E-08050-2012

1/11 Expediente Nº: E/08050/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la DIRECCIÓN GENERAL DE TRÁFICO -DGT- y teniendo como base los siguientes, ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos -AEPD- ha realizado en los últimos años diversas actuaciones relacionadas con el fichero denominado “Registro de Vehículos” del que es responsable la DGT, en virtud de las denuncias formuladas por los ciudadanos o bien de oficio a instancias del Director relacionadas con los tratamientos y publicidad de dicho Registro y, en concreto, se han realizado diversas inspecciones en la DGT, en una Gestoría Administrativa, en una empresa cuya actividad es la venta de informes de vehículos a través de internet y en la Asociación Española de Leasing y Renting -AELR-. En dichas actuaciones se requirió a distintas entidades información y documentación. SEGUNDO: Concretamente, con fecha 17 de enero de 2013, el Director de la AEPD, resolvió declarar el Archivo del procedimiento de Declaración de Infracción de las Administraciones Públicas -A.P.- abierto a la DGT por accesos irregulares al Registro de Vehículos a través de la página web de la AELR, como consecuencia de una vulnerabilidad del diseño de la propia página web, y <..si bien, no resultó posible apreciar en lo que se refiere a los concretos hechos que dieron lugar a la apertura del procedimiento de A.P. la concurrencia en la conducta de la DGT del requisito de la “culpabilidad” necesario para establecer la imputabilidad>, sí se detectó, a través de la tramitación del procedimiento, la posible existencia de deficiencias en el cumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal -LOPD- que pudieran darse como consecuencia del funcionamiento y publicidad del Registro de Vehículos, por lo que, se acordó la apertura de las presentes actuaciones previas de investigación, E/08050/2012. TERCERO: Con fecha 6 de noviembre de 2013, en el ámbito del procedimiento E/08050/2012, la Subdirección General de Inspección de Datos remitió a la DGT, en uso de las facultades conferidas por el artículo 40 de la LOPD, una solicitud de información en relación a los siguientes aspectos: 1- Qué medidas, en su caso, se han adoptado con objeto de que se acredite el “interés legítimo y directo” al que se refiere el artículo 2 del Real Decreto 2822/1998 por el que se aprueba el Reglamento General de Vehículos, en las solicitudes de Informe de Cargas o de Titularidad del Vehículo que emiten las Jefaturas de Tráfico y remitan la acreditación documental del procedimiento establecido al respecto. 2- Sí han dado instrucciones a las Gestorías Administrativas con objeto de que se acredite el “interés legítimo y directo” en las solicitudes de Informes de Cargas que emiten, ya que la Inspección de Datos ha constatado, en actuaciones anteriores, que tal información no se lleva a cabo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 3- Nos indiquen si la AELR sigue teniendo acceso a la totalidad de la información contenida en el Registro de Vehículos sin ninguna restricción, en caso contrario, acrediten documentalmente el procedimiento establecido con objeto de que los usuarios de la Asociación tengan acceso solamente a los datos de los vehículos cuya titularidad ostentan. 4-Nos indiquen si han elaborado el “Documento de Seguridad” del Registro de Vehículos, al que hace referencia el artículo 88 del Reglamento de desarrollo de la Ley Orgánica 15/1999 -RLOPD- en su caso nos remitan copia del mismo. CUARTO: Con fecha 8 de enero de 2014, la DGT ha comunicado a la Inspección de Datos, en respuesta a las diversas cuestiones planteadas, como consecuencia del funcionamiento y publicidad del Registro de Vehículos, lo siguiente: 1.- En relación con las medidas que se han adoptado con objeto de que se acredite el “interés legítimo y directo”, al que se refiere el artículo 2 del Reglamento General de Vehículos, en las solicitudes de Informe de Cargas o de Titularidad del Vehículo que emiten las Jefaturas de Tráfico.

1. a)Las Jefaturas Provinciales de Tráfico responden a las solicitudes de informe que efectúan presencialmente los ciudadanos, emitiendo el denominado “Informe Telemático del Vehículo”, producido a través de la aplicación denominada INTEVE. Este informe de datos del vehículo es idéntico al que pueden obtener a través de Internet los propios interesados o los gestores administrativos. Añaden que, a juicio del Centro Directivo no se puede hablar estrictamente de “acreditar” el interés previsto en el artículo 2 del Reglamento General de Vehículos, en el sentido de probar la certeza o realidad de dicho interés, sino en el de examinar o valorar si el interés manifestado por los ciudadanos -el motivo de la consulta de los datos del vehículo- cumple las exigencias del citado precepto, en el que se hace referencia a que el registro será público para quienes tengan interés legítimo y directo. Y que con objeto de facilitar la información solicitada sobre un vehículo, el empleado público, tras acceder a la citada aplicación informática INTEVE, encontrará las alternativas predeterminadas, que se ofrecen en el desplegable del apartado “Motivo de la Consulta”, alternativas a las que con mayor frecuencia aluden los solicitantes y que son las siguientes: − “Posible adquisición del vehículo”. − “Certificado de no titularidad del vehículo para otras administraciones y entidades”. − “Investigación de vehículos implicados en siniestro o colisión”. − “Abandono del vehículo en la vía pública”. Y el empleado público de la Jefatura de Tráfico debe seleccionar la opción que corresponda con el motivo expresado y en el caso de un motivo distinto de los anteriores, el funcionario deberá examinar el motivo expresado en la solicitud, con objeto de resolver si ésta debe ser denegada o si por el contrario puede emitirse el informe correspondiente, opción que en el desplegable aparece con el texto: “Revisado por el funcionario que efectúa el trámite”. Por otra parte, la DGT indica que está procediendo a revisar los motivos más comunes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 de petición de informe telemático del vehículos –peticiones a través de internet- con objeto de ampliar los supuestos de causa de petición y de eliminar cualquier posible petición de informe no basado en una causa concreta. También, informa que desde hace tiempo se eliminó el campo DNI entre los datos que constaban en el informe emitido.
2. b)Por parte de la Inspección de Datos se ha analizado el “Manual de INTEVE para Jefaturas” en el que se detalla el procedimiento para la solicitud y emisión del “Informe Telemático del Vehículo”, en cuya Introducción se detalla lo siguiente: “La aplicación INTEVE permite al usuario realizar la consulta sobre la información de un vehículo disponible en el Registro de Vehículos, a partir de su matrícula o de su bastidor, que sustituirá progresivamente (en el año 2014) los informes de antecedentes que expiden las Jefaturas y también el informe que se emite a través de los Colegios de Gestores, además, se permitirá a cualquier ciudadano obtener, a través de internet y en tiempo real, la información técnica y administrativa de un vehículo” . En el citado Manual consta el formato de las pantallas para la solicitud del “Informe Telemático del Vehículo” y en la misma figura un apartado para cumplimentar el NIF/NIE del solicitante (Jefaturas) y el nombre, apellidos y NIF/NIE/CIF (portal de la DGT) y también se indica un apartado para concretar el “Motivo de la Consulta” comprensivo de un desplegable con las alternativas arriba referidas. Así mismo, en el modelo de informe que consta en el Manual figuran datos personales referentes a: titular, cotitulares, filiación, historial de arrendatarios y conductor habitual (nombre y apellidos), así como el domicilio fiscal del vehículo que en el caso de personas físicas suele coincidir con el domicilio personal. 2.- En relación con las instrucciones dadas por la DGT a las Gestorías Administrativas con objeto de que se acredite el “interés legítimo y directo” en las solicitudes de Informes de Cargas que emiten, ya que la Inspección de Datos constató que tal información no se lleva a cabo, la DGT manifiesta lo siguiente: Por parte de la Unidad de Ordenación Normativa se han dado, de manera reiterada las instrucciones correspondientes al Consejo General de Gestores de España, tanto verbalmente como por escrito sobre el modo en que deben facilitarse los informes de los vehículos como los siguientes: - El 11 de febrero de 2011, al tener conocimiento la DGT de que alguna gestoría administrativa vendía informes de vehículos a través de internet, se remitió un correo electrónico al Consejo General de Gestores Administrativos de España requiriendo a la Comisión de Seguimiento de Trámites de Vehículos para que garantizara que las peticiones de informes de vehículos, identificaran al interesado y el poder de representación que éste otorgaba al gestor, además del resto de requisitos. - El 20 de octubre de 2011 se remitió un correo electrónico al Consejo de Gestores al tenerse conocimiento de que determinadas páginas de internet, tales como <www.jefaturasdetrafico.com>, <www.registrodirecto.com> o <www.gestoriadelmotor.com>, ofrecían informes de vehículos. - En el mes de julio de 2013, la DGT implementó en producción el “Informe Telemático del Vehículo” a través de internet y del aplicativo INTEVE, que implica una aplicación distinta de la que están utilizado hasta la fecha que será definitivamente cerrada el 5 de febrero de 2014, que sustituirá y obligara al peticionario a identificar al solicitante del informe y que deja constancia de la Gestoría Administrativa que ha efectuado el trámite. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 3.- Con respecto a las medidas adoptadas por la DGT para impedir que la AELR tenga acceso a la totalidad de la información contenida en Registro de Vehículos sin ninguna restricción y, en su caso, acrediten documentalmente el procedimiento para que los miembros de la misma tengan acceso solamente a los datos de los vehículos de su titularidad, manifiestan lo siguiente:
3. a)“La AELR nunca ha tenido acceso a la totalidad de la información del registro de vehículos, sólo tiene acceso a datos mínimos de personas jurídicas (en ningún caso de personas físicas), en concreto comprueban la vigencia del seguro de los vehículos de su propiedad y titularidad, pero que están siendo utilizados en régimen de arrendamiento financiero por terceros. La DGT da acceso on-line a la información del seguro de los vehículos de su titularidad, pues se trata de un dato público correspondiente a un bien de su propiedad”. La finalidad que persigue la AELR es la de evitar que los vehículos, de los que son propietarios sus asociados, incumplan la normativa sobre responsabilidad civil y seguro en la circulación de vehículos a motor.
4. b)No obstante, es necesario señalar que por parte de la Inspección de Datos, con fecha 24 de febrero de 2012, se comprobó en las instalaciones de la AELR que desde el sitio web de la misma se tiene acceso al Registro de Vehículo a información de la titularidad y del seguro de vehículos que constan en el Registro ya sean personas físicas o jurídicas sus titulares y, en concreto, realizadas seis consultas por el criterio de matrícula se verificó que sus titulares son personas físicas, visualizándose de cada una de ellas la siguiente información: número de bastidor, nombre, apellidos, denominación de la compañía (
5. s)aseguradoras y periodo de cobertura; según consta en el Acta de Inspección. Las citadas actuaciones se iniciaron a instancias de una denuncia formulada por un ciudadano que realizó una consulta, a través del sitio web de la AELR, por el criterio de matrícula y se visualizaron su nombre, apellidos, número de bastidor, denominación de la empresa aseguradora (
6. s)y periodo de cobertura. Por todo ello, se concluyó que, en la citada fecha, desde la AELR se podría tener acceso a los datos de titularidad y de aseguramiento de todos los vehículos que constan en el Registro de Vehículos (62.000.000 de vehículos) sin ningún tipo de restricción, tanto si sus titulares son personas físicas (20.000.000) o jurídicas. Si bien, se señala que desde dicha fecha no consta que se hayan recibido denuncias en tal sentido y que la DGT indica que en la actualidad solamente tiene acceso a los datos de los vehículos de su titularidad. 4.- En relación con la información de si han elaborado el “Documento de Seguridad” del Registro de Vehículos al que hace referencia el artículo 88 del RLOPD, la DGT anexa el documento “MEDIDAS DE SEGURIDAD. REGISTRO DE VEHICULOS”.
7. a)Dado que dicho documento se encuentra incorporado a las actuaciones, a efectos no repetitivos, se relacionan los puntos de que es comprensivo: 1. Propósito del documento. 2. Medidas de Seguridad. 2.1. Ámbito de Aplicación. 2.2 Normas Generales de Seguridad. 2.3 Funciones y Obligaciones del Personal. 2.4 Estructura de los ficheros: Datos identificativos; Datos Técnicos; Indicadores; Domicilio Fiscal del Vehículo; Duplicados; Bajas; Transferencias; ITV; Limitaciones de Disposición; Embargos y Precintos; Seguro; Poseedor; Arrendatario; Conductor Habitual; Autónomo; Tutor; Incidencias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 2.4.1. Sistemas de Información. 2.5 Gestión de Incidencias. 2.6 Copias de Respaldo. 2.7 Tratamientos de soportes. 2.8 Responsable de seguridad. 2.9 Controles Periódicos.
8. b)No obstante, por la Inspección de Datos, en relación con el “Documento de Seguridad” del Registro de Vehículos, al que hace referencia el artículo 88 del Reglamento de desarrollo de la Ley Orgánica 15/1999, aportado por la DGT se han encontrado las siguientes deficiencias que no se encuentran desarrolladas en el mismo: − Las funciones y obligaciones de cada uno de los perfiles de usuarios con acceso a los datos de carácter personal estarán claramente definidas y documentadas en el Documento de Seguridad, según art. 89.1 del Reglamento. − El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento, según art. 89.2 del Reglamento. − El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuario y los accesos autorizados para cada uno de ellos, según art. 91.2 del Reglamento. − No consta las medidas adoptadas que garanticen la correcta identificación y autenticación de los usuarios, de forma inequívoca y personalizada de todo usuario que intente acceder al sistema. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. El Documento de Seguridad establecerá la periodicidad con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenaran de forma ininteligible. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
9. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II Con carácter previo señalar, que de acuerdo con los datos que es comprensivo el fichero del Registro de Vehículos relacionados en el apartado 2.4, punto 4 del Antecedente Cuarto del presente escrito, el fichero contiene datos identificativos de personas físicas al que le es aplicable las normas de la LOPD. La LOPD en su artículo 6, Consentimiento del Afectado”, recoge: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…” El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de la LOPD en su Artículo 10 “Supuestos que legitiman el tratamiento o cesión de los datos”, prevé: “1. Los datos de carácter personal únicamente podrán ser objeto de tratamiento o cesión si el interesado hubiera prestado previamente su consentimiento para ello. 2. No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:
10. a)Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes: El tratamiento o la cesión tengan por objeto la satisfacción de un <interés legítimo> del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre. El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas. 3. Los datos de carácter personal podrán tratarse sin necesidad del consentimiento del interesado cuando:
11. a)Se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de las competencias que les atribuya una norma con rango de ley o una norma de derecho comunitario.
12. b)Se recaben por el responsable del tratamiento con ocasión de la celebración de un contrato o precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea parte el afectado y sean necesarios para su mantenimiento o cumplimiento… 4. Será posible la cesión de los datos de carácter personal sin contar con el consentimiento del interesado cuando:
13. a)La cesión responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control comporte la comunicación de los datos. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. Por otra parte, el Real Decreto 2822/1998, de 23 de diciembre, por el que se aprueba el Reglamento General de Vehículo, en su artículo 2 dispone: “1. La Jefatura Central de Tráfico llevará un Registro de todos los vehículos matriculados, que adoptará para su funcionamiento medios informáticos (…). Estará encaminado preferentemente a la identificación del titular del vehículo…, El Registro de Vehículos tendrá carácter puramente administrativo, será público para los interesados y terceros que tengan <interés legítimo y directo>, mediante simples notas informativas o certificaciones, y los datos que figuren en él no prejuzgarán las cuestiones de propiedad, cumplimientos de contratos y, en general, cuantas de naturaleza civil o mercantil puedan suscitarse respecto a los vehículos” (el subrayado es de la Agencia). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 III Pues bien, la DGT en relación a la información solicitada por esta Agencia sobre las medidas adoptadas con objeto de acreditar el “interés legitimo y directo” en la emisión por sus Jefaturas de Informes de Cargas, ha informado que emiten a los ciudadanos el denominado “Informe Telemático del Vehículo”, a través de la aplicación INTEVE y han remitido a esta AEPD copias de dos documento con membrete de la DGT uno, “MANUAL DE INTEVE” y otro, MANUAL DE INTEVE PARA JEFATURAS” Con independencia de la interpretación que la DGT efectúa de la forma de acreditar el “interés legitimo y directo”, la Inspección de Datos ha analizado el “Manual de INTEVE para Jefaturas” facilitado que detalla el procedimiento para la solicitud y emisión del “Informe Telemático del Vehículo”, en cuya Introducción se detalla lo siguiente: “La aplicación INTEVE permite al usuario realizar la consulta sobre la información de un vehículo disponible en el Registro de Vehículos, a partir de su matrícula o de su bastidor, que sustituirá progresivamente (en el año 2014) los informes de antecedentes que expiden las Jefaturas y también el informe que se emite a través de los Colegios de Gestores, además, se permitirá a cualquier ciudadano obtener, a través de internet y en tiempo real, la información técnica y administrativa de un vehículo” , acreditándose que en los Manuales constan, además del formato de las pantallas para la solicitud del “Informe Telemático del Vehículo”, figura un apartado para cumplimentar el NIF/NIE del solicitante (Jefaturas) y el nombre, apellidos y NIF/NIE/CIF (portal de la DGT) y también constan de un apartado para concretar el “Motivo de la Consulta” comprensivo de un desplegable con las alternativas consistentes en: − “Posible adquisición del vehículo” − “Certificado de no titularidad del vehículo para otras administraciones y entidades” − “Investigación de vehículos implicados en siniestro o colisión” − “Abandono del vehículo en la vía pública” Además, el empleado público de la Jefatura de Tráfico debe seleccionar la opción que corresponda con el motivo expresado y en el caso de un motivo distinto de los anteriores, aquel examina el motivo expresado en la solicitud, con objeto de resolver si ésta debe ser denegada o si por el contrario puede emitirse el informe correspondiente, opción que en el desplegable aparece con el texto: “Revisado por el funcionario que efectúa el trámite” (o el que se decida)”. A mayor abundamiento, la DGT significa que están procediendo a revisar los motivos más comunes de petición del “Informe Telemático del Vehículos” a través de internet con objeto de ampliar los supuestos de causa de petición y de eliminar cualquier posible petición de informe no basado en una causa concreta y se ha eliminado el campo DNI entre los datos que constaban en el informe. Habida cuenta, se estima, con carácter genérico, que la DGT ha adoptado las medidas adecuadas a fin de que, en la emisión a los administrados de los Informes de Cargas de Vehículos, se valoré el “interés legítimo y directo” alegado por el solicitante y previsto en el artículo 2 del Reglamento de Registro de Vehículo, por lo que, en este punto se estima no procede sugerir medidas complementarios a las adoptadas. Si bien se Recomienda que la aplicación INTEVE –u otro sistema similar habilitado a través de internet- no debe permitir un acceso a los ciudadanos desde la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 página web para la emisión del Informe de Cargas sin declaración de interés legítimo, sino que el sistema deberá prever que declare el motivo así como una revisión posterior de las solicitudes y la detección de usuarios con volúmenes de consulta demasiado elevados u otras anomalías mediante la activación de auditorías y/o sistemas de alarma adecuados. IV En relación a las medidas adoptadas para que la Gestorías Administrativas acrediten el “interés legitimo y directo” alegado en las emisión de los Informes de Cargas, la DGT ha informado que en el mes de julio de 2013 se puso en producción el “Informe Telemático del Vehículo” a través de internet -INTEVE- que supone un sistema distinto al anterior para las Gestorías que se implementará con carácter general el 5 de febrero de 2014, que obliga al peticionario a identificar al solicitante del informe y deja constancia de la gestoría que ha efectuado el trámite así como del motivo de la solicitud, con objeto de permitir un control de los accesos indebidos. Por ello, no se estima necesario la adopción de medidas complementarias en tal sentido. V En lo concerniente a la petición de informe sobre si la AELR sigue teniendo acceso a la totalidad de la información contenida en el Registro de Vehículos sin ninguna restricción y, en caso contrario, acrediten documentalmente el procedimiento establecido con objeto de que los usuarios de la Asociación tengan únicamente acceso a los datos de los vehículos de los que son titulares, se Recomienda que la DGT realice el seguimiento y controles oportunos. VI Asimismo, debido al elevado número de entidades públicas y privadas que tienen acceso al Registro de Vehículos, bien por medios telemáticos o por intercambio de ficheros, ya sea a través de un Convenio de Colaboración o de una Encomienda de Gestión, se Recomienda que la DGT establezca y comunique expresamente las medias de índole técnica y organizativas que deben de implementar dichas entidades previstas en el artículo 9 de la LOPD, con objeto de garantizar la seguridad de los datos de carácter personal y evitar su alteración, perdida, tratamiento o acceso no autorizado. VII El artículo 2 de la LOPD, establece: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos”. Dicha previsión, exige que el uso del certificado de Cargas del Vehículo que se utilice para la finalidad para la que ha sido recabado, por lo que, se Recomienda la inclusión en el informe o certificado de Cargas de una cláusula para advertir contra una posible desviación de la finalidad por parte del solicitante, a fin de garantizar que los datos personales que se han puesto a disposición de un tercero no se utilicen de manera incorrecta. Dicha cláusula que ya ha sido adoptada en diversos informes o certificados emitidos por diversos organismos, tanto públicos como privados, puede ser a título indicativo del siguiente tenor: “Le informo que la emisión de esta certificación está protegida por las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 disposiciones de la Ley Orgánica de Protección de Datos. En particular: - la información puesta a su disposición es para su uso exclusivo y tiene carácter intransferible - únicamente podrá utilizarse para la finalidad por la que se solicitó o para otras compatibles. - queda prohibida la incorporación de los datos a bases o ficheros informatizados que puedan ser susceptibles de consulta individualizada. - queda prohibida la transmisión o cesión, incluso gratuita, de la información por el usuario a cualquier persona”. VIII La DGT ha aportado el documento denominado DOCUMENTO DE SEGURIDAD REGISTRO DE VEHÍCULOS, comprensivo de los apartados relacionados en el Hecho IV, punto 4. El R.D. 1720/2007, de 12 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 88 y ss. regula el “Documento de Seguridad” que habrá de elaborar el responsable del fichero o tratamiento que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. Del contraste del documento facilitado con las previsiones exhaustivas recogidas en el RLOPD, se han identificado las siguientes deficiencias que no se encuentran desarrolladas en el mismo, por lo que, se Recomienda su implementación en el Documento de Seguridad: − Las funciones y obligaciones de cada uno de los perfiles de usuarios con acceso a los datos de carácter personal estarán claramente definidas y documentadas en el documento de seguridad, según art. 89.1 del Reglamento. − El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento, según art. 89.2 del Reglamento. A tales efectos, debería establecerse un procedimiento con objeto de informar a los usuarios con acceso al Registro de Vehículos. Se considera una buena práctica que dicha información se comunique al personal en el momento que se realice la autorización para el acceso al sistema de información así como un recordatorio periódico por cualquier medio como puede ser la pantalla de inicio del sistema. Si bien, la información debería adaptarse a las funciones que desempeñe el personal así como la pertenencia del mismo bien sea entidad pública o privada y personal propio o ajeno. − El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuario y los accesos autorizados para cada uno de ellos, según art. 91.2 del Reglamento. − Se debería establecer un mecanismo de Control de Accesos que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado, con objeto de que no se realicen accesos no autorizados ni que un usuario pueda acceder a recursos con derechos distintos de los autorizados, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 − Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. El documento de seguridad establecerá la periodicidad con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenaran de forma ininteligible. Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: • • PROCEDER AL ARCHIVO de las presentes actuaciones. • RECOMENDAR la adopción de las medidas descritas en la presente Resolución así como informar a esta Agencia de las que se procedan a implantar al respecto. NOTIFICAR la presente Resolución a la DIRECCIÓN GENERAL DE TRÁFICO. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es