← España

AAPP-00068-2015

1/13 Procedimiento Nº AP/00068/2015 RESOLUCIÓN: R/00553/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00068/2015, instruido por la Agencia Española de Protección de Datos a la entidad CONSEJERIA DE EDUCACION DE LA JUNTA DE ANDALUCIA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 14/12/2014, tuvo entrada en esta Agencia un escrito presentado por D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que en el centro escolar en el que su hijo cursa estudios, Instituto de Enseñanza Secundaria (IES) XXXXX, de ***LOCALIDAD.1 (Sevilla), para la realización de ejercicios y toma de apuntes se está facilitando a los alumnos folios de cursos anteriores que contienen datos personales de alumnos. Considera que estos hechos podrían ser calificados como un incumplimiento grave de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), agravados por tratarse de datos personales de menores y de un mal funcionamiento de una entidad pública, dependiente en este caso de la Consejería de Educación de la Junta de Andalucía. Con el escrito de denuncia aporta los siguientes documentos: . Año académico 2012/2013, lista de clase de 2ºD (2º de E.S.O.), en el que consta una relación de “29” nombres, apellidos y números de teléfono. . Consejería de Educación, curso 2º de E.S.O., unidad: 2ºD, en el que figuran “24” fotografías y su nombre y apellidos. . Educación plástica y visual, examen pendientes 2º de ESO, en el que consta el nombre y apellidos de una alumna, fecha 28/4/2011, 2ºD, preguntas y sus respuestas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a la entidad Consejería de Educación de la Junta de Andalucía (en lo sucesivo CONSEJERIA DE EDUCACION), teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “####ALUMNOS”, con nivel medio de seguridad, siendo responsable la entidad CONSEJERIA DE EDUCACION. 2. En respuesta al requerimiento que le fue efectuado por los Servicios de Inspección, el denunciante comunicó que los documentos que contenían datos personales de los alumnos le fueron entregados a su hijo durante la realización de un examen de dibujo técnico, el día 04/12/2014, como papel sucio. 3. La CONSEJERIA DE EDUCACION, por su parte, informó lo siguiente: La reutilización de documentos que contienen datos de carácter personal no es una práctica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 habitual en los centros educativos de la entidad ni en el resto de unidades de la misma. Los centros están informados de las obligaciones legales en lo relativo a la confidencialidad de la información, a través del Área de Seguridad y Protección de Datos del Portal #### (https://www.juntadeandalucia.es/educacion........) y del libro “Guía de protección de datos de carácter personal para los centros de enseñanza”, publicado por la CONSEJERIA DE EDUCACION y localizable en la misma ubicación. Los centros educativos están informados y obligados al cumplimiento del artículo 9 de la LOPD, relativo al principio de “seguridad de los datos”, que impone la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla con la finalidad de evitar, entre otros aspectos, el “acceso no autorizado”. El IES XXXXX indicó que los documentos que contenían datos personales se mezclaron inadvertidamente con otros cuando se ha utilizado papel reciclado. No consta que ningún otro centro reutilice documentos de alumnos con datos personales para realizar tareas escolares, ni que se haya presentado reclamación al respecto en ningún centro educativo perteneciente a la Consejería. Cuando se tuvo conocimiento de los hechos, a través de la AEPD, la Secretaría General Técnica instó al centro educativo y a la Delegación Provincial de Sevilla a adoptar las medidas preventivas y correctivas para evitar que se repita esta incidencia y, en concreto, a realizar las siguientes tareas con carácter inmediato: . Recordar a todo el personal del centro el cumplimiento de la LOPD. . Revisar en las aulas, despachos y otras ubicaciones que los documentos están guardados en los lugares habilitados a tal efecto (armarios, archivadores, salida de la impresora, papel almacenado, carpetas en red, etc.) y garantizar que solo tiene acceso a ellos el personal autorizado. . En caso de identificar documentos con datos personales en lugares donde no es posible garantizar el adecuado control de acceso, revisar si son documentos vigentes para reubicarlos en lugares que garanticen el control o deben ser destruidos. . Aquellos documentos en papel que contengan datos de carácter personal deberán ser destruidos de una forma que haga el contenido irreconocible. Finalmente, la CONSEJERIA DE EDUCACION informó que revisaría el contenido del Área de Seguridad y Protección de Datos del Portal ####, incorporando una mención específica a la reutilización de documentos con datos de carácter personal. 4. Por la Inspección de Datos se verificó que el sitio web de la CONSEJERIA DE EDUCACION, en la URL <www.juntadeandalucia.es/educacion........>, incorpora los documentos “Área de seguridad” y “Guía de protección de datos de carácter personal para los centros de enseñanza”, en los que se informa sobre aspectos relativos a la protección de datos, deber de secreto, confidencialidad y seguridad de los datos personales que se tratan en centros educativos. La citada Guía incluye un apartado con “Recomendaciones sobre destrucción de documentos”. 5. Con fecha 13/11/2015 se recibió un nuevo escrito de la entidad CONSEJERIA DE EDUCACION al que acompañó un Informe emitido por la Inspección de Educación sobre la denuncia presentada ante esta Agencia, de 09/10/2015, el detalle de las medidas requeridas por la Secretaría General Técnica al IES XXXXX y, que constan reseñadas en el apartado 3 anterior, así como la respuesta emitida por este Centro. Del contenido del citado Informe cabe destacar lo siguiente: “De la Información obtenida de la Directora del centro se advierte que no se trata de un uso general de documentos con datos personales, sino de hechos limitados al proceder de un profesor del centro”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 “En el caso de la documentación referida, que era conservada por el profesor y posteriormente facilitada por él para la realización de tareas por el alumnado, según informa la Directora del centro, no existe consentimiento otorgado por los titulares de los datos personales, dadas las circunstancias en que se produjo el uso delos mismos”. Por otra parte, la Directora del IES XXXXX añade la información siguiente sobre los hechos denunciados y las medidas adoptadas por el centro: “…el resto del profesorado suele extremar sus medidas en cuanto a la protección de datos del alumnado custodiando y destruyendo documentos. En el centro no se reutiliza, en ningún caso, este tipo de documentos con el fin mencionado, ni con ningún otro que no sea el de su archivo custodiado o su destrucción cuando se hace necesario. El centro utiliza ####, programa informático de la Junta de Andalucía, con acceso personal mediante usuario y contraseña, a través del cual el profesorado tutor de un grupo tiene acceso y posibilidad de imprimir los datos y las fotografías de su grupo… El centro nunca registra datos de carácter personal en ficheros que no reúnan las condiciones prescritas por la ley. En cuanto a las medidas tomadas o que se tomarán, informo que Se ha comunicado al claustro el contenido de las instrucciones a través del correo electrónico del centro. El profesorado se comprometerá por escrito a la custodia y protección de la documentación donde aparezcan los datos del alumnado. El asunto será tratado… en sesión extraordinaria de claustro. Los representantes legales del alumnado del centro han firmado este curso un documento de autorización para la difusión de imágenes tomadas en las actividades del centro. La difusión se refiere a la página web, la agenda escolar u otras actividades del centro que se reabren a lo largo del curso. Las dependencias de la Secretaría, sus archivadores y armarios, los despachos y los departamentos se cierran, como es habitual, cada día al finalizar la jornada. La secretaría y los despachos permanecen vigilados, como es habitual, durante la jornada de trabajo”. TERCERO: Con fecha 17/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la CONSEJERIA DE EDUCACION, por la presunta infracción del artículo 9 de la LOPD, en relación con los artículos 92.4, 107 y 108 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, e infracción del artículo 10 de la citada Ley Orgánica, tipificadas como graves en los artículos 44.3.

  1. h)y 44.3.
  2. d)de la misma norma, respectivamente. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la entidad CONSEJERIA DE EDUCACION presentó escrito en el que reitera las alegaciones ya realizadas y da cuenta nuevamente de las acciones emprendidas. QUINTO: Con fecha 22/01/2016, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia formulada, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00331/2015, y por presentadas las alegaciones al acuerdo de inicio AP/00068/2015 formuladas por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 CONSEJERIA DE EDUCACION. SÉXTO: Con fecha 03/02/2016, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare que la entidad CONSEJERIA DE EDUCACION ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  3. h)de dicha norma, y que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la misma norma. En la citada propuesta se estimó que no procede requerimiento alguno en orden a la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, considerando que la citada ha adoptado medidas de orden interno relativas a la gestión de soportes que contemplan la destrucción de la documentación que vaya a ser desechada. Notificada la citada propuesta, el plazo concedido a la entidad CONSEJERIA DE EDUCACION para formular alegaciones transcurrió sin que en esta Agencia haya tenido entrada escrito alguno. HECHOS PROBADOS 1. El IES XXXXX depende de la Consejería de Educación de la Junta de Andalucía. 2. Con fecha de 04/12/2014, un profesor del centro IES XXXXX distribuyó entre los alumnos de su clase, entre los que figuraba el hijo del denunciante que cursa estudios en dicho centro, documentos que contenían datos personales de alumnos de cursos anteriores, con el propósito de que reutilizasen el papel para la realización de ejercicios y toma de apuntes. Entre los documentos aportados por el denunciante figuran listas de clase, con una relación de 29 alumnos con detalle de sus nombres, apellidos y números de teléfono; 24 fotografías con el nombre y apellidos del alumno correspondiente; y un examen en el que consta el nombre y apellidos de la alumna que lo realizó. 3. Durante la fase de actuaciones previas de investigación, la Consejería de Educación de la Junta de Andalucía y el IES XXXXX reconocieron los hechos denunciados. En concreto, consta incorporada a las actuaciones una información facilitada por la Directora del citado centro escolar en el que señala lo siguiente: “De la Información obtenida de la Directora del centro se advierte que no se trata de un uso general de documentos con datos personales, sino de hechos limitados al proceder de un profesor del centro”. “En el caso de la documentación referida, que era conservada por el profesor y posteriormente facilitada por él para la realización de tareas por el alumnado…”. 4. Durante la tramitación del procedimiento, la Consejería de Educación de la Junta de Andalucía ha informado a la AEPD sobre las medidas preventivas y correctivas adoptadas para evitar que se repita una incidencia similar a la denunciada, detallando las siguientes: . Recordar a todo el personal del centro el cumplimiento de la LOPD. . Revisar en las aulas, despachos y otras ubicaciones que los documentos están guardados en los lugares habilitados a tal efecto (armarios, archivadores, salida de la impresora, papel almacenado, carpetas en red, etc.) y garantizar que solo tiene acceso a ellos el personal autorizado. . En caso de identificar documentos con datos personales en lugares donde no es posible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 garantizar el adecuado control de acceso, revisar si son documentos vigentes para reubicarlos en lugares que garanticen el control o deben ser destruidos. . Aquellos documentos en papel que contengan datos de carácter personal deberán ser destruidos de una forma que haga el contenido irreconocible. . Revisar el contenido del Área de Seguridad y Protección de Datos del Portal ####, incorporando una mención específica a la reutilización de documentos con datos de carácter personal. 5. Con fecha 09/10/2015, por la Inspección de Datos se verificó que el sitio web de la Consejería de Educación de la Junta de Andalucía, en la URL <www.juntadeandalucia.es/educacion........>, incorpora los documentos “Área de seguridad” y “Guía de protección de datos de carácter personal para los centros de enseñanza”, en los que se informa sobre aspectos relativos a la protección de datos, deber de secreto, confidencialidad y seguridad de los datos personales que se tratan en centros educativos. La citada Guía incluye un apartado con “Recomendaciones sobre destrucción de documentos”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
  5. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
  6. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido (nombres, apellidos, números de teléfono y fotografías), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El Titulo VII sobre Infracciones y sanciones, en el artículo 43, de la LOPD establece: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
  7. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
  8. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. IV Se imputa a la entidad CONSEJERIA DE EDUCACION el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y su “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
  9. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
  10. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  11. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  12. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  13. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  14. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
  15. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal tratados por la entidad CONSEJERIA DE EDUCACION, pertenecientes a alumnos que cursan estudios en centros educativos de dicha entidad, correspondiendo adoptar las calificadas de nivel medio, teniendo en cuenta el tipo de datos que incluye, tal como se especifica en el art. 80 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. En este caso, resultan de aplicación los artículos 92.4, 107 y 108, que establecen lo siguiente: Artículo 92. Gestión de soportes y documentos. “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Artículo 107. Dispositivos de almacenamiento. “Los dispositivos de almacenamiento de los documentos que contengan datos de carácter personal deberán disponer de mecanismos que obstaculicen su apertura. Cuando las características físicas de aquéllos no permitan adoptar esta medida, el responsable del fichero o tratamiento adoptará medidas que impidan el acceso de personas no autorizadas”. Artículo 108. Custodia de los soportes. “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. El artículo 5.2.ñ) del Reglamento de desarrollo de la LOPD considera “soporte” al objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en sistemas de información y sobre el cual se pueden grabar y recuperar datos. Así, la CONSEJERIA DE EDUCACION, y en su nombre el IES XXXXX, están obligados a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que dicha entidad incumplió esta obligación. En el presente caso, el objeto del procedimiento se limita a las medidas de seguridad relativas a los datos personales incluidos en los ficheros gestionados por la citada Consejería, referidas a la información perteneciente a alumnos del IES XXXXX recogida en soporte papel. Este soporte, como antes se expuso, se encuentra incluido en la definición del artículo 2.10 del Reglamento de Medidas de Seguridad. En el presente caso, ha quedado acreditado que, el día 04/12/2014, el hijo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 denunciante y otros alumnos del centro escolar pudieron acceder a diversa documentación perteneciente al IES XXXXX en la que figuraban datos personales de otros alumnos. Corresponde a documentación desechada que, en lugar de destruirse con todas las garantías previstas, fue distribuida entre los alumnos por un profesor del centro con el propósito de que el papel fuese reutilizado para la realización de ejercicios y toma de apuntes. Esto posibilitó que aquellos alumnos pudieran acceder a datos personales de alumnos de cursos anteriores relativos a nombre, apellidos, fotografía, número de teléfono y curso al que pertenecían. Así consta en la documentación aportada al expediente, que no ha sido cuestionada por la CONSEJERIA DE EDUCACION. Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, no dando lugar a su posible utilización cuando han dejado de ser necesarios o su hallazgo por terceros. Por ello, procede concluir que la CONSEJERIA DE EDUCACION (IES XXXXX) no respetaron las medidas de índole técnica y organizativas adoptadas para garantizar la seguridad de los datos de carácter personal, de manera que se evitase el acceso por terceros no autorizados, por lo que resulta vulnerado el principio de seguridad en materia de protección de datos recogido en el artículo 9 de la LOPD. V La entidad CONSEJERIA DE EDUCACION ha señalado que los centros educativos estaban informados y obligados al cumplimiento de las medidas de seguridad y a la confidencialidad de los datos, según la información que se encontraba disponible en el portal de educación. Sin embargo, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). VI El artículo 44.3.
  16. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. La reutilización mediante su entrega a terceros de documentación en formato papel, en la que se detallan datos personales de alumnos, supone una vulneración del “principio de seguridad de los datos” por parte de la entidad responsable de tales datos, en este caso, la CONSEJERIA DE EDUCACION, por lo que se considera que dicha entidad ha incurrido en la infracción grave descrita. VII Asimismo, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la entrega de los documentos en cuestión a alumnos del IES XXXXX, según los detalles antes indicados. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
  17. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el presente caso, al haber posibilitado que determinados alumnos del IES XXXXX accedieran a los datos personales contenidos en la documentación objeto de la denuncia, según el detalle que conste en los hechos probados, sin que los titulares de los datos o sus representantes legales hubiesen prestado su consentimiento para ello, queda acreditado que por parte de la CONSEJERIA DE EDUCACION (IES XXXXX) se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD. La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
  18. d)de la LOPD. En este precepto se establece lo siguiente: “
  19. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de los afectados fueron divulgados a terceros no interesados (los alumnos que tuvieron acceso a la documentación objeto de la denuncia). Por tanto, se concluye que la conducta imputada se ajusta a la tipificación prevista en el 44.3.
  20. d)de la LOPD. VIII Los hechos constatados, es decir, la distribución de documentos desechados entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 diversos alumnos para el aprovechamiento y reutilización del papel, en lugar de haber procedido a la destrucción de los mismos, constituyen una base fáctica para fundamentar la imputación a la CONSEJERIA DE EDUCACION de las infracciones de los artículos 6 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, del tratamiento de datos que supone incorporar una imagen a la web, a su vez, deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, procede subsumir ambas infracciones en una, procediendo imponer únicamente declarar la infracción más grave que, en este caso, corresponde a la prevista para la infracción del artículo 6 de la LOPD que, además, se trata de la infracción originaria que ha implicado la comisión de la otra. IX En las actuaciones constan las declaraciones efectuadas por la entidad CONSEJERIA DE EDUCACION y el IES XXXXX en relación con las medidas de gestión de soportes adoptadas, que contemplan, entre otras, la destrucción de documentación afectada de cualquier tipo de dato personal, o la revisión de los archivos de documentación, para asegurar que únicamente tiene acceso a los mismos el personal autorizado o para reubicar dicha documentación en lugares que garanticen su control. Además, la citada Consejería actualizó las instrucciones impartidas en materia de protección de datos, con unas recomendaciones específicas sobre la destrucción de documentos. Por tanto, se entiende que la CONSEJERIA DE EDUCACION ha adoptado las medidas necesarias para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD similar a la examinada en el presente procedimiento, estableciendo unas normas internas que obligan a las personas de su organización que tengan acceso los datos personales a garantizar la destrucción de los documentos en los que figuren tales datos que vayan a ser desechados. En consecuencia, no procede requerir la adopción de nuevas medidas para impedir en el futuro incidencias similares. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad CONSEJERIA DE EDUCACION DE LA JUNTA DE ANDALUCIA ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  21. h)de la citada Ley Orgánica. SEGUNDO: DECLARAR que la entidad CONSEJERIA DE EDUCACION DE LA JUNTA DE ANDALUCIA ha adoptado medidas de orden interno relativas a la gestión de soportes que contemplan la destrucción de la documentación que vaya a ser desechada, por lo que no procede instar la adopción de medidas correctoras. No obstante se solicita se comuniquen las que de forma autónoma decida adoptar. TERCERO: NOTIFICAR la presente resolución a la entidad CONSEJERIA DE EDUCACION DE LA JUNTA DE ANDALUCIA y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.