E-08452-2019

1/5 Procedimiento Nº: E/08452/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de agosto de 2019, el AYUNTAMIENTO DE BENIDORM, con NIF P0303100B, notifica a la Agencia Española de Protección de Datos (en lo sucesivo AEPD) que han tenido conocimiento a través de los medios de comunicación de que el Departamento de Educación expuso, en la sección de Educación de la página web municipal, la resolución provisional de ayudas psicopedagógicas en el que figuran una serie de datos personales de menores, de sus padres, madres o tutores y de los tratamientos que están recibiendo. SEGUNDO: Con fecha 11 de septiembre de 2019, la Directora de la AEPD insta a la Subdirección General de Inspección de Datos para que proceda a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la notificación de violación de seguridad, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de quiebra: 16 de agosto de 2019 ENTIDADES INVESTIGADAS AYUNTAMIENTO DE BENIDORM con NIF P0303100B con domicilio en PLAZA DE SS. MM. LOS REYES DE ESPAÑA, NUM 1 - 03501 BENIDORM (ALICANTE). RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

1. Con fecha 16 de agosto de 2019 tiene entrada en la Agencia Española de Protección de Datos un escrito de notificación de violación de seguridad remitido por el Ayuntamiento de Benidorm, el cual incluye un informe de violación de seguridad del que se desprende lo siguiente: 1.
2. Cronología de los hechos:  C/ Jorge Juan, 6 28001 – Madrid El lunes 5 de agosto de 2019, el departamento de Educación expuso, tanto en el Tablón de Anuncios como en la sección de Educación de la página web municipal, la resolución provisional de ayudas psicopedagógicas. En el mismo figuran una serie de datos sobre la resolución y se pretendía dar una información mínima sobre el asunto, pues dicha exposición sirve para www.aepd.es sedeagpd.gob.es 2/5 corregir errores (resolución provisional). Las familias pueden formular las reclamaciones u observaciones que se estimen oportunas.  El miércoles 14 de agosto de 2019 el Ayuntamiento tiene conocimiento de esta exposición pública a través de la noticia publicada en el periódico digital “elperiodic.com” en la que se denuncia por el PSOE al Ayuntamiento de Benidorm por la publicación en la web de este Ayuntamiento de las fases correspondientes a la otorgación de ayudas psicopedagógicas  El jueves, 15 de agosto de 2019 se ha eliminado el acceso web a dicha información y se notifica oficialmente al Delegado de Protección de Datos el incidente, procediéndose a la elaboración del informe de violación de seguridad. 1.
3. Categorías de afectados: Solicitantes de ayudas (menores de edad y sus representantes). 1.
4. Número de registros: 100 1.
5. Datos de carácter personal comprometidos:  Datos identificativos (nombre y apellidos, DNI de progenitores; nombre y apellidos de menores de edad).  Datos económicos: gastos del tratamiento, cuenta bancaria, cantidades a reintegrar y aplazamiento.  Datos de salud: tratamiento aplicado y fin de este.  Otros: colegio, motivo de denegación de ayuda 1.
6. Descripción de riesgos detectados Acceso indebido a información de carácter personal por terceros a la web de Benidorm. 1.
7. Descripción de medidas adoptadas Se ha eliminado el contenido de la URL que comunicaba los datos de carácter personal denunciados.
8. Con fecha 20 de septiembre de 2019 se solicita por la Inspección de Datos al Ayuntamiento de Benidorm información y documentación adicional en relación con los hechos comunicados, teniendo entrada con fecha 10 de octubre de 2019 escrito de respuesta del que se desprende lo siguiente: 2.
9. Aportan copia del Registro de Actividad de los tratamientos: El registro afectado es el contenido en el punto "3.12.
10. Área de Educación" (página 169) bajo el nombre de "ACTIVIDAD DE TRATAMIENTO 02_ GESTIÓN DE BECAS Y AYUDAS"; 2.
11. Aportan información sobre el Análisis de Riesgos y las Evaluaciones de Impacto realizadas de los tratamientos donde se ha producido la incidencia: Disponen de la herramienta de gestión Sandas GRC, de la cual han generado los informes relativos al análisis de riesgos y valoración de los activos (tratamientos) existentes en el Ayuntamiento de Benidorm; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 2.
12. Aportan información sobre el procedimiento establecido ante brechas de seguridad: Disponen de un protocolo de actuación y notificación al respecto que aportan. 2.
13. Desconocen aquellos posibles usos por terceros de la información al no poder controlar quienes han accedido a dicho documento. No obstante, lo anterior, se dio difusión pública a la brecha a través de la noticia publicada en el "periodic.com" 2.
14. No les consta que haya habido denuncias por los interesados afectados ni a través del canal habilitado para ello en el Ayuntamiento, ni al medio que publicó la misma. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una posible brecha de confidencialidad como consecuencia de la publicación por la Concejalía de Educación en el sitio web municipal de acceso público de la resolución provisional de las subvenciones de ayudas psicopedagógicas. De las actuaciones de investigación se desprende que el Ayuntamiento de Benidorm disponía de razonables medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias y acordes con el nivel de riesgo. Asimismo, el Ayuntamiento de Benidorm disponía de protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. No constan reclamaciones ante esta Agencia de los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 En consecuencia, consta que el Ayuntamiento de Benidorm disponía de forma previa de medidas técnicas y organizativas razonables en función del nivel de riesgo para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente procediendo de forma rápida a eliminar del sitio web municipal de acceso público el listado nominativo de subvenciones concedidas y denegadas. Asimismo, consta que la resolución definitiva posterior se publicó de forma anonimizada consignando las iniciales del nombre y apellidos de los beneficiarios. Además, el Ayuntamiento de Benidorm elaboró un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual. III Por lo tanto, se ha acreditado que la actuación de Ayuntamiento de Benidorm como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE BENIDORM con NIF P0303100B y con domicilio en PLAZA DE SS. MM. LOS REYES DE ESPAÑA, NUM 1 - 03501 BENIDORM (ALICANTE). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es