, cuando se comenzó a escanear y adjuntar la documentación del registro de salida. Las condiciones necesarias para que se diera el acceso erróneo eran: haberse registrado con posterioridad al 29 de noviembre de 2017 y tener un registro de salida en el que el usuario figurase como interesado. Solo cuatro personas cumplían dichas condiciones, por lo que el acceso erróneo ha sido muy limitado. Dos de ellas además son concejales del Ayuntamiento, siendo uno de ellos, el denunciante. Respecto a la incidencia aportan la siguiente información: Con fecha 30 de enero de 2018 a las 20:48 tiene entrada un registro telemático comunicando al Ayuntamiento la incidencia. Al día siguiente, al comenzar la jornada laboral, verifican la incidencia y se reporta inmediatamente a la empresa que presta el servicio a la Sede Electrónica. La incidencia se resuelve en 1 hora y 29 minutos, quedando el servicio restablecido. Respecto a las acciones realizadas para su resolución, aportan el informe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 realizado por la empresa INFAPLIC S.L., de fecha 8 de febrero de 2018, en el que se detalla lo siguiente: Con fecha 31 de enero de 2018 a las 8:45, se recibió en la empresa una comunicación telefónica sobre una vulnerabilidad grave encontrada en la sede electrónica según la cual: “Cualquier usuario con DNIe puede ver todos los expedientes del Ayuntamiento de Villa del Prado, siendo vulnerables los datos que incluyan o anexen los vecinos, como puede ser: escrituras de inmuebles, datos bancarios, domicilios, teléfonos, dni, permiso de circulación, certificados o cualquier documento que necesite de cualquier vecino o administración el Ayuntamiento. Para cumplir con el derecho de los ciudadanos a acceder a la copia electrónica de la documentación que ellos mismos han presentado o que se genera como consecuencia de la tramitación de sus expedientes se añadió a la sede electrónica un módulo desde el que se pudiera descargar la documentación. En algunos casos se producía un error por el que se mostraban al usuario sus registros de entrada y sus expedientes de forma correcta y el número tipo y fecha de todos los registros de salida de la base de datos. Para acceder a la documentación del registro de salida es necesario una consulta manual de cada uno de los documentos; por lo que, en ningún caso se podría descargar toda la documentación de forma masiva. De modo inmediato, tanto el departamento de soporte como el de desarrollo se dedican en exclusiva a parar el servicio y resolver la incidencia. Desde que se puso en marcha esta funcionalidad en la sede electrónica, se han dado de alta en el sistema 19 personas de las cuales únicamente cuatro tienen registros de salida. A las 10:13 horas se resuelve el error de programa, y se vuelve a habilitar el acceso a los ciudadanos a la sede electrónica a las 10:14. La incidencia se resuelve el mismo día 1 hora y 29 minutos después de la comunicación. Con fecha 2 de febrero de 2018, reciben comunicación, a las 15:27 horas, indicando que existe un segundo error según el cual, si se accede a un registro de salida propio y se intenta descargar la documentación anexa a ese registro de salida, el documento que descarga no corresponde con el que debería sino que se trata de documentación que pertenece a otra persona. Comprueban que, por error de codificación, cuando se descargaba el documento asociado a un número de registro de salida, se estaba descargando el documento asociado al mismo número del registro de entrada. Esta vulnerabilidad solo afectaba a un número muy limitado de usuarios que cumplieran las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid o Hubieran accedido desde la solución de la primera vulnerabilidad. o Tengan Registros de salida a su nombre www.agpd.es sedeagpd.gob.es 4/17 o Exista un registro de entrada con el mismo número que el de salida y tenga documentos adjuntos. El mismo día, a las 15:50 horas, se deshabilita el acceso a la sede electrónica y a las 18:30 se resuelve el error del programa. Con fecha 7 de febrero de 2018, a las 9:10 horas, se vuelve a habilitar el acceso a los ciudadanos a la sede electrónica tras realizar numerosas pruebas exhaustivas y estar seguros de que no hay más vulnerabilidades. Tras las dos incidencias, han realizado una medición de probabilidad/impacto que esta brecha hubiera podido tener y han concluido que de las 19 personas que se habían dado de alta en el módulo indicado, solo cuatro tienen registros de salida por lo que el riesgo ha sido muy bajo. Con el objetivo de garantizar la protección de datos personales, la empresa ha adoptado las siguientes medidas de seguridad: o Revisión de los accesos realizados. o Comunicación a las personas que han tenido acceso a la información de la obligación de confidencialidad. o Creación de ficheros de “log” (registro de accesos), que registren las operaciones realizadas. o Realización de un chequeo en el plazo de un mes de la efectividad de las medidas con una simulación de creación de un expediente completo para poder detectar posibles fallos en los programas. Para evitar que vuelva a ocurrir algo parecido se han implementado dos protocolos de actuación: o Antes de implantar una nueva funcionalidad, se harán pruebas además de en el entorno de desarrollo (programación), en otro entorno de preproducción. o Se ha ampliado el plan de pruebas del módulo que ha provocado la incidencia con objeto de cubrir todas las posibilidades: Usuario que no tenga ni expedientes ni registros de entrada/salida. Usuario que tenga expedientes y no tenga registro de entrada ni de salida. Usuario con registros de entrada pero sin expedientes ni registros de salida. Usuario con registros de salida pero sin expedientes ni registros de entrada. Combinaciones de todos los casos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 Una vez comprobado el correcto funcionamiento del sistema se pasará a producción y se notificará a la persona responsable del Ayuntamiento que se ha puesto la nueva funcionalidad y el resultado del plan de pruebas ejecutado. En el plazo de un mes se harán nuevas pruebas de verificación. TERCERO: Con fecha 24 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Villa del Prado por la presunta infracción del artículo 9 de la LOP en su relación con los artículos 91 y 93 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), así como por la presunta infracción del artículo 10 de la citada Ley Orgánica, tipificadas como graves en los artículos 44.3.
- h)y 44.3.
- d)de la misma norma, respectivamente. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el Ayuntamiento de Villa del Prado presentó escrito de alegaciones en el que se ratifican en las alegaciones efectuadas ante la Agencia en fecha 15 de marzo de 2018. Insisten en que se han puesto, por parte del Ayuntamiento, todas las medidas técnicas y organizativas que estaban a su alcance para proteger los datos personales objeto de tratamiento. Las incidencias ocurridas tuvieron una respuesta inmediata y satisfactoria por la empresa INFAPLIC, S.A., con quien existe un acuerdo de prestación de servicio a la Plataforma de Servicios para el Ayuntamiento. Sorprende que el Concejal denunciante, en lugar de colaborar con el Ayuntamiento para el buen funcionamiento del mismo, como es su responsabilidad, esperará a un Pleno del Ayuntamiento para denunciar los hechos y accediese a información de la que no es titular. Se ha actuado siempre de buena fe, tratando de cumplir la normativa de protección de datos. Acompañan el informe de INFAPLIC sobre la revisión de las medidas adoptadas transcurrido un mes. Cumplen lo establecido en el artículo 9 de la LOPD ya que tienen establecido el control de acceso mediante Certificado Electrónico y se han puesto para dicho control todas las medidas adecuadas. Tienen implementados logs que garantizan la información sobre los intentos de acceso, identificando usuario, fecha y hora, fichero accedido, tipo de acceso, si ha sido denegado o autorizado, así como registro accedido. No están de acuerdo en que han incumplido lo establecido en el artículo 10 de la LOPD, ya que si alguna información se ha visto por terceros ha sido sin intención y únicamente pudieron hacerlo 4 personas. El Concejal que accedió, lo hozo con mala fe y se puede comprobar a través de un vídeo público en youtube, en el que se muestra en el Pleno tal información. Disponen de documento de seguridad actualizado, siendo objeto de auditoría periódicas. Asimismo, tienen registro de incidencias, en el que se incorporó la incidencia denunciada y su solución. Solicita el archivo del procedimiento de conformidad con las consideraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 realizadas. QUINTO: Con fecha 17 de agosto de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE VILLA DEL PRADO ha infringido lo dispuesto en el artículo 9 de la LOPD, en relación con los artículos 91 y 93 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificada como grave en el artículo 44.3.
- h)de la misma norma. Dicha propuesta de resolución ha sido notificada con fecha 20 de agosto de 2018, no constando que el citado Ayuntamiento haya ejercido su derecho a formular alegaciones en el plazo concedido a tales efectos. HECHOS PROBADOS 1. El Ayuntamiento de Villa del Prado, en cumplimiento de la ley 39/2015, implementó en su sede electrónica, en fecha 29 de noviembre de 2017, una nueva funcionalidad para que los ciudadanos accediesen a una copia electrónica de la documentación que habían aportado o la que se genera en la tramitación de sus procedimientos. 2. Por un error en la codificación, se produjo un incidente de seguridad en el sistema de accesos a una copia electrónica de la documentación aportada por los ciudadanos o generada en la tramitación de los procedimientos. 3. El incidente de seguridad fue comunicado a esta Agencia por un Concejal del Ayuntamiento de Villa del Prado. 4. Usuarios que cumplían unas determinadas condiciones, podían acceder a los Registros de salida desde el año 2000. El acceso no era, en ningún caso, a todos los expedientes del Ayuntamiento. Estos registros solo llevan documentación adjunta desde el año 2012, cuando se comenzó a escanear y adjuntar la documentación del registro de salida. 5. Las condiciones necesarias para que se diera el acceso erróneo eran: haberse registrado con posterioridad al 29 de noviembre de 2017 y tener un registro de salida en el que el usuario figurase como interesado. Solo cuatro personas cumplían dichas condiciones, por lo que el acceso erróneo fue muy limitado. Dos de ellas además son concejales del Ayuntamiento, siendo uno de ellos, el denunciante. 6. Este incidente dio lugar a la difusión de datos personales de ciudadanos; al menos el de una ciudadana que había solicitado el cambio de nombre de la calle en la que tiene su finca, que había sido modificado. En la solicitud se incluye: nombre y apellidos, DNI, domicilio, teléfonos y correo electrónico. 7. Con fecha 30 de enero de 2018 a las 20:48 tiene entrada un registro telemático comunicando al Ayuntamiento la incidencia. 8. Al día siguiente, al comenzar la jornada laboral, verifican la incidencia y se informa inmediatamente a la empresa INFAPLIC que presta el servicio a la Sede Electrónica. La incidencia se resuelve en 1 hora y 29 minutos, quedando el servicio restablecido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 9. INFAPLIC recibió, en fecha 31 de enero de 2018 a las 8:45, una comunicación telefónica sobre una vulnerabilidad grave encontrada en la sede electrónica según la cual: “Cualquier usuario con DNIe puede ver todos los expedientes del Ayuntamiento de Villa del Prado, siendo vulnerables los datos que incluyan o anexen los vecinos, como puede ser: escrituras de inmuebles, datos bancarios, domicilios, teléfonos, dni, permiso de circulación, certificados o cualquier documento que necesite de cualquier vecino o administración el Ayuntamiento. 10. A las 10:13 horas se resuelve el error de programa, y se vuelve a habilitar el acceso a los ciudadanos a la sede electrónica a las 10:14 horas. La incidencia se resuelve el mismo día 1 hora y 29 minutos después de la comunicación. 11. Con fecha 2 de febrero de 2018, recibieron comunicación, a las 15:27 horas, indicando que existe un segundo error según el cual, si se accede a un registro de salida propio y se intenta descargar la documentación anexa a ese registro de salida, el documento que descarga no corresponde con el que debería sino que se trata de documentación que pertenece a otra persona. Esta vulnerabilidad solo afectaba a un número muy limitado de usuarios. El mismo día, a las 15:50 horas, se deshabilita el acceso a la sede electrónica y a las 18:30 se resuelve el error del programa. 12. En fecha 7 de febrero de 2018, a las 9:10 horas, se vuelve a habilitar el acceso a los ciudadanos a la sede electrónica tras realizar numerosas pruebas exhaustivas y estar seguros de que no hay más vulnerabilidades. 13. Tras las dos incidencias, han realizado una medición de probabilidad/impacto que esta brecha hubiera podido tener y han concluido que de las 19 personas que se habían dado de alta en el módulo indicado, solo cuatro tienen registros de salida por lo que el riesgo ha sido muy bajo. 14. Con el objetivo de garantizar la protección de datos personales, la empresa prestadora del servicio del Ayuntamiento de Villa del Prado, ha adoptado las siguientes medidas de seguridad: o Revisión de los accesos realizados. o Comunicación a las personas que han tenido acceso a la información de la obligación de confidencialidad. o Creación de ficheros de “log” (registro de accesos), que registren las operaciones realizadas. o Realización de un chequeo en el plazo de un mes de la efectividad de las medidas con una simulación de creación de un expediente completo para poder detectar posibles fallos en los programas. 15. Para evitar que vuelva a ocurrir algo parecido se han implementado dos protocolos de actuación: o C/ Jorge Juan, 6 28001 – Madrid Antes de implantar una nueva funcionalidad, se harán pruebas además de en el entorno de desarrollo (programación), en otro entorno de preproducción. www.agpd.es sedeagpd.gob.es 8/17 o Se ha ampliado el plan de pruebas del módulo que ha provocado la incidencia con objeto de cubrir todas las posibilidades: Usuario que no tenga ni expedientes ni registros de entrada/salida. Usuario que tenga expedientes y no tenga registro de entrada ni de salida. Usuario con registros de entrada pero sin expedientes ni registros de salida. Usuario con registros de salida pero sin expedientes ni registros de entrada. Combinaciones de todos los casos. Una vez comprobado el correcto funcionamiento del sistema se pasará a producción y se notificará a la persona responsable del Ayuntamiento que se ha puesto la nueva funcionalidad y el resultado del plan de pruebas ejecutado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Teniendo en cuenta la fecha en la que se produjeron los hechos denunciados, entre noviembre de 2017 y enero de 2018, resultan de aplicación las previsiones contenidas en la LOPD, al no resultar aplicable, en este caso, el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, aunque en vigor desde mayo de 2018. III El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
- a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En el presente caso, ha quedado acreditado que el fichero al que se pudo acceder por el problema de seguridad contiene datos personales y, se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. IV El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” Se imputa al Ayuntamiento de Villa del Prado el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que: Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados. El mantenimiento de ficheros carentes de medidas de seguridad que permitan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por el Ayuntamiento de Villa del Prado pertenecientes a ciudadanos que han registrado en ese ente local documentos de entrada o que han recibido escritos del consistorio, correspondiendo adoptar las reguladas en el Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
- b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, como responsable del fichero, el Ayuntamiento de Villa del Prado está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de los que es responsable, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al establecer un sistema de acceso a copias electrónicas de documentación aportada por los ciudadanos o a la generada en la tramitación de sus procedimientos, disponible a través de su sede electrónica, que no impidió de manera fidedigna que por parte de unos ciudadanos determinados se pudiera acceder a datos personales de otros ciudadanos que hubieran tramitado algún procedimiento en el Ayuntamiento, según los detalles que constan en los Hechos Probados. Por tanto, el acceso al sistema de copias electrónicas permitió, no únicamente el acceso a la documentación del ciudadano respectivo, sino a la correspondiente a terceros. Concretamente, ha quedado acreditado que debido a un error de codificación, a partir del 29 de noviembre de 2017, los datos personales de más de seis mil ciudadanos del municipio fueron puestos a disposición de personas que no estaban autorizadas para ello. La incidencia consistió en que al utilizar la opción de conectar para ver los expedientes de cada usuario, en algunos supuestos el sistema facilitó el acceso a todos los expedientes que se tramitaban en el municipio; pudiendo acceder a documentos aportados o generados desde el año 2012. Por otra parte, el día 2 de febrero de 2018, se produjo un nuevo incidente de seguridad relacionado con el registro de salida; al descargar la documentación anexa a dicho registro se descarga la documentación de otra persona. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 Se trata de vulnerabilidades apreciadas en la sede electrónica del Ayuntamiento de Villa del Prado, que quedaron acreditadas por la documentación aportada por el denunciante, en primer lugar, y por la propia entidad, que informó voluntariamente la segunda incidencia a esta Agencia Española de Protección de Datos; y que constan reseñados en la documentación aportada y en las comprobaciones realizadas por los Servicios de Inspección. Así, los datos personales tratados por el Ayuntamiento de Villa del Prado, pertenecientes a ciudadanos que tramitaron expedientes con dicha entidad, resultaron accesibles para otros ciudadanos no interesados, si bien debían cumplir una serie de requisitos, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que dicha entidad ha incurrido en la infracción grave descrita. El Ayuntamiento de Villa del Prado es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable al mismo. V El Ayuntamiento de Villa del Prado ha alegado que disponía de las medidas de seguridad exigidas por la normativa aplicable. Sin embargo, ha de tenerse en cuenta que en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991, y considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada sino también las que resulten responsables de los mismos aun a título de simple inobservancia. El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” Es el Ayuntamiento de Villa del Prado el obligado último a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. VI El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que el Ayuntamiento de Villa del Prado ha incurrido en la infracción grave descrita. VII El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso efectuado por parte de terceros a los datos personales de ciudadanos contenidos en los sistemas de información del Ayuntamiento de Villa del Prado, en los que constan datos personales. Por tanto, procede analizar el cumplimiento por parte del Ayuntamiento de Villa del Prado del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que el Ayuntamiento de Villa del Prado vulneró este deber de confidencialidad en relación con ciudadanos que tramitaban o habían tramitado expedientes en el Ayuntamiento. Esta información no puede ser facilitada o accedida por terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los contribuyentes afectados. VIII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
- d)de la LOPD. En este precepto se establece lo siguiente: “
- d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los ciudadanos fueron conocidos por terceros, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada al Ayuntamiento de Villa del Prado se ajusta a la tipificación prevista en el 44.3.
- d)de la LOPD. XI Los hechos constatados, que resulta del acceso a los datos personales de ciudadanos registrados en los ficheros del Ayuntamiento de Villa del Prado por parte de otros ciudadanos, sin el consentimiento de sus titulares, constituye una base fáctica para fundamentar la imputación a dicha entidad de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, si una información contenida en un fichero de contribuyentes sale del ámbito de la entidad responsable de su confidencialidad por un incidente de seguridad de los datos, se está produciendo un incumplimiento de las medidas de seguridad exigidas a dicho responsable que, a su vez, deriva en una vulneración del deber de secreto profesional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 Por lo tanto, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción correspondiente a la infracción del artículo 9 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede subsumir ambas infracciones en una, declarando únicamente la infracción del artículo 9 de la LOPD, que se trata de la infracción originaria que ha implicado la comisión de la otra. X Tratándose de infracciones cometidas por Administraciones Públicas, procede aplicar el artículo 46 de la LOPD, que establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. XI En el presente caso, la respuesta del Ayuntamiento de Villa del Prado para mitigar los efectos de los incidentes de seguridad reseñados y corregir su causa fue inmediata. La primera medida en relación con la incidencia de seguridad comunicada el día 31 de enero a la empresa encargada del mantenimiento del software del Ayuntamiento de Villa del Prado, consistente en la paralización del servicio que permitía obtener la documentación que consta en los procedimientos tramitados por el mencionado Ayuntamiento y se resuelve el error del programa; habilitándose el acceso de los ciudadanos a la sede electrónica en una hora y 29 minutos. Se detectó un segundo error de codificación en la descarga de documentos de salida; se deshabilitó el acceso, se corrigió y antes de tres horas se resolvió. Posteriormente, se han reforzado las pruebas dirigidas a detectar este tipo de errores”. Por otra parte, el número de usuarios que pudieron acceder a documentos de terceros eran sólo cuatro personas, uno de ellos el denunciante, que es Concejal del Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Por tanto, se entiende que el Ayuntamiento de Villa del Prado ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE VILLA DEL PRADO ha infringido lo dispuesto en el artículo 9.1 de la LOPD en su relación con los artículos 91 y 93 del RLOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE VILLA DEL PRADO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es