REPOSICION-PS-00318-2013

1/5 Procedimiento nº.: PS/00318/2013 ASUNTO: Recurso de Reposición Nº RR/00062/2018 Examinado el recurso de reposición interpuesto por la entidad A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00318/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de diciembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00318/2013, en virtud de la cual se resolvía (…) ARCHIVAR el procedimiento respecto de la infracción que se sigue contra A.A.A. (…) Dicha resolución, que fue notificada al recurrente en fecha 28/12/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00318/2013, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- B.B.B., fue Director Técnico del CPD del Ayuntamiento de ***LOCALIDAD.1, hasta que fue cesado en fecha de 14/07/2011 quedando adscrito a la Agencia Tributaria Municipal, si bien desde el mes de febrero de 2012 se encontraba de nuevo en las dependencias del CPD, aunque adscrito orgánicamente a la citada Agencia, con la función genérica de coordinación entre el Servicio de Información Municipal SIM y la Agencia. DOS.- A.A.A., fue Subdirector de Soporte del CPD desde el 18/04/2008 hasta que fue cesado en fecha de 2/07/2012, por modificación de la RPT, y fusión de dos subdirecciones en una, cuya función era el mantenimiento de las aplicaciones informáticas en uso del Ayuntamiento. TRES.- En febrero del año 2012, el nuevo Director del CPD, encomendó a sus subordinados (Sr. C.C.C. y Sra. D.D.D.) el desarrollo del programa denominado “Visor de nóminas” para adaptar su uso a funcionarios municipales a través de internet. Dicho programa fue inicialmente desarrollado por B.B.B. para su utilización en la red intranet de la citada corporación. CUATRO.- El Sr. C.C.C. solicito y obtuvo la autorización de B.B.B., para la utilización del programa desarrollado por éste siendo advertido por éste de que se necesitaban implantar las correspondientes medidas de seguridad para su explotación en internet. CINCO.- El programa se puso en explotación en internet en marzo de 2012 y en abril del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 mismo año se adaptó para la consulta de certificados de retención de IRPF de los empleados públicos. SEIS.- en la mañana del día 31/05/2012 el Sr. C.C.C. consultó a B.B.B. algunas cuestiones técnicas del programa, realizando éste diversas modificaciones, pese a no encontrarse adscrito al proyecto de adaptación, y advirtió la posibilidad de que la aplicación tuviera déficit de seguridad. SIETE.- Sobre el mediodía de esa fecha, B.B.B., desde su ordenador del CPD, comprobó que tras acceder a la aplicación identificándose con certificado digital, podía acceder a la URL que utilizaba la expresión “sacanomina” en la que, cambiando el parámetro del número de empleado, era posible ver recibos de nómina de cualquier funcionario municipal y comprobó que era posible la navegación a través de protocolos no seguros. Dicha circunstancia la comunico a A.A.A. ubicado a pocos metros de su puesto de trabajo. OCHO.- B.B.B., no comunico en ese momento los hechos, ni al Director Técnico del CPD, ni al Subdirector de Administración Electrónica, ni al Responsable de Seguridad, pese a que se encontraban en la sede del CPD. Conocía el procedimiento de notificación de incidencias pero no lo siguió. Asimismo tampoco documento las vulnerabilidades. NUEVE.- Por la tarde de esa fecha, B.B.B., tras hablar por teléfono con el Concejal responsable del Área, al Sr. D.D.D., le envió un SMS informando del problema, y éste reenvió dicho SMS al, al Coordinador de Servicios, Director Técnico del CPD y éste a su vez al Subdirector de Administración electrónica, que cambio el parámetro sacanomina y user, estimo que el problema estaba resuelto. El día siguiente 1 de junio, el Subdirector de Administración electrónica realizo otras modificaciones en la aplicación. DIEZ.- A.A.A. en la tarde noche del día 31/05/2012, desde su domicilio personal, realizó cinco accesos a la aplicación utilizando el parámetro sacanomina verificando que era posible acceder a nóminas de otro empleados. ONCE.- Esa misma tarde/noche desde su domicilio personal, B.B.B., comprobó que usando los parámetros “doc/dos2” se podía acceder a toda la documentación del SIM, y que a través de consultar el historial de navegación era posible la recuperación de documentos, comunicándolo a A.A.A. quien realizo varias pruebas, cambiando el número de documento en la URL. DOCE.- Durante el fin de semana del 2 y 3 de junio B.B.B., continúo realizando desde su domicilio personal, numerosos accesos a la aplicación y consultando documentos. TRECE.- Tras los incidentes del 31 de mayo y 1 de junio, EL AYUNTAMIENTO trató de obtener de B.B.B.- como Exdirector del CPD- información sobre distintos sistemas de información. Siendo los primeros intentos infructuosos al negarse éste a ser notificado (según declaración de dos funcionarios) finalmente se le notifica la solicitud de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 información. En escrito remitido por B.B.B. el 10 de septiembre de 2012 al Alcalde de ***LOCALIDAD.1 le informa de que, no siendo parte del Centro de Proceso de Datos (CPD) se le está solicitando una información, tarea que no está incluida en sus atribuciones, que debe de encontrarse en posesión el citado CPD por lo que desestima el requerimiento. Cita que desde su cese, sus funciones son: (…) funciones relacionadas con la unificación de los sistemas informáticos de la Agencia Tributaria y el ayuntamiento (…)(…)mis funciones actuales, meramente formales(…) excluyen la posibilidad de (…)que se relevante en el contexto del incidente de seguridad(…). CATORCE.- En las Actuaciones de Inspección Practicadas por la Agencia Española de Protección de Datos, se verificaron los siguientes accesos: I.El certificado de B.B.B. se utilizó para acceder al sistema el 31/05/2012 desde dos direcciones IP, la ***IP.1 y la ***IP.2., y se accedió a 83 nóminas o certificados de retenciones de 7 usuarios distintos. II.El certificado de A.A.A. se utilizó para acceder al sistema desde la dirección IP ***IP.4 y se accedió a 18 nóminas y un certificado de retenciones de 3 usuarios distintos. III.El certificado de B.B.B. se utilizó para acceder al sistema el 4 de junio de 2012 desde la dirección IP ***IP.3 y se accedió a 130 documentos y un certificado de retenciones de 3 usuarios distintos. IV.El día 31 de mayo, entre las 17:16 y las 17:22, desde la dirección IP ***IP.5 se accedió a 16 nóminas o certificados de retenciones de 5 usuarios distintos, confirmando el proveedor de acceso a internet, que Dña. F.F.F. era la titular de la línea que tuvo asignada la dirección IP durante los hechos. TERCERO: A.A.A. (en lo sucesivo el recurrente) ha presentado en fecha 26/01/2018 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo básicamente en la nulidad de la resolución que se recurre, en la medida en que se resuelve el archivo de las actuaciones respecto de él, por no considerarse responsable del tratamiento y entenderse que el acceso al sistema de información se hace “en el ejercicio de sus funciones públicas como funcionario de la citada corporación”. Por lo que únicamente puede ser reprochada dicha responsabilidad conforme a los artículos 43 y 46 de la LOPD. Por lo tango la AEPD carece de competencia por razón de la materia para incoar el expediente al dicente, funcionario del Ayuntamiento de ***LOCALIDAD.1. De acuerdo con el art. 62 LRJPAC, son nulos de pleno derecho los actos dictados por órganos manifestante incompetente por razón de la materia o del territorio, como ocurre en el caso analizado. Solicita la anulación de la resolución por ser nula de pleno derecho de acuerdo con el apartado 1.b) del art. 62 LRJPAC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, fundamentando el recurso en la falta de competencia de esta Agencia, y el acaecimiento de una supuesta nulidad en la resolución debe indicarse lo siguiente: Disponen los artículos 1 y 2.1 de la LOPD lo siguiente: Artículo 1 Objeto La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar. Artículo 2 Ámbito de aplicación 1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.(…) Establece el art. 37.1 g) de la LOPD, que son funciones de la Agencia Española de Protección de Datos,…. Ejercer la potestad sancionadora en los términos previstos por el Título VII de la presente Ley… El Titulo VII de la LOPD bajo la rúbrica “Infracciones y sanciones” establece el régimen sancionador, definiendo los responsables de las infracciones, las conductas típicas y antijurídicas y la determinación de la horquilla del importe de la sanción dependiendo de la gravedad de la conducta, ya sea infracción, leve, grave o muy grave. En el presente caso, se analizaba la adecuación a la LOPD del tratamiento de datos personales realizado por el recurrente, por lo que obviamente es una materia de las previstas en la LOPD que está dentro de las funciones y competencias de la Agencia Española de Protección de Datos. Cuestión distinta es el sentido de la resolución que finaliza para el recurrente como archivo, ya que los hechos no son constitutivos de infracción al haber realizado el tratamiento que se le imputa en el ejercicio de sus funciones, lo que no implica la inaplicación de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Asimismo, el art. 46 de la LOPD que invoca el recurrente, debe indicarse que derivado de las actuaciones previas de inspección, se incoó el correspondiente procedimiento de declaración de infracción de las administraciones públicas previsto en el citado precepto. Por lo expuesto, no concurre la causa de nulidad aducida por el recurrente, pues requiere para su apreciación, la manifiesta incompetencia por cuestión de la materia, debiendo desestimarse las alegaciones del recurrente. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de diciembre de 2017, en el procedimiento sancionador PS/00318/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es