← España

AAPP-00068-2017

1/14 Procedimiento Nº AP/00068/2017 RESOLUCIÓN: R/00369/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00068/2017, instruido por la Agencia Española de Protección de Datos al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 17 de mayo de 2017, tuvo entrada en esta Agencia un escrito en el que el denunciante declara que ha tenido noticia de que en la red social Facebook, en el perfil “A.A.A.”, se accede en abierto y sin restricciones, a la información contenida en su ficha policial, y se le amenaza. Expone que la Secretaría de Instituciones Penitenciarias es la responsable de garantizar que estos datos no se hagan públicos. Anexa la copia de la publicación denunciada. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 6 de junio y 26 de septiembre de 2017, se obtienen a través de Internet varias informaciones relacionadas con la denuncia, verificando la existencia de la publicación en Facebook, mediante el perfil A.A.A., de varias fichas policiales, entre las que se encuentra la del denunciante, y el literal: ***LITERAL.1. En respuesta a la solicitud de información de la Inspección de Datos, con fecha 28 de agosto de 2017, se recibe escrito de Facebook, Inc, en el que nos comunica que no es la entidad adecuada para dar respuesta a nuestro requerimiento, no obstante lo reenvían a Facebook Ireland, que sería la encargada de dar contestación. Con fecha 29 de agosto de 2017 se recibe escrito de Facebook Ireland, en el que nos comunican que la Información proporcionada “A.A.A.” es insuficiente para poder identificar la cuenta de Facebook. No obstante hacen constar que Facebook Ireland puede proporcionar información básica del suscriptor de una cuenta en la medida en que exista y sea razonablemente accesible, previa una notificación de una resolución judicial válida que debe serles remitida. En respuesta a la solicitud de información de la Inspección de Datos, con fecha 11 de septiembre de 2017, se recibe escrito del Ministerio del Interior, Secretaria General de Instituciones Penitenciarias, en el que se pone de manifiesto que: Para el esclarecimiento de los hechos ocurridos y dar respuesta al requerimiento de información remitido a la Secretaría General de Instituciones Penitenciarias en fecha 17 de agosto de 2017 por la AEPD, se ordena la apertura de un Informe de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Inspección, el 2017/0406, para lo que se ha solicitado tanto a la Subdirección General de Tratamiento y Gestión Penitenciaria como a la Dirección del Centro Penitenciario de ***LOC.1, pronunciamiento al respecto. Sobre lo interesado se informa lo siguiente: El Centro Penitenciario de ***LOC.1 informa que la Ficha publicada en Facebook, parece corresponder con la parte superior de Ficha Identificación de dos internos que emite el programa informático Sistema de Identificación Automatizado (SIA). Los funcionarios con habilitación para el acceso al fichero son un total de 60, todos ellos pertenecientes al módulo de Ingresos, donde está instalada la aplicación. Para el acceso, se requiere usuario y contraseña que se solicita a la Subdirección de Tratamiento y Gestión Penitenciaria, a petición de un mando del Centro. Con relación al registro de los accesos realizados en el último año la Subdirección de Tratamiento y Gestión Penitenciaria informa que, el número de operaciones realizadas en el sistema del Centro Penitenciario de ***LOC.1 durante el último año, asciende a 74.490 operaciones. El número de accesos o conexiones se almacena en el programa por un periodo máximo de dos meses. Cada acceso que se produce al sistema es para realizar alguna operación con las fichas existentes, por tanto, manifiestan que está debidamente justificado. Las fichas a las que se alude, se utilizan en formato papel en el Departamento de Ingresos y en el Departamento de clasificación, para realizar en ellas las anotaciones correspondientes. Cuando el interno abandona el Centro, se destruyen. Este dato abre la responsabilidad derivada de un posible uso incorrecto de las fichas, a otro grupo de funcionarios igual de numerosos, o más, que el señalado al principio. El Centro Penitenciario de ***LOC.1 manifiesta que de las revisiones realizadas sobre el funcionamiento del área de servicio interior del Centro, tanto por el Subdirector de Seguridad, Jefes de Servicio y por la Dirección, no se han observado disfunciones ni incidencia alguna al respecto. Con fecha 28 de octubre de 2017 se recibe escrito de la Secretaria General de Instituciones Penitenciarias, con relación a la posible investigación interna, al haber tenido conocimiento de los hechos, según un nuevo requerimiento de información de la Inspección de Datos, poniendo de manifiesto que: Con fecha 18 de agosto de 2017, el Subdirector General de la Inspección, ordenó la apertura y tramitación de un Informe de Inspección 2017/0406, en el que se dictó propuesta de archivo por que tras las investigaciones realizadas, no fue posible acreditar ni la autoría ni la forma en la que se pudo hacer un uso indebido de la información, a la que, por razón del trabajo desempeñado por el personal penitenciario, y para una adecuada gestión del centro, aquellos pueden tener. Con relación a las medidas de seguridad implantadas para prevenir estos hechos, la propia Administración Penitenciaria tiene ya establecidas medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 seguridad para control de los accesos que se realicen sobre los ficheros informáticos con datos de internos: Login y contraseña, que son siempre solicitados a la Subdirección de Tratamiento y Gestión Penitenciaria a petición de un mando del Centro. Los funcionarios expresamente autorizados para acceder a los mismos necesitan hacer uso de su contraseña personal y estar identificados en todo momento, siendo responsables del acceso a la documentación amparada por el derecho, a la intimidad de los internos, asumiendo las posibles responsabilidades que pudieran derivarse. En este sentido añadir, que con un propósito firme de reforzar la importancia que tiene el cumplimiento de lo anteriormente señalado y desde la necesidad de un desempeño de las funciones penitenciarias dentro de la legalidad vigente por parte de todo el personal penitenciario, la Dirección del Centro Penitenciario de ***LOC.1 ha llevado a cabo reuniones con todos los Jefes de Servicio Interior, para transmitir y tomar conciencia de ese importante aspecto que repercute en la seguridad del Centro. TERCERO: Con fecha 1 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma. CUARTO: El artículo 64.2.
  2. f)de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, expone que el acuerdo de iniciación en los procedimientos de naturaleza sancionadora, deberá contener al menos: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” HECHOS PROBADOS PRIMERO: Con fecha 17 de mayo de 2017 se denuncia que en la red social Facebook, en el perfil “A.A.A.”, se accede en abierto y sin restricciones, a la información contenida en la ficha policial del denunciante, y se le amenaza. Con fechas 6 de junio y 26 de septiembre de 2017, la Inspección de Datos de la Agencia Española de Protección de Datos obtiene constancia de la publicación en Facebook, en el perfil "A.A.A.", de varias fichas policiales, entre las que se encuentra la del denunciante, y el literal: "***LITERAL.1". SEGUNDO: La Secretaría General de Instituciones Penitenciarias ha informado, respecto de los hechos denunciados, de la apertura de un Informe de Inspección, para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 lo que se ha solicitado a la Subdirección General de Tratamiento y Gestión Penitenciaria y a la Dirección del Centro Penitenciario de ***LOC.1, pronunciamiento al respecto. TERCERO: El Centro Penitenciario de ***LOC.1 informa que la Ficha publicada en Facebook, parece corresponder con la parte superior de la Ficha de Identificación de dos internos que emite el programa informático Sistema de Identificación Automatizado (SIA). Informa del elevado número de funcionarios habilitados para el acceso a las fichas identificativas de los internos tanto de forma automatizada como en papel. Para identificar a los usuarios se utiliza el sistema de usuario y contraseña. Se informa del número total de accesos realizados en el último año en el sistema del Centro Penitenciario de ***LOC.1 y que se conservan un máximo de dos meses. Manifiestan que los accesos están justificados. El Centro Penitenciario de ***LOC.1 expone que no se han observado disfunciones ni incidencia alguna tras las revisiones realizadas sobre el funcionamiento del área de servicio interior del Centro. CUARTO: La Secretaría General de Instituciones Penitenciarias ha informado de que el Subdirector General de la Inspección, ordenó la apertura y tramitación de un Informe de Inspección en el que se dictó propuesta de archivo por que tras las investigaciones realizadas no fue posible acreditar la autoría ni la forma en la que se pudo hacer un uso indebido de la información, a la que tiene acceso el personal penitenciario para una adecuada gestión del centro. Con relación a las medidas de seguridad implantadas para prevenir estos hechos, se informa de que ya se dispone de medidas de seguridad para el control de los accesos a los ficheros informáticos con datos de internos: Login y contraseña. Que los funcionarios autorizados están identificados y son responsables del acceso a la documentación, asumiendo las posibles responsabilidades que pudieran derivarse. Se informa de que la Dirección del Centro Penitenciario de ***LOC.1 ha llevado a cabo reuniones con todos los Jefes de Servicio Interior, para transmitir y tomar conciencia de la necesidad de un desempeño de las funciones penitenciarias dentro de la legalidad vigente por parte de todo el personal penitenciario, importante aspecto que repercute en la seguridad del Centro. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
  4. f)de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, expone que el acuerdo de iniciación en los procedimientos de naturaleza sancionadora, deberá contener, al menos: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos:  Que dicha posibilidad sea advertida expresamente en el acuerdo de iniciación.  Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el citado artículo.  Que no se presenten alegaciones en plazo sobre el contenido de la iniciación. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
  5. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  6. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.
  7. i)Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” V Se imputa al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias el incumplimiento del principio de seguridad de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
  8. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
  9. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
  14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). El citado Reglamento regula: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” Así, el Ministerio del Interior, Secretaría General de Instituciones Penitenciarias, como responsable del fichero de datos personales contenidos en las fichas de identificación de los internos del Centro Penitenciario de ***LOC.1, está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las medidas dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En el caso presente la Inspección de Datos de esta Agencia ha constatado que varias fichas policiales de internos del Centro Penitenciario de ***LOC.1 entre las que se encuentra la del denunciante, se publicaron en la red social Facebook en abierto y sin restricciones de acceso. El acceso a los datos personales contenidos en dichos documentos para finalidades distintas de aquellas para las que se obtuvieron, establece la base de facto para fundamentar la imputación de la infracción del artículo 9 de la LOPD. La Secretaría General de Instituciones Penitenciarias y el Centro Penitenciario de ***LOC.1 han comunicado a esta Agencia Española de Protección de Datos que se dispone de medidas de seguridad para la identificación de los usuarios autorizados a acceder a las fichas policiales de los internos, por medio de un sistema de contraseñas; que el número de usuarios autorizados es muy elevado y el número de accesos en el último año también lo es y que “cada acceso que se produce al sistema es para realizar alguna operación con las fichas existentes, por tanto, está debidamente justificado”. El Centro Penitenciario de ***LOC.1 expone que no se han observado disfunciones ni incidencia alguna tras las revisiones realizadas sobre el funcionamiento del área de servicio interior del Centro, tanto por parte del Subdirector de Seguridad, Jefes de Servicio y por la Dirección. Por su parte, la Secretaría General de Instituciones Penitenciarias informa de que la Dirección del Centro Penitenciario de ***LOC.1 ha llevado a cabo reuniones con todos los Jefes de Servicio Interior, para transmitir y tomar conciencia de la necesidad de un desempeño de las funciones penitenciarias dentro de la legalidad vigente por parte de todo el personal penitenciario, importante aspecto que repercute en la seguridad del Centro. Se informa de que los accesos de los usuarios autorizados son para realizar alguna operación con las fichas existentes y que por ello están justificados. El acceso a las fichas de los internos puede justificarse cuando se produce con la finalidad para la que fueron creadas esas fichas: el desarrollo de las funciones del personal del Centro. En esta ocasión, las fichas con los datos personales de los internos se han utilizado para su publicación en internet sin limitaciones de acceso, que no es la finalidad para la que se crearon, de forma que se ha producido la difusión de los datos de carácter personal contenidos en dicho soporte. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 En este caso si bien se ha informado de la existencia de medidas por parte del responsable del fichero que garanticen la seguridad de los datos de carácter personal, se considera que, dada la naturaleza de la infracción en el específico ámbito laboral en que se produce, un centro penitenciario, debería reforzarse la información al personal que utiliza los sistemas para que conozca las normas de seguridad que afectan al desarrollo de sus funciones y las consecuencias en que pudiera incurrir en caso de incumplimiento, según se establece en el apartado 2 del artículo 89 del Reglamento de Protección de Datos. Por otra parte también se considera que deberían reforzarse las medidas de seguridad por ejemplo, por medio de controles periódicos de los accesos del personal autorizado, con el fin de que los recursos que precisen para el desarrollo de sus funciones se utilicen únicamente con esa finalidad. En todo caso no cabe sino insistir en la importancia del bien protegido y del cumplimiento de la normativa de protección de datos por todos los intervinientes en el tratamiento. En este sentido podemos recordar las palabras de la Sentencia de la Audiencia Nacional de 7 de mayo de 2009, al respecto: “El artículo 10, junto con el artículo. 9 LOPD , que regula las medidas de seguridad, contiene una regla que afecta a la confidencialidad como parte de la seguridad, por lo que se refiere especialmente al responsable del fichero y a las personas que hayan participado en el tratamiento. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11-12-89 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". Sin embargo, lo cierto es que la Secretaría General de Instituciones Penitenciarias del Ministerio del Interior, no actuó con la diligencia debida al no adoptar las medidas de seguridad necesarias y suficientes para garantizar la seguridad de los datos de carácter personal del denunciante, por ello, debe considerarse que ha vulnerado la LOPD. Respecto de las medidas de seguridad de las que dispone la Secretaría General denunciada, la Audiencia Nacional, en sus sentencias de 13 de junio de 2002 y de 7 de febrero de 2003, entre otras, ha establecido que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva...”. De acuerdo con los fundamentos anteriores, se deduce que ha tenido lugar una vulneración del principio de seguridad de los datos del Ministerio del Interior, Secretaría General de Instituciones Penitenciarias, que ha tenido como consecuencia que documentos con datos personales del denunciante, fueran accesible a terceros no autorizados, infracción que procede calificar como grave. La Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 VI El artículo 44.3.
  15. h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Ministerio del Interior, Secretaría General de Instituciones Penitenciarias carece de las medidas de seguridad que la Ley exige al responsable del fichero, al haber permitido accesos no autorizados a los datos personales del denunciante. De acuerdo con los fundamentos anteriores, se deduce que por parte del Ministerio del Interior, Secretaría General de Instituciones Penitenciarias se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia el acceso no autorizado a los datos personales del denunciante, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VII Respecto del prestador de servicios FACEBOOK INC, en primer lugar exponer que la Ley 34/2002, de 11 julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI), define en su Anexo al “Prestador de servicios” (apartado
  16. c)“como la persona física o jurídica que proporciona un servicio de la sociedad de la información”. Lo que se completa con la definición que sobre “Servicios de la sociedad de la información o servicios” ofrece el apartado a), del Anexo: “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario…” Por su parte, el artículo 11.1 de la misma ley, sobre el deber de colaboración de los prestadores de servicios de intermediación, establece: “Cuando un órgano competente hubiera ordenado, en ejercicio de las competencias que legalmente tenga atribuidas, que se interrumpa la prestación de un servicio de la sociedad de la información o la retirada de determinados contenidos provenientes de prestadores establecidos en España, y para ello fuera necesaria la colaboración de los prestadores de servicios de intermediación, dicho órgano podrá ordenar a los citados prestadores que suspendan el correspondiente servicio de intermediación utilizado para la provisión del servicio de la sociedad de la información o de los contenidos cuya interrupción o retirada hayan sido ordenados respectivamente.” El apartado 1 del artículo 16 de la LSSI, establece: “Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario, siempre que: a No tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
  17. b)Si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
  18. a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse.” También el artículo 38 de la LSSI, sobre las infracciones de los preceptos de la ley, establece que son infracciones muy graves: “El incumplimiento de la obligación de suspender la transmisión, el alojamiento de datos, el acceso a la red o la prestación de cualquier otro servicio equivalente de intermediación, cuando un órgano administrativo competente lo ordene, en virtud de lo dispuesto en el artículo 11”. VIII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 PRIMERO: DECLARAR que el Ministerio del Interior, Secretaría General de Instituciones Penitenciarias ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
  19. h)de dicha norma. SEGUNDO: INSTAR a FACEBOOK INC, para que, de conformidad con lo previsto en el apartado 1.
  20. b)del artículo 16 de la Ley 34/2002, y habiéndose constatado la falta de adecuación a la normativa de protección de datos de los contenidos asociados al perfil ***PERFIL.1, sean retirados o se imposibilite el acceso a dichos contenidos. TERCERO: NO REQUERIR por parte de la Agencia Española de Protección de Datos, la adopción de una concreta medida correctora toda vez que ya se han hecho las consideraciones pertinentes. CUARTO: NOTIFICAR la presente resolución al Ministerio del Interior, Secretaría General de Instituciones Penitenciarias. QUINTO: NOTIFICAR la presente resolución a la entidad FACEBOOK INC., en su domicilio social, y también a través de FACEBOOK SPAIN, S.L. como establecimiento del responsable en España para que dé traslado de la misma a FACEBOOK INC. SEXTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.