1/5 Expediente Nº: E/02285/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la CONSEJERIA DE JUSTICIA E INTERIOR de la JUNTA DE ANDALUCIA y teniendo como base los siguientes, HECHOS PRIMERO: Durante la tramitación de las actuaciones E/03814/2014 al objeto de averiguar si la utilización de certificados digitales de personas físicas por parte de los empleados de la Administración de Justicia en la Junta de Andalucía constituía una posible infracción a la normativa de protección de datos, se constató que la existencia de una página web de la Junta de Andalucía conteniendo información sobre el asunto objeto de la investigación. En concreto, la citada página web http://www.juntadeandalucia.es..............incorporaba extractos de los documentos de seguridad relativos a los ficheros: SISTEMA DE GESTIÓN PROCESAL DEL CGPJ y al CGI – Dirección General de Infraestructuras y Sistemas, en los que si bien se apreciaba que se habían realizado filtros a la hora de su publicación en la citada página web, como por ejemplo la omisión de anexos, sin embargo dicho filtros resultaron a todas luces insuficientes, ya que entre lo publicado figuraban nombres de personas e información que podría comprometer la propia seguridad. Entre los aspectos publicados figuraban los datos de nombre y apellidos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 determinadas personas con responsabilidades asignadas en materia de seguridad. También se publicaba información que podría comprometer la seguridad dado que se describía la infraestructura y el entorno tecnológico con un nivel de detalle tal que incluía la marca, el modelo y la versión de equipos de seguridad, así como procedimientos asociados a la política de gestión de usuarios y contraseñas que únicamente debían ser conocidos por las personas que tuvieran que conocerlo por la necesidad de sus funciones. En relación a los aspectos indicados cabe señalar que el Documento de Seguridad tiene la consideración de “documento interno” de la organización tal y como recoge el artículo 88 del Real Decreto 1720/2007, a cuyo acceso se debe de aplicar el principio de “necesidad de conocer” recogido en el artículo 91, por lo que no se justifica que la información citada se encuentre disponible a cualquier usuario de Internet. Estas circunstancias llevaron a que en la Resolución de las citadas actuaciones se procediera a apertura de las presentes actuaciones al objeto de investigar el alcance y transcendencia de la difusión externa al ámbito de la organización de datos de carácter personal incorporados a los documentos de seguridad publicados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos expuestos, teniendo conocimiento de los siguientes extremos: En fecha de 25/11/2015, y dentro ya de las presentes actuaciones, se ha procedido a practicar diligencia consistente en comprobar si la publicación de los mencionados documentos de seguridad seguía produciéndose en la citada página web http://www.juntadeandalucia.es..............constatándose que ya no se realiza dicha publicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 9, recoge “
- El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
- No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
- Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Habida cuenta que al procederse a la comprobación de los hechos que motivaron el inicio de las presentes actuaciones, E/2285/2015 resulta que su causa han desaparecido, dado que la página web http://www.juntadeandalucia.es.............. que incorporaba extractos de los documentos de seguridad relativos a los ficheros: SISTEMA DE GESTIÓN PROCESAL DEL CGPJ y al CGI – Dirección General de Infraestructuras y Sistemas, ya no figuran nombres de personas e información que podría comprometer la propia seguridad, procede el Archivo de las presentes actuaciones Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a la CONSEJERIA DE JUSTICIA E INTERIOR de la JUNTA DE ANDALUCIA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es