E-00553-2021

1/5  Procedimiento N.º: E/00553/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: En fecha 11 de septiembre de 2020, tiene entrada en la Agencia Española de Protección de Datos, la reclamación interpuesta por D. A.A.A. (en adelante, el reclamante) contra el AYUNTAMIENTO DE ***LOCALIDAD.1, (en adelante, el reclamado), en la que manifiesta que ha accedido con su certificado digital a la sede electrónica del Ayuntamiento y ha observado que tiene acceso a los expedientes de plusvalías de varios vecinos y que no es un error puntual, ya que ocurre durante varias semanas. Asimismo, denuncia que el personal del Ayuntamiento ha facilitado indebidamente a un tercero, su solicitud de licencia de obra. En su escrito de denuncia, se menciona al empleado responsable del expediente. Documentación aportada: Junto a la reclamación aporta dos imágenes en las que se visualizan los datos relativos a las plusvalías de varios vecinos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/08575/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta en la Agencia contestación al traslado de la reclamación. TERCERO: En fecha 21 de enero de 2021, la Directora de la Agencia Española de Protección de Datos, acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ENTIDAD INVESTIGADA AYUNTAMIENTO DE ***LOCALIDAD.1 con CIF P0201000G con domicilio en ***DIRECCIÓN.1. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- Con fecha 9 de febrero de 2021 se solicitó información al Ayuntamiento de ***LOCALIDAD.1. En la respuesta recibida se manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 1.- El Ayuntamiento de ***LOCALIDAD.1 tramita los expedientes desde ***APLICACIÓN.1, aplicación incluida en la Sede Electrónica del Ayuntamiento de ***LOCALIDAD.1. 2.- Los datos del reclamante de la denuncia interpuesta ante la Agencia Española de Protección de Datos no fueron objeto de acceso al resto de interesados incluidos en el expediente en ningún momento de la tramitación. 3.- En el expediente de Incremento de Valor de Terrenos de Naturaleza Urbana, plusvalía al que se refiere, y por el funcionamiento de la aplicación, se permitió el acceso a los interesados a dos documentos del expediente, concretamente dos Resoluciones de Alcaldía. 4.- Advertido error por el personal tramitador de dicho expediente y durante el desarrollo de la tramitación de éste, y sin que, en ningún momento, se haya presentado en el registro de este ayuntamiento reclamación por parte de los reclamantes de vulneración de derechos sobre de protección de datos, se procedió a limitar el acceso de los interesados a los documentos del expediente. 5.- El interesado no ha ejercido los derechos regulados en los artículos de 15 a 22 del RGPD ante el Ayuntamiento. 6.- Advertido error de accesos al expediente se procedió a resolver inmediatamente dicha anomalía, siendo los afectados los interesados incluidos en ese momento en el expediente, no teniendo constancia de que la brecha haya afectado a los interesados de este. La tipología de los datos afectados es: nombre y apellidos, referencia catastral del inmueble objeto de tributo del impuesto y valor catastral del suelo del bien inmueble. 7.- Esta situación se produce de una manera puntual y concreta, derivada de la tramitación de un expediente con varios interesados, no siendo la manera de proceder habitual en la tramitación de los expedientes municipales y solucionándose el problema en cuanto se tuvo constancia de él por parte del personal tramitador. 8.- En relación con el expediente de licencia de obras objeto de denuncia, informan que el Ayuntamiento no se ha facilitado documentación alguna a terceros, siendo únicamente el solicitante de la licencia el interesado en el expediente. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación, la Directora de la Agencia Española de Protección de Datos. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad, como consecuencia del acceso de los interesados a determinados documentos de un expediente, en concreto, dos resoluciones del Ayuntamiento. El artículo 32 del RGPD señala lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

1. a)la seudonimización y el cifrado de datos personales
2. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
3. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
4. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.”. El citado artículo contempla que “el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”. En consecuencia, no adopta una relación cerrada de medidas técnicas y organizativas, sino que éstas deberán ser las apropiadas en función del nivel de riesgo previamente analizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 En consecuencia, se trata de determinar si las medidas técnicas y organizativas eran las adecuadas al nivel de riesgo predeterminado, así como la diligencia en la reacción ante una brecha de seguridad y, en su caso, las medidas adoptadas para evitar que en el futuro pueda repetirse una incidencia de similares características que pueda comprometer los derechos y libertades de los interesados. De las actuaciones de investigación se desprende que la entidad investigada, en calidad de responsable del tratamiento, disponía de medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencia, pero, sin embargo, de forma excepcional se produjo la incidencia ahora analizada, si bien, advertido el error, se ha procedido a limitar el acceso de los interesados a los documentos del expediente. Asimismo, la entidad investigada disponía de protocolos de actuación para afrontar el incidente, lo que ha permitido la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, comunicar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro, a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. En consecuencia, se debe concluir que la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente. Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. III Por tanto, la actuación de la entidad investigada, como entidad responsable del tratamiento, ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es