AAPP-00059-2015

1/14 Procedimiento Nº AP/00059/2015 RESOLUCIÓN: R/00814/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00059/2015, instruido por la Agencia Española de Protección de Datos a la entidad INSTITUTO NACIONAL DE TOXICOLOGIA Y CIENCIAS FORENSES, vista la denuncia presentada por DENUNCIANTE 1, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18/11/2014, tiene entrada en esta Agencia un escrito de una persona que desea permanecer en el anonimato, nominada como DENUNCIANTE 1 en ANEXO 1, manifestando: El INSTITUTO NACIONAL DE TOXICOLOGIA Y CIENCIAS FORENSES, en su sede de Barcelona, sita en la calle Mercè, nº 1 es responsable de diversos ficheros conteniendo datos de carácter personal que se encuentran catalogados con nivel alto en cuanto a medidas de seguridad al contener datos de salud (biológicos, genéticos, de ADN, etc.) La denunciante conoce la entidad y manifiesta la falta de medidas de seguridad entre las que se encuentran: 1.1. La documentación en papel relativa a expedientes y que contienen datos de salud se encuentran situados encima de las mesas de trabajo, amontonados en archivos en los pasillos y en armarios sin los mínimos controles de seguridad (no disponen de cerraduras que impidan el acceso, tampoco son ignífugos ni resistentes a la humedad). 1.2. Las muestras judiciales que contienen datos biométricos (ej ADN) y pruebas de delitos se encuentran colocadas de forma que cualquier persona puede acceder a su contenido, corresponda o no a sus funciones y estando accesibles incluso al personal externo dedicado al mantenimiento y limpieza, desconociendo si en los respectivos contratos de prestación de servicios se han incluido las salvaguardas correspondientes en consonancia con el art. 12 de la LOPD. 1.3. En cuanto a la identificación y autenticación la denunciante manifiesta que no ha recibido aviso alguna para el cambio de contraseña que debiera ser periódico. A modo de ejemplo cita la base de datos de averiguación de paternidad. 1.4. En cuanto a los controles de acceso, cualquier persona con destino en el Instituto, independientemente de sus funciones, puede acceder de forma indiscriminada a todos los datos informatizados ya que si bien se han implementado perfiles en función del cargo o encargos, algunos datos se ubican en carpetas comunes compartidas por todo el personal. A modo de ejemplo, cualquier trabajador puede acceder a las carpetas informáticas con datos de pruebas de paternidad que se llevan a cabo en el Instituto. 1.5. Respecto al responsable de seguridad del Instituto manifiesta que ignora que persona ostenta dicha función. 1.6. Añade que en todo el periodo en el cual está prestando su servicio en el Instituto no ha recibido ningún tipo de formación en materia de protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 datos ni ha firmado documento alguno relacionado con la obligación de mantener la confidencialidad sobre los datos tratados. Tampoco se ha puesto a disposición de los empleados manual alguno en la materia ni procedimiento para la comunicación de incidencias. 1.7. En relación a los ordenadores dispuestos para llevar a cabo las funciones correspondientes y que permiten el acceso a pruebas de paternidad, ADN de posible culpables, victimas, etc.) no le consta a la denunciante que se hayan implantado mecanismos para impedir la copia de dicha información en dispositivos tales como pendrive o prevenir el infectado de los equipos mediante virus. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia en fecha 23/9/2015, se realiza inspección al Departamento de Barcelona del INSTITUTO NACIONAL DE TOXICOLOGIA Y CIENCIAS FORENSES, constatándose: 1.1. El INSTITUTO NACIONAL DE TOXICOLOGIA Y CIENCIAS FORENSES (en adelante INTCF) tiene su sede en Madrid y dispone de 3 Departamentos y una Delegación, siendo el de Barcelona uno de los Departamentos. Según su estructura orgánica, su organización y supervisión corresponde a la Dirección General de Relaciones con la Administración de Justicia. El INTCF se dedica básicamente a auxiliar a la Administración de Justicia, contribuyendo a la unidad de criterio científico y a la calidad de la pericia analítica así como al desarrollo de las ciencias forenses. Para llevar a cabo dicha labor cuenta con personal científico y de administración para la elaboración de los informes y dictámenes que solicitan las Autoridades Judiciales y el Ministerio Fiscal. La mayoría de los casos que dictamina el INTCF tienen su origen en muestras que se reciben en el centro territorial procedentes de los Juzgados. Todo conjunto de muestras de un individuo recibido en el INTCF es catalogado asignándole un código de referencia, procediéndose a la apertura de un expediente en papel o carpeta en la que se van incorporando todos los documentos que se generan en los diferentes análisis a los que se someten las muestras. Asimismo, se procede a su alta en el sistema informático denominado LIMS, de forma que se pueda realizar un seguimiento de dichas muestras y del tratamiento que de ellas se realiza en el Centro durante todo el tiempo que las muestras permanecen en el INTCF, de cara a garantizar su cadena de custodia. De cada conjunto de muestras y una vez se han realizado los diferentes análisis pertinentes, se genera un informe que es remitido al tribunal correspondiente. Este proceso queda reflejado en el sistema automatizado LIMS así como en la carpeta en soporte papel cuyo histórico se almacena en una instalación externa contratada al efecto por el INTCF. 1.2. Mediante la Orden JUS/2267/2010 se crearon los diferentes ficheros con que cuenta el INTCF para el ejercicio de sus funciones. 1.3. Todo el personal del INTCF es funcionario a excepción del personal en prácticas y del personal de empresas externas entre los que se incluye personal de soporte informático, limpieza, mantenimiento y seguridad. 1.4. Desde 2008, LIMS es el sistema informático centralizado utilizado por todos los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 Departamentos y Delegaciones, si bien, desde cada Departamento o Delegación solo se dispone de acceso a la información de su centro. Adicionalmente, cuenta con un sistema de acceso basado en roles de forma que cada usuario únicamente dispone de acceso a la información necesaria para el ejercicio de sus funciones y de los casos a los que se encuentra asignado. El sistema sirve de soporte para diversos ficheros de los declarados en la mencionada Orden y en concreto los relativos a MUESTRAS. Contiene por lo tanto datos personales junto con datos de salud por lo que se encuentra catalogado como de nivel alto. 1.5. Los inspectores solicitan el documento de seguridad, la designación del responsable de seguridad así como la última auditoría de seguridad realizada sobre de los ficheros asociados a LIMS manifestando los representantes que no les consta la existencia del documento, ni la designación del responsable de seguridad ni la realización de auditorías de seguridad. 1.6. No obstante, los representantes manifiestan que en el sistema LIMS cada usuario dispone de su propio identificador y contraseña que es asignada por los administradores del sistema desde la Subdirección General de Nuevas Tecnologías del Ministerio de Justicia previa solicitud por el Director del Centro y que es comunicada por correo electrónico al propio usuario. Si bien LIMS no obliga a cambiar la clave esta puede ser modificada por el propio usuario. LIMS tampoco obliga a cambiar la clave cada cierto tiempo. 1.7. No les consta a los representantes del centro que el personal haya recibido ningún documento con las funciones y obligaciones en materia de seguridad. 1.8. El Centro cuenta con una red informatica de área local en la que se han establecido directorios a tres niveles: Directorio personal con acceso únicamente para el usuario asignado. Directorio de grupo con acceso compartido por los usuarios de un mismo grupo o servicio. Directorio común con acceso compartido por todos los usuarios de la red local. 1.9. Los inspectores de la Agencia solicitan a los representantes del Centro que les faciliten el acceso a los sistemas informáticos del Centro facilitando el Director el acceso a su propio ordenador desde el que se realizan las siguientes comprobaciones: -Se comprueba la existencia de una carpeta de acceso común en la red local del Centro en la que se encuentran diversas subcarpetas una de ellas con el nombre de PATERNIDAD. Se rastrea el contenido de dicha carpeta hallándose numerosos ficheros conteniendo modelos y patrones de escritos a juzgados, a los interesados, etc. Ni en dicha carpeta ni en las subcarpetas encontradas se han hallado informes de paternidad ni de otro tipo. -Se han realizado búsquedas en el directorio común sobre informes relativos a pruebas de ADN no encontrándose información al respecto. -Se ha accedido al aplicativo LIMS comprobándose que se requiere identificación mediante usuario y contraseña, pudiendo elegir el rol de acceso de entre los que el usuario este autorizado. -Se comprueba también que la aplicación permite cambiar al usuario su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 contraseña de acceso. -Se comprueba que la aplicación recoge los datos asignados a cada muestra, entre los que se encuentran los datos de filiación del titular de la muestra y el código asignado a la misma, así como los documentos escaneados relevantes: formulario en recogida, resultados de las analíticas, informes, etc. 1.10. Los Inspectores comprueban en una sala diáfana que comparte un equipo de personal que interviene en la realización de las analíticas e informes disponen de mesas de trabajo en la que se manejan grupos de carpetas. Se accede al contenido de carpetas elegidas al azar verificándose que entre las hojas almacenadas se encuentra el nombre y apellidos del titular así como el resultado de determinadas analíticas efectuadas a la muestra. Las carpetas en uso permanecen sobre la mesa de trabajo una vez finalizada la jornada laboral al no existir implantada una política de ”mesas limpias” dado que no se dispone de suficientes armarios con llave para dicho personal, no obstante, manifiesta el Director que todo el personal externo de mantenimiento y limpieza firma una cláusula de confidencialidad. TERCERO: Con fecha 21/10/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas al INSTITUTO NACIONAL DE TOXICOLOGIA Y CIENCIAS FORENSES, por una infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. h)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha de entrada 17/11/2015 manifiesta:
2. a)Sobre los expedientes en papel que figuraban expuestos sin guardar sobre las mesas de trabajo, ya el 14/07/2015 se solicitó la adquisición de mobiliario adecuado y suficiente para el archivo de documentos y sustitución de las cerraduras de mesas que no dispongan de llave o estén estropeadas. Hasta que se realice la efectiva adquisición, se han tomado medidas para que ningún documento quede sobre la mesa (no las explicita) consistentes en que se recogen y guardan bajo llave.
3. b)Sobre los archivos que se sitúan en estanterías en un pasillo, y la situada en la zona administrativa se han solicitado instalar puertas correderas con rejas metálicas que dispondrán de cerraduras con llave.
4. c)Se restringe el acceso a diferentes dependencias del centro, excepto en las áreas comunes.
5. d)Las muestras judiciales depositadas en cámaras refrigeradas así como las del Servicio de Biología no disponen de cierre con llave, estando pendiente acometer las reformas oportunas para que se puedan cerrar al acabar la jornada laboral.
6. e)Se cambiara la periodicidad en el cambio de contraseñas en los accesos a ficheros de nivel de seguridad alta.
7. f)Indica que el responsable de seguridad es el puesto denominado Jefe de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 Sección de Sistemas Informáticos, figurando así en la RPT que esta publicada en el BOE y de conocimiento de todo el personal funcionario. No indica el nombre y apellidos o si estuviera vacante, añade que “en el documento de seguridad que aporta adjunto precisa tanto quien ostenta el cargo de responsable de ficheros como responsable de seguridad.”
8. g)Se procederá a informar al personal sobre el uso de protección de datos, varias normas establecen la obligación de mantener la confidencialidad y el secreto profesional, también el personal externo o el que está en formación firma una cláusula de confidencialidad.
9. h)Respecto a algunos puntos puestos de manifiesto en la Inspección:
10. i)- El documento de seguridad se estaba revisando. Durante la Inspección si se disponía de borrador, que no fue suministrado por el Director al no tener conocimiento del mismo y llevar poco tiempo en el cargo. - Para que el personal conozca de modo comprensible las normas de seguridad que le afectan, se ha remitido un escrito para todo el personal recordándole las obligaciones de cada uno respecto a sus funciones y las medidas de seguridad a adoptar en protección de datos, también del documento de seguridad. - Se organizó un sesión informativa dirigida a los Jefes de Servicio y Responsables de cada Área para presentar y repasar el documento de seguridad. Analizando someramente el documento de seguridad aportado, figura que se trata de la versión 1, elaborada el 6/11/2015 y aprobado el 12/11/2015. Del estudio del índice se contemplan las materias y estructuras de seguridad de los ficheros. El ANEXO 1 recoge la relación de ficheros y características, destacando entre otros el de MUESTRAS Y RESULTADOS, “INTCF:ADNIC, Investigación criminal”, “ Investigación de desaparecidos” el ANEXO 2 una relación de personas, perfiles y accesos en relación con el tratamiento que se desarrolla en los distintos ficheros. En general, se considera que el documento de seguridad es adecuado para los ficheros que se tratan en la entidad. Como Administrador del sistema de información que accede al fichero, consta la Subdirección General de Nuevas Tecnologías del Ministerio de Justicia, que entre otras labores efectúa la creación de las nuevas cuentas de usuarios para cada sistema al que accede el usuario y en general la encargada de administrar o mantener el entorno operativo de los ficheros con datos de carácter personal. Con fecha 8/01/2016 se accede a la aplicación informatica RENO que gestiona la consulta de ficheros registrados en la AEPD, y se obtiene una impresión del resumen de los ficheros, apreciándose que fueron inscritos en 2010, con nivel de seguridad alto. QUINTO: Con fecha 8/01/2016 se inicia el período de práctica de pruebas incorporando la procedente de actuaciones previas y las alegaciones y documentos acompañados. Además, se decide solicitar:
11. a)Copia del documento informativo sobre el uso y manejo de ficheros y medidas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 de seguridad y consecuencias de su incumplimiento que se ha proporcionado a los empleados, en concreto copia de algún ejemplar entregado y recibido. Con fecha 19/01/2016 se avanza la respuesta por correo electrónico y el 22/01/2016 por correo ordinario. En la misma se informa que se ha dado a conocer a través del correo electrónico a todos los empleados un “documento informativo sobre uso y manejo de protección de datos”, aportando copia del mismo que lleva fecha de 12/11/2015. En el mismo se contiene: -El Centro es responsable de tres ficheros de nivel alto de seguridad de los cuales son usuarios y que describe: (fichero 96: “Muestras y resultados”, 98: “Investigación criminal”, 99: “Investigación de desaparecidos” 120: “Perfiles ADN personas afectadas por sustracción de recién nacidos”). Añade explicación sobre el acceso a los ficheros, cambios de contraseñas, documentos del fichero en papel y su guarda, custodia y no exposición a no autorizados. Se establecen áreas de acceso presencial restringido según el trabajo con ficheros y se anuncia que se divulgará el documento de seguridad entre el personal. Se menciona también las medidas de seguridad y protocolo para su garantía, identificación y autenticación de usuarios y medidas de seguridad para ficheros no automatizados y funciones y obligaciones del personal. Añade que el documento se remitió a los Departamentos, servicios o áreas responsables que lo transmiten a cada uno de los funcionarios de sus servicios, y presenta copia de envío por correo electrónico de 12/11/2015 con el literal “Ruego deis la máxima difusión a este documento en vuestro servicio”, así como copia de uno de los Servicios a su personal en la misma fecha, y copia de lectura de un Facultativo. Aporta copia de escrito recepcionado por un empleado de nuevo ingreso el 13/11/2015 en el que se le informa entre otros extremos de “escrito informativo sobre protección de datos.” SEXTO: Con fecha 2/03/2016 se emite propuesta del literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare la comisión de la infracción del INSTITUTO NACIONAL DE TOXICOLOGIA Y CIENCIAS FORENSES del artículo 9.1 de la LOPD, en relación con los artículos 88, 89.2, 93, 96, 99, 111 y 113 del RLOPD tipificada como grave en el artículo 44.3.
12. h)de dicha norma.” Frente a la propuesta la denunciada presenta escrito el 29/03/2016 indicando: Aportan copia del Informe de auditoría revisado por el responsable de Seguridad del Departamento de Barcelona del INTCF y aprobado por su Director de 21/03/2016. En el mismo se hace referencia a su finalidad de evaluación de los sistemas de información e instalaciones donde se traten o almacenen datos y su adecuación a la LOPD y normas de desarrollo. El Informe de auditoría se estructura en
13. a)Detalle de la adecuación del título 8 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 RLOPD);, medidas técnicas a. Medidas Generales. b. Medias e nivel básico y medio. c. Medidas de nivel alto. En el citado Informe se contiene que en general los sistemas y tratamientos se adecuan a la normativa, precisando que están en marcha algunas medidas que dependen de la presupuestación anual pero que están en ejecución. HECHOS PROBADOS 1) El Instituto Nacional de Toxicología y Ciencias Forenses (INTCF), órgano técnico adscrito al Ministerio de Justicia tiene la misión entre otras, de auxiliar a la Administración de Justicia, emitiendo informes con arreglo a las reglas de investigación científica que estime adecuadas. Tiene ámbito de actuación en todo el territorio nacional, y cuenta con tres Departamentos, en Madrid, Barcelona y Sevillla, con ámbitos de actuación territorial diferenciados a efectos de distribución del trabajo. Su norma reguladora indica entre otras cuestiones, que recibe muestras y sustancias sobre las que puede emitir informes y análisis que se registraran, custodiaran y enviaran al órgano peticionario. 2) INTCF tiene para el ejercicio de sus funciones varios ficheros inscritos en el registro de la AEPD. Entre otros le constan el de “muestras y resultados” y el de “Investigación criminal”, ambos inscritos desde 17/09/2010 y de nivel alto de seguridad (86, 87), con sistema de tratamiento mixto, es decir automatizado y en papel. Otros ficheros que manejan son:“Investigación de desaparecidos” y “Perfiles ADN personas afectadas por sustracción de recién nacidos”.(66 a 73 3) En el Departamento de Barcelona se efectúa una Inspección en materia de protección de Datos el 23/09/2015 en la que se comprueba: a. No se dispone de documento de seguridad de ficheros de datos personales. Este es aportado después, en las alegaciones al acuerdo de inicio y figura elaborado en su versión inicial, el 6/11/2015 (33, 34) cumpliendo en su contenido y extensión con la LOPD. b. Cuando se reciben las muestras a analizar en el Instituto, se identifican con un código de referencia, se abre una carpeta en papel en la que se añaden los documentos, tramites informes a que se someten las mismas, así como los informes emitidos a los Juzgados