PS-00484-2016

1/21 Procedimiento Nº PS/00484/2016 RESOLUCIÓN: R/00713/2017 En el procedimiento sancionador PS/00484/2016, instruido por la Agencia Española de Protección de Datos a la entidad NUEVAS TECNOLOGIAS DE LA INFORMACION Y COMUNICACION S.L., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19 de octubre de 2015 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara: <<En el siguiente enlace de Internet: http://www.federaciondeservicios.org............ Aparece un listado con datos personales de numerosas personas que han solicitado diversos cursos organizados por la Federación de Servicios del sindicato UGT. Los datos personales publicados son: nombre y apellidos de los solicitantes; su número de teléfono; su nivel de estudios; su área, categoría y colectivo laboral; su condición de empleado o desempleado; su sector profesional; su número de la Seguridad Social; el nombre, CIF y domicilio de la empresa en la que trabajan. Adjunto la impresión de una captura de pantalla de ordenador con una parte del mencionado listado, en la que aparecen, entre los de otras personas, los datos personales del que firma este escrito.>> Aporta copia de la impresión de una página obtenida en la citada URL en la que figuran sus datos personales, SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la FEDERACIÓN REGIONAL DE SERVICIOS DE LA UGT (en lo sucesivo FES-UGT-MADRID), y a NUEVAS TECNOLOGIAS DE LA INFORMACION Y COMUNICACION S.L. (en lo sucesivo NTIC), teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de investigación E/07067/2015 que se transcribe: “ACTUACIONES PREVIAS 1. Mediante diligencia de fecha 2 de diciembre de 2015 se ha podido comprobar que, efectivamente, dicha página figura publicada y disponible, encontrándose que se publican 14 páginas de datos personales consistentes en el nombre completo, DNI, nivel de estudios, y curso solicitado. 2. Solicitada información a la Federación de Servicios del sindicato UGT, informa que el sitio web www.federaciondeservicios.org no es de su responsabilidad, sino que el responsable es la FEDERACIÓN REGIONAL DE SERVICIOS DE LA UGT (FRS). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 3. Solicitada información a la FRS, de la información aportada manifiesta la entidad: <<Los datos estuvieron alojados en una zona de acceso limitado a los Usuarios de nuestro Fichero de Datos Personales denominado “FORMACIÓN”, para lo que era necesaria la introducción del “ID de usuario” y “contraseña” que cada uno de ellos tenía asignada. Dicha zona web era utilizada por el personal de FES-MADRID para acceder a la información de los solicitantes a fin gestionar las pre-inscripciones a los cursos de formación tramitadas a través del formulario que manteníamos habilitado en nuestro sitio web. Actualmente no se está facilitando la posibilidad de que los solicitantes se preinscriban a los cursos a través de nuestro portal web, por lo que tras nuestra solicitud los encargados del mantenimiento del portal hicieron las modificaciones necesarias para que el formulario por el que se recogían los datos dejara de publicarse, y entendemos que por algún error originado en la configuración de las páginas a indexar por el buscador de Internet “Google”, la zona donde están los datos personales del denunciante ha sido accesible para quienes hayan realizado alguna búsqueda más o menos concreta de los datos que aparecen en dicha zona de la web. Aún desconocemos las causas exactas por las cuales se ha dado este incidente y hemos solicitado toda la información relacionada al proveedor de servicios, quien ya ha actuado con diligencia para que los datos ya no sean accesibles a terceros y ha mostrado su voluntad de facilitarnos toda la información de la que dispongan. >> Aporta copia del Acuerdo suscrito con NTIC en fecha 13 de diciembre de 2010 en el que figura: <<1.- Que FES-UGT-MADRID www.federaciondeservicios.org. es titular y responsable sitio web II.- Que NTIC, de conformidad con el convenio de colaboración alcanzado entre las partes, será el encargado de gestionar y mantener el mencionado sitio web conforme a las instrucciones de FES-UGT- MADRID. III.- Que, habida cuenta de que a través de los formularios del sitio web se recabarán datos personales incluidos en el ámbito de aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su Reglamento de Desarrollo, y de conformidad con el artículo 12.2 de dicha Ley Orgánica, ambas partes suscriben el presente acuerdo, con arreglo y sujeción a los siguientes: … Los datos que sean obtenidos a través de los formularios del sitio web serán incorporados a los ficheros de FES-UGT MADRID, y NTIC será considerado Encargado del Tratamiento de los Datos Personales. El acceso y tratamiento de los datos personales por parte de NTIC se realizará única y exclusivamente con la finalidad de llevar a cabo la correcta prestación de los servicios acordados y conforme a las instrucciones de FES-UGT, comprometiéndose NTIC expresamente:… 4) A implantar y mantener las medidas de índole personal, técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural. >> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 4. En fecha 30 de septiembre, NTIC dio respuesta una solicitud de información de la que se desprende: a. Aporta la entidad copia de la hoja del Registro de Incidencias en que fue registrada la incidencia, recogiéndose la siguiente información: i.La misma aparece fechada “a mediados de mayo de 2016”, indicando en la descripción de la incidencia que se trata de una página con datos sensibles accesible desde el exterior permitiendo visualizar información privada. ii.Como medidas inmediatas, se redirigieron los accesos a la página principal del servidor, y se indicó en el fichero robots.txt que la página no fuese indexada, caso de existir. iii.Como medidas posteriores, fue modificada la aplicación para que guarde los datos en una ubicación con control de identificación y autenticación. Igualmente, se cambió la configuración del directorio para que solo pueda recoger datos mediante un formulario, pero no pueda dar acceso a cualquier otro fichero. Se cambió el fichero accesible a una ubicación inaccesible al servidor web. iv.Como resultado de todo ello, el acceso a los datos quedó cerrado. b. Informa NTI respecto del motivo de la quiebra de seguridad: Tanto el formulario como el proyecto en general se hallaba protegido de un acceso desde el exterior mediante un fichero .htaccess. Con motivo de la finalización de los cursos contratados, en octubre de 2015 el cliente solicitó que eliminemos la posibilidad de que los alumnos se preinscriban a través de la página web. Al realizar dicha modificación el despliegue se realizó a mano evitando el uso de Subversión. El responsable del despliegue eliminó la carpeta del proyecto copiando todo para volver a subirlo. Esa acción supuso que se eliminase el fichero que protegía la aplicación (.htaccess) y el formulario de un posible acceso mediante navegador. Comentario del inspector: el fichero .htaccess es un fichero usado en ciertos servidores web para indicar las directivas de configuración del sistema, entre ellas directivas seguridad y de control de acceso a ficheros. Pese a que a que existía un fichero “robots.txt” que excluía este directorio a motores de búsqueda, un usuario que escribiese la ruta directamente en el navegador, y que escribiese “forms/” en lugar de ‘forms/formulario.php” accedería a un listado de ficheros para el directorio, dentro de los cuales estaría el fichero de datos en formato HTML al alcance de la mano. c. Indica NTI que ni el formulario ni el resultado del mismo estaban publicitados online y no existía enlace hacia ellos en la web. d. Informa NTI de las medidas tomadas, aparte de las indicadas en el Registro de Incidencias: i.Obligatoriedad de uso de SVN en la puesta a producción de cualquier desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 ii.Generación y transmisión de Documento de despliegues incluyendo versionado de tags, etc. iii.Definición de la figura del Ingeniero de Despliegues tanto en Desarrollo Web como en infraestructuras como figura de salvaguarda y orientación para las puestas en producción. iv.Acelerar la implantación de herramientas de integración continua. v.Formación y concienciación a los empleados sobre seguridad de la información y protección de datos. 5. Mediante la correspondiente diligencia se ha podido comprobar que la página web origen de la denuncia ya no se encuentra accesible.” TERCERO: Con fecha 18 de octubre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a NUEVAS TECNOLOGIAS DE LA INFORMACION Y COMUNICACION S.L., (en adelante NTIC) por presunta infracción de los artículos 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 91 y 93 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), y 10 de la LOPD, tipificadas ambas como graves en los artículos 44.3.

1. h)y
2. b)respectivamente de dicha norma CUARTO: Notificado el acuerdo de inicio, NTIC formuló las siguientes alegaciones: 1ª. Aplicación del apercibimiento en atención a: 1.1 Concurrencia de las circunstancias del artículo 45.4 LOPD:
3. a)Carácter continuado de la infracción: Se tomaron las medidas correctoras oportunas tan pronto como se tuvo conocimiento de los hechos. La quiebra de seguridad fue provocada por un error humano al eliminar una medida de seguridad previa – fichero htaccess – por lo que se desactiva la directiva de seguridad para el control de acceso a esa parte privada de la web, y por tanto no hubo intencionalidad alguna en la quiebra de seguridad. Durante un tiempo fue imperceptible puesto que para acceder al formulario de inscripción en los cursos se debía teclear en el navegador la url objeto de denuncia. El formulario a través del cual se podía acceder a los datos personales no se encontraba publicitado puesto que FES-UGT-MADRID ya no deseaba realizar la preinscripción a los cursos mediante ese formulario. Asimismo la existencia de un fichero “robot.txt” impidió la indexación de esos datos por motores de búsqueda de internet. Se adjunta prueba de la existencia de este fichero instalado el 28 de enero de 2015.
4. b)Volumen de tratamientos efectuados. Los datos de los preinscritos eran de nivel básico: nombre completo, teléfono, curso, nivel de estudios y área. El dato del DNI no se encuentra acreditado que se encontrara entre los accesibles. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 Al existir un robot “robot.txt” que no permitía la indexación con motores de búsqueda de internet, no se ha producido un acceso masivo y generalizado a la página objeto de denuncia a través de los buscadores de internet.
5. b)Beneficios obtenidos como consecuencia de la comisión de la infracción: No se han producido.
6. d)Grado de intencionalidad. La quiebra la provoca un error humano no intencionado.
7. e)Reincidencia por infracciones de la misma naturaleza. No ha sido sancionada o apercibida con anterioridad.
8. f)Naturaleza de los perjuicios causados a las personas interesadas o terceras personas. El fallo de seguridad no ha causado perjuicios demostrables a las personas interesadas. Los datos personales se encontraban accesibles a través de un enlace que se debía teclear, no a través de una búsqueda realizada a través de motores de búsqueda de internet, lo que reduce el riesgo y el perjuicio de los derechos del denunciante y resto de afectados. 1.2 Los hechos son constitutivos de infracción grave. 1.3 NTIC no ha sido sancionada o apercibida con anterioridad. 1.4. Antecedentes de apercibimientos efectuados por la Agencia. 2ª. Subsidiariamente, disminución de la cuantía de la sanción aplicando los criterios de graduación de los apartados a),
9. b)y
10. h)de artículo 45.4 de la LOPD. QUINTO: En fecha 10/02/2017 se emitió propuesta de resolución en el sentido de sancionar a NTIC con multa de 6.000 € por la infracción del artículo 9 de la LOPD en relación con los artículos 91 y 93 del RLOPD. SEXTO: Notificada la propuesta NTIC reiteró las alegaciones formuladas en el procedimiento relativas a la aplicabilidad del apercibimiento y la graduación de la sanción. HECHOS PROBADOS PRIMERO: Con fecha de 19 de octubre de 2015 tiene entrada en esta Agencia un escrito del denunciante en el que declara: <<En el siguiente enlace de Internet: http://www.federaciondeservicios.org............ Aparece un listado con datos personales de numerosas personas que han solicitado diversos cursos organizados por la Federación de Servicios del sindicato UGT. Los datos personales publicados son: nombre y apellidos de los solicitantes; su número de teléfono; su nivel de estudios; su área, categoría y colectivo laboral; su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 condición de empleado o desempleado; su sector profesional; su número de la Seguridad Social; el nombre, CIF y domicilio de la empresa en la que trabajan. Adjunto la impresión de una captura de pantalla de ordenador con una parte del mencionado listado, en la que aparecen, entre los de otras personas, los datos personales del que firma este escrito.>> SEGUNDO: En fecha 02/12/2015 se comprobó que en la página web ubicada en la url http://www.federaciondeservicios.org............ figuraba publicado y accesible un listado correspondiente a las personas preinscritas en cursos de formación a través de la web www.federaciondeservicios.org, listado que contenía los datos personales de 243 personas (nombre y apellidos, teléfono, nivel de estudios, y sector profesional). Intentado el acceso en fecha 06/10/2016, la página web http://www.federaciondeservicios.org............ no era accesible. TERCERO: En fecha 28/01/2015 se instaló en la referida web un fichero “robot.txt” que impedía la indexación de datos personales incluidos en la misma y objeto de denuncia por motores de búsqueda de internet. CUARTO: En fecha 13/12/2010 FES-UGT-MADRID y NTIC suscribieron un acuerdo de confidencialidad y protección de datos en el que manifiestan: <<I.- Que FES-UGT-MADRID www.federaciondeservicios.org. es titular y responsable sitio web II.Que NTIC, de conformidad con el convenio de colaboración alcanzado entre las partes, será el encargado de gestionar y mantener el mencionado sitio web conforme a las instrucciones de FES-UGT- MADRID. III.- Que, habida cuenta de que a través de los formularios del sitio web se recabarán datos personales incluidos en el ámbito de aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su Reglamento de Desarrollo, y de conformidad con el artículo 12.2 de dicha Ley Orgánica, ambas partes suscriben el presente acuerdo, con arreglo y sujeción a los siguientes: … Los datos que sean obtenidos a través de los formularios del sitio web serán incorporados a los ficheros de FES-UGT MADRID, y NTIC será considerado Encargado del Tratamiento de los Datos Personales. El acceso y tratamiento de los datos personales por parte de NTIC se realizará única y exclusivamente con la finalidad de llevar a cabo la correcta prestación de los servicios acordados y conforme a las instrucciones de FES-UGT, comprometiéndose NTIC expresamente:… 4) A implantar y mantener las medidas de índole personal, técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural. >> QUINTO: NTIC aportó la siguiente información a requerimiento de la inspección de la Agencia: a. Aporta la entidad copia de la hoja del Registro de Incidencias en que fue registrada la incidencia, recogiéndose la siguiente información: i.La misma aparece fechada “a mediados de mayo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 2016”, indicando en la descripción de la incidencia que se trata de una página con datos sensibles accesible desde el exterior permitiendo visualizar información privada. ii.Como medidas inmediatas, se redirigieron los accesos a la página principal del servidor, y se indicó en el fichero robots.txt que la página no fuese indexada, caso de existir. iii.Como medidas posteriores, fue modificada la aplicación para que guarde los datos en una ubicación con control de identificación y autenticación. Igualmente, se cambió la configuración del directorio para que solo pueda recoger datos mediante un formulario, pero no pueda dar acceso a cualquier otro fichero. Se cambió el fichero accesible a una ubicación inaccesible al servidor web. iv.Como resultado de todo ello, el acceso a los datos quedó cerrado. b. Informa respecto del motivo de la quiebra de seguridad: Tanto el formulario como el proyecto en general se hallaba protegido de un acceso desde el exterior mediante un fichero .htaccess. Con motivo de la finalización de los cursos contratados, en octubre de 2015 FES-UGT-MADRID solicitó que eliminemos la posibilidad de que los alumnos se preinscriban a través de la página web. Al realizar dicha modificación el despliegue se realizó a mano evitando el uso de Subversión. El responsable del despliegue eliminó la carpeta del proyecto copiando todo para volver a subirlo. Esa acción supuso que se eliminase el fichero que protegía la aplicación (.htaccess) y el formulario de un posible acceso mediante navegador. Pese a que a que existía un fichero “robots.txt” que excluía este directorio a motores de búsqueda, un usuario que escribiese la ruta directamente en el navegador, y que escribiese “forms/” en lugar de ‘forms/formulario.php” accedería a un listado de ficheros para el directorio, dentro de los cuales estaría el fichero de datos en formato HTML al alcance de la mano. c. Indica que ni el formulario ni el resultado del mismo estaban publicitados online y no existía enlace hacia ellos en la web. d. Informa de las medidas tomadas, aparte de las indicadas en el Registro de Incidencias: i.Obligatoriedad de uso de SVN en la puesta a producción de cualquier desarrollo. ii.Generación y transmisión de Documento de despliegues incluyendo versionado de tags, etc. iii.Definición de la figura del Ingeniero de Despliegues tanto en Desarrollo Web como en infraestructuras como figura de salvaguarda y orientación para las puestas en producción. iv.Acelerar la implantación de herramientas de integración continua. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 v.Formación y concienciación a los empleados sobre seguridad de la información y protección de datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
12. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
13. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido (nombre y apellidos de los contribuyentes, domicilio, deudas pendientes, tributos y expedientes a los que corresponden, números de recibos, cuentas bancarias, matrículas de vehículos…), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” IV Se imputa a la entidad NTIC el incumplimiento del principio de seguridad y deber de secreto de los datos personales que constan en los ficheros de FES-UGT-MADRID. Desde el punto de vista de la normativa de protección de datos de carácter personal, la sociedad NTIC interviene en los hechos por virtud del acuerdo de confidencialidad y protección de datos suscrito con FES-UGT-MADRID. FES-UGT-MADRID es titular y responsable sitio web www.federaciondeservicios.org en donde se recaban datos personales a través de formularios, datos que son incorporados a los ficheros de FES-UGT MADRID, siendo NTIC considerado Encargado del Tratamiento de los Datos Personales. El acceso y tratamiento de los datos personales por parte de NTIC se realizará única y exclusivamente con la finalidad de llevar a cabo la correcta prestación de los servicios acordados y conforme a las instrucciones de FES-UGT, comprometiéndose NTIC expresamente:… <<4) A implantar y mantener las medidas de índole personal, técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural. >> En el presente caso se analiza la seguridad y confidencialidad de los datos personales de las personas que rellenaron un formulario de preinscripción para cursos de formación contenido en la web www.federaciondeservicios.org. Para analizar la cuestión planteada, debe partirse de los conceptos de responsable del tratamiento y encargado del tratamiento, que se definen en el artículo 3 de la LOPD: “
14. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
15. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el mismo sentido, el artículo 5.1.
16. i)del Reglamento de desarrollo de la LOPD define al encargado del tratamiento como
17. i)“La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. La figura del encargado del tratamiento se ajusta a la actividad desarrollada en este caso por NTIC. Dicha figura está regulada por el artículo 12 de la LOPD y en ella tienen cabida aquellos supuestos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad, restituyendo los datos al responsable una vez concluida la prestación contratada con aquél. Por el contrario, no se ajustarán a dicho concepto aquellos casos en los que la persona o entidad que reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que convertirá a dicha persona o entidad, a su vez, en un responsable del fichero o tratamiento. En este artículo 12 de la LOPD se establece lo siguiente: “Artículo 12. Acceso a los datos por cuenta de terceros 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. De la lectura del citado artículo 12 se deduce que, para que concurra la figura del “acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado contrato permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación, que conste por escrito o en cualquier otra forma que permita acreditar su celebración y contenido, que deberá especificar las circunstancias previstas por los apartados 2 y 3 del citado artículo 12. Esta exigencia es congruente con el sistema de protección de la LOPD ya que, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 sin consentimiento ni conocimiento de los afectados, se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. Además, el artículo 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En cuanto a las medidas de seguridad que hayan de ser adoptadas por quienes realicen trabajos de tratamiento de datos por cuenta de tercero, habrán de ser, en principio, las mismas que las impuestas al responsable del fichero, y deberán estipularse en el contrato. De este modo, la existencia de un encargado del tratamiento supone la imposibilidad de decisión sobre la finalidad, contenido y uso del tratamiento y la inexistencia de una relación directa entre los afectados y el encargado, que deberá en todo caso obrar en nombre y por cuenta del responsable como si la relación fuese entre éste y el afectado. En este caso, la prestación de servicios que FES-UGT-MADRID encargó a NTIC se encuadra en la situación prevista en el referido artículo 12 de la LOPD. Conforme a la citada normativa, la sociedad NTIC interviene en los hechos en su condición de encargado de tratamiento, por virtud del acuerdo suscrito con FES-UGT-MADRID para la gestión y mantenimiento del sitio web www.federaciondeservicios.org siendo ésta última la responsable del fichero o tratamientos, por cuanto tiene el poder de decisión sobre la finalidad, contenido y uso del tratamiento. En consecuencia, de acuerdo lo expuesto, la relación jurídica que vincula a FESUGT-MADRID y a NTIC exige la formalización de un contrato de encargado del tratamiento que cumpla las exigencias previstas en el artículo 12 de la LOPD antes reseñadas, cuyo contenido está regulado en el apartado 2 del citado artículo, contrato que ha sido aportado al expediente y en el que se refleja de manera expresa la obligación de NTIC de “implantar y mantener las medidas de índole personal, técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural. >> De ello resulta que FES-UGT-MADRID impuso a NTIC la obligación de implementar las medidas de seguridad adecuadas que garantizase la seguridad de los datos e impidiera el acceso a los mismos por parte de terceros, de tal manera que es esta última, la obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Se imputa a la entidad NTIC el incumplimiento del principio de seguridad de los datos personales que constan en los ficheros de FES-UGT-MADRID. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
18. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
19. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Y el artículo 3.
20. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
21. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
22. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
23. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
24. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
25. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
26. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal obtenidos a través de los formularios del sitio web www.federaciondeservicios.org gestionado por NTIC e incorporados a los ficheros de FES-UGT MADRID, correspondiendo adoptar las previstas para tales datos teniendo en cuenta su naturaleza y tipología, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Los artículos 91 y 93 del citado Reglamento, aplicables a todos los ficheros y tratamientos automatizados, establecen lo siguiente: Artículo 91. Control de acceso. “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
27. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, NTIC está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas establecidas, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales contenidos en la web www.federaciondeservicios.org de cuya gestión y mantenimiento era encargada, y se encontraba bajo su responsabilidad. Ha quedado acreditado en el procedimiento que NTIC incumplió estas obligaciones, en lo relativo a las medidas de seguridad implantadas por cuanto la propia entidad reconoce que eliminó el fichero que protegía la aplicación (.htaccess) y el formulario de un posible acceso mediante navegador, haciendo posible el acceso, tecleando la dirección http://www.federaciondeservicios.org............ a los datos personales de 243 personas preinscritas en cursos de formación a través de formulario de inscripción contenido en dicha web. No se trata, por tanto, de imponderables que escapen del control y de la exigencia debida, sino de una incidencia producida en el ámbito de responsabilidad de NTIC. En consecuencia, en este caso, resulta que NTIC no garantizó la seguridad de los datos personales de las referidas personas, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que NTIC ha incurrido en la infracción grave descrita. Dicha entidad es responsable de la infracción señalada, habiendo quedado justificada, al menos, una falta de la diligencia debida en los hechos constatados plenamente imputables a la misma. VI El artículo 44.3.
28. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 recogido en el artículo 9 de la LOPD, se considera que NTIC ha incurrido en la infracción grave descrita. VII El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso por parte de terceros a los datos personales de alumnos preinscritos en cursos de formación a través de un formulario contenido en la web www.federaciondeservicios.org gestionada por NTIC. Por tanto, procede analizar el cumplimiento por parte de dicha entidad del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que NTIC vulneró este deber de confidencialidad en relación con los datos personales de alumnos preinscritos en cursos de formación a través de un formulario contenido en la web www.federaciondeservicios.org de tal manera que terceros pudieron acceder a los datos personales (nombre y apellidos, teléfono, nivel de estudios y actividad) de los referidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 preinscritos, por cuanto el listado en el que se encontraban era accesible sin ningún tipo de restricción tecleando la url http://www.federaciondeservicios.org............. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los clientes afectados. VIII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
29. d)de la LOPD. En este precepto se establece lo siguiente: “
30. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros por NTIC no habiéndose acreditado que aquéllos hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a NTIC se ajusta a la tipificación prevista en el 44.3.
31. d)de la LOPD. IX Los hechos constatados constituyen una base fáctica para fundamentar la imputación a NTIC de las infracciones de los artículos 9 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, al proceder a eliminar la medida de seguridad que protegía la aplicación y el formulario de un posible acceso por terceros mediante navegador a los datos de las alumnos preinscritos a través del formulario contenido en la citada web, se produjo un incumplimiento de las medidas de seguridad exigidas que, a su vez, derivó en una vulneración del deber de secreto profesional. A este respecto el artículo 5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, en el presente caso únicamente procederá imponer la sanción correspondiente por la presunta infracción del artículo 9 de la LOPD. Por lo tanto, aplicando el citado precepto procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción correspondiente a la infracción del artículo 9 de la LOPD que se trata de la infracción originaria que ha implicado la comisión de la otra. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 X El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
32. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
33. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. NTIC ha solicitado la aplicación de este artículo, considerando las circunstancias concurrentes. En este caso, se cumplen los presupuestos establecidos en dicho artículo. Sin embargo, la previsión contenida en el artículo citado se declara expresamente como excepcional y su ponderación corresponde al órgano sancionador, atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. No cabe, por tanto, su aplicación como regla general por el sólo hecho de que se cumplan los presupuestos reseñados. En este caso, atendida la naturaleza de la información accedida por terceros, el volumen de la misma y el número de personas