1/4 Expediente Nº: E/00405/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Ayuntamiento de Eivissa y teniendo como base los siguientes HECHOS PRIMERO: En fecha 24 de enero de 2014 por el Director de la Agencia se insta a la Inspección de Datos a que realice las oportunas actuaciones para determinar una posible vulneración de la normativa de protección de datos por parte del Ayuntamiento de Eivissa, en relación con las informaciones publicadas en el diario digital XXXXX.es, fechadas el 20 de enero de 2014, con el titular “El Ayuntamiento de Eivissa muestra en internet datos privados de ciudadanos de Vila”. SEGUNDO: A partir de las actuaciones practicadas por la Inspección se ha tenido conocimiento de los siguientes extremos:
- En fecha 30 de enero se realizaron las siguientes comprobaciones: a. Se accede a la noticia publicada en www.XXXXX.es. titulada “El Ayuntamiento de ..........................” y se extraen copias de las imágenes de certificados publicadas en dicha noticia, encontrándose que se publican un total de cinco imágenes de certificados de empadronamiento de otros tantos ciudadanos. b. Se realizan consultas en el buscador Google utilizando como argumentos datos contenidos en los citados certificados, obteniendo como resultados enlaces a documentos en formato pdf asociados al dominio eivissa.es, que no son ya accesibles. Al acceder a las versiones html que temporalmente conserva el buscador, en su memoria caché, sobre esos documentos se accede a los datos de los citados ciudadanos. c. Se realiza una consulta en Google con el argumento “codi municipal site:eivissa.es”, encontrándose que aparecen publicados un total de cinco enlaces a ficheros en formato PDF, coincidentes con los anteriormente referenciados.
- De la documentación aportada a la Inspección de Datos por el Ayuntamiento de Eivissa se desprenden las siguientes conclusiones: a. Aporta la entidad copia del documento de seguridad, que aparece adaptado al RLOPD. b. Aporta copia del registro de una incidencia en fecha 30/1/2014 (12:00), en la que aparece: <<Descripción: Indexación en Google de la URL de descarga de varios certificados de viaje expedidos en la sede virtual del Ayuntamiento Medidas adoptadas: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 Primera medida: Se solicitó a la empresa Indenova S.L, encargada del mantenimiento de la Sede Virtual del Ayuntamiento de Ibiza que pusiera las medidas necesarias para que las URLs de descarga no puedan ser indexadas por Google. Segunda medida: Se ha contratado un nuevo servicio de expedición de certificados. El nuevo proveedor ha creado una nueva página para dicho cometido […] >> c. Respecto de las actuaciones realizadas: i.El Ayuntamiento se puso en contacto con la empresa que lleva el mantenimiento de la Sede Virtual del Ayuntamiento oficinavirtual.eivissa.es para poner en su conocimiento que varios certificados de viaje estaban siendo accedidos desde los motores de búsqueda de Google, con el fin de que explicaran cómo podía estar pasando y solventar el problema. La contestación de su coordinador de proyectos, mediante correo electrónico de fecha 22/1/2014, fue la siguiente: <<El argumento de la noticia es totalmente falso y poco fundamentado desde el punto de vista tecnológico. En ningún caso la sede electrónica está exponiendo datos privados de los ciudadanos de Eivissa. A lo largo de la vida del servicio de emisión se habrá generado cerca de 200.000 certificados de viajes. De todo este histórico, únicamente hay información indexada en google de 5 de ellos y no “de al menos 5” como indica el artículo. El funcionamiento lógico para este tipo de plataformas de emisión de documentos es la generación de documentos que pueden descargarse a través de una url. El sistema de generación de certificados de viajes genera documentos pdf que el usuario descarga a partir de una url. Si por una razón ajena a la plataforma y al propio Ayuntamiento, ese enlace es compartido por el usuario o referenciado desde otro sitio web o cargado en el propio buscador de google, éste indexa el contenido, aunque sea un PDF (ya que google es capaz de indexar el contenido de los pdf)>> ii.El Ayuntamiento se puso en contacto con Google para que dichas indexaciones de su motor de búsqueda fueran borradas. Aporta captura de pantallas de la solicitud de eliminación a Google. iii.Se pusieron en contacto con el departamento de prensa para pedir explicaciones de su proceder, al confirmar una noticia que había salido en prensa digital. Según informa el Ayuntamiento, dicha confirmación fue realizada sin consultar a los técnicos del departamento de informática y por lo tanto sin ningún fundamento ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 conocimiento de causa. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD establece: “
- El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
- No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
- Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, se detallan los requisitos de seguridad que han de reunir los ficheros y tratamientos de datos de carácter personal, en función de la tipología de los datos involucrados. En el presente caso, por la Inspección de Datos no ha logrado acreditarse el incumplimiento de ninguna de las obligaciones previstas en el citado Reglamento. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución al AYUNTAMIENTO DE EIVISSA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es