1/4 Procedimiento nº.: E/00947/2016 ASUNTO: Recurso de Reposición Nº RR/00093/2017 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00947/2016, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de diciembre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00947/2016, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada al recurrente en fecha 28 de diciembre de 2016, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. ha presentado en esta Agencia, en fecha 26 de enero de 2017, recurso de reposición, fundamentándolo básicamente en que el fichero de Bomberos está declarado como de nivel alto al recoger datos especialmente protegidos y no cumple con la medida de seguridad que se exige de guardar información sobre los accesos realizados. Acompañan copia del parte de actuación y del parte unificado de protección civil, en los cuales se recogen datos de salud. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La Resolución ahora recurrida fundamenta los motivos de archivo de las actuaciones previas de investigación realizadas como consecuencia de la denuncia en el sentido siguiente: << Los hechos y las deficiencias que fueron denunciadas se resumen en la existencia de una aplicación informática del SEIS, a través de la cual se manejan datos de carácter personal que quedan reflejados en los partes de actuación, y que pueden recoger datos de carácter sensible (como pueden ser datos de salud). Añaden que dicha aplicación, con independencia del número de personas que deben y tienen acceso a la misma, debería de contar con las autorizaciones que cada usuario tiene permitido y con la actividad realiza por cada usuario, ya que si no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 estaría vulnerando la LOPD que en su artículo 103 del RDLOPD. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Sintetizando las previsiones legales citadas puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, regulado en normas reglamentarias.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso presente, se denuncia que la aplicación indicada incumple lo establecido en el artículo 103 del RDLOPD, que sería aplicable en el caso de aplicarse las medidas de seguridad de nivel alto. “Registro de accesos 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
- a)Que el responsable del fichero o del tratamiento sea una persona física.
- b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.” Tras la realización de las actuaciones previas de investigación, no se ha acreditado que en dicha aplicación se traten datos especialmente protegidos. El Ayuntamiento de Oviedo ha acompañado imágenes con las pantallas de la aplicación en las que se indica que solo se incluirán datos básicos, indicándose que no se deben incluir datos sensibles. En consecuencia, no sería necesario incorporar las medidas de seguridad de nivel alto en la aplicación denunciada>>. III En cuanto a los partes que acompaña, hay que señalar que no aparecen casillas a rellenar con datos especialmente protegidos, sin poner en duda que se pueda incluir dicha información de forma individualizada. Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 22 de diciembre de 2016, en el expediente de actuaciones previas de inspección E/00947/2016. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es