E-03789-2014

1/5 Expediente Nº: E/03789/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONSEJERÍA DE EMPLEO, TURISMO Y CULTURA DE LA COMUNIDAD DE MADRID, en virtud de denuncia presentada por Doña A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de mayo de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña A.A.A., en el que declara lo siguiente: “La Comunidad de Madrid dispone de un portal de empleo para que las personas inscritas como demandantes de empleo puedan realizar diversos trámites por Internet. Para darse de alta en dicho portal, en teoría, hay que conocer los datos personales, pero, en realidad sólo con el NIF se puede dar de alta a otra persona rellenar el resto de los campos con cualquier dato inventado (fecha de nacimiento, nombre, apellidos y domicilio) y elegir una contraseña. Una vez que se da de aIta con datos ficticios, introduciendo el NIF y esa contraseña se puede acceder a todos los datos auténticos correspondientes a ese NIF. Es decir, con sólo conocer el NIF de una persona que no esté dada de alta previamente en el portal de empleo se puede acceder a todos los datos personales y laborales de ella los parece claro que esto choca directamente con la Ley Orgánica de Protección de Datos de Carácter Personal, pero no sólo eso, ya que entre las persona demandantes de empleo se encuentran, como es obvio, víctimas de violencia de género que deberían contar con medidas de seguridad de nivel alto para el tratamiento de sus datos. Sin embargo, el método de acceso a los datos de estas personas es el mismo que el descrito anteriormente. Hemos intentado poner estos hechos en conocimiento de las personas responsables de dicho portal (Consejera, Viceconsejera y Directora General de Empleo e la Comunidad de Madrid) como ya lo hicimos el año pasado cuando encontramos problemas muy similares de protección de datos pero, hasta el momento o hemos obtenido ninguna respuesta. Consideramos de la mayor urgencia la resolución de este grave problema, por ello solicitamos la intervención de la Agencia Española de Protección de Datos.” Se adjunta a la denuncia capturas de pantalla del procedimiento de alta y consulta de datos en el Portal de Empleo de la Comunidad de Madrid, en el que se da de alta un usuario. En las imágenes adjuntas a la denuncia el NIF empleado para realizar la prueba se encuentra oculto, se utiliza como fecha de nacimiento el 1 de enero de 1991 y como nombre de usuario “Portal Empleo Inseguro”. En la captura de pantalla del formulario de registro no se muestra que se hayan introducido datos en varios campos marcados como obligatorios, como “Nombre Vía” o “Número Vía”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El inspector actuante realizó cuatro pruebas sobre el Portal de Empleo de la Comunidad de Madrid con objeto de reproducir los hechos denunciados y cuyo resultado se recoge en la oportuna diligencia. 2. En las primeras dos pruebas se utilizaron NIF y nombres reales de personas que aparecían como interesadas en actividades laborales en el Boletín Oficial de la Comunidad de Madrid. 3. El resultado del intento de inscripción utilizando dichos NIF tuvo como resultado el siguiente mensaje desde dicho portal: Información sobre su petición Los datos incorporados en este formulario no se corresponden con los facilitados por usted a su oficina de empleo. Por favor, póngase en contacto con su oficina de empleo. 4. A su vez se comprobó, tratando de acceder como usuario registrado, que los intentos de registro habían fracasado en los dos casos anteriores. Al no poder entrar en el portal, no se pudo consultar información alguna referida a los anteriores NIF. 5. En la tercera y cuarta prueba se intentó registrar otros dos usuarios más, en este caso utilizando números de NIF elegidos al azar. Para el cálculo de la letra del NIF se utilizó una herramienta de generación de NIF correctos. 6. En la tercera prueba se obtuvo el mismo resultado que en los dos casos anteriores, no pudiendo completarse el procedimiento de registro. 7. En la cuarta y última prueba de los intentos de registro se obtuvo el siguiente mensaje: Información sobre su petición El trabajador ya está registrado. Acceda a través de Mi portal. 8. Por lo tanto, tampoco en este caso se pudo acceder a los datos almacenados sobre dicho usuario. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Carácter Personal (en lo sucesivo LOPD). II En relación al cumplimiento de las medidas de seguridad por parte de la CONSEJERÍA DE EMPLEO, TURISMO Y CULTURA DE LA COMUNIDAD DE MADRID, el artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El citado artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, con la finalidad de evitar, entre otros aspectos, el acceso no autorizado por parte de ningún tercero. Sintetizando las previsiones legales citadas puede afirmarse que: - Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. - Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD. - La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se establecen en normas reglamentarias, de modo que se eviten accesos no autorizados. - El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
2. h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece de manera pormenorizada las medidas de seguridad que han de tener incorporadas en sus ficheros los responsables del tratamiento de datos personales. El artículo 93 de dicho Reglamento regula la identificación y autenticación en los ficheros con nivel de seguridad medio, indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 “Artículo 93 Identificación y autenticación 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” Tras las comprobaciones efectuadas por la Subdirección General de Inspección de Datos, no se han acreditado los hechos denunciados, sino que el sistema sí tiene mecanismos para identificar a la persona que accede al Portal de Empleo, no siendo posible ese acceso conociendo sólo el número del NIF. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la CONSEJERÍA DE EMPLEO, TURISMO Y CULTURA DE LA COMUNIDAD DE MADRID y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es