CSIF DENUNCIA UNA GRAVE BRECHA DE SEGURIDAD EN LA CONSEJERÍA DE JUSTICIA POR LA EXPOSICIÓN DE LOS NUMEROS DEL DNI DE LOS FUNCIONARIOS DE JUSTICIA DE ANDALUCIA

CSIF denuncia ante la Consejería de Justicia, Secretaría General de Servicios Judiciales y Secretaria General de Insfraestructuras Judiciales, Modernización Digital y Regeneración,  la existencia de una grave brecha de seguridad que está provocando la exposición pública de los números completos de DNI de miles de funcionarios de la Administración de Justicia de Andalucía a través de expedientes electrónicos gestionados por la Junta de Andalucía.

Nos encontramos ante una vulneración masiva y estructural de la normativa de protección de datos personales, incompatible con el principio de minimización de datos recogido en el Reglamento General de Protección de Datos (RGPD). La legislación vigente exige que, cuando resulte imprescindible identificar a una persona, se adopten mecanismos de anonimización o seudonimización que eviten la difusión íntegra de datos especialmente sensibles, mostrando únicamente parte de la información identificativa.

Sin embargo, el DNI completo de numerosos funcionarios aparece visible en los diferentes tramites del procedimiento incorporados a los sistemas de gestión procesal, entre ellos el sistema Adriano, incumpliendo las propias directrices de seguridad de la información de la Administración de Justicia.

La identificación digital de los empleados públicos debe servir exclusivamente para garantizar la trazabilidad interna y la auditoría de actuaciones dentro del sistema. En ningún caso justifica que el número completo del DNI quede expuesto ante ciudadanos, profesionales o partes intervinientes en los procedimientos judiciales.

De hecho, el Comité Técnico Estatal de la Administración Judicial Electrónica (CTEAJE) y el Ministerio de Justicia acordaron hace años sustituir el DNI por códigos de identificación profesional o números de registro de personal precisamente para evitar riesgos de seguridad, suplantaciones de identidad y situaciones de acoso hacia los empleados públicos.

Aunque el tratamiento de los datos identificativos de los funcionarios encuentra cobertura legal en el ejercicio de sus funciones públicas, ello no legitima la difusión íntegra de dichos datos a terceros. Tanto la Agencia Española de Protección de Datos (AEPD) como el Consejo de Transparencia y Protección de Datos de Andalucía han reiterado que la publicación del DNI completo constituye una vulneración de la privacidad y una infracción de los principios de protección de datos.

La falta de medidas de protección desde el diseño, exigidas por el artículo 25 del RGPD, genera además un evidente riesgo laboral para los funcionarios de Justicia, ya que usuarios, investigados o litigantes pueden acceder a documentos que contienen datos personales innecesarios para la finalidad perseguida.

Un problema comunicado reiteradamente.

Tanto CSIF como los funcionarios de los cuerpos de Gestión Procesal, Tramitación Procesal y Auxilio Judicial , desde hace tiempo venimos poniendo en conocimiento de la Consejeria, que tras la actualización del sistema Adriano y la implantación del nuevo expediente judicial digital, numerosos documentos incorporan de forma visible su nombre y apellidos junto con el número completo de DNI, permitiendo el acceso a dicha información a personas que no necesitan conocer esos datos para el ejercicio de sus derechos procesales. Esta situación podría deberse a una incorrecta configuración de las plantillas documentales automatizadas o de los metadatos, o a una incorrecta parametrización del software del sistema de firma electrónica implantado por la Junta de Andalucía.

También se ha comunicado reiteradamente esta incidencia al CAU  por los trabajadores afectados, sin embargo, y tal como CSIF viene denunciando desde hace años en las Mesas Sectoriales en Consejería, el mal y deficiente funcionamiento de dicho servicio, hace que las incidencias hayan sido sistemáticamente archivadas sin haberse adoptado medidas eficaces para corregir el problema.

 

Desde CSIF exigimos actuaciones inmediatas

Ante la gravedad de los hechos, CSIF ha puesto esta situación en conocimiento de todos los Letrados de la Administración de Justicia Coordinadores Provinciales y asi como a los Lajs directores de las Oficinas Judiciales de los Tribunales de Instancia, para que  como responsables de velar por el correcto tratamiento de datos dentro de la tramitación de expedientes,  comuniquen urgentemente esta incidencia a la Comisión de Informática Judicial y a los órganos técnicos competentes para que se implante de inmediato una solución técnica que elimine la visualización del DNI en las firmas electrónicas y documentos generados por el sistema y mientras se implante una solución definitiva, se adopten medidas organizativas provisionales que eviten la exposición de dichos datos personales.

Asimismo, CSIF ha dirigido un escrito formal al DELEGADO DE PROTECCION DE DATOS de la Consejería exigiendo:

• El enmascaramiento inmediato de los números de DNI que aparecen en documentos y firmas electrónicas.
• La retirada de cualquier elemento visual que permita la exposición pública de dichos datos.
• La reconfiguración urgente del sistema para que únicamente figuren el cuerpo o cargo del funcionario y un identificador profesional interno o número de registro de personal.
• La revisión integral del sistema para garantizar el cumplimiento del RGPD y de la normativa de seguridad de la información.  

 

Riesgos para la seguridad y la salud laboral

CSIF considera que esta situación trasciende el ámbito de la protección de datos y constituye también un problema de prevención de riesgos laborales.

La exposición pública de los DNI incrementa significativamente el riesgo de:

• Suplantaciones de identidad.
• Represalias por parte de investigados o litigantes.
• Situaciones de acoso o intimidación.
• Pérdida de privacidad.
• Estrés, ansiedad y sensación de vulnerabilidad entre los trabajadores afectados.

Por ello, CSIF ha denunciado esta situación al COMITE DE SEGURIDAD Y SALUD para exigir una evaluación inmediata de riesgos psicosociales y de seguridad física, así como la adopción urgente de medidas preventivas y correctoras

 

Una pregunta que la Consejería debe responder

Desde CSIF planteamos una cuestión fundamental: ¿Qué necesidad existe de exponer públicamente el DNI completo de un funcionario para identificar al usuario que tramita un expediente?     La respuesta es clara: NINGUNA. 

Porque la identificación profesional puede realizarse mediante mecanismos mucho menos intrusivos y plenamente válidos desde el punto de vista jurídico y técnico, tales como:

• Nombre y apellidos.
• Cargo o puesto desempeñado.
• Unidad administrativa.
• Número de registro de personal.
• Código de identificación profesional.
• Sistemas de validación basados en CSV u otros mecanismos equivalentes.

Las autoridades de protección de datos vienen recomendando de forma reiterada el empleo de estas alternativas para evitar la exposición innecesaria de datos personales.

 

DESDE CSIF EXIGIMOS

CSIF exige a la Consejería de Justicia, Administración Local y Función Pública que ponga fin de manera inmediata a esta grave brecha de seguridad que afecta a todos los funcionarios de Justicia de Andalucía, garantizando la confidencialidad de sus datos personales y dotándolos de sistemas de identificación profesional seguros que les permitan desempeñar sus funciones con las debidas garantías de privacidad, seguridad y protección jurídica.