E-03819-2019

1/6 Procedimiento Nº: E/03819/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Se inician actuaciones de inspección como consecuencia de la reclamación interpuesta por A.A.A., B.B.B., C.C.C. (en adelante, el reclamante) tiene entrada con fecha 3 de abril de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE CALPE por la publicación durante tiempo excesivo de los datos de empadronamiento a fecha 2016, procedente del Instituto Nacional de Estadística (en adelante INE) a efectos del sorteo para miembros del Tribunal del Jurado conforme dispone el art 13.2 de la Ley Orgánica 5/1995, de 22 de mayo, y que se encuentran en la actualidad alojados en un servidor de internet expuestos al público con opción de descarga. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de entrada de las denuncias: 3 y 4 de abril de 2019 ENTIDADES INVESTIGADAS AYUNTAMIENTO DE CALPE con NIF P0304700H con domicilio en AVDA DE IFACH 16 - 03710 CALPE/CALP (ALICANTE), RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1 El representante del INE, a requerimiento de la inspección de datos, manifiesta en relación con los hechos denunciados, lo siguiente: 1.

1. Los datos se corresponden con la lista del censo vigente a la fecha del sorteo del año 2016, que según el artículo 13.2 de la Ley Orgánica 5/1995, de 22 de mayo, del Tribunal del Jurado, debe ser remitida para su anticipada exposición durante siete días a los respectivos Ayuntamientos. 1.
2. El censo vigente a 2016 para el sorteo de miembros del Tribunal del Jurado se puso a disposición de todos los ayuntamientos a través del portal IDA_CELEC asociado a una aplicación de consulta, de modo que cualquier persona que consulte en el ayuntamiento le pueden informar si está incluido en el censo vigente o no. 1.
3. La exposición del censo 2016 se realizó en el mismo portal y a través de la aplicación diseñada para dar cumplimiento a la Ley del Jurado, incluyéndose C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 la opción de obtener el listado del municipio en formato pdf. Este listado debió estar expuesto al público durante siete días, no más. 1.
4. Ni la Ley del Jurado ni la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, que regula la formación del censo electoral, establecen los medios por los que debe llevarse a la práctica la exposición al público en los Ayuntamientos por lo que la misma debe llevarse a cabo de acuerdo a la normativa general aplicable, correspondiendo a los Ayuntamientos, como Organismos colaboradores de la Oficina del Censo Electoral, velar por su cumplimiento. Todo ello sin perjuicio de las cautelas que han sido introducidas por la disposición adicional séptima, apartado 1, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en cuanto a la limitación de la identificación de los interesados en la publicación de un acto administrativo.
5. El representante del AYUNTAMIENTO DE CALPE, a requerimiento de la inspección de datos, manifiesta en relación con los hechos denunciados, lo siguiente: 2.
6. Los datos que aparecen publicados en la página web en cuestión, se corresponden con el censo electoral remitido por la Oficina del Censo Electoral, a través del Delegado Provincial, a este Ayuntamiento, con fecha 8 de septiembre de 2016, y Registro de Entrada n°
7. 2.
8. Dichos datos fueron objeto de exposición pública en el Tablón digital de la página web del Ayuntamiento de Calpe, en cumplimiento de lo prescrito por el artículo 13.2 de la Ley Orgánica 5/1995, de 22 de mayo, del Tribunal del Jurado. La publicación de los datos en el Tablón digital de la página web del Ayuntamiento de Calp, tuvo lugar en fecha 9 de septiembre de 2016, habiéndose seleccionado, como fecha de "despublicación" de dichos datos, el 19 de septiembre de ese mismo año; sin embargo, debido a un mal funcionamiento de esta herramienta, la publicación siguió vigente hasta el 21 de septiembre de 2018, fecha en la que se procedió a la eliminación del edicto del Tablón digital. El acceso a la información contenida en el Tablón digital de la página web, al igual que en el tablón de anuncios o edictos físico, es libre, no requiriendo, por tanto, identificación previa. 2.
9. Este censo electoral ha sido objeto de publicidad por terceros, cuya identidad se desconoce, quienes, en principio, tras descargarlo del Tablón digital de la página web del Ayuntamiento de Calpe, procedieron a su difusión mediante su publicación en la página web en cuestión. Por lo que respecta a la identificación de los usuarios que, de un lado, han accedido a dicha lista, y, de otro lado, han descargado la misma, de acuerdo con el funcionamiento del Tablón digital, el acceso a los edictos requiere de la previa descarga del archivo en que se concrete el mismo y por los mismos usuarios. No obstante, el registro de accesos y descargas no almacena datos durante tanto tiempo, por lo que no es posible conocer el número de accesos y la dirección IP de cada uno de ellos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 2.
10. Este Ayuntamiento tuvo conocimiento de esos hechos, con ocasión de la noticia publicada en el periódico digital "***PERIÓDICO", con fecha ***FECHA.1; además, además aquella dirección web ha sido objeto de difusión entre la población calpina, a través de una aplicación móvil de mensajería instantánea, desconociéndose el origen de la cadena de difusión. 2.
11. Tan pronto como se tuvo conocimiento de la publicación del citado censo 2016, la Primer Teniente de Alcalde del Ayuntamiento de Calpe se personó en el Cuartel de la Guardia Civil de Calpe a efectos de comunicar los hechos que se investigan, formulando denuncia de fecha 28 de marzo de 2019, cuya copia aportan. 2.
12. Ante los hechos acontecidos, y a fin de evitar nuevas situaciones análogas a la que nos ocupa, por parte de esa entidad se han tomado medidas al respecto, como publicar únicamente el aviso de que el censo está disponible para su consulta.
13. El dominio en el que se ha publicado el censo 2016 está registrado a través de una empresa estadounidense. Dicho dominio es una página web que tiene por objeto crear una comunidad para compartir documentos y conocimientos en línea y dispone de un formulario de contacto para comunicar, entre otros, conductas ilegales. Con fecha 29 de mayo de 2019, a través del formulario de contacto el subinspector actuante, tras identificarse como miembro de la Autoridad de Control Española de Protección de Datos ha solicitado la cancelación de la publicación del documento, informando además de que dicha publicación vulnera presuntamente la normativa europea de protección de datos de carácter personal, sin que hasta la fecha se haya recibido respuesta a esta petición. Se ha verificado por la inspección de datos que el día 25 de junio de 2019 continuaba estando accesible en la dirección de internet aportada por el denunciante, un listado de datos personales (nombre, apellidos, fecha de nacimiento y DNI) de aproximadamente 4950 personas, Con fecha 3 de septiembre de 2019 se solicita información a las Autoridades de Control europeas respecto al sitio web en cuestión si tienen o han tenido algún procedimiento similar y en su caso, las actuaciones realizadas y medios de contacto con el responsable supuestamente ubicado en Estados Unidos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha confidencialidad por el acceso extemporáneo a través de la aplicación de consulta al censo 2016 facilitado por el INE a los efectos del art 13.2 de la LO 5/1995, de Tribunal del Jurado. En dicha norma, se limita el tiempo de exposición pública del censo a los citados efectos a 7 días (a contar desde el 7 de septiembre de 2016) mientras que, en el presente caso, por error del aplicativo estuvo expuesto al menos hasta el 25 de junio de 2019, permitiendo extemporáneamente el acceso público a los datos personales. Durante el tiempo legal de exposición pública del censo 2016, el aplicativo permitía la descarga del censo en formato PDF. Lo mismo ocurrió durante el tiempo en exceso en que el censo estuvo expuesto. En el presente caso, se ha investigado que, bien durante los 7 días iniciales o durante el tiempo en exceso, desde una dirección IP ubicada en Estados Unidos de América (USA) se descargó el censo 2016 para posteriormente publicarlo en su sitio web. Dado el tiempo transcurrido no ha sido posible recuperar todos los accesos por lo que se desconoce el número de descargas efectuadas y su ubicación. No obstante, si se ha podido conocer la dirección IP de la descarga procedente de USA que corresponde con el sitio web que se denuncia. Dada la extraterritorialidad (fuera de la Unión Europea) el sujeto supuestamente infractor (USA) se ha intentado contactar con el titular de la dirección IP a través de la cual se produjo la descarga del censo 2016, sin resultados. No constan denuncias similares en el ámbito de la Unión Europea. No obstante, se debe señalar que el Ayuntamiento de Calpe, conocida la publicación en internet del censo 2016, a través del servicio de Informática municipal disponía de medidas técnicas y organizativas para afrontar un incidente como el ahora analizado, lo que ha permitido tras una reclamación de tres ciudadanos en 2019, la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar la brecha, comunicar indirectamente a los posibles afectados, minimizar el impacto e implementar las medias razonables oportunas para evitar que se repita en el futuro a través de la puesta en marcha de un plan de actuación previamente definido por las figuras implicadas del responsable del tratamiento, tal y como arriba se describe, incluido acciones procesales a través de la denuncia ante la Guardia Civil contra el titular de la dirección IP del sitio web que publicó el censo
14. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 También debe valorase la adopción de medidas técnicas y de gestión, como es la contratación de una auditoria a todos los sistemas de información similares, al objeto de comprobar y en su caso mejorar la calidad de las aplicaciones de gestión de datos personales. El informe final tras el seguimiento y cierre sobre la brecha y su impacto es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos futuros. El uso de esta información servirá para prevenir la reiteración del impacto de una brecha. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a:  AYUNTAMIENTO DE CALPE con NIF P0304700H y con domicilio en AVDA DE IFACH 16, 03710 CALPE/CALP (ALICANTE).  INSTITUTO NACIONAL DE ESTADÍSTICA, con NIF Q2826039F y con domicilio en C/ Poeta Joan Maragall 51, Planta 2º, 28020 Madrid.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es