AAPP-00071-2017

1/21 Procedimiento Nº AP/00071/2017 RESOLUCIÓN: R/00707/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00071/2017, instruido por la Agencia Española de Protección de Datos al SERVICIO ANDALUZ DE SALUD, (CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA), y en virtud de los siguientes, ANTECEDENTES PRIMERO: En el período comprendido entre el 7 de junio y el 3 de agosto de 2017 tienen entrada en esta Agencia tres denuncias formuladas contra el Servicio Andaluz de Salud por las personas cuya identificación figura en el Anexo General que se adjunta a esta resolución, (en lo sucesivo identificados como Denunciantes 1, 2 y 3). En las citadas denuncias se ponen de manifiesto los siguientes hechos:  El Servicio Andaluz de la Salud puso en marcha, en el primer semestre de 2017, la “ventana electrónica del candidato” que permitía a los participantes a la OPE 2013/2015, que habían superado el corte de nota en el examen, adjuntar documentación sobre méritos.  El sistema tenía numerosos fallos, que se podían comunicar contactando con un número de teléfono de incidencias, donde se solicitaban datos de nombre y apellidos y D.N.I.  A las personas que reportaban alguna incidencia se les remitía información sobre la resolución de la incidencia a través de correo electrónico.  Los denunciantes han recibido correos electrónicos de resolución de las incidencias con los datos de terceras personas. Las Denunciantes 2 y 3 anexan la siguiente documentación:  Correos electrónicos recibidos desde la dirección ***EMAIL.1 en el mes de mayo de 2017, donde se les notifica la resolución de la incidencia.  La Denunciante 2 ha remitido copia de siete correos electrónicos recibidos con fecha 23 de mayo de 2017, desde la citada dirección en el que constan los datos de nombre y apellidos, dirección de correo electrónico, detalle de la incidencia reportada, número de teléfono y NIF de otras siete personas.  La Denunciante 3 aporta copia de cuatro correos electrónicos recibidos desde la citada dirección, con fecha 23 de mayo de 2017, donde constan los datos de nombre y apellidos, dirección de correo electrónico, detalle de la incidencia reportada, número de teléfono y NIF de otras tres personas. Entre dichos datos se encuentran los correspondientes a la Denunciante 2. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al Servicio Andaluz de Salud (Consejería de Salud de la Junta de Andalucía), Subdirección de Tecnologías de la Información y Comunicaciones, que con fecha 2 de agosto de 2017 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 ha remitido a esta Agencia la siguiente información en relación con las notificaciones erróneas (correos electrónicos) remitidas con fecha 23 de mayo de 2017: 1 Siguiendo el procedimiento establecido por la Subdirección, con fecha 18 de mayo de 2017, se registró en el sistema de gestión de incidencias con código J.J.J., una reclamación relativa al mal funcionamiento de la herramienta informática del “Service Desk”, que se encarga de realizar la notificación automática de la resolución de las incidencias registradas por los usuarios del sistema (tickets), de información del registro de méritos de la Oferta de Empleo Público. El error consistía en el envío, mediante correo electrónico de la resolución de una incidencia a un usuario que no es el que la ha registrado. 2 Con esa misma fecha, 18 de mayo de 2017, se escala la incidencia al equipo técnico responsable del mantenimiento de la herramienta informática, donde se procede al análisis y diagnóstico de la misma. Se determina que la causa del fallo es que la herramienta informática de notificación automática de la resolución de tickets no actualiza correctamente la dirección de correo electrónico a la que se envía la notificación, cuando se produce de la resolución de varios tickets de forma simultánea, y remite los datos de un usuario con ticket cerrado a otro usuario cuyo ticket se ha cerrado en ese mismo momento. 3 La información (datos personales) que se remite en el correo electrónico es: Nombre y apellidos, D.N.I., teléfono de contacto y dirección de correo electrónico. 4 Según manifiestan, las medidas adoptadas para la resolución de la incidencia han sido las siguientes: a. El equipo técnico aplica corrección en la herramienta con fecha 19 de mayo de 2017, que consiste en que ante el cierre simultaneo de tickets relacionados, solo se envía notificación al primer usuario afectado. b. Con fecha 24 de mayo de 2017, se reporta un error análogo por otro usuario y se registra de nuevo la incidencia en el registro de incidencias, con el código I.I.I.. El equipo técnico, tras ser informado, detecta que la corrección que se había realizado con fecha 19 de mayo había sido incompleta y proceden inmediatamente a una nueva actuación para reajustar las notificaciones el mismo día 24 de mayo. c. Posteriormente, se reciben dos nuevas reclamaciones de usuarios, por haber recibido notificaciones correspondientes a terceras personas. De nuevo se registran las incidencias con fecha 29 de mayo de 2017, con código H.H.H. y con fecha 7 de junio de 2017, con código G.G.G.. En ambos casos se revisan inmediatamente, verificando que corresponden a correos electrónicos remitidos con fecha 23 de mayo de 2017, (el día anterior a la resolución de la segunda incidencia), por lo que se informa a los usuarios que ya ha sido corregido el error. 5 Respecto al volumen de personas afectadas, según manifiestan que, el volumen aproximado de tickets gestionados anualmente son aproximadamente 475.000, de los cuales: a. Volumen total de notificaciones remitidas a destinatarios erróneos: 444. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 b. Volumen de usuarios cuyos datos han sido facilitados: 343. c. Volumen de destinatarios que han recibido datos de otros usuarios: 96. 6 Por último, manifiestan que: a. Las incidencias técnicas fueron resueltas con urgencia desde que tuvieron conocimiento de las mismas, siguiendo los procedimientos establecidos internamente, tratando de minimizar los daños con la mayor diligencia posible. b. Se trata de un fallo aislado que ha afectado a un número limitado de usuarios con relación al conjunto de datos que trata el Servicio Andaluz de la Salud, y los datos afectados son de nivel básico. c. Dada la complejidad de los sistemas informáticos, resulta imposible técnicamente garantizar que no se produzca un error de programación, tal y como el que se ha dado. TERCERO: Con fecha 4 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Servicio Andaluz de Salud (Consejería de Salud), en adelante SAS o Servicio Andaluz de Salud, por la presunta infracción a lo previsto en los siguientes preceptos: - Artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo dispuesto en los artículos 90, 91 y 93 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto1720/2007, de 21 de diciembre, (en adelante RLOPD), tipificada como infracción grave en el artículo 44.3.

1. h)de la citada Ley Orgánica. - Artículo 10 de la LOPD, tipificada como infracción grave en el artículo 44.3.
2. d)de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio del procedimiento, con fecha 8 de febrero de 2018 se registra de entrada en esta Agencia escrito de alegaciones formulado del SAS, en el que, en síntesis, se defiende: - Inexistencia de la infracción en materia de seguridad, que se justifica señalando: En cuanto al artículo 90 del RDLOPD, se alega que esta medida de seguridad está bien implantada y ha funcionado correctamente, como prueba que una vez recibida la notificación de las incidencias se actuó rápidamente. La situación no es consecuencia de la inexistencia de procedimiento de notificación y gestión de incidencias, ni de un funcionamiento irregular del mismo, sino de un error de la programación del sistema de envió de correos que afectaba a aspectos funcionales del mismo y no de seguridad. En cuanto al artículo 91 del RDLOPD, se niega que se hayan detectado errores o funcionamiento incorrecto en las medidas de seguridad para el control de acceso al sistema de atención y resolución de incidencias, ya que ningún usuario sin autorización ha accedido al sistema o a los datos registrados en el mismo. Ha habido un error o mala implementación de una funcionalidad de cierre de incidencias y envío de correos comunicándolo, como prueba que la modificación de la parte del código C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 de programación de la aplicación implicada en el incidente no ha afectado al sistema de control de acceso al sistema. En cuanto al artículo 93 del RDLOPD (identificación y autenticación), en ningún momento se ha producido un funcionamiento erróneo de esta medida de seguridad, que se refiere a los usuarios del sistema, no a posibles destinatarios de la información tratada en el sistema, ya que los usuarios receptores de los correos erróneos en ningún momento han intentado acceder al sistema, han sido son exclusivamente destinatarios de información, ninguna de los apartados del artículo 93 ha resultado infringido, ya que el incidente está vinculado con una errónea programación de una funcionalidad del sistema, no como una ausencia de las medidas previstas en el art. 93, que están todas ellas implantadas y han funcionado adecuadamente. - Respecto de la infracción del artículo 10 de la LOPD, aun reconociendo que se han comunicado datos personales a terceros, se insiste en que el origen de esas comunicaciones está en un error de programación de una aplicación informática, no en la ausencia de medidas de seguridad o de su ineficacia. - A los efectos previstos en los artículos 45.4 y 45.5 de la LOPD consideran actúan como factores atenuantes de los hechos: Inexistencia de intencionalidad. Actuación diligente frente al error de programación, subsanándose tan pronto como se conoció por el STIC, que procedió a regularizar la situación y mejorar los procesos relacionados con el desarrollo de software y los test de verificación para intentar detectar comportamientos anómalos. Además, se han minimizado los datos personales utilizados en ciertos mensajes para evitar su difusión accidental. Se trata de un fallo aislado y puntual de la herramienta informática del ServiceDesk, encargada de realizar la notificación automática de la resolución de tickets registrados. Frente a los 600.000 tickets procesados anualmente, únicamente 96 destinatarios se vieron afectados por el envío de correos electrónicos erróneos. No consta la existencia de perjuicios o de un riesgo efectivo para los afectados derivado del tratamiento de sus datos personales de nivel básico. El SAS cuenta con procedimientos adecuados, siendo la difusión de la información consecuencia de una anomalía en el funcionamiento de un proceso, no de una falta de diligencia de la organización. QUINTO: Con fecha 17 de enero de 2018 se inicia por la Instructora del procedimiento un período de práctica de pruebas, en cuyo marco se acordó practicar las siguientes pruebas: Incorporar al expediente del procedimiento, y por tanto dar por reproducida a efectos probatorios, las denuncias interpuestas por los tres denunciantes junto con su respectiva documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de actuaciones previas de inspección, que incluyen el informe evacuado como resultado de las mismas; todos ellos parte del expediente E/03654/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00071/2017 presentadas por el SAS, (Consejería de Salud), junto con la documentación que acompañaba a las mismas. - Solicitar al SAS contestación a los siguientes extremos y/o envío de la documentación que a continuación se dita: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21  Indicación de las fechas exactas en las que se produjo la incidencia técnica alegada que afectó a los datos personales de los participantes/candidatos a la OPE 2013/2015.  En relación con lo alegado sobre el artículo 90 del RLOPD se solicita:
3. a)Remisión de copia del procedimiento de notificación y gestión de incidencias implantado que contenga las medidas de seguridad que resulten de aplicación al supuesto analizado;
4. b)envío de copia de la información obrante en el registro que se cita en dicho precepto relacionada con el error alegado.  Envío de copia de las medidas de seguridad implantadas relacionadas con los destinatarios de la información de carácter personal tratada en el sistema, así como con el tipo de información al que pueden acceder o puede facilitárseles. SÉXTO: Con fecha 13 de febrero de 2018 se registra de entrada en esta Agencia escrito de contestación del SAS a las pruebas requeridas, en el que se señala: La incidencia técnica de error de programa que causó el envío de correos a destinatarios incorrectos en las notificaciones automáticas de confirmación de cierre de solicitudes se inicia el día 18/5/2017, quedando resuelta el día 24/5/2017 Se adjuntan: Anexo I, que recoge el manual de procedimiento para la notificación y gestión de incidencias, así como el Anexo II, donde se detallan cuatro incidencias, dos de las cuales se corresponden con las de los Denunciantes 1 y 3. Se aporta Anexo III, en el que se recogen las medidas de seguridad que aplican al desarrollo del software, destacando la medida 1.16 aplicada para la minimización del uso de datos. También se adjunta Anexo IV con las modificaciones realizadas sobre el entorno de gestión de incidencias, de acuerdo al Anexo III, que afectan a las medidas de seguridad para evitar la inclusión de datos de carácter personal en las notificaciones automáticas de comunicación de resolución de solicitudes. SÉPTIMO: Con fecha 26 de marzo de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el SERVICIO ANDALUZ DE SALUD (CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA) ha infringido tanto lo dispuesto en el artículo 9.1 de la LOPD en su relación con lo previsto en el artículo 91 del RDLOPD como lo dispuesto en el artículo10 de la LOPD, lo que supone la comisión de sendas infracciones tipificadas, respectivamente, como graves en los artículos 44.3.
5. h)y 44.3.
6. d)de la citada norma, así como que se requiera al mismo la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 9.1 y 10 de la mencionada Ley. La citada propuesta de resolución fue notificada al SAS con fecha 6 de abril de 2018 HECHOS PROBADOS PRIMERO: El SAS es responsable del sistema de información del registro de méritos de la Oferta Pública de Empleo/gestión de Personal (Ventanilla electrónica de la Persona Candidata, en adelante VEC), programa informático de soporte a través del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 cual los candidatos o participantes en el proceso selectivo de Oferta Pública de Empleo OPE 2013/2015 del SAS debían presentar los méritos y requisitos exigidos en esa convocatoria. SEGUNDO: El SAS utiliza la herramienta informática CA-Service Desk Manager (CASDM) para gestionar, entre otras, las solicitudes realizadas por los usuarios (candidatos o participantes) del programa informático de soporte al sistema de información del registro de méritos de la Oferta Pública de Empleo del SAS. TERCERO: En las fechas de los hechos analizados, el SAS utilizaba la herramienta informática CA-Process Automation Manager (CA-PAM) para el envío automático de correos electrónicos de notificación de cierre de las solicitudes efectuadas por los usuarios del programa informático de soporte al sistema de información del registro de méritos de la Oferta Pública de Empleo. CUARTO: Entre el 18 y el 24 de mayo de 2017 se produjo un fallo de programación en la herramienta CA-PAM, a raíz del cual se enviaron correos electrónicos de notificaciones automáticas de confirmación de cierre de solicitudes efectuadas por usuarios del reseñado sistema de información del registro de méritos de la Oferta Pública de Empleo/gestión de Personal a destinatarios incorrectos. A raíz de la gestión de la incidencia, se verifica que la causa del fallo derivaba de que la herramienta informática de notificación automática de la resolución de tickets no actualizaba correctamente la dirección de correo electrónico de envío de la notificación cuando se producía el cierre de varios tickets de forma simultánea, enviando los datos del usuario del ticket cerrado al usuario de otro ticket que he había cerrado en ese mismo momento. QUINTO: Consta que los Denunciantes 2 y 3 recibieron, con fecha 23 de mayo de 2017, en sus respectivas cuentas de correo electrónico varias comunicaciones de resolución de incidencias procedentes de la cuenta ***EMAIL.1 referidas a las resoluciones de cierre de solicitudes formuladas por otros usuarios del sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal, (Ventanilla Electrónica de la Persona Candidata). El campo “Descripción recibida de su solicitud” de dichos envíos contenía, junto con el detalle de la incidencia o solicitud formulada en relación con la oferta de empleo público en cuestión, información referida al nombre, apellidos, NIF, correo electrónico y teléfono de contacto personal de terceras personas, que como los propios denunciantes eran usuarios del citado sistema. SEXTO: Mediante escrito de fecha 1 de agosto de 2017, la Subdirección de Tecnologías de la Información y Comunicaciones del Servicio Andaluz de Salud comunicó a esta Agencia que, tras revisar el log de correos electrónicos enviados por el sistema de notificación automática durante el ciclo de vida del sistema de información de registro de méritos de la oferta pública de empleo, se concluyó que un total de 96 destinatarios recibieron correos electrónicos con datos personales de otros usuarios del sistema, que se enviaron un total de 444 correos electrónicos a destinatarios erróneos y que el volumen total de usuarios cuyos datos personales se vieron comprometidos fue de 343 usuarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 SÉPTIMO: El SAS ha comunicado la adopción de las siguientes medidas de seguridad al entorno de Gestión de Incidencias para evitar la inclusión de datos de carácter personal en las notificaciones automáticas de comunicación de resolución de solicitudes: - Los datos de carácter personal de los usuarios no son incluidos en el campo “descripción” de las solicitudes registradas en la herramienta. - La plantilla de notificación automática no captura datos personales del usuario, sólo datos administrativos del ticket, de tal forma que, si se produjera un error en el destinatario del correo, no serían comprometidos datos de carácter personal. - Se ha dejado de utilizar la herramienta CA-PAM para la composición y envío de notificaciones automáticas, que se realizan con el módulo de reglas de notificaciones de CA-SDM. OCTAVO: El SAS ha comunicado la adopción de las siguientes medidas de seguridad para evitar la reproducción de error de programa que causó el envío de notificaciones a destinatarios incorrectos: - Revisión del procedimiento y Plan de Pruebas a realizar en Entorno de Desarrollo cuando se produce un cambio en la aplicación que gestiona las solicitudes de usuarios en relación con sistemas de información del SAS. - Repetición del Plan de Pruebas en el Entorno de Validación para la aceptación de cambio antes del paso a producción, y tras haber superado las pruebas en Desarrollo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. En el supuesto analizado consta probado que el SAS ha tratado los datos personales de los candidatos registrados en el sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal (Ventanilla Electrónica de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 la Persona Candidata) y en los programas informáticos de gestión y notificación automática de cierre de solicitudes y quejas concernientes a dicho sistema, relativos al nombre, apellidos, DNI, teléfonos y correos electrónicos de los afectados, motivo por el cual dicho tratamiento se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. Sentado esto, procede resaltar que de acuerdo con lo dispuesto en el 43.1 de la LOPD “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El concepto de “responsables de los ficheros” debe integrarse con la definición que de los mismos recoge el artículo 3.
8. d)de la LOPD. Este último precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Así conforme al citado artículo 3.
9. d)el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En la misma línea el artículo 5.1
10. q)del RLOPD define como responsable del fichero o del tratamiento a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Dentro de lo expuesto y de conformidad con las definiciones citadas, se considera que el SAS ha decidido sobre la finalidad, contenido y uso de los datos de carácter personal registrados en el sistema de información reseñado en el Hecho Probado 1) y en las herramientas de informáticas que figuran en los Hechos Probados 1) y 3), por lo que ostenta una posición jurídica que lo convierte en responsable del tratamiento objeto de estudio. III En primer lugar procede analizar si por parte del SAS se ha incumplido el principio de seguridad de los datos personales que constan en sus ficheros. El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El artículo 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” El artículo 9 de la LOPD, bajo la rúbrica “Seguridad de los datos”, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” El citado precepto establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. El artículo 3 de la LOPD recoge las siguientes definiciones relacionadas con los conceptos utilizados en los preceptos de la LOPD anteriormente citados: “
11. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
12. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
13. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” “
14. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
15. c)del presente artículo.” En relación con las medidas de seguridad, las letras
16. f)y ñ) del artículo 5.2 del RLOPD definen los siguientes conceptos: “
17. f)Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.” “ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Así, el artículo 79 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), en relación con el “Alcance” de las medidas de seguridad en el tratamiento de datos de carácter personal dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento.” Por su parte, el artículo 81.1 del citado RLOPD establece en cuanto a la “Aplicación de los niveles de seguridad”, que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94 del RLOPD, las de nivel medio se regulan en los artículos 95 a 100 del mismo reglamento y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104 del mismo. A su vez, los apartados 1 al 4 del artículo 88 del RLOPD establecen: “Artículo 88. El documento de seguridad. 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
18. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
19. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
20. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
21. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
22. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
23. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
24. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21
25. a)La identificación del responsable o responsables de seguridad.
26. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. “ Dichas medidas, en el caso que nos ocupa, no sólo deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal de los usuarios del sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal, (Ventanilla Electrónica de la Persona Candidata), sino también aquellos datos de carácter personal recabados a los usuarios de dicho sistema (nombre y apellidos, DNI, teléfono de contacto, dirección de correo electrónico) que contactaron con el Centro de Servicios al Usuario de la STIC para formular solicitudes y/o quejas relacionadas con el funcionamiento del citado programa informático de soporte al proceso de Oferta Pública de Empleo del SAS, y que se utilizaron por el SAS a través de las herramientas informáticas utilizadas para gestionar las solicitudes y/o quejas (tickets) registradas (CA-Service Desk Manager, CA-SDM) y para la notificación automática por correo electrónico a los usuarios de la resolución o cierre de los tickets (CA-Process Automation Manager, CA-PAM) . IV En el presente supuesto, en el acuerdo de inicio del procedimiento la infracción en materia de seguridad de datos recogida en el artículo 9 de la LOPD se vinculó al presunto incumplimiento por parte del responsable del tratamiento de lo dispuesto en los artículos 90, 91 y 93 (medidas de seguridad de nivel básico) del RLOPD, los cuales disponen: “Artículo 90. Registro de incidencias. Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas. Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. “ “Artículo 93. Identificación y autenticación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible. “ Sin embargo, a la vista de la documentación obrante en el procedimiento y los hechos que han resultado probados en el mismo, se considera que no cabe imputar al SAS las infracciones a las medidas de seguridad contempladas en los artículos 90 y 93 del RLOPD por los motivos que a continuación se señalan. En cuanto al “Registro de incidencias”, el SAS ha justificado tener implantado un procedimiento de notificación y gestión de incidencias que afectan a los datos de carácter personal tratados (Anexo I), contar con un registro de incidencias en materia de seguridad (Anexo II) y haber adoptado medidas correctoras para evitar la inclusión de datos de carácter personal en las notificaciones automáticas de comunicación de resolución de solicitudes (Anexo IV) , de conformidad con el documento que recoge los “Requisitos No Funcionales de Seguridad Para el Desarrollo de Aplicaciones en el SAS” (Anexo III). En cuanto a la “Identificación y autenticación”, no constan en el expediente elementos de juicio de los que se desprenda, en forma fehaciente, que la quiebra de seguridad estudiada, traiga causa de la falta de adopción de mecanismos que permitan la correcta identificación y autenticación de los usuarios afectados, desprendiéndose de las capturas de pantalla aportadas de la herramienta CA-SDM que los datos de los usuarios objeto de tratamiento en esa fase previa a la notificación automática de la resolución de cierre por correo electrónico eran correctos. A este respecto, el artículo 5.2.
27. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Sentado lo anterior, se considera que en este supuesto se ha producido la vulneración del principio de seguridad de los datos del artículo 9.1 de la LOPD en su relación con lo previsto en el artículo 91 del RDLOP sobre medidas de “Control de acceso”. El citado precepto del RDLOP desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios del sistema únicamente puedan acceder a los datos personales o recursos autorizados. Para ello es necesario que por parte de dicho responsable se implanten mecanismos de control en evitación de que un usuario acceda a datos personales o funcionalidades que no se correspondan con el tipo de perfil de usuario asignado, debiendo también establecer los criterios para conceder, alterar o anular el acceso autorizado sobre los recursos. Dispone también que en caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 No obstante que el SAS señala que ningún usuario sin autorización ha accedido al reseñado sistema o a los datos registrados en el mismo, lo cierto es que en el procedimiento constan acreditados los siguientes hechos:
28. a)Que los Denunciantes 2 y 3 recibieron, con fecha 23 de mayo de 2017, en sus respectivas cuentas de correo electrónico varias comunicaciones de resolución de incidencias que no se correspondían con las que éstos habían formulado, sino con las presentadas por otros usuarios del sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal, (Ventanilla Electrónica de la Persona Candidata), conforme prueba que en los correos electrónicos aportados figura el nombre, apellido, dirección de correo electrónico, detalle de la incidencia, número de teléfono y NIF de los terceros en cuestión.
29. b)Que desde el SAS se ha confirmado a esta Agencia que, después de revisar el log de correos electrónicos enviados por el sistema de notificación automática durante el ciclo de vida del sistema de información de registro de méritos de la oferta pública de empleo, se ha verificado que un total de 96 destinatarios recibieron correos electrónicos con datos personales de otros usuarios del sistema, que se enviaron un total de 444 correos electrónicos a destinatarios erróneos y que el volumen total de usuarios cuyos datos personales se vieron comprometidos fue de 343 usuarios. Por lo tanto, consta acreditado que han resultado insuficientes las medidas de seguridad implantadas para que los usuarios del reseñado sistema de información de registro de méritos de la oferta de empleo público en cuestión únicamente pudieran tener acceso a la información de carácter personal que les correspondía en función de su perfil, lo que también alcanza a las medidas de seguridad de control de acceso de los datos personales tratados por el SAS para la gestión de las solicitudes o quejas efectuadas por dichos usuarios en relación con el programa informático de soporte al mencionado proceso de oferta pública de empleo del SAS y para el envío automático de correos electrónicos de notificación de cierre de dichas solicitudes. En consecuencia, consta probado que 96 usuarios del reseñado sistema accedieron mediante la recepción de los correos electrónicos de notificación de cierre de solicitudes remitidas por el SAS a datos personales de otros usuarios. En definitiva, el SAS está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas en la normativa de protección de datos para los ficheros de su titularidad, y, entre ellas, las dirigidas a impedir accesos no autorizados a la información de carácter personal que consta en los mismos, lo que no sólo ocurre cuando terceros no autorizados acceden a esa información, sino también cuando usuarios de los ficheros acceden a recursos con derechos distintos de los autorizados o el responsable del fichero facilita a dichos usuarios información de carácter personal registrada en el mismo a la que no deberían acceder en función de su perfil de usuario. En este caso, sin embargo, ha quedado acreditado que el SAS incumplió esta obligación, por cuanto que el sistema de gestión y cierre de solicitudes vinculadas al mencionado soporte y notificación automática de las resoluciones de cierre de las mismas por correo electrónico no impidió que 96 usuarios pudieran acceder a datos personales de otros usuarios del referido sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal, (Ventanilla Electrónica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 de la Persona Candidata),conforme ya se ha razonado. Se trata de deficiencias apreciadas en los sistemas y aplicaciones informáticas diseñados y utilizados por el SAS que quedaron acreditadas por la documentación aportada por los Denunciantes 2 y 3 y se desprenden de las comprobaciones técnicas realizadas por la Subdirección de Tecnologías y las Comunicaciones (STIC) a fin de subsanar las mismas. El SAS, como responsable del fichero y del tratamiento efectuado con los datos personales de los 343 usuarios afectados por el incumplimiento de la reseñada medida de seguridad, es la entidad obligada a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. V Alega el SAS que lo sucedido no está relacionado con la falta de medidas de seguridad en el tratamiento de los datos personales, sino con un error o mala implementación de una funcionalidad del sistema, la de cierre de incidencias y envío de correos electrónicos de notificación de tal circunstancia. En concreto, aducen que a raíz de las pruebas técnicas efectuadas “se determina que la causa raíz de este fallo es que la herramienta utilizada para la notificación automática por correo electrónico a los usuarios de los cierres de sus solicitudes, no capturó y actualizó correctamente la dirección de correo electrónico de envío de la notificación en algunos casos muy particulares cuando se ha producido el cierre de varios tickets de mora simultánea (en el mismo segundo), enviando los datos del usuario afectado de un ticket cerrado al usuario afectado de otro ticket que se ha cerrado en ese mismo momento.” Sin embargo, ha de tenerse en cuenta que en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información de carácter personal por parte de terceros o de usuarios no autorizados. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). El SAS es responsable de la infracción señalada, en tanto que ha quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputable a dicha entidad, en tanto que la infracción se consuma por el fallo de seguridad producido y la falta de medidas adecuadas para haberlo evitado. Las mejoras adoptadas para subsanar la incidencia confirman la falta de medidas de seguridad adecuadas que han determinado la infracción, de la que es responsable el SAS, según ha quedado expuesto, al menos por una falta de la diligencia debida en la implantación de medidas de seguridad adecuadas. El incumplimiento de lo establecido en el artículo 9.1 de la LOPD no se produce en exclusiva en supuestos de ausencia total de tales medidas, sino también en aquellos otros, como el analizado en este caso, en los que las adoptadas resultaran insuficientes o no efectivas y esta insuficiencia sea imputable a título de culpa. A este respecto la Audiencia Nacional, en sus sentencias de 13 de junio de 2002 y de 7 de febrero de 2003, entre otras, ha establecido que: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva...”. VI El artículo 44.3.
30. h)tipifica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” Dado que, con arreglo a los argumentos expuestos en los anteriores Fundamentos de Derecho, ha existido vulneración del “principio de seguridad de los datos” recogido en el artículo 9.1 de la LOPD, se considera que el SAS ha incurrido en la infracción grave descrita, toda vez que los datos personales de 343 usuarios del reseñado sistema de registro resultaron accesibles por parte de terceros, siendo ello consecuencia de una insuficiente o ineficaz implementación de la medida de seguridad prevista en el artículo 91 del RLOPD. VII En segundo lugar, procede dilucidar si la conducta del SAS vulnera lo dispuesto en el artículo 10 de la LOPD, que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida” El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11.2 de la misma (comunicación de datos). En definitiva, el deber de secreto comporta que el SAS, responsable del sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal y herramientas informáticas señaladas, no puede revelar ni dar a conocer los datos personales contenidos en esos ficheros a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la Ley. En este caso concreto ha quedado constatada la facilitación por el SAS de los datos personales concernientes al DNI, número de teléfono y dirección de correo electrónico de 343 usuarios del sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal a un total de 96 usuarios del mismo sistema sin mediar consentimiento de los afectados para ello ni habilitación legal que amparase tal revelación de datos, lo que establece la base de facto para fundamentar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 la imputación de la infracción del artículo 10 de la LOPD. Se observa que la difusión de datos personales de terceros usuarios del sistema a través del envío de correos electrónicos de notificación de resolución de tickets en los que se incluía esa información no afectaba a los datos identificativos (nombre y apellidos) de esos usuarios, puesto que dicha información ya había sido publicada en la página web del SAS con arreglo a las bases de la convocatoria de la oferta de empleo público en la que dichos usuarios habían participado. VIII Aunque el SAS ha manifestado que “En cuanto a la infracción del artículo 10, lo cierto es que se han comunicado datos personales a terceros”, sin embargo, ha pretendido exonerar su responsabilidad argumentando que “el origen de esa comunicación no es otro que un error de programación de una aplicación informática”. En relación con esta alegación, la Sentencia de la Audiencia Nacional de fecha 19/01/2015, Rec. 178/2013, Nº Resolución 32/2015, señalaba que: “La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como ,en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012.)” A mayor abundamiento, conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente basada en el mero resultado, es decir al principio de responsabilidad objetiva. En este supuesto, y conforme a la doctrina jurisprudencial expuesta, se considera que el SAS no actuó con la diligencia debida, toda vez que podría haber remitido los correos electrónicos de notificación de resolución de cierre objeto de estudio utilizando solamente los datos administrativos de los afectados y omitiendo, como medida de seguridad, el uso de los datos de carácter personal de los usuarios que se incluían en el cuerpo de los envíos, tal y como ha determinado al modificar el campo de “notificación de Resolución” para minimizar los riesgos derivados del tratamiento de datos de carácter personal. Por tanto, el SAS incumplió el deber de secreto que le incumbía revelando datos personales de terceros usuarios en la forma reseñada, sin consentimiento ni habilitación legal para ello. IX C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 La conducta descrita en el Fundamento de Derecho anterior se incardina en el artículo 44.3.
31. d)de la LOPD, que tipifica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con lo expuesto, se considera que por parte del SAS se ha producido una vulneración del deber de secreto, ya que consta probado que dicho servicio ha difundido datos de carácter personal de usuarios del sistema de información del registro de méritos de la Oferta Pública de Empleo/Gestión de Personal a otros usuarios de ese mismo sistema, a los que envío correos electrónicos de notificación de cierre de incidencias referidos a esos terceros, cuyos datos personales se incluían en los envíos, conducta que procede calificar como infracción grave a lo previsto en el artículo 44.3.
32. d)de la LOPD. X Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En cuanto a la posibilidad de aplicar las circunstancias atenuantes que se alegan en relación con lo dispuesto en el artículo 45.4 y 5 de la LOPD a los efectos de minorar la cuantía de la sanción que se pueda imponer, se señala que las mismas son aplicables, en virtud del principio de proporcionalidad a los responsables de tratamientos o de ficheros de titularidad privada que hayan infringido la LOPD. En este supuesto concreto, el infractor es una administración pública, cuyo régimen sancionador establece el artículo 46 de la LOPD, no llevando aparejada la imposición de una sanción económica. En el presente supuesto, se estima que no proceder requerir al SAS la adopción de medidas de seguridad internas para que se corrijan los efectos de las infracciones descritas, toda vez que por parte del SAS, se adoptaron las medidas necesarias para corregir el fallo de programación detectado en la aplicación informatica del “Service Desk” encargada de realizar la notificación automática de la resolución de cierre de solicitudes y/o incidencias (tickets), se han mejorado las medidas de seguridad establecidas en los procesos relacionados con el desarrollo de software y los test de verificación para detectar comportamientos anómalos, en particular se han realizado modificaciones en el entorno de gestión de incidencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 asociadas a la gestión y notificación de resolución de cierre de dichas solicitudes, habiéndose minimizado el uso de datos de carácter personal en dichas comunicaciones, todo ello para evitar que en el futuro puedan producirse una nueva infracción de los artículos 9.1 y 10 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar que el SERVICIO ANDALUZ DE SALUD, (CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA) ha infringido lo dispuesto en el artículo 9.1 de la LOPD en su relación con lo dispuesto en el artículo 91 del RLOPD, tipificada como grave en el artículo 44.3.
33. h)de dicha norma. SEGUNDO: Declarar que el SERVICIO ANDALUZ DE SALUD, (CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA) ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
34. d)de dicha norma. TERCERO: Notificar la presente Resolución y el Anexo que la acompaña al SERVICIO ANDALUZ DE SALUD y a la CONSEJERÍA DE SALUD DE LA JUNTA DE ANDALUCÍA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 ANEXO GENERAL DENUNCIANTE 1 C.C.C., Denuncia de fecha 07/06/2017 DENUNCIANTE 2 E.E.E., Denuncia de fecha 09/06/2017 completada con fecha 03/08/2017 DENUNCIANTE 3 B.B.B., Denuncias de fecha 19/06/2017 y 03/07/2017 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es