E-00636-2013

1/5 Expediente Nº: E/00636/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por la entidad Ministerio de Educación, Cultura y Deporte; Secretaría de Estado de Educación, Formación Profesional y Universidades; Subdirección General de Promoción Exterior Educativa, relativo a la ejecución del requerimiento de la resolución de referencia R/00214/2013 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento AP/00017/2012, seguido en su contra, y en virtud de los siguientes, ANTECEDENTES DE HECHO PRIMERO: En relación con la entidad Ministerio de Educación, Cultura y Deporte; Secretaría de Estado de Educación, Formación Profesional y Universidades; Subdirección General de Promoción Exterior Educativa (en lo sucesivo Promoción Exterior Educativa), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de declaración de infracción de Administraciones Públicas de referencia AP/00017/2012, que concluyó mediante resolución nº R/00214/2013, de fecha 04/02/2013, en la que se tuvieron por probados los siguientes hechos: <<PRIMERO: La Subdirección General de Cooperación Internacional del Ministerio de Educación, Cultura y Deporte consta en el Registro General de Protección de Datos como responsable del fichero PROFEX, con nivel básico de seguridad. La denominación de dicha Subdirección General cambió recientemente a la actual, que es Subdirección General de Promoción Exterior Educativa. SEGUNDO: La Subdirección General de Promoción Exterior Educativa, para el desarrollo de sus funciones, dispone de una plataforma denominada “Profex”, a la que se accede a través de la Sede Electrónica del Ministerio de Educación, Cultura y Deporte mediante certificados digitales o un código de usuario y una contraseña, siendo dicha Sede Electrónica la que se encarga de gestionar la autenticación de usuarios mediante un identificador numérico único. Esta plataforma permite la realización de solicitudes de beca o plazas ofertadas en el exterior para profesores, que son registradas telemáticamente. TERCERO: La Subdirección General de Promoción Exterior Educativa no dispone del registro de incidencias previsto en el Real Decreto 1720/

1. CUARTO: Con fecha 14/12/2011, la denunciante accedió a la plataforma PROFEX, mediante su usuario y contraseña, con la intención de solicitar una beca de profesores visitantes a Estados Unidos, comprobando que, asociados a su perfil, se mostraban datos personales, laborales y académicos de terceros, relativos a nombre, apellidos, número de pasaporte, nacionalidad, sexo, lugar y fecha de nacimiento, dirección, correo electrónico, nombre y apellidos de una persona de contacto, parentesco con el afectado, dirección y teléfono de esta persona. La denunciante manifestó a los servicios de inspección de la Agencia Española de Protección de Datos que la incidencia se produjo varias veces, mostrándose los datos de diferentes personas mediante su acceso al PROFEX a lo largo del día 14/12/2011; que notificó la incidencia por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 correo electrónico el mismo día 14/12/2011; y que la misma se soluciono algo después y no ha vuelto a producirse QUINTO: Con fecha 06/03/2012, los servicios de inspección de la Agencia Española de Protección de Datos Consultado accedieron al buzón de correo electrónico profex......@......, utilizado para dar soporte al sistema PROFEX, y localizaron dos correos electrónicos remitidos por la denunciante el 14/12/2012 en los que comunica la incidencia descrita. Asimismo, se comprueba la existencia de un correo electrónico de respuesta, en el que se informa a la denunciante que “Le hemos solucionado el error en el cual veía información de otra persona accediendo con su perfil de usuario”. A este respecto, los representantes de la Subdirección General de Promoción Exterior Educativa manifestaron que la solución a dicho error fue la restauración de los datos de la denunciante, suprimiendo de su perfil los datos de terceros. SEXTO: Durante la inspección realizada por los servicios de inspección de la Agencia Española de Protección de Datos en fecha 06/03/2012 se verificó el proceso de registro en la Sede Electrónica del Ministerio de Educación, Cultura y Deporte, comprobando que, una vez facilitada la información que requiere, el sistema que gestiona la sede electrónica remite un correo de confirmación al usuario registrado, proporcionándole una contraseña y un enlace para activar la cuenta. En caso de no activar la cuenta en un periodo de 24 horas, los datos son borrados. Los citados servicios de inspección procedieron a la creación de un usuario de prueba al que, tras la inclusión de los datos requeridos, se inscribió en uno de los programas cuya convocatoria se encontraba abierta en el momento de la inspección. Tras la inscripción se accedió al sistema utilizando el usuario y contraseña proporcionados, constatándose al consultar los datos del usuario de pruebas que los datos que mostraba el sistema eran los proporcionados y no los de otro usuario. SÉPTIMO: Durante la inspección realizada por los servicios de inspección de la Agencia Española de Protección de Datos en fecha 06/03/2012 se constató que los datos que proporcionaba el sistema PROFEX accediendo mediante el usuario y la clave de la denunciante eran efectivamente los correspondientes a la misma. OCTAVO: Durante la inspección realizada por los servicios de inspección de la Agencia Española de Protección de Datos en fecha 06/03/2012, los técnicos de la Subdirección General de Promoción Exterior Educativa apuntaron como posible origen de los errores una situación puntual de sobrecarga de los servidores que prestan servicio al sistema informático PROFEX, que hubiese provocado un error en la gestión de las variables utilizadas para identificar a los usuarios; habiéndose concluido por la inspección actuante que esa explicación sobre la causa de la incidencia es la más probable>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución se acordó lo siguiente: <<SEGUNDO: REQUERIR al Ministerio de Educación, Cultura y Deporte; Secretaría de Estado de Educación, Formación Profesional y Universidades; Subdirección General de Promoción Exterior Educativa, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la LOPD, para lo que se abre expediente de actuaciones previas E/00636/
2. En concreto se insta a crear un registro de las incidencias que afecten a los datos de carácter personal registrados en la plataforma “PROFEX”, con el contenido y apartados previstos en el artículo 90 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 LOPD. En el mismo plazo señalado deberá informar a la Agencia Española de Protección de Datos del cumplimiento de lo requerido>>. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/00636/
3. CUARTO: Con motivo de lo instado en la resolución, la denunciada remitió a esta Agencia, con fecha de entrada 05/06/2013, un informe elaborado por la Subdirección General de Tecnologías de la Información y Comunicaciones, relativo a las medidas adoptadas para dar cumplimiento a lo acordado en la Resolución de 04/02/
4. En dicho escrito se indica lo siguiente: “Acciones realizadas Además de duplicar el número de servidores sobre los que se balancea la carga del sistema, se ha llevado a cabo la creación de: . Un Registro específico de incidencias que afecten a datos de carácter personal, donde se hace constar: . Tipo de incidencia . Momento en la que se ha producido/detectado . Persona que realiza la notificación . A quién se la comunica . Efectos derivados . Medidas correctoras aplicadas . Un buzón específico sede.lopd@mecd.es al que los ciudadanos se pueden dirigir para notificar incidencias que afecten a datos de carácter personal. Una vez en el buzón, personal del Ministerio tipifica la incidencia y las que afecten, efectivamente, a datos de carácter personal, son inscritas en el Registro creado exclusivamente a este efecto y se asignan al departamento responsable. De esta manera, son registradas unívocamente cada una de ellas al igual que todas las acciones realizadas para su resolución. Por parte del Ministerio se prioriza la resolución de este tipo de incidencias y su notificación al emisor de la misma”. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II En el procedimiento AP/00017/2012 se imputó a la entidad Subdirección General de Promoción Exterior Educativa, responsable del fichero PROFEX, el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El artículo 9 de la LOPD, relativo a la seguridad de los datos, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 “
5. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
6. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
7. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal recabados por la Subdirección General de Promoción Exterior Educativa de los usuarios que acceden a la plataforma PROFEX, correspondiendo adoptar las calificadas de nivel bajo, en atención al tipo de información básica que contiene, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamiento de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 90 del citado Reglamento, aplicable a los ficheros de nivel básico de seguridad, se refiere al registro de incidencias señalando lo siguiente: “Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas”. En el presente caso, la Subdirección General de Promoción Exterior Educativa reconoció que no disponía del registro de incidencias previsto en el Real Decreto 1720/
8. En el Documento de Seguridad aportado durante la instrucción del procedimiento, en su versión de fecha 10/02/2012, se contenía una referencia al registro de incidencias que empleaba la citada Subdirección General, si bien la descripción que se realizaba del mismo no mencionaba el detalle de su contenido, por lo que no permitió valorar si se ajustaba a los apartados previstos en el artículo 90 del Reglamento de desarrollo de la LOPD. En consecuencia, se consideró que la entidad Subdirección General de Promoción Exterior Educativa no había dado cumplimiento a las normas expuestas, y se requirió a la misma el establecimiento de un registro de las incidencias que afecten a los datos de carácter personal, con el contenido y apartados previstos en el artículo 90 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. En respuesta a este requerimiento, se recibe de la denunciada la información que se detalla en el Antecedente Cuarto, señalando que ha creado un registro de incidencia cuyo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 contenido se ajusta a lo establecido en el citado artículo 90 del RLOPD. Por tanto, en el supuesto presente, del examen de las medidas adoptadas por la entidad Ministerio de Educación, Cultura y Deporte; Secretaría de Estado de Educación, Formación Profesional y Universidades; Subdirección General de Promoción Exterior Educativa, se constata que reúnen los requisitos anteriormente descritos para atender las exigencias previstas al efecto en la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
9. PROCEDER AL ARCHIVO de las presentes actuaciones.
10. NOTIFICAR la presente Resolución a la entidad Ministerio de Educación, Cultura y Deporte; Secretaría de Estado de Educación, Formación Profesional y Universidades; Subdirección General de Promoción Exterior Educativa, y a DÑA. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es