1/6 Procedimiento Nº AP/00071/2016 RESOLUCIÓN: R/02444/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00071/2016, instruido por la Agencia Española de Protección de Datos a la entidad CONSERVATORIO PROFESIONAL DE MUSICA B.B.B., vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/03/2016 se recibe denuncia de A.A.A. y su esposo contra el CONSERVATORIO DE MÚSICA B.B.B. porque este publica datos del hijo de la denunciante desde el curso 2013/2014, sin su consentimiento, dándose la circunstancia de que es un menor en proceso de adopción y cualquier persona puede saber el lugar en el que se encuentra ya que tiene los apellidos de sus padres biológicos. Añaden que en mayo de 2014, al comprobar que los datos del menor estaban publicados en internet, solicitaron verbalmente al Director del Centro que cancelara los datos pero en septiembre de 2015 se volvieron a hacer públicos los datos de los horarios, clases, tutores incluidos los datos del menor que fueron cancelados. No se acredita documentalmente dichas circunstancias. Con el escrito de denuncia se adjunta la siguiente documentación: Copia del Auto nº ***NUMERO.1 del Juzgado de Primera Instancia nº XXX, de fecha 16/06/2014, de constitución del acogimiento ***ACOG.1 del menor C.C.C. al matrimonio formado por la denunciante y su esposo. Consulta realizada a través del buscador GOOGLE (no se ve fecha) de los datos de C.C.C. visualizándose, entre otros, lo siguiente: 1. Una página titulada: Novedades - Conservatorio B.B.B.: mayo 2013: Ya se pueden recoger las entradas para el concierto final de curso (…) En esta pestaña no se visionan datos del menor, siendo la URL “***URL.1”. 2. Una página titulada: “***CORREO.1. El resultado, al clicar sobre este acceso es que se despliega un listado tipo hoja Excel cuya impresión se aporta. Se titula:”***EXCEL.1”. Se visionan entre otros datos de otros alumnos, los datos de nombre y apellidos del menor, DNI, edad y puntuación, motivo no admisión. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizan las siguientes actuaciones: 1) La Inspección de Datos verifica:
- a)El día 5/04/2016, constaba información asociada al menor, en Internet, referente a “***URL.2”. Se imprime información que consta en la URL ***CORREO.2. La información que se ve está relacionada con la que se ve en la hoja que aporta la denunciante; se visiona solamente el número de alumno: 35, y nombre y apellidos.
- b)Se han realizado sendas consultas en internet, a través del buscador GOOGLE, con fecha de 12/04 y 18/11/2016, por el criterio de nombre y apellidos del menor no obteniéndose resultado asociado al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Conservatorio de Música. Dichas circunstancias constan en la Diligencia de fecha 18/11/2016. 2) Se solicita información al CONSERVATORIO DE MÚSICA B.B.B. sobre los hechos denunciados, contestando en el sentido siguiente: En la página web del Conservatorio Profesional de Música B.B.B. y en los tablones de anuncios del centro se publican los listados oficiales de los procesos de admisión a las enseñanzas para facilitar la información a los interesados. Desde la Administración Provincial se solicita al Conservatorio de Música que se hagan públicos los listados y la certificación por parte de la Secretaria del Centro. La información relativa a horarios, profesores y clases es de acceso restringido para los padres, excepcionalmente al inicio del curso se imprime el listado completo del alumnado con sus horarios, profesores y aulario. Añaden que cuando tuvieron conocimiento de los posibles perjuicios provocados a la familia del menor, por la publicación de información referente al mismo, dieron de baja inmediata la documentación publicada y solicitaron a GOOGLE el borrado de los datos. Entre la documentación que según manifiesta el representante del Conservatorio de Música que fue cancelada y en la que constaba el nombre y apellidos del menor aportan la siguiente: Solicitantes admitidos a las pruebas de aptitud curso escolar 2013/2014. Calificaciones provisionales de la prueba de aptitud en enseñanzas básicas de música de fecha de generación 7/06/2013. Calificaciones definitivas de la prueba de aptitud en enseñanzas básicas de música de fecha de generación 13/06/2013. Fechas y horas de realización de la prueba de aptitud para acceder al primer curso de enseñanzas básica, no consta fecha. TERCERO: Con fecha 13/03/2017, la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al CONSERVATORIO PROFESIONAL DE MÚSICA B.B.B. por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 28/03/2017, se reciben alegaciones mediante correo electrónico por parte de la Delegación Territorial de Educación de Cádiz. En las mismas se indica: 1. Tanto en los tablones de anuncios como en la página web del Centro se publican listados oficiales de alumnos sobre procedimientos de admisión de las enseñanzas Musicales con objeto de facilitar la información a los interesados. 2. “Cuando tuvieron conocimiento de un posible perjuicio al menor o a su familia se dio de baja inmediatamente en Internet la documentación y se solicitó a GOOGLE el borrado de los datos. Este acto de borrado se coordinó conjuntamente con el Servicio Provincial de Inspección Educativa de la Delegación Territorial de Educación en Cádiz”. Se trata de un proceso de concurrencia competitiva como es el de “admisión y matriculación en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 enseñanzas” que se realiza anualmente donde optan los peticionarios con unos criterios preestablecidos, proceso en el que se deben respetar los principios de mérito, capacidad, publicidad e igualdad. No consta solicitud formal de cancelación de datos. “Tan solo consta una petición verbal que fue ejecutada de modo inmediato”. 3. La Ley 17/2007 de 10/12 de Educación de Andalucía, BOJA 26/12/2007 contiene una disposición concreta sobre protección de datos, si bien remite a la disposición adicional 23 de la LO 2/206 de 3/05 de Educación. El artículo se refiere a la posibilidad de recabar datos y su tratamiento. A continuación refiere la Orden de 13/03/2013, BOJA de 26/03, por la que se regulan los criterios y procedimientos de admisión y matriculación del alumnado de las enseñanzas elementales básicas y profesionales de música y de danza en los Centros docentes públicos de titularidad de la Junta. Sus artículos 16, 18 y 19 se refieren a la publicación de las relación de admitidos y no admitidos en el tablón de anuncios del Centro, que “deberá estar expuesta hasta la finalización del procedimiento de admisión”. 4. La madre del alumno suscribió el impreso de participación en el procedimiento selectivo de admisión del alumnado en el Centro Escolar, que en su parte inferior especifica que los datos se incorporan para su tratamiento al archivo automatizado “SENECA Datos Generales y académicos del alumnado”. QUINTO: Con fecha 19/06/2017 se accede a la web y se comprueba que es ISSUU el que figura en la URL de la página que la denunciante aportó en su denuncia insistiendo en que esa información la expone el Conservatorio. En WIKIPEDIA figura que ISSUU: “es un servicio en línea que permite la visualización de material digitalizado electrónicamente, como libros, documentos, números de revistas, periódicos, y otros medios impresos de forma realista y personalizable” “Aunque los documentos en Issuu están diseñados para verse en línea, es posible guardar una copia de ellos.” Se accede a ***CORREO.4, obteniendo copia de la política de privacidad, figurando la entidad responsable ISSUU INC con domicilio en California. Se efectúa el 20/06/2017 consulta en GOOGLE de la página con la URL de la que a 5/04/2016 se visionaba algún resultado: ***CORREO.2., no hallándose información alguna. Se efectúa consulta el 20/06/2017 a la URL que la denunciante aportó en su denuncia: ***CORREO.3 no hallándose información alguna. SEXTO: Con fecha 21/06/2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de”Declarar el ARCHIVO del procedimiento incoado al CONSERVATORIO PROFESIONAL DE MÚSICA B.B.B. por la presunta infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de dicha norma”. HECHOS PROBADOS 1) La denunciante aporta un auto del Juzgado de Primera Instancia XXX, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 ***NUMERO.1 de 16/06/2014, en que se acuerda el acogimiento familiar preadoptivo del menor C.C.C. que aún conserva el apellido de sus padres biológicos (1, 5 y 7). 2) La denunciante denuncia que los datos de su hijo, menor de edad, en estado de adopción han sido publicados por el Conservatorio de Música B.B.B., dependiente de la Consejería de Educación de la Junta de Andalucía. 3) En su denuncia aportó el resultado de la búsqueda en GOOGLE con el nombre y apellidos del menor, arrojando como resultado, uno titulado “Adjudicación de instrumento eebb by conservatorio”, si bien figura en la página la URL de issuu.com/conservatoriojerez/docs. Clicando se abre un listado titulado “resolución de procedimiento de adjudicación de plazas curso escolar 2013/2014.”. El listado contiene el nombre y apellidos DNI edad y motivo no admisión en 1 curso de 1 ciclo de EBM Guitarra. Se deduce que la información que aparece ha sido anexada por dicha página que hace referencia a un servicio -ISSUU-que digitaliza información aparecida en algún momento en la web. De esta página no es responsable el Conservatorio de Música B.B.B., dado que el servicio se presta por una empresa radicada en California, denominada ISSUU INC. 4) La denunciante y la denunciada convienen en que en el curso 2013/2014 hubo datos de su hijo que se hicieron públicos en el proceso de admisión al Conservatorio y que ese listado fue retirado tras su queja. La información que la denunciante aporta en su denuncia se refiere a ese año 2013/2014. También la denunciante incide en que con posterioridad otros listados fueron expuestos, si bien dichos datos no son visibles en web alguna y la denunciada indica que se dieron de baja esas páginas. 5) Según el proceso de admisión de alumnos en el Conservatorio, sus normas procedimentales, Orden 13/03/2013 por la que se regulan los criterios de admisión y matriculación, se establece la publicación de la relación de personas solicitantes, admitidas y no admitidas en las pruebas de aptitud o acceso, que se publicaran en los tablones de anuncios del Centro, que deberá exponerse hasta la finalización del proceso de admisión. El Conservatorio admite en actuaciones previas que publica en su página web listados de procesos de admisión “para facilitar la información a los interesados”, mientras que otro tipo de información que también se da en la web requiere de acceso con claves de los usuarios. No consta que en la hoja de presentación de matrícula o de admisión de alumnado se informe del tratamiento de datos a través de la web del Conservatorio. 6) Con fecha 5/04/2016, accediendo a la ***CORREO.5 el Servicio de Inspección se halló nombre y apellidos y número de orden, información relacionada con la impresión que la denunciante aportó en su denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 7) El Servicio de Inspección verificó que en consulta por nombre y apellidos de menor en GOOGLE, a 12/04/2016 no figuraba información (/21, 23 a 26). Consultadas las direcciones URL que la denunciante aporta en su denuncia así como la de la consulta de 5/04/2016, a fechas 19 y 20/05/2017 no constaba dato alguno del menor. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la denunciada la comisión de una infracción del artículo 10 que señala: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El artículo 3
- d)define: “Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Se debe señalar que la Ley 17/2007 de Educación de Andalucía señala en su Disposición adicional segunda: “Datos personales del alumnado: En el tratamiento de los datos personales del alumnado por la Administración educativa y los centros docentes, se estará a lo dispuesto en la disposición adicional vigesimotercera de la Ley Orgánica 2/2006, de 3 /05 de Educación”. La citada disposición se refiere a la posibilidad de recabar datos y su tratamiento, aunque no establece nada sobre listas publicadas en Internet. Tampoco la Orden de 2013 de admisión de alumnos efectúa concreción sobre la publicación en la web. El responsable del fichero de alumnos admitidos o no admitidos que es objeto de denuncia es el Conservatorio. Sin embargo, las evidencias de que el documento figura expuesto en la web, se remiten a la entidad ISSUU, no al Conservatorio. La denunciante expone en su denuncia que inicialmente acudieron a exponer su queja al Centro ante la aparición de un listado referido a 2013/2014. La denunciada indica que quitó la página de la web y desanexó la información del buscador. La documentación que la denunciante aporta en su denuncia con los datos de su hijo pertenece a otra entidad, no al Conservatorio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 La explicación plausible de lo acontecido podría ser que ISSUU indexara la información y los datos que en algún momento estuvieron en la web, incorporándolos a una página de la que es responsable desde el momento en que decide incorporarla a sus sistemas y tratarla en forma digitalizada. Por dicha razón, al no acreditarse que los hechos denunciados sean responsabilidad de la denunciada, se procede al archivo de la infracción imputada al Conservatorio. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO del procedimiento iniciado al CONSERVATORIO PROFESIONAL DE MUSICA B.B.B. por la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
- d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al CONSERVATORIO PROFESIONAL DE MUSICA B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es