← España

PS-00318-2013

1/30 Procedimiento Nº PS/00318/2013 RESOLUCIÓN: R/03379/2017 En el procedimiento sancionador PS/00318/2013, instruido por la Agencia Española de Protección de Datos a D.D.D., y a B.B.B., vista la denuncia presentada por E.E.E., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 25 de junio de 2012 tiene entrada en esta Agencia un escrito E.E.E., Concejal Delegado de Personal, Servicio Generales, Organización, Contratación y compras del Excmo. Ayuntamiento de ***LOCALIDAD.1, en adelante EL CONCEJAL, en el que notifica a la Agencia que el 14 de junio de 2012 se procedió a la apertura de una incidencia de seguridad debida a la existencia de informes técnicos que concluían la posibilidad de accesos indebidos o legítimos en el sistema informático municipal que podrían haber afectado a datos de carácter personal. El escrito adjunta copia de un informe emitido el 20 de junio de 2012 por el Director Técnico del Centro de Proceso de Datos del Ayuntamiento. El informe describe varios ataques informáticos ocurridos el 31 de mayo de 2012 que aprovecharon vulnerabilidades del sistema para acceder sin autorización para ello a datos económicos (nóminas y retenciones del IRPF) del personal del Ayuntamiento de ***LOCALIDAD.1, en adelante EL AYUNTAMIENTO, y las medidas adoptadas para evitar dichos accesos no autorizados. Con fecha de 25 de junio de 2012 tiene entrada en esta Agencia un escrito D.D.D., en adelante EL DENUNCIANTE, en el que manifiesta lo siguiente: 1 “El Ayuntamiento de ***LOCALIDAD.1 publicó en Internet dos aplicaciones para visualizar recibos de nóminas y certificados de retenciones sin las medias de seguridad adecuadas, de modo que esos datos y otros han estado expuestos durante aproximadamente dos meses.” 2 Al ser descubierta la vulnerabilidad por funcionarios municipales el 31 de mayo de 2012, se dio cuenta verbalmente y por SMS al CONCEJAL, a pesar de lo cual y dado que los datos seguían expuestos, se insistió el 4 de junio, momento en el que las aplicaciones dejaron de estar operativas. 3 Los funcionarios que informaron de los hechos remitieron un escrito explicando lo sucedido en el que se solicitaba que se abriera un incidente de seguridad y se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/30 informara tanto a los afectados como a la Agencia Española de Protección de Datos. 4 A lo largo del mes de junio aparecieron en distintos medios de comunicación noticias que informaban sobre un ataque sufrido por la red municipal 5 Los hechos no han sido puestos en conocimiento de los afectados. 6 Entienden que los ficheros afectados deberían tener un nivel de seguridad alto por contener, entre otros, datos de afiliación sindical, y por ello no se encuentran correctamente inscritos en el Registro General de Protección de Datos. La denuncia aporta copia del escrito citado en el punto 3 que fue presentado el 5 de junio de 2012 por EL DENUNCIANTE, como Subdirector de Soporte del Centro de Proceso de Datos, por F.F.F., como Subdirector de Recursos Lógicos Corporativos y por B.B.B., como antiguo Director Técnico del Centro de Proceso de Datos, en adelante EL EXDIRECTOR, cargo que ostentó hasta el 14 de junio de 2011. Con fecha de 17 de julio de 2012 tiene entrada en esta Agencia un escrito del Secretario General del SINDICATO INDEPENDIENTE DE LA POLICIA LOCAL DE ***LOCALIDAD.1, en adelante EL SINDICATO, en el que manifiesta que han recibido una copia del escrito citado en el párrafo precedente y que en base a lo descrito en él sus afiliados pueden haberse visto afectados y entienden que pudiera haberse cometido un incumplimiento de las obligaciones por parte del responsable de seguridad del AYUNTAMIENTO DE ***LOCALIDAD.1. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se practican diligencias, teniendo conocimiento de que: 1 En el Registro General de Protección de Datos consta un fichero denominado “NOMINAS” en el que EL AYUNTAMIENTO consta como responsable. El fichero tiene declaradas un nivel medio de medidas de seguridad. 2 Durante la inspección llevada a cabo al AYUNTAMIENTO el 29 de octubre de 2012, los representantes de la entidad manifestaron que: 2.1. En el mes de abril de 2012 se puso en marcha un sistema de consulta de nóminas y certificados de retenciones de IRPF con el fin de eliminar la práctica de remitir una copia en papel de cada documento a los empleados del AYUNTAMIENTO. 2.2. El sistema fue desarrollado utilizando un entorno diseñado personalmente por EL EXDIRECTOR que incluye un programa denominado simcgi.exe, que permite a través de distintas plantillas acceder a los documentos almacenados en el gestor documental del AYUNTAMIENTO. 2.3. El sistema, que utiliza certificados digitales de la Fábrica Nacional de Moneda y Timbre para identificar a los usuarios, permite la consulta documentos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/30 formato PDF que contienen las nóminas y de los certificados de retenciones del IRPF de los empleados del AYUNTAMIENTO. Los documentos en cuestión, que son generados por otros sistemas, son almacenados en el gestor documental del AYUNTAMIENTO y accedidos por este sistema. 2.4. El sistema fue diseñado para permitir el acceso al mismo desde la red del propio AYUNTAMIENTO pero también desde fuera de ésta ya que existen determinados colectivos de funcionarios que por sus funciones no disponen de un equipo informático en el AYUNTAMIENTO al que puedan acceder con facilidad. Los documentos contienen los siguientes datos de carácter personal:  Datos identificativos  Datos del puesto de trabajo  Datos económicos relativos a la nómina  Código de cuenta de abono 2.5. El 31 de mayo de 2012, a las 11:59 horas se pone en producción una modificación del sistema destinada a agrupar las nóminas de forma que pudiesen ordenar por meses y facilitar su consulta. Aproximadamente a las 20:00 horas el Concejal Delegado recibió un SMS remitido por el anterior Director del CPD del AYUNTAMIENTO en el que se le notificaba una vulnerabilidad existente en la aplicación y una URL que lo probaba. 2.6. Con el fin de evitar accesos utilizando esa función “sacanomina” el viernes día 1 de junio de 2012 se realizaron varias modificaciones, entre las que se encuentra el cambio del nombre de la función. 2.7. El lunes 4 de junio se detectó otra vulnerabilidad, en este caso una URL del sistema que permitía igualmente acceso a documentos de usuarios del sistema, con el agravante en este caso de que no era necesario estar previamente identificado. A pesar de ello los accesos se produjeron tras ser identificados los usuarios. 2.8. Ante la aparición de la nueva vulnerabilidad, se toma la decisión de parar el sistema. El sistema se encuentra fuera de servicio actualmente, siendo las nóminas y certificados remitidos a los funcionarios en formato papel. 2.9. Cuando EL EXDIRECTOR fue cesado, se le asigno aun puesto de trabajo en una entidad pública adscrita al AYUNTAMIENTO pero a pesar de ello en el momento de los hechos su puesto de trabajo estaba ubicado en el CPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/30 EL EXDIRECTOR, por razón de su cargo y como parte de las personas que debían de ser notificadas, conocía el procedimiento de notificación de incidencias pero no lo siguió. En ningún momento fue notificado ni el Responsable de Seguridad ni el actual Director del CPD, a pesar de que EL EXDIRECTOR se encontraba físicamente en el mismo departamento. Las vulnerabilidades con eran conocidas por el AYUNTAMIENTO debido a que el EXDIRECTOR nunca documento el programa “simcig.exe” ni las plantillas “sacanomina” y “doc2”que se utilizaron para acceder a los datos. 2.10. El análisis de los registros de actividad del sistema llevó al AYUNTAMIENTO a la conclusión de que había sufrido un ataque informático, hecho que fue incluido el 14 de junio en el registro de incidencias de la entidad y el 18 de junio fue notificado a la fiscalía por si ésta entendiese que los hechos ocurridos son constitutivos de delito. A pesar de que se trasladaron los hechos a la Dirección de Personal para que tomaran las acciones disciplinarias que entendiesen oportunas con respecto al anterior Director del CPD, se optó por esperar a la decisión de la fiscalía para tomar una decisión definitiva. 2.11. Consultado el anterior Director del CPD sobre el motivo de los numerosos accesos irregulares éste manifiesta que únicamente está realizando su trabajo al evidenciar las carencias en materia de seguridad de los sistemas del AYUNTAMIENTO. 2.12. El AYUNTAMIENTO no informó a los funcionarios afectados. 2.13. El AYUNTAMIENTO notificó los hechos a la Fiscalía Provincial de ***LOCALIDAD.1 el 18 de junio de 2012. A la fecha de la inspección (29 de octubre de 2012) EL AYUNTAMIENTO no había recibido notificación alguna de la fiscalía pero con fecha 6 de febrero de 2013 diversos medios de comunicación informaban sobre la presentación por parte de la Fiscalía Provincial de ***LOCALIDAD.1 de una querella por revelación de secreto contra quienes, por sus siglas y sus cargos parecen ser EL EXDIRECTOR y EL DENUNCIANTE. 3 Tras los incidentes del 31 de mayo y 1 de junio, EL AYUNTAMIENTO trató de obtener del EXDIRECTOR información sobre distintos sistemas de información. Siendo los primeros intentos infructuosos al negarse EL EXDIRECTOR a ser notificado (según declaración de dos funcionarios) finalmente se le notifica la solicitud de información. En escrito remitido por EL EXDIRECTOR el 10 de septiembre de 2012 al Excmo. Sr. Alcalde de ***LOCALIDAD.1 le informa de que, no siendo parte del Centro de Proceso de Datos (CPD) se le está solicitando una información, tarea que no está C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/30 incluida en sus atribuciones, que debe de encontrarse en posesión el citado CPD por lo que desestima el requerimiento. Respecto de las vulnerabilidades que permitieron los accesos irregulares 4 De los documentos y los registros de actividad aportados por EL AYUNTAMIENTO de deduce que existían al menos dos URL (direcciones electrónicas) que permitieron el acceso irregular a los datos. El formato de las URL era: 5 ***URL.1 ***URL.2 Para poder obtener información mediante cualquiera de las dos URL el usuario debe de haberse identificado previamente mediante un certificado digital. Añadiendo a la primera de las URL un identificador de usuario, un número de cuatro dígitos que puede ser consultado en la Intranet del AYUNTAMIENTO, se accedía al menú que permite consultar las nóminas del usuario. Añadiendo a la segunda de las URL un identificador (un número de uso interno del gestor documental), un número de 7 dígitos sin vinculación evidente con el usuario al que está asociado el documento, se accedía a uno de los documentos almacenados en el gestor de contenidos del AYUNTAMIENTO. 6 Las URL no accedidas no eran mostradas por el sistema a los usuarios en sus navegadores, sino que eran accedidas de forma interna. 7 Si bien es cierto que para efectuar los accesos no autorizados descritos en esta investigación es necesario tener conocimientos sobre el funcionamiento del sistema, a juicio del Subinspector actuante, las vulnerabilidades descritas podrían haberse eliminado incluso en dicho caso modificando la configuración y el diseño del sistema tal y como se describe a continuación: 7.1. Configurando el sistema de forma que los accesos a las URL descritas únicamente pudiesen ser realizados desde las direcciones IP del servidor o servidores que dan servicio al AYUNTAMIENTO y no desde cualquier otra dirección IP. 7.2. Diseñando el sistema de forma que cada vez que el servidor recibiese una petición como las descritas en el punto 4: 7.2.1. Se verificase que la nómina o el certificado de retenciones solicitado pertenece al usuario que se autenticó (URL del punto 4.1). De esa forma, si un usuario con código 1003, remite al servidor una URL en la que el identificador de usuario es 2001, el sistema debería de responder con un mensaje de error. Para poder hacerlo se podría comparar el “número de instancia” (NI, denominación del identificador de usuario utilizado en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/30 AYUNTAMIENTO) con el usuario pasado en la URL y rechazar aquellas peticiones que no coincidan. Como quiera que el valor de NI almacenado en la cookie podría ser alterador por quien trata de acceder ilícitamente a las nóminas, podría almacenarse en el servidor, junto con el identificador de la sesión, el usuario para el que la sesión es válida. De esa forma se compararían dos valores almacenados en el servidor sobre los que un eventual atacante no podría interactuar. 7.2.2. Se verificase que el usuario autenticado tiene permisos para ver el documento solicitado (URL del punto 4.2). Respecto de los accesos irregulares 8 Todos los accesos irregulares se produjeron entre los días 31 de mayo y 4 de junio de 2012. 9 Se ha constatado que usando las vulnerabilidades descritas tanto el EXDIRECTOR como el DENUNCIANTE accedieron reiteradamente a nóminas y certificados de retenciones de otros trabajadores del AYUNTAMIENTO DE ***LOCALIDAD.1. Los accesos irregulares de este tipo comienzan desde de la propia red del AYUNTAMIENTO, pero la mayor parte de ellos son realizados desde direcciones IP externas a éste. El AYUNTAMIENTO manifiesta que el certificado del EXDIRECTOR se utilizó para acceder al sistema el 31 de mayo de 2012 desde dos direcciones IP, la J.J.J. y la K.K.K.. El proveedor de acceso a Internet que tiene asignada la dirección IP K.K.K. confirmó que el EXDIRECTOR es el titular de la línea que tuvo asignada la dirección IP durante los hechos. Desde esas dos direcciones IP se accedió a 83 nóminas o certificados de retenciones de 7 usuarios distintos. El AYUNTAMIENTO manifiesta que el certificado del DENUNCIANTE se utilizó para acceder al sistema desde la dirección IP M.M.M.. El proveedor de acceso a Internet que tiene asignada la dirección IP M.M.M. confirmó que EL DENUNCIANTE es el titular de la línea que tuvo asignada la dirección IP durante los hechos. Desde esa dirección IP se accedió a 18 nóminas y un certificado de retenciones de 3 usuarios distintos. El AYUNTAMIENTO manifiesta que el certificado del DENUNCIANTE se utilizó para acceder al sistema el 4 de junio de 2012 desde la dirección IP L.L.L.. Desde esa dirección IP se accedió a 130 documentos y un certificado de retenciones de 3 usuarios distintos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/30 10 El día 31 de mayo, entre las 17:16 y las 17:22, desde la dirección IP I.I.I. se accedió a 16 nóminas o certificados de retenciones de 5 usuarios distintos. El proveedor de acceso a Internet que tiene asignada la dirección IP I.I.I. confirmó que Dña. C.C.C. es la titular de la línea que tuvo asignada la dirección IP durante los hechos. TERCERO: Con fecha de 12/06/2013, el Director de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador a D.D.D., y a B.B.B. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por las presuntas infracciones del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/30 CUARTO: Con fecha de 19/06/2013 por el Instructor del Procedimiento se solicitó información al Juzgado de Instrucción nº 1 de ***LOCALIDAD.1 en referencia a las Diligencias Previas ***DILIGENCIAS.1, por un presunto delito de descubrimiento y revelación de secretos por funcionario público. QUINTO: Con fecha de 26/06/2013 el Director de la Agencia Española de Protección de datos acordó suspender el procedimiento sancionador de acuerdo con lo dispuesto en el art. 7 del Real Decreto 1398/1993, de 4 de agosto. SEXTO: Mediante escrito de 11/03/2014 por el denunciado, B.B.B., se presente escrito de alegaciones, en el que manifestaba, en síntesis, lo siguiente: No ha sido notificado el acuerdo de inicio del procedimiento, si en cambio el de suspensión. Las personas presentes en la inspección realizada manifestaron hechos que no se ajustan a la verdad, debiendo realizase las siguientes aclaraciones respecto de lo contenido en el Acta de Inspección, y después en el Acuerdo de Inicio del procedimiento: Registro de aplicaciones: los empleados municipales presentes en la inspección ocultan que las aplicaciones que se publicaron sin las debidas medidas de seguridad operan sobre ficheros físicos diferentes y que el sistema de Información Municipal ( SIM) donde se almacenaban los datos, tenía aplicaciones defectuosas que no cumplían el requisito de registro de accesos. Información contenida en recibos de nómina: se ocultó que contienen datos sobre afiliación sindical y posiblemente otras circunstancias intimas y especialmente protegidas de los empleados municipales. Proyecto de visor de nómina. La aplicación estaba diseñada para su explotación en el entorno SIM, nunca a través del interfaz de usuario habitual en cualquier navegador web. Se publicó en internet y se eliminó una cautela relativa a impedir su uso fuera de SIM, y además no se protegía el historial de navegación. Cuando tuve conocimiento de tal circunstancia comunique la necesidad de proteger adecuadamente los activos de información implicados. No colabore en la decisión final de la publicación en internet, circunstancia ocultada tanto por el Director Técnico como el Subdirector de Administración electrónica. No es cierto que hubiera desconocimiento del modo de operar del programa SIM: la causa de la vulnerabilidad es la existencia de URLS invocadas desde el cliente que debían ser protegidas. Vulnerabilidad “sacanomina”. La url sacanomina es invocable desde el cliente pero no accede a datos de carácter personal y, por tanto, no muestra información sensible. Existen 3 urls vulnerables doc, doc2 y la que produce documentos pdf, las dos primeras devuelven un documento xml visualizado a través de reglas xslt. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/30 Responsabilidad. La ignorancia de las características de la aplicación es imputable a quienes se encargaron de su puesta en marcha tanto en internet como en intranet. En la fecha de los hechos estoy ubicado en el CPD y dependo directamente de la Autoridad Competente y no del Director del CPD, cuando tengo conocimiento del problema informo al Delegado del Alcalde para estos asuntos manifestando que la peor consecuencia es que las urls que acceden a datos personales quedan registradas en el historial de navegación. Como no dependía del Director del CPD, no atiendo la petición del código del programa SIM, pues ya dispone de él y que debe hacer efectiva la funcionaria encargad de su custodia, por lo que son otras motivaciones las que tiene el Director al realizarme dicho requerimiento. Incidente de Seguridad. Por el personal municipal en el Incidente de seguridad 1/2012 se considera que éste es la advertencia de las vulnerabilidades (las comprobaciones) y no su causa ( la no disposición de medidas de seguridad adecuadas). No se produjeron “ataques” sino que accedí a la información como funcionario público, informático, encargado del tratamiento, y con autorización para acceder y tratar masivamente datos de toda índole en el ejercicio de potestades públicas. El acceso para acreditar la naturaleza de los problemas de seguridad no puede constituirse un acceso irregular. Se observó el deber de sigilo y se utilizaron métodos para disociar la información de carácter personal: visualización de datos identificativos a los efectos de determinar la amplitud del problema. Avise del problema y no es hasta el 4 de junio cuando se inmovilizo la aplicación. Procedimiento del incidente de seguridad. Se arguye que debería haber advertido al Responsable de Seguridad. Sin que conozca disposición que lo determine, habiéndolo comunicado al Alcalde que ostenta la máxima representación. Siendo el Responable de Seguridad, partícipe en el problema al omitir las medidas de seguridad a toda la aplicación SIM, así como las faltas de verificación antes de la puesta en marcha en internet. Intervención del denunciado. En el Acta de inspección figura que se realizaron consultas a mi persona cuando no es cierto. No se intervino por mi persona en la inspección. Hechos que la AEPD considera acreditados y que son incorrectos, siendo adecuados a la verdad los siguientes:  Sacanomina no muestra datos de carácter personal.  Las URLS vulnerables eran accesibles a través de HTTP y no se necesitaba certificado digital. Del lado del servidor no se dispuso de código que verificase la existencia de sesión activa y por ende la identificación de usuario.  Las URLS vulnerables no solo eran accedidas internamente, sino que eran visibles tanto en el historial de navegación como a través de herramientas de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/30  No era necesario tener conocimiento del sistema para explotar la vulnerabilidad, pues a través del historial de navegación se podía acceder indiscriminadamente a datos personales y a los documentos de la base documental del SIM.  El registro de accesos hubiese sido suficiente para proteger información confidencial, por eso esta en todas las aplicaciones SIM, pero las aplicaciones vulnerables explotan datos SIM pero no son aplicaciones SIM. Accesos entre el 31 de mayo y 4 de junio. Efectivamente se realizaron esos accesos con identificación, ejerciendo funciones del cargo como funcionario municipal activo, informático y encargado por el propio Ayuntamiento del tratamiento de datos personales. En ese momento ni disponía de medios ni autoridad suficiente para encargarme personalmente de ello, ni recibí dicho encargo. No es hasta el día 6 de junio cuando el Subdirector de Administración Electrónica solicito la colaboración y se solucionó el problema. Interpretación del art. 46 de la LOPD. La AEPD obvia la condición de funcionario que está sometido al régimen disciplinario. La responsabilidad de lo ocurrido es de los empleados públicos responsables en la toma de decisiones o en la elaboración de programas defectuosos, Director Técnico del CPD, Subdirector de Administración Electrónica, Responsable de Seguridad, Responsable de Asesoría Jurídica, Coordinador General del Área y el Concejal Delegado. SEPTIMO: Con fecha de 13/06/2017 por el Instructor del Procedimiento se requirió información a la Audiencia Provincial de ***LOCALIDAD.1 Sección Segunda aportando ésta la Sentencia núm. ***SENTENCIA.1 de 17/05/2017. OCTAVO: Con fecha de 31/07/2017 por la Directora de la Agencia Española de Protección de Datos, se acordó el levantamiento de la suspensión del procedimiento. NOVENO: Con fecha de 11/10/2017 se incorporó al presente expediente sancionador, la documentación aportada por el Ayuntamiento de ***LOCALIDAD.1 en fecha de 10/07/2013 en el Procedimiento de Declaración de Infracción AP/00025/2013, que contenía, en síntesis, las siguientes afirmaciones en relación con los hechos valorados: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/30 Primera. EL ayuntamiento actuó con la máxima diligencia inmediatamente despeas de serles comunicadas por el Teniente de Alcalde Delegado, mediante las actuaciones llevadas a cabo durante los días 1 y 4 de junio de 2012. Pese no haber cumplido los autores del ataque el procedimiento de comunicación de indecencias establecido en el Documento de Seguridad, del que eran plenamente conocedores, además de obviar al Director Técnico del cPD y al Responsable de Seguridad CPD y tras modificar el indio empleado en el ataque, pasando desde el programa sacanomina al doc2. Pese no estar autorizados para el empleo de ninguno por no participar en el proyecto en el momento de los hechos, ni haber documentado las citadas vulnerabilidades de las que el Ayto no era conocedor ni podía prever, como queda dicho en el Informe del Director Técnico del CPD de 20/06/2012, mucho menos aun cuando el sistema de acceso a nóminas y certificados de IRPF quería certificados digitales de la FNMT que presuntamente dotaba de medidas de seguridad. Todo lo cual no es impedimento para la producción de un hecho de difícil previsión como es que fue el propio personal municipal el que violento el sistema, en concreto el responsable de la seguridad de dicho sistema informático. Realizando el Ayto las actuaciones pertinentes tras lo ocurrido, por lo que fue impecable la actuación municipal. Segunda. El ayto no solo no era conocedor de las vulnerabilidades existentes, sino que no fueron atendidos sus requerimientos a unos de los denunciantes para la detección de las mismas. El exdirector del CPD no documento tampoco las mismas. El Director Tecnico del cPD requirió a B.B.B. por escrito de fecha 18/06/2012 para la remisión de información sobre el funcionamiento del sistema, y fue rehusada en fecha de 21/06/2012 y finalmente tras un nuevo requerimiento formulado por el responsable de Seguridad del CPD fue objeto de una respuesta evasiva en fecha de 11/07/2012. Tercera. No se comunicó a los afectados por el ataque, para no ocasionar alarma social. Se denuncia ante la Fiscalia y se puso a disposición del Juzgado de Instrucción la información de la que se disponía cuando fue requerido para ello. Cuarta. Errores subsanables en el Acuerdo de Incoación el AP/00025/2013(…) deben considerarse correctos: La fecha de cese de B.B.B. como Director del CPD, es 14/06/2011. La fecha correcta de cambio de nombre de la función “saca nomina” es 31/05/2011 a las 20,50h. El día 5 de junio de corrigió la segunda vulnerabilidad ( doc/doc) mediante cifrado y encriptación, pero se vieron nuevas vulnerabilidades y otras amenazas (…)y se optó por retirarla hasta que todo tuviera plenas garantías. La validación de la nómina con el usuario identificado no era posible con la configuración entonces existente, ya que en la base de datos documental no se guardaba ese dato y, por tanto, no se podía cotejar el mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/30 Los accesos desde la IP L.L.L. se realizaron con el certificado del exdirector. Para cuya clarificación se acompaña tabla resumen de los accesos efectuados desde las IPs, con identificación de los certificados de acceso DÉCIMO: Dentro del periodo probatorio, por el Instructor del Procedimiento se acordó incorporar al expediente y dar por reproducida la siguiente documentación: I II III IV La documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/04838/2012. Las alegaciones al acuerdo de inicio del procedimiento PS/00318/2013 presentadas por D. G.G.G.. La Sentencia de la Audiencia Provincial de ***LOCALIDAD.1 de la Sección Segunda núm. ***SENTENCIA.1 de 17/05/2017. Los escritos del Ayuntamiento de ***LOCALIDAD.1 de fechas 10/07/2013 y 05/09/2017 aportados al procedimiento AP/000025/2013. UNDÉCIMO: En fecha de 13/11/2017, por el Instructor del Procedimiento se emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos, se sancionara a B.B.B. y a D.D.D., como responsables de la comisión de la infracción del artículo 6 de la LOPD. DUODÉCIMO: En fecha de 5/12/2017 por B.B.B., se presentó escrito de alegaciones a la propuesta de resolución, en el que manifestaba, en síntesis lo siguiente: A Sobre los hechos probados de la sentencia de la Audiencia Provincial de ***LOCALIDAD.1 de ***SENTENCIA.1 de 17/05/2017 debe resaltarse los siguientes que son relevantes para el presente procedimiento: Se recoge en la citada resolución que se expuso la información en INTERNET en una fuente de acceso público. Se pone de manifiesto la condición de funcionario público como “analista de aplicaciones, funcionario municipal de carrera…” La finalidad de la actuación del suscribiente, era restaurar la legalidad comprometida por la exposición de la aplicación sin las debidas medidas de seguridad, remitiéndose a los hechos probados 8 a 13 de la Sentencia. Que por haber alertado el suscribiente a la autoridad competente se solucionó el problema de seguridad el día 4/06/2012. Los accesos fueron realizados a través de una fuente de acceso público con el objeto de comprobar la realidad de la exposición y que dicha comprobación se hacía en el ejercicio de funciones propias del cargo que ostentaba. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/30 B Infracción del art. 3 LOPD por encontrarse expuestos los datos en internet. Ausencia de tipicidad. En el presente caso, al ser accesibles los datos a través de fuentes de acceso público – medios de comunicación- hacen inexigible el consentimiento que requiere el art. 6 de la LOPD. La exposición en internet hace inexigible dicho consentimiento. Esta circunstancia es indiscutible, es decir, no era un recurso interno del ayuntamiento. C Infracción de los arts. 43.2 y 46.2 LOPD por la ausencia de consideración del fichero de administración pública y el carácter de funcionario público en el ejercicio de sus funciones del inculpado. El servicio informático del ayuntamiento es de carácter permanente como consta en el documento aportado como informe del servicio informático del Ayuntamiento de 21/11/2017, el ejercicio de competencias ha sido reconocido por el propio ayuntamiento al retirar la acusación en el proceso penal y como atestigua el nombramiento del suscribiente en el puesto de Director Técnico del CPTD, es decir, el máximo responsable técnico de la unidad que se ocupa de las tecnologías de la información. La citada corporación ha reconoció mediante informe de fecha 14/12/2016 la improcedencia de las denuncias penal y administrativa y la procedencia de su retirada. D Otras infracciones del procedimiento determinantes de nulidad de pleno derecho o anulabilidad del mismo. 1.- Infracción del art. 24.2 CE en cuanto al derecho de audiencia y defensa tanto en actuaciones inspectoras como en el procedimiento sancionador. Durante la inspección realizada se omitió cualquier información de contraste a la aportada por los entonces funcionarios responsables de seguridad informática y del CPD, que están siendo investigados como posibles autores de diversos delitos en las Diligencias Previas nº ***DILIGENCIAS.2 según consta en el Auto del Juzgado de Instrucción nº 6 de ***LOCALIDAD.1. Se ha asumido por la AEPD el relato que aquellos hicieron durante la inspección y tal relato ha sido desacreditado en el proceso penal concluido con la Sentencia firme absolutoria. Asimismo nunca se dio conocimiento de las actuaciones inspectoras ni del procedimiento hasta el día 27/11/2017 que no puede sanar la indefensión material ya producida y padecida desde hace mucho. La conducta de los Sres., A.A.A. y P.P.P. que participaron en la Inspección de la AEPD, está siendo investigada en las Diligencias Previas nº ***DILIGENCIAS.2 en el Juzgado de Instrucción nº 6 de ***LOCALIDAD.1, por los presuntos delitos de descubrimiento y revelación de secretos, falsedad en documento público y estafa procesal como consecuencia de denuncia presentada por el suscribiente, lo que debería de determinar al menos la suspensión del presente procedimiento sancionador por la concurrencia de prejudicialidad penal, de acuerdo con los arts. 133 LPAC y 10.2 LOPJ. 2.- Violación del derecho fundamental al secreto de las comunicaciones del art. 18.2 CE tanto en las actuaciones municipales como de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/30 La identificación de las IPs y el uso torticero de patrones de actividad por parte del Ayuntamiento, junto con la invocación del art. 40 LOPD, de la potestad inspectora, sobrepasa lo dispuesto en el art. 18 CE, ya que la información recabada solo puede accederse y utilizarse en procedimientos en que es objeto de inspección quien la suministra, nunca en otros procesos. En esos casos es requerida la autorización judicial que aquí no existe. 3.- Infracción del art. 31 LPAC y de la jurisprudencia sobre el interesado en procedimientos sancionadores. El traslado de información al denunciante, el Sr. E.E.E. constituye una cesión ilegal de datos y de la jurisprudencia en cuanto a que el único interesado en el procedimiento sancionador es el presunto inculpado y nunca el denunciante, especialmente cuando el denunciante ha hecho uso ilegitimo de tal información en medios de comunicaciones. Solicita el archivo de las actuaciones y subsidiariamente la suspensión del procedimiento hasta que se resuelvan las Diligencias Previas nº ***DILIGENCIAS.2. DECIMOTERCERO: En fecha de 5/12/2017, por D.D.D. se presenta escrito de alegaciones a la propuesta de resolución, en idénticos términos que los manifestados por B.B.B., reseñados en el apartado anterior de la presente resolución al que se hace la oportuna remisión. DECIMOCUARTO: En fecha de 6/12/2017 por D.D.D. se presentó segundo escrito de alegaciones a la propuesta de resolución, en el que manifestaba, en síntesis, lo siguiente: El Ayuntamiento no incluyo en la inscripción en el Registro General de Ficheros de la AEPD, los datos especialmente protegidos como es la afiliación sindical. El cambio de nombre de la función que se cita en el punto 6.2 de los antecedentes, significa de la permanencia de una puerta trasera, con conocimiento de la organización municipal, que permite explorar la base de datos documental sin restricciones de ningún tipo. Respecto de lo contenido en el punto 2.7 de los antecedentes, debe indicarse que la vulnerabilidad SACANOMINA, tampoco se obliga a la utilización de un certificado valido de la FNMT y al igual que la otra vulnerabilidad DOC y DC2, podía explotarse sin necesidad de protocolo seguir ni certificado electrónico. Respecto de lo contenido en el punto 2.9 de los antecedentes, respecto de la no notificación a los responsables, debe indicarse que tal incumplimiento seria también exigible a todos los demás citados ya que ninguno lo comunico al Responsable de Seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/30 Respecto de lo contenido en el punto 4 de los antecedentes, debe indicarse tal como consta en el folio 42 del expediente, ni se utilizaba un protocolo seguro ni era necesaria la identificación mediante certificado digital. Hecho especialmente grave puesto que permite la difusión a través de toda la red de la información intercambiada entre cliente y servidor. Respecto de lo contenido en el punto 8 de los antecedentes, donde se afirma que desde la dirección IP M.M.M. se accedió 18 nóminas y un certificado de retenciones de 3 usuarios distintos, no se ha comprobado quienes eran los usuarios ni si existía consentimiento, ya que la mayor parte de las nóminas consultadas fueron de quien hacia las comprobaciones. Igualmente en se dice los accesos desde la dirección IP L.L.L. que se contradicen con la página 85 del expediente. Respecto del Hecho Probado Segundo y del Fundamento de Derecho II de la propuesta de resolución, se desprende que se ha llegado a la conclusión de que el mantenimiento de las aplicaciones en uso del Ayuntamiento de ***LOCALIDAD.1 no incluye la comprobación de su correcto funcionamiento también desde la perspectiva de la seguridad de dicha aplicación, lo cual no tiene soporte alguno. Asimismo se ignora por el instructor que la característica del puesto de personal informático municipal, y de Subdirector de Soporte incluye la plena de dedicación que permite el trabajo remoto, en ocasiones a través de protocolos seguros tipo VPN, pero que en este caso no eran necesarios, puesto que la información fue realizada en un medio de comunicación como es internet. DECIMOQUINTO: de las actuaciones practicadas han resultado acreditados los siguientes HECHOS PROBADOS UNO.- B.B.B., fue Director Técnico del CPD del Ayuntamiento de ***LOCALIDAD.1, hasta que fue cesado en fecha de 14/07/2011 quedando adscrito a la Agencia Tributaria Municipal, si bien desde el mes de febrero de 2012 se encontraba de nuevo en las dependencias del CPD, aunque adscrito orgánicamente a la citada Agencia, con la función genérica de coordinación entre el Servicio de Información Municipal SIM y la Agencia. DOS.- D.D.D., fue Subdirector de Soporte del CPD desde el 18/04/2008 hasta que fue cesado en fecha de 2/07/2012, por modificación de la RPT, y fusión de dos subdirecciones en una, cuya función era el mantenimiento de las aplicaciones informáticas en uso del Ayuntamiento. TRES.- En febrero del año 2012, el nuevo Director del CPD, encomendó a sus subordinados (Sr. N.N.N. y Sra. H.H.H.) el desarrollo del programa denominado “Visor de nóminas” para adaptar su uso a funcionarios municipales a través de internet. Dicho programa fue inicialmente desarrollado por B.B.B. para su utilización en la red intranet de la citada corporación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/30 CUATRO.- El Sr. N.N.N. solicito y obtuvo la autorización de B.B.B., para la utilización del programa desarrollado por éste siendo advertido por éste de que se necesitaban implantar las correspondientes medidas de seguridad para su explotación en internet. CINCO.- El programa se puso en explotación en internet en marzo de 2012 y en abril del mismo año se adaptó para la consulta de certificados de retención de IRPF de los empleados públicos. SEIS.- en la mañana del día 31/05/2012 el Sr. N.N.N. consultó a B.B.B. algunas cuestiones técnicas del programa, realizando éste diversas modificaciones, pese a no encontrarse adscrito al proyecto de adaptación, y advirtió la posibilidad de que la aplicación tuviera déficit de seguridad. SIETE.- Sobre el mediodía de esa fecha, B.B.B., desde su ordenador del CPD, comprobó que tras acceder a la aplicación identificándose con certificado digital, podía acceder a la URL que utilizaba la expresión “sacanomina” en la que, cambiando el parámetro del número de empleado, era posible ver recibos de nómina de cualquier funcionario municipal y comprobó que era posible la navegación a través de protocolos no seguros. Dicha circunstancia la comunico a D.D.D. ubicado a pocos metros de su puesto de trabajo. OCHO.- B.B.B., no comunico en ese momento los hechos, ni al Director Técnico del CPD, ni al Subdirector de Administración Electrónica, ni al Responsable de Seguridad, pese a que se encontraban en la sede del CPD. Conocía el procedimiento de notificación de incidencias pero no lo siguió. Asimismo tampoco documento las vulnerabilidades. NUEVE.- Por la tarde de esa fecha, B.B.B., tras hablar por teléfono con el Concejal responsable del Área, al Sr. E.E.E., le envió un SMS informando del problema, y éste reenvió dicho SMS al, al Coordinador de Servicios, Director Técnico del CPD y éste a su vez al Subdirector de Administración electrónica, que cambio el parámetro sacanomina y user, estimo que el problema estaba resuelto. El día siguiente 1 de junio, el Subdirector de Administración electrónica realizo otras modificaciones en la aplicación. DIEZ.- D.D.D. en la tarde noche del día 31/05/2012, desde su domicilio personal, realizó cinco accesos a la aplicación utilizando el parámetro sacanomina verificando que era posible acceder a nóminas de otro empleados. ONCE.- Esa misma tarde/noche desde su domicilio personal, B.B.B., comprobó que usando los parámetros “doc/dos2” se podía acceder a toda la documentación del SIM, y que a través de consultar el historial de navegación era posible la recuperación de documentos, comunicándolo a D.D.D. quien realizo varias pruebas, cambiando el número de documento en la URL. DOCE.- Durante el fin de semana del 2 y 3 de junio B.B.B., continúo realizando desde su domicilio personal, numerosos accesos a la aplicación y consultando documentos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/30 TRECE.- Tras los incidentes del 31 de mayo y 1 de junio, EL AYUNTAMIENTO trató de obtener de B.B.B. como Exdirector del CPD- información sobre distintos sistemas de información. Siendo los primeros intentos infructuosos al negarse éste a ser notificado (según declaración de dos funcionarios) finalmente se le notifica la solicitud de información. En escrito remitido por B.B.B. el 10 de septiembre de 2012 al Alcalde de ***LOCALIDAD.1 le informa de que, no siendo parte del Centro de Proceso de Datos (CPD) se le está solicitando una información, tarea que no está incluida en sus atribuciones, que debe de encontrarse en posesión el citado CPD por lo que desestima el requerimiento. Cita que desde su cese, sus funciones son: (…) funciones relacionadas con la unificación de los sistemas informáticos de la Agencia Tributaria y el ayuntamiento (…)(…)mis funciones actuales, meramente formales(…) excluyen la posibilidad de (…)que se relevante en el contexto del incidente de seguridad(…). CATORCE.- En las Actuaciones de Inspección Practicadas por la Agencia Española de Protección de Datos, se verificaron los siguientes accesos: I II III IV El certificado de B.B.B. se utilizó para acceder al sistema el 31/05/2012 desde dos direcciones IP, la J.J.J. y la K.K.K.., y se accedió a 83 nóminas o certificados de retenciones de 7 usuarios distintos. El certificado de D.D.D. se utilizó para acceder al sistema desde la dirección IP M.M.M. y se accedió a 18 nóminas y un certificado de retenciones de 3 usuarios distintos. El certificado de B.B.B. se utilizó para acceder al sistema el 4 de junio de 2012 desde la dirección IP L.L.L. y se accedió a 130 documentos y un certificado de retenciones de 3 usuarios distintos. El día 31 de mayo, entre las 17:16 y las 17:22, desde la dirección IP I.I.I. se accedió a 16 nóminas o certificados de retenciones de 5 usuarios distintos, confirmando el proveedor de acceso a internet, que Dña. C.C.C. era la titular de la línea que tuvo asignada la dirección IP durante los hechos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/30 II Establece la Disposición transitoria tercera bajo la rúbrica “Régimen transitorio de los procedimientos”, de la Ley 39/2015 de 1 de Octubre, que A los procedimientos ya iniciados antes de la entrada en vigor de la Ley no les será de aplicación la misma, rigiéndose por la normativa anterior. Por lo que en el presente procedimiento son de aplicación los preceptos de la derogada Ley 30/1992 de 26 de noviembre y del R.D 1389/1993 de 4 de agosto. III Establece el art. 7.3 del RD Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, vigente a la fecha de los hechos, establece lo siguiente: 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que substancien. En el presente caso se dictó de Sentencia de la Audiencia Provincial de ***LOCALIDAD.1 de la Sección Segunda núm. ***SENTENCIA.1 de fecha 17/05/2017, en la que resulta probado que los denunciantes procedieron a los accesos y en las circunstancias que recogen los Hechos Probados de la presente resolución UNO a TRECE. En las alegaciones formuladas a la propuesta de resolución, B.B.B., y D.D.D. manifiestan que en la actualidad se está tramitando otro procedimiento judicial, en fase de Instrucción – Auto de reapertura de diligencias previas - y que por tanto debería suspenderse el presente procedimiento, en base a que las personas que hicieron las manifestaciones que sirvieron de imputación en este procedimiento administrativo y en el otro procedimiento penal, están siendo investigadas como presuntas responsables de delitos de descubrimiento y revelación de secretos, falsedad en documento público y estafa procesal relacionados con los hechos aquí denunciados, y que dicha circunstancia implica la aplicación del art. 133 LRJPAC (…) No podrán sancionarse los hechos que hayan sido sancionados penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.(…) y la suspensión del presente procedimiento. Frente a ello debe insistirse en la vigencia de lo dispuesto en el art. 7.3 RD 1398/1993, de 4 de agosto, arriba transcrito y que se ha respetado escrupulosamente los hechos probados de la Sentencia nº ***SENTENCIA.1 – vinculación que por otra parte solicitan en reiteradas ocasiones los denunciados, y que es la única de la que es acreedora la instrucción del presente procedimiento-. Además, la Sentencia nº ***SENTENCIA.1 es una resolución respecto de la que ha de tenerse en cuenta su firmeza y las consecuencias que de ello se derivan. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/30 Tampoco puede equipararse a los efectos pretendidos por B.B.B., y D.D.D., una Sentencia firme, dictada tras los respectivos trámites procesales (fase de instrucción, fase de apertura de juicio oral, etc.,..) y con todas las garantías que se presuponen a la totalidad del proceso ( principios de inmediación, audiencia y contradicción), con el Auto de reapertura de Diligencias Previas dictado en fase de instrucción, tanto por su relevancia jurídica procesal como por cuestiones temporales, ya que el resultado de dichas diligencias de instrucción, puede acoger escenarios muy diversos inoponibles en la actualidad, pues obviamente no se conocen y que a lo sumo, si se estima la existencia de relación suficiente con los hechos aquí valorados, podrían matizar las implicaciones de B.B.B., y D.D.D. en los hechos recogidos en la Sentencia. Matización que debería ponerse en relación con la Sentencia nº ***SENTENCIA.1 a través de los cauces procesales que el ordenamiento jurídico pone a disposición del justiciable, y que exceden del ámbito del derecho administrativo sancionador, que es dónde sucede el presente procedimiento. Por lo que en ningún caso, el resultado que aquellas diligencias tengan (Diligencias Previas nº ***DILIGENCIAS.2), por propia lógica, pueden ser oponibles en la actualidad, pues el mismo es incierto y abarca diferentes posibilidades. Finalmente conviene indicar que el precepto invocado tampoco sería de aplicación, pues el art. 133 LRJPAC tiene por finalidad impedir que se sancione dos veces por los mismos hechos cuando se da la triple identidad de hechos, sujetos y fundamentos de derecho, y en el presente caso tanto B.B.B., y D.D.D. son las personas respecto de la que se está analizando aquí su conducta y en las citadas diligencias Previas de proceso penal, los investigados son otros, y el bien jurídico protegido podría exceder del aquí analizado, por lo que en modo alguno se aprecia la triple identidad que requiere el precepto. Por lo expuesto, las alegaciones referidas a la nueva suspensión del presente procedimiento sancionador por prejudicialidad penal han de ser desestimadas. IV Asimismo B.B.B., y D.D.D. en su escrito de alegaciones a la propuesta de resolución, aducen en primer término, la aplicación de lo dispuesto en el art. 3j de la LOPD en relación con el art. 6.2 de la LOPD, relativo a la no exigibilidad del consentimiento del interesado para el tratamiento de los datos personales, cuando estos figuren en fuentes accesibles al público, debiendo tener tal consideración la circunstancia de que los accesos se realizaron a través de internet, que según afirman es un medio de comunicación social. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/30 Considera el art. 3j de la LOPD lo siguiente:
  3. j)Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. Dicho lo anterior, debe partirse de que reiteradísima jurisprudencia nos señala que las fuentes accesibles al público son únicamente las recogidas en el citado precepto, numerus clausus, y en segundo lugar, que en ningún caso podrían tienen tal consideración las páginas web de internet como reiteradamente ha señalado esta Agencia tanto en sus resoluciones como en los informes del Servicio Jurídico. En este sentido, cabe citar a título de ejemplo, el Informe 3420/2008, que señala que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados. (…). Internet no es, a los efectos de la normativa de protección de datos y las excepciones a la exigencia del consentimiento, un “medio de comunicación”, sino un “canal de comunicación”, por lo que no puede considerarse fuente accesible al público. La red de internet se trata de un soporte y no, por definición, de un medio de contenidos, como podría ser prensa digital, tv digital, etc., que son los referidos en el artículo 20 de la Constitución, razón por la que el legislador quiso establecer en el art. 3
  4. j)de la LOPD el marco más adecuado, para la ponderación de ambos derechos fundamentales. Por lo expuesto, deben desestimarse las alegaciones referidas a la consideración del acceso a través de internet a los datos personales, como dispensa de la exigencia del consentimiento. En segundo término, se aportan diversos informes municipales, uno del servicio jurídico otro del servicio técnico informático, relativo a la improcedencia de la denuncia penal que dio origen a la Sentencia nº ***SENTENCIA.1 , y relativo a la permanencia en el tiempo de las funciones atribuidas al departamento de informática de la citada corporación, es decir a que los funcionarios dependientes de dicho departamento prestan servicio 365 días al año, con la finalidad de legitimar los accesos al sistema que se estima que vulneran la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/30 Frente a lo que hay que indicar de nuevo, la vinculación de los hechos probados en tan citada Sentencia, que de manera objetiva determina tanto el acaecimiento de los accesos – cuándo, cómo y desde dónde- como el puesto y funciones que B.B.B., y D.D.D., ostentaban en la fecha de los hechos analizados. Por ello, a los informes no pueden atribuírseles los efectos pretendidos ni materialmente pueden contradecir los dispuesto en los hechos probados, pues de ser esa la intención de B.B.B., y D.D.D. deberían haberse puesto de manifiesto y analizados en dicho procedimiento judicial, y en su caso, haberse apreciado en los hechos probados de la tan citada Sentencia, circunstancia que obviamente no ha ocurrido. Asimismo respecto de la alegación referida a que el procedimiento adecuado a derecho seria el previsto en el art. 46 de la LOPD, es decir el de infracción de administraciones públicas, por ser la responsable del fichero una administración Pública, debe indicarse en primer lugar, que de acuerdo con el art. 43 de la LOPD, están sujetos al régimen sancionador de la LOPD, no sólo los responsables de ficheros, sino también, los responsables de tratamiento. Figura en que se instituyen B.B.B., y D.D.D. respecto de los accesos realizados desde su domicilio, y en segundo lugar, que se ha incoado el procedimiento de Infracción de Administraciones Públicas AP/00025/2013 relacionado con los hechos aquí valorados, dónde se analiza, entre otras cuestiones, el cumplimiento de medidas de seguridad del sistema informático de la citada corporación. En tercer lugar, se alega la vulneración del Derecho al Secreto de las Comunicaciones constitucionalmente protegido en el artículo 18.3 de la CE, por haberse identificado por parte de la Agencia, las direcciones IPs desde las que se produce el acceso al sistema de información de la citada Corporación Local. El conocimiento de las direcciones IPs se tiene a través de la información que proporciona el propio ayuntamiento a esta Agencia durante las actuaciones de inspección, y por tanto, es uno de los participantes en la comunicación quien levanta el secreto. Es decir, la comunicación que ampara el precepto constitucional citado, se da en este caso, entre las “llamadas al servidor” que aloja la dirección web, que se hacen desde los equipos de los denunciados, es decir, para acceder a la web del ayuntamiento el servidor recibe una solicitud de acceso – a través de una determinada IP- y “contesta” proporcionando dicha información. Por tanto, es uno de los interlocutores de la comunicación producida en el acceso a la web quien levanta el secreto, al comunicar datos de esa comunicación como son las direcciones IPs desde las que se accedió al a información, a la Agencia Española de Protección de Datos, en el ejercicio de sus funciones ex art. 40 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/30 Por lo que siendo uno de los dos intervinientes en la comunicación quién habilita esta Agencia a conocer los accesos, durante la inspección realizada, debe entenderse levantado dicho secreto. En este sentido el Tribunal Constitucional en Sentencia 56/2003 de 24 de marzo admite “la posibilidad de que el secreto fuera levantado como consecuencia de la acción uno de los dos intervinientes en la comunicación, en cuyo caso, la revelación de la información referida a la misma, incluyendo los datos identificativos de las líneas llamante y conectada, dejaba de encontrarse protegido por el mencionado secreto” En el mismo sentido debe tenerse en cuenta lo dispuesto en el Informe de la Abogacía General del Estado de 182/08, que dispone que “…no es precisa autorización judicial para la obtención de los referidos datos cuando la Agencia Española de Protección de Datos inicie una investigación como consecuencia de denuncia en la que el interesado, titular del dato, que formula la queja, presta su consentimiento a la investigación”. En el presente caso se pone de manifiesto por del Ayuntamiento de ***LOCALIDAD.1, responsable del servidor que aloja la información, la vulneración de la seguridad del sistema y los accesos indebidos, lo que habilita a la Agencia a investigar esas conductas, para lo que es necesario acceder, entre otra a la información que el sistema proporciona como son las direcciones IP desde la que se ha recibido una llamada en su servidor, todo ello en consonancia con la potestad de inspección que recoge el art. 40 de la LOPD. A mayor abundamiento, respecto del secreto de las comunicaciones y la privacidad de las mismas, debe acudirse al parámetro de creación jurisprudencial denominado la “expectativa razonable de privacidad”, que analiza la invasión en los derechos fundamentales relacionados con las tecnologías de la información: En la STC 2907/2011, se habilita al empresario al acceso al correo electrónico corporativo de los trabajadores sin informar previamente, pues los medios tecnológicos y físicos puestos a disposición corresponde al empleador, cuestión que a priori parece alejada del presente caso, pero que sin embargo tiene estrecha relación, pues en la citada Sentencia se pone el acento los conceptos de juicio de idoneidad, necesidad y proporcionalidad, y pero sobre todo, el concepto de “expectativa razonable de privacidad”, que no puede tener aquel empleado que utiliza medios de la empresa para las comunicaciones por correo electrónico, como en aquel caso era el correo corporativo con el servidor de la empresa. En el presente caso, cualquier usuario de internet que accediera al servidor que aloja la página web del Ayuntamiento de ***LOCALIDAD.1, no puede pretender tener una expectativa de privacidad en lo referente a que dicho servidor no conozca la dirección IP desde la que se realiza “la llamada al servidor”, pues es el desarrollo normal de las comunicaciones en internet, más aun cuando B.B.B., y D.D.D. son informáticos y conocen obviamente la estructura de las comunicaciones en la red internet. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/30 Por lo que, como cualquier usuario, admitieron que la dirección IP desde la que se accede, sea conocida por el servidor que aloja la página web en cuestión a la que están accediendo. En cuarto lugar, se alega la vulneración del art. 24.2 de la Constitución, referente al derecho de audiencia y a la defensa, que entienden conculcado por no estar presentes en la inspección realizada en la corporación local y por no haber tenido la oportunidad de aportar información que pudiera contradecir, lo manifestado por los funcionarios municipales que estuvieron en la citada inspección y que respondieron a las preguntas de los inspectores de la Agencia. Debe partirse de la propia naturaleza de las actuaciones previas de inspección, que ni son consideradas procedimiento, ni a través de ellas se ejerce una potestad de gravamen – como la sancionadora- por parte de la administración actuante. Con reiterada jurisprudencia, cabe señalar que estas Actuaciones Previas de Inspección no forman parte del expediente sancionador, ya que no son propiamente expediente administrativo, sino antecedente del mismo (por todas, Sentencias del TS de 22 de febrero de 1985 [RJ 1985,502] o de 26 de mayo de 1987 [RJ, 1987,5850]. Con la Sentencia del TS de 13 de septiembre de 2002 (RJ 2002,8557) podemos decir que las actuaciones previas son el medio ordinario, habitual y ortodoxo desde el punto de vista legal de que dispone la administración para esclarecer hechos denunciados, constituyendo una garantía contra la precipitación en los casos en los que se considere preciso conocer datos y extremos de los hechos susceptibles de sanción. Sentado lo anterior, debe indicarse que en las actuaciones previas no rigen las reglas esenciales de los procedimientos, ni siquiera el principio de contradicción – que es el que se infiere entendido vulnerado por B.B.B., y D.D.D., que insisten en que no pudieron aportar información de contrario a la aportada por el ayuntamiento-, pues los derechos de defensa se satisfacen después, en el seno del procedimiento. Son pronunciamientos de esta doctrina, la STS de 16 de enero de 2004 (…) en modo alguno la realización de información reservada a afecta a derechos fundamentales del imputado toda vez que sus contenidos pueden ser sujetos a contradicción con posterioridad en el trámite de audiencia y en la sucesiva actividad probatoria.(…)no supone una fase inculpatoria en ningún sentido y sobre sus contenidos y conclusiones habrán de recaer las actuaciones probatorias que el instructor practique con otorgamiento de plenas garantáis de contradicción(…); y en el mismo sentido la STSJ de la Comunidad Valenciana de 23/05/2006, y la STSJ de Aragón de 28/7/2003. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/30 Incluso no rige, en estas actuaciones previas, el derecho a conocer la acusación, como explica la STS de 27/02/2003 a señalar que sólo surge (…)cuando el expediente lo permita por haber llegado a un momento en que las imputaciones puedan ya formularse con fundamento sólido. En el inicio de las actuaciones del expediente no siempre resultara posible determinar contra quien se dirigirán ulteriormente las acusaciones, de modo que los sucesivos tramites pueden continuarse sin la notificación de los cargos que tendrán, más adelante su momento procesal oportuno (…). Finalmente y a mayor abundamiento, ni si quiera es necesario que quién luego resulto sancionado hubiera estado presente en la práctica de las actuaciones previas, incluidas las de inspección, así lo determinan las STJ de Madrid de 2/10/1998; la STSJ de La Rioja de 2/09/1998 entre otras. En el presente caso, tanto B.B.B., y D.D.D., han tenido plenas garantáis del ejercicio del derecho de defensa, cuyas facultades se han concretado tanto en el conocimiento del contenido del expediente –uno cuando lo así lo ha solicitado y el otro incluso otro sin haberlo solicitado-, como en la formulación de alegaciones y aportación de pruebas que se han incorporado al elenco probatorio del expediente, junto con el Acta de la Inspección realizada por esta Agencia, y la Sentencia nº ***SENTENCIA.1 . Por ello no puede estimarse vulneración de su derecho de defensa ni apreciarse una situación de indefensión material en ninguno de ellos. En quinto lugar, se aduce la vulneración del art.- 31 de la LRJPAC y de la jurisprudencia relativa al concepto de interesado, por cuanto se ha producido una cesión de datos al Sr. E.E.E. – EL CONCEJAL- por cuanto se le ha dado traslado de lo actuado, sin consentimiento ni de B.B.B., y D.D.D.. Frente a ello debe indicarse que al Sr. E.E.E., como denunciante se le comunico, únicamente, el inicio de las actuaciones previas de inspección mediante carta de fecha 11/07/2012, y se le notificó el inicio del presente procedimiento, sin que se revelaran datos personales de B.B.B., y D.D.D., que no conociera por su condición de represente público de la citada corporación donde aquel y éstos prestaban sus servicios profesionales, asimismo debe tenerse en cuenta que tampoco se le ha proporcionado acceso al expediente. Por lo tanto no puede entenderse vulnerada la normativa de protección de datos personales en cuanto a los datos personales de B.B.B., y D.D.D.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/30 Finalmente, indicar respecto de las alegaciones formuladas por D.D.D. en su segundo escrito de alegaciones, que no tienen relevancia en lo antes señalado, pues únicamente pone el acento en la falta de medidas de seguridad que empleaba la tan citada corporación local en sus sistemas y respecto del hipotético consentimiento de los usuarios titulares de los certificados de IRPF a los que se accedió desde la dirección IP dónde se utilizó su certificado de firma electrónica, indicar que dicha circunstancia correspondería a éste acreditarla y que su conducta merecedora de reproche sancionador excede de la consulta de tres certificados de IRPF, sino que el simple acceso a recursos informáticos que contienen datos personales sin habilitación legal para ello, constituye el tratamiento de datos personales. Debiendo señalarse además que guarda silencio respecto de los accesos a 18 nóminas en una ocasión y en otra a 16 nóminas y a 5 certificados de IRPF de distintos usuarios. V En el presente caso, se atribuye a B.B.B., y D.D.D. la comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. En cuanto al concepto de tratamiento de datos personales, dispone el artículo 5 del RDLOPD que se considera como tal: cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Tal como consta en el relato de hechos probados, ha resultado que B.B.B., y D.D.D. accedieron a datos de carácter personal de terceros, dicha acción constituye tratamiento de datos de carácter personal. Respecto del consentimiento o habilitación legal que legitime dicho acceso, y sin perjuicio de lo recogido en el Fundamento de Derecho IV en el que se da respuesta a las alegaciones de ambos interesados, es preciso señalar lo siguiente: Respecto de D.D.D., que se acreditó que desde su domicilio particular realizó accesos al sistema de información del Ayuntamiento de ***LOCALIDAD.1, consultando documentos que contenían datos de carácter personal, es decir en el ejercicio de sus funciones públicas como funcionario de la citada corporación local. Así consta que en la tarde noche del día 31/05/2012, desde su domicilio personal, realizó cinco accesos a la aplicación utilizando el parámetro sacanomina verificando que era posible acceder a nóminas de otro empleados y que el certificado de D.D.D. se utilizó para acceder al sistema desde la dirección IP M.M.M. y se accedió a 18 nóminas y un certificado de retenciones de 3 usuarios distintos. Todos los accesos irregulares se produjeron entre los días 31 de mayo y 4 de junio de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/30 Ahora bien consta en los hechos probados que D.D.D., fue Subdirector de Soporte del CPD desde el 18/04/2008 hasta que fue cesado en fecha de 2/07/2012, por lo que los accesos al sistema se produjeron antes de su cese como Subdirector, consistiendo tales funciones según se recoge en la Sentencia de la Audiencia Provincial de ***LOCALIDAD.1, de 17 de mayo de 2017, en “el mantenimiento de todas las aplicaciones informáticas en producción (en uso) en el Ayuntamiento de ***LOCALIDAD.1”. Por todo ello, debe considerarse que el tratamiento de datos objeto de análisis, se efectuó por D.D.D. como usuario habilitado del sistema de información de consulta de nóminas y certificados de retenciones de IRPF del Ayuntamiento de ***LOCALIDAD.1, por tanto no puede ser considerado como responsable del tratamiento, por lo que procede archivar el procedimiento respecto del citado imputado. Sin embargo, respecto de B.B.B., no puede entenderse que su acceso se hizo al abrigo de funciones públicas que desarrollaba como funcionario de la citada corporación local, pues desde el 14/07/2011 prestaba servicios en la Agencia Tributaria cuyas funciones no estaban en relación con la seguridad del sistema informático del Ayuntamiento de ***LOCALIDAD.1. En los hechos probados de la Sentencia de la Audiencia Provincial de ***LOCALIDAD.1, resultó acreditado que tenía atribuida “la función genérica de coordinación entre el Servicio de Información Municipal SIM y la Agencia Tributaria”, asimismo el propio B.B.B. en su escrito de fecha de entrada en la citada corporación local de 10/09/2012, manifiesta que el incidente de seguridad está fuera del ámbito de su competencia y que ostenta funciones meramente formales. Dicha afirmación contradice las alegaciones que formula a la propuesta de resolución, así como los informes del servicio jurídico y del servicio informático aportados en las mismas que pretenden poner de manifiesto lo contrario. Consta como hechos probados en la Sentencia de la Audiencia Provincial de ***LOCALIDAD.1, de 17 de mayo de 2017, que B.B.B. pese a no encontrarse adscrito al proyecto de adaptación de la aplicación a Internet accedió a la aplicación, identificándose con su certificado digital, comprobando que era posible acceder a recibos de nómina de cualquier funcionario municipal; que el 31 de mayo de 2012 comprobó desde su domicilio que podía acceder a toda documentación del SIM y que durante el fin de semana del 2 y 3 de junio, continuó desde su domicilio realizando numerosos accesos a la aplicación, con consulta de numerosos documentos, a fin de comprobar si el problema se había solventado o si la aplicación había sido desactivada. Así las cosas, en este caso, el tratamiento de datos realizado por el denunciado, al efectuar las reiteradas consultas a los datos personales que obraban en el sistema, no encuentra su amparo en el ejercicio de sus funciones ni tampoco en otra circunstancia que legitime dicho tratamiento. No puede olvidarse que, de acuerdo con la definición de tratamiento de datos, recogida en la LOPD y en el RLOPD, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/30 considera como tal cualquier operación o procedimiento técnico, sea o no automatizado, que permita la consulta de datos, por lo que sólo resulta legítima dicha consulta si el tratamiento se ampara en alguna de las causas recogidas en el artículo 6 de la LOPD, lo que no concurre en este caso Así, por las fechas, ubicación, número de accesos y horarios de los mismos que se atribuyen a éste imputado, no pueden entenderse realizados ni en su condición de funcionario público en el ejercicio de sus funciones, ni menos aún como encargado de tratamiento del citado Ayuntamiento como alega en su escrito aportado al presente procedimiento. VI Por lo expuesto se considera que B.B.B., ha tratado datos de carácter personal, sin acreditar circunstancia que legitime dicho tratamiento, conducta que se encuentra tipificada como infracción grave en el artículo 44.3.
  5. b)de dicha norma que considera como tal Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. VII El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción.
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor.
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/30 siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el caso analizado, procede aplicar lo dispuesto en el art. 45.5 de la LOPD, en relación con su apartado a), ya que concurren significativamente varias circunstancias previstas en el apartado 4 del citado precepto, en concreto las previstas en las letras
  21. e)y g), y establecer la cuantía de las sanciones a imponer dentro del intervalo de las infracciones leves, que según el apartado 2 del art. 45 serán sancionadas con multa de 900 a 40.000 euros. Respecto de B.B.B. concurren, circunstancias que agravan el reproche sancionador como la prevista en el apartado
  22. b)en cuanto al volumen de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/30 tratados, pues se acreditan numerosos accesos y consulta de numerosos documentos tal como consta en el hecho probado Catorce, que no se encontraría justificados ni tan siquiera para verificar las vulnerabilidades del sistema. La circunstancia prevista en el apartado
  23. f)en cuanto al grado de intencionalidad, pues conocía sus funciones entre las que no estaban las relativas a incidentes de seguridad, así B.B.B., ni estaba adscrito al proyecto en cuestión, ni prestaba servicios al CPD, ni como el mismo señala, prestaba funciones relacionadas con lo sucedido- el mismo en su comunicación de fecha 10/09/2012 se desentiende de cualquier función profesional que se relaciones con el incidente de seguridad -. Asimismo no están justificados en ningún caso, los accesos realizados desde su domicilio particular, ni puede considerarse que exista diligencia, ni celo profesional, pues existía un protocolo de comunicación de incidentes de seguridad y el denunciado no siguió sus indicaciones. Además, debe analizarse, los supuestos previstos en las letras c),
  24. d)y j), todos en relación con los conocimientos del mismo en relación con los sistemas informáticos, su seguridad, y la adecuación a la LOPD de los procesos de tratamiento de datos personales que se derivan de su condición de ExDirector del CPD de la citada Corporación Local, lo que agrava el reproche sancionador, pues de dicha condición se deriva el conocimiento y la necesidad de seguir los protocolos de seguridad ante las vulnerabilidades del sistema, que no siguió, y entre los que obviamente no se encuentran los accesos desde su domicilio en las fechas indicadas, pues si la finalidad era restablecer la seguridad del sistema o impedir una brecha de seguridad del mismo, según se desprende del expediente, existían otros canales de actividad que servían a tal fin, que comienzan con la comunicación al por aquel entonces Director Técnico del CPD, al Subdirector de Administración Electrónica, o al Responsable de Seguridad. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento respecto de la infracción que se sigue contra D.D.D.. SEGUNDO: IMPONER a B.B.B., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
  25. b)de la LOPD, una multa de 4.000 € ( cuatro mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a D.D.D., y a B.B.B.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en CAIXABANK, S.A en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/30 será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo dispuesto en la Disposición transitoria tercera Régimen transitorio de los procedimientos apartado
  26. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los artículos 112 y 123 de la citada norma, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.