PS-00137-2018

1/20 Procedimiento Nº PS/00137/2018 RESOLUCIÓN: R/01814/2018 En el procedimiento sancionador PS/00137/2018, instruido por la Agencia Española de Protección de Datos a la entidad SEGUR IBÉRICA, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31/07/2017 se recibe de la AUTORITAT CATALANA DE PROTECCIÓ DE DADES (APDCAT) escrito de traslado de denuncias de A.A.A. formuladas el 3/11/2016 y el 27/03/2017 acompañando documentación relacionada con la misma por parte del denunciante, entre otros, un CD. La remisión se realiza por entender que “la entidad que presuntamente podría haber vulnerado la LOPD queda fuera del ámbito de actuación de la APDCAT.” En el CD se contienen 6 archivos pdf: 1-Archivo en pdf con la denuncia del denunciante, 118 folios, registro de entrada 3/11/2016. Se denomina en el CD IP 207/2016 denuncia. Manifiesta que trabaja de vigilante de seguridad para SEGUR IBERICA en el CENTRO EDUCATIVO LOS TILOS, de la Generalitat Catalana y que “tanto desde la Dirección del Centro Educativo como desde SEGUR IBERICA SA” se están utilizando para las comunicaciones de tipo laboral diversas direcciones de correos electrónicos que podrían vulnerar la LOPD. En concreto, tres direcciones de correo electrónico de SEGUR IBERICA con dominio gmail.com: 1 ***EMAIL.1, usada por el Coordinador/Inspector del servicio de SEGUR IBERICA, 2 ***EMAIL.2 utilizaba por los jefes de equipo del servicio de SEGUR IBÉRICA y 3 ***EMAIL.3 que se usaba como buzón común para las comunicaciones de la plantilla de trabajadores de seguridad con los responsables de la empresa. Indica que en estas cuentas se almacenan datos personales relacionados con cuestiones de orden laboral de empleados de la empresa. Añade que la contraseña de acceso para estas cuentas figuraba anotada en la mesa al alcance de cualquiera. Por otro lado, también menciona la dirección gmail.com denominada ***EMAIL.4, habilitada por el CENTRO Educativo los Tilos como buzón común para transmitir las ordenes, instrucciones y contener los datos necesarios para realizar las labores administrativas encomendadas por la Dirección del Centro al equipo de vigilantes de seguridad. En esta dirección se contienen datos procesales de los menores ingresados en el centro, detalles del proceso, datos de filiación. Añade y denuncia que las contraseñas de acceso a este buzón han estado accesibles a cualquiera pues figuraba la clave de acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 en el pie del monitor como recordatorio para los que accedían. Aporta fotografía de la etiqueta con la clave colocada al pie del monitor del ordenador en relación con la dirección ***EMAIL.4@gmail.com. Denuncia para todas las direcciones de correo que las cuentas no son corporativas ni se conoce quien es el responsable del tratamiento de los datos, y que las cuentas de correo electrónico no cumplen con el mínimo de seguridad exigido, y el servicio de alojamiento de los datos puede estar siendo proporcionado por países externos a la Unión Europea Aporta copia de correos electrónicos en los que tacha en todos los datos personales, indicando que se conservan en los almacenados, como ejemplos. -mensaje de 4/02/2013 para dos destinatarios, desde gruposegur.com a ***EMAIL.2@gmail.com, designándose los vigilantes que dejaran de prestar servicio en el Centro Educativo. Se indica a mano, ambas direcciones son de SEGUR IBERICA. -mensaje entre dos cuentas de la empresa SEGUR remitiendo cuadrante, de 26/12/2015, -correo de 1/10/2016 desde ***EMAIL.3 en el que se envía un informe de asistencia del servicio de urgencias del denunciante a dos direcciones de prosegur.com, constando en diagnostico “mordedura humana por agresión” de 30/09/2016. -correo electrónico de 19/06/2015 desde la dirección gencat.cat del director del CENTRO LOS TILOS para ***EMAIL.4 con nombres de técnicos autorizados. -desde gencat.cat a CENTRO LOS TILOS, dirección ***EMAIL.4@gmail.com dando los datos de una persona que se “desinterna”, y de otra que “ingresa” fechado el 6/08/2015. -correo desde gencat.cat a ***EMAIL.4 de 17/05/2016, adjuntado hoja de conflictividad actualizada, con los nombres de los internos y la conflictividad: mediana o baja. -correo desde gencat.cat a ***EMAIL.4 del director del CENTRO LOS TILOS a ***EMAIL.4 de 21/06/2016, de 26/08, y 27/09 con distintos tipos de datos personales y finalidades (reuniones, profesionales externos, etc.) -correo de gencat.es del director del CENTRO LOS TILOS a ***EMAIL.4 de 27/09/2016 con nombres de personas del centro visitadas por profesionales externos. 2- En el procedimiento de Investigación previa llevado a cabo por la Autoridad Catalana (IP) 207/2016 “Els Til-lers”, RA AEPD CAST, se contiene el archivo y traslado, a esta AEPD en castellano, referente al CENTRO LOS TILOS, del Departamento de Justicia, de la denuncia de 3/11/2016, por estimar que es competencia de esta AEPD. En el cuerpo del escrito destaca: Antecedentes: 1.- En fecha 03/11/2016 tuvo entrada a la Autoridad Catalana de Protección de Datos un escrito de una persona por el que formulaba denuncia contra el Centro Educativo los Tilos del Departamento de Justicia (en adelante, los Tilos), con motivo de un presunto incumplimiento de la LOPD. La persona denunciante exponía que la dirección de los Tilos se comunicaba con el personal de seguridad de la empresa Segur Ibérica, SA, a través de mensajes electrónicos que contenían datos personales (entre otros, de empleados, estudiantes en prácticas, voluntarios, autoridades o de internos del centro) dirigidos a la cuenta de correo "***EMAIL.4@gmail.com". Aparte de otros hechos también denunciados sobre esta cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 de correo y que se abordan en otros procedimientos tramitados por esta Autoridad, en lo que aquí interesa la persona denunciante manifestaba que el servicio de alojamiento de la cuenta de correo mencionado podría ser prestado fuera de países de la Unión Europea. 2.- La Autoridad abrió una fase de información previa (IP 207/2016), de acuerdo con lo previsto en el artículo 7 del Decreto 278/1993, de 9 de noviembre, sobre el procedimiento sancionador de aplicación los ámbitos de competencia de la Generalitat, en relación con la DT 2ª de la Ley 32/2010, de 1 de octubre, de la Autoridad Catalana de Protección de Datos, a fin de obtener más información sobre las circunstancias de los hechos y los sujetos responsables. Fundamentos de Derecho 1- En relación al hecho denunciado concretamente aquí analizado, como punto de partida hay que dejar claro que los tratamientos de datos personales que lleva a cabo los Tilos están comprendidos, con carácter general, en el ámbito de actuación de esta Autoridad. Pero en lo referente a las transferencias internacionales de datos personales, las potestades de inspección y eventual sanción las tiene encomendadas la Agencia Española de Protección de Datos, de acuerdo con lo establecido en el artículo 41.1 de la LOPD. Así pues, la determinación de las eventuales responsabilidades en que hubiera podido incurrir los Tilos por los tratamientos de datos personales relativos a las posibles transferencias internacionales, quedarían fuera del ámbito competencial de esta Autoridad.” Por todo ello, RESUELVO Primero. - Trasladar las actuaciones de referencia a la Agencia Española de Protección de Datos, con testimonio de esta resolución traducida al castellano. Segundo. - Notificar esta Resolución en el Centro Educativo los Tilos del Departamento de Justicia y comunicarla a la persona denunciante.” 2.1 En el IP 207/2016 “Els Til-lers”, RA AEPD se contiene la misma resolución firmada por la directora de la Agencia Catalana de Protección de datos, de 7/11/2017, en lengua catalana. 2.1 En el IP 208/16 i 111/2017”, “Segur Ibérica”. RA AEPD CAST se contiene la resolución en castellano, referente a SEGUR IBÉRICA por estimar que es competencia de esta AEPD. En el cuerpo del escrito se contiene “Resolución de archivo y traslado a la AEPD de las informaciones previas IP 208/2016 y IP/111/2017, referentes a SEGUR IBERICA.” Referido a la misma denuncia de 3/11/2016, se indica que “La persona denunciante exponía que SEGUR IBÉRICA, SA utilizaba como medio de comunicación con los vigilantes de seguridad que prestaban sus servicios en el Centro Educativo los Tilos (en adelante, los Tilos), las siguientes direcciones electrónicas de Gmail: ***EMAIL.1@gmail.com; ***EMAIL.2@gmail.com; ***EMAIL.3@gmail.com. Aparte de otros hechos también descritos en el mismo escrito de denuncia y que se abordan en otros procedimientos tramitados por esta Autoridad, en lo que aquí interesa la persona denunciante manifestaba que estas cuentas de correo electrónico se empleaban para asuntos laborales de la empresa SEGUR IBÉRICA, SA (reclamaciones, solicitud de permisos o vacaciones, etc.). Añadía el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 denunciante que dichas direcciones electrónicas y sus contraseñas constaban expuestas en un impreso en el centro de control de los Tilos. Por último, exponía que el servicio de alojamiento de las cuentas de correo mencionado podría ser prestado fuera de países de la Comunidad Europea; así como que "cualquiera que haya tenido conocimiento de estas cuentas de correo electrónico y de sus contraseñas de acceso, puede acceder desde cualquier equipo informático (...) navegador web o APP de correo electrónico." “ 2.- En relación con el conjunto de hechos denunciados relativos a la empresa SEGUR IBÉRICA, SA -algunos de ellos vinculados a la condición de esta empresa de encargada del tratamiento por cuenta del CENTRO LOS TILOS del Departamento de Justicia - la Autoridad abrió una fase de información previa (IP 208/2016), de acuerdo con el artículo 7 del Decreto 278/1993, de 9/11, sobre el procedimiento sancionador de aplicación a los ámbitos de competencia de la Generalitat, y el artículo 55.2 de la Ley 39/2015, de 1 /10 del procedimiento administrativo común de las administraciones públicas (en adelante, LPAC), a fin de determinar si los hechos eran susceptibles de motivar la incoación de un procedimiento”..” En el seno de esta fase de información, en fecha 19/12/2016 el Área de Inspección de la Autoridad efectuó una serie de comprobaciones a través de Internet, en relación con los hechos objeto de denuncia. Por lo que aquí interesa, el personal inspector accedió a internet a efectos de comprobar si se podía acceder la cuenta de correo "***EMAIL.3@gmail.com", introduciendo la contraseña "***CONTRASEÑA.2". Esta contraseña constaba en un impreso aportado por la persona denunciante junto con su denuncia (respecto las otras direcciones electrónicas que también figuraban en ese impreso, no constaba cuál era su contraseña). Pues bien, el personal inspector constató que no se podía acceder a la cuenta de correo "***EMAIL.3@gmail.com". En concreto, una vez se introdujo dicha contraseña, apareció el siguiente mensaje: "Su contraseña cambió hace 8 meses." “3.- También en el marco de la fase de información previa indicada, en fecha 20/12/2016 la Autoridad realizó un acto de inspección en las dependencias de los Tilos, para verificar determinados aspectos relacionados con el tratamiento de datos vinculados a la seguridad del centro. En ese acto de inspección presencial, el personal inspector de la Autoridad verificó, entre otros, que en el centro de control de los Tilos no constaba ningún impreso con la contraseña de acceso a la cuenta de correo electrónico "***EMAIL.3@gmail.com ". “4.- En fecha 27/03/2017 tuvo entrada en la Autoridad un escrito del denunciante por el que formulaba una nueva denuncia contra Segur Ibérica, SA. A esta segunda denuncia se le asignó el número IP 111/2017. La persona denunciante exponía que los Tilos habría encargado al personal de seguridad de Segur Ibérica, SA diversas funciones administrativas. 5.- En relación a los hechos denunciados en fecha 27/03/2017, la directora de la Autoridad ha acordado, en fecha de hoy, iniciar procedimiento sancionador contra el Departamento de Justicia.” Fundamentos de Derecho 1.- “…En relación a las presuntas vulneraciones de la LOPD que el denunciante atribuía a la empresa Segur Ibérica SL, indicar que esta ostentaba la condición de encargada del tratamiento del Centro los Tilos del Departamento de Justicia, y por tanto las eventuales vulneraciones de la LOPD cometidas con motivo del acceso y/o tratamiento de datos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 base a tal condición de encargado, estarían comprendidas dentro del ámbito de actuación de esta Autoridad. Ahora bien, los hechos denunciados que en concreto se han identificado a los antecedentes de esta resolución de traslado no se enmarcan estrictamente en los tratamientos encargados por el Departamento de Justicia en Segur Ibérica, SA, sino que estarían vinculados a tratamientos que afectan el organización y gestión de los recursos humanos propios, en relación a los que Segur Ibérica SA deviene responsable del fichero o tratamiento. Así pues, el ejercicio de la potestad de inspección y la determinación de las eventuales responsabilidades en que hubiera podido incurrir Segur Ibérica, SA por los tratamientos de datos personales objeto de denuncia, quedarían fuera del ámbito competencial de esta. “2.- De conformidad con lo expuesto en el fundamento de derecho 1, dado que de conformidad con el artículo 141 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, las administraciones públicas están obligadas a respetar el ejercicio legítimo por parte de las otras administraciones de sus competencias, se considera procedente el traslado de las actuaciones previas núm. IP 208/2016 en la Agencia Española de Protección de Datos a efectos de dilucidar las eventuales responsabilidades en que haya podido incurrir. Por todo ello, RESUELVO Primero. - Archivar las actuaciones de información previa número IP 111/2017, relativas a Segur Ibérica, SA. Segundo. - Trasladar las actuaciones de información previa número IP 208/2016 en la Agencia Española de Protección de Datos, con testimonio de esta resolución traducida al castellano.” 3.- En el IP 208/16 i 111/2017”, “Segur Ibérica”. RA AEPD se contiene la misma resolución de archivo, firmada por la directora de la Agencia Catalana de Protección de datos, de 7/11/2017, en lengua catalana. 4-Archivo en pdf con la denuncia del denunciante, de entrada 27/03/2017, 217 folios. Se denomina en el CD IP 110/2017. En esta denuncia, el mismo denunciante indica que desde la Dirección del Centro Educativo LOS TILOS se les ha estado encomendando la realización de funciones propias de un empleado público, accediendo a datos de gestión y bases de datos del Centro, adjudicándose dos códigos de seguridad para todos los vigilantes. Menciona las bases de datos y registros a los que tuvieron a acceso: como la gestión de permisos de los jóvenes, de internamientos, registro de trabajo en beneficio de la Comunidad, gestión y custodia de documentos de menores. Indica que los códigos de acceso para las tareas se asignaron el 16/05/2013. Aporta modelos de impresos y de procedimientos como de entradas, o de visitas. Aporta hojas de control de fechas como 28/04/2016 con el nombre y apellidos del vigilante, la última de 28/10/2016, en algunas figuran nombres de internos que se trasladan, tachados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizaron las siguientes: 1 “Según consta en la documentación anexa a esta Actuaciones de investigación, mediante Diligencia de fecha 25 de agosto de 2017, El Tribunal de Justicia de la Unión Europea emite un COMUNICADO DE PRENSA de fecha 6 de octubre de 2015, en el que comunica que dicho Tribunal de Justicia declara inválida la Decisión de la Comisión que declaró que Estados Unidos garantiza un nivel de protección adecuado de los datos personales transferidos. 2 Así mismo, según consta en Diligencias anexa a esta Actuaciones de investigación, de fecha 7/02/2018, con fecha 12/07/2016, en el Diario Oficial de la Unión Europea figura la Decisión de Ejecución (UE) 2016/1250 de la Comisión, sobre la adecuación de la protección conferida por el Escudo de la privacidad UE-EE. UU., al que se encuentra adherido, Google LLC, tal como consta en la impresión de dicha información adjunta a la correspondiente Diligencia. 3 Dado que el dominio gmail.com, pertenece a GOOGLE y sus servidores se encuentran en Estados Unidos, tal como consta en las condiciones de utilización de sus servicios que se acompañan también mediante Diligencia de fecha 25/08/2017, y que al menos, hasta el 12/07/2016 no se adhiere a la Decisión de la U.E. “Escudo de Privacidad”, parte de los correos que se adjuntan con el escrito de denuncia, durante dicho periodo no se encontrarían amparados por ninguna Normativa de Protección de Datos, en el caso de intercambio de información mediante dichas comunicaciones electrónicas. 4 En base a lo expuesto anteriormente, en concreto el correo electrónico, de fecha 1 de octubre de 2016, con el que se adjunta un parte médico de un trabajador del Centro Los Tilos, que tuvo que acudir a urgencias por un incidente en su puesto de trabajo, en el que figura la descripción del incidente y el diagnóstico, y que fue remitido desde: ***EMAIL.3@gmail.com a ***EMAIL.5@gruposegur.com, se encontraría en el marco de adhesión al “escudo de privacidad”. 5 Con fecha 24/08/2017 se remite solicitud de información a SEGUR IBÉRICA, S.A., no habiendo recibido respuesta y dado que la entidad se encuentra en concurso de acreedores, con fecha 9/10/2017, se solicita información a la Administración Concursal de Segur Ibérica, S.A. Con fecha 6/11/2017, se recibe escrito de la Administración Concursal, (AC) LANDWELL-PRICEWATERHOUSE COOPERS TAX & LEGAL SERVICES SL en el que se pone de manifiesto que: 5.1. Aporta copia del auto de 22/12/2016 de declaración de concurso voluntario de SEGUR IBÉRICA. Manifiesta que desconoce quiénes son los titulares de las direcciones ***EMAIL.3@gmail.com y ***EMAIL.4@gmail.com, pues en ningún caso han sido creadas por SEGUR IBERICA, ni bajo su conocimiento autorización, instrucción o mandato. El dominio corporativo es @gruposegur.com. 5.2. SEGUR IBERICA, tiene implantada una política de seguridad, que en su apartado 51 “Gestión de usuarios”, regula los mecanismos de identificación, autenticación y control de acceso a los sistemas de información, y en la que, de forma particular, existe un tratamiento de “Política de Cuentas”, donde se recogen las reglas definidas por SEGUR IBERICA para establecer contraseñas, su revisión y mantenimiento periódico. Aporta documento de seguridad (documento 4) elaborado y revisado en octubre 2009 en el que en el apartado 5.1 Gestión de usuarios figura C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 el apartado 5.1.1.3.2 Política de cuentas que recoge el régimen de las contraseñas. En el folio 51 se trata el acceso a través de redes de comunicaciones. Se prevé que la utilización de redes de telecomunicaciones cuya titularidad sea ajena a la propia entidad para su uso entre las dependencias de la propia entidad mediante por ejemplo el uso de internet debe observar unas medidas de seguridad equivalentes a los accesos en modo local. Sobre uso de correo electrónico, creación de cuentas y revisión de uso no se indica expresamente ningún aspecto. Manifiesta que “todas las condiciones establecidas en los procesos de seguridad, hasta la apertura de la fase de liquidación del concurso de acreedores que implica las correspondientes restricciones de gastos en atención a los intereses preferenciales del concurso eran sometidas a periódicas auditorías en relación con todos los aspectos de la LOPD y su reglamento de desarrollo cotejándose el nivel de información y la documentación de SEGUR IBERICA, los diferentes tratamientos que se llevaban a cabo y las características del sistema de información y el almacenamiento de la información”. No acompaña muestra de ninguna de dichas auditorías. 5.3. Así mismo, se informa que todos los empleados de la empresa conocían la Política de Seguridad y firmaban un “Formulario de conocimiento y aceptación de las Normas de Seguridad para los empleados de Segur Ibérica, S.A.”, el cual se acompaña en documento 5, si bien nada se indica sobre el uso de correo electrónico, creación de cuentas y revisión de uso no se indica expresamente ningún aspecto, concretando solo la obligación de no utilizar el correo electrónico facilitado por la Compañía. 5.4. Manifiesta que la entidad no tenía constancia de la utilización de dichas cuentas de correo. TERCERO: Con fecha 22/02/2018 se solicita información al CENTRO EDUCATIVO LOS TILOS, sobre el uso que de la dirección de correo ***EMAIL.4 realizaban los vigilantes de Seguridad que prestaban servicios en el Centro, sobre la dirección de correo del Centro que servía de contraparte a la de ***EMAIL.4 para el envío de mensajes, y sobre si la citada dirección fue comunicada al Centro como dirección de contacto con los trabajadores de SEGUR Con fecha 6/03/2018, se recibe escrito del Gabinete Técnico, Secretaria General del Departamento de Justicia de la Generalitat de Catalunya, en el que ponen de manifiesto que: -Los hechos relativos al Centre Educativo de Justicia Juvenil “Els Til-lers” y la empresa de seguridad Segur Ibérica, motivaron diversos expedientes de investigación previa y un expediente sancionador por parte de la Autoritat Catalana de Protecció de Dades. - En concreto dos de ellos se remitieron a la Agencia Española de Protección de Datos, por si hubiera podido existir Transferencias Internacionales y el segundo, para investigación de la entidad Segur Ibérica, responsable de una posible infracción. -El Centro no tiene personalidad jurídica propia, comparte el mismo CIF de la administración de la Generalitat de Catalunya. El Centro depende de la Dirección General de Ejecución Penal en la Comunidad de Justicia Juvenil del Departamento de Justicia de la Generalitat de Catalunya. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 - Desde el año 2016 se utilizan cuentas corporativas de correo de la Generalitat (@gencat.cat), para comunicarse mediante buzones de correo con el servicio de seguridad. Anteriormente si se había usado la cuenta de Gmail mencionada. - La cuenta (***EMAIL.4.com), la creó personal de vigilancia y seguridad de Centro, a petición de la dirección del mismo, con la finalidad de establecer un mecanismo de comunicación. -No se dispone de ningún documento acreditativo de la comunicación de dicha cuenta al Centro para intercambio de información.” CUARTO: Con fecha 6/07/2018, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a SEGUR IBÉRICA, S.A. por una infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4.

1. d)de dicha norma. En el acuerdo se adjuntaba ANEXO I, resumen de los distintos correos electrónicos, su titularidad, las fechas de envíos, y reseñas de sus contenidos. La cuantía inicial de la sanción propuesta en el acuerdo de inicio a los efectos del artículo 64.2.
2. b)de la Ley 39/2015 de 1/10 y artículo 127
3. b)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); se cifró en 40.001 euros, de conformidad con el artículo 45.2) .3), 4.f,
4. j)y
5. d)5.a). La notificación se envió a LANDWELL-PRICEWATERHOUSE COOPERS TAX & LEGAL SERVICES SL, Administrador concursal de la denunciada, que, habiéndola recibido, no formuló alegaciones. QUINTO: Notificado el acuerdo de inicio, la denunciada no realiza alegaciones. Por poder influir en este procedimiento, se incorporan las alegaciones realizadas en el procedimiento AP/0024/2018 que realiza la Dirección General D’Execució Penal a La Comunidad y de Justicia Juvenil (Departamento De Justicia-Generalitat De Catalunya) por ser unos hechos relacionados. La citada entidad mediante escrito de fecha 3/10/2018 alega: 1) La dirección de correo electrónico ***EMAIL.4@gmail.com fue dada de baja el 22/12/2016. Aporta copia de un escrito de la misma Dirección General denunciada, dirigido a la autoridad catalana de protección de datos, firmado por Segur Ibérica y el Centro Educativo los tilos. Indica que se da de baja la citada cuenta de correo electrónico y que se ha hecho comprobación de su estado y no está operativo. 2) Indica que la normativa sectorial aplicable, el articulo 54 .8 del real decreto 177/2014 por el que se aprueba desarrollo de la ley orgánica 5/2000 y el articulo 34.2 e la ley 27/2001 de 31-12 de justicia juvenil de Cataluña prevén la presencia de personal especializado de seguridad en los centros de justicia juvenil Existe la posibilidad de que se considere necesario que haya personal especializado para dar apoyo al resto de personal en las funciones de vigilancia y seguridad interior. Este personal puede ser propio o de empresas especializadas contratadas, pero, en cualquier caso, actúan bajo la dependencia funcional del director del centro. “Por tanto el personal propio del centro y el personal especializado de seguridad de la empresa adjudicataria en los centros que disponen del mismo, como el los tilos, realizan conjuntamente la función de velar por la seguridad interior bajo la dirección funcional del director de este, siendo una de las tareas básica y esenciales de dicha función C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 en un centro el control de salidas y entradas de menores, de los visitantes, de los profesionales o de cualquier otra persona que acceda al mismo.” 3) En los pliegos que dieron lugar a la contratación de SEGUIR IBERICA se establece el deber de confidencialidad en cuanto a los datos que conozcan por el desarrollo de sus funciones. “La dirección del centro consideró en un momento determinado que para mantener una operativa de control más precisa y ágil de la que ofrecía la transmisión a los vigilantes de seguridad de listados o instrucciones en formato papel, era más seguro a través de la cuenta ***EMAIL.4@gmail creada para asegurar las comunicaciones entre la dirección y el personal de seguridad adscrito al Centro Los Tilos 4) Indica que la autoridad catalana ya tramitó un procedimiento por infracción de medidas de seguridad al Centro los Tilos, recogido en el ps0021/2017 de 7/11/2017 (aunque no es aportado, se obtiene copia de la resolución de la web de la autoridad catalana y se incorpora al procedimiento,) También precisa que con motivo en la tramitación de esta denuncia, en actuaciones previas 207/2016 la autoridad catalana el 20/12/2016 informó al centro de la denuncia interpuesta y de la necesidad de suprimir la cuenta de correo electrónico ***EMAIL.4. 5) Alega aspectos referidos a la cuantía y graduación de la sanción para que sea reducida, cuando en este procedimiento no se trata de imponer sanción, sino de declarar la infracción, de conformidad con el artículo 46 de la LOPD. 6) Alude a que los correos contenidos en Gmail durante el periodo, desde 6/10/2015 a 12/07/2016 y que se contienen en el anexo I no son un número excesivo SEXTO: Sobre la resolución PS/0021/2017 referente al CENTRO EDUCATIVO LOS TILOS se debe subrayar: 1) No finaliza en sanción alguna, sino declara la infracción y la toma de medidas. Destaca de la misma: 2) El denunciante pone de manifestó que la dirección de los Tilos se comunicaba con la persona de seguridad del centro de SEGUR IBERICA a través de mensajes electrónicos que contenían daos personales y que se contenían en la cuenta de correo. El denunciante exponía que cualquier que hubiese tenido conocimiento de estas cuentas de correo electrónico y de sus contraseñas de acceso podía acceder desde cualquier equipo informático, navegador web o app de correo electrónico”. 3) “El denunciante aportaba diversa documentación relativa a los hechos denunciados” No especifica que documentación. 4) En el punto 2 se indica que la autoridad abrió investigación previa 207/2016 y que el día 20/12/2016 efectúa visita de inspección en el centro los tilos para verificar determinados aspectos relacionados con los tratamientos de datos vinculados a la seguridad del centro. 5) El centro educativo manifestó que se ha suscrito con la empresa de seguridad un contrato en el que se regula el acceso a los datos incluidos en los ficheros del departamento de Justicia para la prestación de los servicios encargados, de conformidad con el artículo 12 de la LOPD. “Desde la dirección del centro se dan instrucciones del uso del correo al personal de seguridad verbalmente, por escrito o por correo electrónico.” “Desde la dirección se consideró que el uso del correo electrónico cuenta de g mail, era un mecanismo eficaz para agilizar la comunicación con el personal de seguridad. La cuenta de correo electrónica de g mail la creó un empleado de seguridad a petición de la dirección del centro”. “A través de la dirección electrónica antes mencionada se proporcionan determinados datos referidos a los menores internos y de personas autorizadas a acceder al centro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 6) El día 11/07/2017 se acordó iniciar procedimiento contra el Centro Los Tilos por una infracción del artículo 9 de la LOPD. 7) En hechos probados indica que “La dirección del Centro los Tilos como responsable del tratamiento dio instrucciones al personal de vigilancia del centro para crear una cuenta de correo electrónico con la finalidad de poder comunicarse con la persona de vigilancia y seguridad. A través de la dirección electrónica, la dirección del centro los tilos proporcionaban al personal de vigilancia y seguridad datos de los menores internos entre los que había datos de salud (no menciona cuales). Con esta situación, la dirección de los tilos no garantiza la seguridad la seguridad de los datos ya que la transmisión se efectuaba sin cifrar los datos personales, ni sin utilizar otro mecanismo equivalente que garantizara que la información no fuera ininteligible ni manipulada por terceros” SÉPTIMO: Con fecha 16/10/2018 se acuerda incorporar las pruebas y la respuesta que se han solicitado en el seno del AP/0024/2018 por tener relación con el presente caso. Se solicitó; - a la denunciada: En alegaciones al acuerdo de inicio indican: En los pliegos que dieron lugar a la contratación de SEGUR IBERICA se establece el deber de confidencialidad en cuanto a los datos que conozcan por el desarrollo de sus funciones. “La dirección del centro consideró en un momento determinado que para mantener una operativa de control más precisa y ágil de la que ofrecía la transmisión a los vigilantes de seguridad de listados o instrucciones en formato papel, era más seguro a través de la cuenta ***EMAIL.4@gmail creada para asegurar las comunicaciones entre la dirección y el personal de seguridad adscrito al Centro Los Tilos “ Se le solicita que conteste: El deber de confidencialidad. ¿respecto que datos? ¿Qué acceso a datos personales se contemplaban en el contrato de prestación de servicio de vigilancia del CENTRO LOS TILOS? ¿Qué entidad firmó el contrato con la empresa de seguridad?, y sí cuando el Centro los Tilos decidió la creación de la dirección de correo electrónico ***EMAIL.4@gmail (así consta en la resolución PS/21/2017) se hizo con conocimiento de la responsable del fichero, esa Dirección General? Informe si se comunicó la creación de dicha dirección de correo electrónico y su uso y usuarios a esa Dirección General. Se solicita a la Autoridad Catalana de Protección de Datos:
6. a)Remitan copia de las actuaciones previas de investigación del procedimiento que derivó en el PS/0021/2017 al Centro Educativo los Tilos de 7/11/2017 y de las alegaciones que hiciera la denunciada Con fecha 18/10/2018 se recibe respuesta aportando la en un CD, significando además que la denunciada no efectuó alegaciones. documentación Se contiene el acta de inspección presencial en el centro educativo los tilos el 20/12/2016, constando: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 - “Se ha suscrito un contrato de encargo de tratamiento con la empresa de seguridad con el objeto de que acceda a datos personales del fichero del Departamento de Justicia para la prestación del servicio, según el artículo 12 de la LOPD”. -Desde la dirección del centro se dan instrucciones al personal de seguridad verbalmente, por escrito o por correo electrónico desde ***EMAIL.4 @gmail.com. -La cuenta del correo la creó un empleado de seguridad a instancia de la dirección del centro. Se utilizó dicho sistema por considerarlo más eficaz y ágil. A dicha dirección de correo accede el personal de seguridad, disponiendo cada uno de su contraseña y usuario. No existe ninguna instrucción especifica de que se ha de hacer cuando un empleado de seguridad deja de prestar sus funciones. “No se tiene constancia de que en la sala de control donde los empleados usan del acceso mencionado, figure algún tipo de impreso con las contraseñas o usuarios de acceso a la cuenta de correo ***EMAIL.3@gmail.com -A través de dicho correo se enviaban datos personales de los menores internos y de personas autorizadas a acceder al centro. -Se verifica que en uno de los monitores del centro de control bajo el pc en un papel pegado consta anotado “correo de comunicaciones con dirección y envío de incidencias” con la dirección electrónica ***EMAIL.4@gmail.com y la contraseña de acceso ***CONTRASEÑA.1 -Los inspectores solicitaron copia del contrato mencionado en el primer punto. y lista de usuarios autorizados a acceder al centro de control y perfil de cada uno. -El departamento de Justicia aporta copia de un contrato celebrado el 17/03/2016 entre el secretario general del Departamento de Justicia con SEGUR IBERICA que alude a que ha sido seleccionado el 23/12/2015 para prestar los servicios de seguridad y vigilancia de diversos edificios del Departamento (se contienen 9 páginas). - El departamento de Justicia aporta copia de parte de contrato, folios 26 a 29 con el sello de SEGUR IBERICA, constando en el punto 21.3 la obligación del deber de secreto por el personal del contratista respecto de los datos o antecedentes que conozca en razón de la ejecución del contrato, mencionado expresamente la LOPD y el secreto en cuanto a la prestación de servicio derivados de la ejecución de este contrato, determinando que la adjudicataria es encargada de tratamiento de los datos y se compromete a utilizarlos con la finalidad de prestar los servicios encargados. -Copia de un escrito del director del centro dirigido al personal de vigilancia recordando el cumplimiento de medidas de seguridad y protección de datos personales y deber de confidencialidad, fechado a 25/09/2014. -Se aporta copia del acuerdo de inicio de procedimiento contra el centro educativo los tilos, de 11/07/2017 por haber utilizado la dirección ***EMAIL.4 a través de la que se contenían datos personales de menores utilizando el personal de seguridad dicha dirección, accediendo al mismo, comunicándose los datos sin cifrar. Se imputa a la denunciada la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 comisión de una infracción del artículo 9 de la LOPD en relación con el 104 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); que refiere medidas de seguridad de nivel alto. -En la resolución se indica en hechos probados: “La dirección del Centro los Tilos como responsable del tratamiento dio instrucciones al personal de vigilancia del centro para crear una cuenta de correo electrónico con la finalidad de poder comunicarse con la persona de vigilancia y seguridad. A través de la dirección electrónica, la dirección del centro los tilos proporcionaban al personal de vigilancia y seguridad datos de los menores internos (entre los que había datos de salud. Con esta situación, la dirección de los tilos no garantiza la seguridad de los datos ya que la transmisión se efectuaba sin cifrar los datos personales, ni sin utilizar otro mecanismo equivalente que garantizara que la información no fuera ininteligible ni manipulada por terceros” De la resolución destaca que no menciona la cuenta de correo de que se trata, aunque indica en el acuerdo de inicio, pero en cuanto a datos de salud, no queda claro cuáles sean estos, pues en el acuerdo de inicio no se contempla ninguno, -Figura también un comunicado del denunciante sobre su cambio de domicilio de 20/01/2017 que se incorpora al presente procedimiento por si fuera preciso solicitar algún documento -Se aprecia que no existe consignación específica y detallada de acceso a datos de menores por la autoridad que tenía potestad para ello, ni lógicamente está documentado dicho encargo de tratamiento. No se contiene referencia alguna a acceso a datos ni labores de gestión concretas, fichero al que se accede ni datos que ha de gestionar. La referencia general e inconcreta de acceso a ficheros del responsable sin concretar cual es, ni la finalidad de los datos y las funciones con dichos datos supone que no existe tal encargo. Se estima que, si el contrato se firma por la Secretaria General del Departamento de Justicia y el fichero al que se accede es de su responsabilidad, seria este órgano el que debería establecer las condiciones de acceso o tratamiento de sus datos si se encargara a l adjudicatario alguna función de acceso. OCTAVO: Con fecha 25/10/2018 se inicia periodo de practica de pruebas incorporando la documentación procedente de actuaciones previas, y por guardar relación con este procedimiento las alegaciones al acuerdo de inicio efectuadas por la Dirección General de ejecución penal a la comunidad y de justicia juvenil, del procedimiento AP/00024/2018 que se tramita en paralelo al presente por la actuación del Centro educativo los tilos. También forman parte del procedimiento la petición de pruebas realizada en el seno del AP 24/2018 reflejadas en el punto anterior. Además, en el seno del presente procedimiento, solicita en el periodo de pruebas al denunciante: Sobre la denuncia que usted presentó ante la Autoridad catalana de protección de datos contra SEGUR IBERICA y Centro Educativo los Tilos, se le solicita la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 Según reseña del procedimiento PS/0021/2017 que la autoridad catalana de protección de datos resolvió frente al Centro educativo los Tilos por falta de medidas de seguridad, se aporta copia; en el mismo, se indicaba que fue el personal de seguridad el que creo la dirección ***EMAIL.4@gmail.com. En tal sentido, por guardar relación con su denuncia sobre las direcciones siguientes: ***EMAIL.1@gmail.com, del coordinador del servicio ***EMAIL.2@gmail.com del jefe de equipo ***EMAIL.3@gmail.com se le solicita que informe sobre quien utilizaba estas direcciones, donde estaba ubicado el colectivo que usaba las mismas, desde cuando se usaban las mismas, y personas que crearon dichas cuentas y motivo, detallando, si fueron creadas por SEGUR IBERICA o por órdenes de dicha entidad, envíe escrito en el que se ordenara su creación. Indique las circunstancias que se dieron para crear las cuentas. El envío fue recogido en la oficina de Correos el 6/11/2018. Con fecha 12/11/2018 se recibe respuesta en la que manifiesta: 1) “Desconozco la autoría en cuanto a la creación y titularidad de las mencionadas cuentas de correo electrónico”. 2) La cuenta ***EMAIL.1 era utilizada por B.B.B., Coordinador de los Centros de Justicia Juvenil, anteriormente trabajador de SEGURIBERICA, ahora PROSEGUR, como Coordinador de los mismos centros de trabajo. La cuenta ***EMAIL.6@gruposegur.com correspondía también a la citada persona y es una cuenta corporativa que pertenece a SEGUR IBERICA, del grupo SEGUR. 3) La cuenta ***EMAIL.2 correspondía a D.D.D. y E.E.E., jefes de equipo del Centro Educativo los Tilos, anteriormente trabajadores de SEGUR IBERICA y en la actualidad de PROSEGUR como responsables de este. 4) La cuenta ***EMAIL.3 fue asignada a todos los vigilantes del Centro Educativo Los Tilos por los responsables del servicio anteriormente mencionados para las comunicaciones formales de los vigilantes con la empresa de seguridad y con ellos mismos. “Al establecerse para un uso común de todos los trabajadores en esta cuenta, no fue aceptada por los vigilantes, y por ello pasó a ser administrada por los mismos responsables del equipo de seguridad.” 5) La cuenta ***EMAIL.4 fue asignada a todos los vigilantes del Centro educativo los Tilos por la dirección del propio centro público para la comunicación, recepción y transmisión con la dirección del Centro, las Administraciones Públicas y terceros, de datos personales en el ámbito de la Administración Pública. 6) “Yo ya advertí en diversas ocasiones a todos y en particular al director del Centro sobre todo la negativa a realizar funciones propias de gestión de Administración Pública” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 NOVENO: Con fecha 16/11/2018, el Instructor en la propuesta de resolución propone a la directora de la AEPD que “se ARCHIVE la infracción imputada a SEGUR IBÉRICA, S.A. con NIF A82335746, del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4.
7. d)de dicha LOPD.” El acuerdo fue notificado a LANDWELL-PRICEWATERHOUSE COOPERS TAX & LEGAL SERVICES SL, Administrador concursal de la denunciada Frente a la propuesta no se recibieron alegaciones. HECHOS PROBADOS 1) Se acredita que el Centro los Tilos (Generalitat de Cataluña, Dirección General de ejecución penal a la comunidad y de justicia juvenil) creó una cuenta de correo g mail, que motivó la declaración de infracción del citado Centro en el PS/0021/2017 de 7/11/2017 por infracción del artículo 9 de la LOPD indicándose en los hechos probados: La dirección del Centro los Tilos como responsable del tratamiento dio instrucciones al personal de vigilancia del centro para crear una cuenta de correo electrónico con la finalidad de poder comunicarse con la persona de vigilancia y seguridad. A través de la dirección electrónica, la dirección del centro los tilos proporcionaba al personal de vigilancia y seguridad datos de los menores internos entre los que había datos de salud (no menciona cuales), Con esta situación, la dirección de los tilos no garantiza la seguridad de los datos ya que la transmisión se efectuaba sin cifrar los datos personales, ni sin utilizar otro mecanismo equivalente que garantizara que la información no fuera ininteligible ni manipulada por terceros” No menciona la cuenta de correo de que se trata, aunque se desprende que la cuenta es ***EMAIL.4@gmail.com. El 22/12/2016 se dio de baja la citada cuenta de correo electrónico. La dirección gmail se corresponde con la utilizada por el servidor de correo electrónico del servicio gratuito de correo electrónico prestado por la empresa americana GOOGLE LLC. Según consta en información extraída de internet, dicha entidad se asoció al sistema PRIVACY SHIELD el 22/09/2016, si bien su solicitud fue el 29/08/2016. 2) La dirección gmail se corresponde con la utilizada por el servidor de correo electrónico del servicio gratuito de correo electrónico prestado por la empresa americana GOOGLE LLC. Según consta en información extraída de internet, dicha entidad se asoció al sistema PRIVACY SHIELD el 22/09/2016. El origen del PRIVACY SHIELD fue la Decisión de Ejecución 2016/1250/UE, de 12/07/2016 que establece con arreglo a la directiva 95/46/CE el Parlamento Europeo y del Consejo sobre la adecuación de la protección conferida por el escudo de privacidad UE- EE. UU. El marco del PRIVACY SHIELD comenzó a funcionar el 1/08/2016 y protege los derechos fundamentales de cualquier persona de la Unión Europea cuyos datos sean transferidos a EE. UU. por motivos comerciales. 3) De la copia documental que el denunciante aportó en su denuncia, se concluye que existían las siguientes direcciones de correos electrónicos utilizadas por sus compañeros también vigilantes de seguridad y otros empleados de la misma empresa: Correos electrónicos de uso por personal de SEGUR IBERICA: