1/5 Procedimiento Nº: E/04394/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 26 de abril de 2019 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación como consecuencia de los hechos de los que ha tenido conocimiento la Inspección de Datos, sobre la publicación del del censo de la Federación Canaria de Montañismo (FCM) del año 2011 en una web de acceso público a través de buscadores. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Federacíón Canaria de Montañismo con NIF G38369583 y con domicilio en C/ Obispo Rabadán nº 33, Bajo - 35003 LAS PALMAS DE GRAN CANARIA (LAS PALMAS) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1 Con fecha 7 de abril de 2019 se verifica por la inspección de datos que en una determinada la dirección de internet figura publicado una relación que contiene aproximadamente 480 líneas con datos de carácter personal que incluyen DNI, nombre y apellidos, y dos columnas en blanco con el título “1º año federado” y “2º año federado” respectivamente, relativos al censo electoral de la FCM de
- Con fecha 24 de julio de 2019 la Inspección de Datos requiere información a la FCM en relación con la lista publicada en la dirección de internet teniendo entrada con fecha 19 de agosto de 2019 escrito de respuesta de dicha Federación en el que su representante manifiesta lo siguiente: 1.
- La FCM es una entidad asociativa privada, sin ánimo de lucro, y con personalidad jurídica y patrimonio propio e independiente del de sus asociados. Además de sus propias atribuciones, como entidad de base asociativa, ejerce funciones públicas de carácter administrativo como agente colaborador de la Administración Pública de la Comunidad Autónoma de Canarias. La creación y desarrollo de la FCM se ha realizado conforme lo dispuesto en la Ley 8/1997, de 9 de julio, Canaria del Deporte; la Ley 1/2019, de 30 de enero, de la Actividad Física y el Deporte de Canarias; el Decreto del Gobierno de Canarias 51/1992, de 23 de abril, por el que se regula la constitución y funcionamiento de las Federaciones Deportivas Canarias (modificado por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Decreto 119/1999, de 17 de junio); por el Derecho propio de la Comunidad Autónoma de Canarias y por sus estatutos y reglamentos que debidamente aprobados. Dado que la FCM ejerce por disposición legal funciones públicas de carácter administrativo como agente colaborador de la Administración Pública de la Comunidad Autónoma de Canarias, la administración, titular del control del deporte federado, estableció un sistema de participación en los órganos de gobierno y representación de las federaciones deportivas canarias. Así, el Presidente y la Asamblea General son órganos electivos a través de un procedimiento electoral público entre los agentes deportivos. 1.
- El Gobierno de Cananas dictó la Orden de 4 de octubre de 2001, por la que se regulan los procesos electorales en las Federaciones Deportivas Canarias, que determina en su artículo seis el censo electoral: (…)
- Habrá un censo electoral general y uno por cada circunscripción electoral (Isla). (...)
- Se publicarán en las sedes de la Federación Canaria y de las Federaciones Insulares e Interinsulares integradas en aquélla en su caso y durante al menos los 15 días anteriores a la convocatoria de elecciones, un listado aprobado por la Junta de Gobierno de la Federación Canaria, dividido por estamentos, de las personas físicas y jurídicas con derecho a estar incluidos en el censo electoral y de las competiciones o actividades oficiales computables para su elaboración, pudiendo los interesados presentar reclamaciones, que resolverá la Junta de Gobierno. 1.
- La página web de la FCM fue creada en el año
- En el proceso electoral de 2011 toda la documentación precisa fue publicada en papel, en los tablones de anuncios, tanto en la FCM como en las Federaciones Insulares de Montañismo de Gran Canaria y Tenerife, en las oficinas de la Dirección General de Deportes en Las Palmas de Gran Canaria y de la Dirección Territorial de Cultura y Deportes en Santa Cruz de Tenerife, y en las Oficinas Insulares de Educación en el resto de las islas, como se establece normativamente. 1.
- De existir una publicación digitalizada de dicha documentación, a falta de página web por esta Federación en el proceso electoral del año 2011, como hemos dicho, solo pudo producirse, sin que nos conste tal extremo, por la publicación de esta documentación por la Dirección General de Deportes del Gobierno de Canarias en su web oficial (www.deportecanario.com). como determina la Orden de 4 de octubre de 2001, por la que se regulan los procesos electorales en las Federaciones Deportivas Canarias. 1.
- Confirman que, según sus bases de datos de federados, los datos que obran en tal documento en formato digital (pdf) se corresponden con una parte del censo electoral de la FCM para 2011, la de los federados por la circunscripción de la Isla de Tenerife en la sección Deportistas, con derecho a constar en el censo electoral por cumplir los requisitos exigidos por la normativa electoral de aplicación. 1.
- Los datos obrantes en dicho documento digital se contraen a los datos aportados por los en él reseñados a la FCM al momento de gestionar su licencia deportiva oficial, legalmente preceptivos para el ejercicio de todas las cuestiones de carácter público ínsitas en la modalidad deportiva de esta FCM. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 1.
- La FCM nunca ha tenido relación alguna con el titular de la página web en la que ha sido publicado el censo de la FCM de
- 1.
- La FCM no había tenido conocimiento previo de esta publicación ni de dicha página web. Consecuentemente con lo puesto de manifiesto, se ha ordenado al personal informático y jurídico de esta FCM que soliciten a los titulares de dicha página web la inmediata retirada de dicho documento digital. 1.
- El dominio web en el que se ha publicado el censo 2011 de la FCM está registrado a través de una empresa estadounidense. 1.
- Dicho sitio web tiene por objeto crear una comunidad para compartir documentos y conocimientos en línea. 1.
- Dispone además de un formulario de contacto para comunicar, entre otros, conductas ilegales. 1.
- Con fecha 3 de septiembre de 2019, a través del formulario de contacto con el citado sitio web de origen estadounidense, el subinspector actuante, tras identificarse como miembro de la Autoridad de Control Española de Protección de Datos ha solicitado la cancelación de la publicación del documento, informando además de que dicha publicación vulnera presuntamente la normativa europea de protección de datos de carácter personal, sin que hasta la fecha se haya recibido respuesta a esta petición. 1.
- Con fecha 3 de septiembre de 2019 se solicita información a las Autoridades de Control Europeas respecto al sitio web en cuestión, si tienen o han tenido algún procedimiento y en su caso, las actuaciones realizadas y medios de contacto con el responsable, habiendo trascurrido el plazo dado sin haber obtenido respuesta. 1.
- Con fecha 2 de octubre de 2019 se ha verificado por la Inspección de Datos que no está accesible el enlace al citado sitio web. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha confidencialidad por el acceso indebido a través de la aplicación de consulta al censo 2011 de la FCM. Durante el tiempo de exposición pública del censo 2011 en formato papel en el tablón de anuncios, no estaba operativa la web de la FCM sino que la publicación tuvo lugar desde la web de Dirección General de Deportes del Gobierno de Canarias en su web oficial. En el presente caso, se ha investigado que el sitio web desde el que se publica el censo de la FCM de 2011 tiene su origen en una dirección IP de Estados Unidos de América (USA). Dado el tiempo transcurrido no ha sido posible recuperar todos los accesos por lo que se desconoce el número de descargas efectuadas y su ubicación. No obstante, si se ha podido conocer la dirección IP de la descarga procedente de USA que corresponde con el sitio web que se denuncia. Dada la extraterritorialidad (fuera de la Unión Europea) del sujeto supuestamente infractor (USA) se ha intentado contactar con el titular de la dirección IP a través de la cual se produjo la descarga del censo 2011 de la FCM, sin resultados. No constan denuncias similares en el ámbito de la Unión Europea. No obstante, se debe señalar que la FCM conocida la publicación en internet del censo 2011 de afiliados, disponía de medidas técnicas y organizativas para afrontar un incidente como el ahora analizado, lo que ha permitido la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma para minimizar el impacto e implementar las medias razonables oportunas para evitar que se repita en el futuro a través de la puesta en marcha de un plan de actuación previamente definido por las figuras implicadas del responsable del tratamiento, tal y como arriba se describe. El informe final tras el seguimiento y cierre sobre la brecha y su impacto es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos futuros. El uso de esta información servirá para prevenir la reiteración del impacto de una brecha III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 SEGUNDO: NOTIFICAR la presente resolución a Federacíón Canaria de Montañismo con NIF G38369583 y con domicilio en C/ Obispo Rabadán nº 33, Bajo - 35003 LAS PALMAS DE GRAN CANARIA (LAS PALMAS). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es