← España

A-00165-2013

1/13 Procedimiento Nº: A/00165/2013 RESOLUCIÓN: R/02906/2013 En el procedimiento A/00165/2013, instruido por la Agencia Española de Protección de Datos al COLEGIO CORAZON INMACULADO, vista la denuncia presentada por grupo de padres que no se identifican para proteger su intimidad y evitar represalias con sus hijos, alumnos del Centro denunciado, y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 22 de enero de 2013, tuvo entrada en esta Agencia un escrito de denuncia de procedencia anónima (manifiestan únicamente ser un grupo de padres de alumnos que mantienen el anonimato para evitar represalias con sus hijos, alumnos del centro denunciado) contra el Colegio Corazón Inmaculado, poniendo de manifiesto los siguientes hechos: 1. No facilitan información a las familias sobre el responsable de los ficheros automatizados creados, ni de sus finalidades, no existiendo, por tanto, consentimiento explicito para el tratamiento. 2. Publicación de fotos en revistas (anuario del colegio) sin solicitud previa de autorización para ello. 3. No existe un Documento de Seguridad según lo especificado en el artículo 88 del RDLOPD. No existen medidas de seguridad sobre los ficheros con datos de carácter personal, existiendo ficheros en papel en armarios sin control de acceso. 4. El centro dispone de un sistema de video vigilancia, desconociéndose las finalidades del mismo y sin distintivos informativos ubicados en lugar visible. Tampoco existen impresos a disposición de los interesados. Aportan copia de una fotografía donde se aprecian un armario abierto conteniendo archivadores. SEGUNDO: Realizada una inspección al Colegio Corazón Inmaculado, sus representantes realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: 1. SOBRE LA INFORMACION FACILITADA “Durante el proceso de matriculación de los alumnos, que se realiza cada año, los padres o tutores rellenan una serie de formularios entre los que se encuentran la “HOJA DE MATRICULACION” y la “FICHA DE INSCRIPCION”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Entre los datos recabados se encuentran los datos básicos del alumno, del padre y de la madre (o tutores) así como los datos bancarios para la domiciliación de los recibos. Destacar que en la HOJA DE MATRICULACION figura <<Los datos personales reseñados se incorporaran a un fichero de datos del que es responsable el Titular del Centro y que tiene por objeto la adecuada organización y prestación de las actividades desarrolladas por este Centro Educativo. De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, usted tiene reconocido y podrá ejercitar gratuitamente los derechos de acceso cancelación y rectificación, contactando con el propio Centro>>. Además, durante la jornada de puertas abiertas que se celebra cada año de forma previa al periodo de matriculación se ofrece información a los padres sobre el Ideario del Colegio, el carácter de Centro concertado, el Reglamento de Régimen Interno, la mecánica del proceso de matriculación y otros aspectos entre los que se incluye información sobre la protección de datos de carácter personal.” 2. SOBRE LAS FOTOGRAFIAS “El COLEGIO edita cada año un anuario con algunas fotografías de las actividades que se han desarrollado durante el curso, así como fotos de los alumnos por agrupadas por cursos. Esta revista se edita por tradición en el Centro, y, si bien no se recababa por escrito el consentimiento de los padres para la publicación de las fotos de sus hijos, en toda la historia del Centro no se ha recibido ninguna reclamación o queja por parte de ningún padre o tutor. No obstante, los padres son informados del día y hora que van a proceder a realizar la foto a sus hijos para ser publicada en la revista, y, si algún padre manifestara su oposición a la publicación de la fotografía de sus hijos, se atendería la misma. Además, la edición y coordinación de la revista se realiza conjuntamente por la Dirección del Centro y la Asociación de Madres y Padres de Alumnos (AMPA).” 3. SOBRE LA SEGURIDAD DE LOS DATOS “No existe, en el momento de realizar la inspección, ningún documento de seguridad como tal, que recoja las medidas de índole técnica y organizativas de seguridad aplicable a los ficheros que contienen datos de carácter personal. No obstante el COLEGIO es respetuoso con la seguridad de los datos personales que maneja, de tal forma que solo un conjunto limitado del personal tiene acceso a los mismos, estando los Sistemas de Información automatizados (ordenadores) protegidos con contraseña y ubicándose los ficheros en papel en espacios protegidos y cerrados mediante llave. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 En concreto, existen dos ordenadores en Secretaria, Administración y otro en el despacho del orientador. uno en EL COLEGIO tiene instalado un sistema de alarma que se activa por la noche.” 4. SOBRE EL SISTEMA DE VIDEOVIGILANCIA “El COLEGIO instaló una única cámara de video vigilancia en el centro aproximadamente hace unos cuatro años, con la misión de controlar la puerta de entrada al patio y evitar posibles accidentes al accionarla a distancia desde la recepción del Centro. La cámara se encuentra enfocando una zona que si bien es exterior, es propiedad del Centro. No existe ningún dispositivo de grabación de imágenes asociado a la cámara, existiendo un único monitor para la visualización de las imágenes en tiempo real ubicado en la recepción. La única persona que accede a las imágenes del es el personal de recepción con la finalidad descrita. No existen carteles ni folletos informativos de la existencia de la cámara si bien por su propia ubicación es perfectamente visible.” TERCERO: Durante la visita de inspección se recabaron ejemplares en blanco de la HOJA DE MATRICULACION y de la FICHA DE INSCRIPCION, un ejemplar de la circular de renovación de plaza para el próximo curso, así como un ejemplar de anuario (revista del colegio). También se recabó un fragmento del Régimen interior, aplicable a profesores y alumnos, en el que se cita “NO PUEDES UTILIZAR EN EL COLEGIO … NIGÚN INSTRUMENTO QUE NO TENGA QUE VER CON EL PROCESO DE APRENDIZAJE: MÓVILES, CÁMARAS, …” así como “Todos tenemos derecho a preservar nuestra intimidad e imagen, POR ESO NO SE PUEDE REALIZA DENTRO DEL RECINTO NINGÚN TIPO DE GRABACIÓN AUDIOVISUAL” Durante la inspección se realizaron las siguientes comprobaciones: SOBRE LA SEGURIDAD DE LOS DATOS 1. Los inspectores de la Agencia mostraron al representante del COLEGIO copia de la fotografía aportada por los denunciantes que muestra unos armarios abiertos, preguntando por su ubicación y solicitando el acceso a los mismos, comprobándose lo siguiente: Se encuentran ubicados en la planta tercera en un pasillo de clases alumnos. Se verifica que los armarios son metálicos y dotados de cerradura. En el momento de realizar la inspección se encuentran cerrados con llave. Según manifestaciones de la Directora del Centro, por ese pasillo no circulan personas externas al Colegio conteniendo los armarios exclusivamente documentación de promociones muy antiguas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 2. Se realizan las siguientes comprobaciones en el Departamento de Administración:  Se verifica la existencia de un ordenador, que procediendo a su encendido, solicita la introducción de una contraseña.  Se verifica la existencia de un armario dotado de cerradura que contiene documentación relativa a los profesores del COLEGIO.  Según manifestaciones de los representantes del COLEGIO el despacho se encuentra cerrado con llave cuando se encuentra sin personal. 3. Se realizan las siguientes comprobaciones en la Secretaría del COLEGIO:  Se verifica la existencia de dos ordenadores, que procediendo a su encendido, solicitan ambos la introducción de una contraseña. Uno de ellos se verifica que solicita una segunda contraseña para el acceso a la aplicación SIGMA, que gestiona los expedientes académicos de los alumnos. El otro ordenador es utilizado para otro tipo de tareas tal como preparación de documentación que se remite a los padres.  Se verifica la existencia de varios armarios dotados de cerradura que contienen los expedientes de los alumnos.  Se verifica que la puerta de acceso al despacho es de hierro con tres cerraduras. Según manifestaciones de los representantes del COLEGIO el despacho se encuentra cerrado con llave cuando se encuentra sin personal. 4. Se realizan las Psicopedagógico: siguientes comprobaciones en el Gabinete  Se verifica la existencia de un ordenador, que procediendo a su encendido, solicita la introducción de una contraseña.  Se verifica la existencia de un armario blindado dotado de una cerradura de seguridad que contiene los Informes de Evaluación Psicopedagógica.  Se verifica que la puerta de acceso al despacho esta reforzada con placas de metálicas. Según manifestaciones de los representantes del COLEGIO el despacho se encuentra cerrado con llave cuando se encuentra sin personal. SOBRE EL SISTEMA DE VIDEOVIGILANCIA 5. Se verifica que en la recepción existe un monitor que muestra la imagen captada por la cámara. Se comprueba que se trata de una imagen fija que recoge la puerta de entrada al patio. Dicha puerta se encuentra dentro del perímetro del COLEGIO una vez traspasada la verja que delimita el recinto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Se comprueba que el monitor está situado debajo del mostrador de recepción de tal forma que las imágenes solo son visibles por el personal de recepción. Se verifica la existencia de un botón al lado del monitor que una vez pulsado abre la puerta de acceso al patio. No se encuentra ningún dispositivo de grabación de imágenes. El sistema no permite la reorientación de la cámara ni realizar zoom de la imagen. Se verifica que la cámara se encuentra ubicada en lo alto de un mástil, es decir, no se encuentra adosada a la fachada del edificio. Se encuentra situada dentro del recinto del COLEGIO. Durante la inspección se realizaron fotografías de la cámara de video vigilancia y del monitor que muestra las imágenes, así como del armario blindado que contiene los datos del Gabinete Psicopedagógico, encontrándose todas ellas adjuntas al acta de inspección. CUARTO: Con fecha 24 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00165/2013. Dicho acuerdo fue notificado al denunciado. QUINTO: Con fecha 18 de noviembre de 2013, se recibió en esta Agencia escrito del Colegio Corazón Inmaculado en el que comunica, en síntesis, lo siguiente: respecto a la posible infracción de lo establecido en el artículo 5 de la LOPD referente a la ausencia total del cartel de video vigilancia, exponen que ya han colocado el cartel informativo, acompañando fotografía del mismo. En lo referente a la posible infracción de lo dispuesto en el artículo 9 de la LOPD, el Colegio tenía incorporadas las medidas de seguridad, si bien no estaban recogidas en el preceptivo documento de seguridad; acompañan copia del documento de seguridad que han elaborado. Manifiestan, finalmente, su voluntad de seguir cualquier indicación o precisión que esta Agencia considere oportuna. HECHOS PROBADOS PRIMERO: El Colegio Corazón Inmaculado, cuyas responsables son las Misioneras Corazón de María, trata datos de carácter personal de los alumnos y del personal que presta servicio en dicho colegio. En fecha 11 de noviembre de 2013, han procedido a la elaboración del documento de seguridad. SEGUNDO: El Colegio Corazón Inmaculado tiene implantado un sistema de video vigilancia que funcionaba sin que existiese cartel informativo. TERCERO: El Colegio Corazón Inmaculado recoge datos personales de los alumnos y de sus padres en la hoja de matriculación y en la ficha de inscripción, incluyendo en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 primer documento la siguiente cláusula informativa: <<Los datos personales reseñados se incorporaran a un fichero de datos del que es responsable el Titular del Centro y que tiene por objeto la adecuada organización y prestación de las actividades desarrolladas por este Centro Educativo. De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, usted tiene reconocido y podrá ejercitar gratuitamente los derechos de acceso cancelación y rectificación, contactando con el propio Centro>>. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II El artículo 9 de la LOPD, referido a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir el acceso no autorizado a los mismos por ningún tercero. Para poder delimitar cuáles son los accesos que la Ley pretende evitar, exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  2. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Por su parte, el artículo 3.
  3. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Por otro lado, hay que tener en consideración lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, concretamente en el artículo 88, que establece lo siguiente: “Artículo 88 El documento de seguridad 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información. 2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización. 3. El documento deberá contener, como mínimo, los siguientes aspectos:
  4. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  5. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  6. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  7. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  8. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  9. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  10. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
  11. a)La identificación del responsable o responsables de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13
  12. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. 5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo. 6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados. En tal caso, se atenderá al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento. 7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. 8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal. Así, cualquier entidad que trate datos personales está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros según la naturaleza de los datos incorporados, y, entre ellas, la de tener un documento de seguridad que las recoja. En el presente caso, ha quedado acreditado y ha sido reconocido que el Colegio Corazón Inmaculado careció de documento de seguridad hasta el 11 de noviembre de 2013. Por tal motivo, dicha entidad incumplió las medidas de seguridad establecidas en la normativa de protección de datos. III La denuncia también se refería a la existencia de unos armarios abiertos que contenían documentación. Durante la visita de inspección se preguntó a los representantes del Colegio acerca de su ubicación y se solicitó el acceso a los mismos, comprobándose que se encuentran ubicados en la planta tercera en un pasillo de clases. Se verificó que los armarios son metálicos y están dotados de cerradura. En el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 momento de realizar la inspección se encontraban cerrados con llave. Según manifestaciones de la Directora del Centro, por ese pasillo no circulan personas externas al Colegio conteniendo los armarios exclusivamente documentación de promociones muy antiguas. IV El artículo 44.3.
  13. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. La carencia del documento de seguridad supone una vulneración del “principio de seguridad de los datos”, por lo que se considera que el Colegio Corazón Inmaculado incurrió en la infracción grave descrita. No obstante, la entidad denunciada ya ha acreditado su confección. V Se imputa, asimismo al denunciado la infracción del artículo 5 de la LOPD que dispone, en su apartado 1, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  14. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  15. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  16. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  17. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  18. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del afectado a tener una apropiada información. En cuanto al modo en que haya de facilitarse dicha información, en lo referente a la grabación de imágenes, debe tenerse en cuenta el artículo 3 de la Instrucción 1/2006 que establece que “Los responsables que cuenten con sistemas de video vigilancia deberán cumplir con el deber de información previsto en el artículo 5 de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 15/1999, de 13 de diciembre. A tal fin deberán:
  19. a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
  20. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción”. “ANEXO1. El distintivo informativo a que se refiere el artículo 3.
  21. a)de la presente Instrucción deberá de incluir una referencia a la «LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS», incluirá una mención a la finalidad para la que se tratan los datos («ZONA VIDEOVIGILADA»), y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” Conforme a lo expuesto, el deber de información, en el supuesto examinado, exige el cumplimiento de las condiciones antes señaladas. En este caso, consta acreditado que en el Colegio Corazón Inmaculado no tenían carteles donde se informara a los afectados de la existencia de las cámaras de video vigilancia de conformidad con lo exigido en el Anexo de la Instrucción 1/2006, que resultaran visibles por las personas que acceden al establecimiento. El artículo 44.2.
  22. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso el denunciado ha recabado datos personales sin facilitar a sus titulares la información que señala el artículo 5 de la LOPD por lo que debe considerarse que ha incurrido en la infracción leve descrita. En la actualidad ya consta la existencia de cartel informativo según las alegaciones y documentación aportada. VI También se denunciaba la publicación de fotos de los alumnos en los anuarios del Colegio sin pedir consentimiento a los padres de los menores. La Disposición Adicional Vigesimotercera de la Ley Orgánica 2/2006, de 3 de mayo, de Educación (en adelante la LOE), recoge al respecto de los Datos personales de los alumnos lo siguiente: “1. Los centros docentes podrán recabar los datos personales de su alumnado que sean necesarios para el ejercicio de su función educativa. Dichos datos podrán hacer referencia al origen y ambiente familiar y social, a características o condiciones personales, al desarrollo y resultados de su escolarización, así como a aquellas otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 circunstancias cuyo conocimiento sea necesario para la educación y orientación de los alumnos. 2. Los padres o tutores y los propios alumnos deberán colaborar en la obtención de la información a la que hace referencia este artículo. La incorporación de un alumno a un centro docente supondrá el consentimiento para el tratamiento de sus datos y, en su caso, la cesión de datos procedentes del centro en el que hubiera estado escolarizado con anterioridad, en los términos establecidos en la legislación sobre protección de datos. En todo caso, la información a la que se refiere este apartado será la estrictamente necesaria para la función docente y orientadora, no pudiendo tratarse con fines diferentes del educativo sin consentimiento expreso. 3. En el tratamiento de los datos del alumnado se aplicarán normas técnicas y organizativas que garanticen su seguridad y confidencialidad. El profesorado y el resto del personal que, en el ejercicio de sus funciones, acceda a datos personales y familiares o que afecten al honor e intimidad de los menores o sus familias quedará sujeto al deber de sigilo. 4. La cesión de los datos, incluidos los de carácter reservado, necesarios para el sistema educativo, se realizará preferentemente por vía telemática y estará sujeta a la legislación en materia de protección de datos de carácter personal, y las condiciones mínimas serán acordadas por el Gobierno con las Comunidades Autónomas en el seno de la Conferencia Sectorial de Educación.” (el subrayado es de la Agencia Española de Protección de Datos). El Colegio indicó que se editaba cada año un anuario con algunas fotografías de las actividades que se han desarrollado durante el curso, así como fotos de los alumnos agrupadas por cursos. Añadían que si bien no se recababa por escrito el consentimiento de los padres para la publicación de las fotos de sus hijos, en toda la historia del Centro no se ha recibido ninguna reclamación o queja por parte de ningún padre o tutor, y se informaba a todos del día y hora en que se realizarían las fotografías para que pudieran manifestar su oposición. En el presente caso, nos encontramos con la realización de una actividad vinculada al desarrollo de la función educativa del Centro en la que se realiza un tratamiento proporcionado de la imagen del menor que no desborda, en principio, el ámbito de divulgación del propio Centro y de la cual se ha informado a los padres o tutores que pueden manifestar su opinión. En consecuencia, no se deduce de la actuación del colegio vulneración alguna. IX La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  23. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  24. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  25. a)y
  26. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del colegio denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de las infracciones. Por otra parte, como se ha expuesto, al quedar regularizadas las deficiencias existentes en materia de “información” y “medidas de seguridad” (artículo 5 y 9 LOPD) no se insta la adopción de medidas adicionales. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00165/2013) Al COLEGIO CORAZON INMACULADO con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción de los artículos 5 y 9 de la LOPD, tipificadas como leve y grave, respectivamente, en el artículo 44.2.
  27. c)y 44.3.
  28. h)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo al COLEGIO CORAZON INMACULADO. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.