← España

AAPP-00046-2016

1/19 Procedimiento Nº AP/00046/2016 RESOLUCIÓN: R/01929/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00046/2016, instruido por la Agencia Española de Protección de Datos a la CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS) y al MINISTERIO DE JUSTICIA (SECRETARIA GENERAL DE LA ADMINISTRACION DE JUSTICIA), vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/01/2016 se recibe denuncia de A.A.A. en la que se pone de manifiesto: “Soy Abogada”, y con fecha “18/01/2016, accedí” con mi carnet Colegial con firma electrónica (ACA) a la plataforma LEXNET ABOGACÍA, y en “mi bandeja de enviados pendientes aparecían dos escritos que yo no he enviado, de hecho no son míos”. “Ambos escritos de dos compañeros distintos van dirigidos al Juzgado Mixto núm. 2 de***LOC.1, y yo puedo acceder a todos los datos del envío. Posteriormente accedió a la misma plataforma pero por “LEXNET MINISTERIO DE JUSTICIA para comprobar si se daba la misma circunstancia” y “el resultado ha sido más sorprendente aun puesto que aparezco con el rol de XXXX de la Administración de Justicia-fui Secretaria Judicial sustituta del Juzgado mixto 2 de***LOC.1 hace más de dos años- Con ese rol aparece en mi bandeja de entrada un escrito que no he abierto y en la bandeja de acuses de recibo hay 579 documentos. Lógicamente no los he abierto, pero en la bandeja aparecen los datos de los escritos y de las partes que lo presentan y supongo que si pinchara en cada uno de ellos podría acceder a todos los datos del procedimiento de las personas intervinientes”. “Los documentos que me aparecen en LEXNET ABOGACIA y LEXNET MINISTRIO DE JUSTICIA no son los mismos, aunque en ningún caso me pertenecen, sino que todos son de otros compañeros” Adjunto a la denuncia ha aportado ACTA NOTARIAL DE REQUERIMIENTO, de 20/01/2016, de la que destaca: 1) La denunciante pone de manifiesto que ha observado “una serie de errores en las comunicaciones al utilizar las plataformas LEXNET ABOGACIA y LEXNET MINISTERIO DE JUSTICIA” 2) Requiere al Notario para que “acceda con su certificado digital ACA a las webs http://www.abogacia.es.................. y https://lexnet.justicia.es “para dejar constancia de “notificaciones y acuses de recibo recibidos erróneamente.” “La Sra. requirente accede con su certificado digital en su ordenador portátil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 a la página LEXNET ABOGACIA, entrando en la carpeta correo enviados y pendientes figurando dos asuntos que según manifiesta la requirente nada tienen que ver con ella, tal y como aprecio en dicho correo son asuntos relativos al Juzgado de Primera Instancia 2 de***LOC.1, ejecución provisional ***/2014, enviado el 14/01 del corriente, y al mismo Juzgado, diligencias previas ***/2015 enviado el 13/01”. Manifiesta la requirente que estuvo “ejerciendo de Secretaria Judicial en dicho Juzgado desde marzo 2011 hasta abril 2013” y que “esos correos no han sido enviados por ella” y son “asuntos con los que no tiene relación laboral alguna”. 3) “Cierra esta página y accede a LEXNET JUSTICIA en la que compruebo que aparece como Letrado de la Administración de Justicia del Juzgado de Primera Instancia e Instrucción 2 de***LOC.1”, reiterándome que en la fecha indicada cesó como XXXX. “En el momento de acceder a la página, en el Correo en la bandeja de entrada constato que tiene una notificación remitida por B.B.B.a las 13:33, e igualmente constato que en acuse de recibo figuran 576 correos manifestando de nuevo la requirente que dichos correos son de escritos dirigidos al citado Juzgado.” En la misma página “tiene la opción de cambiar de usuario y así lo hace accediendo cono Abogada y en su Correo constato que aparece una notificación manifestando la requirente que esta si es una notificación relativa a un asunto que ella lleva como XXXX.” SEGUNDO: El 8 y 22/04/2016, se efectúa visita de Inspección a la Subdirección General de las Nuevas Tecnologías de la Justicia, del MINISTERIO DE JUSTICIA, manifestando la entidad: 1. LEXNET se implantó en el año 2007, y es una plataforma de intercambio seguro de información entre los órganos judiciales y múltiples operadores jurídicos que, en su trabajo diario, necesitan intercambiar documentos judiciales (notificaciones, escritos y demandas). Entre los colectivos que se incorporaron al sistema figuran los Letrados de la Administración de Justicia. Desde enero de 2016, se ha convertido en la plataforma de envío de comunicación obligatoria para todos los Abogados del territorio del Ministerio de Justicia y Comunidades Autónomas excepto Cantabria, País Vasco, Navarra y parcialmente Cataluña. Actualmente LEXNET cuenta con más de 52.000 usuarios, utilizándose en más de 3.500 órganos judiciales y se han intercambiado más de 160 millones de documentos. LEXNET está desarrollada como una nube privada del Ministerio de Justicia. 2. La identificación y autenticación del usuario de LEXNET se realiza por certificado digital. Los usuarios tienen que solicitar el alta en LEXNET la primera vez que acceden. En el caso de los Abogados solo podrán tramitar la solicitud de alta a través de su Colegio profesional, y una vez tramitado, ya podrán acceder con su carnet colegial con firma electrónica (ACA). LEXNET funciona a través de perfiles de usuario (roles) que permiten acceder a un determinado tipo de información. Cada usuario tiene asignado al menos un “rol” y al menos un “buzón” espacio que permite el envío y recepción de los documentos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 En caso de que un usuario tenga más de un rol, al acceder a LEXNET, el Sistema le muestra, por defecto, las notificaciones correspondientes al buzón o buzones asociados al primer rol que se le asignó en el registro inicial, pudiendo el usuario elegir cualquier de los otros roles que tenga asociado. Los acuses de recibo son visibles en los buzones durante 60 días y posteriormente pueden ser localizados sin restricción temporal. Las notificaciones también son visibles en los buzones durante el plazo que marca la normativa. 3. El acceso a LEXNET puede ser directamente (https://lexnet.justicia.

  1. es)o a través de aplicaciones externas desarrolladas por diferentes colectivos, entre los que se encuentra el Colegio de Abogacía Española a través del sitio web http://www.abogacia.es. Sea cual sea la ruta de acceso, el Sistema internamente utiliza el número de DNI del usuario para identificar su “rol” o “roles” y poder mostrar la información disponible en cada uno de los buzones asociados. 4. Se ha acreditado que actualmente la denunciante consta únicamente con el rol de Abogado en estado activo y con fecha de alta en este rol 17/12/2015. (documento DOC 1, del Acta de Inspección menú “Gestión de usuarios” en el que consta ROLABOGADO. En una de las hojas figura 17/02/2016 MODIFICACION, ignorando de que se puede tratar.)(folios 15 a 17). De ella figuran el DNI y una dirección de correo electrónico. 5. Se realiza una consulta a los usuarios asignados al Juzgado 2 de***LOC.1 y no se localiza información de la denunciante (documento 2 que incluye todas las personas que tienen acceso y su rol). A continuación se consulta el buzón asociado al ROL Letrado de Justicia de dicho Juzgado, verificando que constan actualmente 23 escritos y 690 mensajes del tipo acuses de recibo, figurando en DOCUMENTO 3 gráficamente al lado de las CARPETAS dichas cifras. Sobre dichas carpetas, del listado de las notificaciones y acuses de recibo del buzón se comprueba que:  En fecha 14/01/2016 a las 19:51 consta una referencia relativa a un documento respecto de la ejecución provisional ***/2014, que coincide con la referencia recogida en el Acta Notarial aportada por la denunciante. Esta notificación ha sido remitida por C.C.C. según impresión obtenida.  En fecha 13/01/2016 a las 20:02 consta una referencia relativa a un documento respecto de la diligencia previas ***/2015, que coincide con la referencia recogida en el Acta Notarial aportada por la denunciante. Esta notificación ha sido remitida por D.D.D. según impresión obtenida.  En fecha 20/01/2016 consta una referencia relativa a Ejecución de títulos judiciales remitida por E.E.E., que coincide con la referencia recogida en el Acta Notarial aportada por la denunciante. según impresión obtenida, en la que se leen los nombres del demandante y ejecutado en el apartado intervinientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 Se verifica e incorpora en documento 4 que los usuarios C.C.C. D.D.D. y E.E.E. constan en las notificaciones mencionadas figuran como Abogado y en estado activo. 6. Se ha verificado que en el Registro de Incidencias del Sistema LEXNET consta una incidencia respecto del usuario A.A.A. con el título “BAJA EN LEXNET” con la siguiente descripción “esta usuaria aparece con el rol de Letrado de la Administración de Justicia (fue Secretaria Judicial sustituta del Juzgado Mixto 2 de***LOC.1 desde el DD de MM de AA al DD1 de MM1 de AA1). Con este rol aparece en su bandeja de entrada un escrito que no ha abierto y en la bandeja de “acuses de recibo” hay 579 documentos”. Dicha incidencia consta como cerrada el 09/02/2016 con la anotación: “Incidencia resuelta. El usuario se puso en contacto con el Juzgado de***LOC.1. Procedemos a su cierre”. (documento 5 del Acta de Inspección). 7. El Ministerio añade a modo de resumen:  La denunciante fue registrada como usuaria en LEXNET mientras estuvo como Secretaria Judicial en el Juzgado de***LOC.1 con rol de Letrado de la Administración de Justicia por lo que tenía acceso a todas las notificaciones y acuses de recibo del Juzgado (contenido completo de los buzones). Por motivos que desconocen, al cesar en su cargo no se solicitó su baja como usuario en LEXNET, motivo por el cual mantenía el rol de Letrado de la Administración de Justicia.  Con fecha 17/12/2015, la denunciante se registra como usuario con el rol de Abogado, manteniendo ambos roles.  Al acceder a LEXNET, ya sea a través de la web del Colegio (http://www.abogacia.es..................) o directamente a través de la dirección (https://lexnet.justicia.
  2. es)se muestra primeramente el buzón correspondiente a su rol de XXXX que corresponde con el buzón general del Juzgado, motivo por el cual visualiza las notificaciones y acuses de recibo que indica en su denuncia ante la Agencia.  LEXNET le permite elegir el otro rol de Abogado que tiene asignado y visualiza únicamente su buzón con las notificaciones enviadas y recibidas por ella. 8. Respecto del motivo por el cual no consta actualmente información respecto del rol como XXXX de la denunciante, el Ministerio manifiesta que al gestionarse la incidencia, se le dio de baja de este rol, permaneciendo únicamente la denunciante como Abogada. Asimismo, manifiesta que a partir de la resolución de la incidencia, la denunciante no ha podido acceder más al buzón del Juzgado número 2 de***LOC.1. TERCERO: El Servicio de Inspección accede a la web www.abogacia.es e imprime la información respecto del Sistema de información LEXNET y el certificado de firma electrónica de los Abogados-ACA-, figurando diligencia en tal sentido de 5/05/2016. También se imprime de la página del Ministerio de Justicia el manual de uso del sistema LEXNET elaborado por la Subdirección General de Nuevas Tecnologías (SGNT), figurando en versión, la 3.0 de 11/12/2015. En el manual no figura quien es el competente para las altas según el Cuerpo de pertenencia del empleado, ni tampoco figura concretamente el competente para la baja del usuario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 Según este manual, en la solicitud de alta de usuario, al meter la tarjeta que porta la firma electrónica se inicia el proceso de registro. LEXNET presentará un formulario en el que se ha de elegir el rol, se indica una dirección electrónica por el solicitante, que será a la que se remita la notificación que le indique que la solicitud ha sido aprobada. Existe una clausula informativa en el proceso de registro de datos en la que se indica que el fichero es responsabilidad de la SGNT cuya finalidad es la gestión de usuarios del sistema LEXNET. Se envía el formulario en la pestaña: “enviar solicitud de alta”. Y figura como respuesta “Solicitud completada” “Para acceder al sistema en cuanto su Administrador acepte esta solicitud de acceso, se indica en el manual: “Para que el usuario pueda acceder a LEXNET se requiere que la solicitud que se ha realizado sea verificada y aprobada por el Administrador correspondiente a la entidad o Colegio a la que pertenece el usuario. En el momento que la solicitud de alta sea aceptada, se remitirá un e mail al usuario, a la dirección indicada en la solicitud de alta, confirmando la posibilidad desde ese momento de acceso a LEXNET” (folio 47). También el Servicio de Inspección imprime e incorpora los ficheros que constan inscritos bajo la responsabilidad de la SGNT. Entre ellos por poder guardar relación con el asunto figura el denominado: “Usuarios de los sistemas y Servicios gestionados por la SGNTJ” descrito con finalidad “para la Administración de los usuarios de los sistemas y servicios gestionados por la SGNT” BOE 15/07/2011, Orden JUS/1980/2011, de 5/07, por la que se modifica la Orden JUS/1294/2003, de 30/04l, por la que se determinan los ficheros con datos de carácter personal del departamento y sus organismos públicos. CUARTO: El Servicio de Inspección con fecha 12/05/2016, remite solicitud de información a la Secretaria General de la Administración de Justicia del Ministerio de Justicia y a la Consejería de Justicia e Interior de la Junta de Andalucía sobre: 1) Documentación acreditativa del procedimiento establecido para la solicitud de altas, bajas, modificación de usuarios de LEXNET, incluyendo información y documentación respecto de la forma en que se comunica a las entidades o personas que realizan dicho procedimiento. 2) Documentación acreditativa del Organismo que tiene la responsabilidad de solicitar la baja del sistema LEXNET cuando un Letrado de la Admón. de Justicia deja su cargo, especificando en el caso del Juzgado mixto 2 de***LOC.1 La SECRETARIA GENERAL DE LA ADMINISTRACIÓN DE JUSTICIA DEL MINISTERIO DE JUSTICIA no respondió. La CONSEJERÍA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCÍADirección General de Infraestructuras y Sistemas (DGIS) presentó escritos de 7 y 10/06/2016, declarando: 1. El Sistema LEXNET fue creado por Real Decreto 84/2007, de 26/01, actualmente se rige por el Real Decreto 1065/2015, de 27/11 sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 comunicaciones electrónicas en la administración de Justicia en el ámbito territorial de Justicia, y por el que se regula el sistema LEXNET. El artículo 6.1 establece que la autenticación se realizará mediante sistema de identificación electrónica y el artículo 15.1 que corresponde al MINISTERIO DE JUSTICIA la administración y operación del sistema incluida la garantía del correcto funcionamiento, la custodia y seguridad del mismo. En su artículo 19 se regula el alta en el Sistema LEXNET para los profesionales de la Justicia sin especificar el procedimiento de baja en el sistema. 2. La DGIS manifiesta que firmó con el MINISTERIO DE JUSTICIA un Convenio para la cesión de los derechos de uso del sistema LEXNET publicado en el BOE de 2/05/2009, mediante Resolución de 31/03/2009, de la Secretaria de Estado de Justicia. La DGIS manifiesta que en la estipulación cuarta del Convenio establece que corresponde a la Junta de Andalucía la gestión y administración de los usuarios y la actualización de sus datos en el directorio General del Sistema, y así figura en dicho articulado cuarta.
  3. d)La gestión y administración de sus usuarios y la actualización de sus datos en el directorio general del sistema.” 3. DGIS cita que el Real Decreto 1068/2005, de 30/12 por el que se aprueba el Reglamento Orgánico del Cuerpo de Secretarios Judiciales (actualmente Letrados de la Administración de Justicia), establece como Cuerpo único, de carácter nacional, dependiente el Ministerio de Justicia. 4. “La DGIS, órgano competente de la Consejería para la gestión y administración de los sistemas de información”, “tiene establecido un procedimiento general para la gestión de los usuarios de los mismos-altas, bajas y modificaciones”-no señala la fecha, ni aporta copia del mismo- y prevé los trámites para el alta y la baja o modificación de los usuarios que se pueden resumir:
  4. a)Altas DE USUARIOS en cualquier sistema de información, incluido la LEXNET: a.1: Mediante solicitud telemática “Por parte del usuario o de un competente, realizada mediante la aplicación habilitada en el escritorio judicial de Andalucía a la que se accede con certificado digital o usuario y contraseña. También se prevé el envío por fax al Centro de Servicios de Usuarios de un formulario normalizado disponible en el portal ADRIANO de la Consejería, indicando los sistemas a los que se solicita el acceso. La solicitud de alta pedida telemáticamente se comunica al Secretario Coordinador Provincial, requiriendo su confirmación en la misma plataforma específica para la LEXNET que el usuario debe disponer previamente de “tarjeta criptográfica” proporcionada por DGIS y de certificado digital proporcionado por el Servicio de Informatica Judicial (SIJ) y cargado en la tarjeta criptográfica una vez recibida petición al efecto a través del Centro de Servicio de usuarios. El acceso se producirá una vez se disponga del certificado digital en tarjeta a la aplicación LEXJUSTICIA del Ministerio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 para generar directamente la petición de alta en el sistema. Explica también el sistema de alta a través de formulario en papel. Indica que el SIJ realiza el alta en el fichero de usuarios de la Red Judicial de Andalucía o en caso de contar en el mismo verifica la procedencia de la petición, actualizando datos del usuario, asignación al órgano, unidad de pertenencia y perfil de usuario. Seguidamente ejecuta el alta en el conjunto de aplicaciones correspondientes al perfil del usuario. Para el caso concreto de LEXNET, SIJ accede a la plataforma de la aplicación confirmando la petición realizada por el usuario, procediendo al alta definitiva de los usuarios de los órganos judiciales de Andalucía en la aplicación entre los que se encuentran los Letrados de la Administración de Justicia destinados en el territorio. No detalla cual fue el sistema que utilizó o se aplicó a la denunciante.
  5. b)Bajas b.1: “Requiere igualmente la realización de solicitud por parte de cualquiera de los órganos competentes o usuarios responsables, mediante comunicación por alguno de los dos métodos utilizados en el alta.” Explica que todas las solicitudes de alta, baja, modificación se registran en el gestor de incidencias y peticiones de la DGIS y recogiendo el historial de acciones ejecutadas, incluida cualquier documentación recibida o generada durante la tramitación de las mismas. La Consejería manifiesta que cualquier cambio de situación de un usuario debe ser comunicado por los Órganos o responsables pertinentes. Respecto de la baja en el sistema de LEXNET de un usuario, en este caso la denunciante, “Letrado de la Administración de Justicia del juzgado de***LOC.1”, la Consejería manifiesta que no les consta ninguna solicitud de baja o comunicación de cambio de situación ni ninguna incidencia informada al respecto. Añade que “corresponde a los órganos o autoridades del Ministerio de Justicia la potestad, si no de solicitar la baja, al menos de comunicar la finalización del ejercicio competencial o relación funcionarial que habilita el acceso a los sistemas de información para el ejercicio de las funciones que le sean propias a los usuarios o de cualquier cambio o modificación requerida”. “Y en todo caso corresponde al propio usuario como así se especifica en toda la normativa aplicable, tanto para este como en cualquier otro sistema de información, la notificación de la debida incidencia a la DGIS a través del CAU solicitando la baja”” Siendo imposible conocer por parte de la Consejería cualquier cambio de situación para proceder al alta, baja modificación sin la debida comunicación de cualquiera de los órganos o responsables pertinentes. 5. Indican que estudian la posibilidad de poner en marcha un protocolo específico con el Cuerpo de Letrados de la Administración de Justicia en Andalucía con sus responsables provinciales- Secretarios Coordinadores Provinciales, y su responsable autonómico- Secretario de Gobierno del TSJ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 que evite circunstancias como la acontecida a fin de tener constancia de cualquier baja en el Cuerpo que pueda producirse. QUINTO: Con fecha 23/01/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas por la infracción del artículo 9.1 de la LOPD, en relación con el 91.1), 2) y 3) del RLOPD, a la: - DIRECCIÓN GENERAL DE INFRAESTRUCTURAS DE SISTEMAS (CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA) y a la - SECRETARIA GENERAL DE LA ADMINISTRACIÓN DE JUSTICIA (MINISTERIO DE JUSTICIA). La infracción aparece tipificada como grave en el artículo 44.3.
  6. h)de la LOPD. SEXTO: Notificado el citado acuerdo de inicio, la DGIS presentó escrito de alegaciones el 8/02/2017 en el que reitera lo manifestado, añadiendo: 1) La denunciante fue XXXX de la Admón. de Justicia con nombramiento interino que luego se dedica a la Abogacía, supuesto que en la propia norma reguladora de LEXNET no aparece previsto en cuanto a las bajas en el sistema. 2) Manifiesta que los superiores de la denunciante cuando esta cesó no dieron noticia del mismo a efectos de la baja de usuario del sistema. 3) Las comunicaciones sobre nombramientos cese o traslados de Letrados les llega cuando los comunican los mismos interesados o sus superiores jerárquicos: Secretarios Coordinadores Provinciales del propio Ministerio de Justicia. No hay otra manera de conocer las diversas situaciones de este colectivo funcionarial no transferido a la Junta de Andalucía. El Ministerio no actualizó su fichero de gestión de usuarios de LEXNET para sus propios usuarios ni comunicó a la Junta el cese para darle de baja en la plataforma. 4) Argumenta que en el Convenio para el uso de LEXNET asume funciones de gestión de usuarios, solo en el ámbito del personal de órganos judiciales de Andalucía, pero no tiene instrucción, protocolo u orden donde se establezca el procedimiento par a la gestión de usuarios, actuando como mero operador bajo delegación del Ministerio. 5) La DGIS solo gestiona usuarios, y el fichero de usuarios de LEXNET es de nivel de seguridad básico, sin gestionar ningún dato personal de nivel alto de protección, sin asumir gestión alguna sobre los contenidos documentales o informaciones que se contienen. En cuanto al acceso que se produce al contenido de LEXNET, considera que no tiene ningún poder de decisión ni competencia o función. 6) Manifiesta que sobre los Cuerpos de Gestión Procesal, tramitación y auxilio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 judicial, personal funcionario al servicio de los órganos judiciales bajo competencia de la Consejería de Justicia de la Junta de Andalucía, la DGIS gestiona y controla el acceso a LEXNET plenamente disponiendo de un sistema de comunicación con el sistema de información de Recursos Humanos de la propia Junta. 7) Indican que han corregido el proceso que regula el alta y la baja de usuarios en los sistemas de información. SÉPTIMO: Por su parte, el MINISTERIO DE JUSTICIA, a través de la Subdirección General de Programación de la Modernización, en fecha 1/02/2017, manifestó: A) Indica que aporta documentación acreditativa del procedimiento establecido para la solicitud de altas/bajas/modificación de usuarios de LEXNET y sobre el organismo responsable de solicitar la baja del sistema, adjuntando el manual o protocolo de gestión de accesos de LEXNET versión 2.1 de 25/01/2017 que incluye el apartado 2.1 Autorizadores altas, bajas, modificantes, en el que se mencionan los roles autorizados para efectuar altas, bajas y modificaciones de los usuarios en el aplicativo, que señala que son (folio 137): “Administrador del personal de los órganos judiciales, fiscales IML y Toxicológicos. Tiene la potestad de aceptar las altas, bajas y gestionar bloqueos de los miembros pertenecientes a su órgano.” En el punto 3.2 se determina Bajas. ”Gestión de baja del personal de los órganos judiciales, acciones que puede realizar el administrador LEXNET del Órgano”, sin que se indique referencia sobre el personal adscrito a una CCAA. Manifiesta que las altas, bajas y modificaciones de usuarios se solicitan a través de su administrador del Colectivo que se trate, en caso de Andalucía, actualmente tienen designados como Administradores de LEXNET al personal de informatica de la Junta, que se han venido encargando de la administración de usuarios desde 2011, año en que se les dio de alta en LEXNET con el rol de Administrador. Manifiestan que aportan una relación que dichos Administradores de LEXNET Andalucía han efectuado para el rol de Letrados de la Administración de Justicia, si bien no es aportada. 1) Informa que la denunciante les solicitó el 2/02/2016 la baja del buzón LEXNET a través del centro de atención al usuario del Ministerio de Justicia, y se gestionó la baja con el rol de XXXX de la Admón. de Justicia. 2) Como mejora del sistema LEXNET se contempla en este 2017 un sistema de control de asignación de roles que imposibilite la concurrencia de roles incompatibles en un mismo sujeto al mismo tiempo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 OCTAVO: Un nuevo escrito de la SECRETARIA GENERAL DE LA ADMINISTRACION DE JUSTICIA de 14/02/2017 reitera aspectos ya manifestados, añadiendo como novedad: 1) Aporta impresión de sus sistemas en el que se recoge por escrito la toma de conocimiento de la incidencia a fecha 2/02/2016. En la misma, se destaca que la denunciante adjuntó el cese del puesto que desempeñaba, del cese expedido por la Gerencia Territorial de Andalucía en Sevilla, con fecha 12/04/2014

(145). Figura anotado el 9/02/2016 como resuelta. 2) Aporta copia de la Resolución de 31/03/2009 que regula el Convenio de colaboración entre el Ministerio de Justicia y la Junta de Andalucía, para la cesión de los derechos de uso del sistema LEXNET. Se efectúa por la posibilidad legal de suscribir con las CCAA que hayan recibido los traspasos de funciones y servicios en relación con los medios materiales de la Admón. de Justicia en sus ámbitos territoriales correspondientes. destacando:
  1. a)El objeto del Convenio es la cesión a la Junta de los derechos de uso del sistema LEXNET para su implantación y utilización en los órganos judiciales de la CCAA de Andalucía. En la cláusula cuarta se impone como competencia de la Junta, entre otras:
  2. d)La gestión y administración de sus usuarios y la actualización de sus datos en el directorio general del sistema”. 3) Aporta un listado de las operaciones de altas y bajas de los últimos 3 años que han realizado los administradores de LEXNET de la junta de Andalucía para el rol de Letrados de la Administración de Justicia. Señala que el departamento de la SG de Nuevas Tecnologías solo interviene en casos excepcionales para realizar las altas y bajas de usuarios de órganos judiciales en caso de que el administrador del órgano judicial no pudiera realizar la operación o en casos excepcionales justificados. También se han firmado Convenios de uso y cesión con otras CCAA con literales similares. Aporta también listados de altas y bajas de usuarios de otras Comunidades de Letrados de la Administración de Justicia realizados por los Administradores de dichas CCAA. El haber procedido a la subsanación de la presunta infracción no implica responsabilidad del Ministerio 4) Niega la comisión de la infracción del artículo 9.1 en el sentido de que la acción no está tipificada en dicho artículo. Señala que lo que se ha dado es un potencial doble acceso, propiciado por el hecho de no haberse gestionado oportunamente la baja en el rol de Letrado. Añadiendo que dicha baja no era competencia del Ministerio sino de la Junta. No se acredita acceso a documento alguno según la propia denunciante manifestó. La mera posibilidad hipotética no debe fundar la existencia de una acción típica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 NOVENO: Con fecha 11/05/2017 se incorpora la impresión del BOE que contiene el Real Decreto 1065/2015 de 27/11 sobre comunicaciones electrónicas en la Administración de Justicia en el ámbito territorial del Ministerio de Justicia y por el que se regula el sistema LEXNET. Como más destacable, se subraya:
  3. a)Es un sistema telemático para la realización de actos de comunicación procesal.
  4. b)En el artículo 2 define los integrantes de los órganos y oficinas judiciales, entre otros a los Letrados de la Administración de Justicia.
  5. c)El artículo 13 y ss. define el sistema LEXNET. El artículo 15 indica que el entorno operativo compete al Ministerio de Justicia y que podrá poner a disposición de las CCAA con competencias de funciones y servicios en relación con medios materiales de la Admón. de Justicia el sistema LEXNET.
  6. d)Este RD establece en su anexo I un apartado denominado “Ficheros con datos de transacciones y de carácter personal en el sistema LEXNET”, refiriendo como fichero 1 el de “Custodia de la información acreditativa de las transacciones realizadas”, y fichero 2 “Gestión de usuarios del sistema LEXNET”, con finalidad y usos previstos del fichero: disponer de una relación actualizada de usuarios que tengan acceso autorizado al sistema LEXNET, a efectos de la actividad de gestión de usuarios y de establecer mecanismos o procedimientos de identificación y autenticación para dicho acceso, siendo el responsable en ambos, la Subdirección General de Nuevas Tecnologías de la Justicia. Secretaría General de la Administración de Justicia. Secretaria de Estado de Justicia. Ministerio de Justicia. El nivel de seguridad es alto en el fichero 1 y básico en el 2. En el anexo II figuran los posibles usuarios del sistema LEXNET entre los que se encuentra los del Cuerpo Superior de letrados de la Admón. de Justicia. En el ANEXO VI titulado requisitos de acceso y requerimientos técnicos del sistema LEXNET, en el punto 2 se indica que la solicitud de alta deberá ser validada por los Administradores competentes de los colectivos de usuarios autorizados como garantía de pertenencia a un determinado colectivo. Todo ello sin perjuicio de las atribuciones en materia de alta de usuarios que asuman las CCAA que hayan recibido los traspasos de funciones y servicios en relación con los medios materiales de la Admón. de Justicia en los términos de los Convenios suscritos. DÉCIMO: Con fecha 22/05/2017 se emite propuesta de resolución con el literal: “PRIMERO: Declarar que la CONSEJERIA DE JUSTICIA E INTERIOR DE LA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 JUNTA DE ANDALUCIA, (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS), ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con el 91 del RLOPD, tipificada como grave en el artículo 44.3.
  7. h)de dicha norma. SEGUNDO: Requerir a la CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA, (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS), para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD. TERCERO: Declarar el ARCHIVO de la infracción del artículo 9.1 de la LOPD al MINISTERIO DE JUSTICIA (SECRETARIA GENERAL DE LA ADMINISTRACION DE JUSTICIA.) CUARTO: Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. QUINTO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD.” La entrega dirigida a la CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA, (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS) a través del Servicio de Correos fue intentada el 31/05/2017 con el resultado “Nadie se hace cargo”, y el 1/06/2017 se hace un segundo intentó, figurando “Ausente”, dejando aviso en buzón. Con fecha 9/06/2017 el envío es devuelto a origen por sobrante, según figura en el documento “Certificación de imposibilidad de entrega”. No se recibieron alegaciones frente a la propuesta. HECHOS PROBADOS 1) La plataforma informatica LEXNET sirve como herramienta de trabajo, e intercambio seguro de información entre los órganos judiciales y diversos operadores que se hallan relacionados con la función jurisdiccional. Se regula por el Real Decreto 1065/2015 de 27/12, BOE 1/12/2015. LEXNET permite notificar, presentar demandas y otros actos procesales. Para utilizar LEXNET en la primera ocasión se requiere un certificado digital. Según informó el MINISTERIO DE JUSTICIA en actuaciones previas, en el caso de Abogados, solo podrán tramitar la solicitud de alta a través de su Colegio Profesional, que una vez tramitado permite acceder con el carnet colegial con firma electrónica (ACA). 2) La denunciante ejerció funciones de XXXX de la Administración de Justicia en el Juzgado Mixto núm. 2 de***LOC.1 del 16/02/2011 a 12/04/2013, siendo usuaria autorizada en la plataforma LEXNET con el rol de Letrado de la Administración de Justicia, y desde 17/12/2015, según el sistema de información del MINISTERIO DE JUSTICIA, la denunciante figuraba como usuario de LEXNET con rol/perfil usuaria de ABOGADO. 3) Con fecha 20/01/2016, se acredita por Acta Notarial que la denunciante entró la web LEXNET ABOGACIA por el rol que desempeñaba en ese momento, Abogada, encontrando en su bandeja de correos-enviados: pendientes, dos correos de dos asuntos que podía visualizar relacionados y dirigidos al Juzgado de Primera Instancia 2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 de***LOC.1, enviados el 13 y 14/01/2016. (1, 3, 4,5). Momentos después entró en LEXNET MINISTERIO JUSTICIA www.lexnet.justicia.es, verificando que continuaba apareciendo con el rol de Secretaria de la Administración de Justicia que en su día tuvo en el Juzgado de***LOC.1. Además, figuraba en el correo de la bandeja de entrada, una notificación remitida por B.B.B.y en la misma bandeja de entrada, consta en “acuse de recibo”:576 correos, correspondientes a escritos dirigidos al citado Juzgado. (1, 3,6). La denunciante declaró que aunque no entre en cada uno, si puede ver la persona remitente
(1). Desde ese mismo acceso, y esa misma página, ante el Notario, se verificó el 20/01/2016 en acta que figuraba la opción de cambiar de usuario a Abogada, y en los correos constata que le figura una notificación, esta si destinada a su rol y actividad que desarrolla en ese instante. El funcionamiento del usuario en LEXNET es a través de perfiles asignados: “roles” que deriva en el acceso exclusivamente a un determinado tipo de información a través de un buzón asignado. 4) Se verificó el 8 y 22/04/2016 con el Ministerio de Justicia en actuaciones previas, a través de la consulta LEXNET, que en el buzón del citado Juzgado de***LOC.1, figuraban los dos correos que la denunciante pudo visionar cuando accedió el 18 y 20/01/2016 con el perfil de ABOGADA, y que eran escritos de Abogados dirigidos al Juzgado de***LOC.1, así como el que pudo visionar en el acceso por LEXNET JUSTICIA de B.B.B. que también se dirigía al citad Juzgado. Los correos no constan remitidos por la denunciante sino por otras personas, La denunciante puso en conocimiento los hechos ante el Ministerio de Justicia, y se verificó en actuaciones previas, el 8/04/2016, que la denunciante no figuraba ya asociada como usuaria de algún tipo en el Juzgado núm. 2 de***LOC.1. La incidencia comunicada por la denunciante figuraba anotada en el Registro de incidencias del sistema LEXNET por parte del Ministerio de Justicia, Centro de atención a Usuarios (129, 141, 145) constando como resuelta el 9/02/2016. 5) El Ministerio de Justicia y la Junta de Andalucía (DGIS) reconocen que al causar baja la denunciante como XXXX de la Admón. de Justicia el 12/04/2013 no se solicitó ni se dieron de baja sus datos como usuaria de LEXNETJUSTICIA, motivo por el que continuaban entrando los correos y pudo acceder a ellos el 20/01/2016. 6) De acuerdo con el manual de uso del sistema LEXNET, así como de lo manifestado por la DGIS de la Junta de Andalucía, el proceso de solicitud de alta como usuario de LEXNET, para el rol de Letrado de la administración de Justicia pasa por un envío de la misma y una verificación y aprobación interna del Administrador de los sistemas informáticos de la correspondiente entidad. 7) La SGNT del Ministerio de Justicia es la responsable de ficheros relacionados con LEXNET, tanto de los usuarios como del contenido, según señala el RD 1065/2015. Existe un Convenio de Colaboración suscrito entre el Ministerio de Justicia y la Junta de Andalucía de uso del sistema LEXNET del Ministerio de Justicia. En el mismo se cedió el derecho de uso del sistema, correspondiendo a la Junta la gestión y administración de usuarios y actualización de datos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 directorio general del sistema según el art 4.d de dicho Convenio, en concreto a través de la Dirección General de Infraestructuras y Sistemas (DGIS). Aporta en alegaciones el Ministerio de Justicia copia de listados de altas y bajas en LEXNET de Letrados de Administración de Justicia llevados a cabo en el ámbito de la Junta de Andalucía realizadas desde 2014 por Administradores de la red en dicha Junta, en la que se aprecia que figura realizados dichos movimientos de altas y bajas por los propios Administradores. (144, 152 a 162), de forma similar a como acontece en otras CCAA. Según el protocolo de la DGIS para el alta en los sistemas de información, el Servicio de Informatica Judicial de la Junta realiza el alta en el fichero de usuario de la red Judicial de Andalucía, asignando el órgano judicial y el perfil del usuario. Según indica la DGIS el alta y la baja en los sistemas de información puede partir del usuario o de “un competente” pero no establece plazos para esa petición o asignación de accesos subsidiarios si el usuario no solicitara las claves y contraseñas para las altas o bajas. El Ministerio de Justicia manifestó que desde 2011 asignó a personal de la Junta funciones de Administrador de LEXNET. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II La LOPD determina y define en su artículo 3:
  2. a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
  3. b)Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  4. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  6. g)Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. En el presente caso al acceder en primer lugar la denunciante al sistema en la página de Abogacía con su certificado digital encuentra contenido de dos correos que se dirigen al Juzgado en que prestó servicio conteniendo información y datos de carácter personal. Cuando accede a través de LEX NET JUSTICIA con el mismo certificado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 figura activo su rol de XXXX, conteniéndose escritos que contienen datos personales y que van dirigidos al citado Juzgado en el que ella desempeño sus funciones. El sistema de acceso que ejecuta la denunciante es el previsto para la plataforma, si bien accede a documentos que contienen datos de carácter personal dirigidos al Juzgado, para los que por el tiempo transcurrido no debiera estar habilitada a acceder al sistema y menos a poder visionar dichos documentos. Con objeto de esclarecer los concretos términos de intervención de cada entidad, se inició acuerdo de declaración de infracción tanto al Ministerio como a la Consejería, para dilucidar el grado de participación y responsabilidades de ambos El artículo que se imputa como infringido es el 9 de la LOPD, que dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. En este caso, la denunciante había dejado de pertenecer al colectivo usuario de la plataforma LEXNET “Letrado Admón. de Justicia”, y sin embargo se acredita que podía acceder a la misma, y visionar información con datos personales dirigidos al juzgado en el que prestó en su día servicio. La LOPD impone al responsable del fichero, al del tratamiento y al encargado de tratamiento la adopción de medidas de seguridad, cuyo detalle se refiere o remite a normas reglamentarias. Las medidas de seguridad en este caso el registro de usuarios forma parte de un fichero de nivel básico de seguridad, mientras que el contenido de la aplicación LEX NET es de nivel de seguridad alto. En el presente caso, a través de la conservación del acceso como Letrado se posibilitó no solo el acceso como usuaria, sino que se podía acceder a la información concreta contenida en los correos o documentos que figuraba como enviada al Juzgado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 La SAN, Sec1ª, de 28-6-2006 (rec. 290/2004) en el fundamento de derecho IV sobre fallos en medidas de seguridad indica: “Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualesquiera otros datos de carácter personal puedan llegar a manos de terceras personas.” III En primer lugar se debe dar a conocer a la persona que va a acceder a datos personales, al usuario, unas indicaciones que coadyuvaran al desarrollo de la relación como usuario con los ficheros y por tanto con el responsable o encargado del tratamiento. Así, no estaría de más que se informara como señala el artículo 89. 2 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD);” El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.” El manejo de datos puede dar lugar además a consecuencias disciplinarias por parte del usuario, por lo que este aspecto es importante. También como nivel básico de seguridad, y que consta como infringido, se debe mencionar el artículo 91 del RLOPD, que indica: 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Conviene indicar que en el fichero de registro de usuarios LEXNET en Juzgados en el ámbito territorial de la Junta se producían altas y bajas que gestionaba la propia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 Junta, incluidas las del colectivo de Letrados. En este sentido, la suscripción del Convenio entre las partes supone de facto que la Junta ejerza funciones como encargado del tratamiento de datos del sistema o plataforma, que gestiona y del que es responsable el MINISTERIO. Es la propia Junta la que decide tras el proceso interno dar o no dar al usuario que lo pide el acceso y el rol que en este caso coincide con la sede para la que la denunciada ejerce sus funciones. Asimismo, la actualización de la relación de usuarios no es competencia del usuario, el párrafo 2 del artículo mencionado lo indica. En este caso, no existía ni un mecanismo subsidiario para caso de inactividad de acceso a la plataforma, que podría haber detectado periódicamente que la XXXX, desde su cese, 2013, hasta 2016 no había accedido y se hallaba activo, indicativo de alguna incidencia en su funcionamiento. Se muestra así ineficiente la medida implementada para las bajas en LEXNET que la DGIS indica: “Bajas b.1: “Requiere igualmente la realización de solicitud por parte de cualquiera de los órganos competentes o usuarios responsables, mediante comunicación por alguno de los dos métodos utilizados en el alta.” Por tanto, cabe imputar la responsabilidad de los concretos hechos denunciados a la JUNTA DE ANDALUCÍA, con el correspondiente archivo de la imputación al MINISTERIO DE JUSTICIA. No obstante tanto una como otra pueden implantar medidas adecuadas al tratamiento relacionadas con la el alta y baja en el sistema de acceso a la plataforma IV La infracción imputada a la CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS) figura tipificada en el artículo 44.3.
  7. h)de la LOPD como grave y se refiere a «Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen») V Las alegaciones de la DGIS que indica: “Y en todo caso corresponde al propio usuario como así se especifica en toda la normativa aplicable, tanto para este como en cualquier otro sistema de información, la notificación de la debida incidencia a la DGIS a través del CAU solicitando la baja” se contesta con el citado artículo 91 citado. Además, dado que el sistema de alta de usuario es una herramienta de trabajo relacionada con el desempeño necesario de la función, parece deducirse que del que ha de partir la iniciativa de dicha alta debería ser el propio órgano gestor de los sistemas de información de la Consejería, en este caso la DGIS. Ello resulta igualmente aplicable a la baja de dicho usuario en el sistema, teniendo en cuenta además entra dentro de la función de gestión y administración de usuarios y actualización de datos, a que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 refería el Convenio suscrito. Así, la DGIS habría de coordinarse para conocer los ceses en el desempeño como en el caso de la denunciante y/o establecer procedimientos de control. Dada la interdependencia entre usuarios/acceso, e información a la que se accede, se podría además implementar auditorías de control o acceso en la plataforma, que filtre periódicamente movimientos de acceso o no acceso, pudiéndose haber detectado por usuarios, que el asignado para el citado Juzgado llevaba más de dos años sin movimiento con el rol concedido en su día. Esta auditoría se implementa para los datos de carácter personal de nivel de seguridad medio (artículo 96 RLOPD). Finalmente, indicar al hilo de la manifestación de la DGIS, que en este caso no es que se produzca un acceso no autorizado por parte de la denunciante, sino precisamente todo lo contrario, un posible acceso a los correos de los buzones referidos en hechos probados gracias a que perduraba la situación de alta en el sistema, pese al trascurso de casi tres años de cese como Letrado de la Admón. de Justicia. Dicho acceso se posibilita por causa que se imputa a la Junta, que mantiene abierto el sistema que considera a la denunciante afecta al sistema de información de la plataforma cuando en realidad no lo estaba. En definitiva un deficiente sistema de configuración en las bajas de usuarios que gestionaba la DGIS, y que acredita el incumplimiento de las medidas de seguridad. VI No nos encontramos ante un supuesto de caso fortuito o fuera de lo común, sino de falta de diligencia de la Consejería de Justicia de la Junta que no controla el sistema de baja de usuarios sobre los que tiene la competencia delegada por el Convenio suscrito. La protección para implantar la correcta medida de seguridad puede incluir no solo las aludidas por las partes denunciadas, sino adicionales como la monitorización de inactividad temporal en los accesos a la plataforma por parte de usuarios añadiendo el rol, a través de controles periódicos, que pueden añadirse. La implementación de esta y otras medidas hubieran impedido de haberse adoptado eficazmente la vulneración del artículo 9 LOPD. Es la Consejería de Justicia de la Junta de Andalucía, DGIS, la encargada de implementar las medidas de seguridad adecuadas para evitar que hechos de dicha gravedad puedan producirse y también la encargada de impedir y detectar un fallo de seguridad tan grave como el expuesto, máxime si tenemos en cuenta que se están tratando datos relativos a procedimientos judiciales, cuyos contenidos pueden incluir referencias a sanciones, infracciones, penas, contenido de seguridad de nivel alto según determina la regulación de la plataforma LEXNET. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar el ARCHIVO de la infracción del artículo 9.1 de la LOPD imputada al MINISTERIO DE JUSTICIA (SECRETARIA GENERAL DE LA ADMINISTRACION DE JUSTICIA) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 SEGUNDO: DECLARAR que la CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS), ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con el 91 del RLOPD, tipificada como grave en el artículo 44.3.
  8. h)de dicha norma. TERCERO: REQUERIR a la CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS), de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/04168/2017. CUARTO: NOTIFICAR la presente resolución a la CONSEJERIA DE JUSTICIA E INTERIOR DE LA JUNTA DE ANDALUCIA (DIRECCIÓN GENERAL DE INFRAESTRUCTURAS Y SISTEMAS), y al MINISTERIO DE JUSTICIA (SECRETARIA GENERAL DE LA ADMINISTRACION DE JUSTICIA). QUINTO: COMUNICAR la presente resolución a la DEFENSORA DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.