1/13 822-150719 Procedimiento Nº AP/00052/2015 RESOLUCIÓN: R/00506/2019 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00052/2015, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE MEDIO CUDEYO, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14/10/2014 tiene entrada en esta Agencia un escrito del AYUNTAMIENTO DE MEDIO CUDEYO en el que declara que el concejal no adscrito A.A.A. accedió a determinados exámenes realizados en proceso de selección de personal laboral temporal (Proyecto Medio Cudeyo Familiar 2013) en los que participaba la hija de su novia. No detalla la fecha en que se realizaron los exámenes ni la supuesta fecha en que la persona señalada accedió a los exámenes. Indica que ante su disconformidad con la baja nota obtenida por la hija de su novia, los entregó a otra persona que se dedica a corregir, de lo que se infiere que el proceso se produce tras la calificación de los mismos. Manifiesta que se ha comprobado por propia declaración del concejal, y por entregar la copia de los exámenes, que accedió a determinados exámenes de diversos aspirantes en dicho proceso de selección, sin que conste solicitud previa de acceso a su consulta y examen ni autorización y consentimiento sobre su disposición. Entre los exámenes se encontraba el de la hija de su pareja. Estos exámenes los consultó y fotocopió extrayéndolos de las oficinas del Ayuntamiento sin autorización, vulnerando el deber de sigilo y secreto que tiene encomendado por razón del cargo. Asimismo, difundió la información y la divulgó a un tercero que se dedica a corregir. Aportan entre otra la siguiente documentación: 1) Certificado de acta de la sesión plenaria extraordinaria del Ayuntamiento de fecha 24/4/2014 expedida por el Secretario Municipal en la que se reconocen los hechos que se denuncian. Oficio remitido por el Ayuntamiento a A.A.A. de 27/5/2014, solicitando la devolución de copia de los documentos que haya dispuesto o a los que haya tenido acceso, contestación al citado oficio presentado al Ayuntamiento de 9/6/2014 entregando la copia de seis exámenes. De la copia aportada se ven DNI y en otros nombre y apellidos y lo que pudiera ser la calificación anotada sobre las hojas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información 1) Con fecha 2/3/2015, a la cuestión del motivo de haber fotocopiado los exámenes y entregarse a un tercero A.A.A. no respondió, indicando que por los citados hechos, se siguen Diligencias Previas por el Juzgado de Instrucción ***NÚMERO de Medio Cudeyo, sin aportar acreditación de ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 2) Con fecha 10/3/2015 al Ayuntamiento de Medio Cudeyo se le solicitan diversas explicaciones y documentación, sobre el documento de seguridad y medidas implantadas para evitar accesos no autorizados a documentos que contengan datos de carácter personal. Manifestó que ya aportaron dicha documentación en su denuncia, si bien su denuncia no hace referencia a elemento alguno de estos aspectos. La eventual responsabilidad de A.A.A. se dilucidará en el procedimiento sancionador PS/ 000517/2015. TERCERO: Con fecha 17/09/2015 se acordó iniciar al AYUNTAMIENTO DE MEDIO CUDEYO,(CANTABRIA) procedimiento de declaración de infracción de las Administraciones Públicas, por la comisión de una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 88, 90, 91 y 92 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD (en adelante RLOPD) tipificada como grave en el artículo 44.3.
- h)Al conocer que se está tramitando un procedimiento penal sobre el que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la penal, se acordó en la misma fecha del acuerdo de inicio, su suspensión considerando además que el artículo 7.3 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora Real Decreto 1398/1993, de 4/08- REPEPOS- indica “En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que sustancien.” CUARTO: Con fecha 31/01/2018 se recibe escrito del Ayuntamiento enviando copia de la sentencia recaída en *** PROCEDIMIENTO ABREVIADO del Juzgado de lo penal 3 de Santander. En ella, se condena a A.A.A. por un delito de infidelidad en la custodia de documento público y violación de secretos del art 417 del Código Penal, si bien se informa que se ha recurrido. De la misma cabe destacar: - A.A.A., era concejal ***CONCEJAL.1 del Ayuntamiento de Medio Cudeyo cuando dentro del proyecto “MEDIO CUDEYO Familiar 2013”, se convocó por el ayuntamiento una prueba escrita para la selección de técnicos de educación infantil. En esta prueba participa B.B.B., hija de la pareja sentimental del encausado. Una vez corregidas las citadas pruebas selectivas, resultó que Jesica no obtuvo la puntuación precisa para acceder a las plazas convocadas. El encausado se interesó por los exámenes a los que tuvo acceso por razón de su cargo, accediendo por razón de su cargo, a las pruebas de selección, después de la corrección de los exámenes de la prueba escrita obteniendo sin autorización de los participantes y en función del interés personal que le movía una fotocopia de los exámenes de las personas que concurrieron al proceso selectivo, así como de su puntuación, extrayéndolos de las oficinas municipales y entregándolos a tercero ajeno al mismo, para obtener una nueva corrección, según declaración efectuada en el interrogatorio del acto del juicio.” -“Alega el encartado que pidió copia de los exámenes de todos a la concejala no dándoselos, viéndolos por casualidad a la entrada del ayuntamiento, unos tres meses después, estando ya adjudicadas las plazas, solicitando a un funcionario que le hiciera fotocopias de aquellos, que entregó a un tercero que tenía una empresa de animadores quien los corrigió, afirmando que estaban mal corregidos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 -También figura el posterior requerimiento al mismo para la devolución de 27/05/2014 y la restitución de las fotocopias de los exámenes que le habían sido pedidos, correspondientes a (identifica los titulares de los exámenes, siendo 6 en total, uno de ellos de la mencionada B.B.B. QUINTO: En fecha 9/04/2019, se recibe en esta Agencia copia de la sentencia ***SENTENCIA.1 de ***FECHA.2 de apelación, resuelto por la Audiencia Provincial Sección nº 3, interpuesto por el denunciado, remitiendo copia de la sentencia judicial firme recaída en el rollo de Sala núm. ***SALA.1, dimanante del *** PROCEDIMIENTO ABREVIADO del Juzgado Penal nº 3 de Santander, siendo el apelado el AYUNTAMIENTO DE MEDIO CUDEYO La sentencia de ***FECHA.2, en apelación de la del juzgado de lo penal 3 de Santander de ***FECHA.1 falla estimar íntegramente la apelación interpuesta por el denunciante, absolviendo del delito por el que había sido condenado (infidelidad de documentos y violación de secretos del artículo 417.1 del código penal. En el fundamento de derecho tercero el Juez indica que la conducta del acusado “no consta que haya generado ningún daño verificado y acreditable ni a la administración ni a terceras personas por cuanto el acceso a los datos contenidos en los exámenes de los candidatos no consta que haya supuesto ventaja o privilegio alguno para la hija de su compañera sentimental, ni perjuicio alguno para ninguno de esos candidatos que concurrieron a dicho proceso selectivo, el cual no consta ni que fuera oficialmente revisado, ni que hay sido impugnado ante ninguna autoridad administrativa o judicial, encontrándose por tanto ante una conducta que carece de relevancia en la esfera penal, sin perjuicio del reproche que pueda merecer en la esfera administrativa, “ “Cosa distinta hubiera sido el eventual caso de que el acusado hubiera obtenido el cuestionario de las preguntas del examen ante de su realización, supuesto que si atentaría contra los principios de mérito y capacidad a que se refiere la sentencia recurrida” “encontrándose que la conducta del acusado si bien se considera reprochable por haber actuado fuera de las vías legales establecidas para la revisión de los procesos selectivos, por su falta de consecuencias dañosas, resulta irrelevante desde el punto de vista penal”. SEXTO: El 29/04/2019, se acuerda por la directora de la AEPD levantar la suspensión del procedimiento. No se reciben alegaciones del Ayuntamiento. SÉPTIMO: Con fecha 21/06/2019, se decide iniciar un periodo de práctica de pruebas, incorporando las actuaciones previas y la documentación generada durante la suspensión del Se ACUERDA practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección e Inspección que forman parte del expediente 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00052/2015 presentadas por el AYUNTAMIENTO DE MEDIO CUDEYO, y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 Además, se decide solicitar:
- a)Al Ayuntamiento: a.1- Parte del documento de seguridad de los tratamientos y ficheros que en su día contemplaba el asunto de los datos de carácter personal de los documentos que gestiona ese Ayuntamiento, referido o aplicable a los exámenes. ¿Qué medidas de seguridad se aplicaban, como se custodiaban, quien los corregía.? Se recibe respuesta el 5/07/2019 en el que no se responde a esta cuestión a.2-Concejalía o área que custodiaba y era responsable de los documentos físicos de los exámenes, y si existía copia escaneada o de algún otro tipo que se guardara en los sistemas de información del Ayuntamiento. Breve cronograma de las fechas del desarrollo de las pruebas, sus calificaciones, correcciones, fecha de publicación y notificación de los resultados y fecha en que se estima se obtuvo la copia de los exámenes Manifiesta que la documentación se custodiaba directamente por la Concejalía de Cultura y Turismo, cuyo personal técnico adscrito al servicio de Cultura era el que las calificaba, en las dependencias del Centro Cultural Ramón Pelayo. Manifiestan que “Se desconoce las medidas de seguridad que pudieron aplicar” y que “en aquel momento no existían copias escaneadas o de ningún otro tipo que se guardase en los sistemas de información.” Manifiestan que “no se dispone de registro alguno del cronograma de fechas de desarrollo del proceso de las pruebas.” a.3 Confirmen que el Sr. (A.A.A.) no se llevó los exámenes originales ni estos salieron de oficinas municipales, y efectuó copia en al Ayuntamiento. Manifiesta que confirma que no se los llevó los originales, ni salieron de las oficinas, sino que efectuó copia en el Ayuntamiento. a.4 Informen si el Sr. A.A.A. encontró los exámenes fortuitamente, donde se hallaban estos, breve croquis de la sala y que personas tenían acceso a dicho espacio. Contestó que “los exámenes se pusieron a disposición del concejal para su vista en la Casa Consistorial de Valdecilla, pero no se dispone de información del lugar exacto donde se hizo dicha consulta, si fue en horario de oficina o fuera del mismo, dado que en esa época, todos los concejales del equipo de gobierno Municipal disponían de llave de acceso a la Casa Consistorial, a las oficinas generales y a los despachos de su grupo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 a.5 Indiquen como gestionan actualmente los soportes físicos de pruebas selectivas, ofertas de empleo etc., como la que se analiza, y si algún concejal puede pedir copia de exámenes, si existe procedimiento establecido para su entrega o razón para su no entrega. Si a toda persona que se le entrega un documento con datos personales legítimamente, conteniendo datos de terceros se le entrega una advertencia del uso y finalidad de dichos datos/documento. Informa que hoy día, todos los procesos selectivos se llevan a cabo por personal municipal cualificado para cada puesto, con asistencia de personal técnico especializado en cada área, de manera profesional e independiente, sin participación o intervención de ningún tipo de los concejales en todo el proceso y se vigila el mantenimiento de la cadena de custodia de los documentos para evitar cualquier filtración o incidente análogo, bajo la coordinación directa y permanente de la Secretaria Municipal, que es siempre el Secretario del Tribunal. No se facilita copia de exámenes a concejales durante el desarrollo de las pruebas. Solamente se da vista al expediente a la finalización de los mismos y previa solicitud escrita, salvo que sea la propia Concejalía del área a la que se refiere el proceso selectivo. Los propios aspirantes solamente pueden acceder a sus propios ejercicios pero no a los de los demás, por lo que no es posible que se acceda a dato personal de tercero en estos procesos selectivos. a.6- Si existe en ese municipio alguna norma interna disciplinaria que se aplique a un miembro como por ejemplo un concejal que obteniendo documentos con datos los utilice en provecho propio o los ceda a un tercero sin concurrir causa legitima, o si le consta si el Sr. A.A.A. ha sido sancionado por este asunto. Indica que no existe norma interna disciplinaria aprobada en tal sentido, y el aludido no fue sancionado administrativamente por dicho asunto. OCTAVO: El Instructor emitió y fue notificada a la denunciada la propuesta de resolución, con el literal: “PRIMERO: Declarar que el AYUNTAMIENTO DE MEDIO CUDEYO, ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con los artículos 88, 90, 91, 92 y 99 del RLOPD tipificada como grave en el artículo 44.3.
- h)de dicha LOPD. SEGUNDO: Requerir al AYUNTAMIENTO DE MEDIO CUDEYO, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1. de la LOPD. TERCERO: Notificar la Resolución que se adopte al responsable del fichero. CUARTO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999.” No se recibieron alegaciones ni se informó de los procedimientos de tratamientos y custodia relacionados con los exámenes o medidas adoptadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 HECHOS PROBADOS 1) El Ayuntamiento de Medio Cudeyo dentro del proyecto “MEDIO CUDEYO Familiar 2013”, convocó una prueba escrita para la selección de técnicos de educación infantil. En esta prueba participó la hija de la pareja sentimental de A.A.A., ***CONCEJAL.1. Una vez corregidas las citadas pruebas selectivas, resultó que la hija de la pareja no obtuvo la puntuación precisa para acceder a las plazas convocadas. 2) En pruebas el ayuntamiento manifestó que A.A.A. tuvo A.A.A. se interesó por los exámenes a los que tuvo acceso, en forma de vista, según manifiesta el ayuntamiento de Medio Cudeyo y por razón de su cargo en la casa consistorial. 3) Después de la corrección de los exámenes de la prueba escrita A.A.A. hizo sin autorización de los participantes y en función del interés personal que le movía una fotocopia de los exámenes de las personas que concurrieron al proceso selectivo, así como de su puntuación, y entregándolos a tercero ajeno al mismo, para obtener una nueva corrección, según declaración efectuada en el interrogatorio del acto del juicio. 4) En el acta de la sesión plenaria extraordinaria del Ayuntamiento de fecha 24/4/2014 A.A.A. reconoció haber fotocopiado los exámenes para efectuar una corrección paralela a la oficial mediante su entrega a un tercero expedida por el Secretario Municipal en la que se reconocen los hechos que se denuncian. 5) En pruebas el ayuntamiento manifestó que en 2013 no existían copias escaneadas o de ningún otro tipo que se guardase de los exámenes es decir que solo se conservaban en papel los originales. Además señala el Ayuntamiento que, en aquella fecha, todos los concejales del equipo de gobierno Municipal disponían de llave de acceso a la Casa Consistorial, a las oficinas generales y a los despachos de su grupo, si bien manifestó que los exámenes se custodiaban por el personal técnico adscrito al servicio de Cultura, en las dependencias del Centro Cultural Ramón Pelayo, que eran los que los custodiaban y corregían. Indica el ayuntamiento que desconoce las medidas de seguridad que pudieron aplicar, no habiendo aportado en pruebas documento de seguridad donde se contemplen las medidas de seguridad sobre documentos en papel, exámenes en este caso. El Ayuntamiento manifestó que en aquel momento no existían copias escaneadas o de ningún otro tipo que se guardase en los sistemas de información. 6) El Ayuntamiento requirió a A.A.A. el 27/5/2014, la devolución de la copia de los documentos que haya dispuesto o a los que tuvo acceso, contestando el 9/6/2014 y entregando la copia de seis exámenes. De la copia aportada de los exámenes se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 ven DNI y en otros nombre y apellidos y lo que pudiera ser la calificación anotada sobre las hojas. 7) De la sentencia recaída en el *** PROCEDIMIENTO ABREVIADO del Juzgado de lo penal 3 de Santander, de ***FECHA.1 en la que el acusado es A.A.A., y el demandante el ayuntamiento destacan como hechos no variados, que el acusado era ***CONCEJAL.1 en el Ayuntamiento de Medio Cudeyo y que en el proyecto de convocatoria Medio Cudeyo Familiar 2013 para cubrir puestos de técnicos de educación infantil participaba la hija de su pareja sentimental, y que una vez que se corrigieron las pruebas, esta no obtuvo plaza, y que “Alega el encartado que pidió copia de los exámenes de todos a la concejala no dándoselos, viéndolos por casualidad a la entrada del ayuntamiento, unos tres meses después, estando ya adjudicadas las plazas, solicitando a un funcionario que le hiciera fotocopias de aquellos, que entrego a un tercero que tenía una empresa de animadores quien los corrigió, afirmando que estaban mal corregidos.” La Audiencia Provincial Sección nº 3 de Santander, en su sentencia ***SENTENCIA.1 de ***FECHA.2, casa la anterior indica que concurre el deber de reserva el poner en conocimiento público las preguntas de un examen de una oposición y que en función de los bienes jurídicos afectados puede no ser delito como en el presente caso, aunque pueda suponer revelación de informaciones confidenciales. La sentencia indica que no hay daño para la causa publica ni para los candidatos y que A.A.A. no impugnó el proceso. 8) También figura el posterior requerimiento por el Ayuntamiento a A.A.A. para la devolución de 27/05/2014 y la restitución EL 9/06/2014 de las fotocopias de los exámenes que le habían sido pedidos, (identifica los titulares de los exámenes, siendo 6 en total, uno de ellos de la mencionada B.B.B..) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 17.1 de la Directiva ***SENTENCIA.1/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva ***SENTENCIA.1/46, y en su artículo 1 dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El nombre y apellidos relacionados con la ejecución de un examen, incluidas las calificaciones que recoge, custodia y califica una administración constituyen datos de carácter personal y así lo determinó el Tribunal de Justicia, en sentencia dictada el 20/12/2017 Asunto C-434/16, ha interpretado el artículo 2
- a)de la Directiva ***SENTENCIA.1/46/CE sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de éstos. El litigio del que trae causa se suscitó entre una persona física y el Comisario de Protección de datos de Irlanda, debido a la negativa de dicha autoridad al acceso escrito corregido de un examen en el que éste participó como aspirante, basada en que los datos allí contenidos no eran de carácter personal. El artículo 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2: En particular, en relación con lo dispuesto en el título VIII de este Reglamento se entenderá por:
- d)Control de acceso: mecanismo que en función de la identificación ya autenticada permite acceder a datos o recursos.
- e)Copia de respaldo: copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación.
- f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.
- m)Sistema de información: conjunto de ficheros, tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de carácter personal.
- n)Sistema de tratamiento: modo en que se organiza o utiliza un sistema de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 Atendiendo al sistema de tratamiento, los sistemas de información podrán ser automatizados, no automatizados o parcialmente automatizados. ñ) “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Con independencia de que A.A.A. fuera concejal, los exámenes son documentos de carácter personal en papel, y en este caso no existía documento soporte o copia de los originales. Tampoco se acredita documento de seguridad de tratamientos y ficheros en el que se contemplen los exámenes. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Destacan por ser aplicables al caso, los artículos: artículo 88 “El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
- a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
- b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este Reglamento.
- c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
- d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13
- e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
- f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
- g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos.” 5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo.” En el presente supuesto, no se acredita que existiera documento de seguridad, ni por tanto reglas sobre tratamientos de datos. Artículo 90 “Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.” No se evidencia registro alguno sobre el caso, cronología y reportes al responsable. Igualmente el citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” La denunciada debe disponer los sujetos que tienen acceso por el desempeño de funciones y otros sujetos que legalmente puedan tener derecho a documentos del municipio, estableciendo protocolos paras dichos tipos de accesos, que en este caso no existían. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Artículo 92. Gestión de soportes y documentos. 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de las personas.” En el presente caso, se desconoce si antes de fotocopiar los exámenes, A.A.A. accedió realmente o no a los exámenes pues no hay registro en ningún sentido sobre dicho acceso. Tampoco se conoce que existieran medidas específicas de seguridad para los citados exámenes Artículo 99 “Exclusivamente el personal autorizado en el documento de seguridad podrá tener acceso a los lugares donde se hallen instalados los equipos físicos que den soporte a los sistemas de información.” En este sentido deben limitarse las posibilidades a los espacios donde se guardan datos personales y conocer en cada momento quien accede al espacio y documentos. Por ello, la dispensación de llaves para dichos espacios ha de estar previamente regulada y controlada. La denunciada no ha dado explicación del régimen actual de tratamiento, custodia y accesos a los exámenes que lleve a cabo el municipio y que contribuyan a que no se repita la infracción. A raíz del presente expediente, que se ha dilatado en el tiempo, debe acreditar la existencia y situación de estas medidas, ya ajustadas al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE MEDIO CUDEYO, ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con los artículos 88, 90, 91, 92 y 99 del RLOPD tipificada como grave en el artículo 44.3.
- h)de dicha LOPD. SEGUNDO:REQUERIR al AYUNTAMIENTO DE MEDIO CUDEYO, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que tenga dispuestas en relación con los tratamientos de exámenes, y que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/10094/2019. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE MEDIO CUDEYO. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el artículo 50 de laLey Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es