1/5 Procedimiento Nº: E/05324/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción en la Agencia Española de Protección de Datos de un escrito de notificación de brecha de seguridad de datos personales remitido por el Ayuntamiento de Benidorm, en calidad de responsable del tratamiento, en el que notifica que, en fecha 8 de junio de 2020, recibieron un correo electrónico de la Comunidad Valenciana informando del extravío de un pendrive que contiene datos de carácter personal de los vecinos de Benidorm. SEGUNDO: A la vista de la citada notificación de quiebra de seguridad de los datos personales, la Subdirección General de Inspección de Datos procede a la realización de actuaciones previas de investigación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES: Fecha de notificación de la brecha de seguridad: 12 de junio de 2020 ENTIDADES INVESTIGADAS: Ayuntamiento de Benidorm con NIF P0303100B y con domicilio en Plaza SS.MM. Los Reyes de España, CP: 03501, Benidorm (Alicante). RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN: En fecha 24 de junio de 2020 se solicita información al Ayuntamiento de Benidorm, de la respuesta recibida se desprende lo siguiente: Respecto de la cronología de los hechos: En fecha 8 de junio de 2020, el Jefe del Servicio de Coordinación y Documentación Consell Jurídic Consultiu de la Comunitat Valenciana, mediante correo electrónico con asunto “No envío de pendrive ni documentación de expediente”, comunica al área de Tesorería del Ayuntamiento de Benidorm que se ha recibido en papel exclusivamente el oficio remitido, pero al mismo no se acompañaba el expediente completo, ni en soporte papel, ni en pendrive. Desde el área de Tesorería del Ayuntamiento de Benidorm se procede a contestar indicando que el correo certificado con acuse de recibo NA00029544513 incluía tanto el oficio como un pendrive negro en el que constaba el índice de todo el expediente administrativo y toda la documentación de este. Además, muestran su preocupación debido a que, según manifiesta, el pendrive contiene multitud de datos personales. El martes 9 de junio de 2020, el jefe del Servicio de Coordinación y Documentación Consell Jurídic Consultiu de la Comunitat Valenciana contesta reiterando que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 mencionado pendrive no constaba en el momento de la apertura del sobre y adjunta una fotografía en la que se aprecia el sobre que supuestamente contenía el pendrive abierto por un lateral. El jueves 11 de junio de 2020, desde el área de Tesorería del Ayuntamiento de Benidorm se procede con la comunicación al DPD de los hechos. Respecto de las causas que hicieron posible la brecha: El envío fue efectuado a través de la Sociedad Estatal Correos y Telégrafos, S.A., S.M.E., mediante correo certificado con acuse de recibo NA00029544513 desde el área de Tesorería del Ayuntamiento. La cadena de custodia procedió como sigue: - Se deja el correo en el Departamento de Registro del Ayuntamiento al responsable de la valija encargado de ir a Correos el cual se dirige a la Oficina de Correos. - Correos procede con el envío hasta su recepción por la Comunitat Valenciana. Consultado el envío en la web Sociedad Estatal Correos y Telégrafos, S.A., S.M.E., aprecian que no hay registrados incidentes durante el envío. La violación de seguridad notificada ha estado provocada por:
- a)Ausencia de encriptación del dispositivo extraviado.
- b)Desconocimiento del momento en el que la misma tuvo lugar. Medidas de minimización del impacto de la brecha: Manifiestan que no hay indicios de que el extravío tuviera lugar durante la custodia del Ayuntamiento de Benidorm. No obstante, lo anterior, se va a proceder con formaciones y concienciaciones sobre la materia haciendo hincapié en la obligatoria encriptación de los dispositivos que se utilicen para transportar datos personales. Respecto de los datos afectados: El pendrive contenía los siguientes datos relativos a 240 vecinos de la subzona C de Benidorm: - Datos identificativos: nombre y apellidos, DNI. - Datos de contacto: dirección, número de teléfono, email. - Datos económicos: pagos tributarios (número). Se desconoce si ha tenido lugar un uso indebido de los datos por parte de terceros. A la luz de las circunstancias, no se considera necesario comunicar la brecha a los interesados. Respecto de las medidas de seguridad implantadas con anterioridad la brecha: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Aportan copia de Copia del Registro de Actividad de los tratamientos. Manifiestan que disponen de la herramienta de gestión Sandas GRC, de la cual han extraído los informes relativos al análisis de riesgos y valoración de los activos (tratamientos) existentes en el Ayuntamiento de Benidorm; Aportan copia del segundo de los documentos. Aportan copia del documento “PROTOCOLO DE NOTIFICACIÓN DE UNA VIOLACIÓN DE SEGURIDAD” que recoge el procedimiento de actuación establecido ante brechas de seguridad, en el que se especifica: Ámbito de aplicación, responsables de la gestión del procedimiento, Procedimiento de notificación a la AEPD, Procedimiento de notificación al interesado. Respecto de las medias implementadas con posterioridad la brecha Formación específica al personal de tesorería y hacienda sobre las particularidades que entrañan la seguridad de la información respecto de las comunicaciones de datos a otros organismos administrativos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad, como consecuencia del extravío de un pendrive que contenía datos de carácter personal de vecinos de Benidorm. De las actuaciones de investigación se desprende que la entidad investigada disponía de medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias. Estas medidas fueron trasladas a las agencias colaboradoras y trabajadores. Asimismo, disponía de protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido la identificación, análisis y clasificación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, comunicar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y las agencias colaboradoras en calidad de encargadas, así como el Delegado de Protección de Datos. En consecuencia, la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente, procediendo a reforzar la formación específica del personal sobre las particularidades que entraña la seguridad de la información respecto de las comunicaciones de datos a otros organismos, haciendo hincapié en la obligatoria encriptación de los dispositivos que se utilicen para transportar datos personales. No constan reclamaciones ante la AEPD por parte de los afectados. Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual. III A la vista de las actuaciones practicadas, se ha acreditado que la actuación del Ayuntamiento de Benidorm como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al Ayuntamiento de Benidorm con NIF P0303100B y con domicilio en Plaza SS.MM. Los Reyes de España, CP: 03501, Benidorm (Alicante). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es