1/22 Expediente N.º: EXP202318657 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 13 de noviembre de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00076754877 ante la Agencia Española de Protección de Datos contra DIRECCIÓN GENERAL DE TRANSFORMACIÓN DIGITAL DE LA ADMINISTRACIÓN DE JUSTICIA con NIF S2813001A (en adelante, DGTDAJ). Los hechos que se pusieron en conocimiento de esta autoridad eran: El reclamante, funcionario del Ministerio de Justicia, manifiesta que, para acceder al correo electrónico corporativo, además de introducir correo electrónico y contraseña, se empezó a pedir confirmación de apertura de cada sesión a través de dos opciones, a elección del usuario: 1) Enviar un mensaje confirmando que se estaba intentando acceder a la cuenta del correo desde el terminal del teléfono móvil del usuario mediante la utilización de un programa informático "***PROGRAMA.1". 2) La segunda opción consistía en que una vez introducida en la página de inicio el nombre de la cuenta y la contraseña del usuario, se enviaba un SMS al teléfono móvil con seis dígitos que debían introducir como contraseña de inicio a la sesión de correo. Como consecuencia de todo ello, señala que se había suministrado su teléfono móvil a alguna de las aplicaciones de ***EMPRESA.
(2)cualquier otro contrato que haga referencia al presente anexo. En concreto se cita en una de las obligaciones especificadas (la 3. (b)) que ***EMPRESA.1 “garantizará que las personas autorizadas para tratar los Datos Personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria”. PUNTO 6. Sobre la ubicación de los servidores de correo electrónico utilizados. Indican que el Ministerio de la Presidencia, Justicia y Relaciones con las Cortes tiene provisionado su tenant en la Unión Europea, por lo que ***EMPRESA.1 almacena los datos en la Unión Europea. Se indica que un tenant en tecnología ***PLATAFORMA.1 es una instancia específica de (…) que se crea cuando una organización se registra en ***PLATAFORMA.1 con su propio dominio, y donde se incluyen todas las suscripciones y usuarios asociados a la organización, estando aislado del resto de los tenants de otras organizaciones a efectos de seguridad. PUNTO 7. Sobre si se han realizado Estudios Previos o Evaluaciones de Impacto de Protección de Datos (EIPD) con carácter previo a la implantación de las soluciones de Correo Electrónico de ***EMPRESA.1 en su organización y el 2FA. Copia de las mismas en caso afirmativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/22 La parte reclamada aporta los documentos elaborados por la Oficina de Seguridad Normativa de la Dirección General de Transformación Digital de la Administración de Justicia, aclarando que, no siendo evaluaciones de impacto de protección de datos, sí que abordan aspectos puntuales sobre el tratamiento de datos personales en ***PROGRAMA.1, y sobre la certificación de Seguridad en el ENS de ***PLATAFORMA.1 y la ubicación de sus servidores. La DGTDAJ ha aportado el documento “Consulta sobre cumplimiento en materia de protección de datos ***PLATAFORMA.1 en la nube”, en el que se indica que el servicio de ***PLATAFORMA.1 está certificado con un certificado de conformidad con el Esquema Nacional de Seguridad (ENS) con categoría ALTA. Aportan copia del certificado de conformidad con el ENS de los sistemas de información que soportan los servicios de ***PLATAFORMA.1, de 28 de julio de 2022, renovado el 5 mayo de 2024. Asimismo, se cita en el documento que la configuración de los servicios de ***PLATAFORMA.1 en el Ministerio de Justicia, se ha realizado siguiendo la Guía de Seguridad de las TIC CCN-STIC 885A “Guía de configuración segura para ***PLATAFORMA.1”, y en concreto, para el servicio de correo electrónico, la Guía CCN-STIC 885C “Guía de configuración segura para Exchange Online”, ambas desarrolladas por el Centro Criptológico Nacional, lo indican que asegura el cumplimiento de las medidas de seguridad necesarias de entre las incluidas en el ENS. La DGTDAJ manifiesta que todo ello es para garantizar que por parte de ***EMPRESA.1 no se utilizaran más datos que aquellos que fueran estrictamente necesarios para efectuar la doble autenticación, en este caso por medio de la cuenta de correo corporativa, no recabando ningún dato personal privativo del usuario relativo a su número de teléfono. PUNTO 8. Se ha realizado un requerimiento de información adicional, con fecha 19 de marzo de 2025, la DGTDAJ ha contestado lo siguiente: “Con carácter previo a dar respuesta a las cuestiones planteadas en el indicado requerimiento, hemos de manifestar una cierta extrañeza de esta Dirección General en este expediente por dos motivos principalmente. 1. El primero de ellos es que se requiere información sobre herramienta, ***PROGRAMA.1 (…), cuyo uso está extendido de forma generalizada, incluido el sector público español y europeo, como mecanismo de seguridad de doble factor de autenticación, tanto para las propias aplicaciones “en la nube” de ***EMPRESA.1 como de otros servicios y sistemas, y en su caso, la seguridad nacional. En este sentido, además, este sistema incluso cuenta con la confianza de las instituciones de la Unión Europea para sus propios empleados públicos, y que pasamos a detallar a título ejemplificativo: 1. EIOPA (European Insurance And Occupational Pensions Authority) es una institución de la Unión Europea, es la institución europea de Seguros y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 Pensiones de Jubilación. De acuerdo con su registro de actividades de tratamiento de Videoconferencia, comunicación y colaboración con ***PLATAFORMA.1, para el tratamiento de datos personales de audio, vídeo y chat, intercambio colaborativo y redacción de documentos a través de ***PLATAFORMA.1, implementa Azure MultiFactor Authentication (MFA), un proceso en el que se solicita a los usuarios, tanto internos como externos, durante el proceso de inicio de sesión una forma adicional de identificación, como usar la aplicación ***PROGRAMA.1 o una llamada de voz. 2. Asimismo, ESMA (European Securities and Markets Authority) regulador y supervisor de los mercados financieros de la UE, en su registro de actividades de tratamiento relativo a ***PLATAFORMA.1, recoge el uso de ***PROGRAMA.1 para el acceso a los servicios de ***PLATAFORMA.1 de nube pública proporcionado por ***EMPRESA.1 en Europa. 3. Con objeto de apoyar a los departamentos del Gobierno irlandés en la configuración de ***PLATAFORMA.1 para garantizar un alto nivel de seguridad y aprovechar las características y capacidades presentes en el servicio, el Centro Nacional de Seguridad Cibernética (NCSC), en coordinación con ***EMPRESA.1 y (…), desarrollaron el Marco de Configuración Segura para ***PLATAFORMA.1 un componente de los servicios de ***PLATAFORMA.1, donde se aconseja el uso de ***PROGRAMA.1. 4. También es aconsejado el uso de ***PROGRAMA.1 por parte del Banco Central de Irlanda a sus clientes. 5. En Italia resaltamos el Consejo Regional de Calabria que, en su Normativa para el uso de servicios y herramientas informáticas, implementa la autenticación de dos factores mediante la aplicación ***PROGRAMA.1. La instalación y la configuración se llevan a cabo de forma independiente por los usuarios en su dispositivo móvil. 6. Por otro lado, el Manual para la gestión de la documentación y protocolo informático e identificación del Área Organizativa Homogénea del Consejo Regional del Lacio, por el que el acceso remoto a los portales se realiza a través de MFA (Multi-Factor Authentication). Los empleados deben registrar su cuenta de dominio dentro de una aplicación que genera códigos de acceso aleatorios (p. ej. ***PROGRAMA.1, Google Authenticator). Este registro le permitirá realizar el MFA (nombre de usuario, contraseña y un token único generado aleatoriamente por la aplicación Authenticator) necesario para acceder al portal de extranet de la Región Lacio. Una vez iniciada la sesión, los empleados tendrán enlaces a recursos de información donde podrán conectarse a través de su cuenta de dominio. 7. O incluido el Ministerio de la Salud, también lo recomienda. 8. Por último, resaltamos el gobierno de Países Bajos, que recomienda el uso de ***PROGRAMA.1, en los resultados de la evaluación de impacto de ***EMPRESA.1 (…) llevada a cabo por SURF (cooperativa de TI de las instituciones holandesas de educación e investigación), junto con el Ministerio de Justicia y Seguridad (Gestión Estratégica de Proveedores para el Gobierno Central), aunque realizada dentro de un contexto de incertidumbre sobre las transferencias internacionales a países fuera del EEE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22 [De los ocho casos aportan enlaces a sitios web con documentación al respecto]. La prohibición de la utilización de soluciones comerciales obligaría a desarrollar herramientas propias con cargo a los presupuestos públicos, lo que supondría un esfuerzo económico que muchas Administraciones no serían capaces de afrontar, poniendo en riesgo la seguridad de los sistemas. 2. Por otro lado, se pone el acento en la diferenciación entre usuarios que disponen de teléfonos corporativos, de aquellos que no, y en nuestra opinión esta interpretación no es correcta, ya que tanto los dispositivos corporativos como los personales pueden contener información personal. Es más, podría afirmarse en algunos casos, que los corporativos pudieran tener información más sensible, tanto propia como de terceros. Como ya se indicó en escritos anteriores, esta Dirección confirmó con la empresa ***EMPRESA.1 los datos personales que la aplicación trataba, precisamente para evitar que se usara el número de teléfono principalmente en el caso de usuarios sin terminal corporativo, y se limitara el tratamiento a la cuenta de correo corporativa, tomando en consideración la resolución recaída en el caso del Ayuntamiento de Madrid vs Sindicato Unión de Policía Municipal (EXP202100091), que trataba el número de teléfono particular. En el ámbito de los sistemas de información provistos directa o indirectamente por la DGTDAJ, afectan a un amplio espectro de colectivos de usuarios pertenecientes a responsables orgánicos y funcionales de diferentes órganos e instituciones. Las decisiones que se adoptaron para la instalación del doble factor de autenticación para el acceso a los servicios y sistemas tenían y tienen por objeto salvaguardar los datos de los ciudadanos, los datos de la Administración de Justicia, y garantizar la prestación del servicio público de Justicia como servicio esencial del Estado. Es precisamente la voluntad de blindar la seguridad de los sistemas lo que nos lleva a la implementación de estos medios. Buscando este objetivo, y gracias al avance de la tecnología, se eliminó el uso del número de teléfono en marzo de 2022. Y, posteriormente, desde el tercer trimestre de 2024, es posible hacer uso de certificado para autenticarse en ***PLATAFORMA.1 desde redes externas, estando disponible para el usuario la elección de uno u otro medio y no siendo indispensable, por tanto, el uso de ***PROGRAMA.1. Esta nueva alternativa se va ofreciendo gradualmente a los usuarios que necesitan acceder a ***PLATAFORMA.1 desde redes externas; debido al alto volumen de usuarios se debe acometer de forma gradual. En concreto, esta Dirección ha contactado con el reclamante, […], para informarle y ofrecerle la alternativa de uso de certificado para la autenticación, en lugar de ***PROGRAMA.1. Dado que, en el caso de la (…) y centro de trabajo del reclamante, no se dispone de acceso remoto desde esta Dirección General (el Proxy de la Diputación bloquea el acceso en remoto), se requiere asistencia técnica presencial. Además, dado que el usuario no está continuamente en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 sede de su puesto de trabajo por diversas cuestiones, no ha sido hasta el viernes 14 de marzo que se ha podido organizar con él una mesa de trabajo con atención presencial, en la que un técnico le configuró el acceso con certificado electrónico. No obstante lo anterior, dada la similitud con el presente caso, la naturaleza de la información a proteger, la también condición de operador crítico del Ministerio de la Presidencia, Justicia y Relaciones con las Cortes, y la decisión empresarial de implantar una app en los dispositivos móviles propios, hemos de poner de manifiesto la fundamentación jurídica que dio lugar a la Sentencia de la Sala de lo Social de la Audiencia Nacional de 29/05/2023, SAN 2644/2023 (Id Cendoj: 28079240012023100067), en conflicto colectivo contra Iberia. «FD SEGUNDO.- […] Se pide en demanda que declaremos que: la decisión empresarial de implantar una app en los dispositivos móviles propios de los TRIPULANTES DE CABINA DE PASAJEROS supone una MODIFICACIÓN SUSTANCIAL DE LAS CONDICIONES DE TRABAJO DE CARÁCTER COLECTIVO NO JUSTIFICADA condenando a la empresa a reponerles en sus anteriores condiciones de trabajo. FD TERCERO.- Centrados por tanto en la pretensión contenida en el suplico, la demanda debe desestimarse de plano por las razones que exponemos a continuación. Lo actuado acredita que IBERIA oferta a los TCP un sistema alternativo de comunicación IBnet que no sustituye al que existía IBnow. Ambos permiten acceder al TCP desde dispositivos electrónicos a utilidades precisas para conocer datos referidos a su actividad laboral y sus derechos. Por tanto, desde el momento en que el uso de IBnet es opcional y no sustitutivo de IBnow no ha existido modificación alguna de los sistemas de comunicación entre TCP y la empresa. No consta tampoco la imposición de alguna obligación en el uso de IBnet, siendo su empleo discrecional para el trabajador. Pero aun en el supuesto de que se determinara la necesidad de obligadamente emplear IBnet, tal medida, que no constituiría una alteración sustancial de las obligaciones laborales, sino una medida que encaja en el uso regular del poder directivo empresarial, art. 20 ET, estaría plenamente justificada por razones de seguridad informática a las que toda empresa viene obligada y más IBERIA por su condición de operador crítico en ciberseguridad, HP 4º. » Respuesta a la información requerida A). Sobre el Rol de ***EMPRESA.1 y la relación contractual en relación con los servicios de la app ***PROGRAMA.1 (…), teniendo en cuenta que la aplicación ***PROGRAMA.1 no forma parte de ***PLATAFORMA.1 (aunque esta última se pueda configurar para usar ***PROGRAMA.1 como segundo factor de autenticación) se piden las siguientes aclaraciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22 A.1) Roles de ***EMPRESA.1, del Ministerio y del usuario, en relación a los tratamientos de datos personales (encargado del tratamiento/responsable), en el marco de la utilización de la aplicación ***PROGRAMA.1: “La Dirección General de Transformación Digital de la Administración de Justicia es la unidad responsable del tratamiento de los datos de los usuarios para que puedan acceder y utilizar los servicios online ***PLATAFORMA.1 con licencia corporativa de ***EMPRESA.1, dadas las finalidades propias del tratamiento, incluido***PROGRAMA.1 que tiene por objeto facilitar dicho acceso. ***EMPRESA.1 sería considerada encargada del tratamiento cuando el usuario emplea***PROGRAMA.1 para autenticarse en los servicios online contratados. En sentido similar se ha pronunciado ***EMPRESA.1, ante la petición efectuada por esta Dirección General al objeto de esta cuestión, que se transcribe a continuación: «La aplicación ***PROGRAMA.1 puede ser descargada e instalada gratuitamente por cualquier usuario. La aplicación permite al usuario autenticarse en servicios, tanto de ***EMPRESA.1 como servicios de terceros. En caso de autenticarse a un servicio de ***EMPRESA.1, la validación se hace a través del EntraID de ***EMPRESA.1. Por consiguiente, con respecto a ***PROGRAMA.1, es preciso distinguir dos relaciones jurídicas: - Por un lado, el usuario que descarga e instala la aplicación acepta las condiciones de licencia de la aplicación. Con respecto a dicho uso, el tratamiento de datos personales se rige por las mencionadas condiciones y ***EMPRESA.1 es el responsable del tratamiento. - Por otro lado, cuando el usuario emplea la aplicación para autenticarse en un servicio online contratado por su empresa o institución (en este caso, el Ministerio) bajo una licencia corporativa de ***EMPRESA.1, el tratamiento de datos personales asociado a la autenticación y acceso al servicio online de ***EMPRESA.1 se rige por las condiciones de la licencia corporativa. Con respecto a este tratamiento, el Ministerio es el responsable y ***EMPRESA.1 es el encargado.» La DGTDAJ tiene conocimiento, en todo momento, de los usuarios enrolados mediante***PROGRAMA.1para el acceso al servicio de ***PLATAFORMA.1 que les ofrece. A.2) Se ha solicitado aclaración sobre la existencia o no de un contrato de encargo del tratamiento para el uso de***PROGRAMA.1suscrito entre ambas partes, en el caso de que ***EMPRESA.1 actúe como encargado y el Ministerio de responsable. Se pide copia de la documentación contractual entre el Ministerio y ***EMPRESA.1, específica para ***PROGRAMA.1, en la que conste qué tipología de datos recopila ***EMPRESA.1 y para qué finalidades: “El uso de ***PROGRAMA.1 constituye una de las medidas técnicas y organizativas apropiadas para el acceso a los servicios en la nube de ***PLATAFORMA.1proporcionados asimismo por ***EMPRESA.1, desde redes externas al Ministerio, para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de dichos sistemas, de conformidad con su categoría Alta del Esquema Nacional de Seguridad (ENS). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 Esta medida de seguridad se adopta por la DGTDAJ como una medida necesaria dentro de su relación contractual, precisamente para garantizar la seguridad de dichos servicios contratados y la información de la DGTDAJ obrante en los mismos. Constituye una medida en cumplimiento de las letras
- c)y
- f)del Anexo 1: Términos de conformidad con el Reglamento General de Protección de Datos de la Unión Europea del Addendum de Protección de Datos de los Productos y Servicios de ***EMPRESA.1. Ante la petición efectuada por esta Dirección General a ***EMPRESA.1 al objeto de esta cuestión, se transcribe a continuación su respuesta: «Con respecto a la autenticación en un servicio online de ***EMPRESA.1 contratado por el Ministerio, como se ha indicado también, el tratamiento de datos personales se rige por las condiciones de la licencia corporativa del Ministerio, incluido el Anexo de Tratamiento de Datos (DPA), con todo lo dispuesto en él en cuanto a tipos de datos y finalidad del tratamiento. En concreto, los datos serán tratados con el propósito de validar el EntraID.»” A.3) Aclaración sobre el motivo por el que, si los datos recabados son para el único fin de doble factor de autenticación, se recopilan datos adicionales de registro de diagnóstico y si esos datos los conserva ***EMPRESA.1 para sus propios fines. La DGTDAJ transcribe la respuesta que a esta cuestión les ha facilitado ***EMPRESA.1.: “Los datos de diagnóstico permanecen en la aplicación hasta que, en su caso, el usuario selecciona "Enviar feedback" en la aplicación para enviar los logs a ***EMPRESA.1. Se trata de la información necesaria para resolver el problema de la aplicación y los ingenieros de (…) únicamente los utilizan con esa finalidad.” B). Sobre la EIPD y los riesgos. B.1) Se ha solicitado información sobre si se ha realizado un análisis de la necesidad o no de efectuar una EIPD para el uso de la aplicación ***PROGRAMA.1. Copia de la documentación en caso afirmativo. Reiteran lo manifestado en la respuesta de fecha 27 de marzo de 2024 dada al requerimiento precedente, al respecto de si se han realizado Estudios Previos o Evaluaciones de Impacto de Protección de Datos (EIPD): Asimismo, indican que reproducen lo manifestado en su escrito de 30 de enero de 2024 en respuesta al trámite previo a la admisión a trámite de la reclamación: “El uso de ***PROGRAMA.1, con la configuración establecida, constituye una alternativa que hace innecesario el tratamiento de los datos personales del usuario. Exclusivamente se utiliza la cuenta corporativa del usuario para el funcionamiento del servicio (….).” Indican que querían garantizar que por parte de ***EMPRESA.1 no se utilizaran más datos que aquellos que fueran estrictamente necesarios para efectuar la doble autenticación, en este caso por medio de la cuenta de correo corporativa, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22 recabando ningún dato personal privativo del usuario relativo a su número de teléfono, datos identificativos del dispositivo o identificadores en línea, que pudieran permitir identificar al usuario, tal y como consta en la política de privacidad. Manifiestan, de acuerdo con lo inmediatamente expuesto, y con la información recopilada por la aplicación, que no se consideró que el tratamiento entrañara un alto riesgo para los derechos y libertades de las personas físicas, de acuerdo con el artículo 35, apartados 1 y 3 RGPD, y no observando que el mismo constara dentro de las listas de tratamientos que requieren EIPD de la AEPD de conformidad con el apartado 4 del art. 35 del RGPD, y menos aún que hubiera dos o más criterios de la lista para realizar la EIPD, de acuerdo con lo indicado por la AEPD, “en el momento de analizar tratamientos de datos será necesario realizar una EIPD en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios de la lista expuesta a continuación”. B.2) Se ha solicitado información sobre si se realizó un Análisis de Riesgos sobre la aplicación***PROGRAMA.1 y copia de la misma en caso afirmativo, fecha y firma. Se reiteran en lo manifestado en el punto 5 de la respuesta de fecha 27 de marzo de 2024 dada al requerimiento precedente, al respecto de si se han realizado Estudios Previos o Evaluaciones de Impacto de Protección de Datos con carácter previo a la implantación de las soluciones de Correo Electrónico de ***EMPRESA.1 en su organización y el 2FA: “Dada la relación contractual existente con ***EMPRESA.1, y tras un primer análisis por parte de esta Dirección General, para garantizar un acceso desde redes externas con autenticación robusta, se optó por la aplicación de segundo factor de autenticación que ofrece el propio ***EMPRESA.1 para reforzar el acceso a sus servicios. Desde la implantación del 2FA hasta la fecha se han seguido considerando los riesgos. En este sentido, como consecuencia del caso del Ayuntamiento de Madrid arriba indicado donde se trataba el número de teléfono particular, esta Dirección General contactó con ***EMPRESA.1 para profundizar en el análisis y establecer medidas para minimizar los datos personales en el uso de MA. Asimismo, esta valoración continua con la indicada incorporación del certificado electrónico como 2FA. “ B.3) Aclaración sobre si el certificado aportado de conformidad con el Esquema Nacional de Seguridad de servicios ***EMPRESA.1 incluye también la aplicación MA, teniendo en cuenta que no se encuentra listada en el anexo al certificado, información sobre si existen certificaciones sobre la aplicación***PROGRAMA.1 y copia de las mismas en caso afirmativo. Una vez solicitada aclaración a ***EMPRESA.1, la respuesta literal es la siguiente: “La aplicación, como tal, no es un servicio online y, por consiguiente, el certificado de conformidad con el ENS no se aplica a ella. Los servicios online corporativos, ante los que se autentica el usuario empleando ***PROGRAMA.1, que sí están cubiertos por el certificado de conformidad con el ENS (nivel alto).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 C). Sobre el teletrabajo, se ha solicitado confirmación del uso de la aplicación***PROGRAMA.1para el teletrabajo. Información sobre si se contempla el uso del teléfono móvil personal del empleado en las condiciones del teletrabajo. Aportar documentación acreditativa. Número total de empleados con teletrabajo, número de empleados que acceden al teletrabajo con***PROGRAMA.1 instalado en sus teléfonos móviles particulares, y número de empleados con***PROGRAMA.1 instalado en teléfonos corporativos. Informan que la DGTDAJ presta medios materiales, principalmente electrónicos, a los diversos colectivos de funcionarios de la Administración de Justicia, como el caso del reclamante, y es la responsable legalmente de garantizar la seguridad de la información de los ciudadanos y de los servicios que se les presta, implantando medidas de seguridad como el doble factor de autenticación en los sistemas principales, tanto los de negocio, como los prestados por ***PLATAFORMA.1. Indican que la DGTDAJ carece de competencias y de responsabilidades al respecto de las condiciones del teletrabajo de los diferentes cuerpos de funcionarios. Pueden confirmarse estos extremos en el Real Decreto 204/2024, de 27 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio de la Presidencia, Justicia y Relaciones con las Cortes, y se modifica el Real Decreto 1012/2022, de 5 de diciembre, por el que se establece la estructura orgánica de la Abogacía General del Estado, se regula la inspección de los servicios en su ámbito y se dictan normas sobre su personal. (https://www.boe.es/buscar/act.php?id=BOE-A-2024-3790). Manifiestan que los requisitos de seguridad del doble factor de autenticación son aplicables a cualquier acceso desde fuera de la red del Ministerio de la Presidencia, Justicia y Relaciones con las Cortes (ámbito Secretaría de Estado de Justicia), como es el caso de los Juzgados de Paz y sus Agrupaciones, centro de trabajo del reclamante. Una vez realizada esta aclaración, ofrecen los siguientes datos: - (…). - (…). Manifiestan que, de todos estos empleados, no han recibido más reclamaciones que la que origina el presente expediente y que no obstante, como hemos puesto de manifiesto, para el uso del doble factor de autenticación (2FA) se eliminó la necesidad del uso del número de teléfono en marzo de 2022, y desde el tercer trimestre de 2024, es posible hacer uso de certificado electrónico para autenticarse en ***PLATAFORMA.1 desde redes externas, estando disponible para el usuario la elección de uno u otro medio y no siendo indispensable, por tanto, el uso de ***PROGRAMA.1. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/22 Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la DGTDAJ realiza, entre otros tratamientos, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, fecha de nacimiento y correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/22 DGTDAJ realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. III Licitud del tratamiento El Artículo 6.1 “Licitud del tratamiento” del RGPD establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Por su parte el artículo 5 de la misma norma. relativo a los principios relativos al tratamiento, establecerán que los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); De forma concreta, el principio de minimización de datos, recogido en el artículo 5.1
- c)del RGPD, tiene como finalidad garantizar que únicamente se traten los datos personales estrictamente necesarios para alcanzar el propósito legítimo del tratamiento, evitando la recogida o utilización de información excesiva o desproporcionada. Al reducir la cantidad de información tratada, se minimizan también los riesgos asociados a posibles accesos no autorizados, brechas de datos personales o usos indebidos. En el presente caso, la DGTDAJ comunicó en abril de 2021 la implementación del sistema de doble factor de autenticación (2FA) como refuerzo de seguridad para el acceso para el acceso a los a los servicios en la nube de ***EMPRESA.1 desde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/22 redes no controladas. Inicialmente, este sistema ofrecía al usuario dos métodos alternativos para completar el acceso: