← España

PS-00136-2024

1/79  Expediente N.º: EXP202405365 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Notificación de brecha de datos personales Con fecha 27/05 y 27/06/2022, se notificó a la DIVISIÓN DE INNOVACIÓN TECNOLÓGICA (DIT) de esta Agencia Española de Protección de Datos una brecha de datos personales remitida por la DIRECCIÓN GENERAL DE COORDINACIÓN DE ESTUDIOS, (en adelante, reclamada) con NIFS2800109G, como responsable del tratamiento, dependiente de la SECRETARÍA DE ESTADO DE SEGURIDAD (MINISTERIO DEL INTERIOR). En los escritos recibidos sobre la notificación de la brecha, se informa de lo siguiente: -Ha consistido en el robo de un portátil y un pendrive con información de actuaciones policiales que se estaban utilizando para estudios de “prevención y detección de delitos” sin que estuvieran (…), y se puede identificar a las personas. En la segunda notificación se indicaba que el pendrive estaba “corrompido”. -Afectando a 500.000 en “número aproximado de personas físicas sobre las que se recoge, almacena o trata datos personales de otra forma, referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales”. En otro apartado, indica que 5.000 personas “han visto sus datos afectados por la brecha de datos personales”. Entre ellos existen miembros de colectivos vulnerables: Si. -Afectando a la confidencialidad - En “tipos de datos afectados”: datos biométricos, Datos básicos (Ej.: nombre, apellidos, fecha de nacimiento), Imagen (Fotos o vídeos), DNI, NIE, Pasaporte y / o cualquier otro documento identificativo, sobre condenas e infracciones penales, datos de localización, de contacto, de salud. -En cuanto a si se ha comunicado la brecha a las personas afectadas, se indica que “no serán informadas”. - “Se ha puesto el incidente en conocimiento de las autoridades policiales”, por considerar que existe delito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/79 -El responsable del tratamiento es la DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS (DGCE), encuadrada en actividad de “seguridad”, dependiente de la Secretaría de Estado de Seguridad (SES). -Como “fecha de detección de la brecha, entendida como la fecha en la que el responsable tiene la certeza de que se han visto afectados datos personales”, que consta en el formulario, indica 26/05/2022, y en: “¿Conoce la fecha en la que se inició?”, indica ***FECHA.1. En el apartado: “¿se ha producido el incidente por algún fallo de deficiencia o incumplimiento de medidas de seguridad implementadas?”, se indica que sí. En medidas de seguridad implementadas antes del suceso de la brecha, señala: -políticas de Protección de Datos y seguridad, -formación en Protección de Datos y seguridad de la información a nivel adecuado. -Los sistemas informáticos (…). -Registro de incidentes, auditorías periódicas. -Control de acceso físico, control de acceso lógico. -Niveles de acceso a los datos, -Copia de seguridad. Anonimización. En acciones tomadas tras el incidente, se señala que: - se ha actualizado el registro de incidentes, - se han adoptado nuevas medidas de seguridad que podrían haber evitado la brecha, - se han adaptado, mejorado los procedimientos y políticas de seguridad, actualizándose como nuevas, (…). En: ¿considera si ha tomado todas las acciones posibles y da por resuelta la brecha?, señala que no En: “-¿Se ha producido el incidente por algún fallo deficiencia o incumplimiento de medidas de seguridad implementadas? Si. “-¿Dispone de un análisis de riesgos documentado que justifique las medidas de seguridad adoptadas previamente al incidente? Si” -“¿se podría haber evitado la brecha adoptando alguna medida de seguridad adicional?” se indica que Si, y que también se ha producido por algún fallo, deficiencia o incumplimiento de medidas de seguridad implementadas. Amplia en su segundo escrito, de 27/06/2022, con información adicional de la brecha rectificando en algunos aspectos al anterior, por ejemplo, señala que no hay miembros de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/79 colectivos vulnerables afectados ni menores, ni son mencionados en tipos de datos afectados los biométricos, y que el pendrive no resultaría legible al estar “corrompido”. Además, en esta segunda notificación, aporta UN INFORME firmado por el DPD el 27/06/2022 denominado “INCIDENTE BRECHA SEGURIDAD TRATAMIENTO DATOS PERSONALES PDYRH (PERSONAS DESAPARECIDAS Y RESTOS HUMANOS)”. Se indica, en síntesis: -La SES y sus órganos directivos dependientes, disponen de procedimiento de actuación para cuando se materializa una brecha. Indica la Orden Ministerial INT 429/2019 de 10/04 por la que se aprueba la política de seguridad de la información, aplicable desde 2019 y que en sucesivas comunicaciones a sus organismos dependientes se les ha informado de los procedimientos a llevar a cabo cuando se produjese una violación de seguridad con datos personales involucrados. La citada Orden, refiere los principios, directrices y responsabilidades sobre la política de seguridad de la información (PSI) en el ámbito de la administración electrónica del Ministerio del Interior, sobre los servicios y activos de información gestionados en su ámbito de competencias en la prestación de los servicios de administración electrónica. En la citada Orden se establece que la persona titular de la SGSICS presidirá el GRUPO DE TRABAJO DE RESPONSABLES DE LA SEGURIDAD, que, entre otras funciones, en su artículo 7.2.

  1. e)señala la de: “Colaboración en la investigación y resolución de incidentes de seguridad de la información, tanto en el ámbito interno como externo al Departamento”. Por otro lado, también prevé el nombramiento de un DPD en el ámbito de la SES. El artículo 17.2.
  2. b)de la citada Orden indica que “De acuerdo con el Reglamento general de protección de datos, y en especial con lo dispuesto en su artículo 17, el responsable del tratamiento es el titular de la Unidad Administrativa que determine los fines y medios del tratamiento; con carácter general, se corresponde con el titular de la unidad en que se produzca la operación sobre los datos; en los casos en que no se corresponda la definición legal del responsable del tratamiento con el titular de la unidad en que se produzca la operación sobre los datos o haya varias unidades en las que se produzca la operación de los datos, el titular del centro directivo determinará el responsable del tratamiento, para lo cual puede ser asesorado por parte del DPD.” El Protocolo de notificación de brechas de seguridad de datos personales fue aprobado por consenso entre los DPDs del Ministerio del Interior, versión 14/12/2021, adaptado a la LO 7/21 y fue remitido a todos los organismos para los que está designado el DPD de la SES. Manifiesta se aporta copia en ANEXO I -Explica las competencias y entidades que dependen de la SES, de acuerdo con la estructura orgánica, Real Decreto 146/2021, de 9/03, por el que se modifican el Real Decreto 139/2020, de 28/01, por el que se establece la estructura orgánica básica de los departamentos ministeriales, y el Real Decreto 734/2020, de 4/08, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior. Añaden que en los hechos también interviene la SUBDIRECCIÓN GENERAL DE SISTEMAS DE INFORMACIÓN Y COMUNICACIONES PARA LA SEGURIDAD, (SGSICS), que no está adscrita a la DGCE, sino directamente a la SES. La DGCE está compuesta por una Subdirección General y “diversas áreas”. Ostenta la DGCE como competencias, entre otras: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/79 1. Fomentar la participación y colaboración de la Universidad e instituciones y personalidades investigadoras en el desarrollo de las actividades y funciones que le corresponden, (art 5 bis, 1.6º, del citado Real Decreto 146/2021. Para ello, cuentan con el “ÁREA DE “VIOLENCIA DE GÉNERO, ESTUDIOS Y FORMACIÓN” (VGEF)” en la que se sitúa el área de estudios y formación, “formalizando la participación de técnicos, científicos y alumnos en prácticas en proyectos, actuaciones y actividades de la Secretaría de Estado de Seguridad.” 2. Gestionar el CENTRO NACIONAL DE DESAPARECIDOS (CNDES), que es el órgano de gestión centralizada para la coordinación efectiva y permanente del sistema de personas desaparecidas empleado por las Fuerzas y Cuerpos de Seguridad. Actúa, además, como punto de contacto, para el desarrollo de las medidas de cooperación con las Administraciones Públicas y otras instituciones y organizaciones públicas y privadas habilitadas, tanto nacionales como internacionales, incluyendo las organizaciones representativas del sector y los medios de comunicación, cuya participación resulta imprescindible para la eventual difusión de avisos, alertas o peticiones de colaboración a la población. El CNDES se haya ubicado en el “ÁREA DEL SISTEMA ESTADÍSTICO Y ATENCIÓN DE LAS VÍCTIMAS (SEAV)” dentro de la citada DGCE. -También detalla las funciones de la SGSICS, adscrita directamente a la SES que ostenta entre otras competencias: 1. Estandarizar y homogeneizar sistemas de información y comunicaciones, codificación y estructuras de datos en el ámbito de la seguridad. 2. Proponer a la persona titular de la Secretaría de Estado los planes y programas que afecten a los sistemas de información y comunicaciones en el ámbito de la seguridad, así como coordinarlos, supervisar su ejecución, evaluarlos y analizar sus costes. 3. Bajo la dependencia funcional de la persona titular de la Subsecretaría, ejercer el desarrollo e implantación de los sistemas de información y telecomunicaciones, garantizando su interoperabilidad, seguridad y calidad, así como la provisión y gestión del equipamiento y los recursos informáticos necesarios y la gestión y administración de las redes de comunicación de voz y datos y la gestión y mantenimiento del dominio de Internet e Intranet y del portal de web del Ministerio, en coordinación con los gestores de contenidos de los demás órganos directivos y organismos del Departamento. -Indica la DGCE en el citado informe, que el incidente de seguridad se produjo sobre actuaciones llevadas a cabo por el CNDES, que quedan amparadas por el tratamiento del fichero personas desaparecidas y restos humanos, PDyRH. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/79 Aporta la información de su contenido inscrito en el REGISTRO DE ACTIVIDADES DE TRATAMIENTO (RAT) realizado bajo el ámbito de aplicación de la LO 7/2021 de 26/05, de Protección de Datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (LO 7/21 en lo sucesivo), constando: 1. como origen de los datos: “diligencias policiales, personas desaparecidas, Nombre, apellidos, DNI, sexo, fecha de nacimiento, lugar de nacimiento, domicilio, descripción física, datos biométricos, datos genéticos, fotografías. Imágenes de impresionas dactilares y fotografías importadas desde el fichero de DNI. Denunciantes: Nombre, apellidos, DNI, sexo, fecha de nacimiento, lugar de nacimiento, domicilio y teléfono.” 2. “finalidad: actividades de tratamiento necesarias para la averiguación de la identidad de personas desaparecidas y cadáveres, restos humanos sin identificar, con el fin de detectar, prevenir o investigar delitos de forma que se implemente la colaboración entre las Fuerzas y Cuerpos de Seguridad tanto nacionales como autonómicas. 3. Legitimación del tratamiento: Ley Orgánica 2/1986 de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, Ley de Enjuiciamiento criminal y artículo 11 de la Ley Orgánica 7/21. 4. “Los trabajos para los que eran necesarios los datos personales iban dirigidos a desarrollar una herramienta predictiva de estimación de riesgo de desapariciones violentas que denominaría SERDESVI que se utilizaría para prevenir o detectar ilícitos penales en estos casos”. - “La persona causante del incidente (colaborador) no es personal del Ministerio del Interior, es un investigador que colabora dentro de la estructura de la DGCE con diversos “status” jurídicos en el desarrollo de esta y otras herramientas similares. Dicho colaborador, “tenía firmado un documento de confidencialidad y seguridad de la información”. -En la parte del mismo informe, titula: “comunicación del incidente y posible brecha”, indica: 1) “El colaborador que sufrió el robo el ***FECHA.1, lo comunicó al “Área de la que dependía” (no detalla cual en concreto)”, “sin especificar el contenido de la información que podría contenerse en los dispositivos sustraídos”. “El día ***FECHA.2, tras serle requerida más información”, (no señala por quien) “amplió la denuncia y señaló que en el dispositivo podría contenerse información policial”. “Tras esta revelación, el DEPARTAMENTO DE ATENCIÓN A PUESTOS DE USUARIO” (que no indica la jerarquía de la que depende ni la unidad orgánica en que se encuadra) “informó (no señala cuando) acerca de estos hechos al ÁREA DE INFRAESTRUCTURA Y SEGURIDAD TIC de la SGSICS, que inició una investigación (no señala cuando) con objeto de aclarar las circunstancias de la sustracción del dispositivo, recabándose para ello toda la información disponible acerca de los hechos ocurridos.” “Dada la dificultad de acreditar que información contenían los dispositivos sustraídos, en el momento que se determinó que tenían datos personales se procede a comunicar con el DPD de la SES y con el responsable del tratamiento (RTR) de la DGCE (no se indican fechas). La comunicación de incidente de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/79 seguridad que podría constituir una “Brecha de Protección de Datos”, fue trasladada al DPD de la SES, el 26/05/2022, a las 10.50 horas.” “Conforme a las instrucciones del RTR, la DGCE, al no estar clarificados varios extremos, el jueves día 26, se pide información a las ÁREAS (VGEF y SEAV) que podían ser las Unidades que gestionaban el o los tratamientos que han podido dar lugar a la brecha, con el objetivo de valorar el incidente, dependiendo de esas áreas los tratamientos: “PDYRH”, “Sistema VioGén” y “Formación y Actividades de Cooperación Educativa con Universidades.” “El mismo día 26, el Responsable solicitó al DPD de la SES para que, en el marco de sus funciones, valorase los hechos que se han puesto en su conocimiento y colaborase en la determinación de las posibles vulnerabilidades y mejoras a llevar a cabo para subsanar lo ocurrido y prevenir que se pudiera volver a materializar un peligro de ese tipo. En base a lo cual, requiere a todos los afectados para que, el lunes siguiente, día 30 mayo, se entrevisten con el mismo a tales efectos. Los Jefes de Áreas afectadas responden al requerimiento de información a través de comunicación con el DPD”. “En correspondencia con la información trasladada por el ***ÁREA.1, únicamente se desprende que el incidente no ha afectado a ningún tratamiento de dicha Área, si bien, la persona que ha causado el incidente estaba encuadrada en el “ÁREA DE FORMACIÓN Y ESTUDIOS”, y “De la información remitida por el Área SEAV se puede valorar un resumen de la brecha y aplican desde el primer momento las primeras medidas para subsanar posibles vulnerabilidades e incrementar el nivel de seguridad del tratamiento.” “El día 30 de mayo, el DPD de la SES se desplaza a las dependencias situadas en ***DIRECCIÓN.1, donde mantuvieron diversas entrevistas con personal de las citadas áreas que se materializan en varias mesas de trabajo con el objetivo de estudiar lo ocurrido, detectar vulnerabilidades en los tratamientos e incrementar las medidas de seguridad aplicables. Los datos sustraídos que se trataban con la finalidad de desarrollar la herramienta citada provenían de diligencias policiales y contenían datos básicos, imagen, documentos de identidad, sobre infracciones penales y condenas, datos de localización y datos de salud.” “A día de hoy, tras comprobar la documentación exacta, (no determina cual/ni el modo en que se confronta o conoce), cabe señalar que en la información sustraída no figuraban datos biométricos ni datos de menores.” -“…la SES implementa en todos los ordenadores de sus usuarios (***DISPOSITIVO.1), tanto portátiles como PC de sobremesa, esto es, el equipo cuenta con la solución antivirus del fabricante ***ANTIVIRUS.1 y la solución (…) del fabricante Palo Alto denominada ***HERRAMIENTA.1. Los registros obtenidos de las consolas de ambas soluciones indican que las últimas comunicaciones establecidas por el equipo sustraído tuvieron lugar minutos antes de la hora en la que el usuario refiere que le fue sustraído el dispositivo el día ***FECHA.1, en el caso de ***ANTIVIRUS.1 a las 19:39:17 horas y en el caso de ***HERRAMIENTA.1 a las 19:11:00 con el usuario ***USUARIO.1 logado, no volviéndose a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/79 registrar ninguna otra comunicación desde dicho momento hasta el día de hoy, lo que indica que quien hubiera sustraído el dispositivo (…) desde entonces, dado que de otro modo los (…) mencionadas, hubieran enviado (…).” “Indica que no existe constancia de que se haya materializado perjuicio alguno que afecte a los derechos de los interesados” y que se “han analizado todos los flujos de datos contenidos en los tratamientos referidos, diseñándose un sistema basado en el incremento de las medidas de protección técnicas y organizativas en todas las actividades de tratamiento en relación con las personas implicadas en cada una de ellas y en la propia información que se maneja, desarrollándose un sistema que no permite en ningún caso acceso a datos que no se encuentren totalmente anonimizados por parte del personal externo que desarrolle su labor en la DGCE”. SEGUNDO: Acuerdo de inicio de procedimiento sancionador Con fecha 26/04/2024, la Directora de la AEPD acordó: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la DIRECCIÓN GENERAL DE COORDINACIÓN DE ESTUDIOS, como responsable del tratamiento (SECRETARÍA DE ESTADO DE SEGURIDAD-MINISTERIO DEL INTERIOR) con NIF S2800109G por la presunta infracción del del RGPD en los siguientes artículos: -32 del RGPD, de conformidad con el artículo 83.4.
  3. a)del RGPD, tipificada como grave a efectos de prescripción en el artículo 73.
  4. f)de la LOPDGDD.” … “CUARTO: Sin perjuicio de lo que resulte de la instrucción, a los efectos previstos en el art. 64.2
  5. b)de la LPCAP, la sanción que pudiera corresponder por los hechos que motivan la incoación del procedimiento y su posible calificación sería de multa administrativa. No obstante, de acuerdo con el art. 83.7 del RGPD, y lo dispuesto por el art. 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, dicha sanción se sustituiría por la declaración de la infracción.” TERCERO: Alegaciones al acuerdo de inicio Con fecha 13/05/2024 tuvieron entrada alegaciones, indicando: 1- El presente expediente proviene del expediente que caducó el pasado 26/02/2024. 2-Indica que reproduce las alegaciones efectuadas en el citado expediente sobre la aplicación de la LO 7/2021 de 26/05, del tenor: “Estima que el tratamiento de datos se estaba realizando “directamente por una autoridad competente dentro del ámbito de aplicación del artículo 4 de la citada LO 7/2021, el mismo era necesario y que la finalidad del mismo era la prevención y la posible detección de ilícitos penales”, por lo que se difiere del parecer de la AEPD de aplicar el RGPD, y no la LO 7/21. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/79 Aplicar el razonamiento expuesto, “haría materialmente imposible desarrollar herramientas policiales propias por los órganos del Departamento para las Fuerzas y Cuerpos de Seguridad o el resto de a las autoridades competentes, puesto que el artículo 6.2 de la LO 7/21 no permite la cesión a entidades que no sean consideradas competentes salvo previsión con norma de ley interna o de la UE”. Las operaciones se estaban llevando a cabo por las áreas de la DGCE con la finalidad de lograr una herramienta técnica para prevenir y detectar delitos.” Se abunda en que los tratamientos de esta Dirección General que permitían realizar las operaciones están dentro del ámbito de aplicación de la precitada LOPDP, cuestión ésta que puede ser comprobada por esa Autoridad en el RAT público del MINISTERIO DEL INTERIOR cuya copia tiene el portal de la transparencia. - “Sobre la conducta atribuida a un posible artículo 32 del RGPD, tipificada como grave a efectos de prescripción en el artículo 73.
  6. f)de la LOPDGDD, (seguridad del tratamiento, contenida igualmente en el artículo 37 de la Ley Orgánica 7/2021, de 26/05), se mantiene lo siguiente: “De acuerdo con lo imputado en esta conducta, se reitera y se dan por reproducidas en estas alegaciones todas las medidas de respuesta y control que fueron comunicadas a esa Autoridad de Control durante el periodo de actuaciones previas de investigación. Del mismo modo, se le informa de que, derivado de las actuaciones de cumplimiento y mejora que se adoptaron, por parte de esta entidad, se ha desplegado la implantación del nuevo puesto de trabajo basándose en la herramienta de (…). Las medidas de seguridad implantadas se resumen en las siguientes: - (…) autenticación: 1. 2. (…) (…) -Todos los equipos cumplen con la política de Seguridad: Actualización y control (…), a través de la funcionalidad de ***APLICACIÓN.1, con la cual se comprueba el (…) y se actualiza (…). - Despliegue de (…) y (…) con los siguientes objetivos: 3. Detectar (…). 4. Proteger (…), a través del (…). 5. Obtener información clara y en tiempo real de la escala de tiempo de los ataques para responder con rapidez. 6. (…). C/ Jorge Juan, 6 28001 – Madrid Monitorizar múltiples puntos de entrada a través de la integración con www.aepd.es sedeaepd.gob.es 9/79 -Despliegue por (…), aplicada a los dispositivos extraíbles, de manera que (…), aplicando dicha política por defecto. De este modo, se han reforzado las medidas técnicas aplicando políticas (…), diseñando un puesto de trabajo con mayores medidas de seguridad y un control centralizado a través de (…), que permite realizar un seguimiento constante de la situación (…) y actuar de manera inmediata (…). -En el día de la fecha, sigue abierta la investigación policial para el esclarecimiento de la sustracción y no se ha acreditado ni se tiene constancia alguna de filtración de datos personales o perjuicio alguno para ninguna de las posibles personas interesadas. “Como práctica de la prueba se ruega la incorporación del RAT del Departamento Ministerial al objeto de acreditar ámbito de aplicación de la LOPDP en los tratamientos y las operaciones del tratamiento llevadas a cabo.” CUARTO: Inicio de práctica de pruebas Con fecha 20/01/2025, se inicia un período de práctica de pruebas y con fecha 19/02/2025, se amplían las mismas. Como resultado, se tienen en cuenta a tales efectos: 1-Se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS, y la documentación que a ellas acompaña. 2-Sobre el informe de la DGCE que acompañaba a la segunda notificación de brecha. 2.1-En su segundo comunicado de la brecha aportaron un informe de la DGCE en el que señalaron que el incidente de seguridad se produjo sobre las actuaciones llevadas a cabo por el CNDES que quedan amparadas por el tratamiento del fichero PDyRH. ¿Como determinaron dicha conclusión? Con fecha 11/02/2025 se recibió su contestación, sin responderse a esta cuestión. 2.2-Aclaren también de dicho informe que se acompaña a la segunda notificación de brecha con entrada en registro el 27/06/2022, (se va reproduciendo el mismo en cursiva y se van formulando las cuestiones que han de responder- subrayado-): “El colaborador que sufrió el robo lo comunicó al “Área de la que dependía” (no detalla cual, en concreto, se precisa su especificación) el ***FECHA.1”, “sin especificar el contenido de la información que podría contenerse en los dispositivos sustraídos”. “El día ***FECHA.2, tras serle requerida más información”, “amplió la denuncia y señaló que en el dispositivo podría contenerse información policial”. Respondió que esa información ya obra en el expediente EXP202207931, al haber sido ya aportada con anterioridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/79 “Tras esta revelación, el DEPARTAMENTO DE ATENCIÓN A PUESTOS DE USUARIO (indique la jerarquía de la que depende y la unidad orgánica en que se encuadra) “ Respondió que se halla adscrito a la propia SGSICS, de conformidad con lo dispuesto en el RD 207/2024 de 27/02, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior. “informó (indique cuando) acerca de estos hechos al ÁREA DE INFRAESTRUCTURA Y SEGURIDAD TIC de la SGSICS, que inició una investigación (indique la fecha) “ RESPONDIÓ que el ***FECHA.2, tras haber conocido de la denuncia formulada ante la Policía. “…con objeto de aclarar las circunstancias de la sustracción del dispositivo, recabándose para ello toda la información disponible acerca de los hechos ocurridos (aporte la copia de la información obtenida y fechas). Dada la dificultad de acreditar que información contenían los dispositivos sustraídos, en el momento que se determinó que tenían datos personales se procede a comunicar con el DPD de la SES y con el responsable del tratamiento (RTR) de la DGCE (indiquen las fechas y aporten escrito comunicado) “ Respondió que no se produce la comunicación mediante escrito formal sino por correo electrónico el 26/05, a las 10:50. “La comunicación de incidente de seguridad que podría constituir una “Brecha de Protección de Datos”, fue trasladada al DPD de la SES, el 26/05/2022, a las 10.50 horas.” “Conforme a las instrucciones del RTR, la DGCE, al no estar clarificados varios extremos, el jueves día 26, se pide información a las ÁREAS (VGEF y SEAV) que podían ser las Unidades que gestionaban el o los tratamientos que han podido dar lugar a la brecha, con el objetivo de valorar el incidente, dependiendo de esas áreas los tratamientos: “PDYRH”, “Sistema VioGén” y “Formación y Actividades de Cooperación Educativa con Universidades.”(Indique lo extremos que no estaban clarificados y aporte copia de los escritos que les fueron enviadas a las citadas Áreas.)” Respondió que lo que se requirió es la relación de dependencia del colaborador y la información de la que disponían en relación con la confirmación del incidente que se había producido y del tipo que era el mismo. Aporta relacionado con ello, en apartado de ANEXOS, una copia del correo electrónico dirigido por el DPD, aunque menciona: (“de la documentación interna confeccionada en esta Dirección General) dirigido a las áreas de Violencia de Género, Estudios y Formación (VGEF), y al Área de Sistema estadístico y Atención de las víctimas (SEAV) de 26/05/2022”. En el correo, se informa de que el mismo día ha recibido un informe en el que se recoge un incidente de seguridad de la información (…), y “puede constituir una brecha de protección de datos en uno o varios ficheros de los que el responsable la persona del DGCE.” Pide trasladen la información relativa al incidente, “incluyendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/79 1. Resumen del Incidente (Causas, situación y sí Vd. lo entiende como brecha de protección de datos). 2. Medio por el que se ha materializado la brecha. 1. Datos sobre los afectados (Categorías de datos, Categorías especiales y Número de registros) 2. Perfil de los Sujetos Afectados y número. 3. Consecuencias que se estimen (Brecha de confidencialidad, Naturaleza del impacto potencial sobre los sujetos, Estimación de las consecuencias para los individuos, Medidas que hayan adoptado o que se vayan a adoptar (formación, ordenes, contacto con los medios de comunicación, contacto con los enlazadores, etc.) 4. Implicaciones transfronterizas 5. Medidas correctoras urgentes aplicables y las que se piensen aplicar 2.3-Continua el informe adjunto a la segunda notificación de brecha: “El mismo día 26, el Responsable solicitó al DPD de la Secretaría de Estado para que, en el marco de sus funciones, valorase los hechos que se han puesto en su conocimiento y colaborase en la determinación de las posibles vulnerabilidades y mejoras a llevar a cabo para subsanar lo ocurrido y prevenir que se pudiera volver a materializar un peligro de ese tipo. En base a lo cual, requiere a todos los afectados para que, el lunes siguiente, día 30 mayo, se entrevisten con el mismo a tales efectos. Los Jefes de Área afectadas responden al requerimiento de información a través de comunicación con el DPD.” (Se pide copia de lo que respondieron al DPD los Jefes de las citadas áreas) Respondió que esa información ya consta en el expediente por haber sido aportada con anterioridad. 2.4-“En correspondencia con la información trasladada por el ***ÁREA.1, únicamente se desprende que el incidente no ha afectado a ningún tratamiento de dicha Área, si bien, la persona que ha causado el incidente estaba encuadrado en el “ÁREA DE FORMACIÓN Y ESTUDIOS”, y “De la información remitida por el Área SEAV se puede valorar un resumen de la brecha y aplican desde el primer momento las primeras medidas para subsanar posibles vulnerabilidades e incrementar el nivel de seguridad del tratamiento.” (Se pide copia de estos documentos si no fueran los mismos que los pedidos en el precedente párrafo). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/79 Respondió que esa información ya consta en el expediente por haber sido aportada con anterioridad. 2.5-En el segundo comunicado de la brecha, ratificando que la brecha afectaría a los datos del tratamiento PDyRH, modificaron las circunstancias de la primera comunicación, en cuanto a que señalaron que no afectó a datos de menores, ni a colectivos vulnerables, y que además no se contenían datos biométricos. A tal efecto se le solicita que informe:
  7. a)Si el tratamiento de datos de PDyRH es susceptible de contener dicho tipo de datos,
  8. b)Como tienen la certeza de que no se contenían en el ordenador tales tipos de datos Respondió que el tratamiento si es susceptible de desarrollar estas operaciones para el cumplimiento de su finalidad y pueden hallarse entre las categorías de datos con los que opera, y añade: “No obstante, se procederá a modificar el RAT y su publicidad, pormenorizadamente el tipo de operaciones a desarrollar por parte del RTR.” detallando En relación con la segunda cuestión, “el ordenador no podía contener ese tipo de datos porque en el proyecto de desarrollo de la herramienta en la que trabajaba el colaborador no se trataba en ningún caso información con datos de menores de edad ni biométricos. Con respecto al colectivo de personas vulnerables, este se trata de un concepto jurídico indeterminado que tiene una cabida difusa en los tratamientos policiales puesto que personas vulnerables pueden ser víctimas de delitos, agentes policiales, testigos, etc.” 3-De la información obtenida en el trámite de actuaciones previas de investigación AI 00285/2022, requerimiento de información de 16/09/2022, respuesta de 6/10/2022 referenciadas en el expediente sancionador previo declarado caducado EXP202207931 (PS 00126/2023), (en lo sucesivo API) se incorpora: Pregunta: “En relación con la persona física que disponía del portátil y el dispositivo USB sustraído (con la información de carácter personal), se solicita acreditación documental de su vinculación con la Dirección General de Coordinación y Estudios (DGCE), aportando copia de posibles convenios, contratos u otros instrumentos jurídicos existentes para la formalización de este personal externo encargado de tratamiento, así como los acuerdos de confidencialidad firmados.” Respondió que se adjunta información facilitada por “la SEAV anexo contrato”, número de expediente 21/027, que refiere: -Copia de PLIEGO DE PRESCRIPCIONES TÉCNICAS (PPT) “para la contratación de investigación científica sobre la creación y validación de una herramienta predictiva y de valoración del riesgo de desaparición con desenlace fatal”, de 31/03/2021, (firma DGCE). Consiste (punto 1, objeto) en una “revisión, lectura, vaciado de datos y análisis de información documentada en una muestra de 2000 atestados por desaparición de personas en diferentes puntos. El estudio de datos documentales de una muestra significativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/79 desapariciones

(2000)seleccionada por los funcionarios emplazados en el CNDES a través del sistema PDyRH (personas desaparecidas y restos humanos sin identificar). Se explorará la potencial utilidad de las variables identificadas para crear:
  1. a)un modelo de denuncia, recogida de información ante casos de desaparición estandarizado y con soporte empírico
  2. b)una herramienta predictiva del escenario o tipo de desaparición más probable y de valoración de riesgo de desenlace fatal, y
  3. c)una guía ejecutiva de la respuesta inicial de actuación policial basada en la evidencia.” Todo ello con la finalidad de validar la actual clasificación de escenarios de desapariciones, de identificar nuevos indicadores, y de avanzar en la capacidad predictiva”. “Todos los casos han de estar cerrados y esclarecidos policialmente e integrados en el Sistema de Personas Desaparecidas y Restos Humanos sin identificar (PDyRH). Supone como trabajo:
  4. a)La recopilación y estudio pormenorizado de toda la documentación policial, psicosocial y criminológica de cada caso.
  5. b)La sistematización de la información recopilada en una base de datos creada a tal efecto, así como el análisis de los datos.” En “equipo de trabajo”, se indica que el adjudicatario contará necesariamente con un investigador principal. En el punto 3: “Por parte de la Secretaría de Estado de Seguridad – Dirección General de Coordinación y Estudios – Centro Nacional de Desaparecidos y Área de Estudios, se designará a un Coordinador del estudio, que mantendrá la interlocución que sea necesaria con el equipo de trabajo que designe la Institución adjudicataria a efectos de propiciar la máxima coordinación entre las tareas y actividades a desarrollar.” “7. NORMAS DE SEGURIDAD Y CONTROL Todo el personal que, por parte de la Institución adjudicataria, intervenga en los trabajos, deberá someterse a las normas de seguridad, control y régimen interior de los centros y dependencias policiales y penitenciarias en las que tengan que trabajar.” La cláusula 8.2: “confidencialidad y protección de datos sobre los datos relacionados con la actividad de la Administración que haya de suministrarse”. Se indica que la adjudicataria: “únicamente tratará los datos de carácter personal a los que tenga acceso conforme a las instrucciones de la Coordinación del estudio y no los aplicará a fin distinto”. “9. OBLIGACIONES DE LA ADMINISTRACIÓN • Facilitar la selección de los casos a revisar. • Facilitar el acceso del personal investigador a la documentación policial de los implicados en los casos objeto de estudio. • Facilitar el acceso del personal a todas las dependencias del Ministerio del Interior en donde tengan que trabajar, sin perjuicio del control debido por razones de seguridad. El plazo de ejecución es de un máximo de 5 meses. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/79 - Copia de PLIEGO DE CLÁUSULAS Administrativas PARTICULARES, contrato de servicios”, con referencia en el punto 27 a “seguridad y confidencialidad”, y en el 28 a: “tratamiento de datos personales” en la que se reconoce el acceso a casos en los que hay implicadas personas físicas en calidad de autores de delitos y víctimas. Se indica que la entidad contratista tendrá la consideración de “encargado del tratamiento” y entre otras, que deberá “aplicar medidas que garanticen la seguridad de los datos.” “En la ejecución de las prestaciones del contrato se consideran los siguientes datos de carácter personal, responsabilidad de la entidad contratante, quien facilitará los datos que sean necesarios al contratista: - Los datos de carácter personal seleccionados por la entidad contratante. - Los datos de carácter personal que figuran en las diligencias policiales y los aportados en entrevistas a los propios agentes de las Fuerzas y Cuerpos de Seguridad. - Los datos de carácter personal que se obtengan durante las entrevistas a víctimas y autores de delitos. En todo caso: - La entidad contratante tendrá la consideración de responsable del tratamiento. - El contratista tendrá la consideración de encargado del tratamiento de estos datos y no se considerará que se produce comunicación de datos.
  6. a)El encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. Manteniendo en todo momento la debida confidencialidad de los datos.
  7. b)El encargado del tratamiento deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
  8. c)Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. - En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente -En el punto 17, como condiciones medioambientales, se indica que: “la prestación de servicios se realizará utilizando medios informáticos evitando el soporte físico papel excepto en casos imprescindibles” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/79 -copia de la formalización de contrato con ***FUNDACIÓN.1, adjudicado el 23/06/2021. -copia de factura expedida el 13/12/2021. 4- De la información obtenida en las API: Pregunta: “En relación con la investigación interna que se realizó sobre el incidente, se solicita: o Copia de la documentación existente en la denuncia que formuló la persona víctima de la sustracción (tanto al Área de la que dependía como al departamento de Atención a Puestos de Usuarios) en los días 4 y 6 de mayo de 2022. o Copia de la documentación obtenida por el Área de Infraestructuras y Seguridad TIC (de la SGSICS) en el transcurso de la investigación del incidente (que inició tras los nuevos datos aportados por la víctima el día 6 de mayo de 2022). o Copia de la documentación remitida por las Áreas que gestionaban los posibles tratamientos que dieron lugar a la brecha (Áreas VGEF y SEAV), tras la solicitud realizada el 26 de mayo de 2022 con carácter de urgencia y siguiendo las instrucciones del Director General de Coordinación y Estudios.” Responde que se adjunta en ANEXO IV, que contiene diversos documentos, una parte realizada por la SGSICS -Se contiene copia de la primera denuncia interpuesta por el usuario ante la Policía Nacional el ***FECHA.1. En la misma, se indica: “que el dicente pertenece al Ministerio de InteriorCentro Nacional de Desaparecidos”, que entre los efectos que contenía la mochila, había unas carpetas con el logo del “CNDES” conteniendo información de terceras personas de carácter policial”, “reseña que el ordenador tiene clave de acceso y contenía archivos con información confidencial”, que no puede aportar el número de serie del ordenador pero que realizará una ampliación para aportar más datos. -En la ampliación de la denuncia de ***FECHA.2, proporciona los datos de identificación de marca y modelo del ordenador y número de serie, añade como objetos, un pendrive de color amarillo, indicando que “el ordenador no dispone de clave de acceso como manifestó en un primer momento por lo que cualquier persona podría tener acceso a la información”. Forma parte del ANEXO IV el “INFORME DE SEGURIDAD SOBRE LA SUSTRACCIÓN DE UN ORDENADOR PORTÁTIL PERTENECIENTE CENTRO NACIONAL DE DESAPARECIDOS”. Indica que el equipo portátil del Ministerio de Interior estaba asignado al personal que presta sus servicios en la sede de la SES, ***DIRECCIÓN.2 de Madrid y que de la investigación iniciada a partir del día ***FECHA.2 por al AREA DE INFRAESTRUCUTRA Y SEGURIDAD TIC (dentro de la SGSICS que tiene encomendada la gestión, administración y seguridad TIC de la infraestructura tecnológica con la que el Ministerio del Interior presta sus servicios ), se desprende que el portátil se encontraba en poder de A.A.A. (en lo sucesivo Investigador Colaborador, IC), persona que desarrollaba proyectos en el CNDES, describe, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/79 marca, modelo y núm. de serie, y que “no disponía de clave de acceso por lo que cualquier persona podía acceder a la información”, disco duro de (…) y memoria RAM de (…), e identificación del hostname-nombre por el que se identifica al equipo- y tenía configurado el usuario “***USUARIO.1” con (…) y “cuya cuenta carecía (…)”( según firma el propio usuario, lo que hace posible todo tipo de acceso y actuación sobre el dispositivo encendido”. “El equipo (…)). El disco duro (…), “(…)”. Afirman que el equipo fue adjudicado inicialmente por la SGSICS (el ***FECHA.3) a D. B.B.B. (B.B.B. en lo sucesivo) que, era en aquel momento, (…) de la DGCE, pero que en el momento del robo ya no prestaba los servicios en el departamento. Posteriormente, el 2/12/2019, el ordenador fue remaquetado por el departamento de Atención a Puestos de Usuarios de la SGSICS, sin que exista ningún otro registro relativo a nueva adjudicación ni intervención sobre el ordenador sustraído hasta la fecha. “Según informan desde el CNDES, el equipo se encontraba bajo la responsabilidad de otro Facultativo de Policía Nacional del ***ÁREA.1 ”. (al que identifican con nombre y apellidos- y que resulta ser el actual ***PUESTO.1). Afirman que el equipo sustraído formaba parte de una partida inicial de SEIS portátiles solicitados en el año 2017 para unas actividades internas de formación que requerían disponer de portátiles con el ***USUARIO.2 y sin credenciales y, que fueron entregados para ser utilizados exclusivamente en el interior de la sede. Que posteriormente fue asignado al jefe de ***ÁREA.1 en fecha ***FECHA.3, pero que en cualquier caso estaba destinado a su uso interior de las dependencias del Área. En el sistema gestor de incidencias de la SGSICS figura un registro introducido por parte del CAU al respecto, que reza: “Recibidos los equipos. Una vez terminado el curso quedan 5 portátiles en el armario esperando su recogida. Siguiendo indicaciones de (…), un portátil se le ha asignado a B.B.B. “Abro otra mantis con este hecho.” “El propósito y utilización del ordenador portátil era el desarrollo de tareas de investigación científica y de una herramienta predictiva desde 2018, tareas que eran desempeñadas por A.A.A. bajo la supervisión del personal del CNDES, “sin persona concreta bajo cuya responsabilidad desarrollara estas tareas.” Afirman que en la SGSICS-(...), no constaba la existencia de autorización para sacar el ordenador de la sede y que el propio usuario (...) había afirmado que no tenía conocimiento de que esto no se podía hacer, y que no recuerda si cuando se incorporó en 2017 le dijeron que no podía sacarlo de la sede. Manifiestan que “Según consta por la documentación firmada por A.A.A., en el equipo sustraído existía un usuario configurado de acceso a la red (…), destinada a cubrir la necesidad de acceso a Internet a través de dispositivos inalámbricos de los usuarios que trabajan en la sede de la SES “(...)”, donde se ubica el Centro Nacional de Desaparecidos. Aporta en tal sentido, copia en evidencia 8 firmada el 24/06/2021, “SOLICITUD de (…) dirigida al Departamento de infraestructura y Seguridad TIC,” si bien no se contiene referencia alguna al equipo para el que se solicita, si se contienen las “normas específicas de seguridad de la información en el uso de la red wifi SES (...) en el ámbito de la SES” en la que se indica que “está destinada al servicio de personal del Gabinete de Coordinación y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/79 Estudios para la Seguridad en su sede de (...) y su acceso está restringido a los usuarios que desempeñen sus funciones en dicha sede. Puntualmente, los usuarios ajenos a la SES podrán ser habilitados para hacer uso de esta conexión, siempre que las necesidades de su trabajo o función lo requieran”. A través de la aplicación (…) haciendo uso de la conexión a Internet, accedía al buzón de correo ***EMAIL.1, que era compartido con otros usuarios de semejante perfil al suyo dentro del CNDES. Se ha procedido a deshabilitar el usuario de acceso a la citada web. Se afirma que el ordenador sustraído no tenía acceso (…) donde podía existir información sensible, ya que esto sólo se podía hacer desde (…) a los que se le aplicaban políticas de seguridad específicas como el bloqueo de puestos USB. Se afirma que en la SGSICS no tienen constancia del modo en que la información contenida en el equipo sustraído fue proporcionada al usuario, afirmando que corresponde al funcionario responsable del propio usuario el control de sus funciones y de la información que se le proporciona. También afirman que en ningún momento se les solicitó desde la CNDES ni de la persona adjudicataria del ordenador, medidas para la protección de la información ni del dispositivo en su traslado o uso de información de carácter policial o conteniendo datos de carácter personal fuera de las dependencias de SES. -La SGSICS afirma en el citado informe que el usuario (...) no aparece registrado en las aplicaciones corporativas de gestión de usuarios del Ministerio del Interior (“(…) y (…)”) y por tanto no cuenta con un usuario individualizado y unívoco de los dominios de la Secretaría de Estado, donde pudiera existir información sensible. Afirman que este es el motivo por el que no existe un documento firmado por el usuario o por su responsable asignado, informándole sobre la normativa de buenas prácticas aplicables a su puesto de trabajo. Aunque afirman que sí existe documento de Acuerdo de Confidencialidad por parte del CNDES firmado por el usuario con fecha 14/12/2017, aportan un escrito (evidencia 7), con la mención en una sola hoja, logo de la SES, de “4. protocolo de firma: he leído el acuerdo relativo a la política de confidencialidad de la Subdirección, y acepto su contenido en los términos aquí expresados” sin que figuren estos, sin conocer los términos. Indica que, desde la SGSICS, no se tenía constancia de ello (se lo envió el CNDES por correo electrónico el 17/05/2022). Desde la SGISCS se afirma que, según manifestaciones obtenidas por parte de los responsables del CNDES y del propio (…), este usuario no tiene en la actualidad relación contractual con el Ministerio del Interior, sino que realiza tareas de desarrollo de una herramienta predictiva como parte de un proyecto de doctorando del Instituto de (…), (al que pertenece el usuario) y que si bien existe Convenio general de formación entre ***UNIVERSIDAD.1 y SES, no se tiene constancia de que pudiera estar trabajando bajo el amparo del citado Convenio a través de la formalización de un acuerdo o cláusula de colaboración. No obstante, con la información que dispone el departamento de atención a puestos de usuario de la SGSICS, la SES contrató el 11/06/2019 con la ***UNIVERSIDAD.1 la “revisión y análisis de casos de desaparición de etiología violenta”, y posteriormente, con fecha 23/06/2021, la contratación con la Fundación de la ***UNIVERSIDAD.1 para la “creación y validación de una herramienta predictiva y de valoración de riesgo de desaparición con desenlace fatal.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/79 “En relación con la “información comprometida con el portátil se afirma que, según manifiestan los propios responsables del CNDES, la información contenida en el disco duro era la siguiente: 1140 atestados policiales esclarecidos sobre desapariciones de distinta etología utilizados para construir SERDESVI. 800 atestados policiales esclarecidos sobre desapariciones utilizados para validar SERDESVI. 60 atestados policiales esclarecidos sobre homicidios con diligencias de investigación de la Policía Judicial e inspecciones oculares técnico policial. Entrevistas grabadas con agentes de la Policía Judicial, familiares y entorno cercano de víctimas y agresores, así como videos grabados con estos últimos en prisión. Extracción de la base de datos de PDyRH del año 2019. Base de datos utilizada para la elaboración del trabajo: "Personas Desaparecidas: Un estudio piloto de casos". Base de datos utilizadas para la elaboración del trabajo publicado: "Revisión Pormenorizada de Desapariciones con desenlace fatal de etiología Homicida". Bases de datos utilizada la construcción del SERDESVI e informe técnico sobre su construcción. “Según manifestación de D. A.A.A., entre los dispositivos de almacenamiento sustraídos había uno de ellos “etiquetado con (...) que contenía información personal”. “Otro de los pendrives estaba corrupto y era inaccesible. El resto de los pendrives, según el usuario, estaban vacíos”. En las carpetas amarillas que también fueron sustraídas con documentación en papel, según primeras manifestaciones del usuario, contenía información policial, no obstante, estas manifestaciones fueron corregidas posteriormente en la segunda denuncia afirmándose que contenían facturas a nombre de ***UNIVERSIDAD.1 relativas a los viajes en el marco del proyecto en el que trabajaba y no información sensible de carácter policial. La propia SGSICS afirma que, tras la investigación interna realizada, se concluye con la existencia de varias deficiencias que surgieron tanto a nivel técnico como operacional y organizativo, en concreto afirman textualmente las siguientes: .1 A nivel organizativo afirman que: .1 No consta la designación de un funcionario responsable directo de A.A.A. como usuario externo que desempeñaba su trabajo en el CNDES, .2 No consta que se informara al usuario de la normativa que aplica a su puesto de trabajo, de las acciones que está autorizado a llevar a cabo y de las que no está autorizado a realizar con los medios y recursos que se ponían a su disposición. Tampoco consta la aceptación y conocimiento del usuario de dichas normas, cumplimentando el protocolo de firma y ratificado por su responsable en la SES. .2 A nivel operacional .1 No consta cómo, por quien, y bajo que precepto le fue entregada al usuario la información contenida en el dispositivo sustraído. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/79 .2 Se permitió la salida de dispositivos en los que se contiene información de nivel alto o incluso crítico, y máxime cuando el dispositivo que la contiene carecía de medidas de protección básicas o elementales que la hiciera inaccesible por personal no autorizado. .3 El usuario permaneció en un establecimiento público con un dispositivo con información confidencial y sin adoptar unas medidas de vigilancia adecuadas. .3 A nivel técnico: .1 Los usuarios configurados en el equipo sustraído eran el usuario “***USUARIO.2” y el usuario “***USUARIO.1” que contaba con privilegios de administración y que carecía de contraseña de acceso. El dispositivo carecía de medidas de protección (…). .2 Además del propio usuario al que le fue sustraído el ordenador, existían, según información de atención puestos a usuarios, un total de tres usuarios genéricos (Becarios 1, 2 y 3 respectivamente) con acceso a recursos del dominio (…) y compartiendo buzón de correo ***EMAIL.1, lo que no permite la trazabilidad de las acciones. Por parte de la SGSICS se adjuntan las siguientes evidencias: -evidencia 4: “histórico actuación sobre equipo sustraído”, de 2017 a 2019. Se aprecia que se configuró por primera vez en 2017, y se volvió a plataformar en 2019. -Evidencia 5: “remaquetación del equipo sustraído”, figurando “usuario del equipo con (…)”, -evidencia 6, con cuatro anotaciones, del 13 al 20/12/2017, una de ellas “ticket de configuración usuario ***USUARIO.1 con (…) y sin (…) en cada portátil”, del 13, y figurado en la última “recibidos los equipos, una vez terminado el curso quedan 5 equipos en el armario del despacho de (…), esperando su recogida. Siguiendo indicaciones de (…), un portátil se le ha asignado a B.B.B..” -Copia del documento interno, evidencia 3 “Movimiento de Material” del CAU que acredita la asignación del portátil el ***FECHA.3, por “fallo del que tenía asignado”. Sobre la configuración del mismo no figura ninguna anotación. -Como evidencia 9, “consolas (…)”, aporta captura de pantallas de registros “(…)”, y “***ANTIVIRUS.1” en las que se ve la fecha última conexión el día ***FECHA.1, 19:39:17 que la última conexión figura antes de producirse la sustracción, sin que haya habido ninguna con posterioridad. -Como evidencia número 10, captura de pantalla con el correo electrónico enviado por B.B.B., jefe de (…), ***DIRECCIÓN.1 el viernes 26/11/2021 con el contenido siguiente relacionado con el traspaso de la información contenida en el portátil robado en mayo 2023: “(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/79 Esta mañana hemos tenido reunión con (…) y con una universidad en VioGén (como ya sabíais) y C.C.C. ha dado luz verde a hacer estos estudios de atestados y de casos del 2019. Os he llamado a todos, pero no me cogéis. ¿Qué tal os viene que me pase el lunes por la mañana a partir de las 10:00 h. para hacer las extracciones de datos? Me acompañaría el becario de la Universidad que las va a procesar, para llevárselas en un portátil, que nos corre algo de prisa. Sería recuperar la extracción de todos los casos del 2019 a un año de seguimiento (y ya veríamos si de paso llevarnos las del 2020, ahora que estamos casi a final de año) y los atestados que se puedan sacar (si son 40.000 mejor). -Refiere medidas y acciones “encaminadas a mejorar las medidas de seguridad preventivas” por parte del área de violencia de género, estudios y formación como encargada de los alumnos en prácticas, centralizando la gestión del personal alumno, con listados para incrementar el control, revisión de los convenios actualizados, gestión del uso físico de los espacios de las salas comunes de trabajo y asignación de un tutor responsable, revisión y mejora de cláusulas de confidencialidad del personal que accede a datos con una guía de comportamientos específicos y buenas prácticas, guías para el uso de los recursos (aportan copia de la cláusula, de las buenas prácticas ). Revisión periódica de las actuaciones “ “Significar, que, el transcurso del tiempo desde la notificación de la sustracción hasta la remisión de este informe ha sido el tiempo necesario para aclarar e identificar el alcance del incidente y la información sensible que ha podido ser expuesta”. En el mismo ANEXO IV, que contiene diversa documentación, se aporta informe del responsable del ÁREA de SISTEMA ESTADÍSTICA Y ATENCIÓN A VICTIMAS, (SEAV) al DPD, respondiendo a 7 puntos, fechado el 27/05/2022, de los que aquí se hace una reseña. En este informe, el jefe del Área SEAV afirma que en cuanto tuvo constancia de lo sucedido, lo puso en conocimiento del propio Director de la DGCE mediante el envío de correo electrónico en fecha ***FECHA.4 a las 14:25. Este hecho queda acreditado con la aportación de la captura de pantalla del propio correo que contenía el siguiente texto (con copia a tres personas): “(…) buenos días: ... Ayer por la tarde le sustrajeron a A.A.A. (…) su mochila en el interior de un bar de Madrid. Interpuso denuncia…En el interior de la mochila portaba …el ordenador HP del trabajo facilitado por la SGSICS, si bien, al no ser personal del Ministerio, no tenía (…) (si en la parte del administrador), así como documentación del CNDES en papel y en Pendrives. Tanto la información contenida en soporte físico como digital está relacionada con el trabajo que ha estado realizando estos últimos años sobre la herramienta predictiva del riesgo, incluidos atestados policiales. Estamos en contacto con la SGSICS para dar de alta la incidencia del ordenador…el asunto lo estamos gestionando conjuntamente con Estudios del Área de Violencia de Género, Estudios y Formación para, entre otras cosas, revisar y mejorar los procedimientos de seguridad que debe utilizar el personal de la Universidad que trabaja con nosotros. Te seguiré informando, si hay alguna otra novedad al respecto. Se indica expresamente que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/79 - A esta SGSICS, el mismo día ***FECHA.4, se le participó verbalmente quedando la referencia en el aplicativo informático. -El CNDES emitió el (…) un informe dirigido al responsable del fichero PDyRH sobre la sustracción con documentación sensible a un (…). En el informe se afirma que hasta el día ***FECHA.4 se desconocía, tanto por parte del Jefe de Área SEAV como del Jefe de Servicio del CNDES, que el (…) de la ***UNIVERSIDAD.1 que desarrollaba trabajos para el CNDES hacía uso de un portátil oficial no solo para los trabajos del área relacionados con estudios tutelados por el ***ÁREA.1, sino también para su uso personal y privativo. -En el informe se afirma que los datos que se encontraban en el portátil eran 2000 atestados sobre personas desaparecidas con desenlace fatal de distintos Cuerpos de Seguridad y de casos ya juzgados. En concreto, se afirma que el portátil contenía, según las indagaciones del CNDES: -Atestados policiales sobre desapariciones de personas esclarecidas tanto de Policía Nacional y Guardia Civil como de las Policías Autonómicas Mossos d'Esquadra y Policía Foral de Navarra. También contenía bases de datos en las que se encontraba almacenada la información de los atestados anteriormente referidos. -Atestados policiales sobre homicidios esclarecidos policial y judicialmente y asociados a una denuncia por desaparición, tanto de Policía Nacional como de Guardia Civil. También contenía bases de datos en las que se encontraba grabada la información de los atestados anteriormente referidos, así como grabaciones de entrevistas en audio y video con los implicados en los casos (víctimas, agresores o familiares de estos entre otros aspectos). -Bases de datos, extracciones anuales de PDyRH, manuscritos de trabajos de investigación, memorias justificativas de proyectos, cuadros de justificación de gastos, y otros aspectos de administración y control. -En el informe se afirma que los datos personales afectados pertenecían a sujetos sobre los que se denunció su desaparición y tuvieron desenlace fatal, sobre los autores condenados e ingresados en prisión, y sobre familiares y otras personas de su entorno, desconociéndose el alcance del número de personas afectadas puesto que no se contaba con respaldo del contenido del portátil. -En relación con las consecuencias estimadas, se afirma que en caso de acceder a la información contenida en el ordenador por personas que puedan interpretar el contenido de la información, las consecuencias serían impredecibles, puesto que algunos de los atestados que se conocen, “por las propias declaraciones de A.A.A. son de casos muy mediáticos (pero ya juzgados). “ -Indica en el punto 8 del informe del ÁREA SEAV que el 26/05/2022 se recibió correo del Delegado de Protección de Datos de las SES en el que remiten además dos documentos. Los documentos son: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/79 1. Procedimiento de notificación de brechas de seguridad de datos personales. Respecto a ello, señala que el ***FECHA.1 se produjo la sustracción del portátil propiedad de la SES (SGSICS) “que estaba asignado por el ***ÁREA.1 a A.A.A.. A las 22:54 horas, este mismo (…) interpuso denuncia ante Policía Nacional. El día siguiente ***FECHA.4, sobre las 13:30 A.A.A. “que se encuentra actualmente desarrollando trabajos para el CNDES a través de la ***FUNDACIÓN.1 informa (…). También verbalmente se participó a los responsables de la SGSICS destacados en la sede de (...).” 2.Documento de la SGSICS bajo el título de “informe de seguridad sobre la sustracción de un ordenador portátil perteneciente al CNDES”. En relación con este correo, se responde por parte del área SEAV con las siguientes discrepancias que habían detectado en el informe adjuntado y que había redactado la SGSICS: 1. Que el portátil no estaba asignado al CNDES tal y como se afirmaba por parte de la SGSICS, ya que no fue hasta el ***FECHA.4 cuando se tuvo constancia en esta área que el (…) tenía asignado portátil oficial con información policial. 2. Que el portátil estaba asignado a D. B.B.B., (…), el cual causó baja (…) mediante resolución de fecha de ***FECHA.5 sin que la SGSICS hiciera nada con los dispositivos que esta persona tenía asignados, sin que fueran traspasados a otra persona que se encargara de los mismos, previo formateo de su contenido y reseteo de las habilitaciones y que las medidas no han de ser solicitadas por los usuarios sino de oficio por los responsables de la seguridad informatica SGSICS. “A pesar de las reiteradas actuaciones con ese portátil, en ningún momento se le habilitó medida de seguridad alguna”. Insiste en la competencia de la SGSISS del “desarrollo e implantación de los sistemas de información y telecomunicaciones garantizando su interoperabilidad, seguridad y calidad, así como la provisión y gestión del equipamiento y los recursos informáticos necesarios” 3. Disconforme con la afirmación de que “…ni por parte del funcionario inicial del equipo sustraído ni de los responsables del Centro Nacional de Desaparecidos se solicitó en ningún momento medidas para la protección de la información, ni del dispositivo en su traslado o uso de la información de carácter policial o conteniendo datos de carácter personal fuera de las dependencias de Secretaria de Estado de Seguridad”, indicando que la SGSICS debe ejercer las competencias motu proprio y que en la sede donde colaboraba el(...)hay dos funcionarios adscritos a la citada Subdirección 4. Que la labor de supervisión del trabajo del (…) D. A.A.A. compete en exclusiva al ***ÁREA.1, al igual que para cualquier otro personal de universidades. Por parte del área SEAV se afirma que los documentos necesarios para el equipo de investigación fueron solicitados desde el CNDES a las Fuerzas de Seguridad siendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/79 remitidos al email oficial creado al efecto y al que según afirman tenía acceso exclusivamente el ***PUESTO.1 (***EMAIL.1). No obstante, según afirmación de la SGSICS, el usuario A.A.A. también tenía acceso a este buzón de correo y era compartido por otros usuarios de semejante perfil. Por parte del área SEAV, se afirma que el 13/12/2021 la ***FUNDACIÓN.1 dio por finalizado el contrato haciendo entrega del trabajo. Afirman que a partir de esta fecha el CNDES no tiene más relación de negocio jurídico con esta Fundación, ni con los investigadores contratados. En el momento de la entrega y previa a la emisión de la factura se incidió en la obligación de la destrucción de cualquier dato personal al que se hubiese tenido acceso. Afirman que la herramienta predictiva está implementándose en el sistema PDyRH como apoyo a la toma de decisiones de los investigadores y en virtud del plan estratégico del CNDES (según se indica en el mismo la implantación está prevista para el primer semestre de 2023). Por parte del área SEAV, se afirma que se había tenido conocimiento de que el anterior responsable del ***ÁREA.1 permitió la extracción y alojamiento de documentos en un portátil oficial sin conocimiento de los funcionarios que habían participado en el proceso de creación de la herramienta predictiva, y que esto no fue conocido ni por el área SEAV ni por el CNDES hasta el día posterior al robo del portátil, fecha en la que tuvieron noticias de que el (…) D. A.A.A. había almacenado información en dicho portátil propiedad de la SES y que según sus propias manifestaciones también utilizaba para otros usos particulares y que sacaba de las instalaciones sin ningún control. Por parte del área SEAV se afirma textualmente: “en caso de acceder a la información contenida en el ordenador por personas que puedan interpretar el contenido de la información, las consecuencias serían impredecibles, puesto que algunos de los atestados que se conocen, por las propias declaraciones de A.A.A., son de casos muy mediáticos, pero ya juzgados. Es decir, no se refieren a investigaciones vigentes”. En la documentación recibida, se afirma por parte del área SEAV, que según las propias declaraciones voluntarias que les había formulado el usuario D. A.A.A., el disco duro del portátil contenía al menos la siguiente información: -Atestados policiales sobre desapariciones de personas esclarecidas tanto de Policía Nacional y Guardia Civil como de las Policías Autonómicas Mossos d'Esquadra y Policía Foral de Navarra. También contiene bases de datos en las que se encontraba grabada la información de los atestados anteriormente referidos. -Atestados policiales sobre homicidios esclarecidos policial y judicialmente y asociados a una denuncia por desaparición, tanto de Policía Nacional como de Guardia Civil. También contiene bases de datos en las que se encuentra grabada la información de los atestados anteriormente referidos, así como grabaciones de entrevistas en audio y video con los implicados en los casos (víctimas, agresores o familiares de estos entre otros aspectos). -Extracciones anuales del sistema de personas desaparecidas PDyRH. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/79 -También contenía dos carpetas con material relacionado con la información anterior y que fue utilizado con fines de docencia e investigación científica. -Aporta la SEAV preguntas escritas remitidas por el Jefe de Área de Infraestructura y Seguridad TIC con motivo del incidente de seguridad abierto por la SGSICS, relacionado con la comunicación de robo de un equipo portátil perteneciente al Ministerio: “Necesitaríamos aclarar las cuestiones que se reflejan en el documento adjunto. Necesitamos mantener una entrevista telefónica a ser posible con el funcionario responsable del equipo y con el usuario del mismo” Las preguntas son las siguientes: ¿quién era la actual adjudicataria responsable del equipo? ¿Cuáles son las condiciones contractuales del usuario? ¿Cuenta con el acuerdo de confidencialidad firmado? ¿en su caso donde se encuentra el documento? ¿Cuenta con normativa de buenas prácticas firmado? ¿en su caso donde se encuentra el documento? ¿Existe algún registro en relación de usuario donde aparezca dado de alta el usuario? (aplicaciones (…) o (…)) ¿Accede de algún modo el usuario al dominio (…)? ¿con usuario propio o genérico? ¿Cuál era el destino cometido del equipo? ¿Qué ubicación física ocupaba el equipo? ¿Existía autorización para sacar al equipo de la sede? ¿Quién es el o los usuarios del equipo? ¿Con qué credenciales se alojaban en el equipo? ¿Qué conexiones establecía el equipo? (internet dominio) ¿A qué aplicaciones se conectaba con el equipo? ¿Qué información contenía el equipo sustraído? ¿Qué información contenía el pendrive sustraído? ¿Qué información contenía la documentación física sustraída? ¿ha sido sustraído desaparecido algún otro soporte? 3- De la información obtenida en las API: Pregunta: “-En relación con la cuestión “del desarrollo de la herramienta predictiva para la que eran necesarios los datos personales sustraídos, se solicita información sobre su funcionamiento, aportándose detalles de los tipos de datos personales que se necesitan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/79 como entrada para entrenar los algoritmos, los que se necesitan para validación o prueba, así como detalles de la predicción que realiza y el uso que se haría de la misma, indicando también la existencia de elaboración de perfiles. “ En la que respondió adjuntando información facilitada por el ÁREA DE SISTEMA ESTADÍSTICO Y ATENCIÓN A LAS VICTIMAS (SEAV) Anexo III. Este anexo, del CNDES, responde a varias de las cuestiones del requerimiento de la inspección, y figura firmado en 4/10/2022. Tras encuadrar su dependencia de la DGCE, que su creación fue por Instrucción de 2/2018 de 5/02, y sus funciones, -Actuar como observatorio del fenómeno de la desaparición de personas, realizando análisis estratégicos de la información recabada para la adopción de iniciativas en ese ámbito. -Coordinación y cooperación entre Fuerzas y Cuerpos de Seguridad del Estado y otras instituciones, así como con asociaciones representativas de familiares. -Coordinar la formación de las Fuerzas y Cuerpos de Seguridad del Estado en la materia, y elaborar el cumplimiento en instrucciones y protocolos. Detalla que, en 2019, puso en marcha un estudio “para establecer métodos fiables y eficaces de valoración de riesgo, que permitan ayudar a los investigadores policiales a orientar las investigaciones desde el momento en que se recibe una denuncia por desaparición.” “Con apoyo de personal universitario, previamente se creó un grupo de trabajo para determinar los factores que influyen en que una persona desaparezca, con el objetivo de llegar a la creación de una herramienta eficaz, que permita a los investigadores estimar el escenario más probable ante una nueva denuncia por desaparición, así como el tipo de desenlace más probable.” ” Fruto de los trabajos realizados en el seno de dicho grupo de trabajo y tras contrato realizado con la ***UNIVERSIDAD.1, se publicaron en la página del CNDES sendos Informes que refiere sobre personas desaparecidas en 2019 (dos informes).” Uno, editado en enero 2020, en el que figura como (…), titulado: “Desapariciones con desenlace fatal de etiología homicida” (94 páginas) que indica en la página 9, tras detallar el marco del problema de las desapariciones que “desde el CNDES se están realizando esfuerzos para profundizar en el estudio científico de las desapariciones en España, en el convencimiento de que más y mejores estudios ayudarán tanto a la prevención de casos, como a mejorar la investigación policial posterior de aquellos sucesos que desafortunadamente se lleguen a producir, y especialmente de los que conlleven un desenlace fatal. Una de esas iniciativas ha consistido en la contratación de este Instituto (…) de la ***UNIVERSIDAD.1, como entidad académica y científica, para realizar un estudio pormenorizado y sobre el terreno de una muestra de casos de desapariciones en España en las que subyace un homicidio. Esta revisión pormenorizada debía consistir en
  9. a)la identificación, recopilación y estudio de la documentación policial (atestados) de una muestra de al menos 20 casos de desapariciones que hubieran terminado en homicidio de la persona desaparecida, y que hubieran sido esclarecidos;
  10. b)la entrevista personal con los agentes policiales que investigaron el caso, así como con los entornos de víctima y agresor, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/79 y, en última instancia, con el agresor en prisión; y
  11. c)la elaboración de un informe técnico en el que se vaciaran los datos de los distintos casos y se mostraran los resultados de los análisis estadísticos de esos datos, a nivel descriptivo (univariante) debido a la pequeña magnitud de la muestra. Todo ello con vistas a decidir sobre la conveniencia o no (en función de los resultados) de plantear en el futuro un estudio más ambicioso, con una muestra más amplia de casos, que permita acometer análisis bivariantes y multivariantes” En su apartado 2 “metodología empleada”, se indica que, para la realización del estudio, “se consiguió recopilar una muestra de atestados policiales facilitados por la Guardia Civil y por la Policía Nacional de desapariciones de tipología homicida ocurridas entre 2008 y 2015 figurando implicados 29 autores y 23 víctimas. En el apartado 2.2, se señala el procedimiento de trabajo y las fases del estudio, incluyéndose entrevistas y test de personalidad de los autores de los hechos o de los policías que intervinieron en la investigación. La otra publicación se titula “personas desaparecidas un estudio piloto de casos” 2019, editado en enero de 2020. Sobre la base de datos referida al sistema de Personas Desaparecidas y Restos Humanos (PDyRH) se puso en marcha en 2009, y se diseñó para facilitar el cotejo de datos entre personas desaparecidas y el hallazgo de restos humanos con fines identificativos. Manifiesta la CNDES que el contrato de 2021 es una continuación de dicho trabajo. Refiere el apartado 11 de la “memoria justificativa” en la que se incluye el tratamiento de datos por parte del adjudicatario, se indica el acceso a datos relacionados con víctimas de delitos de desapariciones y autores de delitos. Informa que el 1/07/2021, se adjudicó el contrato a la ***FUNDACIÓN.1. Manifiesta que de conformidad con el apartado 5 del Pliego de prescripciones técnicas, para la contratación del servicio se preveía personal investigador, y la Universidad contrató a C.C.C. (investigador colaborador en lo sucesivo) y a D.D.D. (D.D.D. en lo sucesivo) para dirigir el trabajo en las instalaciones del CNDES. También se menciona la confidencialidad y la protección de datos en los que hayan de suministrarse al adjudicatario para la realización de los servicios convenidos, extensible a los colaboradores del adjudicatario, que suscribirán el compromiso de confidencialidad. La Fundación procedió a la contratación del equipo de trabajo para el desarrollo de dicha herramienta. “Los documentos necesarios por el equipo de investigación para el estudio y desarrollo del contrato objeto de licitación, fueron requeridos a las Fuerzas y Cuerpos de Seguridad (FCS) por el CNDES, siendo remitidos al email oficial creado al efecto ***EMAIL.1, cuenta securizada y gestionada por la SGSICS.” El uso de este correo se encuadra, por las finalidades a las que se dedica, dentro de la Sección de normativa y estudios del CNDES, al que solamente tiene acceso su jefe. Recepcionados los documentos, éstos eran almacenados (…) oficial securizada de la SGSICS, denominada (…). “El funcionamiento de este espacio, está securizado, y el acceso (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/79 “El procedimiento para visualizar los documentos era como a continuación se explica: Cuando el equipo de investigación requería de alguna documentación, el (…) en un equipo de sobremesa (PC) de la sala dispuesta para el desarrollo del trabajo en la sede del CNDES, accedía a la nube y únicamente se les mostraban los documentos necesarios para el estudio que demandaban diariamente, volviendo a cerrar la nube y dejándoles la documentación para su análisis y estudio. Los equipos informáticos que utilizaba el equipo de investigación eran los proporcionados por la SGSICS con las medidas de acceso de seguridad establecidas. Es de significar que para (…), gestionados y securizados por la SGSICS. Los terminales informáticos utilizados para el acceso a (…), por el equipo de investigación, eran del tipo de (…) propiedad de la Secretaría de Estado de Seguridad, gestionados y controlados por la SGSICS. Una de las cláusulas del contrato del pliego de prescripciones técnicas, 8.2.2., indica que la adjudicataria deberá garantizar el cumplimiento de los requisitos establecidos por la normativa de protección de datos personales, en relación con los datos de carácter personal a los que vaya a tener acceso:  “Únicamente tratará los datos de carácter personal a los que tenga acceso conforme a las instrucciones de la Coordinación del estudio, y no los aplicará o utilizará con fin distinto. “ El 13/12/2021, la ***FUNDACIÓN.1, da por finalizado el contrato, haciendo entrega del trabajo realizado por el equipo de investigación multidisciplinar, no teniendo el CNDES, a partir de esa fecha, más relación de negocio jurídico con la ***FUNDACIÓN.1 ni con los investigadores del equipo de trabajo. Se emitió en su día (13/12/2021) la factura. “La herramienta predictiva resultante (aplicación) está implementándose en el Sistema PDyRH, como apoyo para la toma de decisiones de los investigadores”. “Por informaciones posteriores recibidas, que fueron recogidas en el primer informe al DPD de la SES mencionado, se informaba que se había podido conocer que, por el (…), se permitió la extracción y alojamiento de documentos en un portátil oficial, sin conocimiento de los funcionarios que habían participado en el proceso de creación de la herramienta predictiva. Estos extremos no fueron conocidos por los responsables del CNDES hasta el día posterior a la sustracción de la mochila en la que, entre otros efectos, se encontraba el ordenador portátil adjudicado a dicho responsable, en el que en ese momento tuvieron noticias de que el (…), D. A.A.A., había almacenado información en dicho ordenador portátil, propiedad de la SES, que utilizaba –según sus propias manifestaciones– para otros usos particulares, y que sacaba de las instalaciones sin ningún control, y que lo llevaba haciendo desde fechas sin determinar. Todo ello, igualmente, era desconocido por los responsables del CNDES.” 4- -Se solicita que aporten copia del RAT del tratamiento PDyRH vigente en el momento en que sucedió la sustracción del ordenador, y si en la actualidad ha sido modificado, copia del mismo. En su respuesta, manifiesta que aportan copia del RAT vigente a 22/09/2022 de “PDyRH Tratamiento bajo la Ley Orgánica 7/2021 de 26/05” presenta muchas similitudes con el que figura aportado el 27/06/2022 (con la notificación de ampliación de brecha) cuyo contenido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/79 se refleja en el HECHO PRIMERO. Asimismo, aporta el “Inventario de actividades de tratamiento de datos personales” actualizado a fecha de presentación. Cabe destacar: Se observa que en ninguna versión figuran datos de salud ni datos de condenas o entrevistas a familiares o a personas condenadas o personas entrevistadas, en formato videos Es común a los RAT, entre otros elementos: -Medidas de seguridad y organizativas de seguridad: “Las medidas de seguridad implantadas se corresponden con las previstas en el anexo dos medidas de seguridad hoy del Real decreto 311/2022, y “que se encuentran descritas en los documentos que conforman la política de protección de datos y seguridad de la información del Ministerio del Interior y de la Secretaria de Estado de Seguridad.” Manifiesta que tanto el RAT como el inventario aparecieron “publicados en su momento en el inventario/registro de actividades de tratamiento del Ministerio del Interior”. 5-- Informe sobre ¿Qué normativa aplicable permite o ampara a esas autoridades el uso de datos personales de investigaciones y delitos ya resueltos para la creación de herramientas predictivas destinadas al apoyo de la investigación penal? y su relación con el señalamiento de la exclusión del ámbito de aplicación que se recoge en el artículo 2.3 de la LO 7/2021 (investigación científica o estadística). Respondió que “es la propia LO 7/2021 la base legitimadora de estos tratamientos, puesto que la exclusión prevista en el artículo 2.3 se refiere a tratamientos por razones de interés público, investigación científica e histórica o estadísticos, pero para fines distintos a los recogidos en el artículo 1. Así, en el artículo 6.4 de la citada ley orgánica se establece específicamente que “El tratamiento por el mismo responsable o por otro podrá incluir el archivo por razones de interés público, y el uso científico, estadístico o histórico para los fines establecidos en el artículo 1, con sujeción a las garantías adecuadas para los derechos y libertades de los interesados. “A este respecto hay que señalar que, los datos que se tratan para estos fines están incluidos en los tratamientos oportunos de la persona responsable del tratamiento de la Dirección General de Coordinación y Estudios.” 6-De la información obtenida en las API: Pregunta: “Copia del Registro de Operaciones del sistema de información que trata los datos personales (según lo especificado en Art. 33 de la Ley Orgánica 7/2021). En concreto el registro de aquellas operaciones relacionadas con la consulta y comunicación de los datos personales a la persona encargada de tratamiento víctima de los dispositivos sustraídos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/79 Respondió: “La información específica que ha producido el incidente de seguridad y la brecha de protección de datos personales no se extrajo de un sistema de información y por lo tanto no se pueden aportar registros desde el sistema PDYRH o cualquier otro”. Se aporta información en el anexo XXX sobre la extracción primaria de los datos, si bien, se desconoce cuál fue el proceso organizativo o técnico por el que los datos acabaron en poder de la persona que sufrió la sustracción. A día de hoy, el registro de operaciones como tal no se ha implementado en los sistemas de información en su totalidad. Sí se acreditan las dimensiones de seguridad más la autenticación y la trazabilidad, si bien, no se incorpora aún en los registros automatizados la inclusión de la justificación, nombre de la persona o la identidad de los destinatarios para las operaciones indicadas en el artículo 33 de la LOPDP (recogida, alteración, consulta, comunicación, incluidas las transferencias, y combinación o supresión). “ Hay que señalar que tal anexo XXX no figura. -Amplía la información en el ya citado Informe de 3/10/2022 de la SGSICS Anexo II, que indica: “Según comunicó a esta Subdirección, el personal interlocutor del (…), el disco duro del ordenador portátil sustraído contenía una extracción de PDyRH del año 2019 (base de datos) de la que en esta Subdirección no se tiene ninguna constancia acerca de su existencia ni origen. “Sin embargo, acerca de esta extracción se hace necesario realizar las siguientes aclaraciones: El sistema PDyRH recoge los datos de los cadáveres y restos humanos sin identificar investigados por las Fuerzas y Cuerpos de Seguridad españoles, así como todas las denuncias de personas desaparecidas, información con la que el sistema posteriormente realiza una comparativa. En caso de hallar alguna coincidencia se comunica a los Cuerpos implicados y se inicia un protocolo de colaboración. El sistema cuenta con tres entornos: (…). La información que se almacena en el sistema PDyRH es la obtenida a través de los campos habilitados en la aplicación, que se extrae de los atestados policiales de forma automatizada o manual en el caso de que el sistema policial no (…. De este modo en el sistema PDyRH únicamente existen campos con datos de la denuncia e información estructurada que complementa y se cruza para su comparación, permaneciendo almacenados los atestados en los sistemas policiales correspondientes”. Afirman que la SGSICS tiene la siguiente responsabilidad con respecto a este sistema PDyRH: .1 .2 .3 Definición del modelo de datos, desarrollo y mantenimiento del sistema. Habilitación de accesos a usuarios de Fuerzas y Cuerpos de Seguridad. Gestión de incidencias. Menciona los distintos Cuerpos y Fuerzas de Seguridad del Estado que tienen acceso a dicha aplicación, y, “además, a base de datos, el personal autorizado del CNDES, responsable del tratamiento de datos.” Los usuarios se conectan a la aplicación a través de (…) (red administrada por la SGSICS)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/79 En la SGSICS, no consta que se haya dirigido petición en ningún momento por parte del responsable del tratamiento, solicitando una extracción de datos de la aplicación ni de la base de datos de PDyRH que pudiera corresponder con la información contenida en el dispositivo sustraído. “Tampoco se tiene constancia, ni ninguna evidencia o alerta de que este sistema informático, haya sufrido ninguna brecha de seguridad. “Para lo cual se adjuntan los logs de la aplicación y de la BBDD del 21 al 30/11/2021 y se pone a disposición el resto de los logs almacenados para cualquier consulta que se estime oportuna.” Los citados logs de la aplicación y de la base de datos no son adjuntados. “Por otra parte, debe reseñarse que el día ***FECHA.6, desde esta Subdirección fue atendida una petición formulada por el ***PUESTO.1, (…) de la Dirección General de Coordinación y Estudios, referida a la extracción de atestados policiales del sistema VioGén y no, así como consta en la información facilitada por el interlocutor de CNDES, relativa a PDyRH, siendo atendida, al proceder del departamento del responsable de los datos.” “Dado que la información solicitada no radicaba en base de datos del sistema, si no que en la base de datos solo figuran apuntes a las rutas donde se alojan el resto documentos, las operaciones realizadas fueron las siguientes: Con fecha 26/11/2021, se solicitó por el área responsable del Sistema VioGén, personalmente y por correo electrónico a través del ***PUESTO.1, autorizado previamente por quien en el correo se nombra como “C.C.C.”, copia de los atestados policiales del año 2019. Esto se recoge del hilo de correo electrónico que figura como evidencia 10 del informe original de este incidente. Se incluye como ANEXO II.” “Dado el volumen de atestados a recuperar, 62.409, varios de ellos dañados y ante la imposibilidad de extraerlos directamente desde la propia aplicación VioGén (entorno web) (…) se les ofreció la posibilidad de realizar la extracción de dichos atestados (…)” y “extraer los ficheros seleccionados mediante (…)”. “Está operativa no (…).” “Para constancia y comprobación, como Doc. 4, se adjunta registro de auditoría de la fecha en la que se realizó la extracción.” Indica que “lo que se registra en la auditoría de la aplicación es: Listado de denuncias y hechos asociados a cada denuncia, con información de “identificación de víctima y autor del caso, y consulta de ficha de denuncia, -no del fichero con el atestado -aunque puede estar presente enlace a dicho fichero si lo tuviera para ser descargado sin constar que lo haga en su caso.” “Tras realizarse la extracción fue entregada en mano en las instalaciones de la SGSICS (…), al ***PUESTO.1 el ***FECHA.6.” conteniendo los atestados referidos en el documento anexo referenciado como Doc. 5. No se recibe ni el documento 4 ni el 5 que aparecen citados. -Por su parte, en ANEXO III, procedente del CNDES de 4/10/2022, se responde, entre otros puntos, a este, no con lo que se le cuestiona sino con referencia al registro de actividades del tratamiento, reiterando que la actividad de tratamiento afectada por el robo del portátil del Ministerio del Interior es la actividad “Sistema de Personas Desaparecidas y Restos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/79 Humanos sin Identificar” (PDyRH), y reitera el contenido del mismo que ya figuraba en el informe de la DGCE que acompaña a la segunda notificación de la brecha. En el ANEXO III del CNDES en conclusiones relativas al desarrollo de la herramienta se indicaba que en informaciones que constan en el primer informe al DPD se informaba que, por el anterior responsable de Estudios del Área de Violencia de Género, Estudios y Formación, se permitió la extracción y alojamiento de documentos en un portátil oficial, sin conocimiento de los funcionarios que habían participado en el proceso de creación de la herramienta predictiva. Estos extremos no fueron conocidos por los responsables del CNDES hasta el día posterior a la sustracción de la mochila en la que, entre otros efectos, se encontraba el ordenador portátil adjudicado a dicho responsable, en el que en ese momento tuvieron noticias de que (…), D. A.A.A., había almacenado información en dicho ordenador portátil, propiedad de la SES, que utilizaba –según sus propias manifestaciones– para otros usos particulares, y que sacaba de las instalaciones sin ningún control, y que lo llevaba haciendo desde fechas sin determinar. Todo ello, igualmente, era desconocido por los responsables del CNDES. 7-De la información obtenida en las API: Pregunta: -“En relación con el Esquema Nacional de Seguridad: o Descripción de los sistemas de información afectados por la brecha y su categoría de seguridad. o Copia de la Declaración de Aplicabilidad que contiene la relación de medidas implantadas en los sistemas de información afectados por la brecha. o Copia del informe de la última auditoría realizada en los sistemas de información afectados por la brecha para verificar el cumplimiento de los requerimientos del ENS.” Respondió en el citado informe que adjuntaba información facilitada por la SGSICS, Anexo II en el que se indicó: Manifiestan, que la información sustraída y proporcionada por parte de esta Subdirección correspondía únicamente al sistema de seguimiento integral de los casos de violencia de género VioGén. Especifica: - las “categorías de interesados”: “Personas que sean víctimas de hechos susceptibles de ser tipificados como violencia de género y las personas incursas en procedimientos judiciales e investigaciones judiciales relacionadas con esos mismos hechos.” -la descripción: “categorías datos personales”: antecedentes penales de los presuntos autores y situación penitenciaria de los mismos, relativa a la concesión de permisos o la puesta en libertad (condicional o definitiva) de los internos que se encuentren sujetos a medidas judiciales de alejamiento o prohibición de comunicación con la víctima. Así como todos aquellos que se encuentren condenados a penas o medidas alternativas diferentes al ingreso en prisión. Datos de carácter identificativo: DNI/NIF/pasaporte/, así como otros documentos de identidad, fotografía, domicilios, teléfonos, correo electrónico, vehículos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/79 Datos de características personales: Datos de filiación, personas relacionadas, fecha y lugar de nacimiento, sexo, nacionalidad, situación laboral, datos de salud, profesión, nivel educativo y estado civil. Datos de carácter asistencial y de apoyo a las víctimas que figuren en los expedientes que elaboren los diferentes servicios y órganos que presten servicio a las víctimas de violencia de género. Sobre la declaración de aplicabilidad que contiene la relación de medidas implantadas en los sistemas de información afectados por la brecha, señalan que “dado que el sistema VioGén se trata de un sistema policial no contemplado en el ámbito de aplicación del Real Decreto 3/2010, de 8/01, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (ENS), al no corresponder con un sistema mencionado en el artículo 2 de la Ley 11/2007, de 22/06, de acceso electrónico de los ciudadanos a los servicios públicos, y como quiera que hasta la nueva publicación del ENS (mayo 2022) no se recogía con expresa mención los referidos sistemas dentro del ámbito de aplicación del ENS, es en estos momentos, en base a la nueva redacción del ENS, que se está procediendo a la elaboración del Plan de Seguridad con medidas ajustadas al nuevo ENS. No existe por tanto Declaración de Aplicabilidad referida al sistema VioGén basada en el ENS. Figura incluido en este informe de la SGSICS un anexo II, que reproduce un email de 22/11/2021 asunto “acceso a ficheros de atestados” Tras la conversación mantenida he hablado con A… sobre la viabilidad técnica de recuperar los atestados de un año concreto por ejemplo y no habría inconveniente alguno en poder realizarse” Copia de un correo electrónico de ***PUESTO.1”, de “E.E.E., dentro del Área de Violencia de Género, Estudios y Formación, de la DGCE (…) con literal “acceso a ficheros atestados”. “(…). Esta mañana hemos tenido reunión con (…) y con una universidad en VioGén (como ya sabíais) y C.C.C. ha dado luz verde a hacer estos estudios de atestados y de casos del 2019. Os he llamado a todos, pero no me cogéis. ¿Qué tal os viene que me pase el lunes por la mañana a partir de las 10:00 h. para hacer las extracciones de datos? Me acompañaría el becario de la Universidad que las va a procesar, para llevárselas en un portátil, que nos corre algo de prisa. Sería recuperar la extracción de todos los casos del 2019 a un año de seguimiento (y ya veríamos si de paso llevarnos las del 2020, ahora que estamos casi a final de año) y los atestados que se puedan sacar (si son 40.000 mejor) Sobre la copia del informe de la última auditoría realizada en los sistemas de información afectados por la brecha para verificar el cumplimiento de los requerimientos del ENS, se manifiesta que se adjunta anexo referenciado como Doc. 9 la última auditoría realizada al sistema VioGén, si bien no es aportada, y reiteran que no tienen responsabilidad con respecto a la información restante que estaba almacenada en el portátil robado, como por ejemplo la perteneciente al sistema PDyRH. Desde la DGCE, afirman que por parte del ***ÁREA.1, como responsables de coordinar todas las acciones relativas a los alumnos en prácticas, han revisado tras la brecha los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/79 protocolos de seguridad existentes procediéndose también de forma inmediata a definir una serie de acciones reactivas encaminadas a mejorar las medidas de seguridad existente, en concreto: -Se ha centralizado la gestión del personal alumno en prácticas, lo que permitirá incrementar el control y la monitorización: -Se mantendrá un listado actualizado de alumnos, se procederá a la revisión de convenios de forma que se pueda acceder únicamente a través de convenios actualizados con las Universidades pertinentes y cumpliendo plazos establecidos. -Se realizarán acciones para la gestión del uso físico de espacios que ocupan los alumnos en práctica, con objeto de mantener un número razonable de personas en salas comunes y mejorar el control. -Asignación obligatoria de un tutor responsable como figura de enlace. -Revisión y mejora de la cláusula de confidencialidad existente con objeto de mejorar la concienciación del personal con acceso a datos protegidos y ofrecer pautas de comportamiento. En concreto, se ha reforzado estas cláusulas incluyendo un anexo de buenas prácticas con normas generales de uso responsable de los recursos, con pautas de buen uso de los sistemas de información, uso responsable del correo electrónico y del acceso a internet, propiedad intelectual y procedimientos de actuación ante pérdidas de información. -Está previsto el seguimiento de todas las anteriores acciones de manera periódica para mantener actualizado el mapa de riesgos y mejora de los controles 8-De la información obtenida de las API: Pregunta: “Copia de la Evaluación de Impacto de protección de datos, en relación con las actividades de tratamiento afectadas por la brecha, o justificación del motivo por el que no se considera necesario realizarla, en su caso.” Respondió que: “No se ha realizado una evaluación de impacto del tratamiento PDyRH, puesto que la situación que dio origen a la brecha no derivó del tratamiento de datos formal o del sistema de información que le da soporte. No obstante, se han revisado, analizado y complementado legalmente todas y cada una de las actividades de tratamiento que se llevan a cabo en las Áreas afectadas, cuya documentación se acompaña dando respuesta a las preguntas precedentes”. 9-De la información obtenida en las API-preventivas Pregunta: “Relación de las medidas de seguridad preventivas para garantizar la protección de los datos personales afectados por la brecha, así como también acreditación del Análisis de Riesgos realizado para concluirlas. En concreto aquellas medidas destinadas a: o Garantizar el control de acceso a los dispositivos y el control de los usuarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/79 o Garantizar el control de soportes de almacenamiento con datos personales, y en concreto de aquellos que podían ser utilizados fuera de las instalaciones del Ministerio” Se respondió por la DGCE el 6/10/2022 mediante un escrito titulado “informe REQUERIMIENTO DE INFORMACIÓN A LA DIRECCION GENERAL DE COORDINACIÓN Y ESTUDIOS POR EXPEDIENTE EXP202007931, SOBRE ACLARACIÓN BRECHA DE SEGURIDAD DE DATOS PERSONALES”, en el que en este punto se indicaba que se aportaba información facilitada por la SGSICS, ANEXO II de 3/10/2022 En el citado anexo señala que “las medidas con las que la SGSICS protege los dispositivos portátiles administrados” son las que se enumeran a continuación: 1. Herramienta (…) para detección y bloqueo (…), análisis heurístico, escaneos semanales programados, políticas de control de aplicaciones instaladas, políticas de control (…), prevención de malware, políticas de control de acceso (…). 2. Herramienta (…) para neutralizar amenazas desconocidas por (…) e impedir la ejecución de ficheros maliciosos a partir de (…). 2. Protección de acceso a (…) mediante contraseña. 3. Para los soportes de almacenamiento destinados a ser utilizados fuera de las instalaciones del Ministerio, se procede al (…) o del software de (…). Con respecto al equipo sustraído, afirman que estaba incluido en una partida de seis equipos portátiles solicitados a la SGSICS para ser utilizados únicamente durante formaciones de carácter interno y que necesitaban disponer de menos seguridad, dada las características de estos cursos. “Dadas las características propias de los cursos, estos equipos fueron configurados con el usuario administrador habilitado para su uso por las personas que los utilizaran y sin credenciales de acceso de usuario”. Esta petición consta en el gestor de incidencias de la SGSICS con número de referencia (…) que se adjunta como Doc. 6, que sin embargo no es aportado. Uno de estos ordenadores fue posteriormente adjudicado el ***FECHA.3 al ***PUESTO.1 (E.E.E.), incluida en el ***ÁREA.1 (***DIRECCIÓN.2) en sustitución por avería del que tenía, (consta en documento anexo referencia 7) pero que, tanto el equipo averiado como el adjudicado, estaban destinados a su uso interior de las dependencias del ***ÁREA.1, y que no se informó a la SGSICS por parte de la DGCE del uso del dispositivo con información policial fuera de las dependencias de la SES. “ dado que por parte los responsables del Centro adjudicatario del equipo, no se informó ni se solicitó en ningún momento de la SGSICS medidas para la protección de la información ni del dispositivo en su traslado o uso de información de carácter policial o conteniendo datos de carácter personal fuera de las dependencias de Secretaría de Estado de Seguridad, el portátil sustraído carecía de cifrado de disco y de contraseña en la BIOS.” Además de esta especifica cuestión, este anexo II también contiene otras respuestas a otros puntos cuestionados en el requerimiento de información que se consignaran el apartado que concierna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/79 Como común denominador, el inicio del anexo II señala que la SGSICS “bajo la dependencia directa del SES tiene encomendada la gestión, administración y seguridad TIC de la infraestructura tecnológica con la que el Ministerio del Interior presta sus servicios”. 10- De la información obtenida en las API. Pregunta:-“Relación de todas aquellas MEDIDAS DE SEGURIDAD REACTIVAS (técnicas y organizativas) implantadas tras la detección de la brecha, y en concreto aquellas relacionadas con el cifrado y la anonimización de la información.” Se incorpora la respuesta que se contenía en el informe arriba referido, que indicaba que abarca la información facilitada por la SGSICS, Anexo II, por el Área SEAV (Anexo III, CNDES), el Área de Violencia de Genero y Estudios (Anexo V) y documentación remitida desde la Dirección General de Coordinación y Estudios (Anexo VI En cuanto a la información facilitada por la SGSICS Anexo II, de 3/10/2022, en la misma, se indica “en coordinación con la DGCE, se procedió a la revisión y actualización de los procedimientos y medidas técnicas y organizativas de seguridad dando resultado el documento actualizado ANEXO (doc. 8) “CLÁUSULA DE CONFIDENCIALIDAD Y NORMATIVA DE BUENAS PRÁCTICAS”, remitiéndose por parte del ***ÁREA.1 correo para que lo complete el personal externo (alumnos en prácticas) para asegurar que este documento fuese recibido, firmado y devuelto al Área para su custodia, y la petición de una relación actualizada de los alumnos de prácticas, en la que se consigne la fecha de inicio y fin de las mismas. “ “Las medidas preceptivas de cifrada y anonimización de la información siguen aplicándose a cualquier dispositivo que abandone las instalaciones de la SES” En la documentación recibida, anexo III del CNDES, perteneciente al ÁREA SEAV, respuesta a esta cuestión producida, en previas se responde entre otras cuestiones requeridas a esta en el punto 7. Indica que, para controlar la hipotética remisión de información a terceros a la SES, se ha procedido a la prohibición de uso o limitación de acceso a las instalaciones con teléfonos móviles, portátiles, dispositivos externos de almacenamiento etc., habilitándose desde el 5/07/2022 un depósito a tal efecto. Se tiene previsto implementar una nueva herramienta multirrespuesta con la que se dará continuidad a los actuales desarrollos. Pone el ejemplo de los trabajos de la última becaria que ha desarrollado un trabajo din de grado en las instalaciones del CNDES donde: -solo tuvo acceso a datos anonimizados por códigos. Para poder interpretar estos códigos “es necesario disponer del manual técnico (…)) que no ha estado en ningún momento a disposición de la alumna.” -las consultas se realizaban en presencia de un empleado designado que tutorizaba el trabajo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/79 -los trabajos se realizaban desde un ordenador portátil oficial facilitado por el CNDES siendo imposible la extracción de dato, y sin permiso para usarlo fuera de las dependencias. Las contraseñas eran introducidas por el tutor, sin facilitarse a la alumna, y el trabajo se realizaba en modo local, sin disponibilidad de correo electrónico y sin estar configurado el ordenador para utilizar red wifi ni disposición de dispositivos de almacenamiento extraíbles. -No accedió a sistemas de reproducción, realizándose en caso de necesidad por el tutor. -Se utilizó un software adquirido por la SES para realizar el estudio en el que al concluir cada jornada el tutor supervisará la evolución del proyecto en dicho software. -La alumna suscribió la declaración de “confidencialidad elaborada por el ***ÁREA.1”, y el “acuerdo de confidencialidad” facilitado por la SGSICS -Desde 28/09/2022, se recibió modelo de ficha individual de la persona/alumna/colaboradora “elaborada “por el ***ÁREA.1 utilizado por el área SEAV desde esa fecha Añade que, respecto a las medidas de tipo técnico, siguen las pautas marcadas por la SGSICS, que de acuerdo con el RD 734/2020 de 4/08 es el competente en la materia. En el ANEXO V, se contiene la respuesta con un informe del ***ÁREA.1 de 26/09/2022 AD HOC, “síntesis medidas reactivas” para la respuesta a la petición. Indica que, como responsables de todas las acciones que realizan los alumnos en prácticas de la DGCE, “ante la necesidad de recopilar, almacenar y tratar datos necesarios para realizar las medidas de investigación científica para la elaboración de estudios e informes que permitan actualizar el conocimiento sobre los distintos aspectos de la criminalidad que faciliten su prevención y detección.” Han desarrollado un Plan de acción que incluye: 1-“El soporte legal de las actividades de investigación se soporta en la cumplimentación de los nuevos ficheros “SES-ESTUDIOS” y “SES-TRATAMIENTOS ACCIONES INVESTIGACIÓN CIENTÍFICA” publicitados en el RAT. La finalidad es la “realización de estudios científicos sobre criminalidad orientados a la prevención y detección de los delitos y en general contribuir en la mejora de la política de seguridad pública.” 2-Informe de EIPD orientada al cumplimiento proactivo de lo dispuesto en la normativa vigente (Directiva UE 2016/680 y LO 7/2021. No señala sobre qué actividad del tratamiento refiere esa EIPD. 3-Sobre la anterior “cláusula de confidencialidad y buenas prácticas” que fue mejorada con el objetivo de aumentar la concienciación del personal que accede a datos y otro tipo de información protegida, ofreciendo una guía de comportamientos específicos orientados a reducir el riesgo de sufrir cualquier brecha de datos personales. “Esta cláusula se ha complementado incluyendo un ANEXO DE BUENAS PRACTICAS en relación con los sistemas de información que incide en aspectos técnicos y procedimentales.” Por otro lado, manifiesta que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/79 -Se han llevado a cabo acciones para la gestión del uso físico de los espacios por parte del personal externo colaborador, como la asignación de un tutor responsable para alumnos en prácticas y enlace con estudios en caso de dudas o incidencias de los alumnos. -Normas generales de acceso y permanencia en el edificio. -Normas de acceso lógico, uso responsable de los sistemas de información, traslado de activos e incidentes de información. -Guía de uso responsable de los recursos, destacando pautas para el buen uso de los sistemas de información, el uso responsable del correo electrónico y del acceso a Internet, la propiedad intelectual y el procedimiento de actuación ante las posibles pérdidas de información. Todo ello, cuando existan permisos específicos para estas acciones. - Elaboración de una ficha individual de personas externas colaboradoras en la que consta el detalle de las personas físicas, autorizaciones y accesos -Seguimiento de todas las acciones con revisiones periódicas para mantener actualizados los riesgos y mejorar los controles definidos y adaptación a las posibles necesidades que puedan detectarse para evitar incidentes que puedan poner en riesgo la seguridad de la información y la protección de datos. En el anexo IV figura un documento en el que se indica que la parte de Estudios del Área VGEF como encargados de coordinar las acciones relativas a los alumnos en prácticas se han revisado los protocolos de seguridad de la información existentes, definiendo acciones para mejorar las medidas de seguridad preventivas, tanto técnicas como organizativas con el fin de que no se repitan un incidente de seguridad de la información. Las concretas actuaciones han sido: 1. Centralización de la gestión del personal alumno en prácticas (manteniendo un listado actualizado de convenios, acciones de gestión del uso físico de espacios para mejorar el control del personal). 2. Revisión y mejora de la cláusula de confidencialidad y documento de buenas prácticas en el uso de recursos y procedimientos de actuación ante pérdidas de información, con objeto de mejorar concienciación del personal que accede a datos protegidos y ofrecer guía de comportamientos que reduzcan el riesgo de brechas. En el ANEXO VI, constan escritos de 24/06/2022 (fecha que coincide con la segunda notificación de la brecha) en los que la DGCE se dirige a las Áreas de la SEAV, de VGEF y a la SGSICS, a consecuencia de los trabajos derivados del incidente de seguridad con las recomendaciones y criterios de la DPD, especificando -Para la SGSCIS: “Es necesaria su colaboración y cooperación para que se revisen en base a los posibles niveles de riesgo todas las medidas de seguridad técnicas aplicables a los tratamientos de datos personales llevados a cabo por las Áreas de esta Dirección General de Violencia de Género, Estudios y Formación y Sistema Estadístico y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/79 Atención a las Víctimas, de modo que garantice un nivel adecuado de protección de carácter técnico para la información y los datos personales.” -Al JEFE ÁREA SEAV: “Es necesario que revise todo el flujo de datos y tratamientos realizados en el fichero PDYRH de manera que se analicen y se documenten todas las actividades llevadas a cabo, de forma que, cumpliendo los principios generales de tratamiento, en el caso de entenderse necesarias, se incluyan en la documentación oportuna y se publiciten conforme a la legislación aplicable. -Al JEFE ÁREA VGEF: “Es necesario que revise todo el flujo de datos y tratamientos realizados en su área, en especial, en el Área de Estudios y Formación, de manera que se analicen y se documenten todas las actividades llevadas a cabo de forma que, cumpliendo los principios generales de tratamiento, en el caso de entenderse necesarias, se incluyan en la documentación oportuna y se publiciten conforme a la legislación aplicable.” -EN COMUN PARA LOS TRES: “Del mismo modo, en coordinación con la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad, en la parte que les competa, se revisen en base a los posibles niveles de riesgo todas medidas de seguridad técnicas y organizativas de modo que garantice un nivel adecuado de protección para los datos personales. En concreto, salvo en los supuestos legalmente autorizados, se debe impedir en todo caso, que personas de carácter externo que colaboren con su Área en el desarrollo de cualquier actividad, posean el estatus que tengan en base al instrumento jurídico oportuno, puedan acceder a datos que no estén previamente anonimizados o pseudo-anonimizados, utilicen cuentas de correos oficiales (genéricas o personales), o usen o se relacionen con terceros a través de cualquier herramienta tecnológica que pueda llevar a error sobre sus funciones o cometidos en este organismo (correo electrónico, repositorio compartido, etc.) Tampoco podrán acceder a informaciones que no sean ineludibles para sus cometidos y cualquier actuación en ese campo deberá ir guiada por el principio de “necesidad de conocer”. Como medidas de seguridad específicas que se debe comprobar que se están llevando a cabo en estos casos, al menos, se encontrarán las siguientes: • Este personal externo, en concreto si está realizando alguna práctica de formación, debe estar supervisado singularmente por personal que acredité qué está haciendo, cómo lo está haciendo, dónde lo está haciendo y para quién lo está haciendo. De manera que en todo momento se pueda garantizar cuál es la labor concreta que está desempeñando. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/79 • Se debe controlar el acceso y la salida de este personal de las instalaciones. • Se debe proporcionar el sistema de identificación oportuno para su tránsito por la instalación, no permitiéndose el acceso a zonas o áreas no habilitadas para este personal. • No utilización de los sistemas de información o dispositivos oficiales sin supervisión que se extenderá desde el acceso hasta la desconexión. • No podrán usar Internet desde los puestos donde desempeñen sus funciones más que para desarrollar sus cometidos, no permitiéndose el acceso a ninguna página, desarrollo o sistema que no se corresponda con su actividad. • No podrán utilizar medios particulares para remitir o recibir información relacionada con sus cometidos. • No utilización de dispositivos almacenamiento extraíbles de ningún tipo. • No conexión ningún dispositivo portátil externo de trabajo sin autorización y, de hacerlo, deberá hacerse con supervisión de la SGSICS. • No utilización de fotocopias, escáneres u otros sistemas de reproducción. • No utilización de teléfonos móviles en las zonas donde se maneje información oficial y/o contenga datos de carácter personal. • No utilización, uso o cualquier actividad basada en utilizar hardware o software oficial fuera de las instalaciones.” Asimismo, recalca la información y concienciación en materia de protección de datos de todo el personal del Área, incidiéndose en las obligaciones de comunicar incidentes o brechas de seguridad conforme a los protocolos establecidos, y en todo caso comunicándolo al DPD y al responsable del tratamiento en el más breve pazo posible. 11-Informen sí se ha elaborado un informe que recapitulando y recogiendo las formulaciones de las Áreas ha llegado a una conclusión decisiva sobre las medidas que carecía el ordenador portátil y los contenidos que podrían albergar el mismo. Respondió que “esta información consta en el expediente por haberse aportado con anterioridad. No obstante, es importante señalar que, no se pueden inferir conclusiones definitivas, puesto que ordenador no ha sido encontrado ni se ha detectado la existencia de publicación alguna de información que pudiera deducirse que estaba incluida en el dispositivo.” 12-Responda, Si tras el incidente ha efectuado algún tipo de análisis de verificación, evaluación y valoración regular de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento, y si tales medidas han sido incorporadas en algún instrumento que recomiende u obligue a su realización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/79 Respondió que en sus alegaciones al acuerdo de inicio ya señaló que “la seguridad de los tratamientos y la clarificación de las operaciones de tratamiento se han incrementado notablemente”. Manifiesta la DGCE que con objeto de auditar la correcta implementación de las medidas de seguridad configuradas por la SES, para la protección de los dispositivos de los usuarios del Ministerio del Interior dirigidas a subsanar las deficiencias detectadas a raíz del incidente de seguridad ocurrido en el año 2022 por la sustracción del equipo portátil, se ha desplegado la solución (…), que permite (…) a través de la (…) del Ministerio del Interior Con (…) los equipos (…), encargado del tratamiento de los incidentes que a raíz de la (…) recibida pudieran ser detectados o de su escalado a niveles II y III en aquellos casos que precisen intervención de personal con mayor especialidad en caso de ser necesario según tipología del incidente” Complementariamente, el Ministerio del Interior participa de bases de conocimientos compartidas con otros organismos a través de herramientas puestas en común por el CCNCERT, donde en base a distintos incidentes tratados internamente tanto en el Ministerio del Interior como en otras entidades, se obtienen Indicadores de Compromiso (IOC) que permiten configurar reglas de detección personalizadas (Custom Rules) para la detección y respuesta en caso de que detección de alguno de dichos indicadores en los equipos monitorizados del Ministerio del Interior. Por último, referenciar que los equipos de usuario del Ministerio del Interior han (…), previamente a poder autenticarse en (…) donde el Ministerio del Interior publica los recursos que se facilitan a los usuarios para su operativa habitual, permitiendo así garantizar que los equipos no se encuentren en riesgo y que todos ellos están bajo el control de la SGSICS. Las condiciones configuradas actualmente son: • (…) instalado (…). • (…) activado. • (…) en el dispositivo. • (…) habilitado. • Todo equipo debe encontrarse (…) y tener (…) en el equipo resueltas. Si el equipo no cumpliera estas condiciones o se encontrará señalado como extraviado, sustraído o fuera del control de la SGSICS, no podrá acceder a los recursos del Ministerio del Interior. Además de las medidas técnicas apuntadas, se acompaña informe con las medidas organizativas implementadas e implantadas por el ÁREA DE VIOLENCIA DE GÉNERO Y FORMACIÓN para las operaciones con personas externas a este Departamento (anexo). El citado anexo coincide con el que viene referido en el punto de petición de la EIPD y aquí reproducido. Se añade en el aportado ahora: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/79 “Los archivos de información se alojan en carpetas securizadas de acceso limitado según el perfil de usuario habilitado, desechando su uso y almacenamiento en papel” “Con el personal externo que colabora con esta área se ha establecido un protocolo de actuación e incluye una cláusula de confidencialidad y anexo de buenas prácticas con el objeto de aumentar la concienciación de la privacidad y protección de la información con la que trabajan “ La cláusula ha sido revisada y se han introducido mejoras según la casuística de las personas que van a acceder a la información. Del mismo modo, se lleva a cabo un control de acceso a los espacios físicos Antes de su incorporación, desde el Área se designa un tutor que sirve de persona de contacto y enlace en caso de incidencia y se elabora una ficha personal de cada colaborador externo en la que además de su información personal figuran las autorizaciones, nivel de acceso a la información, credenciales, etc.., todo en ello en colaboración con el Área de Apoyo de la Dirección General de Coordinación y Estudios y la Sección de Informática. Una vez ha finalizado el período de colaboración, se procede a comunicar al Área de Apoyo y al servicio de informática la baja para la cancelación de credenciales y permisos. PROCEDIMIENTO DE COLABORACIÓN CON UNIVERSIDADES Y PERSONAL EXTERNO -“En virtud de convenios de colaboración con Universidades para la realización de estudios, prácticas o situaciones análogas, se acuerda entre los responsables al efecto de las Universidades y los enlaces de cada Área de la Dirección General de Coordinación y Estudios que ejercen sus funciones en la sede (...), la asistencia, presencial o telemática de colaborador/es externo/s. -Los enlaces comunican a la Sección de Estudios, a través de correo electrónico a ***EMAIL.2, los datos de la/s persona/s que colaboraran para el desarrollo del trabajo/estudio o prácticas asignadas. -Recibida la comunicación, se solicita al enlace la cumplimentación de tres documentos en los que figura información del personal externo y se le informa a su vez de las reglas de confidencialidad, buenas prácticas y las normas específicas de seguridad de la información en el uso de la red wifi (…). Los tres documentos son: 1. Cláusula de confidencialidad (firma el colaborador externo y el enlace). 2. Ficha individual, en la que figura a los accesos específicos a los que se desea que acceda, siendo específico de cada Área. (firma el colaborador externo y el enlace). 3. Uso de la red Wifi (solo firma el interesado). -Seguidamente, se remite al (…), a través del correo electrónico, ***EMAIL.3, los datos de la/s persona/s que va a comenzar a colaborar con Secretaría de Estado, solicitando el alta en la base de datos (...), así como un (…). -Una vez el colaborador externo está incluido en esa base de datos, se remiten los documentos arriba referenciados cumplimentados y firmados a la Sección de Informática al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/79 correo electrónico, ***EMAIL.4, siendo la responsable de implementar los accesos solicitados por el enlace en el documento “Ficha individual”. -La sección de informática envía las credenciales o login al correo ***EMAIL.2, dando traslado de estas al enlace correspondiente. -El enlace traslada las credenciales al colaborador externo. -Si las credenciales solicitadas incluyen la utilización de ordenadores con acceso a (…), sin acceso a internet, para cualquiera de los equipos en dominio, el enlace deberá informar al equipo de informática el día que por primera vez el colaborador externo vaya a utilizar el ordenador. En ese instante, el personal de informática comprobará si las credenciales permiten acceder al colaborador externo hasta donde tiene p

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.