AAPP-00067-2017

1/12 Procedimiento Nº AP/00067/2017 RESOLUCIÓN: R/00326/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00067/2017, instruido por la Agencia Española de Protección de Datos a la Consejería de Educación, Juventud y Deportes de la Región de Murcia, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 19 y 20 de junio de 2017, tuvieron entrada en esta Agencia dos escritos en los que se declara que en la página web www.educarm.es de la Consejería de Educación de la Región de Murcia, el personal docente, desde la zona privada, puede cumplimentar la denominada “Solicitud de comisión de servicios basada en atención a situaciones personales especiales”. Según manifiestan estos denunciantes, estas peticiones se basan en razones personales y de salud. El acceso a esa zona privada de Educarm está limitado a los docentes con usuario y contraseña, sin embargo, al acceder a esta solicitud los denunciantes comprobaron que se tenía acceso a las solicitudes presentadas por otros docentes con todos sus datos personales identificativos y los datos de los motivos que justificaban su solicitud. Se adjuntan ejemplos de accesos a solicitudes de docentes basadas en motivos de salud propios, motivos de salud de cónyuge o hijos, por cuidado de hijos menores de 12 años, con la descripción de estas circunstancias y los datos personales de todos ellos. Con fecha 22 de junio de 2017, se recibe en esta Agencia un correo electrónico de la Dirección General de Informática, Patrimonio y Telecomunicaciones, de la Consejería de Hacienda y Administraciones Públicas, de la Región de Murcia, en el que comunica un incidente de seguridad sobre el fichero: GESTION PERSONAL DOCENTE Y NOMINAS, por un presunto acceso no autorizado a datos de carácter personal recogidos en documentos de comisiones de servicio del personal docente de la Consejería de Educación, Juventud y Deportes. Manifiestan también, que tuvieron noticia del incidente el día 19 de junio de 2017, no obstante hasta el 20 de junio de 2017 no se detectó el verdadero problema y que ese mismo día modificaron el programa para evitar los accesos no autorizados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En respuesta a la solicitud realizada por la Inspección de Datos, con fecha 23 de octubre de 2017, se recibe en esta Agencia un escrito de la Dirección General de Informática, Patrimonio y Telecomunicaciones, de la Consejería de Hacienda y Administraciones Públicas, de la Región de Murcia, con el que adjunta su Informe sobre el incidente de seguridad ocurrido con fecha 19 de junio de 2017. En el escrito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 manifiesta que lo hace por indicación de la Dirección General de Planificación Educativa y Recursos Humanos de la Consejería de Educación, Juventud y Deportes que es la responsable del fichero GESTION PERSONAL DOCENTE Y NÓMINAS. Comienza el informe exponiendo que su objeto es recoger la información obrante en el registro de incidencias de seguridad previsto en el artículo 90 del Reglamento de la LOPD, en relación con el incidente de seguridad comunicado el 21 de junio de 2017 en el fichero denominado GESTIÓN PERSONAL DOCENTE Y NÓMINAS, cuyo responsable es la Dirección General de Planificación Educativa y Recursos Humanos de la Consejería de Educación, Juventud y Deportes. Se describe con detalle, el sistema objeto del incidente, con exposición del problema concreto en el desarrollo del programa para la gestión telemática de las Comisiones de Servicio, que dio lugar al problema de seguridad de los datos personales. También de forma pormenorizada, se describen los hechos de cómo se tuvo conocimiento de la vulnerabilidad. Se expone que el tipo de incidencia fue un acceso no autorizado a datos de carácter personal de funcionarios docentes. En el apartado “análisis del incidente” se informa de lo siguiente: Que afecta a la confidencialidad de los datos del personal docente y que por el tipo de datos de que se trata, se requiere la aplicación de unas medidas de seguridad de nivel alto según la LOPD. Que se desconoce exactamente el número de usuarios afectados por la revelación de sus datos expuestos, si bien se sabe que se hicieron un total de 4.205 peticiones correctas sobre los ficheros afectados, desde el 31 de mayo al 21 de junio de 2017. Que desde que se conoce la causa concreta del problema transcurre menos de una hora hasta que se aplican las medidas para que el incidente de seguridad no se reproduzca. Que las fechas expuestas son los días 15 y 16 de junio de 2017 en las que se identifican dos franjas horarias con gran volumen de peticiones de ficheros afectados. Respecto de la “gestión del incidente”, el informe expone las tareas de contención, erradicación y recuperación llevadas a cabo y las tareas post incidente que se adoptaron. Concluye el informe exponiendo las “medidas en marcha para mejorar la seguridad” que se han aplicado. TERCERO: Con fecha 30 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Consejería de Educación, Juventud y Deportes de la Región de Murcia por la presunta infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en los artículos 44.3.

1. h)y 44.3.
2. d)respectivamente de dicha norma. CUARTO: El artículo 64.2.
3. f)de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, expone que el acuerdo de iniciación en los procedimientos de naturaleza sancionadora, deberá contener al menos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” HECHOS PROBADOS PRIMERO: Con fechas 19 y 20 de junio de 2017 se denunció en esta Agencia un incidente de seguridad en el fichero denominado GESTIÓN PERSONAL DOCENTE Y NOMINAS, cuyo responsable es la Consejería de Educación, Juventud y Deportes de la Región de Murcia. El incidente consistió en un acceso no autorizado a los datos de carácter personal de las solicitudes de comisión de servicio del personal docente de dicha Consejería. SEGUNDO: Con fecha 22 de junio de 2017, la Dirección General de Informática, Patrimonio y Telecomunicaciones, de la Consejería de Hacienda y Administraciones Públicas, de la Región de Murcia, comunicó a esta Agencia un incidente de seguridad sobre el fichero: GESTION PERSONAL DOCENTE Y NOMINAS, por un presunto acceso no autorizado a datos de carácter personal recogidos en documentos de comisiones de servicio del personal docente de la Consejería de Educación, Juventud y Deportes. Comunican que tuvieron noticia del incidente el día 19 de junio de 2017, que hasta el 20 de junio no se detectó el verdadero problema y que ese mismo día modificaron el programa para evitar los accesos no autorizados. TERCERO: A instancias de la Inspección de Datos de esta Agencia, la Dirección General de Informática, Patrimonio y Telecomunicaciones, de la Consejería de Hacienda y Administraciones Públicas, de la Región de Murcia envió su informe sobre el incidente de seguridad denunciado. El informe recoge lo documentado en el registro de incidencias de seguridad previsto en el artículo 90 del Reglamento de la LOPD, en relación con el incidente de seguridad comunicado el 21 de junio de 2017 en el fichero denominado GESTIÓN PERSONAL DOCENTE Y NÓMINAS, cuyo responsable es la Dirección General de Planificación Educativa y Recursos Humanos de la Consejería de Educación, Juventud y Deportes. El informe describe el sistema objeto del incidente, expone el problema concreto en el desarrollo del programa para la gestión telemática de las Comisiones de Servicio, que dio lugar al problema de seguridad de los datos personales. Se informa de que el incidente afecta a la confidencialidad de los datos del personal docente y que por el tipo de datos de que se trata, se requiere la aplicación de unas medidas de seguridad de nivel alto según la LOPD. Se exponen las tareas de contención, erradicación y recuperación llevadas a cabo y las tareas post incidente que se adoptaron. Concluye el informe exponiendo las “medidas en marcha para mejorar la seguridad” que se han aplicado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
5. f)de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, expone que el acuerdo de iniciación en los procedimientos de naturaleza sancionadora, deberá contener, al menos: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos:  Que dicha posibilidad sea advertida expresamente en el acuerdo de iniciación.  Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el citado artículo.  Que no se presenten alegaciones en plazo sobre el contenido de la iniciación. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
6. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
7. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
8. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” V Se imputa a la Consejería de Educación, Juventud y Deportes de la Región de Murcia el incumplimiento del principio de seguridad de los datos personales que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
9. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
10. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
11. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
12. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
13. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
14. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
15. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). El citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” Así, la Consejería de Educación, Juventud y Deportes de la Región de Murcia, como responsable del fichero de datos personales contenidos en las solicitudes de comisiones de servicio del personal docente de la Consejería, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las medidas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En el caso presente la Dirección General de Informática, Patrimonio y Telecomunicaciones, de la Consejería de Hacienda y Administraciones Públicas, de la Región de Murcia ha remitido un informe que recoge los datos del incidente de seguridad ocurrido en el fichero denominado GESTIÓN PERSONAL DOCENTE Y NÓMINAS cuyo responsable es la Consejería de Educación, Juventud y Deportes de la Región de Murcia. Se recoge en el informe lo documentado en el registro de incidencias de seguridad del incidente del día 19 de junio de 2017. Se expone el problema concreto en el desarrollo del programa para la gestión telemática de las Comisiones de Servicio que dio lugar al problema de seguridad de los datos personales, que afectó a la confidencialidad. Se informa de las tareas que se llevaron a cabo para solucionar el problema y de las medidas que se aplicaron para mejorar la seguridad. El acceso constatado a los datos personales contenidos en dichos documentos por usuarios no autorizados, establece la base de facto para fundamentar la imputación de la infracción del artículo 9 de la LOPD. En este caso no cabe sino insistir en la importancia del bien protegido y del cumplimiento de la normativa de protección de datos por todos los intervinientes en el tratamiento. En este sentido podemos recordar las palabras de la Sentencia de la Audiencia Nacional de 7 de mayo de 2009, al respecto: “El artículo 10, junto con el artículo. 9 LOPD, que regula las medidas de seguridad, contiene una regla que afecta a la confidencialidad como parte de la seguridad, por lo que se refiere especialmente al responsable del fichero y a las personas que hayan participado en el tratamiento. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11-12-89 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". Sin embargo, lo cierto es que la Consejería de Educación, Juventud y Deportes de la Región de Murcia, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para garantizar la seguridad de los datos de carácter personal de los docentes solicitantes de comisiones de servicio, por ello, debe considerarse que ha vulnerado la LOPD. Respecto de las medidas de seguridad de las que dispone la Consejería denunciada, la Audiencia Nacional, en sus sentencias de 13 de junio de 2002 y de 7 de febrero de 2003, entre otras, ha establecido que: “No basta, entonces, con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva...”. De acuerdo con los fundamentos anteriores, se deduce que ha tenido lugar una vulneración del principio de seguridad de los datos de la Consejería de Educación, Juventud y Deportes de la Región de Murcia, que ha tenido como consecuencia que documentos con datos personales de los docentes, fueran accesibles a terceros no autorizados, infracción que procede calificar como grave. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. VI El artículo 44.3.
16. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que la Consejería de Educación, Juventud y Deportes de la Región de Murcia carece de las medidas de seguridad que la Ley exige al responsable del fichero, al haber permitido accesos no autorizados a los datos personales de los docentes. De acuerdo con los fundamentos anteriores, se deduce que por parte de la Consejería de Educación, Juventud y Deportes de la Región de Murcia se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia el acceso no autorizado a los datos personales de los docentes, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VII El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se ha denunciado la difusión de los datos personales de los docentes por parte de la Consejería de Educación, Juventud y Deportes de la Región de Murcia. Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado y se ha reconocido por la Dirección General de Informática, Patrimonio y Telecomunicaciones, de la Consejería de Hacienda y Administraciones Públicas, de la Región de Murcia que en junio de 2017 se produjo un incidente de seguridad en el fichero denominado GESTIÓN PERSONAL DOCENTE Y NÓMINAS al ser accesibles las solicitudes de comisiones de servicio de los docentes por usuarios no autorizados. La Dirección General de Informática, Patrimonio y Telecomunicaciones, de la Consejería de Hacienda y Administraciones Públicas, de la Región de Murcia ha remitido a esta Agencia la información contenida en el registro de incidencias de seguridad en el que se recoge lo ocurrido al respecto, con información de la gestión del incidente por medio de tareas de contención, erradicación y recuperación, y tareas post incidente. Se informa también de las medidas en marcha para mejorar la seguridad, y se concluye “posteriormente a la aplicación de las medidas se realizará un test de intrusión para detectar cualquier vulnerabilidad adicional en el portal edeucarm.es”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 VIII La conducta de la denunciada se incardina en el artículo 44.3.
17. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte de la Consejería de Educación, Juventud y Deportes de la Región de Murcia, se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes a los docentes, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. IX Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la Consejería de Educación, Juventud y Deportes de la Región de Murcia ha infringido lo dispuesto en los artículos 9.1 y 10 de la LOPD, tipificada como grave en los artículos 44.3.
18. h)y 44.3.
19. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR la adopción de una medida correctora toda vez que se ha acreditado que ya han sido adoptadas las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de dichos artículos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 TERCERO: NOTIFICAR la presente resolución a la Consejería de Educación, Juventud y Deportes de la Región de Murcia. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es