1/13 Procedimiento Nº AP/00056/2018 RESOLUCIÓN: R/00064/2019 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00056/2018, instruido por la Agencia Española de Protección de Datos a la entidad CONCELLO DE TUI, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/04/2018, tiene entrada en esta Agencia un escrito remitido por Don A.A.A., ***PUESTO.1 en el que expone lo siguiente: El denunciante es ***CARGO.1 del Concello de Tui con T.I.P. XXXXXX, y a principios de abril, han comenzado a utilizar un programa informático de gestión administrativa denominado GESTIONA. Según manifiesta, no se les ha dado ningún tipo de formación sobre el uso del citado programa y tampoco han firmado ningún documento relativo al tratamiento de los datos que se incorporan en el mismo (datos del padrón municipal y de otros ciudadanos, así como datos de los trabajadores municipales). Cada usuario de la aplicación tiene asignado un expediente con sus datos personales y todos los procedimientos administrativos en trámite o finalizados, incluyendo los propios procedimientos y trámites laborales de los trabajadores como: bajas y altas médicas, solicitud de vacaciones y otras licencias, etc. También se gestiona con el programa los expedientes administrativos relacionados con los ciudadanos y los trabajos policiales como: ocupación de la vía pública, informes del mercado municipal, averiguaciones de convivencia, informes de daños, etc. El programa se usa por todos los departamentos municipales y todos los empleados, funcionarios o no. Cualquier empleado municipal puede ver los datos personales y los expedientes que se integran en la base de datos del programa. No solo acceden a los datos sino también a los procedimientos administrativos en los que figuran; aunque no pueden abrir los documentos si pueden ver el “título resumen”, con lo que se pueden hacer una idea fidedigna del contenido del expediente y también se puede acceder al resumen de la resolución. Así mismo, cualquier empleado municipal puede ver los expedientes de ámbito laboral de sus compañeros teniendo acceso al “título” y al “resumen”, por lo que pueden acceder a información personal como: baja y alta de un compañero, solicitudes de permisos etc. No solo se pueden ver los datos de otros compañeros, también se pueden modificar datos como teléfonos, direcciones postales etc., incluso se puede cambiar la fotografía de la ficha del empleado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Y anexa la siguiente documentación: Copia impresa de varias pantallas de la aplicación GESTIONA a las que ha accedido con su usuario, entre las que se encuentra en la opción de “TERCEIROS” la posibilidad de realizar búsquedas por NIF/CIF y por Nombre/Razón Social. El denunciante realiza una búsqueda por el apellido de un compañero (según manifiesta) y aporta la pantalla donde le aparecen sus datos de nombre y apellidos, NIF, teléfono y dirección postal y según aparece en una de las pantallas aportadas, le permite introducir el dato del teléfono de la ficha del compañero, pues ha escrito la palabra “prueba” en el apartado “móvil”, ignorándose si al finalizar permite guardar la modificación. El denunciante aporta las pantallas de acceso a los registros de la ficha de su compañero en las que aparecen un listado de dichos registros y en la columna “Resumen” una Comisión de Servicios solicitada por el compañero y un parte de alta de incapacidad temporal. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al CONCELLO DE TUI, que con fecha 28/05/208 expone lo siguiente: 1. Aportan copia del manual de usuario a disposición de los usuarios, de la aplicación “Gestiona” (plataforma de gestión electrónica de expedientes), implantada en el Ayuntamiento en el mes de abril de 2018. 2. Respecto a los menús de la aplicación, adjuntan copia impresa de las pantallas de la página principal donde se encuentran varias pestañas desde las que se accede a las distintas funcionalidades. En la pestaña REGISTRO consta la fecha y hora, nombre y apellidos de la solicitud/alegaciones/comunicación, un resumen, que puede contener “fecha confirmación baja”, certificación padrón de habitantes o título de curso de formación En la pestaña de expedientes puede figurar entre otros, “recurso administrativo” “asunto infracción ley de protección de datos” o procedimiento de contratación, y las personas a quien se asigna. En la pestaña “Terceiros” la persona o entidad que presenta el escrito y dirección. 3. En la actualidad tienen acceso a la aplicación 138 usuarios, cada uno de ellos con su perfil de acceso, en función de la configuración de los permisos que se le asignan y de las tareas que tiene encomendadas. Aportan listado de todos los usuarios por cada una de las opciones que permite la aplicación. Se verifica en el listado que el denunciante (T.I.P. XXXXXX) está autorizado para el acceso a varias opciones; entre ellas, es uno de los 34 usuarios que tienen permiso para la opción “Editar Terceiro”. 4. Respecto a la cuestión de si a través de la consulta en la carpeta denominada “Terceiros”, un trabajador del Ayuntamiento podría acceder a los datos de otro compañero e incluso modificarlos, manifiestan que no todos los trabajadores tienen acceso a la citada carpeta, únicamente aquellos que precisan acceder a datos de un “terceiro” concreto para generar un registro de salida, o envíos de comunicación por razón del procedimiento que tengan encomendado. Entre las funcionalidades de “editar terceiro” se permite modificar si es preciso los datos de este como domicilio, correo electrónico etc. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 5. La aplicación también dispone de un módulo desde el que se pueden auditar las consultas y accesos realizados por cada usuario, indicando la fecha y hora de cada uno. 6. Los trabajadores del Ayuntamiento figuran como “terceiros” dado que a través de la aplicación formulan solicitudes o realizan comunicaciones al Ayuntamiento. TERCERO: Con fecha 9/07/2018, se solicita al Concello de Tui, ampliación de la información que habían remitido. Con fecha 23/07/2018, responden: 1 Confirman que los trabajadores del Ayuntamiento tramitan los permisos y licencias a través de la aplicación GESTIONA, mediante la ficha del empleado, a la cual solo tiene acceso el trabajador en cuestión y el departamento de personal. Respecto a las bajas y altas médicas, deben presentarse en el registro general del Ayuntamiento. 2 Respecto a los usuarios que tienen acceso a través de la aplicación GESTIONA, a la carpeta de “Terceiros”, donde consta el listado de registros del tercero, en cuya columna “Resumo” consta información sobre el contenido de los documentos asociados al tercero, manifiestan que: a. Los perfiles de los usuarios con acceso a la carpeta de “Terceiros” son: Vexa outros (todos), que permite ver todos los datos de un tercero, registros de entrada/salida asociados con la totalidad de su contenido y los expedientes vinculados sin acceso a su contenido. Vexa outros (algúns), que permite ver todos los datos de un tercero, registros de entrada/salida asociados sin poder acceder a su contenido y los expedientes vinculados sin acceso a su contenido. Editar terceiro, que permite dentro de un expediente en el que el trabajador este autorizado, agregar a un tercero a efectos de notificaciones, solo se pueden ver el nombre y apellidos y los datos a efectos de notificaciones. b. A raíz del primer requerimiento de información de la Agencia de 11/05/2018, realizaron una auditoria de los perfiles de usuarios de la aplicación, en la que se comprobó que la asignación de permisos efectuada inicialmente contenía ciertos errores por lo que se efectuaron modificaciones en los perfiles de usuarios. Tras la modificación a la carpeta de “Terceiros” ya solo accede al permiso “Veixa outros (todos)”, el personal que tiene atribuciones del área de registro y el alcalde-presidente, en total cuatro usuarios, cuya relación aportan. c. Así mismo, tras la modificación ningún trabajador dispone de permiso para acceder con el perfil “Veixa outros (alguns)” a la carpeta de “Terceiros”. Este era el permiso de que disponía el denunciante antes de la modificación. d. Los empleados que tienen permiso de “editar terceiro”, a través de los expedientes que tramitan, pueden agregar terceros a efectos de notificaciones. Aportan listado de los 40 trabajadores con este perfil y su categoría administrativa, entre ellos se encuentra el T.I.P. XXXXXX que corresponde al denunciante, el cual solo tiene permiso de acceso a los expedientes que tenga asignados, en los que puede ver, a los terceros vinculados al expediente. Por lo anterior, en la actualidad, el denunciante, no tiene acceso a información sobre solicitudes de otros trabajadores realizadas en el Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 e. Los únicos usuarios que pueden acceder a las solicitudes realizadas por otros trabajadores son los del registro de entrada y los del departamento de personal. No obstante, cada uno de los trabajadores puede acceder a su ficha personal con sus datos personales. f. Respecto al procedimiento por el que se ha difundido a los trabajadores el MANUAL DE USUARIO de la aplicación y las instrucciones sobre su uso, según manifiestan, está a disposición de los empleados en la pestaña “Expediente” con número 000 de la aplicación a la que tienen acceso todos ellos. Así mismo, se les facilitó información de forma verbal por los formadores de la aplicación y se les envío una alerta dentro de la aplicación a todos los usuarios en la que se les informaba de la existencia de la citada pestaña “Expediente” y su contenido a efectos de resolver sus dudas. CUARTO: Con fecha 11/10/2018, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a CONCELLO DE TUI por una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 89 y 91 del Reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 30/10/2018, la denunciada alega: 1. El aplicativo GESTIONA se implementa en abril de 2017 y el denunciante no accede hasta marzo de 2018. 2. El registro de accesos del denunciante denota intención de acceder indebidamente a los datos de terceros, tampoco comunica al Ayuntamiento la posibilidad de accesos a información para su análisis y corrección, intentando accesos reiterados y arbitrarios a registros con la única intención de acceder a datos de terceros. 3. El denunciante concluye en una serie de afirmaciones arbitrarias. El aplicativo GESTIONA cumple con los parámetros de seguridad del ENS, (Esquema Nacional de Seguridad), con nivel de seguridad alto (DOC. No 1). “Es posible que, como en cualquier proceso de gestión de cambio se requiriesen continuos ajustes para adecuarla a la normativa de privacidad y protección de datos, pero, en ningún caso, con intención alguna de vulnerar ni derechos, ni principios, ni obligaciones establecidas por Ley.” 4. No se ha producido alteración de datos, pérdida, ni incidencia alguna que haya afectado a los datos personales contenidos en el aplicativo GESTIONA. Se adjuntan informes de auditoría de usuario, en la que no se registran accesos a la aplicación por el denunciante comprendiendo junio, sept, nov 2017 y 2/2018. 5. No es cierto que no se hayan ofertado acciones formativas para el uso de la aplicación, desde antes del proceso de implantación, abril de 2017, se han facilitado diferentes acciones formativas a todo el personal y en concreto, cuatro de ellas donde se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 convoca al servicio de la policía municipal de este Ayuntamiento, no asistiendo el denunciante, sin motivo justificado. Adjuntan copia de las actas de asistencia previas a la puesta en marcha de la aplicación (DOC. No 3), en donde se aprecia que el denunciante no asiste a ninguna, por lo tanto, no puede argumentar que no se le ha facilitado formación, sino que no la ha aceptado. Posterior a su implantación, abril 2017, se ha seguido impartiendo formación, (DOC. No 4.1), la última con fecha 4 y 5 de octubre, durante un amplio horario de 9 a las 15 horas, en exclusiva para la Policía. Se facilitaron dos fechas y en horarios distintos para que tuvieran fácil la asistencia. Se incluyen actas de asistencia donde se puede comprobar que no asiste nadie del departamento de policía, hecho que denota falta de interés reiterada en acceder a dicha formación. 6. A cada usuario se le asigna un acceso distinto a “Terceros”, cuya definición se entiende como: “aquella persona física o jurídica que mantiene una relación como administrado con la entidad local, ya sea como habitante del municipio, proveedor, solicitante/interesado no vecino del municipio o empleado municipal, a través del Registro General”; la asignación de acceso se hace según sean sus funciones y con tres tipos de autorizaciones distintas: TERCEIRO: Vexa outros (todos), (algúns) y Editar. Al denunciante en su día, se le había asignado el permiso de “TERCEIRO Vexa outros (algúns)”, la información que se puede ver a través de dicho permiso permite acceder por visualización en modo resumen de los registros de entrada presentados por ese tercero, pero sin acceso a su contenido, siempre y cuando no sea un expediente en el que el funcionario/trabajador sea tramitador y en consecuencia tenga permisos de acceso “todos” concedido. Para comprobar esta alegación, se ha creado temporalmente, un perfil para la Delegada de protección de datos, figura creada en mayo 2018, con idénticos permisos a los que disfrutaba el denunciante en su momento "Vexaoutros (alguns)" adjuntan (DOC. No 5) apreciándose una captura de pantalla con los permisos de la DPD y en la que al no tener permisos de accesos a la ficha de empleado, la propia aplicación deniega el acceso, como se puede ver en la parte superior del intento de acceso, es decir, “el denunciante no podía acceder a la ficha de empleado de sus compañeros tal y como afirma.” 7. Niega que los documentos policiales administrativos o judiciales hubieran sido accesibles por cualquier empleado municipal. El acceso a cualquier expediente gestionado por el servicio de la ***CARGO.1 se limita exclusivamente a sus integrantes, ni antes ni ahora se ha podido nunca acceder al contenido de un informe sin ser parte integrante del mismo. 8. El denunciante, solo tiene permiso de acceso a los expedientes que tenga asignados, viendo solo en ellos, a los terceros vinculados al expediente, sobre los cuales solo puede ver, nombre y apellidos y dirección a efectos de notificaciones, como ya ha quedado explicado. No es cierto pues que: “El programa se usa por todos los departamentos municipales y todos los empleados, funcionarios o no, tienen acceso a los expedientes…” y no queda acreditada esa manifestación. El motivo por el que el servicio de Policía Municipal tenia los accesos "Vexa outros (alguns)" venia además justificado por necesidad, ya que, debido a sus turnos de noche y en fines de semana, al no estar disponible el personal del registro, quedan sin accesos a informaciones que podrían necesitar para el desarrollo de sus labores profesionales y que, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 no estarían disponibles hasta que el servicio de registro estuviese operativo, en consecuencia, se optó por concederles dicho acceso, que a todas luces parece necesario y que además debe quedar protegido por el deber de confidencialidad que, como funcionario público y, en este caso, como miembro de las Fuerzas y Cuerpos de Seguridad del Estado, está sujeto. 9. Si bien es verdad que con el acceso de "Vexa outros (algúns)", acceso inicial que tenía el denunciante, se podía ver el “título resumen” del expediente, no se podía ni se puede acceder a su contenido, aunque si se debe referenciar al mismo en un “titulo”, según establece el art. 16.3 de la Ley 39/2015 de Procedimiento Administrativo “El registro electrónico de cada Administración u Organismo garantizará la constancia, en cada asiento que se practique, de un número, epígrafe expresivo de su naturaleza, fecha y hora de su presentación, identificación del interesado, órgano administrativo remitente, si procede, y persona u órgano administrativo al que se envía, y, en su caso, referencia al contenido del documento que se registra. Dicha explicación, aparte de obligación legal, está justificada en la necesidad de organizar el registro a la hora de transmitir a órganos, concejalías y servicios los asuntos que le competen, sin que eso implique revelación de datos como el denunciante interpreta, de esta manera, los servicios implicados en una tramitación encuentran de manera operativa las solicitudes que son de su competencia y así el registro evita tener que hacer comunicaciones a los diferentes servicios municipales, con cada nueva entrada, puesto que el acceso general al registro hace el trabajo más operativo, sin que se vulneren derechos y se dejen de aplicar medidas de seguridad, a pesar de lo cual se ha limitado el acceso a "Vexa outros (algúns)”, exclusivamente al personal de Registro General, que ahora comunica individualmente a cada servicio la entrada que le compete. Nunca, ni antes, ni ahora, en ningún caso, ni momento, se puede acceder al contenido ni al resumen de la resolución, a no ser que se sea parte implicada en el expediente; por ejemplo, se puede ver que el parte es por baja laboral, pero no de qué tipo de baja se trata, por otro lado, solo se puede modificar los datos de la ficha de Terceros, por motivo de la permanente actualización de datos que tenemos que brindar a los interesados, no así la de personal, y de la de terceros solo se podría modificar, si el acceso fuese de demostrable justificación, en ningún caso arbitrariamente, por cuanto queda registro de ello en la aplicación y se puede emitir proceso sancionador, si el acceso es indebido. 10. Se han tomado las siguientes medidas en cumplimiento del principio de responsabilidad proactiva:
- a)Se han establecido los controles de acceso más adecuados una vez auditados.
- b)Desde antes de la implantación del sistema de GESTIONA, se ha estado dando formación continuada para que, todos los usuarios conocieran su funcionamiento, dicha formación se sigue realizando en la actualidad.
- c)Se ha contratado a una consultora de privacidad especializada, para que ayude en el proceso de mejora continuada en la aplicación de la normativa europea de protección de datos. Se están mejorando para su adecuación, las cláusulas informativas previas al tratamiento de datos y en su caso los necesarios consentimientos y bases legitimadoras.
- d)Se ha designado una Delegada de Protección de Datos, DPD, en el mes de mayo pasado, con carácter previo al inicio del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13
- e)Se ha comunicado individualmente a todos los usuarios del Ayuntamiento, la obligación de poner en conocimiento cualquier incidencia que pudiera afectar a la seguridad de los datos y de comunicarla al momento, bien al departamento informático o al DPD, juntamente con una serie de medidas urgentes en materia de protección de datos. El Ayuntamiento, está organizando un plan de formación sobre principios, obligaciones, derechos y medidas de seguridad en el puesto de trabajo con concienciación periódica para mejorar el grado de cumplimiento Aportan copia de actas de jornadas de formación en el uso del Módulo de Gestión de Expedientes entre otras, 3/2017 o 04/2017. SEXTO: Se accede el 4/02/2018 en la web a la página del Concello de Tui, verificando que figura un apartado de “sede electrónica”, donde existe información de la normativa de su creación, así como de los derechos a ejercitar sobre los datos que forman parte de la presentación de escritos entre otros extremos. También se informa del registro electrónico y de todos los tramites que se pueden presentar electrónicamente, figurando la creación de la carpeta electrónica que ofrece también el servicio de notificación electrónica. SÉPTIMO: Con fecha 15/02/2019 se emite propuesta de resolución indicando: “PRIMERO: Declarar que el CONCELLO DE TUI ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con el RLOPD, artículos 89 y 91, tipificada como grave en el artículo 44.3.
- h)de dicha norma.” Frente a la misma no se recibieron alegaciones. HECHOS PROBADOS 1. La aplicación de gestión electrónica de expedientes GESTIONA, implantada en marzo 2017 en el Concello de Tui, es utilizada por las distintas áreas municipales para la gestión de expedientes administrativos incluyendo asuntos de gestión interna del personal, siendo distinta de la sede electrónica que el Concello tiene implantada. 2. Según las impresiones de pantalla que aporta el denunciante de la aplicación GESTIONA a la que accede con su contraseña y usuario, se puede ver: a. Los expedientes que le son asignados. b. En la pestaña “terceros” se puede buscar con DNI o apellidos, los datos de las personas, entre ellos, se acredita que se pueden ver los datos de un compañero pudiendo ver su dirección, nombre y apellidos, número de teléfono, e mail, DNI. También en otra pestaña, se pueden ver de la misma persona, otra información, como exclusivamente el título del asunto del solicitante, su compañero, en el campo “resumo” como por ejemplo que ha solicitado una “comisión de servicio para el Concello de Nigrán”, o que ha aportado un “parte médico de alta de incapacidad temporal”, que son asuntos que se asignan al departamento de personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 La denunciada indica que el denunciante efectuaba turnos de noche, y fines de semana, y al no estar disponible el personal del registro, para el desarrollo de sus labores profesionales deberían poder acceder al mismo, concediéndoles dicho acceso, si bien no acredita que a la fecha de impresión de pantallas accediera porque estaba realizando dichas tareas o las propias del registro. 3. El Concello de Tui indica que la aplicación GESTIONA comenzó a implantarse en marzo 2017, y desde ese momento se impartieron sesiones de formación entre sus empleados, aportando actas que lo acreditan, añadiendo que el denunciante no ha participado en ninguna sesión desde entonces y que comenzó a usar la aplicación en abril 2018. 4. En la actualidad, según manifiesta el Concello, el acceso a los documentos que aparece en el registro electrónico en GESTIONA, es asignado directamente desde el registro al servicio competente, de modo que no es necesario que cada servicio o persona entre cada día al registro para ver si figuran asuntos por despachar. El acceso a datos de terceros que se contempla en las entradas ya no es posible de modo generalizado pues es el registro el que encamina los escritos al encargado de su tramitación. Los empleados encargados de la gestión del asunto asignados si pueden visualizar dichos datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Considerando que la aplicación GESTIONA de gestión de expedientes administrativos es distinta de la sede electrónica y no conociendo la interacción de las mismas, la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), indica sobre los registros electrónicos: artículo 16. Registros 1. Cada Administración dispondrá de un Registro Electrónico General, en el que se hará el correspondiente asiento de todo documento que sea presentado o que se reciba en cualquier órgano administrativo, Organismo público o Entidad vinculado o dependiente a éstos. También se podrán anotar en el mismo, la salida de los documentos oficiales dirigidos a otros órganos o particulares. Los Organismos públicos vinculados o dependientes de cada Administración podrán disponer de su propio registro electrónico plenamente interoperable e interconectado con el Registro Electrónico General de la Administración de la que depende. El Registro Electrónico General de cada Administración funcionará como un portal que facilitará el acceso a los registros electrónicos de cada Organismo. Tanto el Registro Electrónico General de cada Administración como los registros electrónicos de cada Organismo cumplirán con las garantías y medidas de seguridad previstas en la legislación en materia de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Las disposiciones de creación de los registros electrónicos se publicarán en el diario oficial correspondiente y su texto íntegro deberá estar disponible para consulta en la sede electrónica de acceso al registro. En todo caso, las disposiciones de creación de registros electrónicos especificarán el órgano o unidad responsable de su gestión, así como la fecha y hora oficial y los días declarados como inhábiles. En la sede electrónica de acceso a cada registro figurará la relación actualizada de trámites que pueden iniciarse en el mismo. 2. Los asientos se anotarán respetando el orden temporal de recepción o salida de los documentos, e indicarán la fecha del día en que se produzcan. Concluido el trámite de registro, los documentos serán cursados sin dilación a sus destinatarios y a las unidades administrativas correspondientes desde el registro en que hubieran sido recibidas. 3. El registro electrónico de cada Administración u Organismo garantizará la constancia, en cada asiento que se practique, de un número, epígrafe expresivo de su naturaleza, fecha y hora de su presentación, identificación del interesado, órgano administrativo remitente, si procede, y persona u órgano administrativo al que se envía, y, en su caso, referencia al contenido del documento que se registra. Para ello, se emitirá automáticamente un recibo consistente en una copia autenticada del documento de que se trate, incluyendo la fecha y hora de presentación y el número de entrada de registro, así como un recibo acreditativo de otros documentos que, en su caso, lo acompañen, que garantice la integridad y el no repudio de los mismos.” Sin perjuicio de que lo que aquí se trata es lo referente a la aplicación informatica GESTIONA, debe tenerse en cuenta que, en cuanto al registro en sede electrónica, no se tiene que contener identificación de la información que, asociada a los datos personales pueda ir más allá de lo estrictamente necesario y suponer un exceso de datos, pudiéndose catalogar de forma genérica los escritos en lo que hace a la referencia del contenido que se registra. Se imputa en el presente procedimiento al denunciado una infracción del artículo 9 de la LOPD, que dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos a título de ejemplo, entre otros de “acceso no autorizado” por parte de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 Así, aun cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en conocimiento de terceros, también es un mecanismo de garantía la seguridad. La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias. La base sobre la que descansan las medidas de seguridad es el documento de seguridad de los ficheros, que de acuerdo con el artículo 88 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); recogerá las “medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.” a fin de evitar como señala el artículo 9 de la LOPD “su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural” Sobre cuestión de la conceptuación de las medidas de seguridad de los datos de los ficheros, en asuntos similares al presente supuesto, entre algunas sentencias de la Audiencia Nacional-sala de lo contencioso, sección 1, como la de 13/06/2002, recurso 1161/2001, 7/02/2003, recurso 1182/2003, o la de SAN, de 28-6-2006, recurso 290/2004 señalan: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Así, de nada sirve que se aprueben unas Instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales, si luego no se exige a los empleados del banco la observancia de aquellas instrucciones". "Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva, toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualesquiera otros datos de carácter personal puedan llegar a manos de terceras personas. En definitiva, y puesto que la entidad bancaria es una deudora de seguridad en materia de datos, debe por tanto dar una explicación adecuada y razonable de cómo los datos personales de sus clientes se hallaban a disposición y se podían encontrar por el afectado (en el lapso temporal en que aconteció el incidente) al acceder éste a la información telemática de sus datos bancarios, siendo insuficiente, según se desprende de la doctrina de la Sala que se acaba de exponer, con acreditar que se adoptaron una serie de medidas, pues dicha entidad bancaria también es responsable de que las mismas se cumplan y ejecuten con rigor". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 El artículo 3.
- a)de la LOPD considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En el presente caso, la infracción se da al poder visualizar la ficha personal de otros empleados, así como las peticiones que estos cursan que se produce a través de la consulta en la aplicación y acceder a escritos registrados que conducen a poder visualizar los asuntos dirigidos a gestión de personal sobre un asunto interno que puede ser una petición de cualquier tipo de permiso, una baja médica, o una comisión de servicio que retrata la búsqueda realizada. artículo 89 “Funciones y obligaciones del personal” “Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.” Dentro del nivel básico de seguridad, artículo 91 del mismo RLOPD. “Control de acceso” “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” La pestaña “terceros” que posibilitaba por defecto la consulta de datos de personas que han registrado sus escritos, relacionados con la gestión de personal del Concello, y la ficha del empleado, no debe ser accesible sino por el departamento que tramita la gestión, que custodia al mismo tiempo sus datos personales entre otros los que se contenían en su ficha personal. El personal empleado no debe tener acceso a dichos datos, señala a tal efecto el artículo 91 del RLOPD:” 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” La denunciada ha manifestado que ha ajustado los perfiles y desde el momento en que se registran los documentos se asignan a las áreas competentes en las que solo los autorizados pueden por la necesidad de la tarea a desempeñar acceder a los datos. Ello supone una razonable adecuación de los perfiles a los accesos que se precisan. III Esta infracción está tipificada como grave, en el artículo 44.3.
- h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. IV El artículo 46.1 de la LOPD indica:” Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.” Como consecuencia de la tramitación de este procedimiento: - Tras haber realizado una auditoría interna de accesos, se ha variado y resignado los permisos de acceso a las pestañas en función de las tareas asignadas. - Acredita contar con suficientes medidas de formación en cuestión del sistema de información y tratamiento de datos. - Ha instaurado un Delegado de Protección de Datos. - Ha previsto que de los eventuales desajustes en la aplicación se haga una primera apreciación interna mediante la reconducción o aviso por el personal dentro de la sede para arreglar la incidencia lo antes posible y de manera efectiva. El conjunto de las medidas adoptadas no hace precisa la toma de medida concreta para la infracción declarada, sin perjuicio del seguimiento y actualización del funcionamiento del sistema periódicamente. Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 PRIMERO: DECLARAR que el CONCELLO DE TUI ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con los artículos 89 y 91 del RLOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al CONCELLO DE TUI. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es