AAPP-00049-2018

1/12 Procedimiento Nº AP/00049/2018 RESOLUCIÓN: R/01590/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00049/2018, instruido por la Agencia Española de Protección de Datos al MINISTERIO DE JUSTICIA, SUBSECRETARÍA DE JUSTICIA, DIRECCION GENERAL DE LOS REGISTROS Y DEL NOTARIADO, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 09/03/2018, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por D. A.A.A. (en lo sucesivo el denunciante), en el que pone de manifiesto que realizó una solicitud de certificado de nacimiento para la tramitación de un expediente matrimonial, a través de la Sede Electrónica del Ministerio de Justicia y utilizando certificado digital de la FNMT, y al descargar el documento se mostró un asiento del Registro Civil de Barcelona relacionado con un matrimonio canónico de 1984, que nada tiene que ver con el denunciante o su entorno familiar. Añade que el sistema no le permitió verificar el documento mediante el código CSV. Con su denuncia aporta un documento de tres páginas expedido en fecha de 09/03/2018, consistente en un asiento del Registro Civil de Barcelona de fecha 23/01/1984, correspondiente a la inscripción de un matrimonio canónico celebrado el 06/08/1961. En dicha inscripción constan los datos personales de terceros. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó a información sobre los hechos denunciados a la Dirección General de los Registros y del Notariado (en lo sucesivo DGRN), de la Subsecretaria de Justicia del Ministerio de Justicia, que respondió, en síntesis, lo siguiente: Se trata de un fallo en el funcionamiento ordinario del sistema informático que genera los certificados del Registro Civil. La División de Tecnologías de la Información y Comunicaciones del Ministerio de Justicia, DTIC en lo sucesivo, realizó el 15/03/2018 determinadas consultas para hacer un diagnóstico de lo sucedido: - Consulta la base de datos del RC para verificar si es un error en la tabla de índices de las inscripciones o en el contenido de las imágenes digitalizadas de las inscripciones afectadas (la de nacimiento del denunciante y las del matrimonio que consta en el asiento objeto de la denuncia), se comprueba que no hay ningún dato erróneo en la base de datos, que ambas inscripciones están bien digitalizadas y sus índices de localización son correctos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 - Se capturan las trazas del servidor de servicios de interoperabilidad del RC a través de los que se reciben las solicitudes de certificados desde la Sede Electrónica y se observa que el día 09/03/2018 hubo dos solicitudes simultaneas con diferencia de milésimas de segundo a través de dicha Sede, una de nacimiento del denunciante y otra de matrimonio de la mujer a la que se refiere la inscripción de matrimonio aportada con la denuncia. - Se capturan las trazas del servidor del servicio encargado de generar los certificados solicitados a partir de los datos extraídos de la base de datos, su sellado electrónico y generación del código CSV comprobándose que el error se produce en esta traza: El servicio no contempla la concurrencia y se equivoca al componer el certificado de nacimiento, el tomo y pagina que figuran en el certificado son correctos y corresponden a los datos de su inscripción de nacimiento, pero el contenido con la imagen digitalizada son los de otra solicitud, la de matrimonio. La composición (Tomo, página, Registro E imagen/

1. es)del certificado de nacimiento lo hace el mismo Servicio y lo envía a la Plataforma de firma. Lo que envía es incorrecto porque mezcla imágenes, en la solicitud del certificado del nacimiento se obtienen los datos de una inscripción correctamente y las imágenes se guardan en dos variables ( digitalizada0.jpg y digitalizada1.jpg), como la solicitud de matrimonio llega en milésimas de segundos después, antes de encriptar el fichero “digitalizada0.jpg” (es decir, la primera imagen del certificado de nacimiento), se machaca ese fichero por el “digitalizada0.jpg” (es decir, primera imagen del matrimonio) y por ese motivo se manda a la Plataforma de Firma de forma errónea. La solicitud relativa a la inscripción de matrimonio se genera correctamente. - Se comprueba el código aportado por el denunciante y se verifica que permite la descarga del certificado erróneo. A este respecto, se indica que puede haber fallado al denunciante por haber utilizado el servicio de verificación de certificados de matrimonio en lugar del de nacimientos, que son diferentes. - La Causa de la Incidencia es un error del sistema informático en la gestión de generación de certificados para solicitudes simultáneas. - Los datos y números de afectados son los referidos por el denunciante. - Respecto de la especificación de las medidas correctoras adoptadas, indican que es necesario modificar el código del sistema informático para que pueda gestionar de forma robusta la generación de los certificados incluso cuando hay varias llamadas simultáneas a la base de datos. En cuanto sea posible se hará el análisis para realizar dicho mantenimiento correctivo. No obstante la probabilidad de ocurrencia es muy baja. No hay constancia de que haya sucedido antes. La resolución de la incidencia, se concreta en que el denunciante solicite de nuevo la inscripción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Respecto de las medidas técnicas y organizativas para evitar una nueva quiebra de confidencialidad, se remiten a lo indicado anteriormente. TERCERO: Con fecha 11/06/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la entidad DGRN por la presunta infracción de los artículos 9 y 10 de dicha norma, tipificadas como graves en los artículos 44.3.
2. h)y 44.3.
3. d)de la citada Ley Orgánica, respectivamente. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 11/06/2018, la entidad denunciada presentó escrito de alegaciones en el que reitera lo indicado en su informe de 22/03/2018, señalando nuevamente que se trató de un fallo de funcionamiento del sistema informático que genera los certificados del Registro Civil al haberse producido la solicitud simultánea de dos certificaciones desde la sede electrónica del Ministerio. Añade que, para la corrección del error, se ha modificado el código del sistema informático para mejorar la gestión de la persistencia de sesiones, de modo que el componente emisor de certificaciones que atiende a varios servicios solicitantes pueda realizar una mejor gestión de solicitudes. Adicionalmente, el Ministerio está desarrollando un proyecto tecnológico de modernización de las aplicaciones de gestión del Registro Civil, diseñado para ofrecer las garantías de seguridad adecuadas en cuanto a la protección de los datos. Destaca que la probabilidad de ocurrencia de este caso es muy pequeña y que el daño ocasionado únicamente afecta al denunciante y a las personas referidas en el certificado de matrimonio, no habiéndose encontrado otras incidencias similares. QUINTO: Con fecha 6/07/2018, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el DGRN ha infringido lo dispuesto en el artículo 9 de la LOPD, en relación con el artículo 91 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificada como grave en el artículo 44.3.
4. h)de la misma norma; y lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
5. d)de la misma norma. Así como que ha adoptado medidas de orden interno adecuadas para impedir que en el futuro pueda producirse una nueva infracción de los artículos 9 y 10 de la LOPD similar a la analizada en el presente procedimiento. Dicha Propuesta de Resolución fue notificada al denunciado el 9/07/2018 sin que se haya recibido escrito de alegación alguno contra la misma. HECHOS PROBADOS PRIMERO: Con fecha de 09/03/2018, el denunciante realizó una solicitud de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 certificado de nacimiento a través de la Sede Electrónica del Ministerio de Justicia, recibiendo en respuesta a dicha solicitud un documento expedido en la misma fecha correspondiente a un asiento del Registro Civil de Barcelona relacionado con un matrimonio canónico de 1984, en el constan los datos personales de terceros. SEGUNDO: La Dirección General de los Registros y del Notariado ha admitido que la incidencia reseñada en el Hecho Probado Primero se produjo por un fallo de funcionamiento del sistema informático que genera los certificados del Registro Civil, al haberse producido la solicitud simultánea de dos certificaciones desde la Sede Electrónica del Ministerio, una de nacimiento por el denunciante y otra de matrimonio de la mujer a la que se refiere la inscripción de matrimonio aportada con la denuncia. La División de Tecnologías de la Información y Comunicaciones del Ministerio de Justicia informó que el servicio no contemplaba la concurrencia y se equivocó al componer el certificado de nacimiento. El tomo y pagina que figuran en el certificado son correctos y corresponden a los datos de su inscripción de nacimiento, pero el contenido con la imagen digitalizada son los de otra solicitud, la de matrimonio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
7. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 En este mismo sentido se pronuncia el artículo 2.
8. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido, se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” IV Se imputa a la entidad DGRN el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
9. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
10. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
11. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que: a Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 b Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD. c La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados. d El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad DGRN pertenecientes a personas inscritas en el Registro Civil, correspondiendo adoptar las reguladas en el Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 91 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establece: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 En definitiva, como responsable del fichero, la entidad DGRN está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de los que es responsable, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. Se ha de tener en cuenta, además, que el incumplimiento de lo establecido en el artículo 9 de la LOPD no se produce en exclusiva en supuestos de ausencia total de medidas, sino también en aquellos otros en los que las adoptadas resultaran insuficientes o no efectivas y esta insuficiencia sea imputable a título de culpa. En este caso, ha quedado acreditado que la citada entidad incumplió esta obligación, al no impedir que las solicitudes de certificaciones formalizadas a través de la Sede Electrónica de forma simultánea pudieran mezclar las imágenes digitalizadas que se envían como respuesta, posibilitando que un solicitante accediera a los datos personales de terceros, reseñados en el certificado entregado erróneamente al primero. En concreto, según los detalles que constan en los Hechos Probados, consta que el denunciante realizó una solicitud de certificado de nacimiento a través de la Sede Electrónica del Ministerio de Justicia, recibiendo en respuesta a dicha solicitud un documento expedido en la misma fecha correspondiente a un asiento del Registro Civil de Barcelona relacionado con un matrimonio canónico de 1984, en el constan los datos personales de terceros. Y según la información facilitada por la propia entidad denunciada, la incidencia se produjo por un fallo de funcionamiento del sistema informático que genera los certificados del Registro Civil, al haberse producido la solicitud simultánea de dos certificaciones desde la Sede Electrónica del Ministerio Así, los hechos expuestos, en relación con la emisión de certificaciones sobre inscripciones del Registro Civil solicitadas a través de la Sede Electrónica del Ministerio de Justicia y la puesta a disposición del denunciante de la certificación correspondiente a un tercero, se producen por deficiencias en el sistema diseñado por la propia entidad, que quedaron acreditadas por la documentación aportada por el denunciante y que han sido admitidas por la misma. Dado que la incidencia es consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad, se concluye que ha existido vulneración del “principio de seguridad de los datos” y se considera que la DGRN ha incurrido en la infracción grave descrita, al menos, por una falta de la diligencia debida en los hechos constatados. V El artículo 44.3.
12. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que la DGRN ha incurrido en la infracción grave descrita. VI El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso efectuado por parte del denunciante a los datos personales de, contenidos en el certificado de matrimonio que le fue entregado por el sistema de gestión de certificados. Por tanto, procede analizar el cumplimiento por parte de la entidad DGRN del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que la DGRN vulneró este deber de confidencialidad en relación con los datos personales relativos a las personas que figuraban en el certificado de matrimonio que fue entregado al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 denunciante en fecha 09/03/2018. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, circunstancias que no concurren en el presente caso. Por tanto, queda acreditado que por parte de aquella entidad, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales anotados en el Registro Civil. VII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
13. d)de la LOPD. En este precepto se establece lo siguiente: “
14. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de terceros fueron divulgados al denunciante, no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
15. d)de la LOPD. VIII Tratándose de infracciones cometidas por Administraciones Públicas, procede aplicar el artículo 46 de la LOPD, que establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. IX C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En el presente caso, la respuesta de la DGRN para corregir las deficiencias de seguridad ha sido inmediata. Según la información aportada, para la corrección del error se ha modificado el código del sistema informático para mejorar la gestión de la persistencia de sesiones, de modo que el componente emisor de certificaciones que atiende a varios servicios solicitantes pueda realizar una mejor gestión de solicitudes. Adicionalmente, se está desarrollando un proyecto tecnológico de modernización de las aplicaciones de gestión del Registro Civil, diseñado para ofrecer las garantías de seguridad adecuadas en cuanto a la protección de los datos. Por tanto, se entiende que la entidad DGRN ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el MINISTERIO DE JUSTICIA, SUBSECRETARÍA DE JUSTICIA, DIRECCION GENERAL DE LOS REGISTROS Y DEL NOTARIADO ha infringido lo dispuesto en el artículo en el artículo 9 de la LOPD, en relación con el artículo 91 de su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, tipificada como grave en el artículo 44.3.
16. h)de la misma norma; y lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
17. d)de la misma norma. Así como que ha adoptado medidas de orden interno adecuadas para impedir que en el futuro pueda producirse una nueva infracción de los artículos 9 y 10 de la LOPD similar a la analizada en el presente procedimiento. SEGUNDO: NOTIFICAR la presente resolución al MINISTERIO DE JUSTICIA, SUBSECRETARÍA DE JUSTICIA, DIRECCION GENERAL DE LOS REGISTROS Y DEL NOTARIADO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
18. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es