AAPP-00049-2017

1/7 Procedimiento Nº AP/00049/2017 RESOLUCIÓN: R/03506/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00049/2017, instruido por la Agencia Española de Protección de Datos a la CONSEJERIA DE EDUCACION JUNTA DE CASTILLA Y LEON INSTITUTO DE ENSEÑANZA SECUNDARIA ***INSTITUTO.1, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 7 de febrero de 2017, tuvo entrada en esta Agencia un escrito remitido por Dª. A.A.A. (en lo sucesivo la denunciante) en el que declara que en la página web del IES ***INSTITUTO.1, de ***LOCALIDAD.1, Segovia, ubicada en la dirección: ***URL.1, en el apartado de las programaciones del Departamento de Economía se publican los datos de su hija, sin su consentimiento. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 14 de febrero de 2017, se ha comprobado que en la página web del Centro ubicada en la dirección ***URL.1, dentro de la Programación Didáctica del Departamento de Economía, página 62, apartado “Atención a la Diversidad” se publican los datos personales de la alumna B.B.B.. Con fecha 8 de mayo de 2017, EL INSTITUTO ***INSTITUTO.1 perteneciente a la CONSEJERIA DE EDUCACIÓN DE LA JUNTA DE CASTILLA Y LEÓN, ha remitido la siguiente información en relación con los hechos denunciados: 1. Con fecha 26 de abril de 2017, han procedido a subsanar el error de la publicación de los datos relativos a la hija de la denunciante en la página web del Centro, ubicada en la dirección ***URL.1, dentro de la Programación Didáctica del Departamento de Economía, pagina 62, apartado “Atención a la Diversidad”. 2. El Instituto no ha tenido constancia del error cometido hasta que han recibido la solicitud de información de esta Agencia. TERCERO: Con fecha 9 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Consejería de Educación de la Junta de Castilla y León, Instituto de Enseñanza Secundaria ***INSTITUTO.1 de ***LOCALIDAD.1, por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la Consejería de Educación de la Junta de Castilla y León, Instituto de Enseñanza Secundaria ***INSTITUTO.1 presentó escrito de alegaciones en el que, en síntesis, manifestaba que: Subsanaron el error de la publicación de los datos de la alumna en la página web ***URL.1, en la Programación Didáctica del Departamento de Economía, página 62, apartado Atención a la Diversidad, en cuanto tuvieron constancia de ello, con la solicitud de información remitida desde la Inspección de Datos de esta Agencia, el día 26 de abril de 2017. Que no tuvieron constancia del error por parte de los padres de la alumna. Manifiestan que no habrían tenido ningún inconveniente en retirar los datos publicados en el momento de haber tenido conocimiento del error, tal como hicieron el día 26 de abril de 2017. QUINTO: Con fecha 21 de noviembre de 2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que la CONSEJERIA DE EDUCACION JUNTA DE CASTILLA Y LEON INSTITUTO DE ENSEÑANZA SECUNDARIA ***INSTITUTO.1ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. HECHOS PROBADOS PRIMERO: Con fecha 7 de febrero de 2017, se puso en conocimiento de esta Agencia que en la página web del IES ***INSTITUTO.1, de ***LOCALIDAD.1, Segovia, ubicada en la dirección: ***URL.1, en el apartado de las programaciones del Departamento de Economía se publican los datos de la hija de la denunciante sin su consentimiento. SEGUNDO: Con fecha 14 de febrero de 2017, la Inspección de Datos comprueba que en la página web del Centro, dentro de la Programación Didáctica del Departamento de Economía, en la página 62, apartado “Atención a la Diversidad” se publican los datos de la mencionada alumna. TERCERO: Con fecha 8 de mayo de 2017, el INSTITUTO ***INSTITUTO.1 perteneciente a la CONSEJERIA DE EDUCACION DE LA JUNTA DE CASTILLA Y LEON, informa de que con fecha de 26 de abril de 2017, han procedido a subsanar el error de la publicación de los datos relativos a la hija de la denunciante en la página web del Centro. CUARTO: Que el IES ***INSTITUTO.1, de ***LOCALIDAD.1 no ha aportado a esta Agencia documentación que acredite que contara con el consentimiento de los padres de la alumna, para la publicación de sus datos de carácter personal en la página web del Centro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
4. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
5. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se publicaron los datos de carácter personal de la hija de la denunciante en la página web del IES ***INSTITUTO.1, de ***LOCALIDAD.1, sin su consentimiento. La Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004 señala en su Fundamento de Derecho Cuarto que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento… si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 personales” en el sentido del artículo 9 3, apartado1 de la Directiva 95/46.” Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con los datos personales de la hija de la denunciante, al incluirlos en la página web del Centro en la Programación Didáctica del Departamento de Economía sin su consentimiento. III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han difundido datos personales de la hija de la denunciante por parte del IES ***INSTITUTO.1de ***LOCALIDAD.1. Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que en la página web del Instituto denunciado se publicaron los datos de carácter personal de la hija de la denunciante. La directora del Centro educativo ha manifestado en las alegaciones al acuerdo de inicio que subsanaron el error de la publicación de los datos personales de la alumna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 en cuanto tuvieron conocimiento del mismo. Por otra parte, con relación a las medidas a adoptar en un caso como el presente, hay que tener en cuenta que en el tratamiento de datos personales de menores habrán de adoptarse medidas reforzadas de seguridad de forma que, teniendo en cuenta el tipo de datos personales que se tratan en este caso, sería necesaria la implantación de las medidas de seguridad de nivel alto establecidas en la normativa de protección de datos. En cualquier caso se deberá comprobar que se dispone del consentimiento inequívoco de los progenitores del menor, previo al tratamiento de datos que se desee realizar y en caso de duda adoptar una actitud restrictiva de la publicidad de los datos personales de los menores. Además podría también informarse a todo el personal del procedimiento a adoptar para evitar casos como el presente, y que se documente esta acción informativa y quede constancia de la incidencia ocurrida y de las medidas adoptadas al respecto. IV La conducta de la denunciada se incardina en el artículo 44.3.
6. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del IES ***INSTITUTO.1, de ***LOCALIDAD.1 se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes a su alumna, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERIA DE EDUCACION JUNTA DE CASTILLA Y LEON INSTITUTO DE ENSEÑANZA SECUNDARIA ***INSTITUTO.1 ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
7. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR la adopción de una concreta medida correctora toda vez que se ha tratado de una acción puntual y que se ha constatado la retirada de los datos personales publicados en la página web. TERCERO: NOTIFICAR la presente resolución a la CONSEJERIA DE EDUCACION JUNTA DE CASTILLA Y LEON INSTITUTO DE ENSEÑANZA SECUNDARIA ***INSTITUTO.1. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es