E-10130-2020

1/8  Procedimiento Nº: E/10130/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento CONSELL INSULAR DE MENORCA con número de registro de entrada O00007128e2000014384 relativa a revelación de datos personales de un menor, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: A la vista de la citada notificación de quiebra de seguridad de los datos personales, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación, así como a trasladar al responsable del tratamiento, la orden de la Directora de la AEPD en la que se le insta a comunicar dicha quiebra a los afectados, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: CONSELL INSULAR DE MENORCA con NIF S0733002J RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- Con fecha 14 de enero de 2021 se solicitó información a CONSELL INSULAR DE MENORCA. De la respuesta recibida se desprende lo siguiente: Respecto de la cronología de los hechos - 03/12/2020: El Servicio de Infancia y Familia (SIF) del Consell Insular de Menorca recibe una llamada de la madre biológica del menor A.A.A., el cual fue adoptado por otra familia en 2017 (expediente X/YY), indicando que tiene información sobre el paradero de su hijo y de quienes son los adoptantes y que se presentará donde vive. La ***PUESTO.1 del caso devuelve la llamada y la madre biológica manifiesta que no sabía que era una adopción cerrada y que no podía ponerse en contacto con su hijo y que no puede estar hasta los 18 años sin saber nada de él, que la información fue facilitada por “una chica de Menores” que ya no trabajaba allí, que conoce el domicilio de los padres, que sabe el tipo de familia que es y dónde viven. Se personará en el domicilio de los adoptantes para ver al niño. Se le informa que lo anterior infringe la Ley y ella responde que le da igual. En la diligencia emitida por la ***PUESTO.1 describiendo lo anterior no consta que la citada Sra. diga cuál es el domicilio de los adoptantes, pero sí conoce otros datos familiares como el tipo de familia adoptante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Tampoco consta que comunicara el nombre o una referencia clara que permita identificar a la persona que supuestamente le habría facilitado esta información. Aunque no había una evidencia clara e irrefutable de que tuviera la información indicada, se valora la situación y el SIF decide que se debe poner en conocimiento a la entidad que realiza el seguimiento postadoptivo (INTRESS), así como a la Fiscalía. - 03/12/2020: Se contacta telefónicamente con el organismo que lleva las postadopciones en el municipio de los adoptantes (INTRESS) para que lo comuniquen a los interesados (adoptantes). - 04/12/2020: Se realiza la comunicación a Fiscalía de los hechos anteriormente indicados (reg. de salida 19076/2020). - 09/12/2020: Se comunica a la DPD del Consell Insular de Menorca, la cual indica que se trata de una posible violación de seguridad y aconseja la idoneidad de comunicarla a la autoridad de control (AEPD). Aunque no se tenga la evidencia clara e irrefutable de que la madre tenga la información exacta sobre el paradero de su hijo y que esta información la hubiese obtenido de un trabajador del SIF, se considera que lo más adecuado, y a efectos de minimizar los riesgos para los derechos y libertades de las personas afectadas, es tratar el caso como una violación de seguridad. La DPD indica al SIF los pasos a seguir y les asesora en la elaboración de la comunicación de la violación de seguridad en base al artículo 53 y 54 del RGPD siguiendo el procedimiento que a tal efecto la AEPD tiene disponible en su sede electrónica. -10/12/2020: Vía email, la ***PUESTO.2 de INTRESS comunica al SIF que ya se han puesto en contacto con la familia adoptante, la cual transmitió que veían en el menor interés por saber de su madre biológica. -11/12/2020: La ***PUESTO.1 del caso contacta nuevamente con la madre biológica. Ésta le confirma que sabe dónde está su hijo desde hace un mes. Explica que una trabajadora del Centro no sabe si actualmente trabaja, se lo explicó a una amiga suya de siempre. Y esta amiga, viéndola tan mal por no saber nada de su hijo, le explicó dónde estaba su hijo. Refiere que después de las fiestas de navidad irá a verlo, y esperará a fuera del colegio y pidiendo por “B.B.B.” y lo encontrará, si los datos son ciertos. También manifiesta que no quiere hacer ningún daño a los adoptantes, sino que sólo quiere ver a su hijo. -11/12/2020: Se comunica la incidencia al Instituto Mallorquín de Asuntos Sociales (IMAS), como organismo encargado de la adopción (reg. de salida 19288/2020). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 -11/12/2020: Se comunica la violación de seguridad a la autoridad de control (núm. de registro AEPD O00007128e2000014384). -11/12/2020: La ***PUESTO.3 de Atención Social emite informe solicitando inicio de expediente de información previa en el Centro de Atención a la Infancia y la Familia del Consell Insular de Menorca en relación con los hechos sucedidos y, si procede adopción de las medidas disciplinarias oportunas en el caso que quede demostrado que ha habido filtración de información por parte de algún empleado/a. -15/12/2020: El Consell Insular recibe la comunicación de la AEPD con núm. de registro O00007128s2000024200 (reg. De entrada en el Consell Insular 29071/2020), informando del deber de comunicar la violación de seguridad a los afectados sin dilación indebida y de informar a la AEPD en un plazo de 30 días. - 16/12/2020: El ***PUESTO.4 del Departamento de Servicios Generales del Consell Insular de Menorca, mediante resolución núm. 365, resuelve iniciar expediente informativo en relación con los hechos señalados en el informe de la ***PUESTO.3 de Atención Social de fecha 11 de diciembre de 2020 y la consiguiente designación de instructor y secretario para la tramitación de dicho expediente. El expediente informativo está actualmente en fase de instrucción. -22/12/2020: Elaboración del escrito de comunicación de la violación de seguridad a los afectados. -22/12/2020: Contacto telefónico con los padres adoptantes por parte de la ***PUESTO.1 del servicio de adopciones del SIF, explicándoles el detalle de la incidencia. El padre, por su parte, indica que ellos ya son conocedores de esta situación por parte de la ***PUESTO.5 de Intress que hace el seguimiento de postadopción y que no lo saben seguro, pero que tienen la sospecha de que su hijo entró con el móvil de un amigo al perfil de su madre de una conocida red social. No han querido presionarle con este tema, ni pedirle directamente si contactó con ella, pero piensan que es una posibilidad, ya que él últimamente manifiesta interés por saber de su familia biológica. -28/12/2020: Registro de salida y envío del escrito de comunicación de la violación de seguridad a los afectados. Respecto de las causas que hicieron posible la brecha - no se tiene una evidencia clara de que se haya producido la brecha, pero existían indicios de que la madre tenía información que podía conducirla hasta su hijo. De este modo, y dada la gravedad de las consecuencias que se podrían derivar, se actuó con la mayor celeridad posible como si se tratara de una brecha de seguridad interna y así evitar o minimizar las posibles consecuencias sobre las personas afectadas. Por este motivo se puso en conocimiento de Intress, del IMAS y de la familia y se ha iniciado el expediente de información previa, para averiguar si hubo filtración interna de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 información. Existe también la posibilidad que, según los padres adoptivos, el menor hubiese contactado a través de redes sociales con su madre biológica, según se indica en la diligencia de la ***PUESTO.1 del servicio de adopciones del SIF de fecha 22/12/2020. Respecto de las medidas de seguridad implantadas con anterioridad la brecha - El Consell Insular, incluido el Servicio de Infancia y Familia, no dispone del registro de actividades de tratamiento (RAT). Estamos impulsando actualmente desde el Departamento de Servicios Generales las acciones necesarias para la adaptación del Consell Insular al RGPD, entre las que se incluye la elaboración del RAT, del cual esperamos disponer en el menor plazo de tiempo posible. Disponen de la relación de ficheros que contienen datos de carácter personal gestionados por el Consell Insular de Menorca, aprobados mediante ordenanza por el pleno con fecha 18/03/2013 y publicado en el Boletín Oficial de las Illes Balears (BOIB) el 28/05/2013 (http://www.caib.es/eboibfront/pdf/es/2013/75/823463) en base al artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. En relación con el caso concreto de la brecha de seguridad, hay que indicar que dicha relación de ficheros contiene dos ficheros relacionados con los tratamientos de datos personales del Servicio de Infancia y Familia. Concretamente son los ficheros 36 (Gestión de las adopciones nacionales e internacionales) y 38 (Gestión de los derechos de las personas menores de edad de Menorca en situación de desprotección social o familiar). - Dado que no se ha abordado de lleno la adaptación a la nueva normativa de protección de datos personales, no se ha realizado el análisis de riesgo ni las evaluaciones de impacto asociadas según establece el RGPD. - Las medidas técnicas y organizativas relacionadas con la gestión de los expedientes de la unidad administrativa afectada son las siguientes: - Control de acceso a los expedientes en soporte papel. - Permisos de usuario y auditoría de acceso a los expedientes electrónicos (desde enero de 2019). - El equipo del Servicio de Infancia y Familia está formado por profesionales de distinta índole (asesor jurídico, trabajadores sociales, educadores sociales, psicólogos y personal de soporte administrativo) los cuales son conocedores de la sensibilidad de los datos personales que tratan. Se trabajan los casos mediante equipos multidisciplinares formados normalmente por un psicólogo, un educador social y un trabajador social, los cuales comparten la información. Se realizan comisiones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 valoración de los casos para aplicar las mejores medidas que garanticen el bienestar y los derechos de los menores. - Actualmente los trabajadores del Consell Insular no suscriben ningún documento de deber de confidencialidad de la información a la que tengan acceso en el desempeño de sus funciones. Dicho deber está previsto en la normativa de función pública vigente. Concretamente en el Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público (TREBEP). Concretamente los artículos 52 (Deberes de los empleados públicos. Código de conducta) y 53, apartado 12 (Principios éticos) y en la Ley 3/2007, de 27 de marzo, de la función pública de la Comunidad Autónoma de las Islas Baleares, que es de aplicación a los consejos insulares (art. 3.2 a), incluye entre los deberes del personal funcionario (artículo 124.1). No obstante, lo indicado anteriormente, están valorando la implementación acciones concretas de sensibilización y de recordatorio de estos deberes mediante los distintos canales de comunicación interna del Consell Insular (circulares informativas, infografías y contenido disponibles en la intranet) y la inclusión de estos deberes en el manual de acogida que se está elaborando. Respecto de las medias implementadas con posterioridad la brecha - Medidas técnicas: - Supervisión del protocolo de acceso a los expedientes en soporte papel (documentación anterior a enero de 2019). Los expedientes están guardados en un lugar cerrado con llave. El acceso por parte del personal del servicio que tiene que acceder está supervisado. - Revisión de los permisos de usuario de la aplicación de gestión de expedientes electrónicos (SILME EXPEDIENTE) en la que se ha comprobado que la configuración de los permisos de acceso de los trabajadores a los expedientes electrónicos de dicho servicio (expedientes creados a partir de enero de 2019) son correctos. - Revisión del acceso a la unidad de red (unidad compartida TREMEN) en la cual figuran documentos de trabajo de los diferentes expedientes del Servicio de Menores y a la cual acceden los trabajadores del servicio. Actualmente no existe un sistema de auditoría de acceso a dicha unidad, ubicada en un servidor tipo NAS. Se está buscando en el mercado una solución técnica para poder realizar esta auditoría, aunque el uso de dicha unidad tendrá una duración limitada dado que se prevé que todos los documentos de trabajo figuren en el expediente electrónico, dejando de utilizar este tipo de unidades compartidas en un plazo inferior a un año. - Medidas organizativas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 - Actuaciones de formación y de sensibilización del personal del Servicio de Infancia y Familia y al resto de personal del Departamento mediante los distintos canales de comunicación disponibles, sobre la importancia de tratar los datos personales teniendo en cuenta la normativa vigente. En especial en relación con el deber de confidencialidad, así como para garantizar la minimización, la integridad, la disponibilidad y la seguridad de los datos personales. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, se analiza la posible existencia de una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad. El Consell afirma, que tras tener constancia por una llamada telefónica (madre biológica indicando que conocía el domicilio de su hijo) de la posible existencia de una brecha de seguridad, se pone en contacto con el INTRESS para que se lo comunique a los afectados, realizándose también comunicación a la fiscalía y posteriormente se informa de lo ocurrido a la DPD, la cual indica que debe notificarse la posible brecha a la AEPD. Asimismo, en fecha 16/12/2020, el Consell decide abrir expediente informativo en relación con estos hechos. En lo que se refiere a las medidas previas adoptadas, dispone de la relación de ficheros que contienen datos de carácter personal gestionados por el Consell Insular de Menorca, aprobados mediante ordenanza por el pleno con fecha 18/03/2013 y publicado en el Boletín Oficial de las Illes Balears (BOIB) el 28/05/2013 (http://www.caib.es/eboibfront/pdf/es/2013/75/823463) en base a la obligación que establecía el ahora derogado artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. En este caso concreto son dos los ficheros relacionados con los tratamientos de datos personales del Servicio de Infancia y Familia. Concretamente son los ficheros 36 (Gestión de las adopciones nacionales e internacionales) y 38 (Gestión de los derechos de las personas menores de edad de Menorca en situación de desprotección social o familiar). Además, cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 con control de acceso a los expedientes en papel y en lo que se refiere a los expedientes electrónicos, permisos de usuario y auditoría de acceso. De todo ello se desprende que el investigado disponía de medidas de seguridad razonables. Para evitar que estos hechos vuelvan a ocurrir, se procede a la revisión de los permisos de usuario de la aplicación de gestión de expedientes electrónicos (SILME EXPEDIENTE), en la que se ha comprobado que la configuración de los permisos de acceso de los trabajadores a los expedientes electrónicos de dicho servicio son correctos y del acceso a la unidad de red (unidad compartida TREMEN) en la cual figuran documentos de trabajo de los diferentes expedientes del Servicio de Menores y a la cual acceden los trabajadores del servicio. Supervisándose también el protocolo de acceso a los expedientes en soporte papel. Además, en el plano organizativo se emprenden actuaciones de formación y de sensibilización del personal del Servicio de Infancia y Familia y al resto de personal del Departamento mediante los distintos canales de comunicación disponibles, sobre la importancia de tratar los datos personales teniendo en cuenta la normativa vigente. En especial con relación al deber de confidencialidad, así como para garantizar la minimización, la integridad, la disponibilidad y la seguridad de los datos personales. En consecuencia, consta que disponía de medidas técnicas y organizativas razonables para evitar esta posible incidencia, de la que, no sólo se desconoce el modo en que podría haberse obtenido la información, pues se sospecha de un posible contacto entre la madre biológica y el menor a través de las redes sociales, sino que también se ignora si la madre realmente posee dicha información. Por tanto, no ha resultado probada la infracción, no obstante, y una vez se sospecha de la existencia de la brecha de seguridad, se produce una diligente reacción al objeto de notificar a la AEPD, e implementar medias para eliminarla. Por último, se recomienda la adopción de las medidas necesarias para adecuar completamente a la normativa de protección de datos personales las operaciones de tratamiento que realiza en el ámbito de sus responsabilidades, así como la elaboración de un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento, ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución al CONSELL INSULAR DE MENORCA con NIF S0733002J De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es