A-00246-2018

1/8 Procedimiento Nº: A/00246/2018 RESOLUCIÓN: R/01587/2018 En el procedimiento A/00246/2018, instruido por la Agencia Española de Protección de Datos a A.A.A., vista la denuncia presentada por B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 20/03/2018 tiene entrada en esta Agencia una denuncia presentada por B.B.B. (en lo sucesivo el denunciante), en la que manifiesta que, en el mes de marzo de 2018, se ha hecho entrega a sus dos hijos menores en dos centros escolares ubicados en dos localidades de Santa Cruz de Tenerife, unos cuestionarios de una empresa para ser cumplimentado por los alumnos, donde figuran datos personales. No se ha pedido el consentimiento a los padres de los menores para la cumplimentación de este, ni en el propio cuestionario se solicita dicho consentimiento. Con fecha 14/03/2018, el denunciante solicita mediante correo electrónico a la dirección que aparece en la web del formulario entregado, www.educon.es, informándole D. A.A.A., que el responsable del fichero es A.A.A.-EDUCON y la finalidad es la “Evaluación y Optimización de los recursos educativos y sociales del municipio”. Los datos recabados podrán ser cedidos al Ayuntamiento de la Matanza de Acentejo, así como de la dirección donde puede ejercer sus derechos de acceso, rectificación, cancelación y oposición. Se anexa la siguiente documentación:  Copia de los correos mantenidos con el denunciado.  Copia de imagen web del colegio titulado “Evaluación de las actividades extraescolares del Ayuntamiento”, lunes 12/03/2018, “Participar tiene premio”, “rellena el cuestionario y se indica que el Ayuntamiento con la aportación de EDUCON, analizaran las actividades extraescolares y los servicios municipales para garantizar la calidad educativa-social”” Fecha límite entrega; viernes 16/03/2018”  Con fecha 13/04/2018, se recibe escrito del denunciante donde informa de que la empresa denunciada ha entregado durante las dos primeras semanas de abril, documentos donde se solicitaba el consentimiento para los cuestionarios que ya habían sido entregados por los alumnos, en concreto una Copia del documento de solicitud de consentimiento entregado en abril a los alumnos, donde se solicita consentimiento para que los datos recabados sean tratados por A.A.A.-EDUCON, si bien el plazo de los cuestionarios ya había vencido y habían sido entregados. Aporta copia del documento titulado “consentimiento expreso alumnos” y en el pie consta para rellenar “nombre y apellidos-tutor o representante legal”. DNI y firma y el consentimiento al tratamiento Entre las cláusulas informativas consta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8

1. a)El fichero al que se incorporan los datos es responsabilidad de A.A.A.EDUCON.
2. b)Los datos se usan para el servicio contrata por el Ayuntamiento y que la información recogida va dirigía a conocer la satisfacción y aspectos de mejora que las familias solicitan para las actividades extraescolares o servicios municipales que utilice su hijo, subvencionados por el Ayuntamiento.
3. c)Se contiene la sede ante la que ejercitar los derechos. SEGUNDO: Con fecha 5/06/2018, se recibe escrito de D. A.A.A., con el que adjunta la siguiente información/documentación: 1.1. Se adjunta copia del Contrato de Prestación de Servicios con el Ayuntamiento de la Matanza de Acentejo, titulado “EVALUACIÓN Y OPTIMIZACIÓN DE RECURSOS EDUCATIVOS Y SOCIALES DEL MUNICIPIO” especificándose en el objeto del contrato los centros donde se realiza la entrega de los cuestionarios de las actividades extraescolares, gestionadas por el propio Consistorio, siendo las mismas de competencia municipal. En el contrato no figura extremo alguno sobre recogida de datos por parte de los tutores, consentimiento de estos o titularidad del fichero de los datos obtenidos. 1.2. Se adjunta escrito del denunciante, que lleva fecha de su firma a 10/04/2018, donde figura que “Le agradecería que entregue a la empresa el documento de consentimiento expreso, así como el cuestionario en blanco, puesto que no doy mi consentimiento para que usen ni mis datos ni la de los integrantes de mi familia”. “Por ese motivo, los datos de los hijos no se han tenido en cuenta. Se han revisado todos los consentimientos recibidos por las familias y no disponen de los cuestionarios de sus hijos” Añade que “La cumplimentación de dichos cuestionarios era voluntaria.” 1.3. Solo se han tenido en cuenta los cuestionarios de los consentimientos firmados para elaborar el Informe para el Ayuntamiento. No obstante, dado que realizan un sorteo en mutuo acuerdo con el Ayuntamiento de Acentejo, de una tablet y un mes gratuito en el Complejo Deportivo Municipal, solo optan al premio los menores que hayan entregado el consentimiento por parte de los padres, no tratándose los datos personales, nada más que con esta finalidad. 1.4. Se adjunta los correos anteriores intercambiados con el denunciante donde constan los hechos objeto de esta denuncia. TERCERO: Consultada el 3/07/2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado no le constan registros previos. CUARTO: Con fecha 24/07/2018, la directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00246/2018 por presunta infracción del artículo 6 de la LOPD por parte de A.A.A., tipificada como grave en el artículo 44.3.
4. b)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 QUINTO: Con fecha 20/08/2018 se recibe en esta Agencia escrito del denunciado en el que indica: 1) En este caso los cuestionarios no fueron cumplimentados, no aparecen los nombres del menor por lo que no se han tratado sus datos Precisa que dichos cuestionarios no fueron emitidos por el sino por el Ayuntamiento y que Al darse cuenta de lo sucedido intentó subsanar para completar en los cuestionarios la información de la recogida de datos y obtención del consentimiento. 2) Aporta copia del modelo de escrito “consentimiento expreso alumnos/as” para firmar por el tutor o representante legal. La hoja informa de la recogida y datos que pasan a un fichero titularidad del denunciando para atender el servicio contratado por el Ayuntamiento con el fin de valorar la calidad y mejora de actividades extraescolares, analizando los cuestionarios y entregando un informe final. En la hoja informativa de la recogida no se indica que sea voluntaria la entrega del cuestionario. 3) Aporta copia de escrito del denunciante fechado a 10/04/2018, en el que indica que es el padre de C.C.C. “alumno de su tutoría” para que le sea entregado “a la empresa” el documento de consentimiento expreso “así como el cuestionario en blanco” “puesto que no doy mi consentimiento para que usen ni mis datos ni la de los integrantes de mi familia”. 4) También aporta copia de un y mail de 14/03/2018 en el que el denunciado responde al denunciante indicándole que los datos que se recaban son tratados e incorporados a un fichero de su titularidad, con la finalidad de evaluación y optimización de los recursos educativos y sociales, y la dirección de la sede ante la que se ejercitan los derechos. La consulta que había precedido a dicha respuesta por parte del denunciante era para que le indicara quien es responsable del fichero y la dirección de ejercicio de los derechos. En otro correo posterior, de 16/03/2018, el denunciado remite un correo electrónico al denunciante en que le indica que está trabajando en la adecuación en lo referente a protección de datos “para la entrada en vigor del nuevo reglamento”. HECHOS PROBADOS 1) Ante la entrega en Colegio, el día 12/03/2018 a los dos hijos del denunciante de una hoja cuestionario efectuados en sus Colegios, el denunciante, padre de los niños pidió por correo electrónico aclaración a A.A.A. (empresa denominada EDUCON) sobre quién era el responsable de la recogida de los datos y la sede ante la que ejercitar derechos o reclamaciones. Respondiendo el denunciado el 14/03/2018, en otro correo posterior el denunciante pone de manifiesto que la solicitud de consentimiento para recabar los datos debe ser claramente legible en el cuestionario. El denunciante denuncia que en dicho cuestionario inicial no se contemplaba la obtención del consentimiento a los padres para recabar los datos de los menores. 2) El denunciante aporta en su denuncia un cartel informativo en el que se visualiza: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 “12/03/2018, lunes”. “Evaluación de actividades extraescolares del ayuntamiento”, y se informa “participar tiene premio”, “rellena el cuestionario”, indicando el Ayuntamiento que con la colaboración de EDUCON analizará las actividades extraescolares y los servicios municipales para garantizar la calidad educativa, “fecha límite de entrega 16/03/2018”. 3) A.A.A. (EDUCON) tiene inscrito el fichero CENTROS ESCOLARES para la finalidad de gestión de actividades asociativas, culturales, recreativas, deportivas y sociales. 4) A.A.A. tenía suscrito desde 6/03/2018 un “contrato de prestación de servicios” “evaluación y optimización de recursos educativos y sociales del municipio” con el Ayuntamiento de Matanza de Acentejo para evaluar y presentar propuestas de optimización de los recursos educativos y sociales en el municipio, a través de elaboración de cuestionarios de evaluación de las actividades y recogida de datos. No se contiene en el contrato el acceso de datos personales por parte del ayuntamiento. En el contrato no se indica aspecto alguno sobre la recogida de los datos, responsable del fichero o clausulas a implementar para la recogida de los datos de los menores. 5) No consta que el denunciante proporcionara o que remitiera el cuestionario con los datos de sus hijos al denunciado, sino que el 10/04/2018 presentó un escrito al denunciado no otorgando el consentimiento. 6) Al amparo de dicho cuestionario, se recogieron por el denunciado, datos de otros menores. El denunciado no acredita la obtención de datos de menores recogidos cuente con el consentimiento de los padres. El denunciado modificó el cuestionario con posterioridad, una vez acabado el período de recogida de datos, 16/03/2018. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II La LOPD indica: Artículo 6.1: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” Artículo 3
6. c)“Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); indica en su artículo 13:” Consentimiento para el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 de menores de edad”: “1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.” Artículo 5: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” En la información de la recogida de datos no se indica que la cumplimentación de estos es de carácter voluntario Al responsable del fichero, en este caso, el denunciado, corresponde acreditar que los datos que ha recabado cuentan con el consentimiento válidamente obtenido e informado, en este caso por parte de los padres de los alumnos. El denunciado no acredita que con los datos entregados hasta la fecha de 16/03/2018, en forma de cuestionarios de menores, obtuviera los consentimientos de los padres. Estos cuestionarios le sirvieron para realizar un informe al Ayuntamiento con el que había suscrito el servicio de análisis de las actividades. Se acredita así la comisión de la infracción del artículo 6.1 de la LOPD. III La infracción se tipifica como grave en el artículo 44.3.b de la LOPD que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” IV El artículo45.6 de la LOPD indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8
12. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
13. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto, se cumplen los requisitos. Junto a ello, se constata una cualificada disminución de la culpabilidad del denunciado teniendo en cuenta que no consta vinculación relevante de su actividad con la realización de tratamientos de datos de carácter personal, y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. V En cuanto a la adecuación de la cláusula informativa modificada para cumplir con el nuevo Reglamento (UE) 2016/679, Reglamento general de protección de datos (RGPD) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, aunque no es objeto de análisis en este procedimiento, incide en el tratamiento que pretende amparar. Cabe señalar en cuanto a lo que se contiene en el texto las siguientes observaciones:
14. a)No se indica la obligatoriedad o voluntariedad de proporcionar los datos. No se indica el colectivo de las personas de las que se recogen datos en cuanto a que sean menores de 14 años.
15. b)En cuanto a :“Los datos aportados en este formulario y los que se vayan aportando a lo largo de la prestación del servicio”, no se describe el servicio que se va a prestar, se aprecia que a los alumnos no se les presta servicio alguno por el responsable del fichero.
16. c)“Para la gestión administrativa del centro” no se identifica que centro.
17. d)“Se conservarán mientras duren la finalidad para la que se han obtenido” Este literal es indeterminado ya que, además, no se define antes la finalidad. En todo caso, la conservación de los datos ha de ser proporcional a los fines, y su conservación debe ser motivada por dicha proporcionalidad. Si la finalidad es la de efectuar un informe al Ayuntamiento, que no accede a los datos, hay que reconsiderar si no es posible poner un plazo. Se aprecia asimismo que de acuerdo con el artículo 13 del RGPD no se mencionan: “los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 “los destinatarios o las categorías de destinatarios de los datos personales, en su caso;” Sobre la obtención del consentimiento de los menores, el denunciado ha modificado el impreso informativo en el que se contiene la firma de la cláusula por parte de los padres o tutores, que son los que deben firmar los escritos, aunque se deba completar la cláusula informativa. De acuerdo con lo señalado, Por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00246/2018) a D. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
18. b)de la citada Ley Orgánica. 2.- REQUERIR a D. A.A.A. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6 de la LOPD. En concreto se insta al denunciado a reformular la cláusula informativa que se usa para los cuestionarios de menores en los Colegios para la finalidad de prestar el servicio de optimización y análisis de las actividades extraescolares por cuenta del Ayuntamiento de Acentejo. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando cualquier documento en el que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior. Se le advierte que, en caso de no atender el citado requerimiento, podría incurrir en infracción tipificada en el artículo 44 de la LOPD y sancionable de acuerdo con lo dispuesto en el artículo 45 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es