AI-00101-2022

1/7  Expediente N.º: EXP202105061 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante), con fecha 8 de octubre de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos de la reclamación son los siguientes: La Guardia Civil de ***LOCALIDAD.1 nos traslada la denuncia presentada por un profesor de un instituto de la localidad cuya identidad fue suplantada por algún alumno para difundir por redes de mensajería (Telegram e Instagram) bulos relacionados con la celebración de los exámenes. Esos bulos, difundidos el pasado mes de abril, se habrían construido utilizando la imagen de perfil del profesor en el foro existente en la plataforma educativa Séneca, puesta a disposición de centros y alumnos por parte de la Junta de Andalucía. A raíz de la documentación presentada por el afectado, la Guardia Civil señala a dos alumnos como los supuestos autores de la difusión de los bulos generados a partir de la identidad del reclamante (imagen, nombre y apellidos) en el foro. Trasladaron los hechos al Juzgado y a la AEPD. Junto a la notificación se aporta copia escaneada de la denuncia que interpuso ante la Guardia Civil el día 10 de mayo de 2021, y la cual modificó posteriormente para anexar más pruebas, el día 12 de mayo de 2021. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a uno de los alumnos señalados en la reclamación: Don C.C.C., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 5 de enero de 2022, se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “Que el día 30/04/l202l, mi hermana, D.D.D., con DNI (…), teléfono (…) y domicilio en (…), que está realizando curso en centro educativo a distancia, recibe en un grupo de whatsapp, de los compañeros de su curso, la información objeto del caso (puesto que deduce esta parte por lo que ha leído en la denuncia, que se trataba de una información farsa y además suplantando la personalidad del profesor). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Mi hermana me hace captura de pantalla de esa información y me la envía a mí, a ver si yo sé algo de dicha información, pues la información sobre la forma de realizar los exámenes dada supuestamente por un profesor, también es profesor mío, por si yo sabía algo, y yo, al no tener conocimiento de dicha información, copio dicha imagen que me ha enviado mi hermana y la pego en un grupo de telegram de mis compañeros de curso (grupo distinto al de mi hermana) y pregunto si saben si esa información de la realización de los exámenes si es cierta o no” Acompaña la cadena de mensajes recibidos sobre la falsedad de la información. TERCERO: Con fecha 24 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De esta denuncia ante la Guardia Civil se extrae la siguiente información relevante: Que el día 30 de abril de 2021 el reclamante, profesor de IES (…) (***LOCALIDAD.1) recibe varios correos de algunos de sus alumnos preguntando por una información que habían recibido en un grupo de mensajería instantánea y en la que se afirmaba (por parte del profesor reclamante) que los exámenes se harían presencialmente, utilizándose la opción de hacerlos online únicamente para los alumnos seleccionados aleatoriamente. A este mensaje el reclamante responde que es totalmente falsa esta información y que la desmientan en el mismo canal que la habían recibido. El mismo día 30 de abril avisan al reclamante que alguien está enviando en grupos de mensajería instantánea (Telegram y WhatsApp) imágenes que hacen referencia a capturas de pantalla del foro de la plataforma educativa con supuestos mensajes escritos por este profesor (reclamante) donde hacía referencia a que los exámenes se harían online únicamente para los seleccionados aleatoriamente. En este foro de ciclo formativo solo tienen acceso los docentes y los alumnos matriculados en el mismo. Según el reclamante estas imágenes son fotomontajes utilizando una cabecera con el perfil del profesor en el foro (obtenida de otros mensajes escritos por este en fechas anteriores), a la que se había añadido un cuerpo de mensaje con texto que nunca había sido escrito en el foro por parte de este. El mismo día 30 de abril se cambia la contraseña de acceso del profesor al foro, no obstante, posteriormente se confirma que sus credenciales no habían sido filtradas y no se había accedido de forma ilegítima al foro con su cuenta. El día 11 de mayo el reclamante logra hacerse con las siguientes pruebas (las cuales también son adjuntadas a la denuncia): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7   Las imágenes manipuladas (fotomontajes) con los mensajes que supuestamente había escrito el reclamante en el foro. En estas imágenes se aprecia la captura de pantalla de un mensaje escrito en foro con la cabecera conteniendo la fotografía y la identificación del reclamante (Nombre y Apellidos), y un cuerpo de mensaje con texto que supuestamente nunca se escribió. Capturas del grupo de WhatsApp con la supuesta difusión del fotomontaje anterior desde el número de teléfono ***TELÉFONO.1. En esta captura se aprecia que se comparte una imagen desde este número en un grupo de WhatsApp con nombre “***NOMBRE.1”, y al mensaje se le acompaña con el texto (…). No obstante, la calidad del documento aportado no permite ver con claridad la información que se difunde. El reclamante apunta como personas autoras de los hechos (tanto del fotomontaje como su posterior difusión) a B.B.B. (DNI ***NIF.1) y C.C.C. (DNI ***NIF.2). No se aportan pruebas adicionales a la captura de pantalla del grupo de WhatsApp. Según el reclamante, el número de teléfono ***TELÉFONO.1 hace referencia a B.B.B.. La calidad de la captura aportada como prueba no permite ver con claridad que la imagen difundida corresponde al fotomontaje anterior con los datos personales del reclamante. Esta denuncia ante la Guardia Civil está interpuesta tanto por el propio reclamante como por el director del centro IES (…). Se envió requerimiento de información al reclamante, en fecha 11 de marzo de 2022, solicitando que nos remita capturas de pantalla que acrediten con claridad la difusión en el grupo de WhatsApp por parte del reclamado, B.B.B., del mensaje del foro resultado de fotomontaje y que contenía datos personales del reclamante. Esta captura había sido adjuntada en la denuncia de la Guardia Civil pero la calidad con la que nos llegaba no permitía apreciar el contenido que se estaba difundiendo. En fecha 11 de marzo de 2022, también se envía requerimiento de información al director del IES (…), (como posible responsable de la plataforma del foro del ciclo educativo de su instituto), solicitando la acreditación de que el profesor no escribió el mensaje del foro al que hacía referencia la imagen manipulada (fotomontaje). Se recibió la contestación del director del IES (…), en fecha 08 de abril de 2022, concluyéndose lo siguiente: Que el Aula Virtual donde se gestiona la docencia, y donde tiene cabida el referido foro, es gestionada por la Dirección General de Formación Profesional Inicial y Educación Permanente (DGFPIyEP) de la Consejería de Educación y Deporte de la Junta de Andalucía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Que al no tener acceso a la actividad del aula del curso anterior (momento en el que se produjeron los hechos), solicitó a la DGFPIyEP la actividad del profesor reclamante en este foro, en el día 28 de abril de 2021, fecha que aparecía en la cabecera del fotomontaje. Que recibe respuesta por parte de la DGFPIyEP (la cual se adjunta como prueba en la contestación al requerimiento), confirmando que este profesor no envió ningún mensaje el día referido. De la anterior respuesta se confirma que el profesor nunca escribió el mensaje de la imagen supuestamente difundida en grupo de WhatsApp, por lo que la anterior imagen es un fotomontaje en el que se ha cogido la cabedera con la identificación del profesor (fotografía y nombre/apellidos) y se ha añadido un cuerpo de mensaje haciendo referencia a un texto que nunca escribió este profesor y suplantándose así su identidad. No obstante, no hay pruebas o posibles evidencias sobre la autoría de este fotomontaje. En relación con el requerimiento de información enviado al propio reclamante solicitando la captura del grupo de WhatsApp donde supuestamente el reclamado difundía el fotomontaje anterior, no se ha recibido respuesta. Este requerimiento fue recibido el día 5 de abril de 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Legitimación para el tratamiento El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Por tanto, suplantar a un profesor para difundir por redes de mensajería (Telegram e Instagram) bulos relacionados con la celebración de los exámenes y su posterior difusión, que se habrían construido utilizando la imagen de perfil del profesor en el foro existente en la plataforma educativa Séneca, puesta a disposición de centros y alumnos por parte de la Junta de Andalucía, supone un tratamiento de datos personales. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>> El incluir el mensaje objeto de reclamación haciendo creer que era del profesor con sus datos personales y que partía de la plataforma educativa que se utilizaba, supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las legitimaciones señaladas en el artículo 6 del RGPD. En estos supuestos, como el denunciado, no existe ninguna causa que lo legitime ya que no es la persona identificada la que lo ha incluido. Y es la persona que incluye las imágenes en plataformas la que debe demostrar que cuenta con una causa legitimadora para ese tratamiento. III Actuaciones previas de investigación El artículo 67 de la LOPDGDD, relativo a las actuaciones previas de investigación, determina lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> Para determinar la veracidad de los hechos y la autoría de los mismos, es por lo que se han realizado las presentes actuaciones. IV Conclusión Al objeto de comprobar la autoría de quien o quienes suplantaron al profesor difundiendo datos como si hubiesen sido incluidos en la plataforma educativa por el reclamante, se solicitó información sobre ello a los posibles alumnos señalados por el profesor. El primero informó del origen del whatsapp recibido sin haber sido él quien había suplantado al profesor. responsables de las páginas web en las que se mostraba. No se ha recibido contestación. En cuanto al segundo alumno que pudiese haber difundido el fotomontaje, con la información aportada, que no es fácilmente legible no se puede acreditar. Se solicitó al reclamante que aportase la prueba en formato legible, pero, a pesar de haberlo recibido, no hay contestación por parte de este. Hay evidencias de que existe una imagen manipulada con un fotomontaje de un mensaje del foro del aula virtual, mensaje de texto que nunca escribió el reclamante, y en el que aparece una cabecera con la fotografía y Nombre/Apellidos de este; no obstante, no se puede demostrar la autoría de este fotomontaje y de quien comenzó la difusión del mismo. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es