PS-00539-2022

1/19  Expediente N.º: EXP202202155 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: ***SINDICATO.1 (en adelante, la parte reclamante), con fecha 14/12/2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad AYUNTAMIENTO DE GIJÓN, con NIF P3302400A (en adelante, la parte reclamada o AYUNTAMIENTO o AYUNTAMIENTO DE GIJÓN), y dentro del AYUNTAMIENTO contra quien corresponda en la Concejalía de Seguridad Ciudadana, Policía Local y Alcaldía, así como contra cualquier persona interviniente en los hechos (menciona un funcionario en concreto). Los motivos en que basa la reclamación son los siguientes: Presenta reclamación por la filtración y difusión a través de WhatsApp y redes sociales de un escrito presentado en el Registro Electrónico del AYUNTAMIENTO DE GIJÓN, en fecha 20/01/2021, mediante el que informaba sobre la posible comisión de una infracción del régimen disciplinario de la Policía Local. Añade que el 19/02/2021 presentó ante el mismo Ayuntamiento un nuevo escrito para comunicar aquella difusión ilícita del documento de 20/01/2021, instando a investigar la brecha de seguridad y a la depuración de responsabilidades. Según la parte reclamante, en respuesta al escrito anterior, mediante resolución de 30/08/2021, la parte reclamada reconoce accesos indebidos al asiento registral y la filtración y difusión del mismo, así como tratamientos tales como el acceso habitual, general o indiscriminado a las anotaciones del registro de entrada, que no guardan relación con la base de licitud y finalidades contenidas en el inventario de actividades; y resuelve únicamente la adopción de una serie de medidas de cara al futuro (“implementando todo ello, especialmente en lo relativo a la Policía Local”). Asimismo, advierte la parte reclamante que no consta que el AYUNTAMIENTO DE GIJÓN haya notificado la brecha de seguridad a esta Agencia o a los afectados, ni que haya adoptado medida alguna, “y ello pese a la gravedad del asunto, dado que afecta a los ciudadanos en general y a los sindicatos en particular, pues se reconoce que se controla la actividad sindical…”. Considera que la parte reclamada no ha garantizado la confidencialidad, ha vulnerado el deber de secreto y las normas sobre comunicaciones de quiebras de seguridad. Junto a la reclamación aporta los escritos presentados por la parte reclamante ante la parte reclamada y la contestación emitida por ésta:

1. a)Escrito presentado por la parte reclamante en el Registro Electrónico del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 AYUNTAMIENTO el día 20/01/2021, informando sobre una posible infracción del régimen disciplinario de la Policía Local. En este escrito, además de las circunstancias de hecho que a juicio de la parte reclamante determinan la posible infracción disciplinaria, constan los datos relativos a nombre y apellidos del posible infractor y los datos del representante de la parte reclamante relativos a nombre, apellidos, DNI y puesto que ocupa en la organización de la parte reclamante.
2. b)Escrito presentado en el Registro Electrónico de la parte reclamada el día 19/02/2021 denunciando una filtración/difusión del escrito reseñado en el apartado
3. a)anterior. En el punto tercero de este escrito, la parte reclamante señala que “Hemos tenido conocimiento que, el citado documento se está difundiendo por la plataforma de Whatsapp, a través de varios grupos (…). En este escrito, la parte reclamante solicita que “se realicen las averiguaciones oportunas de la brecha de seguridad ocurrida en los departamentos que debían custodiar el documento antedicho. A su vez, se comprueben los accesos ilegítimos al escrito así como a las personas que lo difundieron, depurando las responsabilidades oportunas”.
4. c)Notificación de fecha 30/08/2021 por la que se da traslado al representante de la parte reclamante de la resolución dictada en la misma fecha por el AYUNTAMIENTO DE GIJÓN (Resolución de la Alcaldía) en relación con la denuncia de fecha 19/02/2021, reseñada en el apartado
5. b)anterior. En sus puntos tercero y cuarto de los Antecedentes de Hecho se hace referencia al contenido del informe emitido al respecto por el Servicio de Sistemas de Información: “Todas las personas del Servicio de Relaciones Ciudadanas tienen acceso al Registro General para poder despachar las solicitudes de entrada hacia las unidades responsables de su tramitación, acceso indispensable para poder cumplir con su cometido. En el momento en el que un documento entra en la organización a través del Registro, es posible seguir una traza del uso del mismo a través de las aplicaciones corporativas, pero si el documento se extrae (para enviarlo por otros medios electrónicos o se imprime), ya no es posible hacer un seguimiento del mismo. Por otra parte, también se ha comprobado a través del sistema de gestión de impresión, si se ha impreso un documento con un nombre igual o parecido al documento original con un resultado negativo”. En el punto cuarto se indica lo siguiente: “Del mencionado informe se deducen una serie de accesos de personal municipal al asiento registral indicado, que, por su presunto conocimiento y supuesta difusión, es citado sucesivamente tal y como consta en el referido expediente, poniendo de manifiesto los comparecientes –(…)-, en lo que interesa a los efectos de esclarecimiento de hechos y demás circunstancias concurrentes, que accedieron a dicha anotación de entrada por distintos motivos, y según cada declarante, debido a: - Que se tiene permiso de acceso remoto desde el puesto de trabajo al módulo de comunes del libro general del registro de entrada de documentos del Ayuntamiento. - Que se trata de accesos justificados para el desempeño ordinario de las tareas de los puestos de trabajo o porque habitualmente se revisan todas las anotaciones del registro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 de entrada del Ayuntamiento; (…), con la finalidad de conocer asuntos sindicales y laborales que les puedan afectar en su condición de afiliados y parte interesada. En cuanto a la forma de acceso, los declarantes manifestaron que disponen de cuenta de usuario -salvo un caso, que además carecía de equipo informático a su disposición-, con contraseña propia y no compartida, para el acceso a las aplicaciones informáticas de registro de entrada y de gestor de expedientes; si bien, se ha detectado que en dos puestos de trabajo se hace uso compartido con otro personal, lo que justificaría que en la auditoría de accesos conste su perfil de usuario pero afirmen no haber hecho personalmente tal acción. En general, a ninguno les consta que se haya producido algún incidente en relación a una posible suplantación de identidad o de los permisos de acceso de sus cuentas. En relación al conocimiento directo del contenido de dicho documento objeto de reclamación, bien se niega o se atribuye a un simple error de acceso al asiento de entrada la constancia de su perfil en el registro de auditoría. Sin embargo, se afirma haber tenido conocimiento indirecto, bien verbalmente o a través de un grupo de whatsapp llamado “***GRUPO.1” -aunque un declarante niega que se haya publicado en esta red nada al respecto-, la cual, según su administrador-… (se indica nombre y apellidos), (…)- es de carácter lúdico, tiene un total de 81 miembros, (…), y sobre la cual no “hace ningún control de lo que se publica”, tampoco la lee ni participa y “elimina los mensajes que recibe”. Respecto a la difusión del documento en cuestión, se niega por los comparecientes haberla realizado; únicamente en un caso se ha afirmado que fue impreso el texto a petición de superior –***PUESTO.1-, a quien fue entregado; en otro, se manifiesta haber difundido la noticia de la presentación en el registro en otro grupo de whatsapp ***GRUPO.2. Por último, en cuanto a las consecuencias de tal difusión, o no se tiene constancia, o se conoce una recogida de firmas en apoyo de la persona a quien se hacía alusión directa en el reiterado escrito de 21 de enero, para su retirada o presentación a título individual, (…), o bien para “hacer una asamblea general”. Por otra parte, en el punto quinto de los mismos Antecedentes de Hecho se detalla la información aportada a las investigaciones por el representante de la parte reclamante: “Es reseñable que, en atención a los resultados alcanzados en la instrucción del expediente, se requirió al denunciante para que concretara algunas circunstancias de los hechos investigados, relatando éste en su comparecencia que, respecto al documento registrado el 20 de enero de 2021, tuvo un primer conocimiento de su filtración el 14 de febrero de 2021, cuando recibió un mensaje a su whatsapp personal (…), que identifica como… (se indica nombre y apellidos), donde éste "manifiesta su enfado por la presentación del citado documento, a lo cual suma insultos y amenazas", aportando captura de pantalla como prueba de ello. Asimismo, el reclamante presentó evidencia de la difusión del documento señalado en el grupo de whatsapp -el indicado “***GRUPO.2”- que tiene con los compañeros de su turno de trabajo (…),administrado por… (se indica nombre y apellidos), y donde “uno de los integrantes… (se indica nombre y apellidos) tras la eliminación de varios mensajes escritos y eliminados aporto a la conversación el documento íntegro en pdf siendo las 22;16” y que “se puede observar que el documento aportado es un reenvío”. Al respecto de esto último, cabe indicar que el aludido… (se indican iniciales del nombre y primer apellido), en declaración tomada de fecha posterior, manifiesta que tuvo conocimiento del objeto del presente expediente en el grupo de “***GRUPO.1” y “que recuerda que en ese grupo pusieron un mensaje diciendo que había presentado el compañero… (se indica el nombre) por registro una reclamación de que le habían insultado o puesto un mote en un pase de lista en el que él no estaba presente. Y que la noticia que vio en ese grupo lo pasó a otro grupo llamado “***GRUPO.2”, no recordando que fuese un documento, preguntando sólo si sabían algo de eso y nada más”. Por otra parte, siguiendo con el testimonio del denunciante, en este grupo de mensajería “***GRUPO.2”, afirmó también que, como acredita, “había podido acceder a una captura de conversación de whatsapp proveniente del grupo de “***GRUPO.1”. La hora de la captura son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 las 20:00 hasta las 20:05”. Igualmente, añade que, ese día indicado de 14 de febrero, recibió (…) “un reenvió de la conversación con… (se indica nombre y apellidos), donde se visualiza el pdf acompañado de la frase “yo no te pasé nada” y solicitando apoyo o ayuda para que se retire el citado escrito de 20 de enero de 2021”: aporta justificación documental de captura de pantalla donde “en la imagen de la conversación se aprecia que el documento pdf procede de un reenvío nuevamente”. Finalmente, también señala la antedicha “recogida de firmas organizada (…)”, presentando el documento que ha recibido con las mismas “donde se solicita la retirada del escrito presentado”. Lo anterior, también conocido por (…)… (se indican iniciales del nombre y primer apellido), es ratificado por éste en distinta declaración practicada, aportando también evidencia de la actuación de (se indica nombre y primer apellido) el 14 de febrero, “donde en tono amenazante y en plural, da un ultimátum para retirar el escrito presentado el 20 de enero de 2021” . Y en el punto quinto de los Fundamentos de Derecho, en cuanto a la licitud del tratamiento de los datos (artículo 6.1, letras
6. c)y e), del RGPD), se dice: “De ello, cabe concluir que alguno de los tratamientos expresados en los Antecedentes, como el acceso habitual, general o indiscriminado a las anotaciones del registro de entrada o para ejercicio de supuestos derechos sindicales, no guarda relación con la base de licitud y finalidades contenidas en el mencionado inventario de actividades” . Por último, en el punto sexto de los Fundamentos de Derecho de la citada resolución se mencionan las medidas que se han tomado en relación con las causas que han motivado el incidente de seguridad: “En relación con las causas que han motivado el incidente de seguridad, se han tomado las siguientes medidas, según consta en el señalado al comienzo informe del Servicio de Sistemas de Información: En la configuración de las cuentas de usuario de las aplicaciones: para las cuentas de usuario implicadas en el incidente de seguridad, se han eliminado permisos asociados que ya no deberían de estar por haber cambiado la persona de lugar de trabajo o de funciones. En la configuración de acceso al Registro General: se ha desactivado la posibilidad de consultar los documentos asociados a todos los registros de entrada del libro general de entrada del Ayuntamiento. Esta opción de consulta estaba asociada a un número importante de personas, que lo habían solicitado desde el año 2015 hasta la actualidad y que era necesario para poder trabajar de forma correcta con los expedientes de su competencia. Al respecto, no consta que la medida de limitación de accesos generalizados al módulo de comunes del registro de entradas haya afectado al desempeño de las tareas habituales de los puestos de trabajo objeto de investigación”. De acuerdo con los Antecedentes y Fundamentos expresados, se resuelve adoptar las siguientes medidas, entre otras: . Medidas técnicas y organizativas complementarias y de regulación que sean procedentes, para minimizar la posibilidad de que se reproduzcan incidentes similares, en cuanto a la forma de altas, bajas y movilidad del personal municipal en la asignación de cuentas, permisos o autorizaciones de acceso, revocación o desactivación de aplicaciones y recursos informáticos y electrónicos, en atención a las funciones y tareas que efectivamente desempeñen en sus puestos de trabajo en la organización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 . Medidas reguladoras, técnicas y formativas que resulten adecuadas acerca de la existencia, creación y utilización de grupos de mensajería, redes sociales o de comunicación internas del personal municipal. . Dar traslado al Servicio de Gestión de Personas para poner en su conocimiento los hechos descritos en los Antecedentes, por si fueran constitutivos de infracción disciplinaria, o precisasen de diligencias previas de investigación adicionales. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25/02/2022 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 14/03/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En respuesta al requerimiento que le fue efectuado por los Servicios de Inspección de la AEPD, la parte reclamada aportó la información y documentación siguiente: 1. Declara reproducida la resolución de la Alcaldía de 30/08/2021, ya aportada por la parte reclamante y cuyo contenido consta reseñado en el Antecedente Primero. 2. Aporta copia del informe elaborado por el Servicio de Sistemas de Información, de fecha 10/03/2021, con el detalle de las causas que motivaron la incidencia que originó la reclamación. Del contenido de este informe cabe destacar lo siguiente: “En relación con las causas que han motivado el incidente de seguridad, se han tomado las siguientes medidas: 1. En la configuración de las cuentas de usuario de las aplicaciones: para las cuentas de usuario implicadas en el incidente de seguridad, se han eliminado permisos asociados que ya no deberían de estar por haber cambiado la persona de lugar de trabajo o de funciones. 2. En la configuración de acceso al Registro General: se ha desactivado la posibilidad de consultar los documentos asociados a todos los registros de entrada del libro general de entrada del Ayuntamiento. Esta opción de consulta estaba asociada a un número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 importante de personas, que lo habían solicitado desde el año 2015 hasta la actualidad y que era necesario para poder trabajar de forma correcta con los expedientes de su competencia. Para minimizar la posibilidad de que se reproduzcan incidentes similares en el futuro, se proponen además que se tomen las siguientes medidas organizativas: 1. Establecer un protocolo de alta de personas en la organización, recogiendo de forma precisa los accesos y recursos técnicos y autorizaciones que hay que asignarles. 2. Establecer un protocolo de baja de personas, que contemple todas las medidas a adoptar: desactivación de cuenta de usuario, buzones de correo, revocación de certificados electrónicos, etc. 3. Establecer un protocolo de modificación de personas por cambio de puesto o de funciones, en el que se recoja de forma precisa las actuaciones a realizar con sus cuentas de usuario, permisos de acceso a recursos informáticos, etc. También debe de recogerse como responder a las peticiones de permisos que se realizan de manera informal por los propios implicados o sus superiores”. 3. Se aporta “la relación de empleados que tuvieron acceso al documento difundido en el espacio temporal que medió entre el 20 de enero de 2021 y el 14 de febrero posterior, facilitada por el Servicio de Sistemas de la Información”. En esta relación se detalla el DNI de las personas que accedieron al documento, nombre, apellidos, y departamento al que pertenecen (…). 4. Sobre la implantación de las medidas acordadas en la resolución de la Alcaldía de 30/08/2021 se informa que se ha previsto la contratación de una prestadora de servicios externa para la ejecución de aquellas medidas y que se encuentra en proceso de elaboración una Instrucción de la Alcaldía reguladora del acceso y autorización de uso de los sistemas de información municipales. Añade que se han realizado acciones formativas sobre medidas de seguridad y que no consta que se hayan realizado acciones disciplinarias en relación con los hechos denunciados. 5. No constan análisis de riesgos ni evaluaciones de impacto. 6. Aporta copia del Registro de Actividad de Tratamientos relativo al Registro General. En los apartados “Categoría de destinatarios de la información” y “Descripción de las medidas técnicas y organizativas de seguridad de la información” se indica, respectivamente, lo siguiente: . “Órganos administrativos municipales y otras Administraciones Públicas. Personas interesadas”. . “Se corresponden con las previstas en el Anexo II (Medidas de seguridad) del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, según normas internas”. El texto completo del inventario se encuentra publicado en la dirección web https://www.gijon.es/es/publicaciones/inventario-del-registro-de-actividades-detratamiento-de-datos-personales. En dicha página web, figuran los datos identificativos del responsable (AYUNTAMIENTO) y DPD: QUINTO: Con fecha 08/02/2023, la Directora de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones de los artículos 32 y 5.1.
7. f)del RGPD, tipificadas en los artículos 83.4.
8. a)y 83.5.
9. a)del citado RGPD, y calificadas como grave y muy grave a efectos de prescripción en el artículo 73.
10. g)y artículo 72.1.
11. a)de la LOPDGDD, respectivamente. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de apercibimiento. Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, según el citado artículo 58.2
12. d)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que solicita el archivo del procedimiento en base a las consideraciones siguientes: 1. El inicio del procedimiento, pasados dos años desde los hechos y más de doce meses desde la reclamación, cuando el AYUNTAMIENTO ya había dado respuesta a la parte reclamante mediante la resolución de 30/08/2021 y a la propia AEPD en el marco de sus investigaciones, reconociendo los hechos y detallando las medidas a aplicar para que los mismos no vuelvan a producir, contraviene lo dispuesto en el artículo 84 del RGPD, según el cual las sanciones deben ser “efectivas, proporcionadas y disuasorias”. Entiende que la sanción propuesta carece de efectividad cuando el responsable del tratamiento ha admitido el error y procedido a su corrección. 2. En relación con el incumplimiento del artículo 32 del RGPD, advierte sobre las medidas de seguridad contenidas en el Informe de su Servicio de Sistemas de información, de fecha 10/03/2021, cuya implementación supuso la restricción de los accesos al Registro de documentos, que fue la causa raíz de la exfiltración del documento objeto de la reclamación; y señala que la AEPD no ha tenido en cuenta estas medidas, ya adoptadas en el momento en que se reconocieron los hechos, y traslada al momento actual aquella falta de medidas de seguridad que provocaron la brecha sin haber realizado nuevas averiguaciones. Por otra parte, señala que el “riesgo cero” no existe, según admite la propia AEPD, y reseña lo declarado por el Tribunal Supremo en la sentencia núm. 188/2022, de la Sección Tercera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, de 15 de febrero, cuando señala que “la obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos personales no puede considerarse una obligación de resultado, sino de medios. Como consecuencia de dicha obligación de medios, el compromiso que adquiere el responsable del tratamiento es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución” (F.D.3º). Seguidamente describe otras medidas técnicas y organizativas adoptadas desde que se produjeron los hechos, las cuales se incluyen entre las mencionadas en el Hecho Probado Quinto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 3. Reconoce la filtración de la información objeto de la reclamación, por lo que señala expresamente que “no cabe alegar a este hecho objetivo”. No obstante, recuerda que el deber de confidencialidad de las personas implicadas en la filtración indebida de la información (…), les viene impuesto por el artículo 5.5 de la Ley Orgánica 2/1986, de 13 marzo, de Fuerzas y Cuerpos de Seguridad; y que, con fecha 13/09/2021, el ***PUESTO.1 remitió una nota informativa recordando expresamente esta obligación. 4. Considera la parte reclamada que el reconocimiento del incidente de filtración de datos, incluso ante la parte reclamante, y el esfuerzo continuado que viene realizando en la mejora de las medidas técnicas y organizativas para evitar que vuelvan a producirse pérdidas de la confidencialidad de los datos personales debe tenerse en cuenta para resolver el procedimiento con archivo de las actuaciones. SÉPTIMO: Con fecha 15/09/2023, por el instructor del procedimiento se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se imponga a la entidad AYUNTAMIENTO DE GIJÓN una sanción de apercibimiento por cada una de las infracciones siguientes: . por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
13. a)del citado RGPD, y calificada como grave a efectos de prescripción en el artículo 73.
14. f)de la LOPDGDD. . por la infracción del artículo 5.1.
15. f)del RGPD, tipificada en el artículo 83.5.
16. a)del citado RGPD, y calificada como muy graves a efectos de prescripción en el artículo 72.1.
17. a)de la LOPDGDD OCTAVO: La citada propuesta de resolución se notificó a la entidad reclamada en la misma fecha del 15/09/2023, a través del Servicio de Dirección electrónica Habilitada Única (DEHÚ). En este escrito de notificación se concedió a dicha entidad plazo para formular alegaciones, que ha transcurrido sin que en esta Agencia se haya recibido escrito alguno. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 20/01/2021, la parte reclamante presentó un escrito en el Registro Electrónico del AYUNTAMIENTO DE GIJÓN mediante el que informaba sobre la posible comisión de una infracción del régimen disciplinario de la Policía Local. En este escrito constan los datos relativos a nombre y apellidos de la persona presuntamente autora de la infracción del régimen disciplinario y los datos de la persona que presenta este escrito en nombre y representación de la parte reclamante (nombre, apellidos, DNI y puesto que ocupa en la organización de la parte reclamante). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 SEGUNDO: Con fecha 19/02/2021, la parte reclamante presentó ante el mismo AYUNTAMIENTO un nuevo escrito para comunicar la difusión ilícita del documento reseñado en el Hecho Probado Primero a través de la plataforma de mensajería Whatsapp. En este escrito solicita que se comprueben los accesos ilegítimos a aquel escrito y se investigue su difusión. TERCERO: Mediante escrito de fecha 30/08/2021, el AYUNTAMIENTO DE GIJÓN dio respuesta a la parte reclamante sobre su denuncia de fecha 19/02/2021, reseñada en el Hecho Probado Segundo. En este escrito, cuyo contenido consta reseñado en el Antecedente Primero, el cual se declara reproducido en este acto a efectos probatorios, el AYUNTAMIENTO citado informa a la parte reclamante sobre el resultado de las comprobaciones realizadas por su Servicio de Sistemas de Información respecto de los hechos denunciados, de las que cabe destacar las siguientes: . Confirma los accesos al Registro General del AYUNTAMIENTO DE GIJÓN (…), al asiento registral correspondiente al documento reseñado en el Hecho Probado Primero; que (…) disponen de una cuenta de usuario que les permite el acceso remoto “al módulo de comunes del libro general del registro de entrada de documentos del Ayuntamiento”; y que este permiso estaba justificado por “el desempeño ordinario de las tareas de los puestos de trabajo o (…). . Según consta en dicho informe, (…) declararon haber tenido conocimiento de la difusión del documento reseñado en el Hecho Probado Primero a través de dos grupos de Wahtsapp (…), pero negaron haberla participado en este hecho. . Se añade en dicho informe que el representante de la parte reclamante aportó evidencias de la difusión del documentó íntegro en formato “pdf” a través de uno de aquellos grupos de Whatsapp (…). . En relación con las causas del incidente de seguridad y las medidas adoptadas con tal motivo, el repetido informe del Servicio de Sistemas de Información indica lo siguiente: “En la configuración de las cuentas de usuario de las aplicaciones: para las cuentas de usuario implicadas en el incidente de seguridad, se han eliminado permisos asociados que ya no deberían de estar por haber cambiado la persona de lugar de trabajo o de funciones. En la configuración de acceso al Registro General: se ha desactivado la posibilidad de consultar los documentos asociados a todos los registros de entrada del libro general de entrada del Ayuntamiento. Esta opción de consulta estaba asociada a un número importante de personas, que lo habían solicitado desde el año 2015 hasta la actualidad y que era necesario para poder trabajar de forma correcta con los expedientes de su competencia. Al respecto, no consta que la medida de limitación de accesos generalizados al módulo de comunes del registro de entradas haya afectado al desempeño de las tareas habituales de los puestos de trabajo objeto de investigación”. CUARTO: El AYUNTAMIENTO DE GIJÓN aportó a las actuaciones la relación de empleados que accedieron al documento reseñado en el Hecho Probado Primero en el período comprendido entre su presentación en el Registro General y su difusión. En esta relación se detalla el DNI de las personas que accedieron al documento, nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 apellidos, y departamento al que pertenecen (…). QUINTO: Durante la tramitación de la reclamación que ha dado origen a las actuaciones, el AYUNTAMIENTO DE GIJÓN informa a esta Agencia que ha resuelto adoptar medidas técnicas y organizativas complementarias adicionales: . Modificar la forma de altas, bajas y movilidad del personal municipal en la asignación de cuentas, permisos o autorizaciones de acceso, revocación o desactivación de aplicaciones y recursos informáticos y electrónicos, en atención a las funciones y tareas que efectivamente desempeñen en sus puestos de trabajo en la organización; . Medidas reguladoras, técnicas y formativas que resulten adecuadas acerca de la existencia, creación y utilización de grupos de mensajería, redes sociales o de comunicación internas del personal municipal. . Emitir una Instrucción de la Alcaldía reguladora del acceso y autorización de uso de los sistemas de información municipales. . Contratación de asistencia externa en relación con la seguridad de la información. . Establecimiento de procedimientos de gestión de brechas; aprobación de una política de seguridad; constitución de un comité de seguridad de la información y protección de datos personales; y establecimiento de procedimientos de seguridad, aprobados en el mismo Comité, para copias gestión de terceros (servicios externos), de certificados (claves criptográficas), de análisis de riesgos, calificación de la información, gestión de la documentación, borrado de soportes, e instrucciones técnicas de limpieza de metadatos y cifrado de soportes. (…) FUNDAMENTOS DE DERECHO I Competencia En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Obligación incumplida. Seguridad de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 Los hechos denunciados se materializan en el acceso por terceros no interesados a un escrito presentado por la parte reclamante ante la parte reclamada, a través del Registro Electrónico, vulnerando la normativa en materia de protección de datos. El escrito en cuestión fue posteriormente difundido a través de una aplicación de mensajería instantánea. La seguridad de los datos personales se regula en los artículos 32, 33 y 34 del RGPD. El artículo 32 del RGPD, “Seguridad del tratamiento”, establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
18. a)la seudonimización y el cifrado de datos personales;
19. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
20. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
21. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros” . El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “