AAPP-00009-2015

1/11 Procedimiento Nº AP/00009/2015 RESOLUCIÓN: R/01717/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00009/2015, instruido por la Agencia Española de Protección de Datos a la entidad CONSEJERÍA DE EDUCACIÓN DE LA JUNTA DE CASTILLA Y LEON, vista la denuncia presentada por D. C.C.C. y DÑA. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 06/06/2014, tuvo entrada en esta Agencia Española de Protección de Datos un escrito de reclamación de D. C.C.C. y Dña. B.B.B. (en lo sucesivo los denunciantes), en su condición de representantes legales de su hijo menor de edad, que cuenta con un informe de A.A.A., en el que se ponen de manifiesto que habiendo formulado solicitud de centro educativo para el menor, accedieron al portal de Internet de la Junta de Castilla y León (www.jcyl.

1. es)para obtener la información relativa a dicha solicitud y verificar los datos de baremación, comprobando que este acceso requiere únicamente la introducción del número de DNI de uno de los solicitantes, estimando que se trata de una medida de seguridad insuficiente para proteger los datos alojados, la cual permite que cualquiera que conozca dicho dato pueda acceder a la información. Añade que este mecanismo permite acceder a un fichero con los nombres de los denunciantes, el número de solicitud, el nombre de su hijo, el curso solicitado, el estado de la solicitud y un fichero adjunto llamado “consulta de las puntuaciones de los apartados del baremo asignadas a la solicitud”. Al acceder al fichero de consulta aparecen los datos del menor, los colegios para los que solicitaron plaza y la puntuación del baremo, compuesta por 7 celdillas o circunstancias a puntuar. Dentro de estas celdillas figura una dedicada a la A.A.A.. Consideran que cualquier individuo pueda acceder a los datos publicados en la aplicación señalada. Manifiestan que la publicación de estos datos puede ser necesaria para que las personas con un interés justificado puedan acceder a ellos, pero no publicarlos en Internet sin una clave o mecanismo que imposibilite conocer este tipo de datos a personas ajenas. Asimismo, el apartado de la solicitud denominado “Declaraciones, autorizaciones y firmas” no ofrecía opción para oponerse a la publicación de los datos. SEGUNDO: Con fecha 22/09/2014, por la Subdirección General de Inspección de Datos se accede al “Portal de Educación” de la web www.jcyl.es comprobando que “se encuentra temporalmente desactivada”. TERCERO: Con fecha 25/02/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Consejería de Educación de la Junta de Castilla y León (en lo sucesivo CONSEJERÍA DE EDUCACIÓN) por la presunta infracción del artículo 9 de la LOPD, en relación con los artículos 91 y 93 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la citada LOPD, tipificada como grave en el artículo 44.3.
2. h)de la misma norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, se recibe escrito de la entidad CONSEJERÍA DE EDUCACIÓN en el que solicita el archivo de las actuaciones de acuerdo con las consideraciones siguientes: . El Decreto 11/2013, de 14 de marzo, regula la admisión del alumnado en centros docentes sostenidos con fondos públicos de la Comunidad de Castilla y León, y la Orden EDU/178/2013, de 25 de marzo que lo desarrolla, establecen un procedimiento de concurrencia competitiva y la competencia de los órganos de los centros de “dar publicidad a la información relativa a todos aquellos extremos necesarios para garantizar la transparencia y la objetividad del proceso (...)“ así como “publicar las listas con el alumnado que ha solicitado plaza en el centro y la puntuación obtenida” en los tablones de anuncios del centro, desglosada por circunstancias puntuables,. . En el formulario de solicitud de admisión, los interesados autorizan “(...) a publicar mediante listados de baremación o adjudicación, los datos identificativos del alumno y en su caso la puntuación obtenida por cada circunstancia puntuable alegada”. . La puntuación que se muestra en los listados de baremación (ya sean impresos y publicados en los tablones de los centros, o consultados a través de Internet) no se refiere a una persona sino a una solicitud. En concreto, en cuanto a la circunstancia de A.A.A., el baremo de admisión considera indiferenciadamente tanto la del propio alumno/a, como la de sus progenitores o hermanos, sin que esta concreción tenga reflejo en la información publicada. Distinta es la consideración de alumnado con necesidades educativas especiales asociadas a una A.A.A. del propio alumno/a, que no se publica. . La aplicación informática para consultas de las familias supone una diferente vía de acceso a la misma información previamente hecha pública por los centros docentes, tanto en sus tablones de anuncios como en sus páginas web, en cumplimiento de lo establecido al efecto en la normativa que regula el proceso de admisión. . La actuación de la CONSEJERÍA DE EDUCACIÓN no se ajusta al tipo establecido en el artículo 44.3.
3. h)de la LOPD, según se ha indicado, considerando que los participantes en el proceso de admisión autorizan la publicación de ciertos datos, que se hace en tablones de anuncios de los centros y además se articula, en beneficio de las familias, un acceso a la puntuación obtenida a través del Portal de Educación mediante la introducción del DNI del solicitante (no estamos ante un acceso sin clave o cortapisa alguna). Además, el dato en cuestión, cual es la puntuación obtenida por A.A.A., no identifica a la persona discapacitada. No obstante, se ha modificado el acceso a los datos del baremo a través del Portal de Educación, estableciendo para el año 2015 el acceso mediante el DNI y un segundo dato que reforzará su seguridad. QUINTO: En fecha 15/04/2015, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, y por presentadas las alegaciones al acuerdo de inicio formuladas por la CONSEJERÍA DE EDUCACIÓN y la documentación que a ellas acompaña. Por otra parte, en atención a lo solicitado por la citada entidad, por el instructor del procedimiento se acordó requerir a la misma para que aportase la siguiente documentación e C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 información: . Formulario de Solicitud de admisión en centros docentes de Castilla y León correspondientes a los cursos 2014/2015 y, en su caso, 2015/2016, así como cualquier documentación que acreditativa de la autorización otorgada por las familias participantes en dichos procesos para la publicación de las listas de solicitantes y puntuación obtenida. . Informe sobre la información relativa a dicho proceso de admisión de alumnos que se publica en los tablones de anuncios o accesible a través del Portal de Educación, con detalle de todos los datos personales publicados, con aportación de un modelo de listado impreso expuesto en los tablones e impresión de pantalla con la información accesible a través del portal mencionado. . Informe sobre los controles de acceso a los datos a través del Portal de Educación durante el proceso de admisión de alumnos para el curso 2014/2015 y el previsto para el curso 2015/2016. En respuesta a este requerimiento, la CONSEJERÍA DE EDUCACIÓN aportó copia de los documentos siguientes: . Solicitud presentada por los denunciantes en el centro concertado, manuscrita, en la que marcan la casilla “ A.A.A.”, y la casilla “autoriza a la Consejería de Educación a la verificación electrónica de los requisitos (...)”. Por otra parte, en el apartado de la solicitud “Declaraciones, autorizaciones y firmas”, junto al espacio reservado para las firmas de los solicitantes, se expresa claramente que éstos “AUTORIZAN al director o titular de los centros solicitados a publicar mediante listados de baremación o de adjudicación, los datos identificativos del alumno y en su caso la puntuación obtenida por cada circunstancia puntuable alegada”. . Solicitud de los denunciantes grabada en la aplicación de admisión por el citado centro en que fue presentada, en la que se transcribió la autorización a la verificación electrónica de datos fielmente respecto a la solicitud manuscrita. Se observa que los apartados genéricos contenidos en el bloque “Datos de Especial Sensibilidad” no son accesibles por el centro docente, sino únicamente por personal específicamente autorizado para ello en la correspondiente Dirección Provincial de Educación, o por los gestores del proceso en los órganos directivos centrales. Se observa igualmente que en la relación de centros solicitados aparece a la izquierda un icono, en primera opción, que indica que ese centro fue el finalmente adjudicado. . Listado de baremación del centro concertado, generado el 05/05/2014 para su publicación el día 8 en su tablón de anuncios, en el que figura la solicitud del alumno, la cual aparece baremada con puntos por A.A.A. y proximidad, así como con la indicación de preferencia (*). Se observa que en ese mismo listado aparece alumnado NO DISCAPACITADO cuya solicitud cuenta tanto con puntuación por A.A.A. (por ejemplo, páginas 3, 4 y 20) como con la indicación de preferencia (por ejemplo, página 19). . Captura de pantalla de la aplicación web para la consulta por las familias del estado de su solicitud de admisión. En la página 1 de 3 se muestra la apariencia actual de esta aplicación correspondiente al proceso de admisión de alumnos 2015/2016, cuyo acceso requiere indicar el NIF/NIE del solicitante junto a la fecha de nacimiento del alumno/a. El acceso en la campaña de admisión de 2014, que ya no está habilitado, se realizaba únicamente mediante NIF/NIE, teniendo por lo demás idéntica apariencia. En las páginas 2 y 3 se muestra la información sobre la solicitud que ofrece esta aplicación, que es coincidente con la mostrada en los listados de baremación impresos salvo por omitir la indicación de alumnado preferente. La CONSEJERÍA DE EDUCACIÓN añade que no resulta posible aportar muestras de la información publicada en las páginas web de los centros sobre el proceso de admisión 2014, ya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 que actualmente dicha información no está disponible, si bien consiste únicamente en el archivo pdf del mismo listado de baremación aportado. Por otra parte, destaca que el conocimiento de la publicación de determinada información personal asociada a una solicitud -que no al alumno/a- es necesariamente previo a la participación en este proceso de concurrencia competitiva, y que dicha información es alegada de forma opcional, voluntaria, autorizando expresamente a su verificación y autorizando a su publicación, a efectos de obtener una puntuación o preferencia de acceso a un centro, como efectivamente ha sido. SÉXTO: Con fecha 27/05/2015, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la entidad CONSEJERÍA DE EDUCACIÓN ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
4. h)de dicha norma, y que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la misma norma. En la citada propuesta se estimó que no procede requerimiento alguno en orden a la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD. Notificada la citada propuesta, la CONSEJERÍA DE EDUCACIÓN presentó escrito de alegaciones en el que reproduce literalmente sus alegaciones anteriores y añade que el acceso a través de la web mediante el DNI no debería tener un tratamiento distinto al acceso al tablón de anuncios del centro, que es libre y conforme a la normativa de admisión, y tampoco parece que atenta contra la legislación de protección de datos de carácter personal. Por otra parte, señala que debería especificarse la infracción realmente realizada; o qué condición de seguridad de las determinadas en vía reglamentaria ha sido omitida al publicar o permitir el acceso a unos dantos a través de la web (con el DNI) cuando dichos datos están autorizados a publicarse. HECHOS PROBADOS 1. La CONSEJERÍA DE EDUCACIÓN, a través del “Portal de Educación” accesible en la web www.jcyl.es, pone a disposición de los interesados la información relativa a los procesos de admisión de alumnos en centros docentes sostenidos con fondos públicos de la Comunidad de Castilla y León, que se desarrollan mediante un procedimiento de concurrencia competitiva, que obliga, según la normativa que lo regula, a “dar publicidad a la información relativa a todos aquellos extremos necesarios para garantizar la transparencia y la objetividad del proceso”, incluida la relativa a las circunstancias objeto de baremación. 2. Durante el proceso de admisión de alumnos correspondiente al curso 2014/2015, el acceso “Portal de Educación” a través de la web www.jcyl.es utilizaba únicamente el DNI/NIE de los interesados como clave privada para obtener la información sobre las solicitudes tramitadas. 3. Durante el proceso de admisión de alumnos para el curso 2015/2016, el acceso a la información sobre las solicitudes formuladas a través del “Portal de Educación” disponible en la web www.jcyl.es requiere introducir dos claves privadas correspondientes al DNI/NIE del solicitante y la fecha de nacimiento del alumno/a. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). III El Titulo VII sobre Infracciones y sanciones, el artículo 43 de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” IV Se imputa a la entidad CONSEJERÍA DE EDUCACIÓN el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
6. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
7. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Por su parte, el artículo 3.
8. a)de dicha Ley añade que se entenderá por datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
9. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
10. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
11. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
12. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
13. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
14. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El artículo 81.1 del citado Reglamento señala que “Todos los ficheros o tratamiento de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con acceso a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
15. b)del citado Reglamento define la autenticación como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la identificación como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. En definitiva, la entidad CONSEJERÍA DE EDUCACIÓN está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al haber establecido para el curso 2014/2015 un sistema de consulta de las solicitudes de admisión de alumnos en centros docentes sostenidos con fondos públicos de la Comunidad de Castilla y León, disponible a través del portal web www.jcyl.es, en el “Portal de Educación”, que no impedía de manera fidedigna que un tercero pudiera acceder a datos personales de los interesados, por cuanto el sistema habilitado en dicha web únicamente utilizaba el DNI/NIE de los usuarios como clave privada para la búsqueda y visualización de las solicitudes y el resultado de la baremación de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 circunstancias puntuables. Este mecanismo de acceso a la información contenida en el sistema citado, incluidos los datos personales registrados, no cumple las exigencias contenidas en los artículos antes reseñados, sobre control de accesos, identificación y autenticación de usuarios, por cuanto permite que un tercero pueda acceder al sistema con la mera indicación del número de DNI de un usuario registrado, sin que el sistema lleve a cabo ningún proceso de verificación de la identidad de la persona que accede (autenticación), para comprobar que efectivamente los datos accedidos corresponden a la persona que realiza la consulta. Así, los datos personales de los solicitantes eran accesibles desde la zona habilitada para los mismos, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que la CONSEJERÍA DE EDUCACIÓN ha incurrido en la infracción grave descrita. Esta conclusión se refiere al sistema de consulta de las solicitudes de admisión de alumnos en centros docentes habilitado a través del portal web www.jcyl.es, en el “Portal de Educación”. La exposición de la misma información en los tablones de anuncios de los centros docentes y su adecuación a la normativa de protección de datos conllevaría el examen de otras circunstancias que no han constituido el objeto del procedimiento. V En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. VI El artículo 44.3.
16. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que la CONSEJERÍA DE EDUCACIÓN ha incurrido en la infracción grave descrita. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 El número de DNI no puede utilizarse como único dato de control para identificar y autenticar al usuario del “Portal de Educación” accesible en la web www.jcyl.es. A este respecto, la CONSEJERÍA DE EDUCACIÓN, en su escrito de alegaciones a la apertura ha señalado las modificaciones introducidas en la aplicación indicada durante el proceso de admisión de alumnos para el curso 2015/2016, de modo que el acceso a la información sobre las solicitudes de admisión de alumnos a través del “Portal de Educación” requiere introducir dos claves privadas, correspondientes al DNI/NIE del solicitante y la fecha de nacimiento del alumno/a. Por tanto, se estima que las deficiencias apreciadas en dicho sistema han sido subsanadas, por lo que no procede requerir a la entidad CONSEJERÍA DE EDUCACIÓN la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad CONSEJERÍA DE EDUCACIÓN DE LA JUNTA DE CASTILLA Y LEON ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
17. h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad CONSEJERÍA DE EDUCACIÓN DE LA JUNTA DE CASTILLA Y LEON, a D. C.C.C. y DÑA. B.B.B.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es