AAPP-00024-2015

1/12 Procedimiento Nº AP/00024/2015 RESOLUCIÓN: R/01380/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00024/2015, instruido por la Agencia Española de Protección de Datos a la entidad CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTE. JUNTA DE ANDALUCÍA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha 22 de abril de 2014, escrito presentado por D. B.B.B. (en adelante el denunciante) en el que manifiesta que el Instituto de Enseñanza Secundaria (IES) Luis Bueno Crespo, de Armilla, dependiente de la Delegación Territorial de Granada, de la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía, dispone de la página web: <http://www.juntadeandalucia.es............> En dicha página, que es de libre acceso, se puede observar cómo se han incluido los nombres y apellidos de los empleados públicos destinados en el centro. Entre estos están los de quien formula la presente denuncia. Añade que en ningún momento ha dado su consentimiento ni autorizado la inclusión de sus datos ni su difusión en dicho medio. Se adjunta con el escrito de denuncia impresión de pantalla del citado sitio web, de fecha 22 de abril de 2014, en cuya cabecera figura “Sitio Web de IES LUIS BUENO CRESPO ORGANIGRAMA 2013-2014 PERSONAL DE ADMINISTRACION Y SERVICIOS (P.A.S.)” y a continuación se relacionan: AUXILIARES ADMINISTRATIVOS consta el nombre y apellidos de 4 personas. MONITOR ESCOLAR LABORAL consta el nombre y apellidos de 1 persona. ORDENANZAS consta el nombre y apellidos de 4 personas entre las que se encuentra el denunciante. LIMPIADORES consta el nombre y apellidos de 4 personas. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se ha verificado por parte la Inspección de Datos que, con fecha de 16 de mayo y de 1 de diciembre de 2014, en el sitio web <http://www.juntadeandalucia.es............> consta lo siguiente: Plataforma C/ Jorge Juan, 6 28001 – Madrid educativa Helvia – Sitio Web IES LUIS BUENO CRESPO www.agpd.es sedeagpd.gob.es 2/12 ORGANIGRAMA 2013-2014 PERSONAL DE ADMINISTRACION Y SERVICIOS (P.A.S.) y a continuación una relación de puestos de trabajo y los profesionales que los ocupan entre los que se encuentra el denunciante y que coincide con la impresión de pantalla aportada por el denunciante. Dichas circunstancias constan en la Diligencia de fecha 1 de diciembre de 2014. 2. En el Registro General de Protección de Datos figura inscrito el fichero denominado “RECURSOS HUMANOS”, con el código ***CÓD.1, siendo responsable la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía. Dichas circunstancias constan en la Diligencia de fecha 3 de diciembre de 2014. 3. El Secretario General Técnico de la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía ha informado a la Inspección de Datos, con fecha de 9 de enero de 2015, en relación con la publicación de los datos personales del denunciante en la página web de la Consejería lo siguiente: - Los centros educativos buscan integrar a la comunidad educativa a la que sirven facilitando información que pueda ser de interés para el alumnado y los padres y madres, en el presente caso, el centro ha buscado una difusión de esta información para procurar dar un mejor servicio a la comunidad educativa. - Si bien determinada legislación nacional y autonómica habilita en supuestos concretos (concursos de traslados, resolución de convocatorias de concurrencia competitiva, etc.) la publicación de determinados datos de trabajadores, en el caso que nos afecta, la publicación en Internet de los trabajadores de un centro educativo, no existe normativa que habilite a los centros educativos para la publicación de datos de carácter personal de los trabajadores, puede interpretarse que el centro ha buscado con esta comunicación cumplir lo dictado en el art. 33.1 de la Ley 17/2007, de 10 de diciembre, de Educación de Andalucía. - La publicación de datos personales de los trabajadores de los centros educativos no es una práctica habitual en la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía. Los centros educativos tienen autonomía sobre los contenidos que publican, y están informados de las obligaciones legales en lo tocante a protección de datos, tanto a través del Área de Seguridad y Protección de Datos del Portal Séneca (https://wwwjuntadeandalucia,es......) como a través del libro “Guía de protección de datos de carácter personal para los centros de enseñanza” publicado por la Consejería y localizable en la misma ubicación. - No les consta que ningún otro centro educativo publique datos de carácter personal de sus trabajadores y no disponen de acreditación documental del consentimiento otorgado por el denunciante para la publicación de sus datos en Internet. - No les constan comunicaciones o reclamaciones previas por parte del denunciante ni sobre otros trabajadores de la Consejería sobre la publicación de sus datos personales en páginas web de centros. - Desde la Secretaria General Técnica han contactado con el centro educativo para instarle, de forma inmediata, a la eliminación de la publicación que contiene los datos personales objeto de esta reclamación. 4. Se ha verificado por parte la Inspección de Datos que, con fecha de 17 de marzo de 2015, en el sitio web <http://www.juntadeandalucia.es............> consta lo siguiente: Sitio Web IES LUIS BUENO CRESPO ORGANIGRAMA 2013-2014 Equipo Directivo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 y a continuación la relación de puestos de trabajo: fotografía, nombre, apellidos y puesto de trabajo de “ocho” personas, entre los que no se encuentra el denunciante. Dichas circunstancias constan en la Diligencia de fecha 17 de marzo de 2015. TERCERO: Con fecha 8 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTE, JUNTA DE ANDALUCÍA por la presunta infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.

1. b)y 44.3.
2. d)respectivamente, de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTE de la JUNTA DE ANDALUCÍA presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “La publicación de datos personales de los trabajadores de los centros educativos no es una práctica habitual en la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía. Los centros están informados de las obligaciones legales en lo tocante a protección de datos, tanto a través del Área de Seguridad y Protección de datos del Portal Séneca (https: //www. juntadeandalucia.es/......) como a través del libro “Guía de protección de datos de carácter personal para los centros de enseñanza” publicado por la Consejería y localizable en la misma ubicación. (…) Desde la recepción de la ‘Solicitud de Información’ E/03117/2014, remitida por la Agencia Española de Protección de Datos, con fecha 10 de Diciembre de 2014, el centro lES Luis Bueno Crespo ha borrado la publicación del organigrama con los datos del personal del centro y por lo tanto se ha eliminado la fuente de cesión no autorizada de los datos de su personal. A fecha 20 de Abril, en el sitio web del lES Luis (http://www.juntadeandalucia.es......) se puede verificar lo siguiente: Bueno Crespo • El organigrama no está accesible desde la web del centro; se ha desenlazado la página del organigrama. • El acceso a la URL http://www.juntadeandalucia.es............ [^], presenta una página sin contenido. Se ha borrado la tabla que presentaba la relación de puestos de trabajo”. Manifiesta también que los centros educativos dependientes de la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía están informados y obligados al cumplimiento del artículo 6.1 y del artículo 10 de la LOPD. QUINTO: Al haberse reconocido la responsabilidad por la entidad imputada, procede la aplicación de lo dispuesto en el artículo 8.1 de Real Decreto 1398/1993, de 4 de agosto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, que dispone que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”, por lo que se eleva al Director de la Agencia Española de Protección de Datos a los efectos de que dicte resolución al respecto. HECHOS PROBADOS PRIMERO: Se ha denunciado en esta Agencia que en la página web del Instituto de Enseñanza Secundaria Luis Bueno Crespo, de Armilla, dependiente de la Delegación Territorial de Granada, de la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía, se han incluido los nombres y apellidos de los empleados públicos destinados en el centro. Entre ellos los del denunciante, quien manifiesta no haber dado su consentimiento para la inclusión de sus datos ni para su difusión en dicho medio. Se adjunta impresión de pantalla del sitio web, de fecha 22 de abril de 2014, en cuya cabecera figura “Sitio Web de IES LUIS BUENO CRESPO ORGANIGRAMA 2013-2014 PERSONAL DE ADMINISTRACION Y SERVICIOS (P.A.S.)” y a continuación se relacionan: AUXILIARES ADMINISTRATIVOS consta el nombre y apellidos de 4 personas. MONITOR ESCOLAR LABORAL consta el nombre y apellidos de 1 persona. ORDENANZAS consta el nombre y apellidos de 4 personas entre las que se encuentra el denunciante. LIMPIADORES consta el nombre y apellidos de 4 personas. SEGUNDO: Se ha verificado por parte la Inspección de Datos que, con fecha 16 de mayo y 1 de diciembre de 2014, en el sitio web: http://www.juntadeandalucia.es............ consta lo siguiente: Plataforma educativa Helvia – Sitio Web IES LUIS BUENO CRESPO ORGANIGRAMA 2013-2014 PERSONAL DE ADMINISTRACION Y SERVICIOS (P.A.S.) y a continuación una relación de puestos de trabajo y los profesionales que los ocupan entre los que se encuentra el denunciante y que coincide con la impresión de pantalla aportada por él. TERCERO: El Secretario General Técnico de la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía ha informado a la Inspección de Datos de que en este caso, el centro ha buscado una difusión de esta información para procurar dar un mejor servicio a la comunidad educativa. Manifiesta que no existe normativa que habilite a los centros educativos para la publicación de datos de carácter personal de los trabajadores, aunque puede interpretarse que el centro haya buscado con esta comunicación cumplir lo dictado en el art. 33.1 de la Ley 17/2007, de 10 de diciembre, de Educación de Andalucía. Expone que los centros educativos tienen autonomía sobre los contenidos que publican, y están informados de las obligaciones legales en lo tocante a protección de datos, tanto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 a través del Área de Seguridad y Protección de Datos del Portal Séneca (https://wwwjuntadeandalucia.es/......) como a través del libro “Guía de protección de datos de carácter personal para los centros de enseñanza” publicado por la Consejería y localizable en la misma ubicación. Desde la Secretaria General Técnica han contactado con el centro educativo para instarle, de forma inmediata, a la eliminación de la publicación que contiene los datos personales objeto de esta reclamación. CUARTO: Se ha verificado por parte la Inspección de Datos que, con fecha de 17 de marzo de 2015, en el sitio web <http://www.juntadeandalucia.es............> consta lo siguiente: Sitio Web IES LUIS BUENO CRESPO ORGANIGRAMA 2013-2014 Equipo Directivo, y a continuación la relación de puestos de trabajo: fotografía, nombre, apellidos y puesto de trabajo de “ocho” personas, entre los que no se encuentra el denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 3.
4. a)de la LOPD define los datos de carácter personal como: ”Cualquier información concerniente a personas físicas identificadas o identificables”. Añade el artículo 5.f del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables.” Por lo tanto, los nombres, apellidos, de los vecinos y trabajadores del Ayuntamiento de Villamayor recogidos en las Actas municipales, son datos personales de los mismos. Por su parte el artículo 3.
5. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
6. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 III El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
7. h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere, por lo tanto, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 (Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular”. Por tanto corresponde a la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía acreditar que contaba con ese consentimiento inequívoco de los afectados. IV El artículo 44.3.
8. b)de la LOPD considera infracción grave: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía ha tratado los datos personales del personal de administración y servicios del Instituto de Enseñanza Secundaria Luis Bueno Crespo, de Armilla, dependiente de la Delegación Territorial de Granada, al publicar los nombres y apellidos de los empleados públicos destinados en el centro en su página web sin su consentimiento inequívoco y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
9. b)de dicha norma. V El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 No consta que existiese ninguna habilitación legal para la publicación, en la página web del Instituto de Enseñanza Secundaria Luis Bueno Crespo, de Armilla, de los nombres y apellidos de los empleados públicos destinados en el centro, sin limitación de accesos, por la entidad imputada, que no ha justificado que dispusiera del consentimiento de los afectados. Se ha verificado por parte la Inspección de Datos que, con fecha 16 de mayo y 1 de diciembre de 2014, en el sitio web: http://www.juntadeandalucia.es............ consta: “Plataforma educativa Helvia – Sitio Web IES LUIS BUENO CRESPO ORGANIGRAMA 2013-2014 PERSONAL DE ADMINISTRACION Y SERVICIOS (P.A.S.)” y a continuación una relación de puestos de trabajo y los profesionales que los ocupan entre los que se encuentra el denunciante y que coincide con la impresión de pantalla aportada por él. El Secretario General Técnico de la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía ha informado a la Inspección de Datos de que en este caso, el centro ha buscado una difusión de esta información para procurar dar un mejor servicio a la comunidad educativa. Manifiesta que no existe normativa que habilite a los centros educativos para la publicación de datos de carácter personal de los trabajadores, aunque puede interpretarse que el centro haya buscado con esta comunicación cumplir lo dictado en el art. 33.1 de la Ley 17/2007, de 10 de diciembre, de Educación de Andalucía. Expone que los centros educativos tienen autonomía sobre los contenidos que publican, y están informados de las obligaciones legales en lo tocante a protección de datos. Informa que desde la Secretaria General Técnica han contactado con el centro educativo para instarle, de forma inmediata, a la eliminación de la publicación que contiene los datos personales objeto de esta reclamación. Se ha verificado por la Inspección de Datos que, con fecha de 17 de marzo de 2015, en el sitio web mencionado consta lo siguiente: Sitio Web IES LUIS BUENO CRESPO ORGANIGRAMA 2013-2014 Equipo Directivo, y a continuación la relación de puestos de trabajo: fotografía, nombre, apellidos y puesto de trabajo de “ocho” personas, entre los que no se encuentra el denunciante. El Secretario General Técnico de la Consejería informa, en las alegaciones al acuerdo de inicio del presente procedimiento de Declaración de Infracción de Administraciones Públicas, de que desde la recepción de la ‘Solicitud de Información’ de las actuaciones previas de investigación, E/03117/2014, remitida por la Agencia Española de Protección de Datos, con fecha 10 de Diciembre de 2014, el centro lES Luis Bueno Crespo ha borrado la publicación del organigrama con los datos del personal del centro y por lo tanto se ha eliminado la fuente de cesión no autorizada de los datos de su personal. Manifiesta que a fecha 20 de Abril, en el sitio web del lES Luis Bueno Crespo (http://www.juntadeandalucia.es......) se puede verificar que: • El organigrama no está accesible desde la web del centro; se ha desenlazado la página del organigrama. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 • El acceso a la URL http://www.juntadeandalucia.es............[^], presenta una página sin contenido. Se ha borrado la tabla que presentaba la relación de puestos de trabajo”. Expone también el responsable del tratamiento que los centros están informados de las obligaciones legales en protección de datos, tanto a través del Área de Seguridad y Protección de datos del Portal Séneca (https: //www. juntadeandalucia.es/......) como a través del libro “Guía de protección de datos de carácter personal para los centros de enseñanza” publicado por la Consejería y localizable en la misma ubicación. La Inspección de Datos constató que en el Registro General de Protección de Datos figura inscrito el fichero denominado “RECURSOS HUMANOS”, del que es responsable la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía. De esta forma la entidad denunciada resulta responsable de los ficheros de datos personales alojados en su página web y como tal debió implantar las medidas de seguridad apropiadas que impidieran el acceso de terceros no autorizados. En este caso, el deber de secreto previsto en el artículo 10 de la LOPD conlleva que la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía no puede revelar ni dar a conocer los datos personales del personal de administración y servicios de un centro escolar a terceros no interesados, por medio de su publicación en internet en abierto, sin un sistema que impida que terceros no autorizados puedan acceder a dichos datos personales, salvo con el consentimiento de los afectados o en los casos previstos en el artículo 6.2 de la LOPD. VI La conducta de la entidad denunciada se incardina en el artículo 44.3.
10. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En este procedimiento se ha acreditado que la Consejería denunciada ha divulgado los datos personales del personal de administración y servicios de un centro educativo, al permitir el acceso sin limitación alguna a los mismos. Dado que ha existido una vulneración en el deber de secreto por parte del denunciado en relación con datos personales, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de los datos personales citados fuera del ámbito de la entidad denunciada, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTE. JUNTA DE ANDALUCÍA ha infringido lo dispuesto en los artículos 6.1 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.
11. b)y 44.3.
12. d)respectivamente, de la citada Ley Orgánica. SEGUNDO: No requerir a la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía, la adopción de medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, toda vez que se ha acreditado que ya han sido adoptadas. TERCERO: NOTIFICAR la presente resolución a la Consejería de Educación, Cultura y Deporte de la Junta de Andalucía y a D. A.A.A.. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es