1/7 Expediente Nº: E/03038/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONSEJERIA DE PRESIDENCIA, JUSTICIA E IGUALDAD, en virtud de denuncia presentada por la CENTRAL SINDICAL FESP-UGT SECTOR JUSTICIA, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de abril de 2017, tuvo entrada en esta Agencia escrito remitido por la CENTRAL SINDICAL FESP-UGT SECTOR JUSTICIA en el que expone lo siguiente: Que el procedimiento para acreditar la identidad del funcionario, con objeto de activación/recuperación de las claves de acceso al aplicativo Atlante (Sistema de Gestión Procesal de Canarias), es facilitar el número de teléfono móvil o la dirección de correo electrónico personal, dichos hechos podrían ser constitutivos de lo que podría suponer una infracción a lo dispuesto en los artículos 3b), 3c), 3e) y 4a) del artículo 44 de la Ley Orgánica 15/1999 (LOPD). Añaden, que es una obligación facilitar dichos datos personales, si se quiere poder realizar las tareas encomendadas en los órganos judiciales por parte de los funcionarios de justicia destinados en el Gobierno de Canarias, y que no son informados de modo expreso, preciso e inequívoco tal como estipula el artículo 5 de la LOPD. Que en el documento Política de contraseñas del Gobierno de Canarias, se establecen otros procedimientos para la activación/recuperación de las claves de acceso a los Sistemas de Información como preguntas/respuesta. Que según el denunciante tuvieron lugar los hechos a fecha de: 4 de abril de
- Con el escrito de denuncia se anexa, entre otros, la siguiente documentación: Política de contraseñas del Gobierno de Canarias, de fecha 13 de diciembre de
- Escrito de la Sección Sindical remitido a la Dirección General de Relaciones con la Administración de Justicia del Gobierno de Canarias, de fecha 4 de abril de 2017, mediante el que informan que “el sistema de recuperación mediante frases no estaba operativo, tampoco la alternativa de correo electrónico y que únicamente sólo se podía acceder facilitando el teléfono móvil personal”. También, incorporan al escrito impresión del mensaje, remitido por correo electrónico, en el que informan a una trabajadora del procedimiento para activar la contraseña del usuario, (…) “le llegará a su teléfono móvil el código, una vez dentro podrá cambiar la contraseña”. Por lo que solicitan se articulen otros mecanismos de verificación como los que existían con anterioridad. En este caso indican que la trabajadora no tenía teléfono móvil. Preguntas frecuentes sobre recuperación de contraseña, impresiones de pantalla supuestamente publicadas en la intranet, en las que, entre otros, se detalla lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 siguiente: ¿Con qué fines se utilizará tu número de teléfono móvil o correo electrónico alternativo? Solo utilizaremos tu número o correo electrónico alternativo para garantizar la seguridad de tu cuenta como por ejemplo: Evitar que otras personas intenten entrar en tu cuenta sin tu permiso. En caso de perder el acceso a tu cuenta, enviarle un código de verificación que permita iniciar sesión. Tener una alternativa para verificar la propiedad de la cuenta. Alertarte de posibles amenazas contra la seguridad de tu cuenta (por ejemplo, cuando se cambia la contraseña). ¿Cuándo se utilizará tu correo electrónico? Utilizaremos tu dirección de correo electrónico alternativa sólo en el caso que: Necesitemos confirmar tu nombre de usuario No puedes iniciar sesión Has olvidado tu contraseña Necesitamos advertirle de cualquier actividad inusual relacionada con tu cuenta Recuperación de contraseñas a través de preguntas secretas. Por lo que se podría deducir que en las citadas respuestas se informa de la finalidad para la cual se facilitan el teléfono móvil y/o la dirección de correo electrónico para la activación/recuperación de las claves, no acreditando que hubieran sido tratados para otra finalidad. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- El denunciante no ha dado respuesta al requerimiento de la Inspección de Datos mediante el que se le solicitaba acreditación documental de las personas que han facilitados datos particulares para la activación/recuperación de la clave de acceso a los aplicativos. También, se le requería para que informara de si tenían constancia de que el teléfono móvil y/o correo electrónico habían sido utilizados para una finalidad distinta para la cual fueron facilitados. El escrito fue entregado en destino el día 18 de septiembre de 2017, no habiendo recibido respuesta en la AEPD.
- La Dirección General de Telecomunicaciones y Nuevas Tecnologías del Gobierno de Canarias ha informado a la Inspección de Datos en relación con la información personal que es necesario facilitar para la activación/recuperación de las claves de acceso a los Sistemas de Información lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Entre las funciones de la Dirección General se encuentran el establecimiento de la política y medidas de seguridad en el ámbito de la Administración Pública de la Comunidad Autónoma de Canarias como es el sistema de gestión de identidades para el acceso a los Sistemas de Información. La información asociada a los usuarios se incorpora al fichero denominado “Identidades para la prestación de servicios electrónicos”, inscrito en el Registro General de Protección de Datos con el código ***CÓDIGO.1, cuyo responsable es la Dirección General de la Función Pública, siendo la finalidad “ofrecer servicios electrónicos como correo electrónico, acceso aplicaciones corporativas, inicio de sesión Windows, etc. al empleado público” y los datos de carácter identificativo que contiene son: “NIF, nº de registro de personal, nombre y apellidos, teléfono, correo electrónico, identificador y contraseña encriptada”. Los usuarios, entre ellos los funcionarios de la Administración de Justicia, deben identificarse y autenticarse mediante sus credenciales corporativas, para poder iniciar sesión en su equipo y acceder a los aplicativos. Dichas credenciales se encuentran sometidas a la normativa de contraseñas del Gobierno de Canarias y, tienen un periodo de validez de 120 días. Trascurrido dicho periodo sin que el usuario haya modificado su contraseña, queda expirada, no permitiendo el acceso al sistema mediante su uso. En dicho caso, o ante el olvido de la contraseña vigente, es necesario recuperar la contraseña haciendo uso de los métodos de recuperación. En diciembre de 2015, implementaron los mecanismos de recuperación de contraseñas consistentes en el envío de un código de verificación a un número de teléfono o correo electrónico alternativos proporcionados por el propio usuario. Estos mecanismos, se clasifican del tipo "algo que se tiene", siendo su nivel de seguridad superior a los mecanismos clásicos del tipo "algo que se sabe" como es el sistema de recuperación basado en preguntas/respuesta, anteriormente utilizado y actualmente inhabilitado en base a los estudios existentes al respecto en los que se evidencia que se trata de un método poco seguro. Dicho mecanismo se mantuvo hasta septiembre del 2017 y los empleados públicos del Gobierno de Canarias y usuarios externos que han facilitado alguno de los datos, teléfono móvil y/o correo electrónico, han sido 70.503, lo que representa el 96% del total de usuarios. Se adjunta “Normativa de contraseñas del Gobierno de Canarias”, de fecha 26 de agosto de
- Para hacer uso de los nuevos mecanismos de recuperación, completamente opcionales, los usuarios deben aportar un número de teléfono y/o correo electrónico alternativo al corporativo con objeto de recibir en él el código de verificación que les daría acceso nuevamente al sistema en caso de caducidad u olvido de la contraseña. Como alternativa a estos mecanismos, los usuarios tienen la opción de recuperar su contraseña identificándose por medio de un certificado digital personal válido emitido por la Fábrica Nacional de Moneda y Timbre o por medio del DNI electrónico. Por lo que los usuarios no están obligados a facilitar sus datos personales para recuperar su contraseña, siendo en todo caso, un mecanismo opcional puesto a disposición de los usuarios. Dichos procesos de recuperación de contraseñas y los mecanismos disponibles C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 para ello están descritos en la web de CiberCentro, el centro integral de gestión de servicios telemáticos del Gobierno de Canarias, en la intranet, accesible para todos los usuarios del Gobierno desde la red interna, según consta en impresión de pantalla aportada. Con respecto a los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/1999, en el formulario electrónico de recogida de los datos de recuperación (correo y/o teléfono), en el aparte inferior de la pantalla, se informa del fichero en el que se incluirán los datos, de su responsable, de la finalidad del mismo, y de cómo y ante quién se pueden ejercer los derechos de acceso, rectificación, cancelación y oposición. También, figura el texto “La solicitud de su nº de teléfono móvil/correo electrónico externo se realiza para que, en caso de olvido total de la contraseña y preguntas de autenticación, sea posible enviarle por SMS/Correo electrónico una clave temporal. No disponer de este dato podría implicar que ante un eventual olvido de contraseña tuviera que acreditarse presencialmente en la sede de la Dirección General de Telecomunicaciones y Nuevas Tecnologías (o aquella con las que se establezca un acuerdo) para obtener dicha clave temporal”. Por otra parte, figura una opción/pestaña “Preguntas Frecuentes”. Se adjunta impresión de pantalla “Recuperación de contraseña”. La finalidad de los datos de teléfono móvil y/o dirección de correo electrónico particular facilitados por los trabajadores es garantizar la seguridad de las cuentas corporativas de los usuarios para el acceso a los Sistemas de Información y, en concreto, los siguientes: Envío del código de verificación para recuperar la contraseña de la cuenta de usuario corporativa a solicitud del propio usuario cuando le haya expirado u olvidado. Envío de un código de verificación como mecanismo de segundo factor de autenticación para verificar la identidad del usuario ante inicios de sesión que el sistema de autenticación por riesgo pueda identificar como sospechoso Protección del acceso no autorizado a la cuenta corporativa. Envío de alertas de posibles amenazas contra la seguridad de la cuenta corporativa o de cualquier actividad inusual relacionada con la misma. Confirmación del nombre de usuario corporativo. Verificación de la propiedad de la cuenta corporativa FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III La denuncia de la Central Sindical de FESP-UGT se concreta en que el procedimiento para acreditar la identidad del funcionario, con objeto de activación/recuperación de las claves de acceso al aplicativo Atlante es facilitar el número de teléfono móvil o la dirección de correo electrónico personal; añaden, que es una obligación facilitar dichos datos personales, si se quiere poder realizar las tareas encomendadas en los órganos judiciales por parte de los funcionarios de justicia destinados en el Gobierno de Canarias, y que no son informados de modo expreso, preciso e inequívoco tal como estipula el artículo 5 de la LOPD. En primer lugar y referido a la justificación de facilitar el número de teléfono móvil o la dirección de correo electrónico personal con objeto de activación/recuperación de las claves de acceso al aplicativo Atlante, la Consejería estableció, en diciembre de 2015, los mecanismos de recuperación de contraseñas consistentes en el envío de un código de verificación a un número de teléfono o correo electrónico alternativos proporcionados por el propio usuario. Estos mecanismos, se clasifican del tipo "algo que se tiene", siendo su nivel de seguridad superior a los mecanismos clásicos del tipo "algo que se sabe" como es el sistema de recuperación basado en preguntas/respuesta, anteriormente utilizado y actualmente inhabilitado en base a los estudios existentes al respecto en los que se evidencia que se trata de un método poco seguro. Dicho mecanismo se mantuvo hasta septiembre del 2017 y los empleados públicos del Gobierno de Canarias y usuarios externos que han facilitado alguno de los datos, teléfono móvil y/o correo electrónico, han sido 70.503, lo que representa el 96% del total de usuarios. Para hacer uso de los nuevos mecanismos de recuperación, completamente opcionales, los usuarios deben aportar un número de teléfono y/o correo electrónico alternativo al corporativo con objeto de recibir en él el código de verificación que les daría acceso nuevamente al sistema en caso de caducidad u olvido de la contraseña. Como alternativa a estos mecanismos, los usuarios tienen la opción de recuperar su contraseña identificándose por medio de un certificado digital personal válido emitido por la Fábrica Nacional de Moneda y Timbre o por medio del DNI electrónico. Por lo que los usuarios no están obligados a facilitar sus datos personales para recuperar su contraseña, siendo en todo caso, un mecanismo opcional puesto a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 disposición de los usuarios. En relación al incumplimiento de lo establecido en el artículo 5 de la LOPD, el apartado 5.1 ndica: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. En el formulario electrónico de recogida de los datos de recuperación (correo y/o teléfono), en la parte inferior de la pantalla, se informa del fichero en el que se incluirán los datos, de su responsable, de la finalidad del mismo, y de cómo y ante quién se pueden ejercer los derechos de acceso, rectificación, cancelación y oposición. También, figura el texto “La solicitud de su nº de teléfono móvil/correo electrónico externo se realiza para que, en caso de olvido total de la contraseña y preguntas de autenticación, sea posible enviarle por SMS/Correo electrónico una clave temporal. No disponer de este dato podría implicar que ante un eventual olvido de contraseña tuviera que acreditarse presencialmente en la sede de la Dirección General de Telecomunicaciones y Nuevas Tecnologías (o aquella con las que se establezca un acuerdo) para obtener dicha clave temporal”. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la CONSEJERIA DE PRESIDENCIA, JUSTICIA E IGUALDAD y a la CENTRAL SINDICAL FESP-UGT SECTOR JUSTICIA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es