1/12 Procedimiento Nº AP/00043/2017 RESOLUCIÓN: R/03505/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00043/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOCALIDAD.1, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 31 de marzo de 2017, tiene entrada en esta Agencia un escrito de D. A.A.A. (en adelante el denunciante), en el que expone que, ha tenido conocimiento de que en una serie de procesos judiciales que se siguen contra él, se han aportado documentos que figuran en los archivos del Ayuntamiento de ***LOCALIDAD.1. Entre estos documentos figuran solicitudes del denunciante con sus datos personales, dirigidas al citado Ayuntamiento sobre diversas cuestiones: peticiones de ruedas de prensa por un partido político, solicitud de licencia de obras, presentación de candidatura para elecciones, solicitud de espacio para la feria del libro, declaración responsable para licencia de obra menor de reforma en domicilio. Expone el denunciante que copia de estos documentos se aportaron por los demandantes al Juzgado de 1ª Instancia nº 3 de ***LOCALIDAD.2, en un procedimiento de Juicio Verbal, para que se utilizaran por la Perito Calígrafo Judicial para la emisión de su dictamen, en la prueba que se solicitaba. Aporta el denunciante el documento presentado por los demandantes solicitando esta prueba ante dicho Juzgado. Con fecha 16 y 20 de marzo de 2017, el denunciante ha solicitado información al Ayuntamiento respecto de las personas que habían obtenido los citados documentos que contienen datos de carácter personal. De la respuesta del Ayuntamiento de ***LOCALIDAD.1 se desprende lo siguiente:
- a)Que en el Ayuntamiento no consta solicitud de consulta ni obtención de copia de los referidos documentos, ni autorización alguna para ello, por lo que si han sido extraídos de los circuitos municipales, como usted afirma, y utilizados para fines que nada tienen que ver con la actividad municipal, este hecho se ha producido sin contar con la pertinente autorización.
- b)Actualmente, a los documentos presentados en el registro de entrada tienen acceso los empleados públicos municipales correspondientes, dependiendo de áreas de trabajo, para el exclusivo ejercicio de sus funciones, así como los concejales de la corporación, sean del equipo de gobierno, para sus tareas de gobierno, o de la oposición, para su función fiscalizadora. SEGUNDO: Con fecha 3 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE ***LOCALIDAD.1 por la presunta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- h)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el AYUNTAMIENTO DE ***LOCALIDAD.1 presentó escrito en el que solicitaba la ampliación del plazo concedido para la presentación de alegaciones y presenta un borrador de las alegaciones en el que, en síntesis, manifiesta que: El Ayuntamiento trabaja con una plataforma de administración electrónica certificada que les permite cumplir con los estándares de seguridad y por tanto cumplir con el artículo 9.1 de la LOPD. Que se cumple con las garantías relativas al control de acceso previstas en el artículo 91 del RLOPD y con las medidas que fija el artículo 93. Que se tiene constancia de que un Concejal accedió en esas fechas al Registro, consultó y se descargó las copias de los documentos que luego un familiar suyo aportó en el Juicio. CUARTO: Con fecha 31 de octubre de 2017 se registran de entrada las alegaciones que reproducen lo ya manifestado en el borrador. Se incluye con las alegaciones la siguiente documentación: Oficios del Juzgado de Primera Instancia e Instrucción número 3 de ***LOCALIDAD.2 solicitando la remisión de los documentos manuscritos del Sr. A.A.A., de que disponga el Ayuntamiento y las respuestas del Ayuntamiento. Los documentos que se presentaron en el Juzgado. La relación de los accesos del mencionado Concejal, señalando los que se refieren a los documentos aportados por su familiar al Juicio contra el denunciante de este procedimiento. El Convenio de Colaboración entre la Diputación Provincial de Alicante y el Ayuntamiento de ***LOCALIDAD.1 para la adopción del plan de modernización de los ayuntamientos de la provincia de Alicante del año 2013. QUINTO: Con fecha 16 de noviembre de 2013, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordando practicar las siguientes: Incorporar al expediente del procedimiento, y por tanto dar por reproducida a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00043/2017 presentadas por el AYUNTAMIENTO DE ***LOCALIDAD.1, con su correspondiente documentación adjunta. Solicitar que, como responsable del fichero, se informe de cuáles son las medidas que se adoptan para que el personal conozca de una forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones así como las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 consecuencias en que pudiera incurrir en caso de incumplimiento, según lo que establece el apartado 2 del artículo 89 del Reglamento de Protección de Datos. Solicitar también que, como responsable del fichero, informe sobre cuál es el procedimiento que se emplea para que los usuarios autorizados justifiquen cada uno de los accesos, con el fin de que se acceda únicamente a los recursos que precisen para el desarrollo de sus funciones. Solicitar que, como responsable del fichero, informe sobre cuáles son las medidas que se han adoptado tras tener conocimiento de que se han producido accesos indebidos. SEXTO: Con fecha 13 de diciembre de 2017 se recibe escrito de respuesta a las pruebas solicitadas en el que se pone de manifiesto lo siguiente: Respecto de las medidas para el conocimiento de las normas de seguridad por el personal, el alcalde expone: “En el año 2010 se realizó un estudio en el Ayuntamiento sobre la adecuación de los sistemas informáticos a las medidas de seguridad establecidas en el Reglamento y la LO 15/1999, a raíz del cual se comunicó al personal sus funciones y obligaciones con el sistema de segundad implantado en el Ayuntamiento. Desde esa fecha, se han venido sucediendo de forma no periódica reuniones para seguir informando de este tema tanto a personal como a ciudadanos cuando ha habido necesidad o cuando lo han demandado. Se adjunta como documento num.1 el INFORME RELATIVO A MEDIDAS ADOPTADAS EN RELACION CON LA LEY DE PROTECCION DE DATOS del Responsable del Departamento de Informática”. Sobre el procedimiento para que los usuarios justifiquen los accesos, se reiteran las medidas ya expuestas en sus alegaciones: que se autoriza a personas determinas para el acceso a los recursos según las necesidades para el ejercicio de sus funciones. Todos los concejales tienen permiso para acceder al Registro General de Entrada. Con relación a las medidas adoptadas tras el acceso indebido, el alcalde expone: “Destacar que lo que se ha producido no es, en este caso, un acceso indebido, de hecho no hemos detectado accesos no autorizados. No estamos ante un acceso no autorizado, el acceso es lícito, autorizado y plenamente Iegal, lo que no parece lícito ha sido el fin privado para el cual se han extraído, en este caso, los datos de los circuitos municipales y se han utilizado. De cualquier forma, se está trabajando para establecer un protocolo periódico de información al personal para que de forma clara puedan saber cuáles son sus funciones y obligaciones respecto a la Protección de Datos”... SÉPTIMO: Con fecha 18 de diciembre de 2018, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE ***LOCALIDAD.1 ha infringido lo dispuesto en el artículo 9.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- h)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la mencionada Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 OCTAVO: Notificada la propuesta de resolución, el AYUNTAMIENTO ***LOCALIDAD.1 realizó alegaciones frente a la misma en las que comunica: DE “En el presente caso, las medidas de seguridad adecuadas han sido Implantadas y desarrolladas en la práctica para evitar cualquier merma en la seguridad de los datos, y de hecho, el Ayuntamiento ni ha cedido los datos a un tercero, ni le ha dado un uso distinto a los que son propios a las finalidades del mismo. Se cumplen así todas las medidas de seguridad de los arts. 89 y siguientes de la LOPD, y especialmente, el control de acceso previsto en el art. 91 y la necesidad de Identificación y autenticación del art 93, ambos de la LOPD. (…) Po último, señalar que en la PROPUESTA no se acredita que se den las condiciones del tipo normativo por el que se pretende sancionar al M.I. Ayuntamiento de ***LOCALIDAD.1 al tipificar el art. 44.3
- h)de la LOPD que sólo constituye infracción grave el mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentariamente se determinen. Ausencia de condiciones que, como se ha acreditado, no se da en el presente caso.” Concluyen las alegaciones solicitando que se decrete el archivo de las actuaciones por no constar acreditados hechos que motiven la imputación de la infracción del art. 9.1 de la LOPD. HECHOS PROBADOS PRIMERO: Consta que se ha denunciado que documentos con datos personales del denunciante que figuran en el Registro de entrada del Ayuntamiento de ***LOCALIDAD.1, se han aportado al Juzgado de 1ª Instancia nº 3 de ***LOCALIDAD.2, en un procedimiento de Juicio Verbal, para que se utilizaran por la Perito Calígrafo Judicial para la emisión de su dictamen, en la prueba que se solicitaba. Aporta el denunciante el documento presentado por los demandantes solicitando esta prueba ante dicho Juzgado en septiembre de 2016. SEGUNDO: En marzo de 2017 el denunciante ha pedido al Ayuntamiento información sobre la obtención de los documentos con sus datos de carácter personal. El Ayuntamiento de ***LOCALIDAD.1 le ha contestado que en el Ayuntamiento no consta solicitud de consulta ni obtención de copia de los referidos documentos, ni autorización alguna para ello, por lo que si han sido extraídos de los circuitos municipales, como él afirma, y utilizados para fines que nada tienen que ver con la actividad municipal, este hecho se ha producido sin contar con la pertinente autorización. Le informa también de que actualmente, a los documentos presentados en el registro de entrada del Ayuntamiento, tienen acceso los empleados públicos municipales correspondientes, dependiendo de áreas de trabajo, para el exclusivo ejercicio de sus funciones, así como los concejales de la corporación, bien sean del equipo de gobierno, para sus tareas de gobierno, o de la oposición, para su función fiscalizadora. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
- i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” IV Se imputa al Ayuntamiento de ***LOCALIDAD.1 el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). El citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” Así, el Ayuntamiento de ***LOCALIDAD.1, como responsable del fichero de datos personales contenidos en su registro de entrada, está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las medidas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En el caso presente se ha constatado que varios documentos del archivo municipal con datos personales del denunciante se han aportado en un proceso judicial con el fin de que se utilizaran para la emisión de un dictamen pericial, en la prueba que los demandantes del procedimiento solicitaban. El acceso a los datos personales contenidos en dichos documentos para finalidades distintas de aquellas para las que se obtuvieron, establece la base de facto para fundamentar la imputación de la infracción del artículo 9 de la LOPD. El Ayuntamiento ha comunicado al denunciante que, si los documentos se han extraído de los archivos municipales y se han utilizado para fines que no tienen que ver con la actividad municipal, esto ha ocurrido sin contar con autorización. Le informa también de qué personas son las que tienen acceso a esos documentos con datos personales y la finalidad de ese acceso: el ejercicio de sus funciones y las tareas de gobierno, de oposición y la función fiscalizadora. Sin embargo, lo cierto es que el Ayuntamiento de ***LOCALIDAD.1, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para garantizar la seguridad de los datos de carácter personal del denunciante, por ello, debe considerarse que ha vulnerado la LOPD. El ayuntamiento expone, en sus alegaciones al acuerdo de inicio y a la propuesta de resolución, que trabaja con una plataforma de administración electrónica certificada que les permite cumplir con los estándares de seguridad y, por tanto, cumplir con el artículo 9.1 de la LOPD. Que se cumple con las garantías relativas al control de acceso previstas en el artículo 91 del RLOPD y con las medidas que fija el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 artículo 93 y que se tiene constancia de que un Concejal accedió en esas fechas al Registro, consultó y se descargó las copias de los documentos que luego un familiar suyo aportó en el Juicio. Aporta con sus alegaciones la relación de los accesos del mencionado Concejal, señalando los que se refieren a los documentos aportados por su familiar al Juicio contra el denunciante de este procedimiento. La LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En este caso el responsable del fichero es el Ayuntamiento de ***LOCALIDAD.1 que es quien deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal. En la práctica de pruebas se ha solicitado al Ayuntamiento que, como responsable del fichero, se informe de cuáles son las medidas que se adoptan para que el personal conozca de una forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento, según lo que establece el apartado 2 del artículo 89 del Reglamento de Protección de Datos. Que informe también sobre cuál es el procedimiento que se emplea para que los usuarios autorizados justifiquen cada uno de los accesos, con el fin de que se acceda únicamente a los recursos que precisen para el desarrollo de sus funciones, y por último se solicita que informe sobre cuáles son las medidas que se han adoptado tras tener conocimiento de que se han producido accesos indebidos. El Alcalde en su escrito de respuesta expone que en el año 2010 se realizó un estudio sobre la adecuación del sistema informático a las medidas de seguridad de la LOPD y que se mantuvieron reuniones con el personal para explicar la importancia de cumplir el reglamento aprobado en pleno. Respecto de la justificación específica de cada uno de los accesos realizados por el personal autorizado, el alcalde expone lo relativo al control de acceso a la documentación del Registro de entrada que se alegó al acuerdo de inicio. Sobre las medidas adoptadas tras los accesos indebidos, el alcalde manifiesta que “el acceso es lícito, autorizado y plenamente legal, lo que no parece lícito ha sido el fin privado para el cual se han extraído, en este caso, los datos de los circuitos municipales y se han utilizado”. Expone también que se está trabajando en un protocolo periódico de información al personal para que puedan saber cuáles son sus funciones y obligaciones respecto a la Protección de Datos. En las alegaciones realizadas a la propuesta de resolución se insiste en que se cumplen las medidas de seguridad adecuadas por parte del Ayuntamiento y que no se dan las condiciones para sancionarle. En este caso si bien se ha justificado la existencia de medidas por parte del responsable del fichero que garanticen la seguridad de los datos de carácter personal, se considera que debería reforzarse la información al personal que utiliza los sistemas, empleados y concejales, para que conozca las normas de seguridad que afectan al desarrollo de sus funciones y las consecuencias en que pudiera incurrir en caso de incumplimiento, según se establece C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 en el apartado 2 del artículo 89 del Reglamento de Protección de Datos. Por otra parte también se considera que deberían reforzarse las medidas de seguridad por medio de la implantación de un procedimiento por el que, las personas con autorización de acceso, justifiquen cada uno de los accesos realizados exponiendo la finalidad del mismo, con el fin de que se acceda únicamente a los recursos que precisen para el desarrollo de sus funciones De acuerdo con los fundamentos anteriores, se deduce que ha tenido lugar una vulneración del principio de seguridad de los datos del Ayuntamiento de ***LOCALIDAD.1, que ha tenido como consecuencia que documentos con datos personales del denunciante, fueran accesible a terceros no autorizados, que los utilizaron para finalidades distintas de aquellas para las que se obtuvieron los datos, infracción que procede calificar como grave. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Ayuntamiento de ***LOCALIDAD.1 carece de las medidas de seguridad que la Ley exige al responsable del fichero, al haber permitido accesos no autorizados a los datos personales del denunciante. De acuerdo con los fundamentos anteriores, se deduce que por parte del Ayuntamiento de ***LOCALIDAD.1 se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia el acceso no autorizado a los datos personales del denunciante, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOCALIDAD.1 ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como Grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR por parte de la Agencia, la adopción de una concreta medida correctora toda vez que ya se han hecho las consideraciones pertinentes. TERCERO: NOTIFICAR ***LOCALIDAD.1. la presente resolución al AYUNTAMIENTO DE CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es