1/8 Procedimiento Nº AP/00054/2013 RESOLUCIÓN: R/00519/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00054/2013, instruido por la Agencia Española de Protección de Datos a la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES Baltasar Porcel), vista la denuncia presentada por la Policía Local de Andratx, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 11/02/2013, tuvo entrada en esta Agencia un escrito de la Policía Local de Andratx en el que informa sobre el hallazgo en la vía pública, en fecha 27/01/2013, de diversa documentación, entre la que se encuentran exámenes y hojas de registro pertenecientes al Instituto de Educación Secundaria Baltasar Porcel, de la localidad de Andratx (en lo sucesivo IES Baltasar Porcel). El informe policial emitido adjunta extractos de la documentación e incluye un reportaje fotográfico del vertido, en el que se aprecia la existencia de documentación fuera de un contenedor de papel. Se especifica en el informe que se trata un contenedor de reciclaje de papel ubicado frente al citado centro educativo y que se encontraba prácticamente vacío. Aportan también copia de un acta de declaración prestada por el Director del IES Baltasar Porcel el día 31/01/2013. Del análisis de los documentos que se encontraban junto al contenedor de papel y que han sido aportados por la Policía Local de Andratx, según los Servicios de Inspección de la Agencia Española de Protección de Datos se desprende lo siguiente: . Uno de los documentos consiste en un listado ordenado alfabéticamente por apellidos, figurando 33 alumnos identificados por su nombre y dos apellidos. Figuran así mismo sus notas de diferentes asignaturas, hasta ocho, ya que el documento se encuentra roto. . El resto de documentos son exámenes de segundo de la ESO de la materia Lengua Catalana y Literatura y exámenes de primero de la ESO también de Lengua, expresión y compresión escrita. Todos los exámenes se encuentran cumplimentados y en ellos se identifica el alumno con su nombre, primer apellido y en ocasiones segundo apellido. En la mayoría de los documentos consta “IES BALTASAR PORCEL” de “ANDRATX”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad IES Baltasar Porcel, que informó lo siguiente: . El IES Baltasar Porcel depende de la Conselleria d'Educació, Cultura i Universitats de la Comunidad Autónoma de les Illes Balears (en lo sucesivo Conselleria d'Educació, Cultura i Universitats). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 . Para la destrucción de los exámenes, el sistema seguido (y utilizado de forma generalizada por los institutos de enseñanza secundaria) es que pasado un tiempo, estos son depositados en los contenedores de papel. Una vez conocida la denuncia, la secretaria del centro solicitó información al personal de limpieza y este le comunicó que pusieron las bolsas cerradas, conteniendo papel, fuera del contenedor ya que este estaba totalmente lleno. . En el caso de información confidencial del alumnado (información sobre alumnos de necesidades educativas especiales, de necesidades específicas de ayuda educativa, enfermedades, etc) se destruyen en una trituradora de papel que tiene el centro. En el caso de información no confidencial, como los exámenes, ejercicios escritos y similares, estos se tiran en los contenedores de papel que tenemos en el centro y el personal de limpieza los tira en los contenedores de papel que hay en la vía pública, delante del instituto. Consideramos que estos documentos no son confidenciales porque se corrigen en clase y de forma pública, para que los alumnos vean donde han cometido errores y sus compañeros no cometan los mismos errores. Estos documentos tienen como datos personales el nombre y la nota. . Hasta ahora no había una normativa específica del centro en cuanto a la destrucción de exámenes y pruebas escritas. La única normativa interna es la de recogida selectiva de basura, para la cual el centro dispone de pequeños contenedores dispuestos en diferentes lugares del interior. El personal de limpieza es el encargado de llevar estos pequeños contenedores a los correspondientes contenedores que hay en el exterior del centro y depositar allí su contenido. Evidentemente no forma parte de las instrucciones (no es ni siquiera admisible, ni forma parte de una correcta educación ambiental) que si un contenedor está lleno se deje fuera del mismo. Como los exámenes y pruebas escritas se realizan en papel, estos evidentemente se depositan en los contenedores interiores de papel. En las instrucciones de la Conselleria d'Educació para el curso 2013-2014 se introduce por primera vez la forma de actuar con este tipo de documentación. Dice textualmente: "El material de evaluación (pruebas escritas, trabajos y cualquier producción del alumnado) que se tenga que eliminar se partirá en al menos dos mitades y se depositará en los contenedores específicos de reciclaje de papel. En ningún caso se hará en las papeleras del centro o de los departamentos". Y este será a partir de ahora el sistema a utilizar. . El instituto utiliza un programa informático de la Conselleria d'Educació. TERCERO: Con fecha 16/01/2014, el Director de la Agencia de Protección de Datos acordó iniciar procedimiento sancionador a la entidad Conselleria d'Educació, Cultura i Universitats (IES Baltasar Porcel) por la presunta infracción del artículo 9 de dicha norma, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. CUARTO: El Acuerdo de apertura del presente procedimiento sancionador fue notificado a la entidad Conselleria d'Educació, Cultura i Universitats en fecha 21/01/2014, según consta en el correspondiente “aviso de recibo” formalizado por el Servicio de Correos incorporado a las actuaciones. Transcurrido el plazo concedido a la denunciada para alegaciones sin que se hayan recibido las mismas, se procede a elevar el procedimiento al Director de la Agencia Española de Protección de Datos a los efectos de dictar resolución al respecto, dado que en la notificación del acuerdo de apertura del procedimiento se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entenderá el mismo como propuesta de resolución en virtud de lo previsto en el artículo 13 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 HECHOS PROBADOS PRIMERO: El IES Baltasar Porcel depende de la Conselleria d'Educació, Cultura i Universitats de la Comunidad Autónoma de les Illes Balears. SEGUNDO: Con fecha de 11/02/2013, la Policía Local de Andratx informó sobre el hallazgo en la vía pública, en fecha 27/01/2013, de diversa documentación pertenecientes al Instituto de Educación Secundaria Baltasar Porcel, de la localidad de Andratx. La citada Policía Local aportó una muestra de la documentación y un reportaje fotográfico del vertido, en el que se aprecia la existencia de documentación fuera de un contenedor de papel. Se especifica en el informe que se trata un contenedor de reciclaje de papel ubicado frente al citado centro educativo y que se encontraba prácticamente vacío. Uno de los documentos aportados consiste en un listado ordenado alfabéticamente por apellidos, figurando 33 alumnos identificados por su nombre y dos apellidos, así como sus calificaciones en de diferentes asignaturas. El resto de documentos son exámenes de segundo de la ESO de la materia Lengua Catalana y Literatura y exámenes de primero de la ESO también de Lengua, expresión y compresión escrita. Todos los exámenes se encuentran cumplimentados y en ellos se identifica el alumno con su nombre, primer apellido y, en ocasiones, segundo apellido. En la mayoría de los documentos consta “IES BALTASAR PORCEL” de “ANDRATX”. TERCERO: El Director del centro IES Baltasar Porcel ha reconocido que la documentación reseñada en el Hecho Probado Segundo fue depositada fuera del contenedor de papel. CUARTO: El Director del centro IES Baltasar Porcel ha reconocido que no disponían de una normativa específica sobre la destrucción de exámenes y pruebas escritas. QUINTO: El Director del centro IES Baltasar Porcel ha manifestado que, para el curso 2013/14, la Conselleria d'Educació ha cursado instrucciones relativas a la destrucción de documentación, señalando textualmente: "El material de evaluación (pruebas escritas, trabajos y cualquier producción del alumnado) que se tenga que eliminar se partirá en al menos dos mitades y se depositará en los contenedores específicos de reciclaje de papel. En ningún caso se hará en las papeleras del centro o de los departamentos". FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 13.2 del citado Real Decreto 1398/1993 establece que el acuerdo de iniciación de un procedimiento sancionador se notificará al interesado haciendo constar en dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 notificación que, de no efectuar alegaciones sobre el contenido, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. En este caso, en la notificación del acuerdo de inicio del Director de la Agencia Española de Protección de Datos se hacía referencia a este artículo, advirtiendo a la entidad imputada sobre las consecuencias de no efectuar alegaciones. Dicho Acuerdo contiene un pronunciamiento preciso sobre la infracción imputada a la denunciada. III El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
- a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
- c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Por otra parte, el artículo 89 y siguientes del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, se refiere a las medidas de seguridad de nivel básico que deben implementarse en los ficheros. El artículo 92.4 de dicho Real Decreto, referido a la “Gestión de soportes y documentos”, establece lo siguiente: “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Y el artículo 97.2 del mismo Reglamento se refiere a la misma cuestión en los siguientes términos: “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. Así, la Conselleria d'Educació, Cultura i Universitats, y en su nombre el centro IES Baltasar Porcel, están obligados a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación, según ha reconocido la propia entidad imputada. En el presente caso, ha quedado acreditado que la Policía Local del Ayuntamiento de Andratx constató que, el día 27/01/2013, en un lugar de la vía pública de dicha localidad, se había depositado diversa documentación perteneciente a la entidad IES Baltasar Porcel, en la que figuraban datos de carácter personal relativos a alumnos del centro. En concreto, se localizó algún listados de alumnos identificados por su nombre y dos apellidos, con el detalle de sus calificaciones en diferentes asignaturas, así como exámenes en los que se identifica el alumno con su nombre, primer apellido y en ocasiones segundo apellido. Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, no dando lugar a posibilitar su hallazgo por terceros, dejándolos al alcance del público en una zona pública. Por ello, procede concluir que la Conselleria d'Educació, Cultura i Universitats (IES Baltasar Porcel) ha vulnerado el principio de seguridad en materia de protección de datos, que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 encuentra recogidos en el artículo 9 de la LOPD. IV En esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). V El artículo 44.3.
- h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. El abandono en un lugar público de documentación responsabilidad de la entidad Conselleria d'Educació, Cultura i Universitats (IES Baltasar Porcel), en la que se detallan datos personales de alumnos, supone una vulneración del “principio de seguridad de los datos”, por lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 que se considera que dicha entidad ha incurrido en la infracción grave descrita. VI En las actuaciones constan las declaraciones efectuadas por el Director del IES Baltasar Porcel en relación con las medidas de gestión de soportes aplicadas por el Centro, habiendo reconocido que, en la fecha en que tuvieron lugar los hechos denunciados, no disponían de una normativa específica sobre la destrucción de documentación. Posteriormente, manifestó que, para el curso 2013/14, la Conselleria d'Educació cursó instrucciones relativas a la destrucción de documentación, señalando textualmente: "El material de evaluación (pruebas escritas, trabajos y cualquier producción del alumnado) que se tenga que eliminar se partirá en al menos dos mitades y se depositará en los contenedores específicos de reciclaje de papel. En ningún caso se hará en las papeleras del centro o de los departamentos". Sin embargo, no aportó ningún detalle al respecto (no especifica a quién corresponde la custodia de los contenedores ni cómo se asegura la destrucción de la documentación), ni se acreditan fehacientemente las nuevas medidas implantadas, por lo que no es posible analizar su alcance ni valorar su adecuación a la normativa de protección de datos de carácter personal. Por tanto, procede requerir a la Conselleria d'Educació, Cultura i Universitats (IES Baltasar Porcel) la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso los datos personales a garantizar el respeto a seguridad y confidencialidad de los datos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES Baltasar Porcel) ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de de la citada Ley Orgánica. SEGUNDO: REQUERIR a la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES Baltasar Porcel), de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde la notificación de este acto: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos de carácter personal contenidos en sus ficheros e impidan su divulgación a terceros sin el consentimiento de los afectados, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso dichos ficheros a garantizar la confidencialidad de los datos, comprometiéndose expresamente a destruir o borrar cualquier documento o soporte que vaya a desecharse, evitando el acceso a la información contenida en los mismos o su recuperación posterior. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando escrito en el que se detallen las normas adoptadas, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior y se declare expresamente haber eliminado la documentación objeto de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 denuncia. Se le advierte que en caso de no atender el citado requerimiento, , para cuya comprobación se abre el expediente de investigación E/01392/2014, podría suponer una infracción del artículo 37.1.
- a)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- a)Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“. TERCERO: NOTIFICAR la presente resolución a la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES Baltasar Porcel) y a la Policía Local de Andratx CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es