← España

PS-00234-2022

1/14  Expediente N.º: EXP202104929 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TESORERIA GENERAL DE LA SEGURIDAD SOCIAL con NIF Q2827003A (en adelante, TGSS). Los motivos en que basa la reclamación son los siguientes: El 27/05/2020 la parte reclamante fue víctima de un hurto en el que le sustrajeron su DNI, carnet de conducir y tarjetas de crédito. Posteriormente el DNI sustraído fue utilizado para suplantar su identidad y generar diversos perjuicios económicos. El 03/06/2021 la parte reclamante intentó acceder a su perfil en la Seguridad Social, no pudiendo llevarlo a cabo al informarle la citada administración que sus datos no eran correctos. Posteriormente accedió mediante su CL@VE PIN y comprobó que alguien había modificado sus datos (Dirección, teléfono y e-mail) sin su consentimiento. La modificación se llevó a cabo mediante un formulario TA-1, aportándose junto al mismo la copia del DNI. El 04/06/2021 amplió la denuncia formulada ante la policía el 27/05/2020 describiendo lo ocurrido. Según afirma, el suplantador accedió a su perfil de la Seguridad Social y se descargó su vida laboral. Con los datos obtenidos del citado documento y con el DNI sustraído se solicitó y se entregó al delincuente una tarjeta de crédito de una entidad bancaria, siendo esta utilizada para generarle diversas deudas. El suplantador abrió varias cuentas falsas a nombre de la reclamante en tres entidades bancarias. La parte reclamante considera que la TGSS debería haberle notificado los cambios y actividades sospechosa realizadas en su perfil, ya que su mala gestión provocó el acceso indebido a los datos que tantos perjuicios le han ocasionado. Junto a la reclamación aporta certificado de empadronamiento, correos electrónicos intercambiados con la TGSS, y la denuncia formulada ante la policía junto a sus ampliaciones y documentación de las entidades bancarias a las que el suplantador se dirigió para solicitar en su nombre diversos productos financieros. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la TGSS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 26/11/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 23/12/2021 se recibe en esta Agencia escrito de respuesta. TERCERO: Con fecha 4 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Hechos según manifestaciones de la parte reclamante: El 27/05/2020 fue víctima de un hurto en el que le sustrajeron su documento de identidad (DNI), carnet de conducir y tarjetas de crédito. El 03/06/2021 intentó acceder a su perfil en la Seguridad Social, no pudiendo por no ser sus datos correctos. Posteriormente accedió mediante CL@VE y comprobó que alguien había modificado sus datos (Dirección, teléfono y e-mail) sin su consentimiento. Indica que la modificación se llevó a cabo mediante un formulario TA-1 mal cumplimentado en el que no solo se marcaron todas las opciones posibles (afiliación a la SS, obtener un nº de afiliación y cambiar los datos, siendo las dos primeras inválidas ya que está afiliada desde 2011), sino que no se encontraban cumplimentados campos básicos como la fecha, la nacionalidad, cuáles eran los datos a cambiar o el motivo del formulario. Además de estos obvios errores, no se adjuntó documentación acreditativa (Padrón, facturas, etc.), únicamente se adjuntó la copia del DNI que se le sustrajo y una firma que la reclamante indica que no es un trazo fluido, sino un calco de su DNI. Afirma que a pesar de todas estas incongruencias la TGSS aprobó el formulario mal rellenado y sin aportar la documentación necesaria. Según afirma, estos cambios permitieron que el suplantador accediera a su perfil de la Seguridad Social y descargase su vida laboral, que utilizó con el DNI sustraído para solicitar tarjetas de crédito y abrir cuentas bancarias a nombre de la reclamante en tres entidades bancarias. La reclamante considera que la mala gestión de la administración pública provocó el acceso indebido a los datos ocasionándole perjuicios. Fecha en la que tuvieron lugar los hechos reclamados: 12 de junio de 2020 (fecha de la modificación de los datos, facilitada por la TGSS). Documentación relevante aportada por la parte reclamante: denuncia formulada ante la policía y sus ampliaciones, que incluyen contestación de la TGSS con copia del formulario TA-1 presentado y copia del DNI aportado en la solicitud. ENTIDAD INVESTIGADA Durante las presentes actuaciones se ha investigado la siguiente entidad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 TESORERIA GENERAL DE LA SEGURIDAD SOCIAL con NIF Q2827003A con domicilio en CALLE DE LOS ASTROS, 5-7 - 28007 MADRID (MADRID). RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN CONSIDERACIONES PREVIAS. En las actuaciones de traslado de reclamación la TGSS informa que la solicitud que dio lugar a la modificación de datos se realizó el 12/06/2020 a través del Buzón de la Administración nº 28/25 de la Dirección Provincial de la TGSS de Madrid. La solicitud incluía un formulario TA-1 firmado y la fotocopia del DNI de la titular de los datos. Informan que en el momento de la petición, estos trámites se realizaban por dicho Buzón, ya que la presentación de solicitudes a través de “Te Ayudamos” no estaba operativa. Han informado que el funcionario que realizó el cambio de los citados datos no apreció falsificación en la firma del TA-1 adjuntado a la solicitud. De forma previa, los representantes de la TGSS han manifestado lo siguiente sobre la situación a fecha de los hechos: “Los hechos denunciados, concretamente la modificación de datos personales realizados en la Administración de Fuenlabrada (Administración 28/25), deben ser encuadrados dentro de un confinamiento domiciliario de la población española, regulado por el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19. Dicho primer confinamiento tuvo una duración de 100 días, entre el 15 de marzo y el 21 de junio de 2020. Realizándose de forma repentina y sin tiempo para que las Administraciones de la Tesorería General de la Seguridad Social pudiesen diseñar y organizar de una manera generalizada, coordinada y planificada unas directrices de actuación, y sin margen de reacción para conseguir una adecuada adaptación de medios materiales y programas y aplicaciones seguras de actuación para afrontar el teletrabajo, modalidad sin presencia significativa en el Organismo en esas fechas. Esto dentro de un clima de desconocimiento y aprensión por la situación sobrevenida con la Covid 19, que afectaba tanto a los funcionarios del Organismos como a la población en general y por lo tanto a los usuarios de la Seguridad Social, que demandaban poder realizar sus trámites con urgencia. Se generó un clima de colapso que aumentaba con el paso de los días y la acumulación de llamadas, solicitudes de atención, trámites a realizar, y la falta de medios para dar respuesta a todo ello. En muchos casos los funcionarios daban respuesta a esta situación con dispositivos electrónicos propios y muchas horas de trabajo en sus domicilios pues las Administraciones estaban cerradas a causa del confinamiento.” UNO. En las presentes actuaciones de investigación se ha solicitado aportar una descripción detallada del procedimiento de atención de solicitudes recibidas por medio del buzón corporativo, a fecha 12 de junio de 2020, incluyendo acreditación documental del procedimiento seguido para la identificación de las personas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 solicitaban trámites a través de dicho buzón, donde consten todos los controles establecidos sobre la acreditación de la identidad de los solicitantes a fecha 12 de junio de 2020, incluidas las comprobaciones sobre los datos plasmados en el formulario por el solicitante. Se ha pedido aportar copia de las instrucciones facilitadas a los gestores de los trámites a este respecto. Los representantes de la TGSS han manifestado que al no poder realizar atención presencial, método por el que se prestaba atención a un elevado número de usuarios en las Administraciones, como consecuencia del estado de alarma y el cierre de las oficinas, en una primera fase se admitieron de manera provisional solicitudes de trámites a través del Buzón corporativo de las propias administraciones, si bien se requería aportar siempre copia del DNI y formulario de solicitud del trámite requerido firmado por el solicitante. Indican que tras detectar que por esta vía de entrada se recibían cada vez con mayor frecuencia solicitudes de modificación de datos personales de dudosa procedencia y para minimizar el riesgo de fallos en la verificación de la identidad de los solicitantes se hicieron recomendaciones a las Direcciones Provinciales para que dichos buzones corporativos se utilizaran exclusivamente para uso interno y comunicación con Organismos oficiales. Aportan copia del Protocolo “Nuevo Modelo de Atención al Ciudadano” “Te Ayudamos”. Se verifica que es fecha 1 de julio de 2020 ( posterior a los hechos). En él, sobre la verificación de la identidad del usuario se cita: “Uno de los aspectos clave del nuevo modelo de atención es la verificación del usuario como paso previo a la realización de cualquier trámite. De manera provisional, esta verificación se llevará a cabo mediante una serie de preguntas de fácil contraste por el funcionario, que puedan asegurar la identidad del solicitante. Se está trabajando en la búsqueda de métodos de autenticación alternativos que, de una manera fiable y rápida, puedan mejorar el proceso de verificación de la identidad.” En el punto 5.A. Comunicación y variación de datos de contacto, se cita : “Si el ciudadano comunica sus datos de contacto por primera vez o solicita su modificación, se verificará su identidad. Como fórmula de comprobación general, el interesado deberá facilitar los datos originales que desea cambiar. Dado que los datos de contacto, tanto móvil como domicilio, permiten acceder a la obtención de informes, así como la realización de gestiones en la Sede Electrónica, es necesario tener especial precaución al realizar el cambio. Por este motivo, una vez realizadas las verificaciones anteriores, se exigirá el envío nuevamente a través del formulario de atención, si no ha sido remitida previamente, de documentación que acredite la certeza del nuevo dato. En el caso del teléfono, podrá requerirse una factura, u otro documento en el que conste esta información. En el caso del domicilio, se podría solicitar un certificado de empadronamiento, contrato de alquiler, facturas…” No se aporta documentación acreditativa de la existencia de instrucciones giradas a los gestores de cómo proceder a la identificación para los trámites solicitados a través del buzón ( a fecha de los hechos reclamados). Solo aportan el documento citado, de fecha posterior (01/07/2020) sobre el nuevo modelo de atención al ciudadano. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Informan que el seguimiento del protocolo no pudo evitar algunos casos de suplantación de identidad en los que, aportándose la fotocopia de un DNI sustraído u obtenido de cualquier otra manera, el presunto suplantador solicitaba por correo electrónico la modificación de sus datos personales, como ha sucedido en el presente supuesto objeto de reclamación: una persona hizo llegar al buzón corporativo de la Administración de Fuenlabrada de esta TGSS un correo acompañado de dos archivos “JPG” que contenían el modelo de solicitud TA1 y la copia del DNI. Declaran que dentro del procedimiento establecido, si se observaba alguna discrepancia o inexactitud en los documentos aportados, el funcionario se ponía en contacto con el solicitante bien por llamada telefónica o por correo electrónico, como indican ocurrió en este caso. Se comprueba que aportan copia de un correo electrónico de fecha 12/06/2020 dirigido a la solicitante pidiendo la aclaración del trámite solicitado. En el texto del correo se lee: “Buenos días, tras intentar ponernos en contacto por teléfono varias veces y no contestar, le requiero datos claros del domicilio, localidad y código postal, así como qué es lo que solicita (ya tiene número de afiliación) “. Insisten en que se trataba de una situación excepcional que supuso dificultades máximas para la tramitación de las variaciones de datos comunicadas por los ciudadanos que no disponían del canal presencial para ser atendidos y tampoco de un certificado digital para interactuar de forma directa con la administración desde su ordenador. El objetivo de esta medida era poder dar solución a la multitud de solicitudes presentadas por medios telemáticos sin identificación medio de Certificado Digital o Cl@ve, en atención a que muchos ciudadanos aún no disponían de ellos y tenían muy complicada su obtención debido al estado de alarma y al confinamiento. Manifiestan que en este periodo inicial (14 de marzo a 30 de junio) se realizaban, en los casos en que se consideraba necesario, una serie de preguntas de fácil contraste para el funcionario a la vista de los datos de que disponía para comprobar la identidad del solicitante, posteriormente se implantó la obligatoriedad de verificar la identidad del solicitante en todo caso y se implementaron más medidas preventivas de control, tales como no permitir la solicitud de variación de datos personales a través de los Buzones corporativos, siendo necesaria su tramitación por medio del buzón de consultas de la web y formularios. Remiten a este respecto al punto 2.3 “Vías de Entrada de la solicitud de atención” del citado documento “Nuevo Modelo de Atención al Ciudadano” “Te Ayudamos” de fecha 1 de julio de 2020, cuya copia aportan. Se verifica que en el punto 2.3.3. se cita: “Tal y como se ha señalado en diferentes comunicaciones, no se recomienda publicitar buzones de correo provinciales como vía de entrada de solicitudes de atención, debiendo priorizarse el uso del formulario de atención del servicio Te Ayudamos, que será recibido en los buzones que han sido comunicados para las diferentes categorías por la Dirección Provincial.” Se comprueba que el trámite “Comunicación y variación de datos de contacto / Domicilio” se encuentra en la vía de entrada “Formulario de atención del Servicio Te Ayudamos”. DOS. Se ha requerido copia de la solicitud recibida el 12 de junio de 2020, que tuvo entrada a través del Buzón de la Administración nº 28/25, a nombre de la afectada. Se pide toda la documentación que se aportó, incluyendo copia del formulario TA-1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 firmado y copia de la fotocopia del DNI, así como Impresión que acredite el detalle de los trámites realizados a resultas de dicha solicitud, tanto la modificación de los datos citada, como en su caso la facilitación de documentos al solicitante (vida laboral, etc.) y documentación acreditativa del detalle de las comprobaciones concretas sobre la identidad del solicitante que se realizaron en este caso. Aportan copia de los documentos que fueron facilitados por el solicitante de los cambios, (formulario TA-1 firmado y copia del DNI). Como se ha indicado, los representantes de la TGSS manifiestan que no se apreció por el funcionario que lo resuelve discordancia entre las firmas de ambos, y que intentó en varias ocasiones contactar con la interesada por teléfono y le envió correo electrónico ya citado pidiendo aclaraciones del trámite solicitado. Informan que finalmente el usuario de la Administración de Fuenlabrada anotó en el Fichero General de Afiliación la modificación de datos solicitada, lo que queda reflejado en el informe facilitado por la Gerencia de Informática de la Seguridad Social en el que se detallan los valores modificados – entre ellos el número de móvil – y la fecha y hora de la modificación cuya copia aportan. TRES. Al comprobar por parte de esta Inspección de Datos el formulario TA-1 disponible en Internet (sitio web www.seg-social.

  1. es)y la información relativa a las normas de su cumplimentación y documentación requerida, se comprueba que la información facilitada sobre protección de datos hace referencia a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por lo que se ha requerido aportar el procedimiento establecido de información sobre Protección de Datos a los solicitantes de trámites, que utilizan para ello formularios tales como el TA-1 que se utilizó en este caso. Los representantes de la TGSS reconocen a este respecto que quedan modelos y formularios en los que todavía no se ha implementado la actualización de la información básica relativa al tratamiento de datos personales afectado en cada procedimiento. Indican que para la TGSS, como responsable de un número apreciable de tratamientos, está siendo costoso adoptar la fórmula oportuna ya que hay procedimientos y servicios en sede electrónica híbridos que están afectados o afectan a más de un tratamiento de datos personales. Indican así mismo que no es el caso de los modelos “TA” que afectan al tratamiento “AFILIACIÓN” y no habría problema para haber procedido a una actualización con la fórmula correcta de información básica, en seguimiento de la guía publicada por esa Agencia. Por ello han solicitado de nuevo a las unidades responsables de los respectivos procedimientos y servicios web la actualización inmediata de los formularios que, como bien señalan, contienen alguna mención a la derogada normativa en materia de protección de datos y no se adaptan a los criterios reflejados en su Guía para el cumplimiento del deber de informar. Por parte de esta Inspección de Datos se ha obtenido el modelo TA-1 disponible en la web www.seg-social.es descargándose en formato PDF que se incorpora mediante diligencia a las presentes actuaciones de inspección, incluyendo sus instrucciones de cumplimentación, comprobándose que consta la siguiente leyenda informativa de protección de datos a fecha 31/03/2022 y 27/04/2022: “PROTECCIÓN DE DATOS.- A los efectos previstos en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre (B.O.E. del 14-12-1999), de Protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 Datos de Carácter Personal, se le informa que los datos consignados en el presente modelo serán incorporados al Fichero General de Afiliación, regulado por la Orden de 27-07-1994. Respecto de los citados datos podrá ejercitar los derechos de acceso, rectificación y cancelación, en los términos previstos en la indicada Ley Orgánica 15/1999.” Se comprueba que se indica, en las instrucciones para cumplimentar el modelo, que la documentación que debe aportar con la solicitud es el Documento identificativo: D.N.I., Tarjeta de Extranjero o Pasaporte y en su caso certificado acreditativo del grado de discapacidad. Se comprueba que existen unas casillas vacías en el propio modelo TA-1 donde se pueden consignar hasta 6 documentos adjuntos, no encontrándose más información o instrucciones sobre los documentos que se deben adjuntar para cada trámite, ni en concreto para el trámite de cambio de teléfono o dirección. CONCLUSIONES Los hechos ocurren el día 12/06/2020, durante el estado de alarma (14/03/2020 – 21/06/2020). Los representantes de la TGSS alegan (de forma resumida) que los hechos deben ser encuadrados dentro de un confinamiento domiciliario de la población española, repentino, sin tiempo para la adaptación, las administraciones cerradas y con colapso en sus trámites con demanda urgente. En este marco se tramitaron solicitudes de ciudadanos recibidas en los buzones corporativos, entre ellas la del supuesto suplantador de la reclamante. Los controles establecidos para la identificación de las personas que solicitaban trámites a través de dicho buzón, a fecha de los hechos, eran la aportación del formulario firmado (en este caso el modelo TA-1), aportación de copia del documento de identidad y si se observaba alguna discrepancia o inexactitud en los documentos aportados, el funcionario se ponía en contacto con el solicitante bien por llamada telefónica o por correo electrónico. La TGSS reconoce que no se pudieron evitar casos de suplantación de identidad cuando se aportaba copia del DNI, como el presente caso. Posteriormente se implementaron más medidas preventivas de control, tales como no permitir la solicitud de variación de datos personales a través de los Buzones corporativos. Se ha solicitado acreditación documental del procedimiento seguido para la identificación de las personas que solicitaban trámites a través del buzón corporativo, no habiendo sido aportada. Tampoco se aporta documentación acreditativa de la existencia de instrucciones giradas a los gestores de cómo proceder a la identificación para los trámites solicitados a través del buzón (a fecha de los hechos reclamados). Solo aportan un documento, de fecha posterior (01/07/2020), con el nuevo modelo de atención al ciudadano. La información sobre protección de datos en el formulario TA-1 hace referencia a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a fecha 27/04/2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 QUINTO: Con fecha 7 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la TGSS, por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SEXTO: Con fecha 08/06/2022 queda notificado el citado acuerdo de inicio, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la TGSS. El artículo 64.2.
  2. f)de la LPACAP -disposición de la que se informó a la TGSS en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la TGSS y la sanción que podría imponerse. Por ello, tomando en consideración que la TGSS no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que en fecha 27/05/2020, la parte reclamante denunció haber sido fue víctima de un hurto en el que le sustrajeron su DNI, carnet de conducir y tarjetas de crédito. La denuncia se presentó ante la Dirección General de la Policía del Departamento de Interior de la Generalitat de Cataluña. SEGUNDO: Consta acreditado que, con fecha de 12 de junio de 2020, tuvo entrada a través del Buzón de la Administración n º 28/25 de la Dirección Provincial de la TGSS de Madrid, una solicitud de cambio de teléfono móvil, correo electrónico y dirección postal de la parte reclamante, junto con el formulario TA - 1 firmado y su fotocopia del DNI. El funcionario de la TGSS actuante en el cambio de los citados datos identificativos no apreció falsificación en la firma del TA1 adjuntado a la solicitud, por lo que procedió al cambio solicitado. TERCERO: Consta acreditado que con fecha 15 de junio de 2020, a través de la Sede Electrónica de la Seguridad Social, se accedió al informe de vida laboral de la parte reclamante. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Artículo 5.1.
  4. f)del RGPD Se imputa a la TGSS la comisión de una infracción del artículo 5.1.
  5. f)del RGPD. El artículo 5.1.
  6. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso consta que los datos personales de la parte reclamante, obrantes en la base de datos de la TGSS, fueron indebidamente expuestos a un tercero, puesto que, al poder descargarse el documento de la vida laboral, tuvo conocimiento de los mismos procediendo a alterar algunos de ellos, tales como la dirección de correo electrónico y el número de teléfono, sustituyéndolos por otros. III Tipificación de la infracción del artículo 5.1.
  8. f)del RGPD El artículo 83.5 del RGPD bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Sanción por la infracción del artículo 5.1.
  11. f)del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  12. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Artículo 32 del RGPD Se imputa a la TGSS la comisión de una infracción del artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  13. a)la seudonimización y el cifrado de datos personales;
  14. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  15. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  16. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, la TGSS no contaba con las medidas adecuadas para impedir que se produjera un incidente como el que se examina en el presente expediente, dado que al no poder realizar atención presencial, método por el que se prestaba atención a un elevado número de usuarios en las Administraciones, como consecuencia del estado de alarma y el cierre de las oficinas, en una primera fase se admitieron de manera provisional solicitudes de trámites a través del Buzón corporativo de las propias administraciones. VI Tipificación de la infracción del artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 El artículo 83.4 del RGPD bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  17. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  18. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.
  19. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) VII Sanción por la infracción del artículo 32 del RGPD El articulo 83 apartado 7 del RGPD dispone lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14
  20. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, con NIF Q2827003A, por una infracción del Artículo 5.1.
  21. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. IMPONER a TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, con NIF Q2827003A, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a TESORERIA GENERAL DE LA SEGURIDAD SOCIAL. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.