E-02752-2013

1/2 Expediente Nº: E/02752/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la ACADEMIA DE LAS ARTES Y LAS CIENCIAS CINEMATOGRAFICAS DE ESPAÑA y teniendo como base los siguientes HECHOS PRIMERO: El 20 de febrero de 2012 la ACADEMIA DE LAS ARTES Y LAS CIENCIAS CINEMATOGRAFICAS (en adelante, LA ACADEMIA), sufrió un ataque informático durante el cual fue sustraído un fichero con datos de los miembros. Los hechos dieron lugar al procedimiento A/00031/2013, en el que se declaró probada la existencia de ciertas vulnerabilidades en el sistema de información de LA ACADEMIA, que representaban una insuficiente implantación de las medidas de seguridad requeridas por la normativa vigente. En la resolución del procedimiento, de fecha 13 de mayo de 2013, por el Director de la Agencia se acordó el inicio de las presentes actuaciones, para verificar que LA ACADEMIA atendía el requerimiento de aportar, en el plazo de un mes, documentación acreditativa de que su sistema de información dispone de medidas de protección adecuadas. SEGUNDO: Tal y como requería la resolución, LA ACADEMIA remitió a la Agencia documentación de su nuevo sistema de información y de las medidas de seguridad adoptadas. TERCERO: A partir del análisis del documento y de la inspección realizada, en fecha 11 de abril de 2014, en la sede de LA ACADEMIA, por la Inspección de Datos se ha verificado la implantación de medidas de seguridad adecuadas, que se detallan en el informe de actuaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los apartados 1 y 2 del artículo 9 de la LOPD establecen: “

1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/2 seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.” El Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, detalla las medidas de seguridad que los responsables de los tratamientos o los ficheros y los encargados del tratamiento han de implementar, en función del nivel de seguridad aplicable conforme a lo previsto en el artículo
3. A partir de las actuaciones practicadas por la Inspección de Datos se ha podido constatar que las medidas reactivas adoptadas por LA ACADEMIA tras los ataques informáticos sufridos han sido adecuadas, logrando que el fichero atacado reúna en la actualidad los requisitos previstos en la normativa. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
4. PROCEDER AL ARCHIVO de las presentes actuaciones.
5. NOTIFICAR la presente Resolución a la ACADEMIA DE LAS ARTES Y LAS CIENCIAS CINEMATOGRAFICAS DE ESPAÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es