1/13 Procedimiento Nº AP/00048/2018 RESOLUCIÓN: R/01634/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00048/2018, instruido por la Agencia Española de Protección de Datos a la entidad CENTRO LÁSERES PULSADOS, vista la denuncia presentada por B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 12/03/2018 tuvo entrada una denuncia de B.B.B., trabajador del CONSORCIO PARA EL DISEÑO, CONSTRUCCIÓN, EQUIPAMIENTO Y EXPLOTACIÓN DEL CENTRO DE LÁSERES PULSADOS ULTRACORTOS ULTRAINTENSOS (CLPU en lo sucesivo), consorcio público participado por el Ministerio de Economía y Competitividad, por la Junta de Castilla y León y por la Universidad de Salamanca. Manifiesta que, como trabajador, cuenta en su red con una serie de carpetas de acceso público en red, en la que se suelen colgar documentos a compartir por los trabajadores. Cada trabajador del Centro posee una de esas carpetas de intercambio. Durante el mes de febrero, en la carpeta de “personal de administración” estuvo disponible la información de resultados de reconocimientos médicos con datos como el DNI de 19 compañeros, lo ingresado en nómina con la cuenta bancaria de algunos trabajadores, entre los que se encuentra el denunciante y la petición de jornada reducida de un trabajador. Manifiesta que con fecha 28/02/2018, puso en conocimiento del director del Centro estos hechos, siendo borrados inmediatamente, y “no obstante, a principios del mes de marzo y durante varios días, estuvo disponible un certificado de empresa de un trabajador que se fue del Centro”. Se anexa la siguiente documentación: Copia de los correos remitidos por el denunciante a la Dirección de la empresa, comunicando los hechos el 27/02/2018 y su contestación, pidiendo que le indicara en que carpetas estaban los datos y la información, respondiendo el denunciante con correo del mismo día indicando que es la carpeta de intercambio “ ***CARPETA.1” y que “contiene una relación de ingresos con las cantidades y los números de cuenta de ciertas personas del centro. También hay otros datos de reconocimientos médicos de empresa, de reducciones de jornada, etc.". Copia de una hoja “orden de remesa” con unos 20 nombres de empleados, entre los que se halla el del denunciante, con cantidades y números de cuenta bancaria. Copia de una solicitud de 9/02/2018 de un empleado de reducción de jornada por cuidado de hijo menor de doce años. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Hoja firmada por “Colegiada Medicina del trabajo” dirigido a la denunciada, indicando que un empleado con su nombre y apellidos, el número de DNI ha sido sometido el 22/03/2017 a reconocimiento médico para valorar su capacidad laboral, precisando que “No se objetivan datos patológicos en relación con su puesto de trabajo en el momento actual, siendo considerado APTO”. Copia de certificado de empresa de cotizaciones destinado al Servicio Público de empleo estatal a nombre de un empleado, fechado el 1/03/
- Con fecha 19/03/2018, tiene entrada otro escrito del denunciante con el que se acompaña una relación nominal de trabajadores en un documento de la Tesorería General de la Seguridad Social que es la liquidación de cuotas del mes de enero 2018 y diciembre 2017, constando números de afiliación, dato IPF y dato CAF con las bases de cotización, y un sello, indicando que también había sido incluida en una carpeta compartida con posterioridad, “desde la semana pasada está disponible en una carpeta compartida del centro”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a CLPU, que en fecha 10/04/2018 indica: 1.
- Los datos personales incluidos en los documentos que se incluyeron en las carpetas compartidas proceden de los ficheros de” Nóminas” y “Recursos Humanos”, con acceso restringido al director, al Gerente, el Contable-Financiero, el personal de gestión que participa en la gestión de recursos humanos y nóminas, y el Técnico de Sistemas (en calidad de Administrador del Sistema), con acceso mediante usuario y contraseña y a la información asociada al perfil de cada uno. 1.
- Los documentos que se encontraban excepcionalmente en una carpeta de intercambio y que no es el soporte establecido para el almacenamiento de estos, son extractos de información contenida en esos ficheros. Dichos documentos fueron creados con unos fines concretos y siempre dentro del ámbito de la actividad pública en la que se engloba el Centro: 1.2.
- Comprobación de la aptitud médica de ciertos trabajadores para darles acceso al área experimental de investigación (de acceso restringido), APTO o NO APTO. 1.2.
- Justificación para la financiación de proyectos de investigación y desarrollo tecnológico ante la Agencia Estatal de Investigación, dependiente de MINECO. 1.2.
- Registro electrónico a través de la plataforma estatal GEISER de una solicitud de reducción de jornada y su remisión a los Delegados de Personal. 1.2.
- Certificación para una auditoría en relación con la justificación para la financiación de proyectos de investigación y desarrollo tecnológico ante la Agencia Estatal de Investigación, dependiente de MINECO. 1.
- A petición de los propios empleados, el Centro puso a disposición de estos un sistema de carpetas individuales de intercambio, a las que se accede a través de un servidor privado de acceso restringido (mediante clave), exclusivamente a los trabajadores. Actualmente hay 42 carpetas identificadas con la inicial del nombre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 apellido de cada trimestralmente. trabajador. El contenido de las carpetas es borrado La finalidad de las carpetas es que su titular pueda incluir y compartir documentos para trabajar en equipo sobre ellos de una forma más dinámica. También se utilizaba como carpeta destino del escáner. El funcionamiento, es que, mediante comunicación, el titular de dicha carpeta invita a acceder a la misma a los compañeros a quien van destinados los documentos. 1.
- El uso de la información se hace dentro del ámbito público que rige el funcionamiento del Consorcio y el celo que como empleados públicos deben tener todas las personas que accedan a ella. 1.
- Desde abril de 2012 todos los trabajadores que inician su relación laboral con Centro de Láseres Pulsados reciben un Protocolo de Bienvenida, en el que se describen las normas de actuación en el Centro, entre las que se encuentran unas normas básicas relativas al tratamiento de datos personales. Se adjunta copia firmada por el denunciante. En el mismo, consta: “De igual manera, si por razón de tu puesto tuvieras que tratar datos personales ajenos (ej. Otros compañeros, usuarios del centro…) o información sensible del CLPU, te informamos de la obligación de mantener el deber de confidencialidad, aún después de finalizar la relación laboral que te vincula al Centro, si llega el caso”. 1.
- En base a lo establecido en el artículo 90 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12, en adelante RLOPD, se siguió el procedimiento de gestión de incidencias establecido en el Documento de Seguridad del CLPU y se dejó constancia de la mencionada incidencia, la primera que se produce y realizada por un trabajador a los pocos días de recibir la notificación de finalización del contrato. Se adjunta impresión del registro de la citada incidencia y su resolución. En ella se puede leer la fecha de detección 27/02/2018 tipo “error en la entrega o envío de información confidencial-conforme a lo establecido en el artículo 6 del documento de seguridad”, figuran los datos del notificante y notificado. En la descripción se indica que ***CARPETA.1 puso por error la documentación escaneada a su carpeta de intercambio, para realizar tareas de justificación de proyectos, acceso a la zona experimental y de comunicaciones con los delegados de personal. Esta carpeta es accesible al resto de empleados públicos “previa notificación de su titular”. En medidas adoptadas no se verifican ni se obtienen copia de los documentos que son accesibles a ese momento, ni se verifica la imposibilidad del acceso tras su comunicación a la empleada, y se indica que a 2/04/2018 se “implementa un sistema de carpetas con acceso restringido para las operaciones de escaneo del personal que maneja datos personales…” 1.
- Se adjuntan correos remitidos a una trabajadora, con fecha 27/02/2018, que según la denunciada era la titular de la carpeta de intercambio en la que se encontraban los documentos. El correo dirigido a P.P.P., del Área de Gestión, de 27/02/2018 13:52, informa a la empleada que en “tu carpeta de intercambio existente en el servidor CLPU y accesible a los trabajadores…” junto con copia de correo de respuesta de la empleada en que explica “al querer escanear documentos que aparecen en esa carpeta…en vez de darle escanear a mi “mail” le he dado por error a “carpeta” en la impresora... “la información sobre reconocimientos médicos me la han dejado en mi carpeta por si me hacía falta para entregársela a otro compañero que los había solicitado, pero no la he tenido que usar porque ya se la habían mandado, ni me daba cuenta que estaban allí porque no había solicitado yo que me C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 los pusieran en esa carpeta, pero si recuerdo que me mandaron mail indicándome que me dejaban allí la información por si acaso”. “Por otra parte, no he comunicado a ningún trabajador del CLPU que pueda acceder a mi carpeta de intercambio para recoger o para dejar información, por lo que me sorprende que algún compañero haya entrado de propio intento para ver qué información tengo en esa carpeta abriendo cada uno de mis ficheros sin consentimiento por mi parte. Aun siendo accesible a todo el personal no me parece una forma correcta de actuar”. 1.
- Finalmente, se ha celebrado una reunión con los Delegados de Personal con fecha de 9/04/2018, informando de la intención del Centro de recordar a todos los trabajadores las normas de actuación, obligaciones relacionadas con la protección de datos personales, deber de confidencialidad y demás normas de conducta. TERCERO: Con fecha 25/05/2018 se acordó por la Directora de la AEPD la apertura de procedimiento de declaración de infracción de las Administraciones Públicas al CONSORCIO PARA EL DISEÑO, CONSTRUCCIÓN, EQUIPAMIENTO Y EXPLOTACIÓN DEL CENTRO DE LÁSERES PULSADOS ULTRACORTOS ULTRAINTENSOS (CLPU), por una infracción del artículo 9.1 de la LOPD, en relación con el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD): artículos 89.1, 91.1).2) y 3) tipificada como grave en el artículo 44.3.h) de la LOPD. CUARTO: Notificado el citado acuerdo de inicio en fecha 21/06/2018 se recibe escrito de la denunciada en el que indica: -Disponen desde hace años de mecanismos para que usuarios no autorizados no puedan acceder a recursos en los que figuren datos personales -El denunciado no ha accedido a ficheros, sino a carpetas con acceso a información que pertenece a ficheros con acceso restringido. -El denunciante no aporta pruebas de la forma en que obtuvo los documentos ni el tiempo en que lo fueron. -La presunta infracción se ha producido no por falta de medidas de seguridad sino por el factor humano, involuntario al escanear y guardar en una carpeta los documentos. -Se ha tomado la medida de cambiar y proteger el acceso a las carpetas de destino de los escaneos y se han eliminado las carpetas de intercambio. -El ámbito en el que se produce el acceso está restringido a los propios empleados, 42, en el momento de la incidencia, no hubo daños y perjuicios a interesados, la información no se ha hecho pública ni ha transcendido más allá del denunciante. -Manifiestan que, a pesar de tener las medidas de seguridad implementadas, no hay forma razonable de eliminar al 100 por cien el factor humano. -El denunciante ha vulnerado las normas recogidas en el protocolo de bienvenida y en el que consta su deber de confidencialidad sobe los datos ajenos. - Aportan: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 a) explicación de cómo se obtienen, y autenticación para su creación de los documentos que pudieron ser accesibles en la carpeta cuyo visionado es objeto de este procedimiento. Se observa que el denominador común para todos ellos es que existe usuario y contraseña para gestionarlos. b) En anexo 2 envían “Ilustración de la incidencia” reiterando como sucedió. c) Como anexo 3, en medidas adoptadas aportan copia de la impresión de registro de incidencia, con fecha detección 27/02/
- Detalla nueve puntos, de los cuales los más destacables son: c 1) Notificación a la trabajadora con el fin de que “elimine los documentos de la carpeta”. c 2) Correo electrónico al personal informando que las carpetas de destino de los escaneos tendrán acceso restringido, y recordando el uso de carpetas compartidas. c 3) Se decidió que las carpetas personales de intercambio, al quedar fuera de control del personal que maneja los datos personales, fueran eliminadas a partir del 8/06/
- c 4) Se decidió que las carpetas de destino del escáner serán de acceso exclusivo del titular sin posibilidad de intercambio. QUINTO: Con fecha 21/08/2018, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de: “PRIMERO: Declarar que CLPU ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.h) de dicha norma. SEGUNDO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD.” SEXTO: La denunciada efectúa alegaciones el 5/09/2018 en las que indica: - Solicita que debería analizarse la aplicación de lo dispuesto en la Disposición Transitoria Primera del Real Decreto-ley 5/2018 de 27/07 de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos. - En el antecedente primero y como hecho probado, figura entre los documentos a los que accede el denunciante y aportados con su denuncia, uno que es “copia de certificado de empresa de cotizaciones destinado al Servicio Público de empleo estatal a nombre de un empleado, fechado el 1/03/2018” alegando la denunciada que el mero hecho de obrar en su poder no puede ser un hecho imputable al Centro. Este documento se remite en un fichero electrónico por la plataforma del Servicio de Empleo Público Estatal (www.sepe.es) y se entrega una copia directamente a los trabajadores interesados, desconociendo cómo “este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 documento perteneciente a un compañero de despacho del denunciante ha llegado a manos de este, pero el documento no se alojado en las extintas carpetas de intercambio del Centro, y por tanto no se puede achacar al CLPU responsabilidad alguna.” -Manifiesta que la afirmación contienda tanto en el punto 1.6 del antecedente segundo, como en el punto 4 del antecedente quinto en la que se dice que “En medidas adoptadas no se verifican ni se obtienen copia de los documentos que son accesibles a ese momento, ni se verifica la imposibilidad del acceso tras su comunicación a la empleada”, no significa que no se haya anotado la verificación, no quiere decir que no se haya hecho y que se ajusta al contenido de lo que para el registro de incidencias señala el artículo 90 del RLOPD. Añade que se hace referencia al artículo 100 del RLOPD, que no es aplicable a los ficheros del CLPU, pues ese artículo se refiere a una medida de seguridad de nivel medio, mientras que el tipo de datos objeto de tratamiento se debieran aplicar medidas de seguridad de nivel básico. El CLPU siguió el procedimiento de gestión y respuesta ante la incidencia desarrollado por el Centro y recogido en su Documento de Seguridad y cumplimentó el correspondiente registro de incidencias tal y como recoge el artículo 90 del RLOPD. Este artículo no establece ninguna obligación respecto de quien debe ejecutar los procedimientos, ni la consignación de los procedimientos realizados ni la conservación de referencia documental. -No se cumple el tipo del artículo 44.3.h de la LOPD quedando acreditado que sí existían medidas de seguridad tanto técnicas como organizativas, que además se han visto reforzadas tras la apertura de la correspondiente incidencia en el registro oportuno. El visionado de estos documentos por otro trabajador del Centro podría considerarse un incumplimiento involuntario y ocasional del deber de secreto establecido en el artículo 10 LOPD, considerado como infracción leve según el artículo 44.2 LOPD. HECHOS PROBADOS 1 La denunciada tiene inscritos los ficheros de” Nóminas” y “Recursos Humanos” con la finalidad de la gestión relacionada con dichas actividades. 2 La denunciada tenía establecido entre sus empleados un sistema de carpetas individuales de intercambio, a las que se accedía a través de un servidor privado de acceso restringido (con clave), y exclusivamente para los trabajadores. Cada carpeta
(42)identificada con la inicial del nombre y apellido de cada trabajador. La finalidad era que su titular pudiera incluir y compartir documentos para trabajar en equipo sobre ellos de forma dinámica. El funcionamiento, es que mediante comunicación, el titular de dicha carpeta invita a acceder a la misma a los compañeros a quien van destinados los documentos. También se utilizaba como carpeta destino del escáner. 3 El denunciante denuncia que en la carpeta de intercambio “ ***CARPETA.1” de empleado en el departamento de personal, puede acceder y se contienen relaciones de ingresos con las remesas bancarias de 20 empleados y las cantidades y números de cuenta, solicitudes de reducciones de jornada, hojas firmadas por colegiada indicando a la empresa que un empleado es apto, no objetivarse datos patológicos en relación con su puesto de trabajo, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 copia de certificado de empresa de cotizaciones destinado al Servicio Público de empleo estatal a nombre de un empleado, fechado el 1/03/2018, o de varios, con en número NI y sus iniciales correspondientes a los boletines de cotización a la Seguridad Sociales-, meses 12/2017 y 1/2018. 4 La denunciada anotó en el registro de incidencias: fecha de detección 27/02/2018 tipo “error en la entrega o envío de información confidencial-conforme a lo establecido en el artículo 6 del documento de seguridad”, figuran los datos del notificante y notificado. En la descripción se indica que ***CARPETA.1 puso por error la documentación escaneada a su carpeta de intercambio, para realizar tareas de justificación de proyectos, acceso a la zona experimental y de comunicaciones con los delegados de personal. Aunque se manifieste por la denunciada que esta carpeta es accesible al resto de empleados públicos “previa notificación de su titular”, se acredita que físicamente era posible el acceso a la citada carpeta al no existir medio técnico alguno que impidiera su acceso. Como medida adoptada en el citado registro de incidencias, no se verifica ni se deja copia de los documentos que fueron accesibles en ese momento, ni se verifica tras la anotación la imposibilidad del acceso a los mismos mediante un chequeo de carpetas, indicándose que a 2/04/2018 se “implementa un sistema de carpetas con acceso restringido para las operaciones de escaneo del personal que maneja datos personales…” 6 La denunciada manifiesta en alegaciones al acuerdo que ha puesto fin al uso y sistema de carpetas compartidas aportando copia de escritos internos comunicándolo a los empleados. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento al denunciado una infracción del artículo 9 de la LOPD, que dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos a título de ejemplo, entre otros de “acceso no autorizado” por parte de terceros. Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos, también es un mecanismo de garantía la seguridad. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. La base sobre la que descansan las medidas de seguridad es el documento de seguridad de los ficheros, que de acuerdo con el artículo 88 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); recogerá las “medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.” a fin de evitar como señala el artículo 9 de la LOPD “su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” Sobre cuestión de la conceptuación de las medidas de seguridad de los datos de los ficheros, en asuntos similares al presente supuesto, entre algunas sentencias de la Audiencia Nacional-sala de lo contencioso, sección 1, como la de 13/06/2002, recurso 1161/2001, 7/02/2003, recurso 1182/2003, o la de SAN, de 28-6-2006, recurso 290/2004 señalan: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas Instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales, si luego no se exige a los empleados del banco la observancia de aquellas instrucciones". "Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualesquiera otros datos de carácter personal puedan llegar a manos de terceras personas. En definitiva, y puesto que la entidad bancaria es una deudora de seguridad en materia de datos, debe por tanto dar una explicación adecuada y razonable de cómo los datos personales de sus clientes se hallaban a disposición y se podían encontrar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 por el afectado (en el lapso temporal en que aconteció el incidente) al acceder éste a la información telemática de sus datos bancarios, siendo insuficiente, según se desprende de la doctrina de la Sala que se acaba de exponer, con acreditar que se adoptaron una serie de medidas, pues dicha entidad bancaria también es responsable de que las mismas se cumplan y ejecuten con rigor". El RLOPD indica; artículo 87 “Ficheros temporales o copias de trabajo de documentos” “1. Aquellos ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realización de trabajos temporales o auxiliares deberán cumplir el nivel de seguridad que les corresponda conforme a los criterios establecidos en el artículo 81. 2. Todo fichero temporal o copia de trabajo así creado será borrado o destruido una vez que haya dejado de ser necesario para los fines que motivaron su creación.” artículo 89 “Funciones y obligaciones del personal” “Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento. Dentro del nivel básico de seguridad, artículo 91 del mismo RLOPD. “Control de acceso” “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” La carpeta de gestión de personal y nóminas, por su propio carácter, no debe ser compartida con empleados del resto de la entidad, por cuanto la gestión administrativa solo atañe a los interesados. Los empleados eran los que con permisos que otorgaban dejaban acceder por motivos del desempeño a sus carpetas. En este caso se dio un supuesto concreto en el que en una carpeta de recursos humanos fue a parar una documentación producto de un escaneo que se almacenó en una carpeta. Para el denunciante no fue difícil acceder a la misma, ya que aporta diversa documentación producto de dicho acceso. artículo 90. “Registro de incidencias” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 “Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.” Sobre la alegación de que en el registro de incidencias se anotó lo establecido por el Reglamento, y no cabe exigir el registro pormenorizado de los documentos que se hallaban accesibles, tratándose de un fichero y datos de nivel de seguridad básico, se debe indicar que el contenido del documento de seguridad es abierto, y agrupa cualquier medida de índole técnica y organizativa, y entre otras debe contener “
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias”. Se desprende que, en la implantación de las medidas de seguridad, ante una quiebra de estas, se debe contemplar cuantos documentos hayan podido estar accesibles, el tipo de documentos, desde y hasta cuándo y el procedimiento de gestión que no sería tal sino identifica la serie de documentos como parte de la seguridad de los documentos que forman parte del fichero. Aunque no se especifica en concreto la referencia a los documentos concretos, es recomendable hacer constar dicho extremo en la corrección y la incidencia, piénsese que en este caso el acceso podría haber sido no solo copiando sino llevándose el documento, o una modificación del mismo, con lo cual pudiera haber dejado de existir el mismo, o habría variado, por lo que se debería saber que documentos figuraban. Ello no supone dificultad al existir para cualquier tipo de ficheros, la obligación de realizar copias periódicas de respaldo de los sistemas de información. Sobre la alegación de que el certificado de la empresa de un empleado, fechado a 1/03/2018 no se acredita que estuviera disponible en la carpeta de acceso, se admite dicha alegación, teniendo en cuenta además que no hay reflejo de los documentos que estaban en dicha carpeta y no existía mención al mismo en el correo del denunciante a la denunciada de 27/02/2018. No obstante, si se hubiera reflejados los documentos, se tendría la certeza de si estaba o no en la carpeta. Se debe hacer hincapié que la denunciada no verifica por ella misma los datos y documentos que eran accesibles en la carpeta de la empleada, remitiéndole un correo electrónico ordenando la eliminación de esta. No existe constancia directa de cuantos documentos y personas con datos se contenían en la carpeta, o cuanto tiempo permaneció en la misma, así como si dichos documentos podían ser modificados o extraídos. Ninguno de esos extremos se contiene en el registro de incidencias, siendo recomendable que figuren. La entrada en vigor del nuevo Reglamento sí que exige dicha constancia. A pesar de ello, se acredita la infracción de la medida de seguridad. III La infracción de las medidas de seguridad figura tipificada en el artículo 44.3.
- h)de la LOPD como: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 Sobre la alegación de que no se cumple el tipo por haber sido el denunciante el que quiebra el secreto cuando accede a la carpeta, se debe señalar que sobre el denunciante puede existir el deber de secreto profesional o deontológico, pero sobre el responsable del fichero recae la responsabilidad de los datos y el fichero del que forman parte. Con independencia de que el error haya podido obedecer a la falta de cuidado de un empleado, el resultado de acceso de datos de terceros a través de la carpeta se ha dado. La estructura y configuración técnica de las carpetas establecida por la denunciada hizo posible que un empleado pudiera acceder y ver los elementos que figuraban, a pesar de que la denunciada precisa que solo los que eran admitidos o invitados expresamente por el titular de la carpeta eran los que tenían acceso, circunstancia que no se ha dado en el presente caso. IV Sobre la alegación hecha a la propuesta, de aplicación del RDL 5/2018 de 27/07, se debe indicar que La disposición transitoria primera del, indica:” Régimen transitorio de los procedimientos” 1. Los procedimientos ya iniciados a la entrada en vigor de este real decreto-ley se regirán por la normativa anterior, salvo que el régimen establecido en el mismo contenga disposiciones más favorables para el interesado.” No argumenta la denunciada el motivo por el que podría ser más favorable el nuevo Real Decreto Ley, que, además, trata o se relaciona con la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. Este Reglamento impone otro concepto distinto de seguridad de los datos y no supone su aplicación un mejor trato en general, pues en Administraciones Públicas el procedimiento va igualmente encaminado a la verificación de los hechos y las medidas de seguridad existentes, finalizando sin sanción económica y verificando que la deficiencia se ha subsanado y es adecuada para que los hechos no vuelvan a repetirse o se dificulte la misma. -El procedimiento ha sido resuelto antes de su entrada en vigor, y los hechos que se valoran suceden antes de la entrada en vigor del Reglamento (UE) 2016/679, que es aplicable desde 25/05/2018. -Asimismo, las actuaciones previas y procedimentales se han desarrollado bajo la aplicación de la LOPD y el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); Estos motivos suponen que no resultaría de aplicación el citado RDL. V El artículo 46 de la LOPD indica: “Infracciones de las Administraciones públicas”. “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones.” Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que CENTRO LÁSERES PULSADOS ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a CENTRO LÁSERES PULSADOS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es