← España

PS-00058-2022

1/16  Expediente N.º: PS/00058/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de la notificación el 5 de abril de 2021 de una brecha de seguridad de datos personales por parte del AYUNTAMIENTO DE SABIÑANIGO con NIF P2227500B (en adelante el Ayuntamiento) a la División de Innovación Tecnológica de esta Agencia, el 13 de abril de 2021 se ordena por la Directora a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. En la brecha de seguridad notificada por el Ayuntamiento, se informaba lo siguiente: El día 26 de marzo de 2021, unos ciudadanos entregan un pendrive en objetos perdidos (policía local). El dispositivo ha sido encontrado en las inmediaciones de las dependencias de la policía local. (…). (…). Número de aproximado de afectados según notificación: 9000 ciudadanos. Indican que no comunican la brecha a los afectados. Junto a la notificación se aporta: -Documento de análisis de la necesidad de notificación de la violación de seguridad realizado por la Delegada de Protección de Datos del Ayuntamiento. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a la Agencia Española de Protección de Datos en el artículo 37 de la LOPD y de conformidad con el artículo 122 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante RD 1720/2007) En virtud de ello, se ha solicitado información y documentación al Ayuntamiento y de la respuesta recibida el día 5 de mayo de 2021, junto con la información aportada al notificar la brecha el día 5 de abril de 2021, se desprende lo siguiente, de acuerdo con las declaraciones que aparecen en estos escritos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final (…). Respecto de las causas que hicieron posible la brecha (…). Respecto de los datos afectados (…). Respecto de las medidas de seguridad implantadas (…). - (…). - (…). Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente - (…). Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. - (…). - (…) - (…). - (…). - (…). Respecto de la notificación con posterioridad a las 72 horas (…): “(…).” (…). Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 TERCERO: Con fecha 8 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar PROCEDIMIENTO DE DECLARACIÓN DE INFRACCIÓN DE LA ADMINISTRACIÓN PÚBLICA al AYUNTAMIENTO DE SABIÑÁNIGO, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 9 de la LOPD, en relación con los artículos 88, 90, 91, 92, 95, 97, 101 y 103 del RD 1720/2007 y tipificada como grave en el artículo 44.3

  1. h)de la LOPD. El acuerdo de inicio se notificó conforme a las normas establecidas en la LPACAP el día 8 de abril de 2022, como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha 26 de abril de 2022, se recibe en esta Agencia, escrito de AYUNTAMIENTO DE SABIÑÁNIGO en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: 1. SOBRE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 9 DE LA LEY ORGÁNICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. El Ayuntamiento sostiene que los datos personales afectados estaban siendo tratados para la finalidad de ejercer sus funciones atribuidas como Policía administrativa, totalmente ajenas o independientes del ámbito penal, por lo que no resulta de aplicación la Directiva (UE) 2016/680, del Parlamento y del Consejo de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, siéndole, por tanto, aplicable el RGPD. Por tanto, alega que no se le aplica la Disposición Transitoria Cuarta de la LOPDGDD, por lo que el régimen aplicable al tratamiento no es el de la LOPD y, por ende, tampoco se le aplican los requisitos de seguridad establecidos en el Capítulo III del RD 1720/2007. Frente a ello, procede señalar que el propio Ayuntamiento informó en su notificación de brecha de seguridad que los datos afectados por la misma, es decir, que los datos personales contenidos en el dispositivo USB extraviado eran, entre otros, datos relativos a condenas e infracciones penales, por lo que resulta ser un tratamiento sometido a la Directiva UE 2016/680. En consecuencia, dado que los hechos sucedieron antes de la entrada en vigor de la Ley Orgánica 7/2021, que ha venido a trasponer la citada Directiva a nuestro ordenamiento jurídico, de conformidad con la disposición transitoria cuarta de la LOPDGDD, resulta al presente caso aplicable la LOPD y las medidas de seguridad establecidas en su reglamento de desarrollo (RD 1720/2007), tal y como se ha expuesto en el Fundamento Jurídico anterior. Por lo expuesto, se desestimó la alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 2. RESPECTO A LAS MEDIDAS DE SEGURIDAD. Aduce el Ayuntamiento que tienen implementadas todas las medidas de seguridad cumpliendo con ello con la gestión del riesgo establecida en el artículo 32 del RGPD, incluso con las que establece el RD 1720/2007. En acreditación de ello, aporta diversos documentos que contienen respectivamente su Política de Protección de Datos, un protocolo de gestión de violaciones de seguridad, un protocolo de notificación de violaciones de seguridad, un comunicado remitido a los miembros de la Policía Local informando sobre la existencia de un Responsable de Seguridad y el cartel junto con el índice respecto de un taller formativo en materia de protección de datos para los empleados. Considera, además, que como en el caso que nos ocupa no se produjo finalmente ninguna brecha de seguridad, la confidencialidad, integridad y disponibilidad de la información no se han visto afectadas, lo que significa que las medidas de seguridad que aplica al tratamiento de datos personales, así como los distintos protocolos y procedimientos implantados funcionan de manera coherente y efectiva. En contra de lo argumentado, cabe señalar que de los hechos del caso que nos ocupa se infiere lo contrario, es decir, el incumplimiento de las medidas de seguridad que le resultan de obligado cumplimiento. Así, (…).. (…). Por otro lado, parte de la documentación aportada no refleja en realidad medidas técnicas y organizativas de seguridad efectivamente implantadas, sino que son documentos que se limitan a reproducir artículos y considerandos del RGPD, describir definiciones de conceptos en materia de protección de datos o recomendaciones genéricas de medidas a adoptar (“podrá adoptar…; se deberán implantar…), pero sin concretar medidas específicas adoptadas efectivamente por el Ayuntamiento. No obstante, la adopción de los protocolos mencionados y de la distribución de información al personal en materia de protección de datos se valora positivamente por esta Agencia. En cuanto al resto de consideraciones del Ayuntamiento, relativas a que no existió intencionalidad alguna y que con carácter urgente se adoptaron medidas tendentes a la corrección de la concreta incidencia, se indica que esta Agencia no considera que hubiera existido una clara voluntad de incumplimiento de la normativa de protección de datos, sino que el ayuntamiento actuó de forma negligente al no haber cumplido con las medidas de seguridad que le son exigibles por la normativa aplicable, tal y como se ha señalado. Por lo expuesto, se desestimó la alegación. QUINTO: con fecha 15 de septiembre de 2021, el órgano instructor del procedimiento formuló propuesta de resolución, en la que propone que por la Directora de la AEPD que declare la infracción del artículo 9 de la LOPD, en relación con los artículos 88, 90, 91, 92, 95, 97, 101 y 103 del RD 1720/2007 del AYUNTAMIENTO DE SABIÑANIGO, con NIF P2227500B y tipificada como grave en el artículo 44.3
  2. h)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Esta propuesta de resolución, que se notificó al Ayuntamiento conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 15 de septiembre de 2021, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 29 de septiembre de 2021, se recibe en esta Agencia, en tiempo y forma, escrito del Ayuntamiento en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifiesta lo siguiente: Primero: SOBRE LA SUPUESTA INFRACCIÓN DEL ARTÍCULO 9 DE LA LEY ORGÁNICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL, EN RELACIÓN LOS ARTÍCULOS 88, 90, 91, 92, 95, 97, 101 Y 103 DEL REAL DECRETO 1720/2007 Señala el Ayuntamiento que nunca se ha demorado varias semanas en comprobar que efectivamente no se encontraban ante una brecha de seguridad en los términos previstos en la normativa en materia de protección de datos personales, sino que se tardaron únicamente 5 días hábiles. Asimismo, señalan que en todo momento han acreditado que son una entidad local que ha asumido la máxima responsabilidad y compromiso con el establecimiento, implementación y mantenimiento de una Política de Protección de Datos (adjunta como ANEXO N. 1), garantizando la mejora continua con el objetivo de alcanzar la excelencia en relación con el cumplimiento del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), y de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (Ley Orgánica 3/2018). Indica el Ayuntamiento que, en su Política de Protección de Datos, se recoge que el responsable del tratamiento se regirá por, entre otros, los siguientes principios que deben servir a todo su personal como guía y marco de referencia en el tratamiento de datos personales: Protección de datos desde el diseño; Protección de datos por defecto; Protección de datos en el ciclo de vida de la información; Limitación del plazo de conservación. Continúa que, con motivo de los cambios normativos producidos el pasado 2018, desde el Ayuntamiento de Sabiñánigo han aprobado, implantado y mantienen un Sistema de Protección de Datos, con el objetivo de alcanzar la excelencia en relación con el cumplimiento del Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), y de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (Ley Orgánica 3/2018). Asimismo, indican que en cumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de esta, el Ayuntamiento ya contaba con un sistema de protección de datos de carácter personal, se adjunta como ANEXO N. 2, en los términos previstos en la citada normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 En definitiva, que desde la entidad local afirman que se han adoptado tanto las medidas técnicas y organizativas relativas a la aplicación de la Ley Orgánica 15/1999, así como de la normativa vigente en materia de protección de datos personales. (…). Respecto a las medidas técnicas y organizativas adoptadas o aplicadas por el Ayuntamiento de Sabiñánigo, estas se encuentran registradas en un resumen incluido en las últimas páginas de su Registro de Actividades del Tratamiento que adjuntan como ANEXO N. 4. En este sentido, subraya el Ayuntamiento que la realización de una copia de información en un pen drive nunca ha tenido por objeto ocasionar perjuicio alguno a los interesados afectados, realmente esta situación ha sido derivada de una autorización excepcional para un trabajo puntual. Y que, a fin de prevenir situaciones que impliquen un riesgo para la información que sus usuarios de los sistemas de información tratan para desempeñar sus funciones, todos han recibido unas claras instrucciones con las normas de uso del conjunto de tratamientos, programas, soportes y equipos empleados para el tratamiento de datos de carácter personal y otras informaciones protegidas por el deber de secreto responsabilidad del Ayuntamiento de Sabiñánigo (adjunta como ANEXO N. 5). Añaden que nunca han recibido una reclamación ante la Agencia Española de Protección de Datos por una presunta infracción de la normativa vigente en materia de protección de datos personales y que, por tanto, no nos encontramos ante un error sistemático en los procedimientos regulares establecidos en el Ayuntamiento de Sabiñánigo en relación con la implantación de las medidas técnicas y organizativas para garantizar la confidencialidad, integridad y disponibilidad de la información. Tal y como han indicado, las investigaciones sobre los hechos que han derivado en una supuesta infracción del artículo 9 de la LOPD fueron finalizadas en 5 días hábiles, (…), por lo que las consecuencias para los derechos y libertades de los ciudadanos han sido inexistentes. No obstante, esta situación ha sido adoptada por el Ayuntamiento de Sabiñánigo como una oportunidad para perfeccionar el sistema de protección de datos personales, razón por la cual se han diseñado e implantado medidas de seguridad de carácter organizativo adicionales que permitirán evitar que esta situación se reproduzca en el futuro, y de las que hemos informado a la propia Agencia Española de Protección de Datos a lo largo del procedimiento: 1. Designación de un Responsable de Seguridad en el seno de la Policía Local del Ayuntamiento de Sabiñánigo. 2. Comunicado a empleados. Se remitió una comunicación dirigida a todos los policías locales con ánimo de informarles sobre la creación de la figura del Responsable de Seguridad en el seno de la Policía Local de Sabiñánigo, contribuyendo ello al refuerzo de la cultura de protección de datos personales actualmente existente. 3. Formación para los empleados en materia de protección de datos. Se realizó un taller formativo para los miembros de la Policía Local del Ayuntamiento de Sabiñánigo con acceso a datos, con la finalidad de concienciar sobre la importancia de garantizar el derecho fundamental a la protección de datos personales y de recordarles las medidas de seguridad esenciales que deben respetar en el normal desenvolvimiento de su actividad propia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Añaden que (…), pues su Política de uso de los sistemas de información ha sido puesta a disposición de todos los usuarios de los sistemas de información del Ayuntamiento de Sabiñánigo para que conozcan las instrucciones que deben cumplir para respetar la Política de protección de datos del responsable del tratamiento. Todo ello, según el Ayuntamiento, demuestra que no existe un fallo en la propia concepción de su sistema de protección de datos, pues esta situación deriva de un error humano que dimana directamente de una carencia absoluta de profesionalidad de un empleado de la entidad al incumplir las instrucciones que se le han facilitado. Por último, añade que (…). Por todo ello, concluye el Ayuntamiento que no incumple la normativa en materia de protección de datos personales toda vez que ha adoptado las medidas de seguridad técnicas y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. Los hechos que han derivado en el Expediente N.º: PS/00058/2022 han sido consecuencia de un incumplimiento humano puntual y aislado de las políticas aprobadas por esta entidad local. Segundo: SOBRE OTRAS CONSIDERACIONES. Como corolario a todo lo expuesto, y con carácter complementario, el Ayuntamiento realiza las siguientes observaciones: 1. No se ha producido daño o perjuicio cuantificable alguno, atendiendo a la naturaleza, gravedad y duración de la situación. 2. No ha existido intencionalidad alguna por parte de la entidad, derivándose toda la situación de unas circunstancias extraordinarias y excepcionales. 3. Se han adoptado, con carácter urgente, todas las medidas tendentes a la corrección de la concreta incidencia objeto de reclamación, así como todas las medidas complementarias necesarias para evitar que la misma se reproduzca en un futuro, aun cuando concurran circunstancias tan singulares y extraordinarias como las que eventualmente se han producido en el caso presente. 4. La entidad no ha cometido con anterioridad infracción alguna relacionada con la normativa de protección de datos personales. 5. Iniciado el presente expediente administrativo el pasado mes de abril de 2021, esta Entidad Local no se encuentra inmersa en otros procedimientos administrativos en materia de protección de datos personales. 6. Se han destinado una gran cantidad de recursos y esfuerzos para colaborar con la Agencia Española de Protección de Datos y así garantizar la defensa de los derechos y libertades del interesado. 7. No se trata de una actuación con la que se pretendan obtener beneficios (y, efectivamente, no se han obtenido). Por todo lo alegado, el Ayuntamiento solicita que se proceda a archivar el expediente de referencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 5 de abril de 2021, el Ayuntamiento de Sabiñánigo notifica a la Agencia Española de Protección de Datos una brecha de seguridad en la que informa de lo siguiente: -Unos ciudadanos, el día 26 de febrero de 2021, entregan un pendrive en objetos perdidos (policía local) encontrado en la calle, en las inmediaciones de las dependencias de la policía local. -(…) -(…). -Afectados aproximadamente: 9.000 ciudadanos -Indican que no comunican la brecha los afectados. SEGUNDO: Según manifiesta posteriormente el Ayuntamiento, el 6 de abril de 2021 descubre que en realidad fue un usuario autorizado el que accedió a los datos en cuestión y los copió a un dispositivo USB que extravió al sacarlo de la comisaría, por lo que se concluyó que no se había producido una brecha de seguridad, de lo cual informa a esta Agencia el 5 de mayo de 2021, en su escrito de contestación al requerimiento efectuado por esta. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable En virtud de lo establecido en el artículo 36 y de los poderes reconocidos en el artículo 37 de la Ley Orgánica 15/1999, de 13 de diciembre (en adelante LOPD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, establece en su disposición transitoria cuarta que Los tratamientos sometidos a la Directiva UE 2016/680 del Parlamento Europeo y del Consejo, de 27/04/2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13/12 , y en particular el artículo veintidós, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 La Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales ha venido a trasponer al Derecho español lo dispuesto en la citada directiva. No obstante, de conformidad con su Disposición final duodécima, la misma no entró en vigor hasta el 16 de junio de 2021. Por tanto, en el caso que nos ocupa, dado que los hechos sucedieron el 26 marzo de 2021, la normativa que resulta de aplicación es la Ley Orgánica 15/1999, de 13 de diciembre (LOPD), en particular, su artículo 22, y sus disposiciones de desarrollo. Asimismo, el procedimiento a seguir será el establecido en el artículo 48 de la LOPD y en el Capítulo III del RD 1720/2007. II Cuestiones previas De acuerdo con lo establecido en el artículo 3
  3. c)de la LOPD, consta la realización de un tratamiento de datos personales, toda vez que el Ayuntamiento realiza, entre otros tratamientos, de conformidad con su Registro de Actividades de Tratamiento (en adelante RAT), la recogida, registro, organización, estructuración, conservación o almacenamiento, consulta, utilización, comunicación por transmisión, difusión, comparación o cotejo y combinación o interconexión de los siguientes datos personales de personas físicas, tales como: nombre y apellidos; NIF; dirección postal; dirección de correo electrónico; teléfono; datos de localización; circunstancias sociales; datos de naturaleza penal; económicos, financieros y de seguros; firma/huella; firma electrónica; ideología; imagen/voz; infracciones y sanciones administrativas; origen racial o étnico; religión y de salud. Asimismo, el Ayuntamiento, según su RAT, trata todos estos datos personales en relación con la actividad de tratamiento (…), para los siguientes fines: “Tratamiento de los datos de carácter personal necesarios para el mantenimiento y gestión de las actividades y funciones que tiene encomendadas la policía local, ya sea en materia administrativa o judicial, reflejadas en el artículo 53 de la Ley Orgánica 2/1986, de 13 marzo, de Fuerzas y Cuerpos de Seguridad y en el artículo 25 de la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD” Por tanto, el Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 3
  4. d)de la LOPD III Alegaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 1. Sobre la infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación los artículos 88, 90, 91, 92, 95, 97, 101 y 103 del Real Decreto 1720/2007 En relación con la primera de las alegaciones, relativa a que no se ha cometido la infracción del artículo 9 de la LOPD, ya que el Ayuntamiento manifiesta que en todo momento tenía establecidas las medidas técnicas y organizativas adecuadas tanto para dar cumplimiento a la normativa actual en materia de protección de datos -RGPD y LOPDGDD- como para cumplir igualmente la LOPD y su reglamento de desarrollo (RD 1720/2007), se significa que de los hechos acaecidos y probados se deduce lo contrario, pues tal y como se ha señalado a lo largo del presente procedimiento sancionador, (…), lo que provocó que se pensara que se había producido un acceso por un tercero no autorizado, tardándose 10 días en descubrir quién había realizado el acceso y que, además, resultaba que era un usuario también con autorización para ello, según manifestó posteriormente el Ayuntamiento. Asimismo, no constaba un registro ni ninguna autorización para sacar esa información de las dependencias municipales en un dispositivo móvil. (…). En cuanto a que ahora el Ayuntamiento indica que sí tenía implantadas todas las medidas exigidas por la normativa, se significa que el artículo 9 -en relación con los preceptos indicados del RD 1720/2007- se infringe tanto si no se adoptan por el responsable las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos personales, como si, establecidas éstas, las mismas no se observan. Si hubiera habido un control o registro de los accesos a los datos personales, así como un registro y autorización de la salida de los mismos de las dependencias municipales, no se hubiera tardado diez días en verificar quién efectivamente realizó el acceso, la copia y la salida del dispositivo de las dependencias. Igualmente se incumple si, existiendo dichos registros y controles, los mismos no fueron observados/cumplimentados, tal y como afirma ahora el Ayuntamiento al indicar que se trata de un incumplimiento cometido por un empleado de la entidad. (…). Por último, en cuanto a que no se tardaron semanas en descubrir quién había accedido a los datos, sino 5 días hábiles, procede aclarar que se tardaron exactamente 11 días en verificarlo (desde el 26 de marzo hasta el 6 de abril de 2021), es decir, casi dos semanas. Por tanto, si bien es cierto que resulta más correcto indicar que se tardaron esos días, ello no desvirtúa en absoluto el hecho de que refleja igualmente la carencia de los mencionados registros o la inobservancia de los mismos. Por todo lo expuesto, se desestima la presente alegación 2. Otras consideraciones. En relación con el resto de las consideraciones manifestadas por el Ayuntamiento relativas a la inexistencia de daño o perjuicio, la falta de intencionalidad, la adopción de forma urgente de todas las medidas tendentes a la corrección de la situación y de que con anterioridad no se ha cometido infracción alguna relacionada con la normativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 de protección de datos, se significa que todo ello no supone una eliminación de la responsabilidad en que se ha incurrido, pues la infracción se ha cometido, por lo que no procede el archivo de las actuaciones, tal y como solicita. No obstante, se valora de forma muy positiva por esta Agencia la buena predisposición del Ayuntamiento, así como las medidas que ha indicado que ha establecido para mejorar el cumplimiento de la normativa en materia de protección de datos, así como las tendentes a evitar que en un futuro se produzcan situaciones similares, en el sentido de no ordenar la adopción de medida concreta alguna de corrección, tal y como permite el artículo 46.1 de la LOPD. Por todo lo expuesto, se desestima la presente alegación IV Artículo 9 de la LOPD El artículo 9 de la LOPD, bajo la rúbrica “Seguridad de los datos” establece lo siguiente: 1. El responsable del fichero y, en su caso, el encargado del tratamiento deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante RD 1720/2007), clasifica, en su artículo 80 las medidas de seguridad en tres niveles: básico, medio y alto y quedan plasmadas en un documento de seguridad que el responsable del fichero o del tratamiento ha de elaborar y gestionar, de obligado cumplimiento para su personal, y con el alcance y previsiones señaladas en su artículo 88. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio en los artículos 95 a 100 y las de nivel alto en los artículos 101 a 104. Las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados se regulan en los artículos 105 a 114. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 confidencialidad, la integridad y la disponibilidad de la misma. En el caso que nos ocupa, según el artículo 81.3.
  5. b)del RD 1720/2007, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. Asimismo, de conformidad con el apartado 7 del mismo precepto, las medidas incluidas en cada uno de los niveles descritos anteriormente tienen la condición de mínimos exigibles, sin perjuicio de las disposiciones legales o reglamentarias específicas vigentes que pudieran resultar de aplicación en cada caso o las que por propia iniciativa adoptase el responsable del fichero. En el presente caso, consta la pérdida de un dispositivo-USB con información que contenía datos personales tratados por la Policía Local, el cual, según manifestaciones del Ayuntamiento, fue devuelto pocos minutos después por unos ciudadanos que lo encontraron en las inmediaciones de las instalaciones de la policía local. Al acceder a dicho dispositivo, se comprobó que a la información que contenía sólo estaba autorizado a acceder el Jefe de la Policía Local, lo que provocó el inicio de una investigación por parte del Ayuntamiento por un supuesto acceso por persona no autorizada y la notificación a esta Agencia de la brecha de seguridad que ello suponía. Sin embargo, diez días más tarde el Ayuntamiento comprueba e informa a esta Agencia que no hay tal brecha por cuanto el acceso y copiado finalmente fue realizado por otra persona que, según afirma, sí tenía autorización para ello. Todo lo anterior pone de manifiesto el incumplimiento de las medidas de seguridad exigibles en el RD 1720/2007 para un tratamiento de datos de nivel alto. Así, lo sucedido refleja, por un lado, la falta de un sistema apropiado de control de permisos y privilegios de acceso, pues inicialmente se creía que únicamente tenía autorización de acceso el Jefe de la policía local, pero semanas más tarde se percataron de que hay más personas autorizadas. Ello contradice lo dispuesto en artículo 91del RD 1720/2007, rubricado “Control de acceso”, que en su apartado 2 determina: El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. En cuanto al hecho de que tardaron 10 días en saber quién había realmente accedido a la información contenida y había descargado la misma en el dispositivo USB, denota un incumplimiento del artículo 103 del RD 1720/2007 “Registro de accesos” que establece: 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
  6. a)Que el responsable del fichero o del tratamiento sea una persona física.
  7. b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad. Asimismo, los hechos ponen de manifiesto que la salida de información de las dependencias municipales con datos personales para fines policiales de los que es responsable el Ayuntamiento se realizó sin un control adecuado (registro y autorización previa para la salida de información). Ello supone una vulneración de los artículos 92 y 97 del RD 1720/2007, que determinan lo siguiente: Artículo 92 “Gestión de soportes y documentos”. “1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y sólo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad.” Además, por tratarse de un sistema de nivel de seguridad alto, debe completar también la medida establecida para soporte de datos de nivel medio, referida en el artículo 97 del RD 1720/2007, que tratan sobre la existencia de un sistema de registro de entrada y salida de soportes, con el tenor: “1. Deberá establecerse un sistema de registro de entrada de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el emisor, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la recepción que deberá estar debidamente autorizada. 2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada.” En cuanto a que una vez devuelto, se accedió inicialmente a la información contenida en el pendrive sin problema, los hechos reflejan un almacenamiento de datos personales en dispositivos móviles sin protección alguna de dicha información (). Ello C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 contraviene lo dispuesto en el artículo 101.2 y 3 del RD 1720/2007 que, como medida de seguridad de nivel alto, establece sobre identificación de soportes y garantía de no accesibilidad, las siguientes reglas: “2. La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte. Asimismo, se cifrarán los datos que contengan los dispositivos portátiles cuando éstos se encuentren fuera de las instalaciones que están bajo el control del responsable del fichero. 3. Deberá evitarse el tratamiento de datos de carácter personal en dispositivos portátiles que no permitan su cifrado. En caso de que sea estrictamente necesario se hará constar motivadamente en el documento de seguridad y se adoptarán medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos.” Por último, de la declaración realizada por el Ayuntamiento respecto a las medidas a implantar tras el incidente, se deduce que se carecía de documento de seguridad (artículo 88), registro de incidencias (artículo 90) y responsable de seguridad designado (artículo 95). Todo lo anteriormente reseñado indica una vulneración del artículo 9 de la LOPD, ya que no contaba con las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 9 de la LOPD. V Tipificación de la infracción del artículo 9 de la LOPD La citada infracción del artículo 9 de la LOPD podría suponer la comisión de la Infracción tipificada como grave, en el artículo 44.3 de la LOPD, que indica que son infracciones graves:
  8. h)Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. A este respecto, el artículo 47.1 de la LOPD indica que las infracciones graves prescribirán a los dos años. VI Sanción por la infracción del artículo 9 tipificada en el artículo 44.3
  9. h)de la LOPD El artículo 43 de la LOPD señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 “1.Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. 2.Cuando se trate de ficheros de titularidad pública se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley.” 5.Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por su parte, el artículo 46 de la LOPD, bajo la rúbrica “Infracciones de las Administraciones públicas”, determina lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.” 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores” En cuanto a las medidas a adoptar, tal y como se ha indicado en el Fundamento de Derecho Tercero, se valora positivamente que el Ayuntamiento haya indicado que ha procedido a implementar las medidas técnicas y organizativas necesarias para garantizar la protección de los datos personales en el tratamiento de éstos y cumplir así las obligaciones establecidas en la normativa de aplicación, por lo que no se insta a medida alguna concreta haciéndole saber, no obstante, que debe velar por el establecimiento eficaz de tales medidas y por su estricta observancia por parte de todo el personal. El Artículo 48.1, bajo la rúbrica Procedimiento sancionador, establece que “Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título”. El RD 1720/2007 señala en su artículo 129, dentro de la sección titulada: “Procedimiento de declaración de infracción de la LOPD por las administraciones públicas”, que: “El procedimiento por el que se declare la existencia de una infracción de la LOPD, cometida por las Administraciones públicas será el establecido en la sección tercera de este capítulo.” Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE PRIMERO: DECLARAR que el AYUNTAMIENTO DE SABIÑANIGO, con NIF P2227500B, ha infringido el artículo 9 de la LOPD, en relación con los artículos 88, 90, 91, 92, 95, 97, 101 y 103 del RD 1720/2007 y tipificada como grave en el artículo 44.3
  10. h)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE SABIÑANIGO TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 935-150322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.