Una mezcla explosiva para los pequeños ayuntamientos

El día 25 en todos los países de la Unión Europea será de aplicación plena y obligatoria el Reglamento General de Protección de Datos (UE) 2016/679 del Parlamento Europeo y del Consejo, (RGPD), que ya entró en vigor el 25 de mayo de 2016. En España la ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), continuará vigente porque aún no se deroga. Lo será cuando finalmente se apruebe el Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal. (121/000013) presentado en el Congreso de los Diputados el 14/11/2017 y que recogerá todas las adaptaciones al RGPD. Este Proyecto de Ley al día de hoy se resuelve en trámite parlamentario, por lo cual llegará el día 25 de mayo y nos encontraremos que por primera vez en España el legislador europeo imponga, por falta de acción y/o prevención del nacional, una legislación que afecta a un derecho fundamental recogido en nuestra Constitución. En este sentido he consultado a Artemi Rallo, que fue director de la Agencia Española de Protección de Datos de 2007 a 2011 y actualmente secretario primero de la Comisión de Justicia, que es la instancia en la que se encuentra actualmente el Proyecto de Ley: «Intuyo que la Ley se aprobará después del verano. El 25 de mayo entrará en vigor el Reglamento, que es directamente aplicable, y seguirá aplicándose también la normativa nacional que no lo contradiga».

Como es evidente las administraciones públicas manejan cantidades de datos personales y los ayuntamientos, por muy pequeños que sean, podrían tener en ciertas circunstancias, ficheros de datos personales considerados sensibles y por lo tanto de máxima protección, como son ideología, afiliación sindical, religión, creencias, origen racial o étnico, salud, vida sexual, orientación sexual, dato genético o biométrico, además de los habituales como nombres y apellidos, direcciones, teléfono… (se consideran datos personales toda información sobre una persona física identificada o identificable). La disposición adicional primera del Proyecto de Ley pendiente de aprobar dice que «el Esquema Nacional de Seguridad (ENS) incluirá las medidas que deban implantarse en caso de tratamiento de datos de carácter personal, para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679».

Pero ¿cuántos pequeños o medianos ayuntamientos tienen implantado o han iniciado el proceso de implementación y desarrollo del Esquema Nacional de Seguridad en la provincia de León? y ¿cuántos pequeños o medianos ayuntamientos han nombrado delegado de Protección de Datos y lo han comunicado a la AGPD, para que sea público, tal y como obliga la norma? Que yo sepa sólo los ayuntamientos de Soto de la Vega y posteriormente Castrocontrigo (http://www.Iticme.es/BOPLE20180201-NombramientosAJN-LME.pdf) porque lo hemos gestionado desde Iticme, dado que somos conscientes de la falta de información, de personal con preparación técnica y en ocasiones de la desidia o ignorancia de los propios alcaldes. Desde 2007 vengo proclamando esta necesidad, «Los técnicos TIC en los ayuntamientos»: http://www.diariodeleon.es/noticias/opinion/tecnicos-tic-ayuntamientos_343281.html.

En España las empresas que no cumplan con la protección de datos podrían tener sanciones millonarias; en las administraciones públicas se sancionará con apercibimientos (Proyecto de Ley en su artículo 77.2) ya que el RGPD en su artículo 83.7 deja en manos de cada Estado miembro la aplicación de sanciones a las administraciones públicas. Sobre este agravio comparativo con respecto a las empresas privadas ya me pronuncié, también en 2007, en el desaparecido diario La Crónica de León en la tribuna Los datos personales y los ayuntamientos: http://www.Iticme.es/LCDL1809007-DatosPersonalesAytos.pdf

La posible explicación de no sancionar económicamente a las administraciones públicas podría ser que el Estado español no vea con buenos ojos el hecho de que se impongan sanciones que pudieran resultar gravosas a ciertas entidades públicas (como por ejemplo a las Entidades locales, incluidas las juntas vecinales) porque desde el mismo se es consciente de la carencia de los conocimientos y medios técnicos adecuados. Por otra parte los vecinos tampoco deben de tener sus datos personales cedidos por obligación administrativa, al alcance de cualquiera sin la debida protección y esto no puede continuar así porque de esta manera se incentiva la inoperancia y la falta de responsabilidad. No obstante la solución pasa ineludiblemente por que las instituciones dispongan de personal formado en estos aspectos.

El 13 de julio pasado, Iticme organizó junto con el Ayuntamiento de Castrocontrigo, un evento que se celebró en el Hotel Valle del Eria para ofrecer información, formación y ayuda a los responsables municipales asistentes, en la implantación de unas pautas mínimas de Seguridad y Protección de Datos y así comenzar a cumplir con la legislación al efecto en las Entidades locales leonesas. Intervinieron, además de Iticme, y el alcalde de Castrocontrigo, Olivio Campo, Incibe representado en la persona de Luis Hidalgo, la Diputación de León representada por su vicepresidente, Francisco Castañón y la Federación Regional de Municipios y Provincias de Castilla y León por Luis Manuel Esteban: http://www.iticme.es/DECastrocontrigo.pdf. Continuamos con ese mismo ofrecimiento.

No obstante el panorama es posible que cambie. La razón, es que tal y como he indicado antes, al intervenir el ENS de forma conjunta con el RGPD y si en un ayuntamiento, por ejemplo, se produce un ciberataque y robo de datos personales, correos, actas de Junta de Gobierno Local (que no son públicas) y cualquier otra información almacenada digitalmente, sin tener siquiera iniciada la implementación del ENS, podría dar lugar a que los posibles afectados ante tal negligencia, solicitasen acciones penales e incluso indemnizaciones por la comisión de un delito de complicidad omisiva al alcalde, como responsable de no haber comenzado a incorporar, al menos, las primeras medidas de seguridad del ENS, una de ellas es la obligación de comunicar lo antes posible cualquier incidente de seguridad a través de la herramienta Lucia.

Por cierto el ENS debería estar implementado en todas las administraciones públicas desde el día 4 del pasado noviembre y haber elaborado el preceptivo Informe Nacional del Estado de Seguridad 2017 mediante la herramienta INES, que al igual que Lucia, son proporcionadas por el CCN (Centro Criptológico Nacional). Todavía se está a tiempo, al menos hasta que se apruebe definitivamente la nueva Ley de Orgánica de Protección de Datos Personales.