PS-00003-2023

1/33  Expediente N.º: EXP202203125 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia efectuada por parte del EXCMO. AYUNTAMIENTO DE LA NUCIA, de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. En concreto se pone en conocimiento de esta Agencia el descubrimiento de diversa documentación abandonada en un descampado, que contiene un gran número de datos personales con diversos grados de sensibilidad, algunos de categoría especial. Los documentos contienen datos personales tanto de los ciudadanos del municipio de la Nucia, como de personas afiliadas al Partit Socialista del País Valencià, así como información municipal obtenida por la condición de cargos públicos en el Ayuntamiento y material propio de la actividad del partido. La gran cantidad de documentación encontrada, su diversa naturaleza y la necesidad de analizar sus implicaciones en materia de protección de datos personales y seguridad de la información, requiere la apertura de una investigación en orden al esclarecimiento de los hechos y la responsabilidad de estos. Por ello, en fecha 16 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD) tendentes a acreditar estos hechos y su autoría. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La denuncia tiene entrada el 10 de febrero de 2022, y en ella se relata el descubrimiento de documentos con datos personales de ese Ayuntamiento en un descampado ubicado en el término municipal de Benidorm. Esta documentación es encontrada el 23 de enero de 2022 y del escrito recibido se extraen los siguientes hechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/33 - - El 22 de enero de 2022 se recibe en el Ayuntamiento de La Nucia una llamada desde el Cuerpo Nacional de Policía comunicando que había sido encontrado en un descampado numerosos documentos con el anagrama del Ayuntamiento. Esta documentación es depositada en el Ayuntamiento y custodiada por la Policía Local. La documentación contenía información del Ayuntamiento mezclada con materiales y documentos del partido político PSOE, el cual contaba a la fecha de entrada de esta denuncia con tres concejales en la corporación municipal. El 25 de enero de 2022 se realiza una segunda inspección del lugar por parte de la Policía Local del Ayuntamiento de La Nucia, en esta inspección se encuentra más documentación. El 26 de enero de 2022 se inician los trabajos de análisis e inventariado de toda la documentación encontrada, finalizando estos trabajos el 4 de febrero de 2022. Se obtiene un inventario con la relación de toda la documentación y materiales encontrados, este documento se adjunta en la denuncia y consta de los siguientes campos: o o o o o - - - - Un identificador único para cada contenido encontrado. Detalles sobre el tipo de contenido. Descripción de la información sensible existente en el contenido. Número de personas afectadas por esta información. Número de documentos existentes en el contenido. En la documentación encontrada existen documentos con datos personales de diverso grado de sensibilidad, algunos de ellos altamente sensibles, como la asignación de arma a un agente de la Policía Local con nombre y apellidos de este. Los documentos hallados datan del año 2019 y anteriores. En la denuncia se indica que esta documentación no ha podido ser extraída de la sede del Ayuntamiento de la Nucia, sino que es entregada a los miembros de la corporación municipal pertenecientes al PSOE de Valencia (PSPV) en base a su derecho a obtener la información necesaria para el ejercicio de sus competencias, tal como recoge el Real Decreto 2568/1986, de 28 de noviembre, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, siendo ajeno el Ayuntamiento de la Nucia al tratamiento de la información hallada. Indicándose también en la denuncia que el deber de custodia diligente no ha sido cumplido por las personas receptoras de dichos documentos. Afirman que el Ayuntamiento de la Nucia no es responsable de la violación de seguridad identificada. Las medidas adoptadas por el Ayuntamiento han sido: comunicar violación de datos a la AEPD y mantener debidamente custodiada la documentación para evitar accesos no autorizados. Solicitan a la AEPD instrucciones sobre cómo proceder con la documentación encontrada. El Ayuntamiento de La Nucia, pese a indicar que no es el responsable de esta violación de seguridad, se plantea unas medidas para intentar evitar la recurrencia de estos incidentes: o Formación específica a las personas de la corporación municipal sobre el tratamiento de datos personales y seguridad de la información, y sus responsabilidades inherentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/33 Reciclaje de formación a todo el personal del Ayuntamiento, pero enfocada al trabajo en las diferentes unidades administrativas. El Delegado de Protección de Datos del Ayuntamiento de La Nucia es (…) A.A.A., incluido en el registro de DPD de la AEPD. o - ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: PARTIDO SOCIALISTA OBRERO ESPAÑOL con NIF G28477727 con domicilio en C/ FERRAZ 68- 70 - 28008 MADRID (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 28 de marzo de 2022, se decide hacer requerimiento de información al PSOE marcado por la siguiente línea de investigación: - Se le adjunta el inventario entregado por el Ayuntamiento de La Nucia conteniendo la documentación encontrada y se solicita confirmación de todos aquellos registros cuyo responsable de tratamiento es el propio partido PSOE. Las medidas establecidas para destruir el material con datos personales. Motivo de la extracción de esta documentación de su lugar destinado para su almacenamiento. Conocer el Registro de Actividades de Tratamiento, la Política de Protección de Datos, el Análisis de Riesgos y la Evaluación de Impacto. Con fecha 05 de abril de 2022, se recibe escrito por parte del PSOE con número de entrada REGAGE22e00011508556, solicitando ampliación de plazo para contestar al requerimiento anterior. Esta petición es contestada favorablemente en fecha 06 de abril de 2022, ampliando hasta un máximo de cinco días hábiles. Con fecha 28 de abril de 2022, se recibe notificación de brecha de seguridad por parte del PSOE, con número de registro de entrada REGAGE22e00015586967. Esta brecha está relacionada con la documentación encontrada en el descampado, del análisis de esta notificación se extrae: - En la descripción de la brecha indican lo siguiente: “El pasado 22 de enero de 2022, la Policía Nacional de Benidorm localizó, en un descampado de La Nucía (Alicante), documentos que pudieran pertenecer al Grupo Municipal Socialista o al PSOE de La Nucía. Esta AEPD dio traslado al PSOE de los hechos, a través de un requerimiento de información, a fecha de 1 de abril de 2022. El pasado 25 de abril de 2022, el Delegado de Protección de Datos del PSOE recibió una carta de la ***PUESTO.1 del Grupo Municipal Socialista de La Nucía en la que explicaba que habían vaciado el local que usaba el Grupo Municipal para trasladarse y que, para ello, habían contratado a una empresa de portes y mudanzas que debía llevar la documentación a un punto de destrucción. Dicha documentación que debían transportar a un punto de destrucción es la que se ha encontrado en el descampado en cuestión”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/33 - - - Afirman que la brecha afecta a 17 personas físicas como consecuencia de la pérdida de confidencialidad. Indican que aún no se ha notificado a los afectados pero que se hará a más tardar el 29 de abril de 2022. En relación con las consecuencias para los afectados indican que las personas no se verán afectadas o pueden encontrar algunos inconvenientes muy limitados y reversibles que superarán sin ningún problema (tiempo de reingreso de información, molestias, irritaciones, etc.), con una probabilidad baja de que el daño se materialice. Afirman que los datos afectados son datos identificativos, DNI, NIE, Pasaporte y/o cualquier documento identificativo, datos de medios de pago y datos sobre opinión política. Afirman que las personas afectadas son afiliados al partido político. Afirman que la brecha se detecta el 25 de abril de 2022 de forma aproximada. Entre las medidas de seguridad preventivas implementadas nos indican las siguientes: o Políticas de protección de datos y seguridad. o Formación en protección de datos y seguridad de la información al nivel adecuado. o Los sistemas informáticos se mantienen actualizados. o Registro de incidentes. o Auditorías periódicas. o Control de acceso físico y lógico. o Niveles de acceso a los datos. o Cifrado de los datos. o Copia de seguridad. o Anonimización. Indican que esta notificación es INICIAL. Del requerimiento de información realizado en fecha 28 de marzo de 2022 se recibe respuesta por parte del PSOE a través de varias entradas entre los días 26 y 27 de abril de 2022, en concreto: - Entrada REGAGE22e00015130070 del 26 abril de 2022. Entrada REGAGE22e00015130601 del 27 de abril de 2022. Entrada REGAGE22e00015130995 del 27 de abril de 2022. Entrada REGAGE22e00015131441 del 27 de abril de 2022. Entrada REGAGE22e00015135404 del 27 de abril de 2022. Entrada REGAGE22e00015135707 del 27 de abril de 2022. Entrada REGAGE22e00015136181 del 27 de abril de 2022. Analizado el contenido de las entradas, se extraen los siguientes puntos relevantes: 1. La contestación está firmada por el DPD del PSOE en su ámbito Federal, B.B.B.. 2. Aportan la relación de los registros del inventario cuyo responsable de tratamiento es el PSOE y afirman que en algunos casos es imposible determinar con exactitud si se trata de documentación bajo su responsabilidad o no. De esta relación se concluye que es responsabilidad del PSOE como mínimo la siguiente documentación de carácter personal filtrada: a. Padrón Municipal con motivo de las elecciones de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/33 b. Listado de bajas en PSOE La Nucia por devoluciones de recibos con datos personales de afiliados). c. Varios listados con los datos de afiliados al partido. d. Números de cuentas bancarias de miembros PSOE La Nucia. e. Escrito del PSOE a múltiples simpatizantes con datos personales de estos. f. Fichas de afiliación al partido con los datos personales y fotocopias de DNI. g. Datos personales de componentes de mesas y censos de varios procesos electorales. 3. Afirman que ni desde PSOE Federal, ni desde PSPV-PSOE, se tenía conocimiento alguno de la posible extracción de la documentación hallada, ni tampoco se había recibido notificación desde la Agrupación Socialista La Nucia. 4. Afirman que el PSOE cuenta con más de 3000 Agrupaciones como forma de organizarse en el ámbito local, y que los responsables a nivel local de la protección de datos según las normas internas del PSOE son los Secretarios de Organización, personas que en muchos casos realizan su labor de forma altruista y voluntaria. Afirman que desde la organización federal, regional y provincial se da a estos responsables instrucciones y actuaciones muy concretas y garantes con la protección de los datos personales y que, dada la gran implantación existente y que esos cargos se asumen de forma gratuita y altruista, es muy difícil controlar la diligencia con la que actúan a pesar de todo el esfuerzo. 5. Con objeto de esclarecer lo sucedido, el DPD remitió misivas al Grupo Municipal Socialista de La Nucía, al PSOE de la Provincia de Alicante y al PSPV-PSOE. Se acreditan tanto estos envíos como las contestaciones a las mismas, de su análisis se extrae: a. En relación con la respuesta a la misiva por parte del Grupo Municipal Socialista de de la Nucia: i. Contesta su ***PUESTO.1, C.C.C., que manifiesta extrañeza, sorpresa, agobio y disgusto. Afirma que en octubre de 2021 se vieron obligados a dejar el alquiler del local que hacía de sede de la Agrupación. Que contactaron con una empresa de portes y mudanzas con la que mantuvieron conversaciones vía WhatsApp (afirma que se puede considerar como contrato verbal) acordando la retirada de muebles y otros enseres a un punto limpio y verde, en estas primeras conversaciones no se acordó trasladar la documentación existente en el local porque pensaban hacerse cargo ellos mismos de su destrucción, el 25 de octubre se hace el primer porte, pero únicamente de muebles y enseres. ii. Afirma que “ante la imposibilidad de sacar por ellos mismos todas las cajas del local con la documentación”, deciden ponerse en contacto de nuevo con la empresa de portes y mudanzas y les transmiten que en esta ocasión se trata de papeles con documentación sensible, y que era imprescindible llevarlos a un punto de destrucción. Acuerdan que se daría traslado al ecoparque de La Nucía o al de San Vicente de Raspeig. El traslado lo realiza la empresa de portes y mudanzas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/33 el 30 de diciembre de 2021. Se confió en que la empresa había trasladado la documentación al ecoparque (no consta la existencia de confirmación posterior de la destrucción por parte de esta). iii. Según indica textualmente la propia ***PUESTO.1 del Grupo Socialista: “nunca pensé que después de nuestro contrato verbal y de mi insistencia en dónde quería dejar todo lo que había dentro del local, acabara en un descampado”. iv. La empresa de portes y mudanzas se llamaba “Portes Y Mudanzas Marina Baixa”, no obstante, no constan datos de esta razón social en AXESOR. La ***PUESTO.1 del Grupo Municipal Socialista de la Nucia concertó verbalmente un contrato de mudanza para el traslado de la documentación desde su sede al Ecoparque, es decir, suscribió un contrato de transportes NO un contrato de encargado de tratamiento para el expurgo o destrucción de la documentación. Ni siquiera consta acreditado que en el Ecoparque se hubiera concertado la destrucción de la documentación. El contrato de mudanza tiene una regulación especial dentro del contrato de transportes que está contenida en el capítulo VIII de la Ley 15/2009, de 11 de noviembre, del contrato de transporte terrestre de mercancías (LCTTM), artículos 71 y siguientes. El artículo 71 de la LCTTM establece que “Por el contrato de mudanza el porteador se obliga a transportar mobiliario, ajuar doméstico, enseres y sus complementos procedentes o con destino a viviendas, locales de negocios o centros de trabajo, además de realizar las operaciones de carga, descarga y traslado de los objetos a transportar desde donde se encuentren hasta situarlos en la vivienda, local o centro de trabajo de destino. El resto de las operaciones, como la preparación, armado o desarmado, embalaje, desembalaje y otras complementarias, quedarán a la voluntad contractual de las partes contratantes”. El artículo 76 de la LCTTM determina las responsabilidades del transportista en caso de incumplimiento del contrato de transportes: La responsabilidad del porteador por daños o pérdida de los bienes transportados no podrá exceder de veinte veces el Indicador Público de Efectos Múltiples/día por cada metro cúbico del espacio de carga necesario para el cumplimiento del contrato. b. En relación con la respuesta a la misiva por parte del Secretario de Organización del PSOE de la provincia de Alicante, se extrae: i. Afirma que no tenían constancia de lo sucedido. ii. Afirma que las medidas técnicas y organizativas a nivel provincial para la protección de datos personales son: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/33 1. 2. 3. 4. 5. 6. 7. 8. c. En relación con la contestación a la misiva por parte del Secretario de Organización del PSOE en Valencia, se extrae: iii. Afirma que ni desde la Secretaría de Organización ni desde la Gerencia del PSPV se tenía constancia de lo sucedido. iv. Afirma que el PSPV-PSOE, dentro del ámbito que es su competencia, tiene implantados las siguientes medidas técnicas y organizativas para la protección de datos personales: (…) Afirman que en el PSOE disponen de un Manual de Protección de Datos, de obligado cumplimiento para cualquier persona física que acceda a datos de carácter personal, ya tengan una vinculación contractual, de voluntariado u otro tipo de colaboración con el partido. Aportan este manual como anexo a la respuesta del requerimiento, del análisis de este manual se extraen los siguientes puntos relevantes contenidos: (…) Afirman que, como prueba de actuación diligente por parte del PSOE, se envió un comunicado el 2 de julio de 2018 dirigido a las/os Secretarias/os de Organización Autonómicos, Provinciales, Insulares, Municipales y de Distrito, con todas aquellas reglas y normas corporativas que debían instaurarse. Se nos adjunta este comunicado. De su análisis se destacan los siguientes puntos contenidos: (…) Afirman que este mismo mes de julio de 2018 también se envió un comunicado sobre el protocolo de ejercicio de derechos que contempla el RGPD. Afirman que, tras las elecciones de 2019, se envió comunicado conteniendo el procedimiento que debía seguirse para la destrucción de los censos electorales (inclusive aquellos que pudieran tener de procesos electorales anteriores y que no hubieran sido destruidos). Del análisis de este comunicado se extraen los siguientes puntos: (…). (No se cumplió por el Grupo Municipal Socialista de la Nucia). Afirman que en agosto de 2021 también se envió un nuevo comunicado a los Secretarios de Organización Autonómicos y Provinciales informándoles de la necesidad de actualizar la Política de Privacidad y Aviso Legal de todas sus páginas web, adjuntándose a este comunicado las versiones actualizadas que debían publicar. Afirman que todas estas comunicaciones anteriores eran de obligado cumplimiento, y que el PSOE tiene otras medidas de seguridad para salvaguardar la documentación con datos personales, entre ellas: (…). Afirman que el PSOE federal cuenta con una herramienta que realiza una gestión unificada del dato personal, que permite proceder a la eliminación u ofuscación junto a un sistema de auditoría de acciones. Afirman que, a raíz de los hechos denunciados, convocaron en fecha 18 de abril de 2022 al Comité de Protección de Datos y adjuntan el acta de dicha reunión. Del análisis de ésta se extrae: a. Que de dicha reunión se concluye notificar con carácter cautelar la brecha a la AEPD (esta notificación se realiza el 28 de abril de 2022). b. Que de dicha reunión se concluye comunicar los hechos a los militantes de la Nucia, dada la dificultad para concretar qué personas se han podido ver afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/33 c. Enviar un comunicado específico a todas las comisiones ejecutivas como recordatorio en materia de protección de datos, así como las medidas a seguir para destruir el material con datos personales. 9. Afirman que con todo lo anteriormente expuesto, el PSOE demuestra que vela por garantizar el cumplimiento en materia de protección de datos, así como impone que se haga lo mismo en sus distintas estructuras territoriales. 10. Aportan Registro de Actividades de Tratamiento (RAT) que contiene detalles de las siguientes actividades de tratamiento: Solicitantes de Empleo, Empleados, Afiliados, Simpatizantes, Censos/Primarias, Proveedores, Contactos, Mailing, Envío de propaganda electoral y Tienda del PSOE. 11. Aportan el nombramiento del DPD ante esta Agencia. Con fecha 13 de junio de 2022 se recibe por parte del Delegado de Protección de Datos del PSOE un escrito con ampliación de información sobre la brecha de seguridad notificada inicialmente el 28 de abril de 2022. Del análisis de esta ampliación se extrae: 1. En la notificación inicial de 28 de abril de 2022 se comunicaba que la brecha había afectado a 17 personas y que aún no habían sido notificadas, pero que se haría a más tardar el 29 de abril de 2022. En esta nueva ampliación nos informan que dicha notificación se llevó a cabo finalmente el 12 de mayo de 2022 mediante correo postal certificado, adjuntando la carta enviada a los militantes de la Agrupación Socialista La Nucía y aportando el justificante de envío por parte de Correos. 2. Afirman que el 10 de junio de 2022 se volvió a enviar a todos los Secretarios de Organización de los diferentes ámbitos territoriales del PSOE un comunicado recordatorio de las políticas en materia de protección de datos del partido, así como también las medidas que tenían que seguir para destruir el material físico y/o informático que contuvieran datos personales. Acreditan este hecho aportando el contenido del comunicado. Del análisis de este contenido se extrae: (…) Con fecha 18 de agosto de 2022 se decide hacer los siguientes requerimientos de información: I. Requerimiento al PSOE Federal marcado por la siguiente línea de investigación: o Conocer la forma en la que el Secretario de Organización Provincial responsable de la protección de datos, le hizo llegar a las agrupaciones de su localidad las instrucciones sobre cómo debían proceder en la destrucción de documentación con datos personales. o Conocer el motivo por el que se había comunicado la brecha únicamente a 17 afectados, existiendo posiblemente muchos más afectados en la documentación encontrada. o Que acrediten la política de destrucción de documentos que decían tener en la Provincia de Alicante y la Comunidad Valenciana, así como los posibles contratos existentes con empresas certificadas. o Que acrediten las verificaciones existentes en relación con la destrucción de los censos por parte de los Secretarios de Organización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/33 II. responsables de la protección de datos (verificaciones que eran de obligado cumplimiento según normativa interna del partido). Requerimiento a C.C.C., ***PUESTO.1 del Grupo Municipal Socialista del Ayuntamiento de La Nucía, marcado por la siguiente línea de investigación: o o o Conocer las posibles instrucciones que recibía por parte del Ayuntamiento de La Nucía en relación con la protección de datos. Conocer las instrucciones que recibía por parte del Secretario de Organización Provincial en relación con la protección de datos. Conocer el motivo por el cual existía documentación que los concejales tenían en el ejercicio de sus cargos, en una sede distinta de la asignada por el Ayuntamiento. En fecha 02 de septiembre de 2022 se recibe respuesta al requerimiento de información por parte de C.C.C., responsable del Grupo Municipal Socialista en La Nucía, del análisis de esta respuesta se extrae: 1. Afirma que nunca ha recibido ninguna instrucción o protocolo en relación con la protección de datos por parte del Ayuntamiento de La Nucía, ni en su condición de concejala ni como ***PUESTO.1 del Grupo Municipal Socialista. 2. Afirma que por parte del PSOE Federal ha recibido varios comunicados en materia de protección de datos, estos comunicados son los mismos que acreditaba el PSOE Federal en respuesta a nuestro requerimiento y como muestra de una actuación diligente, en concreto acredita los siguientes: a. Dos comunicados recibidos en julio de 2018 con la siguiente información relevante: i. Instrucciones sobre la documentación aportada por los afiliados. ii. Instrucciones sobre el obligado uso de la herramienta interna “Portal Agrupaciones” la gestión de militantes. b. Un comunicado recibido en agosto de 2018 con los textos de la Política de Privacidad, Aviso Legal y Política de Cookies para actualizar las páginas web bajo su gestión. c. Un comunicado recibido en diciembre de 2019 con la necesidad de destruir los censos tras los procesos electorales y la prohibición de depositarlos en los medios habituales de recogida de basura. También se recomienda en este comunicado la firma de los documentos que certifiquen por parte del partido la fe de entrega de los censos a los que se les hubiese entregado en formato papel como parte del proceso electoral. d. Un comunicado recibido en junio de 2022 (fecha en la que ya conocían la brecha de seguridad sufrida) recordando: i. La prohibiendo de elaborar censos salvo el oficial remitido por el PSOE Federal. ii. Recordando la necesidad de destrucción de los censos tras los procesos electorales mediante máquinas trituradoras o empresas certificadas, debiendo ser esta destrucción verificada por los Secretarios de Organización Provinciales. Quedando prohibido hacer uso del censo una vez concluido el proceso electoral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/33 iii. Recordando que en los traslados de sedes donde sea necesaria la destrucción de documentos, equipos o soportes con datos personales, una vez concluidos los plazos legales de conservación, debe realizarse mediante máquinas trituradoras o empresas certificadas y la destrucción debe ser verificada por los Secretarios de Organización. En fecha 13 de septiembre de 2022 y con número de registro de entrada REGAGE22e00039623574, se recibe respuesta por parte del PSOE Federal a nuestro anterior requerimiento de información, de su análisis se extrae lo siguiente: 1. Afirman que todos los comunicados e instrucciones en relación con la protección de datos personales son enviados desde la Secretaría de Organización Federal a través de correo electrónico y de la herramienta interna Portal de Agrupaciones, dirigidos a todos los Secretarios de Organización territoriales responsables en protección de datos (Autonómicos, Provinciales, Municipales y de Distrito), y que “esta forma de proceder tiene su sentido puesto que mucho de estos Secretarios de Organización son compañeros que voluntariamente asumen las funciones de forma altruista y a nivel federal existe mayor profesionalidad”. 2. Afirman que, ante los hechos de La Nucía, se ha convocado una nueva reunión del Comité de Protección de Datos del PSOE el 28 de septiembre de 2022 con objeto de valorar la implantación de fórmulas de mayor control de las políticas de protección de datos a nivel regional, así como nuevos módulos de formación para los Secretarios de Organización. Y, por otro lado, la realización de una investigación exhaustiva de los hechos de La Nucía que analice los motivos de los posibles incumplimientos o desconocimiento de directrices de protección de datos por parte de miembros de la organización, para adoptar otras medidas organizativas y se valore dar traslado de lo sucedido a la Comisión Ejecutiva Federal por si los hechos pudieran dar lugar a la incoación de expedientes disciplinarios. 3. En relación con nuestra solicitud para que aclaren por qué comunicaron la brecha únicamente a 17 personas afectadas: a. Afirman que la documentación encontrada procedía del vaciado de un local que compartía la agrupación local del partido con el Grupo Municipal Socialista del Ayuntamiento de La Nucía y cuyos miembros tenían la doble condición, y que por la información que contiene el inventario que les aportábamos no era posible delimitar en algunos casos si la documentación es responsabilidad del PSOE o del Ayuntamiento, y que “en aras de no causar una alarma innecesaria se ha notificado únicamente a los 17 militantes de la Agrupación Local del PSOE en La Nucía”, siendo estas las únicas personas de la que tienen certeza de que la responsabilidad es del PSOE. b. Por otro lado, afirman que, puesto que la documentación fue encontrada por la Policía Local del municipio y había transcurrido mucho tiempo desde el hallazgo, consideran que la brecha NO supone un riesgo alto para los derechos y libertades de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/33 c. Afirman que esta medida la han adoptado sin perjuicio de aquella otra que esta Agencia considere. 4. En relación con nuestra solicitud para que aporten detalles de la política de destrucción de documentos, así como los posibles contratos existentes con empresas certificadas, contestan: a. Afirman que en el ámbito de la Comunidad Valenciana se ha contratado a la empresa Servicios Documentales Avanzados S.L para la prestación del servicio de custodia, destrucción y digitalización de documentación, y aportan un Anexo del contrato donde se detalla el procedimiento a seguir. Del análisis de este documento se constata que: i. No se aporta la copia completa del contrato, únicamente se adjunta un anexo con el título “Anexo II. Condiciones Generales De Custodia Y Destrucción” y que contiene los pasos a llevar a cabo para la prestación del servicio. En este anexo no aparece en ningún sitio el nombre del PSOE como parte contratante. ii. Al final de este anexo parece recogerse información adicional tapada a conciencia con un cuadrado o cartel blanco superpuesto y que no deja visualizar la información contenida en la parte final del documento. 5. En relación con nuestra solicitud para que confirmen si existió en algún momento verificación y seguimiento de la destrucción de los censos en formato papel por parte de los Secretarios de Organización en la provincia de Alicante y la Comunidad Valenciana, tal y como marca la normativa interna del partido, afirman: a. Que los censos se entregaban a los Secretarios de Organización comarcales para su distribución a las agrupaciones que a su vez lo entregan a los interventores y apoderados, que son personas voluntarias que pueden no ser afiliados al partido y cuya labor es velar por el correcto desarrollo de elecciones y recuento de votos. Que el día siguiente a las elecciones se recogen todas las carpetas en su poder y siguiendo el proceso inverso, debiendo ser finalmente destruidas por los secretarios provinciales. No obstante, afirman que una vez destruidos los censos también fueron destruidos los documentos de la cadena de entrega sin que quedase constancia digital de ello, por lo que no existe evidencia formal más allá de la declaración verbal de los responsables jurídicos del Comité Electoral Provincial de Alicante sobre su destrucción total, en los distintos procesos electorales, igualmente a partir de 2019. 6. Nos afirman que en la próxima reunión convocada del Comité de Protección de Datos se iba a valorar la implantación de fórmulas de mayor seguimiento y control de la cadena de custodia y destrucción de los censos, con mayor nivel de profesionalización y formación de cara a los nuevos procesos electorales e implantando sistemas de verificación a nivel federal que complete lo actualmente existente. En fecha 26 de octubre de 2022 se realiza por parte del inspector una comunicación vía email al Delegado de Protección de Datos del PSOE solicitando aclaración del contrato firmado con la empresa de destrucción de documentos “Servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/33 Documentales Avanzados S.L” (eSEDEA), en concreto se le solicita que vuelvan a remitir por registro electrónico oficial la copia del contrato completo, puesto que únicamente se disponía de un anexo y establa incompleto. En fecha 3 de noviembre de 2022 se recibe respuesta vía email del DPD del PSOE a nuestro correo anterior, comunicando que se había solicitado la documentación al PSOE de Valencia y que la aportarían a través del registro oficial de la Agencia en los próximos días. En fecha 11 de noviembre de 2022 se recibe la documentación solicitada, con número de registro de entrada REGAGE22e00051208708, de su análisis se extrae: 1. Se aporta el contrato al completo escaneado. Queda constatado que la parte que fue tapada a conciencia del Anexo II (motivo por el que se solicitó aclaración al DPD) hacía referencia al inicio del apartado “Anexo III: Confidencialidad del Contrato”, en el cual se hacía mención a la normativa antigua de protección de datos, en concreto aparece el siguiente texto: “ En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999 y el RD 1720/2007, es intención de ambas partes establecer obligaciones y responsabilidades que corresponden a cada una de ellas en el tratamiento de los datos de carácter personal con arreglo a los siguientes puntos: …” . 2. Se aporta una adenda del contrato anterior, con fecha de firma 2 de marzo de 2022, con la que ambas partes acuerdan sustituir este “Anexo III: Contrato de Confidencialidad” acorde a la normativa actual de protección de datos e incluyendo los apartados: a. El objeto del contrato son los servicios de custodia, destrucción y digitalización de la documentación, en concreto se especifica: i. Que la documentación se deposita en contenedores y son enviados por parte del PSOE a eSEDEA, que posteriormente realiza inventario de la documentación indicando Departamento, Referencia, Año de creación, Año de destrucción y la información del contenido. ii. Que previa solicitud del PSOE, eSEDEA puede entregar nuevamente los contenedores al PSOE y mediante nueva solicitud reintegrarlos a su ubicación en el centro de custodia. iii. Que previa solicitud del PSOE, eSEDEA destruirá cualquier documentación del cliente bajo su custodia, entregando certificado de la destrucción si así se solicita por el PSOE. b. De la tipología de la información afectada por el contrato destaca: i. Empleados: Datos identificativos, estado civil, nacimiento, sexo, nacionalidad, datos de salud (bajas por enfermedad, grado discapacidad…sin inclusión de diagnósticos), afiliación sindical, permisos y autorizaciones. ii. Afiliados/Militantes: Datos identificativos, estado civil, sexo, nacionalidad, nacimiento, lengua materna, datos académicos y profesionales, afiliación sindical y pertenencia a otras asociaciones, datos de detalles de empleo, datos bancarios, transacciones financieras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/33 iii. Simpatizantes: Datos identificativos, estado civil, nacimiento, sexo, nacionalidad, lengua materna, datos académicos y profesionales, pertenencia a asociaciones. TERCERO: Con fecha 2 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al Grupo Municipal Socialista de la Nucia, por la presunta infracción del artículo 5.1.

1. f)del RGPD, tipificada en el artículo 83.5 del RGPD, y por las presuntas infracciones de los artículos 32 del RGPD, 34 del RGPD y 28 del RGPD, tipificadas en el artículo 83.4 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibido en fecha 6 de marzo de 2023, como consta en el certificado que obra en el expediente. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, el Grupo Municipal Socialista de la Nucia presentó escrito de alegaciones en el que, en síntesis, lamenta el error cometido con el vaciado de la sede del Grupo Municipal y la mala praxis de la empresa contratada que depositó en un descampado, documentación que contenía datos personales que ha llevado a esta Agencia de Protección de Datos a acordar el inicio de un expediente sancionador. Por otra parte, expresa su sorpresa ante el hecho de que por parte del Excelentísimo Ayuntamiento de la Nucia se presentase denuncia ante esta Agencia de Protección de Datos y se recabase la información necesaria sin, en ningún momento, contactar con el Grupo Municipal en el Ayuntamiento, sin haber podido acceder a la documentación y sin saber qué medidas de custodia se aplicaron a esta documentación. Aporta informe emitido por el Delegado de Protección de Datos del Partido Socialista Obrero Español en el que pone de manifiesto que en la organización existen medidas de seguridad que, de haberse cumplido, hubieran evitado la desafortunada situación acontecida, pero se ha evidenciado que respecto a los Grupos Municipales en las instituciones es obligatorio realizar una serie actuaciones que eviten estas situaciones, sin perjuicio de las medidas y responsabilidades propias de las Corporaciones Locales, de las que forman parte los Grupos Municipales. Expone que, dada la descentralización de la formación política, se delegó en el territorio la verificación de destrucción de los censos electorales, así como la implantación de ciertas medidas de seguridad que se han señalado por parte de los diferentes ámbitos territoriales de la organización, entre los que se encuentra un contrato vigente con una entidad especializada en la destrucción segura de documentación. Indica que sin embargo, poco puede hacerse con quien ignora las medidas establecidas más que, una vez detectada la situación, en su caso, instruir procedimientos disciplinarios conforme a las normas internas, tal y como se acordó en la reunión del Comité de Protección de Datos del PSOE, el 28 de septiembre de 2022, y mejorar los sistemas de verificación e información, especialmente respecto de los grupos municipales, a pesar de su singular naturaleza, sin perjuicio, en todo caso, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/33 considerar la buena fe de los compañeros, como se ha podido detectar en este caso, en el que se ha evidenciado un lamentable error al confiar en la actuación de una empresa que no era la adecuada y el depósito de la documentación en un lugar "punto limpio" que pese a una posible apariencia, al tratarse de un lugar habilitado municipalmente, no reúne los requisitos necesarios para ello, y deberían haber procedido a la destrucción segura y certificada. Es decir, esta situación se produjo a pesar de las medidas organizativas y de seguridad que se habían establecido en la organización, sin que conste que a los datos puestos en situación de riesgo hayan accedido terceras personas diferentes a la Policía quien deposita esta información en el Ayuntamiento de La Nucía, por lo que no habría sido comprometida, afortunadamente, la confidencialidad de los datos. Entiende que de buena fe y con la mayor diligencia se cumplió lo establecido en los artículos 33 y 34 RGPD, respecto de la gestión de la brecha y que no se ha visto comprometida la confidencialidad de los datos al no haber evidencia alguna de que se haya accedido a los datos por ningún tercero, considerando, en este momento, que es improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas, por lo que no procedieron a ampliar la comunicación de la brecha efectuada. En relación con la posible vulneración del artículo 28 RGPD, manifiesta que esta situación se produjo a pesar de las medidas organizativas y de seguridad que se habían establecido en la organización. Así, tal y como consta acreditado en el expediente de referencia, por parte del PSPV-PSOE (ámbito territorial del PSOE en la Comunidad Valenciana) existe un contrato vigente con la empresa Servicios Documentales Avanzados S.L para la prestación del servicio de custodia, destrucción y digitalización de documentación; sin embargo, tal y como se ha señalado, de forma errónea y equivocada, aunque de buena fe, se optó por el Grupo Municipal Socialista de La Nucía por encargar a una empresa de mudanzas que se comprometió a una serie de obligaciones que después no cumplió y depositó indebidamente la documentación en un descampado. A pesar de lo anterior, desea hacer partícipe a esta AEPD, de nuevas medidas que se han adoptado o se está trabajando en adoptar de cara a reforzar el cumplimiento en la organización en materia de protección de datos de carácter personal. QUINTO: Con fecha 28 de abril de 2023 se formuló propuesta de resolución en la que se daba respuesta a las alegaciones planteadas, se proponía la imposición de una sanción de apercibimiento por la presunta infracción del artículo 5.1.
2. f)del RGPD, tipificada en el artículo 83.5 del RGPD, y por las presuntas infracciones de los artículos 32 del RGPD, 34 del RGPD y 28 del RGPD, tipificadas en el artículo 83.4 del RGPD y se otorgaba un plazo de 10 días para la presentación de alegaciones. No consta la presentación de alegaciones frente a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/33 PRIMERO: Consta acreditado que el Grupo Municipal Socialista La Nucia, contrató una empresa de portes y mudanzas para el traslado de la documentación desde su sede al Ecoparque y que la contratación con esta empresa se realizó a través de conversaciones de WhatsApp. SEGUNDO: En fecha 10 de febrero de 2022, la AEPD tuvo conocimiento a través de una denuncia efectuada por parte del EXCMO. AYUNTAMIENTO DE LA NUCIA, del descubrimiento de diversa documentación abandonada en un descampado, que contenía un gran número de datos personales, algunos de categoría especial. TERCERO: Entre la documentación encontrada se confirma la existencia de, como mínimo, la siguiente tipología de información personal responsabilidad del PSOE: Censos de los siguientes procesos electorales: Elecciones municipales de 2007, 2011 y 2019, Elecciones europeas de 2004,2009 y 2014, Elecciones generales de 2015, 2016, 2019, Fichas de afiliados con DNI y otros datos personales, Fotocopias de DNI de los afiliados, Cargos de cuotas de afiliados con números de cuentas bancarias. CUARTO: Si bien por parte del PSOE, se envió un comunicado conteniendo el procedimiento que debía seguirse para la destrucción de los censos electorales (inclusive aquellos que pudieran tener de procesos electorales anteriores y que no hubieran sido destruidos), consta probado el incumplimiento por parte del Grupo Municipal Socialista de la obligación de destruir los censos electorales empleados en todos los formatos posibles. QUINTO: El Grupo Municipal Socialista La Nucia no ha comunicado la brecha de seguridad y sus posibles efectos adversos a los afectados como tampoco ha advertido de forma pública la incidencia detectada. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/33 En el presente caso, se procede a examinar la denuncia presentada por el Excmo. Ayuntamiento de la Nucia, por medio de la cual, se pone en conocimiento de esta Agencia el descubrimiento de diversa documentación abandonada en un descampado, que contiene un gran número de datos personales tanto de los ciudadanos del municipio de la Nucia, como de personas afiliadas al Partit Socialista del País Valencià, así como información municipal obtenida por la condición de cargos públicos del Ayuntamiento y material propio de la actividad del partido. En la denuncia se indica que esta documentación no ha podido ser extraída de la sede del Ayuntamiento, sino que es entregada a los miembros de la corporación municipal pertenecientes al PSOE de Valencia (PSPV) en base a su derecho a obtener la información necesaria para el ejercicio de sus competencias, tal como recoge el Real Decreto 2568/1986, de 28 de noviembre, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, siendo ajeno el Ayuntamiento de la Nucia al tratamiento de la información hallada. Asimismo, se indica que el deber de custodia diligente no ha sido cumplido por las personas receptoras de dichos documentos. Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo es acorde con lo establecido en el RGPD. A efectos del RGPD, es responsable del tratamiento según el artículo 4.7: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.” A este respecto, el PSOE afirma que cuenta con más de 3000 Agrupaciones como forma de organizarse en el ámbito local, y que los responsables a nivel local de la protección de datos según las normas internas del PSOE, son los secretarios de Organización, personas que en muchos casos realizan su labor de forma altruista y voluntaria. Desde la organización federal, regional y provincial se da a estos responsables, instrucciones y actuaciones muy concretas y garantes con la protección de los datos personales y que, dada la gran implantación existente y que esos cargos se asumen de forma gratuita y altruista, es muy difícil controlar la diligencia con la que actúan, a pesar de todo el esfuerzo. El artículo 4.2 del RGPD, además, define: “tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción” Trasladando estas consideraciones al caso concreto que se examina, el Grupo Municipal Socialista del Ayuntamiento La Nucia realiza esta actividad en su condición de resC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/33 ponsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” De las actuaciones practicadas, se ha constatado que la brecha tuvo como vector de entrada la destrucción por parte del Grupo Municipal Socialista de La Nucia de documentación con datos sensibles (que contenía, entre otros, censos y listados de afiliados) utilizando métodos inadecuados para ello, lo que desembocó en el abandono en un descampado de un gran volumen de documentación sin destruir, con datos de categoría especial. Entre la documentación encontrada se confirma la existencia de, como mínimo, la siguiente tipología de información personal responsabilidad del PSOE: Censos de los siguientes procesos electorales: Elecciones municipales de 2007, 2011 y 2019, Elecciones europeas de 2004, 2009 y 2014, Elecciones generales de 2015, 2016, 2019, Fichas de afiliados con DNI y otros datos personales, Fotocopias de DNI de los afiliados, Cargos de cuotas de afiliados con números de cuentas bancarias. Asimismo, entre los documentos hallados existe alguno cuya fecha se remonta a 1989. No consta justificación de por qué se había conservado durante tanto tiempo toda esa documentación. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
3. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32 y 34 del RGPD, que reglamentan la seguridad del tratamiento y la comunicación de una violación de la seguridad de los datos personales al interesado, respectivamente. El artículo 28 del RGPD hace referencia a la figura del encargado del tratamiento. III Alegaciones aducidas al Acuerdo de Inicio En respuesta a las alegaciones presentadas por el Grupo Municipal Socialista La Nucia, se debe señalar lo siguiente: En primer lugar, el Grupo municipal lamenta el error cometido con el vaciado de la sede del Grupo Municipal y la mala praxis de la empresa contratada que depositó en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/33 un descampado, documentación que contenía datos personales que ha llevado a esta Agencia de Protección de Datos a acordar el inicio de un expediente sancionador. En este sentido, procede señalar que las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. Por otro lado, en respuesta al informe emitido por el Delegado de Protección de Datos del Partido Socialista Obrero Español que el Grupo Municipal Socialista La Nucia ha adjuntado a su escrito de alegaciones al acuerdo de inicio se debe señalar lo siguiente: En cuanto a que la situación se produjo a pesar de las medidas organizativas y de seguridad que se habían establecido en la organización, sin que conste que, a los datos puestos en situación de riesgo, hayan accedido terceras personas diferentes a la Policía que depositó la información, por lo que no se vio comprometida la confidencialidad de los datos, procede señalar que lo relevante para entender vulnerada la confidencialidad es el riesgo de que la información se encontrara totalmente a la libre disposición de terceros no autorizados. El hecho de que no conste una utilización posterior de los datos no desvirtúa el riesgo cierto de que se haya producido un acceso no autorizado, lo cual es un hecho especialmente grave debido al tipo de datos personales contenidos en la documentación que fue abandonada en un espacio de libre acceso. En este sentido, es importante el hecho de que fueran objeto de pérdida de confidencialidad como mínimo, la siguiente tipología de información personal responsabilidad del PSOE: Censos de los siguientes procesos electorales: Elecciones municipales de 2007, 2011 y 2019, Elecciones europeas de 2004, 2009 y 2014, Elecciones generales de 2015, 2016, 2019, Fichas de afiliados con DNI y otros datos personales, Fotocopias de DNI de los afiliados, Cargos de cuotas de afiliados con números de cuentas bancarias. Por tanto, no puede defenderse de ninguna manera que no exista una infracción del artículo 5.1.
4. f)RGPD, puesto que, al no haberse adoptado medidas de seguridad adecuadas, los datos personales estuvieron accesibles. Se apunta en el citado informe que en la organización existen medidas de seguridad que, de haberse cumplido, hubieran evitado la desafortunada situación acontecida, y que poco puede hacerse con quien ignora las medidas establecidas más que, una vez detectada la situación, en su caso, instruir procedimientos disciplinarios conforme a las normas internas y mejorar los sistemas de verificación e información, especialmente respecto de los grupos municipales. Frente a ello, procede señalar que la aparición de un gran volumen de documentación con datos de categoría especial en un descampado sin destruir pone de manifiesto que por parte del responsable del tratamiento no se prestó la diligencia necesaria en orden a hacer efectivas las medidas de seguridad toda vez que se desentendió del destino de los documentos. Igual que los recuperó la Policía, podrían haber accedido a ellos terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/33 De todo ello se deduce una falta de la debida diligencia tanto en el cumplimiento de las medidas de seguridad establecidas, así como en la supervisión o comprobación de su observancia y/o de la idoneidad de estas. De hecho, por parte del PSOE, se envió un comunicado conteniendo el procedimiento que debía seguirse para la destrucción de los censos electorales (inclusive aquellos que pudieran tener de procesos electorales anteriores y que no hubieran sido destruidos), que fue desatendido por parte del Grupo Municipal Socialista en su obligación de destruir los censos electorales empleados en todos los formatos posibles. A este respecto, se señala que el artículo 32 del RGPD se infringe tanto si no se adoptan por el responsable las medidas de índole técnica y organizativas apropiadas que garanticen la seguridad de los datos personales, como si, establecidas éstas, las mismas no se observan. Se entiende que las medidas de seguridad implantadas eran insuficientes, susceptibles de ser mejoradas; lo que se pone de manifiesto con la afirmación de que los mecanismos son mejorables y, de hecho, ya se han relacionado algunas acciones llevadas a cabo para su mejora, como contratar una empresa externa de consultoría en materia de protección de datos, entre otras. En cuanto a que se cumplió lo establecido en los artículos 33 y 34 RGPD, respecto de la gestión de la brecha y que no se vio comprometida la confidencialidad de los datos al no haber evidencia alguna de que se haya accedido a los datos por ningún tercero, considerando, en este momento, que es improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas, por lo que no procedieron a ampliar la comunicación de la brecha efectuada, tal y como se indicó en el Acuerdo de Inicio del presente procedimiento sancionador, en función del número de sujetos afectados y las categorías de los datos objeto de acceso, se considera que existe un alto riesgo para los derechos y libertades de las personas físicas y, en consecuencia, la brecha debió ser comunicada a todas las personas afectadas. Hay que tener en cuenta las graves consecuencias que puede tener en los derechos y libertades de los afectados, la filtración de Censos de procesos electorales: Elecciones municipales de 2007, 2011 y 2019, Elecciones europeas de 2004, 2009 y 2014, Elecciones generales de 2015, 2016, 2019, Fichas de afiliados con DNI y otros datos personales, Fotocopias de DNI de los afiliados, Cargos de cuotas de afiliados con números de cuentas bancarias. A este respecto el mencionado artículo 34 establece que cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. En relación con la posible vulneración del artículo 28 RGPD, manifiesta que “esta situación se produjo a pesar de las medidas organizativas y de seguridad que se habían establecido en la organización. Así, tal y como consta acreditado en el expediente de referencia, por parte del PSPV-PSOE (ámbito territorial del PSOE en la Comunidad Valenciana) existe un contrato vigente con la empresa Servicios Documentales Avanzados S.L para la prestación del servicio de custodia, destrucción y digitalización de documentación; sin embargo, tal y como se ha señalado, de forma errónea y equivocada, aunque de buena fe, se optó por el Grupo Municipal Socialista C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/33 de La Nucía por encargar a una empresa de mudanzas que se comprometió a una serie de obligaciones que después no cumplió y depositó indebidamente la documentación en un descampado.” Pues bien, las actuaciones desarrolladas han acreditado que se contrató con una empresa de portes y mudanzas el traslado de la documentación desde la sede del Grupo Municipal Socialista La Nucia al Ecoparque y que la contratación con esta empresa se realizó a través de conversaciones de WhatsApp. Es decir, no se suscribió ningún tipo de contrato de encargado de tratamiento para la destrucción o expurgo de la documentación, sino que se confió en que la empresa de portes y mudanzas trasladaría la documentación al ecoparque si bien no consta la existencia de confirmación posterior de la destrucción por parte de esta. El contrato de mudanza no es un contrato de encargado de tratamiento sino un tipo de contrato de transporte cuyo objeto, definición, naturaleza y responsabilidades vienen reguladas legalmente. Finalmente, en cuanto a las nuevas medidas que se han adoptado o se está trabajando en adoptar de cara a reforzar el cumplimiento en materia de protección de datos, aunque refleja una conducta positiva, no desvirtúan los hechos constatados. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que se declaran cometidas ni suponen causa de justificación o exculpación suficiente. IV Obligación incumplida. Deber de confidencialidad. Establece el artículo 5.1.
5. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que el Grupo Municipal Socialista La Nucia vulneró el artículo 5.1 del RGPD, principios relativos al tratamiento, al producirse una violación de seguridad que tuvo como vector de entrada la destrucción por parte del Grupo Municipal de documentación con datos sensibles (que contenía, entre otros, censos y listados de afiliados) utilizando métodos inadecuados para ello, lo que desembocó en el abandono en un descampado de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/33 gran volumen de documentación sin destruir, con datos de categoría especial, posibilitando su acceso por terceros ajenos, vulnerándose los principios de integridad y confidencialidad, ambos establecidos en el artículo 5.1.
7. f)del RGPD. En consecuencia, se considera que los hechos acreditados son constitutivos de infracción, imputable al Grupo Municipal Socialista La Nucia, por vulneración del artículo 5.1.
8. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
9. f)del RGPD. La citada infracción del artículo 5.1.
10. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Artículo 32 del RGPD En lo que respecta a la aplicación de la normativa de protección de datos al supuesto planteado, debe tenerse en cuenta que el RGPD, en su artículo 32, exige a los responsables del tratamiento, la adopción de las correspondientes medidas de seguridad necesarias que garanticen que el tratamiento es conforme a la normativa vigente, así como garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales, solo los pueda tratar siguiendo instrucciones del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/33 Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
13. a)la seudonimización y el cifrado de datos personales;
14. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
15. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
16. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos,” Por otra parte, el Considerando