← España

PS-00166-2022

1/21  Expediente N.º: PS/00166/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia el 5 de junio de 2021 de una brecha de seguridad de datos personales por parte de la Delegada de Protección de Datos (DPD) del Responsable del Tratamiento, AYUNTAMIENTO DE LEGANÉS con NIF P2807400C (en adelante el Ayuntamiento), relativa a una brecha de seguridad, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. En dicha notificación se indica que algunos documentos publicados en el portal corporativo municipal, concretamente en el área de transparencia, incluían el Código Seguro de Verificación (CSV) que la Comunidad de Madrid (Administración con competencias judiciales) ofrece a los afectados para la descarga de la sentencia. En consecuencia, las personas conocedoras de este código podrían llegar a acceder y descargar el contenido íntegro de los documentos publicados. En el apartado “Medidas preventivas aplicadas antes de la brecha” de la notificación recibida consta la siguiente información: Disponibilidad de procedimiento para la publicación de contenidos en el portal de transparencia, existencia, comunicación y divulgación de una recomendación interna para la anonimización en comunicación y divulgación de datos. Asimismo, en el apartado de “Medidas tomadas para solucionar la brecha y minimizar el impacto sobre los afectados” se indica lo siguiente: Despublicación inmediata del portal de transparencia de los contenidos objeto de la brecha de seguridad, incorporación en la recomendación de anonimización, la necesidad expresa de eliminar códigos gráficos tipo BIDI, QR, código de barras o similar, y tipográficos o numéricos existentes en documentos, así como su divulgación, solicitud de una formación y capacitación en administración electrónica sobre el uso del código seguro de verificación y herramientas de validación a toda la entidad, solicitud a todas las unidades de la revisión de los contenidos publicados. Documentación aportada: No aportan documentación adjunta. Posteriormente, con fecha 18 de junio de 2021 la Delegada de Protección de Datos del Ayuntamiento (en adelante el DPD) remite otras dos comunicaciones relativas a la misma brecha de seguridad. En la notificación de fecha 18 de junio de 2021, el Ayuntamiento aporta informe en el que se pone de manifiesto que a partir del año 2017 se comenzó a publicar las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 resoluciones judiciales en las que el Ayuntamiento según instrucciones sobre transparencia municipal y en las resoluciones se anonimizan manualmente los datos personales identificativos (nombre y apellidos, dirección, DNI, destino, puesto, matrículas y direcciones catastrales) de todos los intervinientes incluidos letrados. También se indica que en esa fecha se comenzó a incluir por la Administración de Justicia el CSV que proporciona autenticidad a los documentos y permite al público el acceso a los archivos electrónicos de la oficina judicial emisora para verificar su integridad a través de la web de la Comunidad de Madrid. Se adjunta a dicho informe relación de las sentencias publicadas que contenían datos personales. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Con fecha 28 de marzo de 2022, desde la Inspección de Datos se accede a la dirección web aportada en el informe de la notificación de fecha 18 de junio donde se incluyen los Compromisos de Transparencias ***URL.1 verificando que figuran una serie de apartados de publicaciones que se deberán incluir en la web en el área de Transparencia, entre ellas, resoluciones judiciales. (esta comprobación se encuentra reflejada en la Diligencia “Dil Ayto”). 2.- Se ha solicitado información y documentación a la entidad notificante, y de la respuesta recibida en fecha 13 de enero de 2022, se desprende lo siguiente: El Ayuntamiento manifiesta que los documentos publicados con el CSV de forma errónea son sentencias y autos judiciales, realizados por los juzgados y tribunales, que afectan al Ayuntamiento de Leganés y de relevancia jurídica para terceros, que se publican en cumplimiento a la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información y buen gobierno. La publicación de las sentencias, previa anonimización de los datos, se produce una vez que son conocidas por la Junta de Gobierno del Ayuntamiento. El Ayuntamiento manifiesta que “la publicación de las sentencias comienza a partir del año 2017 y la Administración de Justicia, competencia de la Comunidad Autónoma de Madrid, integra el Código Seguro de Verificación de forma progresiva, como medio de firma que permite comprobar a autenticidad de las citadas resoluciones en el portal de la administración de justicia de la Comunidad, debiendo destacarse que la implementación del CSV no es competencia del Ayuntamiento sino de la Comunidad Autónoma”. Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final El Ayuntamiento manifiesta que, el 3 de junio de 2021, se tiene constancia por un tercero de que documentos publicados en el portal www.leganes.org que contienen el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 código de verificación seguro de la Comunidad de Madrid (CSV) se pueden descargar al completo en la Web www.madrid.org/cove, web en la que la Comunidad de Madrid oferta la comprobación de la validez del CSV. Desde el servicio del Delegado de Protección de Datos del Ayuntamiento se procedió al acceso de uno de los documentos publicados en el Portal de Transparencia en el apartado de Institución, Actas, decretos y resoluciones, de la web del Ayuntamiento, procediendo a continuación a verificar la validez del CSV en el enlace www.madrid.org/cove y a su descarga. Efectuada la comprobación, se procede a la supresión de los documentos publicados que incorporen el CSV. El borrado de 125 archivos que contenían CSV de los años 2021/2020/2019/2018 se realiza el 03/06/2021 22:05. Con fecha 04/06/2021 el servicio del Delegado de Protección de Datos verifica el borrado, pero identifican documentos que, aunque no accesibles desde el portal corporativo, sí lo son desde el buscador Google. Se procede a eliminar otros 22 documentos indexados, dándose por cerrada la brecha el día 4 de junio. Respecto de las causas que hicieron posible la brecha El Ayuntamiento manifiesta que la brecha se produce por un error humano sin intencionalidad. Manifiesta que los documentos publicados en su web que contienen el CSV están anonimizados los datos personales, pero no el CSV ya que no se considera un dato personal “sino un sistema de firma de las administraciones públicas regulado en el artículo 42 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público como un sistema de firma electrónica vinculado a las actuaciones administrativas automatizadas “permitiéndose en todo caso la comprobación de la integridad del documento mediante acceso a la sede electrónica correspondientes”, derivándose de este hecho el error, es decir, el CSV no es un dato personal pero si permite acceder a la integridad del documento donde si se contienen datos personales” Respecto de los datos afectados El Ayuntamiento manifiesta que el número de afectados podría ser de 135 personas contenidos en las 467 resoluciones que fueran examinadas por la Asesoría Jurídica municipal. Desconocen si ha habido accesos a los documentos íntegros ya que en su web los datos están anonimizados y el acceso a la web de la Comunidad de Madrid tiene que ser individualizado y además, en ocasiones, para la verificación de los documentos no solo se solicita el CSV sino también otros datos adicionales como en DNI del interesado, la fecha de expedición del documento u otra referencia. La tipología de datos personales son datos identificativos (nombre, apellidos, DNI/NIF/NIE) y datos relacionados con las infracciones y sanciones administrativas relacionadas con la sentencia publicada. El Ayuntamiento considera que la severidad de las consecuencias puede valorarse en baja/nula. Respecto a la indexación por los buscadores en Internet, manifiestan que inicialmente se detectaron que algunos documentos estaban indexados pero se eliminaron todas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 las publicaciones y no les consta ni se han hallado nuevas evidencias de indexación ni se tiene constancia de la utilización por parte de terceros de la información. A este respecto, y con fecha 28 y 29 de marzo de 2022, desde la Inspección de Datos se han realizado las siguientes comprobaciones que se reflejan en las Diligencias “Dil Ayto” y “Dil Google” :  Acceso a la web del Ayuntamiento no obteniendo constancia de la existencia de publicaciones de actos de la Administración de Justicia.  Búsquedas en Google de publicaciones referenciadas en la relación aportada por el Ayuntamiento sin obtener constancia de la existencia de las mismas.  Acceso a la web de la Comunidad de Madrid (www.madrid.org) verificando que figura información respecto al código seguro de verificación y pantalla de verificación de dicho código. El Ayuntamiento manifiesta que no se ha recibido ninguna reclamación al respecto. En relación con la comunicación a los afectados manifiestan y aportan impresión de pantalla al respecto, que no se ha procedido a realizar ya que la brecha de seguridad no supone un alto riesgo para los derechos y libertades. Se ha utilizado la herramienta de la AEPD COMUNICA BRECHA siendo el resultado contrario a la notificación. Respecto de las medidas de seguridad implantadas El Ayuntamiento manifiesta disponer de medidas técnicas y organizativas además las medidas de seguridad de conformidad con el Anexo II del Esquema Nacional de Seguridad. Los tratamientos relativos al Portal de Transparencia se encuentran identificados en el Registro de Actividades del tratamiento. En relación con los documentos objeto de la brecha se procedía, de forma manual, al borrado de los datos personales. El Ayuntamiento manifiesta que una vez tenido conocimiento de que mediante el CSV era posible acceder al contenido íntegro del documento se procedió a: - Eliminación de las sentencias publicadas. - Revisión de los buscadores en internet para la supresión de aquellos documentos publicados. - Supresión del apartado en el Portal de Transparencia para publicación de este tipo de documentos. CONCLUSIONES Tal y como constan en las manifestaciones del investigado:  Documentos publicados en la web del Ayuntamiento de Leganés que contienen el Código Seguro de Verificación (CSV) tienen anonimizados los datos personales pero no el CSV ya que no se considera un dato personal “sino un sistema de firma de las administraciones públicas regulado en el artículo 42 de la Ley 40/2015, de 1 de octubre”. No obstante, el CSV permite acceder a la integridad de los documentos con datos personales a través de la web de la Comunidad de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21  El Ayuntamiento tuvo conocimiento de los hechos el día 3/06/2021 y procedió de inmediato a su comprobación y al borrado de 125 archivos que contenían CSV de los años 2021/2020/2019/2018 en el mismo día. El día 04/06/2021 identifican documentos indexados por Google, procediendo a eliminarlos y dando por cerrada la brecha el mismo día.  El número de afectados podría ser de 135 personas en las 467 resoluciones que fueran examinadas y desconocen si ha habido accesos a los documentos íntegros ya que en su web los datos están anonimizados y el acceso al documento se tiene que realizar a través de la web de la Comunidad de Madrid. También manifiestan que en muchos casos para la verificación de los documentos no solo se solicita el CSV sino también otros datos adicionales.  No han comunicado a los afectados. Se ha utilizado la herramienta de la AEPD COMUNICA BRECHA siendo el resultado contrario a la notificación. Tal y como constan en las Diligencias “Dil Ayto” y “Dil Google”, desde la Inspección de Datos, con fecha 28 y 29 de marzo de 2022, se han realizados las siguientes comprobaciones:  Acceso a la web del Ayuntamiento no obteniendo constancia de la existencia de publicaciones de actos de la Administración de Justicia.  Búsquedas en Google de publicaciones referenciadas en la relación aportada por el Ayuntamiento sin obtener constancia de la existencia de las mismas.  Acceso a la web de la Comunidad de Madrid (www.madrid.org) verificando que figura información respecto al código seguro de verificación y pantalla de verificación de dicho código. TERCERO: Con fecha 18 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al Ayuntamiento, por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. CUARTO: Notificado el citado Acuerdo de Inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el Ayuntamiento presentó con fecha 29 de abril de 2022 escrito de alegaciones en el que solicitaba el archivo del expediente sancionador y, en síntesis, manifestaba que la brecha fue subsanada de manera inmediata, que además de las medidas detalladas en el escrito de 13 de enero de 2022, se adoptaron una serie de medidas destinadas a evitar futuras brechas en situaciones similares:  Nada más detectarse la brecha, se incluyó en el documento existente de recomendaciones de anonimización de datos, elaborado por la Delegada de Protección de Datos, la eliminación de los Códigos Seguros de Verificación.  La Delegada de Protección de Datos remitió dicho documento a todos los responsables de publicar documentos en el Portal de Transparencia del Ayuntamiento. Asimismo, se difundió en el “Servidor de Información Pública para los Empleados Municipales”, siguiendo disponible a 28 de abril de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21  El responsable del Portal de Transparencia, actualizó las Instrucciones del Procedimiento para la publicación en dicho Portal de los documentos en período de información pública, incluyendo las recomendaciones de la Delegada de Protección de Datos. QUINTO: Con fecha 20 de mayo de 2022 se formuló Propuesta de Resolución, proponiendo: << Que por la Directora de la Agencia Española de Protección de Datos se imponga a AYUNTAMIENTO DE LEGANÉS, con NIF P2807400C, por una infracción del artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, calificada como grave a efectos de prescripción en el artículo 73 apartado

  1. f)de la LOPDGDD una sanción de APERCIBIMIENTO. >> SEXTO: En fecha 7 de junio de 2022, la entidad investigada presentó escrito de alegaciones a la Propuesta de Resolución, en el que, en síntesis, manifestaba lo siguiente: 1. La brecha fue subsanada inmediatamente, el Ayuntamiento comunicó a la AEPD todas las medidas adoptadas para contener la brecha, evitar perjuicios y evitar futuros incidentes similares. 2. No existen perjuicios ni se han recibido quejas. 3. La brecha se produjo por un error humano, la AEPD no ha tenido en cuenta que el riesgo cero no existe. 4. El Ayuntamiento entiende que no se han respetado los principios del derecho sancionador (citando el principio de necesidad). La AEPD ha considerado en alguna resolución que no era necesaria la sanción, cuando ya se había encauzado la situación y no procedía imponer medidas adicionales. 5. El Ayuntamiento expresa su disconformidad con la calificación de la sanción como grave. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El Ayuntamiento de Leganés publicó en su página web documentos que tenían anonimizados los datos personales pero no el Código Seguro de Verificación (CSV), ya que no se consideraba un dato personal “sino un sistema de firma de las administraciones públicas regulado en el artículo 42 de la Ley 40/2015, de 1 de octubre”. No obstante, el CSV permite acceder a la integridad de los documentos con datos personales a través de la web de la Comunidad de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 SEGUNDO: El Ayuntamiento tuvo conocimiento de los hechos por un tercero el día 3 de junio de 2021, procedió de inmediato a su comprobación y al borrado de 125 archivos que contenían CSV de los años 2018, 2019, 2020 y 2021 en el mismo día. El día 4 de junio de 2021 identificaron documentos indexados por Google, procediendo a eliminarlos y dando por cerrada la brecha el mismo día. TERCERO: El número de afectados podría ser de 135 personas en las 467 resoluciones que fueron examinadas. El Ayuntamiento desconoce si ha habido accesos a los documentos íntegros ya que en su web los datos están anonimizados y el acceso al documento se tiene que realizar a través de la web de la Comunidad de Madrid. También manifiesta que en muchos casos para la verificación de los documentos no solo se solicita el CSV sino también otros datos adicionales. CUARTO: La Inspección de Datos, con fechas 28 y 29 de marzo de 2022, realizó las siguientes comprobaciones, reflejadas en las Diligencias “Dil Ayto” y “Dil Google”: • Acceso a la web del Ayuntamiento no obteniendo constancia de la existencia de publicaciones de actos de la Administración de Justicia. • Búsquedas en Google de publicaciones referenciadas en la relación aportada por el Ayuntamiento sin obtener constancia de la existencia de las mismas. • Acceso a la web de la Comunidad de Madrid (www.madrid.org) verificando que figura información respecto al código seguro de verificación y pantalla de verificación de dicho código. QUINTO: De las actuaciones practicadas, consta que el procedimiento de anonimización con el que contaba la entidad investigada, no era el adecuado en el momento de producirse la brecha de seguridad. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 II Tal y como se ha expuesto en el antecedente IV, en las alegaciones presentadas por el Ayuntamiento de Leganés al Acuerdo de Inicio, se destaca que dicho Consistorio adoptó diversas medidas adicionales a las ya expuestas en su escrito de 13 de enero de 2022 con el fin de evitar futuras brechas por situaciones similares:  Nada más detectarse la brecha, se incluyó en el documento existente de recomendaciones de anonimización de datos, elaborado por la Delegada de Protección de Datos, la eliminación de los Códigos Seguros de Verificación.  La Delegada de Protección de Datos remitió dicho documento a todos los responsables de publicar documentos en el Portal de Transparencia del Ayuntamiento. Asimismo, se difundió en el “Servidor de Información Pública para los Empleados Municipales”, siguiendo disponible a 28 de abril de 2022.  El responsable del Portal de Transparencia, actualizó las Instrucciones del Procedimiento para la publicación en dicho Portal de los documentos en período de información pública, incluyendo las recomendaciones de la Delegada de Protección de Datos. En contestación a dichas alegaciones, cabe indicar lo siguiente: Tal y como prevé el artículo 4.12 del RGPD se considera “violación de la seguridad de los datos personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. La seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que regulan tanto la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  2. a)la seudonimización y el cifrado de datos personales;
  3. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  4. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  5. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (el subrayado es nuestro). (…) 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo las instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” Por su parte, el considerando 74 del RGPD dispone lo siguiente: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” (el subrayado es nuestro). En este sentido, el considerando 75 del RGPD enumera una serie de factores o supuestos asociados a riesgos para los derechos y libertades de los interesados: “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; en los casos en los que los datos personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos, datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones penales o medidas de seguridad conexas; en los casos en los que se evalúen aspectos personales, en particular el análisis o la predicción de aspectos referidos al rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que se traten datos personales de personas vulnerables, en particular niños; o en los casos en los que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados.” En el presente caso, el Ayuntamiento contaba con un procedimiento de anonimización que no era adecuado. Del contenido de la documentación remitida por el Consistorio se desprende que el procedimiento de anonimización seguido contemplaba el borrado manual de datos (nombre, apellidos, DNI, dirección, destino específico o número de puesto, matrículas de vehículos, direcciones catastrales) de demandantes, letrados intervinientes y testigos. A la hora de elaborar dicho procedimiento de anonimización no se había identificado que el Código Seguro de Verificación (CSV) era un sistema técnico que posibilitaba el acceso al contenido íntegro de los documentos En consecuencia, un procedimiento de anonimización apropiado habría contemplado la eliminación del mismo. Por otra parte, la información y formación dirigida al personal que había de realizar los tratamientos con datos personales era insuficiente, concretamente, respecto a la publicación de resoluciones judiciales que afectaban al Ayuntamiento en el portal web de dicho Consistorio. En las medidas comunicadas por la Delegada de Protección de Datos del Ayuntamiento para solucionar la brecha de seguridad, además de la eliminación con carácter inmediato del portal de transparencia de los contenidos objeto de dicha brecha, se destaca la revisión de la recomendación de anonimización, su divulgación entre el personal del Ayuntamiento y la solicitud de una formación y capacitación en administración electrónica sobre el uso del Código Seguro de Verificación y herramientas de validación a toda la entidad. En esta misma línea, en el escrito de alegaciones presentado por el Ayuntamiento al Acuerdo de inicio se destacaba, que además de las medidas destinadas a contener la brecha comunicadas el 13 de enero de 2022, el Consistorio había adoptado una serie de medidas adicionales con el fin de evitar futuras brechas de seguridad por situaciones similares. Estas medidas implicaban la revisión del procedimiento de anonimización, incluyendo de manera expresa la eliminación de los Códigos Seguros de Verificación. Asimismo, se había dado a conocer el procedimiento de anonimización revisado tanto a los responsables de publicar documentos en el Portal de Transparencia del Ayuntamiento, a través de una comunicación dirigida a los mismos, como al conjunto de sus empleados, mediante su publicación en el “Servidor de Información Pública para los Empleados Municipales”. De forma paralela, el responsable del Portal de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 Transparencia había actualizado las Instrucciones del Procedimiento para la publicación en el Portal de Transparencia de los documentos en período de información pública, incluyendo las recomendaciones realizadas por la Delegada de Protección de Datos. Asimismo, el Ayuntamiento destacaba en su escrito de alegaciones al Acuerdo de Inicio que hasta el 28 de abril de 2022 no había vuelto a producirse ninguna brecha de similares características. Si bien merece una valoración positiva el conjunto de medidas adoptadas por el Ayuntamiento con el fin de evitar que volviera a producirse una brecha de seguridad similar en el futuro, ha quedado acreditado que la brecha de seguridad tuvo lugar por la insuficiencia de medidas de seguridad, suponiendo la infracción del artículo 32 del RGPD. IV Respecto a las alegaciones presentadas a la Propuesta de Resolución, se debe señalar lo siguiente: En su primera alegación, el Ayuntamiento afirma: “1. Que la brecha fue subsanada de manera inmediata, habiéndose comunicado todas las medidas adoptadas tanto para contener y evitar perjuicios como para evitar futuros incidentes similares.” Ya se ha dado contestación a la alegación relativa a que la brecha fue subsanada de manera inmediata en los fundamentos de derecho II y III. En cuanto a la comunicación por parte del Ayuntamiento a la AEPD de todas las medidas adoptadas para contener y evitar perjuicios, así como para evitar futuros incidentes similares, dicha comunicación ha de realizarse por mandato legal, tal y como dispone el artículo 33 del RGPD, al que se hará referencia en el fundamento de derecho XI. La mencionada comunicación se realizó a través de un formulario -elaborado para facilitar el cumplimiento de la obligación contenida en el artículo 33 del RGPD-, en el que figuran distintos campos a completar con la información disponible en ese momento, tales como, “Medidas preventivas aplicadas antes de la brecha” y “Medidas tomadas para solucionar la brecha y minimizar el impacto sobre los afectados”. V En su segunda alegación, el Ayuntamiento de Leganés indica: “2. Que no existen perjuicios para ningún interesado ni se han recibido quejas.” No se comparte dicha alegación. Por una parte, las sentencias junto con el CSV comenzaron a publicarse a partir de 2018. Sin embargo, el Ayuntamiento no detectó la brecha de seguridad hasta el 3 de junio de 2021. En consecuencia, dicha brecha se mantuvo durante más de tres años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 Por otra, en el informe elaborado por la Asesoría Jurídica del Ayuntamiento el 9 de junio de 2021 se destacaba lo siguiente: “ Una vez revisadas las sentencias publicadas en el Portal de Transparencia (en total han sido analizadas 467 resoluciones o procedimientos), se acompaña como anexos las relaciones por jurisdicciones y años en que los documentos publicados incorporan el código CSV comprobable (…) y que por tanto fueron susceptibles de divulgación de datos hasta el momento en que se impidió su acceso, resultando un total de 103 procedimientos, y una estimación de 135 interesados/demandantes/otros intervinientes (excluyendo identificación de letrados y procuradores), con indicación del número de procedimiento judicial, asunto, y datos personales que figuran en la sentencia. Se acompaña asimismo detalle de aquellos procedimientos que, a nuestro juicio, podrían contener datos a valorar por poder tener un carácter más sensible (en procedimientos sancionadores o de responsabilidad patrimonial con daños físicos)” (el subrayado es nuestro). En cuanto al hecho de que el Ayuntamiento no haya recibido quejas, aún en ausencia de las mismas, el Consistorio tiene la obligación de respetar los principios relativos al tratamiento contemplados en el artículo 5 del RGPD y ser capaz de demostrarlo, en base al principio de responsabilidad proactiva (art. 5.2 del RGPD), que prevé: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” VI Asimismo, alega el Ayuntamiento de Leganés: 3. Que la brecha se produce por un error humano, sin que la AEPD haya tenido en cuenta que el riesgo cero no existe. Así en la Guía de análisis de riesgo y evaluaciones de impacto de la AEPD junio 2021: “Por lo tanto, el concepto de “riesgo cero” no existe cuando hablamos de gestión del riesgo, en particular, cuando hablamos de los riesgos que pueden suponer los tratamientos de datos personales. Siempre existirá un riesgo inherente o inicial implícito en cualquier tratamiento y, una vez que se hayan aplicado medidas y garantías que lo minimicen, seguirá existiendo un riesgo residual”. Esta Agencia comparte que el “riesgo cero” no existe. Si bien considera que la brecha de seguridad en el Ayuntamiento de Leganés se produjo porque en ese momento el referido Consistorio contaba con un procedimiento de anonimización que no era adecuado. En el informe de la Asesoría Jurídica del Ayuntamiento de 9 de junio de 2021, se indica lo siguiente: “(…) se han venido remitiendo a la D.G. de Nuevas Tecnologías las sentencias una vez daba cuenta de las mismas a la Junta de Gobierno. Para ello, se procede al borrado manual de los datos identificativos en los términos de las recomendaciones recibidas (nombre, apellidos, DNI, dirección, destino específico o número de puesto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 matrículas de vehículos, direcciones catastrales) tanto de demandantes, como letrados intervinientes, en su caso, testigos y en los últimos cantidades (aunque entendemos que este último dato no tiene carácter personal). A partir del 2017 se comenzó por parte de la Administración de Justicia a incorporar a las resoluciones judiciales, primero en muy escasa proporción y en estos momentos de manera predominante, el CSV de verificación (…), el cual es un metadato tiene la función principal de conferir la autenticidad de los documentos, a tenor de lo dispuesto en el artículo 28.5 de la ley 18/2011, pero que tiene la función accesoria de permitir al público el acceso a los archivos electrónicos de la oficina judicial emisora para verificar su integridad. Por consiguiente, primariamente el CSV no tiene el carácter de dato personal sino, en su caso, de sistema técnico que posibilita indirectamente el acceso a los mismos, con cumplimiento del sistema de controles que se implementen. La implementación y configuración del sistema de verificación del CSV no corresponde a este Ayuntamiento sino a la Administración autonómica, por lo que no tenemos control sobre los mecanismos de seguridad para el acceso y protección de datos que en el mismo se contienen, ni tampoco ha sido contemplado hasta el momento de manera expresa en las recomendaciones sobre el tratamiento de los datos personales que habían sido impartidos hasta el momento en esta Administración.” (el subrayado es nuestro). Cuando el Ayuntamiento comenzó a publicar sentencias en su página web las mismas no contenían el CSV y el procedimiento de anonimización era adecuado. El problema surgió cuando la Administración de Justicia comenzó a incorporar dicho código a las sentencias. La normativa de protección de datos, exige una protección de carácter dinámico, ajustada a los riesgos existentes en cada momento. Por este motivo, en aplicación del principio de responsabilidad proactiva (art 5.2 del RGPD), resulta necesario que el responsable del tratamiento revise periódicamente los procedimientos (en este caso, el procedimiento de anonimización), con el fin de adaptarlos a los riesgos que hayan podido surgir (en el supuesto analizado, al hecho de que el CSV permitía el acceso al texto íntegro de las sentencias publicadas en la página web del Ayuntamiento). Un procedimiento de anonimización eficaz habría contemplado la anonimización del CSV. Como se ha comprobado en este caso, el mencionado código puede servir como vía para tener acceso a datos, que se consideran correctamente anonimizados. A mayor abundamiento, en el escrito de alegaciones presentado por el Ayuntamiento el 29 de abril de 2022, se indica lo siguiente: “2. Que entre las “Medidas tomadas para solucionar la brecha y minimizar el impacto sobre los afectados”, se realizaron, además de las medidas detalladas en el escrito de fecha de 13 de enero de 2022, las siguientes para evitar futuras brechas por situaciones similares:
  6. a)Al documento existente de recomendaciones de anonimización de datos, elaborado por la Delegada de Protección de Datos, se le incluyó de manera expresa la eliminación de los Códigos Seguros de Verificación, nada mas detectarse la brecha. Se evidencia a continuación la actuación realizada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 Datos personales: RGPD RECOMENDACIÓN PUBLICACIÓN, COMUNICACIÓN Y ANONIMIZACIÓN DE DATOS PERSONALES (03-06-2021) RESUMEN  Salvo supuestos permitidos por la Ley o consentimiento de los afectados, se deben publicar y ó comunicar datos anonimizados (datos que no permiten identificar a las personas afectadas). Un ejemplo de datos a anonimizar pueden ser un DNI, nombre, apellidos, domicilio, correo electrónico, una imagen así como datos que puedan permitir el acceso a un contenido, tales como Códigos de Documentos, Códigos Seguros de Verificación, Códigos de barras o Códigos QR o BIDI presentes en documentos propios o procedentes de otras entidades).” Asimismo, se destacaba que se había dado a conocer el procedimiento de anonimización revisado tanto a los responsables de publicar documentos en el Portal de Transparencia del Ayuntamiento, a través de una comunicación dirigida a los mismos, como al conjunto de sus empleados, mediante su publicación en el “Servidor de Información Pública para los Empleados Municipales”. De forma paralela, el responsable del Portal de Transparencia había actualizado las Instrucciones del Procedimiento para la publicación en el Portal de Transparencia de los documentos en período de información pública, incluyendo las recomendaciones realizadas por la Delegada de Protección de Datos. Por tanto, la brecha de seguridad tuvo como consecuencia la revisión del procedimiento de anonimización del Ayuntamiento. Los empleados del Consistorio que publicaron las sentencias objeto de la brecha no cometieron un error, sino que siguieron el procedimiento de anonimización disponible en ese momento. La brecha de seguridad permitió al Ayuntamiento detectar la necesidad de modificar dicho procedimiento. Llevándose a cabo, posteriormente, la comunicación al personal del Consistorio del procedimiento de anonimización revisado que se había adoptado. Por todos estos motivos, no se comparte que la brecha de seguridad se haya producido como consecuencia de un error humano. VII Asimismo, alega el Ayuntamiento de Leganés: “4. Que no se respetan los principios del derecho sancionador ya que según la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se encuentra el principio de necesidad en su artículo 29 en cuyo inciso 3 señala: “En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá observar la debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 infracción”. La propia AEPD ha considerado en alguna resolución que no era necesaria la sanción al haber encauzado la situación ni se pueden optar por medidas adicionales para solventarla como en el presenta caso, llegando a concluir que: “En este sentido, conviene hacer mención el carácter excepcional del procedimiento sancionador, del que deriva que -siempre que sea posible- deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente, tal y como ocurre en este caso. En síntesis, deben traerse a colación los principios aplicables al procedimiento sancionador. (…). Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, a la vista de las actuaciones realizadas, por lo que procede el archivo de la reclamación. (…).” La sanción al Ayuntamiento es innecesaria ya que se han tomado todas las medidas y ha sido el propio municipio quien comunicó el incidente a la AEPD. Esta Agencia considera que en este expediente sancionador se han respetado los principios del derecho sancionador. Dichos principios, regulados en el Capítulo III del Título Preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, LRJSP) son los siguientes: Principio de legalidad (artículo 25), irretroactividad (artículo 26), tipicidad (artículo 27), responsabilidad (artículo 28) y proporcionalidad (artículo 29). Por su parte, el artículo 29.3 de la LRJSP prevé: “3. En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá observar la debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la infracción.” Del contenido de los fundamentos de derecho de esta Resolución, se desprende que el contenido de dicho precepto ha sido respetado. Por otra parte, el Ayuntamiento de Leganés en sus alegaciones reproduce un párrafo de una Resolución elaborada por esta Agencia. A pesar de que no se menciona el número de expediente ni el nombre del Ayuntamiento al que hace referencia, se ha podido comprobar que en una Resolución de esta Agencia relativa a una reclamación presentada contra el ***AYUNTAMIENTO.1, en la que se acordó el archivo de la reclamación presentada, figura dicho párrafo. Cabe destacar que las diferencias entre aquel supuesto y el que ha motivado el presente expediente sancionador son notables: En aquel caso, la detección de la brecha se produjo a los pocos minutos de haberse producido, los datos afectados eran el nombre, apellidos, DNI, la dirección de correo electrónico y el teléfono (en ocasiones, la brecha solo afectaba a parte de los mismos). Al detectar la misma, se suspendió el tratamiento de datos que la había provocado, adoptándose, en un breve periodo de tiempo, medidas correctoras que permitieron solucionar la brecha y evitar que se pudiera volver a producir una similar en el futuro. El Ayuntamiento notificó la brecha a los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 En el presente caso, la brecha de seguridad ha afectado al contenido de sentencias que comenzaron a publicarse en la página web del Ayuntamiento en 2018. Sin embargo, la brecha no se detectó hasta el 3 de junio de 2021. A través del CSV se podía tener acceso al texto íntegro de dichas sentencias, alguna de las cuales, se referían a procedimientos sancionadores o de responsabilidad patrimonial con daños físicos. Según estimaciones del Ayuntamiento de Leganés, la brecha de seguridad afectó a 135 interesados/demandantes/otros intervinientes (excluyendo identificación de letrados y procuradores). El Consistorio utilizó la herramienta de la AEPD Comunica-Brecha RGPD, siendo el resultado contrario a la notificación. Aunque el Ayuntamiento de Leganés, una vez detectada la brecha de seguridad, reaccionara y procediera al borrado de los archivos afectados por la misma, es indudable que la brecha de seguridad se produjo, vulnerándose el contenido del artículo 32 del RGPD. VIII Como última alegación a la Propuesta de Resolución, el Ayuntamiento de Leganés indica: 5. Por último, se muestra disconformidad con la calificación de la sanción como grave ya que no se han tenido en cuenta la graduación del artículo 83.2 del RGPD. No se ha valorado ni la falta de intencionalidad, ni las medidas adoptadas por el Ayuntamiento, ni el alto grado de cooperación y la forma en la que la autoridad de control tuvo conocimiento de los hechos ya que fue el propio Ayuntamiento quien comunicó a la AEPD por los que ahora se le sanciona.” En primer lugar, cabe destacar que las circunstancias que invoca el Ayuntamientorelativas a la graduación de la cuantía de la sanción que se ha propuesto-, no tienen mucho sentido en la tramitación del presente expediente sancionador, dado que la sanción propuesta es de apercibimiento. Por otra parte, el artículo 27 de la LRJSP, al referirse al principio de tipicidad, señala que “Sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley, (…)”. En el presente caso, la infracción se encuentra perfectamente tipificada en el artículo 83.4 del RGPD y su calificación como grave a los efectos de la prescripción en el artículo 73 de la LOPDGDD es correcta, tal y como se expone en el fundamento de derecho IX, En cuanto a la falta de intencionalidad, efectivamente, no se considera que haya existido intencionalidad por parte del Ayuntamiento de facilitar el acceso a los datos personales contenidos en las sentencias que publicaba en su página web. Sin embargo, cabe calificar la conducta del Consistorio como negligente, dado que no revisó el procedimiento de anonimización, previo a la publicación, adecuándolo al riesgo que suponía la inclusión del CSV en las sentencias que publicaba, ya que dicho mecanismo permitía acceder al texto íntegro de éstas y, por tanto, a todos los datos personales contenidos en las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 Además, no nos encontramos ante una actuación de carácter puntual, sino continuada en el tiempo desde 2018 hasta el 3 de junio de 2021. En este sentido, hay que recordar que la jurisprudencia de manera reiterada considera “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable” (STS de 16 y 22 de abril de 1991). Señalando el mismo Tribunal que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso probar “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). También hay que tener en cuenta que el artículo 32.1 del RGPD dispone: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (…)” (el subrayado es nuestro). En este caso, se ha producido una falta de adecuación del procedimiento de anonimización a los riesgos existentes en ese momento. No resultando un comportamiento adecuado desde el punto de vista del principio de responsabilidad proactiva (art 5.2 del RGPD). En relación con el alto grado de cooperación del Ayuntamiento y al hecho de que fuera el Consistorio quien comunicó a la AEPD los hechos por los que ahora se le sanciona. Tal y como se ha destacado en el fundamento de derecho IV, al notificar la fecha y dar detalles sobre la misma, el Ayuntamiento cumplía con las obligaciones contempladas en el artículo 33, en concreto las previstas en los apartados 3 y 5. En este sentido, la Guía para la notificación de brechas de datos personales de la AEPD, indica: “La notificación de una brecha de datos personales a la Autoridad de Control conforme al artículo 33 del RGPD, además de una obligación, es un ejercicio de responsabilidad proactiva.” Por todo lo expuesto, se desestiman todas las alegaciones formuladas por el Ayuntamiento tanto al Acuerdo de Inicio como a la Propuesta de Resolución. IX La anteriormente mencionada infracción del artículo 32 del RGPD, implica que es de aplicación lo dispuesto en el artículo 83.4 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  7. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: (el subrayado es nuestro) “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  8. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.(…)” X El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públi-cos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  9. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. (…)” XI El Artículo 33 “Notificación de una violación de la seguridad de los datos personales a la autoridad de control” del RGPD establece: “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo:
  10. a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
  11. b)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
  12. c)describir las posibles consecuencias de la violación de la seguridad de los datos personales;
  13. d)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 En el presente caso, consta que el Ayuntamiento ha sufrido una brecha de seguridad de los datos personales en relación con resoluciones judiciales publicadas en su página web durante los años 2018, 2019, 2020 y 2021. El 3 de junio de 2021 el Ayuntamiento tiene constancia por un tercero de que dichos documentos contienen el Código Seguro de Verificación de la Comunidad de Madrid (CSV) y se pueden descargar al completo en la página web en la que dicha Comunidad Autónoma oferta la comprobación de la validez del CSV. Ese mismo día, desde el servicio de la Delegada de Protección de Datos del Ayuntamiento se procedió a realizar una comprobación y, posteriormente, a la supresión de los documentos publicados que incorporaban el CSV. Se borraron 125 archivos que contenían CSV de los años 2018, 2019, 2020, 2021. Un día más tarde (4 de junio de 2021) el servicio de la Delegada de Protección de Datos verificó el borrado, pero identificaron documentos que, aunque no accesibles desde el portal corporativo, sí lo eran desde el buscador Google. Ese día se procedió a eliminar otros 22 documentos indexados, dándose por cerrada la brecha. El 5 de junio de 2021 se notificó a esta AEPD la violación de la seguridad. El Ayuntamiento resolvió en un plazo de dos días la brecha de seguridad detectada, procediendo en el plazo de 72 horas a informar de la misma a esta Agencia. En consecuencia, se habría dado cumplimiento a lo dispuesto en el artículo 33 del RGPD. Tal y como se ha indicado en los fundamentos de derecho IV y VIII , el hecho de que la AEPD tuviera conocimiento de los hechos a través del propio Ayuntamiento deriva del cumplimiento de las obligaciones contempladas en el artículo 33 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al AYUNTAMIENTO DE LEGANÉS, con NIF P2807400C, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE LEGANÉS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  14. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.