← España

PS-00237-2022

1/10 Expediente N.º: PS/00237/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 20 de mayo de 2021, la Subdirección General de Inspección de Datos (SGID) recibió para su valoración un escrito de notificación de brecha de seguridad de los datos personales remitido por CONSEJERIA EDUCACION ASTURIAS con NIF S3333001J (en adelante, CEA), recibido en fecha 10/05/2022, en el que informa a la Agencia Española de Protección de Datos de lo siguiente: La Consejería de Educación ha sufrido una violación de la seguridad que ha permitido la obtención ilícita de un documento PDF, correspondiente a la asignación de aspirantes a cada tribunal, con los datos personales básicos (nombres y apellidos, DNI, especialidad educativa, tribunal asignado y tipo de acceso) de los/as aspirantes que se presentaron al procedimiento selectivo del cuerpo de profesores de enseñanza secundaria por la especialidad Geografía e Historia, y circula por grupos de aplicaciones de mensajería y redes sociales. 705 afectados Se trata de una brecha de confidencialidad en la que el listado, cuyo uso debiera haber estado limitado a los tribunales del procedimiento por ser necesario para cumplir sus obligaciones, ha sido depositado en una localización insegura y accesible a terceros. Junto a la notificación se aporta una nota informativa del incidente. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la CEA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25/02/2022, como consta en el acuse de recibo que obra en el expediente. Con fecha 23/03/2022 se recibe en esta Agencia un escrito, en el que no se da respuesta a ninguno de los puntos que se indican en el requerimiento de información, tales como: descripción detallada y cronológica de los hechos ocurridos, especificación detallada de las causas que han hecho posible la brecha, medidas de seguridad implantadas con anterioridad a la incidencia de seguridad, medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido etc. En el escrito recibido de la CEA indican que aportan: 1-Informe de la D.G. de Personal Docente. 2-Anexo I: Documentación entregada a los órganos de selección: Documento sobre Protección de Datos Personales. 3-Anexo II: Documentación entregada a los órganos de selección: Deber de confidencialidad, registro de incidencias, y notas informativas. Se constata que el documento 1, Informe de la D.G. de Personal Docente, no se ha adjuntado. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales (en adelante brecha): 10 de mayo de 2021, por parte del responsable del tratamiento (en adelante RESPONSABLE o entidad notificante). Fecha de detección de la brecha: 07/05/2021. Número de afectados según notificación: 705 Tipología de los datos según notificación: 705 Indican que han comunicado la brecha a los afectados. ENTIDAD INVESTIGADA Durante las presentes actuaciones se ha investigado la siguiente entidad: CONSEJERIA EDUCACION ASTURIAS con NIF S3333001J con domicilio en PLAZA ESPAÑA, NUM 5 - 33007 OVIEDO (ASTURIAS) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Respecto de la empresa La entidad notificante es un Organismo Público de nacionalidad española. No se han encontrado en Sigrid expedientes anteriores al presente con relación a brechas de esta entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 Se ha solicitado información y documentación a la entidad notificante, y de la respuesta recibida se desprende lo siguiente: Se hizo requerimiento de información (“Solic. info brecha”, Nº de registro O00007128s2200013369), al cual el responsable respondió (Nº de registro REGAGE22e00008779275) con el adjunto “Documentos anexos_(S).pdf” como único documento con contenido de información. Dicho documento solo contiene lo que parece una presentación con medidas de seguridad a tener en cuenta por los usuarios de los sistemas de información, pero dicho documento ni da respuesta ni es acorde con el informe solicitado. Uno de los documentos (“Comunicación.pdf”) contenidos en dicha respuesta indica que se adjunta un “Informe de la D.G. de Personal Docente”. Como dicho documento no se encuentra entre los adjuntos, se procede a comunicarle esto al DPD de la Consejería vía correo electrónico (según consta en el documento “Diligencia” adjunto a este expediente). El mismo día 28/03/2022 (Nº de registro de entrada REGAGE22e00009702691) la Consejería reenvía exactamente la misma documentación que había enviado en su respuesta inicial, con lo cual no puede sacarse una conclusión relativa a esta investigación. CONCLUSIONES: No se ha podido constatar que las medidas de seguridad fueran adecuadas porque no han contestado a los requerimientos con la información requerida. CUARTO: Con fecha 13 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.

  1. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD. Notificado el citado acuerdo de inicio, la CEA presentó escrito de alegaciones en el que, en síntesis, manifestaba que el día 23 de marzo de 2022 se remitió toda la documentación, incluido el informe cuya omisión se advierte. Así figura en la justificación del registro que acompañan, que relaciona, entre otros, el documento “informe”. El 28 de marzo de 2022, a petición de la AEPD se reitera el envío de la documentación, que incluye el documento informe, tal como acredita resguardo justificativo del registro que anexan a sus alegaciones. Si bien la citada documentación no se presenta en la sede electrónica de la AEPD, sí consta registrada en los registros oficiales entendiendo por tanto que la Consejería de Educación remitió en tiempo y forma la información solicitada, por lo que la CEA entiende que no procedería la apertura de expediente sancionador alguno. -A este respecto, esta Agencia informa de que la apertura del presente Procedimiento Sancionador no se debió al hecho de no haber recibido un determinado documento, sino al hecho de haber tenido conocimiento de que, por parte de la CEA, se había producido una vulneración de la normativa reguladora de la Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 puesto que, tal como se pudo constatar, los datos personales de aspirantes que se presentaron al proceso selectivo del cuerpo de profesores de enseñanza secundaria habían quedado expuestos a terceros no autorizados, al haberse publicado tanto en redes sociales como a través de aplicaciones de mensajería. Asimismo, se constata que, por parte de la CEA, no se habían adoptado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que hubieran impedido que el incidente de seguridad tuviese lugar. QUINTO: Con fecha 30 de mayo de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se imponga a CONSEJERIA EDUCACION ASTURIAS, con NIF S3333001J: Por una infracción del Artículo 5.1.
  2. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. Por una infracción del Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una sanción de apercibimiento. SEXTO: Notificada la propuesta de resolución con fecha 30/05/2022, no consta que se hayan presentado nuevas alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes HECHOS PROBADOS PRIMERO: Consta acreditado que el 07/05/2021, la CEA sufrió un incidente de seguridad, categorizado como una brecha de confidencialidad, al haberse publicado en redes sociales y a través de aplicaciones de mensajería, un documento en el que constan datos personales de aspirantes que se presentaron al proceso selectivo del cuerpo de profesores de enseñanza secundaria, tales como nombre, apellidos, DNI, especialidad educativa, Tribunal asignado y tipo de acceso. SEGUNDO: Consta acreditado que, en el momento de producirse la brecha, la CEA no había adoptado medidas apropiadas y suficientes para evitar un incidente como el que tuvo lugar. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Artículo 5.1.
  3. f)del RGPD El artículo 5.1.
  4. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de los afectados, obrantes en la base de datos de la CEA, fueron indebidamente expuestos a un tercero, puesto que se recogieron en un documento con formato PDF y se publicaron tanto en redes sociales como a través de aplicaciones de mensajería. III Tipificación de la infracción del artículo 5.1.
  6. f)del RGPD La infracción se tipifica en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  7. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  8. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Sanción por la infracción del artículo 5.1.
  9. f)del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  10. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” V Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  11. a)la seudonimización y el cifrado de datos personales;
  12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, la CEA no había adoptado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, pues si bien, como precisan en su informe: “(…) aparecen asociados nombres y apellidos junto a números de DNI completos, no siendo necesaria en esta fase. No obstante, es preciso destacar que necesariamente esta ha de presentarse en este formato en actas oficiales de calificación, convocatorias y otro tipo de informes que no son objeto de información pública, como parte del expediente administrativo que debe ser conformado por los tribunales, por lo que el riesgo siempre existirá (…)” no hay que olvidar lo que indica el RGPD en su considerando 28: “La aplicación de la seudonimización a los datos personales puede reducir los riesgos para los interesados afectados y ayudar a los responsables y a los encargados del tratamiento a cumplir sus obligaciones de protección de los datos” VI Tipificación de la infracción del artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 La infracción se tipifica en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  15. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  16. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…) VII Sanción por la infracción del artículo 32 del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10
  17. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la CONSEJERIA EDUCACION ASTURIAS, con NIF S3333001J, por una infracción del Artículo 5.1.
  18. f)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. IMPONER a la CONSEJERIA EDUCACION ASTURIAS, con NIF S3333001J, por una infracción del Artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a CONSEJERIA EDUCACION ASTURIAS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  19. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.