1/7 Expediente N.º: EXP202506536 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de junio de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra SERVICIO DE ORDENACIÓN LABORAL DE LA CONSEJERÍA DE INDUSTRIA, EMPLEO Y PROMOCIÓN ECONÓMICA DEL GOBIERNO DEL PRINCIPADO DE ASTURIAS con NIF S3333001J (en adelante, la parte reclamada) por una posible infracción en materia de protección de datos personales. Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que el 14 de junio de 2023 consultó su expediente a través de la sede electrónica de la parte reclamada. En el apartado “actuaciones” obraba un enlace titulado "A.A.A.". Al pulsar el enlace se inició la descarga de un fichero Excel en el que obran los datos personales de 93 personas (entre los que se encuentran los de la parte reclamante). En el citado fichero consta el nombre, los apellidos, DNI, domicilio, código del tipo de prestación, fecha de baja de la demanda de empleo, código de la baja de la demanda de empleo, fecha de inscripción siguiente a la no renovación y observaciones. La parte reclamante manifiesta que comunicó la incidencia a la parte reclamada. A su vez, indica que sus datos han podido ser revelados a las 92 personas que figuran en el listado. Junto a la reclamación aporta: - Escrito de 14 de junio de 2023 firmado por el parte reclamante dirigido a la Dirección General de Empleo y Formación de la Consejería de Industria, Empleo y Promoción Económica en el que, entre otros asuntos, manifiesta: “(…) Aprovecho la presente comunicación para trasladarles lo que a mi juicio es una falla del sistema de consulta de expedientes a través de la sede electrónica, dado que he tenido acceso, bajo el total desconocimiento previo, a un listado (…) que no debería estar a mí alcance, por incumplir la LOPD. Se adjunta archivo EXCEL en cuestión, así como impresión PDF de la ruta a través de la cual tuve el acceso, que no es más que otra que mi consulta del expediente sancionador a través de mi sede electrónica de la página de ***WEB.1, en el apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 - - “ACTUACIONES”, enlace “A.A.A.”. Ruego que esta última puntualización sea subsanada lo antes posible, dado que, igual que dicho archivo figura en mi expediente, puede ocurrir lo mismo en expedientes de terceras personas (…)”. Justificante de presentación del escrito mencionado en el apartado anterior a través de registro electrónico con número de registro ***REGISTRO.1, fecha de 14 de junio de 2023 y hora 22:19 horas. Captura de pantalla del 14 de junio de 2023 a las 21:04 horas del área personal de la parte reclamante en la sede electrónica de ***URL.1. En la misma se observan en relación con el expediente ***EXPEDIENTE.1 los siguientes apartados: “datos del expediente”, “notificaciones administrativas”, “actuaciones” y “anotaciones”. En el apartado “actuaciones” figura un enlace bajo el título “A.A.A.”. Por otra parte, en el apartado “anotaciones” figura que la anotación (...) fue registrada con sentido salida, con destinatario a la parte reclamante, el 13 de junio de 2023. Asimismo, en el apartado notificaciones se indica que la fecha de notificación fue el 14 de junio de 2023 y la fecha de envío el 14 de junio de 2023. Documento Excel controvertido en el que figuran los datos de 93 personas, incluidos los de la parte reclamante. En concreto constan los datos correspondientes a los siguientes apartados: “UAG demanda, OE, NIF, nombre y apellidos, domicilio, tipo de presentación, fecha baja en demanda, causa baja demanda, fecha de inscripción siguiente a la no renovación y observaciones”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado el 18 de julio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 1 de agosto de 2023 se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que reconoce, en palabras de la parte reclamada, “lo que podría considerarse como una brecha de confidencialidad que afectaría a 93 personas”. Además, explica la causa de esta (el desconocimiento de que “a través de este nuevo sistema de gestión de expedientes electrónicos, [los interesados] pudieran tener acceso a los mismos [listados], entendiendo que solo podrían tener acceso en el caso de que se produjera una notificación fehaciente [del documento Excel], la cual en ninguno de los casos se produjo”), así como las medidas que fueron adoptadas desde el momento en que tuvo conocimiento de la situación para poner fin a la brecha (“eliminación de todos los expedientes en los que se ha producido la brecha de seguridad del documento que contiene datos personales del resto de personas afectadas”), las medidas adoptadas para evitar que los hechos pudieran volver a producirse en el futuro (“eliminación del resto de todos los expedientes administrativos en los que no habiendo constancia de haberse producido ningún acceso a los datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 pudiera llegar a producirse” y “la modificación del protocolo de actuación para la tramitación del procedimiento administrativo, en el sentido de no incorporar el citado documento Excel en los expedientes, no teniendo acceso al mismo en ningún caso”). Asimismo, asegura que únicamente se había detectado el acceso al listado por la parte reclamante, sin que conste que ninguna de las 92 personas restantes hubiera accedido al mismo, antes de que se procediese a su eliminación. Por tanto, la parte reclamada demostraba haber adoptado medidas para el cumplimiento de la normativa aplicable en relación con la brecha de confidencialidad que habría tenido lugar. No obstante, en su escrito señalaba que no había procedido a comunicar la brecha de datos personales a las personas afectadas “por no considerarlo necesario”. TERCERO: Atendiendo a lo anterior, con fecha 25 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada, al entenderse que de la respuesta al traslado de la reclamación se infería una posible vulneración de la normativa de protección de datos, al apreciarse indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la AEPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver la presente reclamación la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." III Artículo 34 del RGPD. Comunicación de una violación de la seguridad de los datos personales al interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 La comunicación de una violación de la seguridad de los datos personales al interesado está regulada en el artículo 34 del RGPD, según el cual: "1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. 2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b),
- c)y d). 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes:
- a)el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
- b)el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1;
- c)suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3." IV Prescripción de la posible infracción El artículo 83.4 del RGPD tipifica como infracción administrativa el incumplimiento de lo previsto en el artículo 34 del RGPD y prevé la imposición de multas administrativas en los términos siguientes: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43 (…)”. Sin perjuicio de lo anterior, el artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, permite a los Estados miembros establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Así, el artículo 77 de la LOPDGDD establece el “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” entre los que se incluiría la parte reclamada, en tanto que órgano de una Administración autonómica, de acuerdo con lo previsto en apartado primero letra c). Este régimen especial prevé, entre otros aspectos, la sustitución de multa administrativa por la declaración de la infracción, la imposición de medidas, además de la comunicación al Defensor del Pueblo en los términos determinados en el mencionado artículo. Con independencia del régimen especial aplicable, de confirmarse la infracción, a la parte reclamada en tanto que Administración autonómica, conviene señalar que la LOPDPGDD en sus artículos 72, 73 y 74, califica a efectos de prescripción las infracciones del RGPD estableciendo que las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves transcurrido un año desde que se cometieron. En relación con el artículo 34 del RGPD, el artículo 74 de la LOPDPGDD señala que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…) ñ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo para los derechos y libertades de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE) 2016/679, (…)” Por su parte, conforme al artículo 21.1 de la LPACAP, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación. Asimismo, establece la citada norma que, en los casos de prescripción, la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables. V Conclusión En el caso que nos ocupa, la parte reclamada tuvo conocimiento el 14 de junio de 2023 de que se había producido una posible brecha de datos personales en sus sistemas, al haber compartido con 93 interesados un enlace que permitía el acceso a un listado en el que figuraban los datos personales de todos ellos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 Sin perjuicio de que no conste que ninguno de los afectados, salvo la parte reclamante, accediera al citado listado durante el tiempo en que estuvo disponible, y de que la parte reclamada adoptara e implementara medidas con celeridad a raíz de la detección del incidente para mitigar y paliar sus efectos, así como para evitar que volviera producirse en el futuro, el volumen y las características de los datos personales, así como el número de afectados, podría haber exigido la comunicación a los interesados en los términos señalados por el RGPD. Por tanto, de confirmarse, los hechos podrían haber supuesto una infracción del artículo 34 RGPD. No obstante, el incumplimiento del deber de comunicación al afectado de una violación de seguridad de los datos que entrañe un riesgo alto prescribe, de acuerdo con el artículo 74 ñ) de la LOPDGDD, al año desde que se produjeron los hechos. Atendiendo a lo anterior, al haber prescrito la posible infracción del artículo 34 del RGPD, procede dictar resolución en los términos previstos por el artículo 21 de la LPACAP. En consecuencia, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la PRESCRIPCIÓN de la presunta infracción cometida del artículo 34 RGPD en el marco del expediente EXP202506536, y el archivo de las presentes actuaciones SEGUNDO: NOTIFICAR la presente resolución a SERVICIO DE ORDENACIÓN LABORAL y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es