E-07211-2019

1/4 Procedimiento Nº: E/07211/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de violación de seguridad de datos personales (en adelante quiebra de seguridad) remitido por AYUNTAMIENTO DE BENIDORM en el que informan a la Agencia Española de Protección de Datos que desde el negociado de Personal del Ayuntamiento de Benidorm se envió un e-mail a la lista de distribución de los empleados municipales (tablon@benidorm.org) con unos ficheros Excel en los que se recogían los datos de todos los empleados públicos que tienen derecho a ejercer el voto en las elecciones municipales. La información contenida en dichos ficheros es: Nº Empleado; Apellidos y Nombre; Fecha de nacimiento; Sexo; DNI; Categoría profesional; Antigüedad; Situación de activo y Convenio. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de quiebra: 24 de abril de 2019 ENTIDADES INVESTIGADAS AYUNTAMIENTO DE BENIDORM con NIF P0303100B, Plaza SS.MM. Los Reyes de España, 1 – 03501 Benidorm, Alicante RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 24 de abril de 2019 tiene entrada en esta Agencia un informe remitido y elaborado por el AYUNTAMIENTO DE BENIDORM en el que se ponen de manifiesto los siguientes hechos: - El jueves 18 de abril de 2019 a las 8:37 y 8:46 horas, desde el negociado de Personal del Ayuntamiento de Benidorm se envió un e-mail a la lista de distribución de los empleados municipales (tablon@benidorm.org) con unos ficheros Excel en los que se recogían los datos de todos los empleados públicos que tienen derecho a ejercer el voto en las elecciones municipales, con los siguientes campos de información: Nº Empleado; Apellidos y Nombre; Nacimiento; Sexo; DNI; Categoría; Antigüedad; Activo; Convenio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 - Durante la mañana del 18 de abril de 2019, el Jefe del departamento de informática recibió llamadas del Secretario General, Letrado municipal, y del Jefe de Personal, interesándose por las medidas que a nivel técnico pudieran ser adoptadas por el Ayuntamiento de Benidorm para evitar que el mensaje fuese leído por los trabajadores municipales. Se les informo que el “tablón” realmente es una lista de distribución y que una vez emitidos los correos, ya no se pueden borrar porque se encuentran en los lectores clientes de e-mail de los usuarios. A las 12:12 horas del mismo día se envió al tablón (lista de distribución de los empleados municipales (tablon@benidorm.org)) el siguiente mensaje: “En el día de hoy se ha remitido erróneamente a través del tablón municipal los censos de los colegios electorales de funcionarios, de técnicos y administrativos, de especialistas y no cualificados. En los referidos listados constan datos confidenciales de los empleados municipales y por consiguiente deberán ser destruidos inmediatamente por cada uno de los trabajadores que haya recibido dicho correo.” A las 12:26 horas del mismo día se envía un correo con los ficheros formato Excel adjuntos, en los que figura el censo de trabajadores únicamente con el nombre y apellidos. A las 15:08 horas del mismo día se notifica oficialmente al Delegado de Protección de Datos el incidente. - El número de afectados es de 800 empleados - Riesgos detectados: Acceso indebido por empleados públicos a datos de carácter personal de otros empleados públicos del Ayuntamiento de Benidorm. - Medidas adoptadas: Se ha solicitado con carácter inmediato a través del mismo medio difusor de los datos de carácter personal (tablon@benidorm.org) la destrucción de estos. Con fecha 11 de septiembre de 2019 se solicita por la inspección de datos al Ayuntamiento de Benidorm información y documentación adicional en relación con la incidencia comunicada, teniendo entrada con fecha 26 de septiembre de 2019 escrito de respuesta en el que comunican lo siguiente: - El Ayuntamiento dispone de un protocolo de actuación y notificación ante brechas de seguridad. Aportan copia de este. - Aportan copia del análisis de riesgos efectuado en los tratamientos de datos de carácter personal que se llevan a cabo y aportan copia de los informes de los análisis de riesgos y valoración de los activos del Ayuntamiento. - Respecto a la posible utilización de los datos personales obtenidos a través de la brecha por terceros, los destinatarios eran empleados públicos a los que se les solicitó en calidad de tal, con efecto inmediato, la eliminación de la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha confidencialidad por el acceso, a través del envío de un correo electrónico a la lista de distribución de los empleados municipales (tablon@benidorm.org) con unos ficheros Excel en los que se recogían los datos excesivos de todos los empleados públicos que tienen derecho a ejercer el voto en las elecciones municipales. No obstante, también consta que el AYUNTAMIENTO DE BENIDORM, a través del servicio de Informática, disponía de medidas técnicas y organizativas para afrontar un incidente como el ahora analizado, lo que ha permitido la detección, identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante el mismo al objeto de notificar y minimizar el impacto e implementar las medias razonables oportunas para evitar que se repita en el futuro a través de la puesta en marcha de un plan de actuación previamente definido por las figuras implicadas del responsable del tratamiento, entre las que se encuentra el Delegado de Protección de Datos. También debe valorase la adopción de medidas técnicas y de gestión, como es informar de inmediato a los destinatarios la destrucción de los datos adjuntos del email recibido al objeto de minimizar el impacto. El informe final tras el seguimiento y cierre sobre la brecha y su impacto es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos futuros. El uso de esta información servirá para prevenir la reiteración del impacto de una brecha. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento [ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE BENIDORM con NIF P0303100B, y con domicilio en Plaza SS.MM. Los Reyes de España, 1 – 03501 Benidorm, Alicante De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es