1/10 Procedimiento Nº AP/00021/2014 RESOLUCIÓN: R/01546/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00021/2014, instruido por la Agencia Española de Protección de Datos a la entidad Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19/06/2013, tuvo entrada en esta Agencia una denuncia de D. A.A.A., trasladada por el Ayuntamiento de Albal (Valencia), en la que declara que, a las 8:15 horas del día 05/06/2013, extrajo de un contenedor amarillo para envases exámenes de alumnos que contienen datos personales, que considera debieran haberse destruido. Añade que el contenedor estaba ubicado en una vía pública del municipio de Albal e indica que, al parecer, la documentación proviene del IES de Catadau y se corresponden con pruebas realizadas en materia de Ciencias Naturales o similar. Aporta tres paquetes conteniendo bloques de exámenes en los que constan los nombres y apellidos de los alumnos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección se realizaron las siguientes actuaciones: 1. Del análisis de la documentación aportada con la denuncia se desprende lo siguiente: Los exámenes encontrados son de alumnos de “Ciències de la naturalesa” y “Biología” de 1º y 3º de ESO, respectivamente, así como, en menor cantidad, exámenes de “Ciencias para el mundo contemporáneo” de 1º de Bachillerato en los que consta el nombre del centro, en la esquina superior derecha, “IES XXXXXXX Curs 2011/12”. Todos los exámenes se encuentran corregidos y en su mayoría son de 2011 y 2012. Algunos bloques de exámenes se encuentran agrupados mediante una hoja de autorización para actividades, sin cumplimentar, de las que se utilizan para que los padres o tutores autoricen a los menores a realizar las actividades con salida del Centro. En estas autorizaciones consta también la identificación del Centro como “IES CATADAU” y su dirección. Se han aportado más de trescientos exámenes. 2. En respuesta al requerimiento de información efectuado por la Inspección de Datos, los representantes de la entidad IES XXXXXXX manifestaron lo siguiente: “El IES XXXXXXX de Catadau depende de la Conselleria de Educación, Cultura i Esport de la Generalitat Valenciana. […] Desconocemos el motivo por el que se encontraban los exámenes citados en su escrito, en el contenedor de la población de Albal, así como las causas que han llevado a la Agencia a relacionar a este Instituto con el citado hecho. El proceso de destrucción de documentos en el instituto se lleva a cabo a través una maquina destructora propiedad del instituto. En lo relativo a la información que cada profesor posee (exámenes, datos de alumnos, evaluaciones, etc.) cada profesor es responsable de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 salvaguarda y de la destrucción de su propia documentación. El instituto pone a la disposición de los profesores la maquina destructora. Actualmente no tenemos contenedores de recogida de documentación. En lo que se refiere a la normativa y documento de seguridad, desconocemos si la Generalitat o en su defecto la Conselleria poseen dicha normativa o documentación.” TERCERO: Con fecha 25/03/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con los artículos 92.4, 97.2 y 108 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, e infracción del artículo 10 de la citada Ley Orgánica, tipificadas como graves en los artículos 44.3.
- h)y 44.3.
- d)de la misma norma, respectivamente. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la entidad IES XXXXXXX presentó escrito en el que manifiesta lo siguiente: “1.- El hallazgo de los exámenes no se realizó en la vía pública, fueron extraídos del interior del contenedor destinado al reciclado de papel y cartón. 2.- La Orden 32/2011, de 20 de diciembre, de la Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, en su artículo 4, establece que los centros docentes conservarán los instrumentos de evaluación de un curso escolar hasta los tres meses primeros del curso escolar siguiente, siempre que no se haya iniciado ningún proceso de reclamación, en cuyo caso se custodian hasta que este finalice. Todos los exámenes encontrados superaban los plazos indicados en la Ley. 3.- Las notas de los exámenes son públicas, son expuestas en el tablón de anuncios del Centro, al que acceden todos los que quieran verlas, del propio centro o visitantes. Procedimiento que se repite en la práctica totalidad de centros educativos de enseñanzas medias y superiores. 4.- La documentación a la que hace referencia todo este procedimiento solamente contiene nombre y apellidos junto con una nota de calificación, y depositada a 30 km de distancia del centro en un contenedor de reciclaje. 5.- No obstante, hemos implementado en este curso el procedimiento de destrucción de documentación afectada de cualquier tipo de dato personal. En el segundo trimestre del curso, los profesores entregan en secretaria todo el material objeto de destrucción, recibiendo el correspondiente visado de entrega y el posterior visado de destrucción completada”. QUINTO: Con fecha 22/04/2014, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia formulada, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03745/2013, y por presentadas las alegaciones al acuerdo de inicio AP/00021/2014, formuladas por la entidad IES XXXXXXX. Por otra parte, el Instructor del procedimiento acordó requerir a la citada entidad para que aportase detalle sobre el proceso de destrucción de documentos en los que figuren datos personales a la que se refiere en su escrito de alegaciones de 04/04/2014, incluidas las instrucciones internas aplicadas para la confidencialidad de tales datos. Asimismo, en caso de que dicha destrucción de documentos se lleve a cabo por una entidad tercero, se requiere copia de la documentación contractual formalizada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 En respuesta a este requerimiento, el IES XXXXXXX informa que durante el segundo trimestre del curso se procede a la destrucción de la documentación confidencial del curso anterior excepto aquellos documentos que se encuentren incluidos en procesos de revisión, que se custodian hasta que se disponga de un pronunciamiento al respecto. El profesor cumplimenta un formulario relativo a la entrega de documentos a la Secretaría, que le emite el correspondiente resguardo. Una vez destruidos los mismos, la Secretaría emite un correo electrónico al profesor indicando la fecha de destrucción. Acompaña una diligencia por la que se hace constar que el Consejo Escolar ha aprobado por unanimidad el proceso de destrucción de documentación sensible, que se ha detallado a todos los profesores SÉXTO: Con fecha 09/06/2014, se emitió propuesta de resolución en el sentido siguiente: “1. Que por el Director de la Agencia Española de Protección de Datos se declare que la entidad Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha norma. 2. Que por el Director de la Agencia Española de Protección de Datos se declare que la entidad Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, ha adoptado las medidas necesarias de orden interno para la gestión de soportes que impidan que pueda producirse una nueva infracción similar a la analizada en el procedimiento, la cuales contemplan la destrucción de la documentación que vaya a ser desechada. 3. Que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999”. Notificada la citada propuesta, el plazo para formular alegaciones concedido a la entidad Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, transcurre sin que se haya recibido escrito alguno. HECHOS PROBADOS 1. El IES XXXXXXX depende de la Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana. 2. Con fecha de 05/06/2013, el denunciante extrajo de un contenedor situado en la vía pública del municipio de Albal diversa documentación sin destruir perteneciente al Instituto de Educación Secundaria XXXXXXX, de la localidad de Catadau, en la constan datos personales y calificaciones de alumnos de dicho instituto. Se trata de exámenes, más de trescientos, de alumnos de “Ciències de la naturalesa” y “Biología” de 1º y 3º de ESO, respectivamente, así como, en menor cantidad, exámenes de “Ciencias para el mundo contemporáneo” de 1º de Bachillerato en los que consta el nombre del centro, en la esquina superior derecha, “IES XXXXXXX Curs 2011/12”. En su mayoría son de 2011 y 2012. 3. Durante la fase de actuaciones previas de investigación, el IES XXXXXXX reconoció que no disponían de una normativa específica sobre la destrucción de exámenes y pruebas escritas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 4. Durante la tramitación del procedimiento, el Centro IES XXXXXXX ha informado a la AEPD sobre el procedimiento implementado para la destrucción de documentación afectada de cualquier tipo de dato personal, según el cual en el segundo trimestre del curso se procede a la destrucción de la documentación confidencial del curso anterior, excepto aquellos documentos que se encuentren incluidos en procesos de revisión, que se custodian hasta que se disponga de un pronunciamiento al respecto. El profesor cumplimenta un formulario relativo a la entrega de documentos a la Secretaría, que le emite el correspondiente resguardo. Una vez destruidos los mismos, la Secretaría emite un correo electrónico al profesor indicando la fecha de destrucción. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Por otra parte, el artículo 89 y siguientes del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, se refiere a las medidas de seguridad de nivel básico que deben implementarse en los ficheros. El artículo 92.4 de dicho Real Decreto, referido a la “Gestión de soportes y documentos”, establece lo siguiente: “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Y el artículo 97.2 del mismo Reglamento se refiere a la misma cuestión en los siguientes términos: “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. Asimismo, el artículo 108, en relación con la “Custodia de los soportes”, establece: “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. Así, la la Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, y en su nombre el IES XXXXXXX, están obligados a adoptar, de manera efectiva, las medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que dicha entidad incumplió esta obligación. En el presente caso, ha quedado acreditado que, el día 05/06/2013, el denunciante pudo acceder a diversa documentación perteneciente al IES XXXXXXX en la que figuraban datos personales de alumnos del centro, que había sido depositada sin destruir en un contenedor sito en la vía pública de la localidad de Albal accesible por terceros no interesados. En concreto, pudo acceder, y han sido aportados al expediente a exámenes de unos trescientos alumnos en los que consta la identificación de los mismos, su curso y las calificaciones. La entidad IES XXXXXXX no había dispuesto como obligatoria la destrucción de la documentación y no disponía de las normas necesarias para controlar dicho proceso Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, no dando lugar a posibilitar su hallazgo por terceros, dejándolos al alcance del público en una zona pública. Por ello, procede concluir que la la Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana (IES XXXXXXX) ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogidos en el artículo 9 de la LOPD. III En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). IV El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. El abandono en un lugar accesible por terceros de documentación responsabilidad de la entidad la Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana (IES XXXXXXX), en la que se detallan datos personales de alumnos, supone una vulneración del “principio de seguridad de los datos”, por lo que se considera que dicha entidad ha incurrido en la infracción grave descrita. V Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta del hallazgo por el denunciante de documentación en la que constan los datos personales de alumnos del IES XXXXXXX, según el detalle antes indicado. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
- g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, al haber posibilitado que el denunciante accediera a los datos personales contenidos en la documentación objeto de la denuncia, según el detalle que conste en los hechos probados, sin que los titulares de los datos o sus representantes legales hubiesen prestado su consentimiento para ello, queda acreditado que por parte del IES XXXXXXX se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
- d)de la LOPD. En este precepto se establece lo siguiente: “
- d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros no interesados. Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
- d)de la LOPD. VI Los hechos constatados, es decir, el abandono de documentación sin destruir en un contenedor sito en la vía pública, accesible a terceros, constituye una base fáctica para fundamentar la imputación al IES XXXXXXX de las infracciones de los artículos 6 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del tratamiento de datos que supone incorporar una imagen a la web, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procede subsumir ambas infracciones en una, procediendo imponer únicamente declarar la infracción más grave que, en este caso, corresponde a la prevista para la infracción del artículo 6 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. VII En las actuaciones constan las declaraciones efectuadas por el IES XXXXXXX en relación con las medidas de gestión de soportes aplicadas por el Centro, habiendo reconocido que, en la fecha en que tuvieron lugar los hechos denunciados, no disponían de una normativa específica sobre la destrucción de documentación. Posteriormente, durante la instrucción del expediente, la citada entidad ha informado a la AEPD sobre el procedimiento implementado para la destrucción de documentación afectada de cualquier tipo de dato personal, según el cual en el segundo trimestre del curso se procede a la destrucción de la documentación confidencial del curso anterior, excepto aquellos documentos que se encuentren incluidos en procesos de revisión, que se custodian hasta que se disponga de un pronunciamiento al respecto. Según los detalles aportados, el profesor ha de cumplimentar un formulario relativo a la entrega de documentos a la Secretaría, que le emite el correspondiente resguardo. Una vez destruidos los mismos, la Secretaría remite un correo electrónico al profesor indicando la fecha de destrucción. Por tanto, se entiende que la Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso los datos personales a garantizar la destrucción de los documentos en los que figuren datos personales que vayan a ser desechados. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD por incidencias similares a las que han motivado el expediente. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de de la citada Ley Orgánica. SEGUNDO: Debido a que la entidad la entidad Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, ha adoptado las medidas de orden interno necesarias para la gestión de soportes que impidan la comisión de una nueva infracción similar a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 analizada en el procedimiento, las cuales contemplan la destrucción de la documentación que vaya a ser desechada, no se insta por parte de la Agencia Española de Protección de Datos la adopción de una concreta medida correctora. No obstante, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, se solicita se comuniquen las que de forma autónoma decida adoptar, en su caso. TERCERO: NOTIFICAR la presente resolución a la entidad Conselleria d'Educació, Cultura i Esport de la Generalitat Valenciana, IES XXXXXXX, y a D. A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es