1/17 Procedimiento Nº AP/00025/2016 RESOLUCIÓN: R/02316/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00025/2016, instruido por la Agencia Española de Protección de Datos a la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, vista la denuncia presentada por Don F.F.F., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 13 de mayo de 2015, tuvo entrada en esta Agencia un escrito remitido por Don F.F.F., en el que denuncia a la Consejería de Educación, Cultura y Deportes de la Junta de Comunidades de Castilla la Mancha (en lo sucesivo la Consejería de Educación) por la publicación en la página web de la baremación para la concesión de plaza escolar de su hijo incluyendo el dato de la minusvalía del padre aportado para dicha baremación. El denunciante manifiesta que solicitó plaza para su hijo en un colegio público para el Curso 2015-2016, siguiendo el procedimiento de admisión dictado por la Junta de Comunidades de Castilla la Mancha y por el cual se tenía en cuenta en la baremación la concurrencia de discapacidad en los padres, acreditando poseer un grado de discapacidad del 76% desde el 2011. En abril, la Junta de Comunidades de Castilla la Mancha publicó en diversos medios, entre ellos Internet, el nombre completo y apellidos de su hijo ( H.H.H.) junto con los datos completos de la baremación, entre los que se encuentra la circunstancia de la existencia de dicha discapacidad en el ámbito familiar. Añade que su caso, su discapacidad, aunque limitante, no es visible y la mantiene como un dato muy reservado incluso en su ámbito familiar. Dicha publicación, accesible a cualquiera y consultada por el círculo de personas cercano a ellos, como son los amigos y padres de los compañeros de su hijo, así como su propia familia, ha suscitado preguntas de los motivos por los que en la baremación se han tenido en cuenta la concurrencia de discapacidades. La Junta de Comunidades dispone de una plataforma online privada que fue la vía de tramitación de las solicitudes, por lo que no concibe la necesidad de comunicar el detalle completo de dicha baremación de forma pública, máxime cuando en la propia publicación se indica que se debe consultar además dicha plataforma de acceso privado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 Señala que otras comunidades, como Madrid, publican únicamente el total de puntos correspondientes a cada alumno, sin el desglose detallado (que sí puede consultarse de forma privada e individual en su correspondiente plataforma). Sin embargo con la publicación de la Junta de Comunidades de Castilla la Mancha es posible no sólo conocer si concurren datos de discapacidad en la unidad familiar, sino también la capacidad económica de la misma. En este sentido manifiesta que podría haberse publicado sin el nombre del alumno simplemente sustituyendo éste por el número de solicitud, o cualquier otro procedimiento que evite esta vulneración de su intimidad personal y familiar. Adjunto a su denuncia aportó los siguientes documentos: - Extracto de Documento publicado en la web de la JJCM. Dicha publicación puede aún consultarse en (el PDF corresponde a la provincia de Ciudad Real): http://www.educa.jccm.es......................pdf - La web de descarga del documento y en la que puede leerse "Recomendamos realizar la consulta personalizada del baremo a través de la plataforma "Papás 2.0". Para acceder pulse en este enlace.", lo que demuestra que disponen de medios para realizar una publicación que no hubiese vulnerado la protección de datos, es (adjunto captura de pantalla de dicha web): http://www.educa.jccm.es.....................1. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizaron las siguientes: 1. En fecha de 16/11/2015 se practica diligencia en la que se averigua lo siguiente: 1.1. Se accede a la dirección web http://www.educa.jccm.es.....................1. Se genera impresión de pantalla con el contenido visual de la página anterior y se procede a la descarga de los ficheros que se adjuntan en un soporte CDROM: BACHILLERATOS CR.pdf: Contiene el baremo provisional de Bachillerato Ciudad Real. F PRI ESO CIUDAD REAL.pdf: Contiene el baremo provisional de Infantil, Primaria y ESO de Ciudad Real. Se imprime la primera y última hoja de los ficheros anteriores. 1.2. Se realiza una búsqueda de la secuencia de caracteres “ H.H.H.” en el fichero ***FICHERO.1.pdf, encontrándose el registro relativo a H.H.H. en la página *******, realizando una impresión de dicha página. Se observa que en dicho registro figuran 2 puntos en el apartado D relativo a “Concurrencia de discapacidad en el alumno o en alguno de sus padres o tutores o hermanos”. 1.3. La opción “Recomendamos realizar la consulta personalizada del baremo a través de la plataforma "Papás 2.0". Para acceder pulse en este enlace. ” lleva a la página: https://papas.educa.jccm.es/papas/ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 En dicha página se ha implantado un control de acceso mediante certificado digital o con identificador y usuario y contraseña. 2. Tras el requerimiento de información por la Agencia, con fecha 25 de abril de 2016, se recibió la siguiente respuesta por parte de la Consejería de Educación: - “Respecto a la reclamación formulada por D. F.F.F. contra esta Consejería de Educación, Cultura y Deportes de la Junta de Comunidades de Castilla-La Mancha, sobre la publicación del nombre completo y apellidos de su hijo ( H.H.H.) junto con los datos completos de la baremación, entre los que encuentra la circunstancia de la existencia de discapacidad de/ 76% desde el 2011, la motivación se encuentra en la obligación de la publicación de la baremación de cada solicitud de conformidad con lo establecido en el ordinal séptimo de la Resolución de 07/01/2015, de la Dirección General de Organización, Calidad Educativa y Formación Profesional, por la que se publica la convocatoria de admisión de alumnado para el curso 2015/2016 en centros docentes públicos y privados concertados que imparten las enseñanzas del Segundo Ciclo de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato, y se especifican los plazos para determinados procedimientos establecidos en la Orden de 22/01/2007, modificada por Orden de 15/01/2013, de desarrollo del proceso de admisión del alumnado en los centros docentes públicos y privados concertados que imparten enseñanzas de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato en Castilla-La Mancha (DOCM n° 5 de 09/01/2015 -Corrección de errores DOCM n° 13 de 21/01/2015), que establece la publicidad de las baremaciones efectuadas a los alumnos para su posible reclamación. - En cuanto a la identificación de la institución responsable de dicha publicación, correspondería a la Consejería de Educación, Cultura y Deportes de la Junta de Comunidades de Castilla-La Mancha (S-1911001 -D)”. TERCERO: Con fecha 10 de mayo de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 8 de junio de 2016, la Consejería de Educación presentó escrito de alegaciones en el que, básicamente, manifestó lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid Que la publicación se ha realizado en cumplimiento de lo www.agpd.es sedeagpd.gob.es 4/17 estipulado en la la Ley Orgánica 2/2006, de 3 de mayo, de Educación, que regula diversos principios y obligaciones relacionados con la escolarización y admisión de alumnos en centros públicos y privados concertados, que exigen la publicidad y transparencia de todo el proceso de admisión, como un aspecto clave para garantizar la igualdad en la escolarización de todas las personas. El artículo 84.1 de dicha Ley Orgánica establece a las Administraciones Publicas la obligación de regular "la admisión de alumnos en centros públicos y privados concertados de tal forma que garantice el derecho a la educación, el E.E.E. y la libertad de elección de centro por padres o tutores". Este mismo art. 84, en su apartado 2, establece lo siguiente: "Cuando no existan plazas suficientes, el proceso de admisión se regirá por los criterios prioritarios de existencia de hermanos matriculados en el centro, padres, madres o tutores legales que trabajen en el mismo, proximidad del domicilio o del lugar de trabajo de alguno de sus padres, madres o tutores legales, renta per cápita de la unidad familiar y condición legal de familia numerosa, situación de acogimiento familiar del alumno o la alumna, y B.B.B., sin que ninguno de ellos tenga carácter excluyente y sin perjuicio de lo establecido en el apartado 7 de este artículo". El artículo 86.1 de la citada Ley Orgánica 2/2006, establece y obliga a todas las Administraciones a garantizar la C.C.C.. - Que también la Ley 7/2010, de 20/07/2010, de Educación de Castilla-La Mancha en el art. 5
- g)dispone como uno de los ejes básicos del sistema educativo, "La distribución equitativa del alumnado y la D.D.D.". - En la regulación del proceso de admisión de alumnos en Castilla la Mancha se exigen la publicidad en la baremación y adjudicación provisional y definitiva de las plazas de cada centro. El proceso está regulado reglamentariamente por el Decreto 2/2007, de 16 de enero (DOCM del 19), modificado por Decreto 163/2012, de 27 de diciembre (DOCM de 08/01/2013), de admisión del alumnado en los centros docentes públicos y privados concertados no universitarios en Castilla-La Mancha, cuyo artículo 14.3 establece que “Las resoluciones provisionales sobre admisión de alumnado A.A.A. en la dirección electrónica destinada a este fin por la Consejería competente en materia de educación…”. Del mismo modo, el artículo 14.5 del Decreto establece con respecto a la resolución definitiva de admisión que "será publicada en los mismos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 términos que los señalados en el apartado anterior…” También en la propia convocatoria del procedimiento de admisión aprobada por Resolución, de 07/01/2015, de la Dirección General de Organización, Calidad Educativa v Formación Profesional, por la que se publica la convocatoria de admisión de alumnado para el curso 2015/2016 en centros docentes públicos y privados concertados que imparten las enseñanzas del Segundo Ciclo de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato establece expresamente la necesidad de publicación de la baremación provisional y definitiva y de la adjudicación en los tablones de anuncios de los centros públicos y privados concertados, en el tablón de anuncios electrónico de la Administración de la Junta de Comunidades de Castilla-La Mancha (www.jccm.es), en los tablones de anuncios de los Servicios Periféricos de la Consejería de Educación, Cultura y Deportes y de las Oficinas Municipales de Escolarización, donde se hayan constituido, y en el Portal de Educación (www.educa.jccm.
- es)tanto para su consulta individualizada como para la posibilidad de presentación de la oportuna reclamación (apdo. séptimo, puntos 1, 4 y 7 de dicha Resolución de convocatoria) Por lo tanto, los solicitantes del proceso de admisión, en el momento de presentación de su solicitud, conocen perfectamente la obligación legal de publicación del baremo realizado y la propia presentación de su solicitud y aportación de datos de baremación supone su conformidad con dicho procedimiento y con la publicación de los datos necesarios para la baremación. - A estos efectos, el art. 10.3 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece que "Los datos de carácter personal podrán tratarse sin necesidad del consentimiento del interesado, entre otros supuestos, cuando: a)Se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el Ámbito de las competencias que les atribuya una norma con rango de ley o una norma de derecho comunitario. b)Se recaben por el responsable del tratamiento con ocasión de la celebración de un contrato o precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea parte el afectado v sean necesarios para su mantenimiento o cumplimiento. Y el art. 10.4 de este mismo Real Decreto establece que "Será posible la cesión de los datos de carácter personal sin contar con el consentimiento del interesado cuando "La cesión responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control comporte la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 comunicación de los datos. En este caso la comunicación sólo será legitima en cuanto se limite a la finalidad que la justifique". En este caso, por una parte, las normas con rango de Ley antes mencionadas (arts. 84 y 86 de la LO 2/2006 y art. 5
- g)de la Ley autonómica 7/2010) exigen la igualdad en el acceso a los centros escolares y la transparencia y publicidad del procedimiento y, por otra, los aspirantes participan libremente en el procedimiento reglado y aportan datos en una relación jurídica cuyo cumplimiento y control exige la publicación de la baremación y adjudicación de cada aspirante, sin perjuicio de la obligación de confidencialidad impuesta a todos los participantes del procedimiento y de la utilización de los datos para la exclusiva finalidad prevista legalmente. - Que hay que tener en cuenta que las plazas ofertadas en cada centro con frecuencia no cubren las demandas concretas de admisión, es decir, se trata de procedimientos públicos de concurrencia competitiva. Por último, la publicación de los datos de discapacidad de un familiar se efectúa sin individualizar concretamente la persona física que padece dicha discapacidad, ya que lo publicado son los datos del alumno aspirante y los puntos otorgados a cada criterio baremable. A modo de conclusión manifiesta que deben tenerse en cuenta algunos aspectos determinantes: - Se trata de un procedimiento de concurrencia competitiva en el que las normas con rango de ley aplicables en materia educativa, tanto estatal como autonómica, imponen la igualdad de acceso, la publicidad y la transparencia del procedimiento. - Las normas que rigen la convocatoria del procedimiento exigen expresamente la publicación de la adjudicación y de las baremaciones efectuadas a los aspirantes interesados de forma provisional y definitiva tanto en tablones de anuncios de los centros y organismos educativos como en Internet. La propia convocatoria del procedimiento también especifica expresamente la forma de publicación de los listados, incluyendo la publicación en Internet. - Los interesados que participan en el procedimiento y comunican voluntariamente los datos baremables conocen, por lo tanto, el modo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 publicación de dichos datos y con su solicitud de acceso consienten su publicación en la forma prevista en la convocatoria. - La publicación se efectúa sin identificar individualmente a la persona de la unidad familiar que padece una discapacidad (dentro de aquellas cuya discapacidad debe tenerse en cuenta si lo solicita el aspirante, conforme a la legislación educativa citada) y se impone expresamente a todos los participantes el deber de confidencialidad de los datos publicados. QUINTO: Con fecha 10 de junio de 2016, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03644/2015, así como la documental aportada por la Consejería de Educación, Cultura y Deportes de Castilla-La Mancha. Asimismo, se dieron por reproducidas, a efectos probatorios, las alegaciones al acuerdo de inicio, AP/00025/2016, presentadas por la Consejería de Educación, Cultura y Deportes de Castilla-La Mancha, y la documentación que a ellas acompaña. SEXTO: Con fecha 14 de julio de 2016, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA ha infringido lo dispuesto en los artículos 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. SÉPTIMO: Con fecha 17 de agosto de 2016, se recibieron las alegaciones remitidas por la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTES frente a la citada propuesta de resolución en la que reitera las alegaciones presentadas, puntualizando: 1. Se trata de un proceso de concurrencia competitiva en el que las leyes generales y sectoriales imponen la igualdad de acceso, la publicidad y la transparencia del procedimiento, lo cual no se vería satisfecho con una publicidad parcial cerrada a cada participante o con datos disociados. 2. Las normas que rigen la convocatoria del procedimiento exigen expresamente la publicación de la adjudicación y de las baremaciones efectuadas a los aspirantes interesados de forma provisional y definitiva, tanto en los tablones de anuncios de los centros y organismos educativos como en internet. 3. Los interesados que participan en el procedimiento y comunican los datos baremables conocen el modo de publicación de dichos datos y consienten su publicación en la forma prevista en la convocatoria. 4. Por último, en la publicación no se identifica a la persona de la unidad familiar que padece una discapacidad; solo se le asigna una puntuación. Por todo ello, estiman que la publicación es ponderada y proporcional con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 finalidad legal protegida y que garantiza dicha publicación. HECHOS PROBADOS PRIMERO: La Consejería de Educación, Cultura y Deportes de Castilla-La Mancha mediante Resolución 07/01/2015 de la Dirección General de Organización, Calidad Educativa y Formación Profesional acordó la “Convocatoria de admisión de alumnado para el curso 2015/2016 en centros docentes públicos y privados concertados que imparten las enseñanzas del Segundo Ciclo de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato, y se especifican los plazos para determinados procedimientos establecidos en la Orden de 22/01/2007, modificada por Orden de 15/01/2013, de desarrollo del proceso de admisión del alumnado en los centros docentes públicos y privados concertados que imparten enseñanzas de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato en Castilla-La Mancha (DOCM n° 5 de 09/01/2015 )” En las bases de dicha convocatoria constan, entre otras, las siguientes: - Sexto.- Criterios de baremación (…) 4. Concurrencia de discapacidad en el alumno o en alguno de sus padres o hermanos: 2 puntos. - Séptimo.- Proceso de adjudicación. 1. “… los Consejos Escolares de los centros públicos y los titulares de los centros privados concertados publicarán en los tablones de anuncios la relación de solicitantes de su centro (…) la baremación realizada de dichas solicitudes…. Estos listados, que serán también publicados en el tablón de anuncios electrónico de la Administración de la Junta de Comunidades de Castilla- La Mancha (www.educa.jccm.es)... 4. … publicarán la baremación definitiva realizada a las solicitudes… 7. … publicarán las variaciones en los puestos escolares vacantes que se ofertan … Los listados con la Resolución definitiva del proceso de admisión serán también publicados en el tablón de anuncios electrónico de la Junta de Comunidades de de Castilla- La Mancha (www.educa.jccm.es), en los tablones de anuncios de los Servicios Periféricos de la Consejería de Educación, Cultura y Deportes, y en el Portal de educación (www.educa.jccm.
- es)para su consulta individualizada. (folios 49-61). SEGUNDO: En la solicitud de admisión en Centros docentes públicos privados o concertados. E. Infantil, E. Primaria, E.S.O. y Bachillerato, constan entre otros, los siguientes requisitos que deben acreditarse: - Certificado de dictamen de discapacidad (folios 57-61). TERCERO: Con fecha 11 de noviembre de 2015, la Inspección de Datos constató mediante Diligencia lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 1. Se accede a la dirección web http://www.educa.jccm.es.....................1. Se genera impresión de pantalla con el contenido visual de la página anterior y se procede a la descarga de los ficheros que se adjuntan en un soporte CDROM: BACHILLERATOS CR.pdf: Contiene el baremo provisional de Bachillerato Ciudad Real. F PRI ESO CIUDAD REAL.pdf: Contiene el baremo provisional de Infantil, Primaria y ESO de Ciudad Real. Se imprime la primera y última hoja de los ficheros anteriores. (folios 14-19) 2. Se realiza una búsqueda de la secuencia de caracteres “ H.H.H.” en el fichero ***FICHERO.1.pdf encontrándose el registro relativo a H.H.H. en la página *******, se realiza una impresión de dicha página. Se observa que en dicho registro figuran 2 puntos en el apartado D relativo a “Concurrencia de discapacidad en el alumno o en alguno de sus padres o tutores o hermanos”. (folio 20) La opción “Recomendamos realizar la consulta personalizada del baremo a través de la plataforma "Papás 2.0". Para acceder pulse en este enlace. ” lleva a la página: https://papas.educa.jccm.es/papas/ En dicha página se ha implantado un control de acceso mediante certificado digital o con identificador y usuario y contraseña (folios 21-22) (folios 14-22 y 23 que se corresponde con un CD-ROM). CUARTO: Los datos personales incluidos en los citados listados, entre los que figura el hijo del denunciante (folio 20), son los siguientes: Apellidos y Nombre del alumno, asociados a número de orden/desempate, petición de centro educativo, puntuaciones por apartados de baremación y puntuación total en el pie de página figura la descripción de la baremación, correspondiendo el “Apdo. D: Concurrencia de discapacidad en el alumno o en alguno de sus padres o tutores o hermanos” (folios 14-20). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
- a)que define los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
- f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por su parte el artículo 3.
- d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” IV Se imputa a la Consejería de Educación la infracción del artículo 10 de la LOPD que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. El Tribunal Superior de Justicia de Madrid, en su sentencia de 16 de octubre de 2001, reitera que “el TC en su Sentencia 76/1990, de 26 de abril, nos recuerda que, aún sin reconocimiento explícito en la Constitución, el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (art. 25.1 CE) o de las exigencias inherentes al Estado de Derecho; manifestando la STC 246/1991, de 19 de diciembre, que es inadmisible en el ámbito del derecho administrativo sancionador una responsabilidad sin culpa. La Ley 30/92 ha pretendido regular la cuestión en su artículo 130.1 al consagrar el principio de responsabilidad como uno de los informadores del ejercicio de la potestad sancionadora, estableciendo que “sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia”; el último inciso “aún a título de simple inobservancia” no es muy preciso puesto que pudiera pensarse que consagra una responsabilidad objetiva sin dolo o culpa del sujeto, por lo que deberá interpretarse conforme a la doctrina aludida, así como señala la más reciente jurisprudencia del Tribunal Supremo (SS 16 y 22 de abril de 1991 y 5 de febrero de 1992) uno de los principales componentes de la infracción administrativa es el elemento culpabilista, del que se desprende que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.- Probablemente, el legislador de la Ley 30/92 haya pretendido aludir a que serán sancionables las infracciones meramente formales, aunque no produzcan un resultado dañosos al interés público e, igualmente, que será incriminable la culpa inconsciente o sin representación, atendiendo al aspecto normativo de la culpabilidad según el cual puede reprocharse no haber previsto lo que se podía y debía prever.” Consiguientemente, aún en el supuesto en que se hubiera padecido algún tipo de error, el mismo constituiría una falta de diligencia plenamente imputable a la entidad sancionada, con claro incumplimiento del artículo 10 (...) tipificado correctamente y sancionado como falta grave (...).” En el presente caso, la Consejería de Educación había publicado en la página web de la Junta de Comunidades de Castilla - La Mancha, en abierto y a la vista de cualquiera, los listados del baremo provisional relativo a la convocatoria de admisión de alumnado para el curso 2015/2016 en centros docentes públicos y privados concertados que imparten las enseñanzas del Segundo Ciclo de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato (de fecha 09/01/2015). Asimismo consta acreditado que los citados listados contienen una relación de personas, entre las que figura el hijo del denunciante (folio 20), con la siguiente información: Apellidos y Nombre del alumno, asociados a número de orden/desempate, petición de centro educativo, puntuaciones por apartados de baremación y puntuación total en el pie de página figura la descripción de la baremación, correspondiendo el “Apdo. D: Concurrencia de discapacidad en el alumno o en alguno de sus padres o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 tutores o hermanos”. Dicha información consta en la página web siendo accesible a terceros (folios 14-20). Y así lo ha reconocido la propia Consejería que manifestó a esta Agencia que, publicó los listados dentro del marco del procedimiento de la convocatoria una vez baremadas las solicitudes, se procedió a la publicación en su página web de los Listados provisionales, con el objetivo de que todos los solicitantes pudieran tener conocimiento de su baremación siendo, por tanto, imprescindible la publicación de sus datos personales para que dispusieran de elementos suficientes para valorar si su solicitud había sido debidamente baremada. Por otra parte, la Consejería de Educación no ha acreditado ante esta Agencia que contara con el consentimiento de los padres del denunciante para la publicación que se detalla más arriba. En consecuencia, la Consejería de Educación al llevar a cabo dicho tratamiento de datos de carácter personal procedió a difundir los datos personales de los solicitantes de plazas escolares en la que se hace constar la concurrencia de discapacidad en el alumno o en alguno de sus padres o tutores o hermanos. Por tanto, se incumplió el deber de secreto con la revelación de datos personales a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales de varias personas entre los que figura el hijo del denunciante en poder de la Consejería de Educación fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. V Durante las actuaciones previas de investigación y en sus alegaciones al Acuerdo de inicio, la Consejería de Educación ha manifestado que la publicación en la web se realizó en cumplimiento de las normas que rigen la convocatoria del procedimiento que exigen expresamente la publicación de la adjudicación y de las baremaciones efectuadas a los aspirantes interesados de forma provisional y definitiva tanto en tablones de anuncios de los centros y organismos educativos como en Internet. La propia convocatoria del procedimiento también especifica expresamente la forma de publicación de los listados, incluyendo la publicación en Internet. Asimismo, alegó que los interesados que participan en el procedimiento y comunican voluntariamente los datos baremables conocen, por lo tanto, el modo de publicación de dichos datos y con su solicitud de acceso consienten su publicación en la forma prevista en la convocatoria. Por otra parte, manifiesta que la publicación se ha realizado en cumplimiento de lo estipulado en la la Ley Orgánica 2/2006, de 3 de mayo, de Educación, que regula diversos principios y obligaciones relacionados con la escolarización y admisión de alumnos en centros públicos y privados concertados, que exigen la publicidad y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 transparencia de todo el proceso de admisión, como un aspecto clave para garantizar la igualdad en la escolarización de todas las personas. El artículo 84.1 de dicha Ley Orgánica establece a las Administraciones Publicas la obligación de regular "la admisión de alumnos en centros públicos y privados concertados de tal forma que garantice el derecho a la educación, el E.E.E. y la libertad de elección de centro por padres o tutores" y en su apartado 2, establece que "Cuando no existan plazas suficientes, el proceso de admisión se regirá por los criterios prioritarios de existencia de hermanos matriculados en el centro, padres, madres o tutores legales que trabajen en el mismo, proximidad del domicilio o del lugar de trabajo de alguno de sus padres, madres o tutores legales, renta per cápita de la unidad familiar y condición legal de familia numerosa, situación de acogimiento familiar del alumno o la alumna, y B.B.B. G.G.G., sin que ninguno de ellos tenga carácter excluyente y sin perjuicio de lo establecido en el apartado 7 de este artículo". Sin embargo, de la publicación en la página web de la Consejería de los datos personales de los solicitantes relativos a su situación en un baremo en el que se hace constar la condición de discapacidad dentro del entorno familiar se deduce información sensible sobre aquellas personas que se presentan, sean admitidos o excluidos. En el presente caso, la Consejería de Educación debería prever un sistema en el que todos los participantes puedan acceder a la información, puesto que se trata de concurrencia competitiva, pero dicha información no puede ser accesible a terceros no autorizados ni puede ser captada por los buscadores de Internet. En este sentido, el propio denunciante ha manifestado que la Junta de Comunidades dispone de una plataforma online privada que habría sido la vía de tramitación de las solicitudes, por lo que debería haber habilitado esta vía para comunicar el detalle completo de dicha baremación de forma pública, máxime cuando en la propia publicación se indica que se debe consultar además dicha plataforma de acceso privado. A este respecto procede citar la reciente sentencia de 9 de marzo de 2015, del TS en la que estimaba el recurso de casación 3552/2012 en el que se discutía la publicación en la página web, siendo accesible a través del buscador Google, de una relación de admitidos a las ayudas a personas discapacitadas del Fondo de Acción Social de la Xunta de Galicia, en el que constaban 658 registros que incluían el nombre y apellidos del solicitante de la ayuda junto al causante de la misma y el discapacitado objeto de la ayuda. En este supuesto la Sala consideró que “…las prescripciones legales que plasman los principios de publicidad, transparencia y concurrencia que rigen la concesión de subvenciones…. Y las normas autonómicas sobre la misma materia no exigen ni autorizan la publicación de los datos de identidad de las personas discapacitadas… y tampoco casa con un cumplimiento riguroso y diligente de los deberes de cuidado y sigilo, que recaen sobre el responsable de un fichero, que los datos en el contenidos sobre la salud de las personas, que están especialmente protegidos por la LOPD, sean de libre acceso a través de un buscador de internet, sin medidas eficaces que lo impidan…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 VI Respecto de las manifestaciones de la Consejería de Educación, según las cuales dicha publicación obedece a la necesidad de transparencia dentro del proceso concurrencia que rigen la concesión de plazas escolares en los centros educativos procede citar un reciente informe del Gabinete jurídico de esta AEPD respecto de otro supuesto similar: “…la Ley 19/2013, de 9 de diciembre de Transparencia, Acceso a la Información Pública y Buen Gobierno, se aplica según su artículo 2.1.
- a)a las Administraciones de las Comunidades Autónomas. Y dentro del Capítulo dedicado a la publicidad activa el artículo 5.2 recuerda que “Las obligaciones de transparencia contenidas en este capítulo se entienden sin perjuicio de la aplicación de la normativa autonómica correspondiente o de otras disposiciones específicas que prevean un régimen más amplio en materia de publicidad” …Por tanto, en el supuesto de hecho planteado existe una habilitación legal para la comunicación de datos… Ahora bien, toda la información que sea suministrada por la vía de publicidad activa de la transparencia deberá cumplir los parámetros de la normativa sobre protección de datos… Por lo tanto deberá efectuarse una previa ponderación entre la pertinencia de publicar la información y la necesaria de la protección de datos personales… En este sentido, recordemos de nuevo que el artículo 5.3 de la Ley 19/2013 de 9 de diciembre sobre Transparencia, Acceso a acceso a la Información Pública y Buen Gobierno obliga a tomar en consideración, también en el ámbito de la publicidad activa, los limites derivados de la protección de datos de carácter personal, regulado en el artículo 15. Precepto que obliga a distinguir entre datos especialmente protegidos y los que no lo son; y que entre estos últimos, obliga a considerar las circunstancias del caso concreto. En particular sus apartados 2 y 3 establecen un principio general de acceso cuando aparezcan datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano; y en los restantes casos, una ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal ofreciendo una serie de criterios para llevar a cabo la ponderación. Deberían, por tanto, considerarse las circunstancias del caso concreto, para poder ponderar entre la prevalencia del derecho a la protección de datos y la transparencia en su vertiente de publicidad activa… …"el criterio general debe atemperarse también con la situación particular del empleado público y, en especial con el hecho de que la revelación de su identidad y circunstancias pudiera situarle en una situación de especial riesgo", recordando que "a estos efectos, debe recordarse to dispuesto en el art. 19.3 de la LTAIBG [Ley 19/2003] y habría de concedérseles un plazo de 15 días para que los afectados realicen las alegaciones que estimen oportunas, o bien optar directamente por la disociación de los datos". Seria así procedente dar trámite previo a los empleados públicos que pudieran verse afectados por la publicación de la información para que puedan alegar si en ellos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 concurre alguna circunstancia especial que deba ser tomada en consideración en la ponderación pretendida. Además, "en todo caso, a la hora de conceder el acceso habrá de informarse expresamente al interesado de to dispuesto en el art. 15.5 de la Ley 19/2003, esto es, de que la normativa de protección de datos personales será en todo caso de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso"…. Sin embargo, y como ya se ha señalado más arriba de la publicación en la página web de la Consejería de los datos personales de los solicitantes relativos a su situación en un baremo en el que se hace constar la condición de discapacidad dentro del entorno familiar se deduce información sensible sobre aquellas personas que se presentan, sean admitidos o excluidos. Por lo tanto, dichas alegaciones deben ser desestimadas. VII El artículo 44.3.
- d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con los fundamentos anteriores, hay que entender que por parte de la Consejería de Educación se ha producido una vulneración del deber de secreto, dado que la información difundida contiene datos de carácter personal, asociados a información sensible, concerniente a la denunciante y otras personas, y que procede calificar la infracción como infracción grave. VIII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: <<1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores>>. En el presente caso, la Consejería de Educación debe dar cumplimiento a los principios de igualdad de acceso, publicidad y transparencia en los procedimientos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 concurrencia competitiva, como el caso denunciado, pero también debe cumplir la normativa de protección de datos. Estos principios pueden cumplirse en su totalidad facilitando la información a todos y cada uno los participantes, a través de internet con una clave y contraseña (por ejemplo) que facilite el acceso a toda la información pero solo a los participantes, absolutamente a todos los participantes, tanto los que obtengan la ayuda como a los que se les deniegue. No obstante, pueden utilizar el sistema que estimen más adecuado para obtener el resultado de un acceso a la información a través de internet limitado a los participantes en el proceso. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma. SEGUNDO: REQUERIR a la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde la notificación de este acto la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/04980/2016. En concreto, se insta a dicha Consejería para que habilite un sistema de información, a través de internet, de todas las fases, baremaciones y resultados de las plazas, ayudas, oposiciones… que convoquen, de forma que solo tengan acceso a los datos personales todos los participantes en dichos procedimientos, cumpliendo de esta forma lo establecido en el artículo 10 de la LOPD. TERCERO: Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. CUARTO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es