Reclamación sobre acceso a información relativa a brecha de seguridad en LexNET y resultado de estimación formal

PRESIDENCIA RESOLUCIÓN S/REF: N/REF: R/0443/2018 (100-001236) FECHA: 18 de octubre de 2018 AS UNTO: Resolución de Reclamación presentada al amparo del artículo 24 de la Ley 19/2013, de 9 de diciembre, de Transparencia, acceso a la información pública y buen gobierno En respuesta a la Reclamación de , con entrada el 31 de julio de 2018, este Consejo de Transparencia y Buen Gobierno, considerando los antecedentes y fundamentos jurídicos que se especifican a continuación, adopta la siguiente RESOLUCIÓN: I. ANTECEDENTES 1. Según se desprende de la documentación obrante en el expediente, remitió a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS (AEPD), el 14 de junio de 2018, la siguiente solicitud de información: xAl parecer tras una investigación , en su resolución AAPP 66/2017, de 15 de marzo de 2018, se declaró probado que el fallo provocó una brecha de seguridad que afectó al buzón de correo de los usuarios de LEXNET, y que algunos usuarios visualizaron mensajes de forma no autorizada, y una parte de ellos, consultaron documentos de dichos buzones, igualmente, de forma no autorizada; siendo que al Ministerio de Justicia le ha sido impuesta una sanción grave por vulneración del artículo 44.3.d de la Ley Orgánica de Protección de Datos (LOPD), durante los incidentes de seguridad ocurridos entre los días 20 y 28 de julio de 2017. Sin embargo, de acuerdo con la LOPD, las Administraciones Públicas no pueden ser sancionadas económicamente. xComo ciudadano, personado en distintos procesos judiciales, bien a título personal, bien como representante de alguna sociedad mercantil, quisiera conocer si algunos de los ficheros de la Administración de Justicia donde se tramitan mis recursos, Colegios Profesionales de Abogados y Procuradores pertenecientes a los profesionales intervinientes en las causas judiciales a mi cargo, o los abogados y procuradores por mi designados en cada uno de los procedimientos judiciales, pudo sufrir algún acceso no autorizado (afluencia excesiva de acceso o accesos no autorizados en sus buzones) durante la fecha de la caída del sistema Lexnet en los días de autos. xEs de presuponer que los informes de investigación debieron resultar concluyentes, con información y datos de máxima objetividad que han permitido ofrecer públicamente el número concreto de usuarios y buzones afectados, así como de los documentos a los que se accedió de forma no autorizada. xEs por ello que en ejercicio de mis derechos, entiendo plenamente legitimado para esta consulta, en aras de obtener la seguridad jurídica plena y la garantía del respeto a la confidencialidad de mis datos, les solicito me indiquen cual es el procedimiento a seguir para acceder a la información antedicha, que me permita constatar con absolutas garantías si en algún momento se quebró la confidencialidad de mis datos personales e información existente en los procedimientos judiciales de los que soy parte. xCaso de no resultar competentes, para esta gestión les ruego me indiquen a qué organismo debo dirigirme, para verificar si se han visto vulnerados mis derechos constitucionales más esenciales. 2. Con fecha 21 de junio de 2018, la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS contestó a en los siguientes términos: xEl artículo 18.1. d) de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno regula como causa de inadmisión de las solicitudes de acceso a la información la siguiente: las dirigidas a un órgano en cuyo poder no obre la información cuando se desconozca el competente. xAsimismo, según el apartado 2, del citado artículo 18, de la Ley 19/2013, de 9 de diciembre: "En el caso de que se inadmita la solicitud por concurrir la causa prevista en la letra d) del apartado anterior, el órgano que acuerde la inadmisión deberá indicar en la resolución el órgano que, a su juicio, es competente para conocer la solicitud'. xEn este sentido, la información solicitada no obra en poder de la Agencia Española de Protección de Datos. En caso de existir la misma; la petición tendría que dirigirse ante el Ministerio de Justicia (Subdirección General de Nuevas Tecnologías de la Justicia). xEn consecuencia, se procede a inadmitir su solicitud al amparo de lo dispuesto en el artículo ·18.1. d) de la Ley 19/2013, de 9 de diciembre. Esta Resolución fue recibida por el solicitante el 29 de junio de 2018. 3. El 31 de julio de 2018, tuvo entrada en este Consejo de Transparencia escrito de Reclamación de , fechado el 27 de julio de 2018, en el que indicaba lo siguiente: xQue en la resolución objeto de la presente reclamación se arguye en el 'argumento primero y único que se inadmite la solicitud planteada por esta parte el pasado mes, ante la Agencia Española de Protección de Datos con registro de entrada n° 179886/2018 (documento adjunto n° 2), como quiera que el organismo antedicho dice no disponer de la documentación interesada por esta parte ("la información solicitada no obra en poder de la Agencia Española de Protección de Datos"). xY no solo eso, sino que incluso pone en duda que la misma exista ("En caso de existir la misma ... ''), refiriendo en su caso a que debo dirigir la solicitud ante otro organismo, ("la petición tendría que dirigirse ante el Ministerio de Justicia (Subdirección General de Nuevas Tecnologías de la Justicia), que casualmente es el sancionado por la Agencia Española de Protección de Datos Personales, en la resolución R/00433/2018, dictada en el procedimiento n° AP/00066/2017. xEn el antecedente segundo (páginas 8 y 9 de la resolución de 15 de marzo de 2018, aportada como documento n° 3), se recoge el siguiente tenor literal: “12. Con fecha 08 de noviembre de 2017 se recibe de la SGNTJ información que había quedado requerida durante la inspección presencial. De la información remitida cabe destacar: La remisión de un informe de auditoría sobre el incidente de seguridad, de fecha 26 de octubre de 2017, que evidenciaba qué usuarios de LexNET accedieron a buzones que no les pertenecían visualizando mensajes de forma no autorizada, y una parte de dichos usuarios consultaron documentos de dichos buzones igualmente de forma no autorizada.” xPor lo anteriormente expuesto, y confirmada la existencia de tal información y que la misma total o parcialmente debe obrar en poder de la Agencia de Protección de Datos Personales, con detalle del alcance de los accesos indebidos, así como los autores de los accesos (abogados, procuradores, etc.) y qué buzones LexNET se vieron afectados exactamente. xEn ejercicio de mis derechos, entiendo plenamente legitimado para esta consulta, en aras de obtener la seguridad jurídica plena y la garantía del respeto a la confidencialidad de mis datos personales, así como la información existente en los procedimientos judiciales de los que soy parte y que cuanto menos, debe obrar en el expediente de la Agencia Española de Protección de Datos que dio lugar a la incoación del expediente sancionador n° AP/00066/2017 aportado como documento nº 3. xPor todo lo anterior se interpone reclamación al amparo del artículo 24 de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno), ante el Consejo de Transparencia y Buen Gobierno. xY en su virtud, solicito: 1.- Que sea anulada la resolución contra la que se interpone esta reclamación (Resolución de fecha 21 de Junio de 2018 dictada por la Excma. Sra. Directora de la Agencia de Protección de Datos Personales, en el expediente 179886/2018) por no ajustarse a la realidad de los hechos - comoquiera que se ha acreditado que la AEPD disponía de dicha información - y causar indefensión grave a esta parte, y por ello que se inste a la Agencia Española de Protección de Datos Personales a la urgente aportación de la información interesada en los términos expuestos en la solicitud. Todo ello previa la constatación de los datos procesales, judiciales, etc. que fueran preceptivos. 2.- Subsidiariamente, y caso de que fuera desestimada la pretensión del apartado anterior por aplicación del art. 18 .d) de la Ley 19/2013 2 (lo que esta parte a priori no comparte), solicitamos se acuerde por ese Consejo de Transparencia y Buen Gobierno, requerir a la Agencia Española de Protección de Datos para que sea ésta quien ponga a disposición de esta parte dicha información, previo requerimiento de ella dirigido a la Subdirección General de Nuevas Tecnologías de la Justicia, o a cualesquiera otros organismos que hubieran podido contribuir a la investigación de la caída del sistema LexNET, a fin de permitir el ejercicio de cuantos derechos me asistan. 4. El día 2 de agosto de 2018, se trasladó la documentación obrante en el expediente a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS para que pudiese presentar las alegaciones que considerara oportunas. El escrito de alegaciones tuvo entrada el 3 de septiembre de 2018, y en el mismo se indicaba lo siguiente: xLa Agencia Española de Protección de Datos no cuenta con la información solicitada por el reclamante. xEn el expediente referido obra información relativa a, entre otras cuestiones, el número de usuarios de Lexnet que accedieron de forma no autorizada a buzones de otros usuarios, el número de accesos no autorizados, el número de visualizaciones no autorizadas de notificaciones de buzones de otros usuarios, el número de usuarios que descargaron adjuntos a las notificaciones, el número de adjuntos de notificaciones descargados de forma no autorizada, así como datos relativos a la distribución de los sujetos infractores y afectados por colectivo y colegio profesional. xNo constan datos relativos a la identidad de dichos sujetos infractores o afectados. Por este motivo, resulta imposible conocer si el reclamante se vio afectado por la brecha de seguridad del sistema y, en consecuencia, admitir su solicitud a trámite. xPor lo tanto, y a la vista de las alegaciones esgrimidas por esta Agencia Española de Protección de Datos, se insta al Consejo de Transparencia y Buen Gobierno a que proceda a desestimar la reclamación interpuesta, toda vez que resulta de aplicación lo dispuesto en el artículo 18.1. d) de la Ley 19/2013, de 9 de diciembre. II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 24 de la LTAIBG, en relación con el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, el Presidente de este Organismo es competente para resolver las reclamaciones que, con carácter previo a un eventual y potestativo Recurso Contencioso-Administrativo, se presenten en el marco de un procedimiento de acceso a la información. 2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendida, según el artículo 13 de la misma norma, como “los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones”. Es decir, la LTAIBG reconoce y regula el derecho a acceder a información pública que esté en posesión del Organismo al que se dirige la solicitud bien porque él mismo la ha elaborado o por porque la ha obtenido en el ejercicio de las funciones que tiene encomendadas. 3. Por su parte, el artículo 18.1. d) de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno regula como causa de inadmisión de las solicitudes de acceso a la informaciónlas dirigidas a un órgano en cuyo poder no obre la información cuando se desconozca el competente. La correcta interpretación de este precepto exige que se cumpla la condición exigida en el mismo, es decir, que se desconozca al órgano competente que pueda tener la información o documentación solicitada. Esta premisa no se cumple en el presente caso, dado que la propia AEPD dice conocerlo y se refiere a él en varias ocasiones: la primera en su propia Resolución recurrida (el Ministerio de Justicia - Subdirección General de Nuevas Tecnologías de la Justicia) y la segunda en su Resolución finalizadora del procedimiento AAPP 66/2017, de 15 de marzo de 2018, que declaró probado que el fallo provocó una brecha de seguridad que afectó al buzón de correo de los usuarios de LEXNETy en el que se declaró también que la Subdirección General de Nuevas Tecnologías de la Justiciaremitió un informe de auditoría sobre el incidente de seguridad, de fecha 26 de octubre de 2017, que evidenciaba qué usuarios de LexNET accedieron a buzones que no les pertenecían, visualizando mensajes de forma no autorizada. A este respecto debe tenerse en cuenta lo indicado en el expediente R/0235/2018, que se pronunciaba en los siguientes términos: 6.Sentado lo anterior, corresponde analizar si al caso presente le es de aplicación lo dispuesto en el art. 18.1 d) o, por el contrario, debe aplicarse lo indica en el art. 19.1, ambos de la LTAIBG, en el que se indica lo siguiente: 1. Si la solicitud se refiere a información que no obre en poder del sujeto al que se dirige, éste la remitirá al competente, si lo conociera, e informará de esta circunstancia al solicitante. Este Consejo de Transparencia y Buen Gobierno ya ha tenido ocasión de pronunciarse sobre esta cuestión en numerosas ocasiones Así, por ejemplo, en la R/0227/2017, se razonaba lo siguiente: La previsión de esta causa de inadmisión obedece a la lógica de que difícilmente se puede dar acceso a información de la que no se dispone en el órgano al que se solicita. De igual forma a los efectos de orientar al interesado en su solicitud, la LTAIBG indica que la aplicación de dicha causa de inadmisión vaya acompañada de la indicación del organismo o entidad que podría disponer de la información. En este sentido, el Ministerio remite al Reclamante a la empresa contratista. Sin embargo, esta empresa no queda incluida en el ámbito de aplicación de la LTAIBG, ya que es enteramente privada. Asimismo, según sostiene la Administración, el contrato fue tramitado por la Dirección General de Racionalización y Centralización de la Contratación, del Ministerio de Hacienda y Función Pública, por lo que, no consta en este Departamento la información sobre el ahorro que dicho contrato ha supuesto para la Administración, al ser un contrato centralizado. En este sentido, no resulta de aplicación lo dispuesto en el artículo 18.1 d), dado que el Ministerio requerido sí conoce quien puede tener la información en su poder. En casos como éste, resulta de aplicación el artículo 19.1 de la LTAIBG, que dispone que Si la solicitud se refiere a información que no obre en poder del sujeto al que se dirige, éste la remitirá al competente, si lo conociera, e informará de esta circunstancia al solicitante. Por ello, el Ministerio debió remitir la solicitud de acceso recibida al Ministerio que puede tener la información, para que éste contestara al solicitante. Dicho criterio ha sido mantenido en otros expedientes como el R/0363/2017, el R/0155/2017 o, más recientemente, en el R/0117/2018, en el que se indica lo siguiente: Si bien es cierto que puede alegarse cierta contradicción entre la causa de inadmisión prevista en el art. 18.1 d) y el acto de trámite del art. 19.1, este Consejo de Transparencia y Buen Gobierno es claro en su postura pro actione a favor del ciudadano y, por lo tanto, en considerar que la causa de inadmisión sólo debería aplicarse en supuestos de claro desconocimiento del organismo competente. Como decimos, en el caso que nos ocupa parecería difícil argumentar dicho desconocimiento debido tanto a la materia como a la Administración (en este caso autonómica) de la que partió la iniciativa. Así, a nuestro juicio, la causa de inadmisión del art. 18.1 d), por su condición de finalizadora del procedimiento, debe interpretarse con ese carácter restrictivo al que también hace referencia el Tribunal Supremo en su sentencia de 16 de octubre de 2017, dictada en el Recurso de Casación nº 75/2017, en el sentido de que "Cualquier pronunciamiento sobre las “causas de inadmisión” que se enumeran en el artículo 18 de la Ley 19/2013, de 9 de diciembre, (…) debe tomar como premisa la formulación amplia y expansiva con la que aparece configurado el derecho de acceso a la información en la Ley 19/2013." (...) A este respecto, debe también recordarse que la causa de inadmisión referida hace mención a circunstancias en las que claramente se desconozca el competente, circunstancia que no se da en el caso que nos ocupa. Así, y a efectos meramente de orientar al ciudadano en una nueva solicitud, es que el apartado 2 del mencionado precepto dispone que se deberá indicar el órgano que se supone- sin certeza- competente. Por otro lado, y en cuanto a la disponibilidad de la información por parte de la AEPD, ha quedado indicado y aclarado en los antecedentes de hecho, pero sólo a resultas de las alegaciones formuladas por dicho Organismo, que la información que solicita el reclamante- que, en efecto, viene referida el grado de afectación de la brecha de seguridad en los asuntos en los que él estuviera involucrado- no está a disposición de la AEPD. Lo que sí resulta concluyente a nuestro juicio es que, en caso de existir esos datos, el competente sería el MINISTERIO DE JUSTICIA. De cuanto antecede, puede concluirse que la solicitud de información debiera haber sido remitida al organismo que, en atención a sus funciones pudiera ser competente para así poder proporcionar una respuesta completa al interesado. En estas condiciones, no resulta a nuestro juicio de aplicación la causa de inadmisión contemplada en el articulo 18.1 d) de la LTAIBG sino el acto de trámite regulado en el art. 19.1 de la norma. 4. En conclusión, la presente Reclamación debe ser estimada, pero únicamente por motivos formales, debido a errores en la tramitación de la solicitud de acceso, debiendo retrotraerse las actuaciones practicadas para que la AEPD pueda remitir la solicitud inicial al órgano administrativo competente, notificándoselo así al Reclamante. Cumplido este trámite, asiste al solicitante el derecho a presentar nueva reclamación ante este Consejo de Transparencia en el caso de que el órgano competente no le responda en el plazo de un mes o deniegue injustificadamente su petición. III. RESOLUCIÓN Considerando los Antecedentes y Fundamentos Jurídicos descritos, procede PRIMERO:ESTIMAR por motivos formales la Reclamación presentada por , con entrada el 31 de julio de 2018, contra la Resolución de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, de fecha 21 de junio de 2018. SEGUNDO: INSTAR a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS a que, en el plazo máximo de 5 días hábiles, remita a la Subdirección General de Nuevas Tecnologías de la Justicia, del Ministerio de Justicia, la solicitud de acceso a la información presentada por , comunicando a éste el envío realizado. TERCERO:INSTARa la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS a que, en el mismo plazo máximo de 5 días hábiles, remita a este Consejo de Transparencia copia de las actuaciones llevadas a cabo. De acuerdo con el artículo 23, número 1, de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, la Reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas. En consecuencia, contra la presente Resolución, que pone fin a la vía administrativa, únicamente cabe, en caso de disconformidad, la interposición de Recurso Contencioso-Administrativo ante los Juzgados Centrales de lo Contencioso- Administrativo de Madrid en plazo de dos meses a contar desde el día siguiente al de su notificación, de conformidad con lo previsto en el artículo 9.1, c), de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa. EL PRESIDENTE DEL CTBG P.V. (Art. 10 del R.D. 919/2014) EL SUBDIRECTOR GENERAL DE TRANSPARENCIA Y BUEN GOBIERNO Fdo: Francisco Javier Amorós Dorda