Solicitud de información sobre el robo de datos de la DGT, medidas de seguridad implementadas y confirmación de afectación de datos personales, estimada formalmente por respuesta tardía

Resolución reclamación art. 24 LTAIBG I. ANTECEDENTES 1. Según se desprende de la documentación obrante en el expediente, el 2 de junio de 2024 el reclamante solicitó al MINISTERIO DEL INTERIOR, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información: «Recientemente he leído en prensa que se ha producido un robo masivo de datos de la Dirección General de Tráfico. Solicito que se me confirme si mi información ha sido robada por los hackers, y en caso afirmativo qué información exacta ha sido robada. S/REF: 00001-00091415 N/REF: 1036/2024 Fecha: La de firma. Dirección: Información solicitada: Sustracción bases de datos de la DGT. R CTBG Número: 2024-1160 Fecha: 17/10/2024 Solicito que se me informe de qué medios tenía la Dirección General de Tráfico implementados para evitar estos robos de datos antes del robo, y qué nuevos medios ha implementado después del robo.» 2. Mediante resolución de 5 de junio de 2024 el citado ministerio dio respuesta a la solicitud indicando: «Desconocemos si sus datos han sido filtrados o no, ya que no disponemos de la base de datos que se ha indicado en los medios que está en venta a través de Internet. La filtración de datos se encuentra bajo investigación judicial y desconocemos la veracidad de la fuente.» 3. Mediante escrito registrado el 7 de junio de 2024, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, el Consejo) en aplicación del artículo 24 de la LTAIBG en la que pone de manifiesto que: «Según diversas noticias de prensa, hackers han sustraído la base de datos de la Dirección General de Tráfico (DGT). Solicité a la DGT que: (i) me confirme si mi información ha sido sustraída, y en su caso detalle de qué información ha sido sustraída, y (ii) me informe de qué medios de tenía la DGT implementados para evitar estas sustracciones, y (iii) qué nuevos medios va a aplicar. En su respuesta, la DGT sólo responde la pregunta i, e ignora las preguntas ii y iii. Solicito que la DGT me responda en detalle a las preguntas i, ii y iii.» 4. Con fecha 10 de junio de 2024, el Consejo trasladó la reclamación al ministerio requerido solicitando la remisión de la copia completa del expediente derivado de la solicitud de acceso a la información y el informe con las alegaciones que considere pertinentes. El 21 de junio tuvo entrada en este Consejo, junto al expediente, escrito en el que se señala lo siguiente: R CTBG Número: 2024-1160 Fecha: 17/10/2024 «PRIMERA. - Debemos indicar que se ha producido un error administrativo involuntario al interpretar la solicitud de acceso a la información pública formulada por el interesado, actual recurrente. Resulta aplicable a tenor de lo manifestado en el párrafo anterior, el art 109.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas: “Las Administraciones públicas podrán, asimismo, rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho, o aritméticos existentes en sus actos”. En base a este precepto, y en esta fase del procedimiento, se subsana el fallo cometido dando respuesta a dos de las tres cuestiones planteadas por el interesado que quedaron sin contestar en la resolución inicial emita por DGT “(II) qué medios tenía la Dirección General de Tráfico implementados para evitar estos robos de datos antes del robo, y (III) qué nuevos medios ha implementado después del robo”. Aunque la cuestión (I) ya fue contestada, no obstante, se amplían detalles a la misma. SEGUNDA. - Al ser la materia de reclamación competencia exclusiva de la Gerencia Informática de la DGT, se indica la respuesta obtenida de esta unidad a los argumentos del solicitante: “(I)-No podemos saber si los datos particulares de un ciudadano se incluyen en esta base de datos, ya que nuestro Organismo no ha tenido acceso a la misma. Desconocemos la fiabilidad de la fuente y desconocemos el número exacto de datos reales que pueden obrar en poder del atacante. En este ámbito la investigación está en manos de la UCO. El Delegado de Protección de Datos le informa, para dar respuesta a su petición, que se ha dado traslado, a la Agencia de Protección de Datos, de la brecha a la que usted alude, el 3 de junio de 2024 a las 13:36 y está en continuo contacto con el Centro Criptológico Nacional para analizar posibles ataques informáticos. (II). -La Dirección General de Tráfico cede sus datos a numerosos organismos públicos, que tienen derecho de acceso a los datos del Registro de Vehículos y Conductores de la DGT en base a competencias que tienen encomendadas o delegadas por Ley. Estos organismos están obligados a controlar el acceso a estos datos desde el momento en que le son cedidos del mismo modo que la DGT debe comprobar que los accesos a estos datos son legítimos. En el momento de la consulta de un dato por parte de un tercero, comprueba que el organismo solicitante está habilitado para el acceso. Realiza controles de calidad de acceso y tiene establecidos límites de consultas de sus servicios. En base a los datos que le solicitan las Fuerzas y Cuerpos de Seguridad, la DGT pone a disposición los datos de las consultas realizadas para las consiguientes investigaciones que se requieran llevar a cabo. (III). -Se ha promovido un grupo de trabajo con otros organismos de la AGE para analizar cómo se puede controlar que los ayuntamientos no puedan acceder a los datos si no implementan accesos con certificado o doble factor a través de sus sistemas. Por otra parte, también se está llevando a cabo una investigación por la Unidad responsable junto con las Fuerzas y Cuerpos de Seguridad del Estado, para llegar al fondo del asunto y depurar las responsabilidades que pudieran existir, por lo que habrá que estar al resultado de la investigación para saber si sus datos se han visto afectados o no por la citada brecha”.» 5. El 25 de junio de 2024, se concedió audiencia al reclamante para que presentase las alegaciones que estimara pertinentes; recibiéndose escrito ese mismo día en el que señala: «Respecto al trámite de audiencia que se me comunica mediante la notificación con Código seguro de Verificación: GEN-964d-ca95-10b7-ba9e-bbac-58f3-b923- d6a4, considero insuficiente la información recibida en relación a las 3 preguntas planteadas. Solicito que la Dirección General de Tráfico profundice en sus respuestas. En base a ello, estudiaré si de la actuación de la Dirección General de Tráfico en relación a la custodia de mis datos personales (y los de otros millones de ciudadanos) ha sido ajustada a derecho. Solicita Que se inste a la Dirección General de Tráfico a responder en detalle a las tres preguntas planteadas. Que se analiza, y en su caso, persiga a los responsables de la filtración de millones de datos personales de la Dirección General de Tráfico.» II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 13.2.d) del Real Decreto 615/2024, de 2 de julio, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, A.A.I. , el presidente de esta Autoridad Administrativa Independiente es competente para conocer de las reclamaciones que, en aplicación del artículo 24 de la LTAIBG , se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información. 2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal. 3. La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a información relativa a un acceso indebido a la base de datos de la DGT, datos que habrían sido objeto de sustracción. Concretamente se solicita: (i) conocer si los datos del interesado se han visto afectados, con detalle, en su caso, de qué datos; (ii) medios de los que disponía la DGT para evitar tales situaciones; (iii) nuevos medios implementados para evitar futuras sustracciones. El ministerio dictó resolución dando respuesta únicamente a la primera de las cuestiones planteadas. Posteriormente, en trámite de alegaciones, disculpándose por el error cometido al obviar en su respuesta las otras dos cuestiones planteadas, completa la misma y amplía la información facilitada en relación con la primera. 4. Antes de entrar a examinar el fondo de asunto, procede recordar que el artículo 20.1 LTAIBG dispone que «[l] a resolución en la que se conceda o deniegue el acceso deberá notificarse al solicitante y a los terceros afectados que así lo hayan solicitado en el plazo máximo de un mes desde la recepción de la solicitud por el órgano competente para resolver. Este plazo podrá ampliarse por otro mes en el caso de que el volumen o la complejidad de la información que se solicita así lo hagan necesario y previa notificación al solicitante». En el presente caso, el órgano competente si bien respondió a la solicitante dentro del plazo máximo legalmente establecido, no atendió totalmente a la solicitud de acceso , dando lugar a una reclamación referida a la parte de información que quedó sin respuesta, así como respecto de la parte atendida por considerarla insuficiente, que se proporciona en el trámite de alegaciones de este procedimiento. A la vista de ello, es obligado recordar a la Administración que la observancia del plazo máximo de contestación es un elemento esencial del contenido del derecho constitucional de acceso a la información pública, tal y como el propio Legislador se encargó de subrayar en el preámbulo de la LTAIBG al manifestar que «con el objeto de facilitar el ejercicio del derecho de acceso a la información pública la Ley establece un procedimiento ágil, con un breve plazo de respuesta». 5. No obstante, no puede desconocerse que, con posterioridad, el Ministerio ha completado la información facilitada respecto del primer punto de la solicitud («si mi información ha sido robada por los hackers, y en caso afirmativo qué información exacta ha sido robada»), añadiendo que el incidente en cuestión está siendo objeto de investigación por parte de la UCO (Unidad Operativa Central de la Guardia Civil, especializada entre otros en el ámbito de la ciberdelincuencia) y que se desconoce la fiabilidad de la fuente que publicita la venta, así como el número exacto de datos reales afectados. Por otro lado señala que ha dado traslado del incidente a la AEPD y que mantiene continuo contacto con el Centro Criptológico Nacional para analizar posibles ataques informáticos, pero que habrá que estar al resultado de la investigación para saber si los datos del reclamante se han visto afectados o no por la citada brecha. A la vista de las explicaciones ofrecidas en este punto por el ministerio y habiendo puesto de manifiesto que no dispone de la información solicitada sin que se disponga de elementos de juicio que puedan rebatir tal afirmación, este Consejo considera suficientemente justificada la respuesta de aquel. Consecuentemente, de acuerdo con lo establecido en el reseñado artículo 13 LTAIBG, dado que es presupuesto habilitante para el ejercicio del derecho de acceso que la información exista, cualquiera que sea su formato o soporte, y obre en poder de alguno de los sujetos incluidos en el ámbito de aplicación de la Ley, por haber sido elab orada o adquirida en el ejercicio de sus funciones, presupuesto que no se da en el presente caso, la reclamación en este punto debe ser desestimada. 6. Por otro lado, también de forma tardía el Ministerio ha proporcionado la información referida al resto de puntos de la solicitud de acceso a la información que había sido omitida en la resolución inicial —qué medios tenía la Dirección General de Tráfico implementados para evitar estos robos de datos antes del robo, y qué nuevos medios ha implementado después del robo—. Detalla, así, el Ministerio en qué condiciones comparte con organismos públicos los datos que almacena en el Registro de Vehículos y Conductores —siempre con fundamento en competencias atribuidas o delegadas por Ley y con comprobación de la legitimidad de los accesos (que también corresponde a los otros organismos públicos)—. Manifiesta, asimismo, que se realizan controles de calidad, se establecen límites de consultas a sus servicios y se ponen a disposición de las Fuerzas y Cuerpos de Seguridad del Estado los datos de las consultas realizadas para las investigaciones que lo precisen. Por lo que concierne a los nuevos medios implementados tras el incidente, indica que se ha promovido un grupo de trabajo con otros organismos de la AGE para analizar cómo se puede controlar que los ayuntamientos no puedan acceder a los datos si no implementan accesos con certificado de doble factor en sus sistemas, y que se está llevando a cabo una investigación junto con las FFCCSS para depurar responsabilidades. A la vista de la respuesta y explicaciones ofrecidas, este Consejo considera que se ha proporcionado, si bien de forma tardía, una información que ha de considerarse razonable y suficiente desde la perspectiva del derecho de acceso a la información como medio para conocer cómo actúan las administraciones públicas. 7. En consecuencia, de acuerdo con lo expuesto, procede la estimación de la reclamación por motivos formales ya que no se ha respetado el derecho del solicitante a obtener la información completa en el plazo legalmente establecido, habiendo sido necesaria la presentación de una reclamación ante este Consejo para ver plenamente reconocido su derecho. III. RESOLUCIÓN En atención a los antecedentes y fundamentos jurídicos descritos, procede ESTIMAR por motivos formales la reclamación presentada por frente al MINISTERIO DEL INTERIOR De acuerdo con el artículo 23.1 , de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre , de Procedimiento Administrativo Común de las Administraciones Públicas. Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa . EL PRESIDENTE DEL CTBG Fdo.: José Luis Rodríguez Álvarez