1/18 Expediente N.º: EXP202309502 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia presentada con número de registro REGAGE23e00036326867 y REGAGE23e00043167280, de que la Comunidad Autónoma de la Región de Murcia, a través de la Consejería de Educación, Formación Profesional y Empleo ha firmado un Convenio de Colaboración con una sociedad mercantil, para el uso y difusión de la plataforma www.mihuelladigital.es, con el objetivo de informar y concienciar sobre la privacidad digital y la protección de datos, a fin de luchar y prevenir situaciones de ciberbulliyng, en centros sostenidos con fondos públicos. En el citado Convenio se contempla el tratamiento de diferentes tipologías de datos y de distintos interesados, por la empresa encargada, sin ofrecer información sobre la manera y condiciones en que se producirá el acceso y posterior tratamiento de los datos personales de los alumnos, especialmente, los menores de edad. Según los hechos denunciados, de conformidad con el citado Convenio, la sociedad mercantil encargada del tratamiento tratará las siguientes tipologías de datos personales: nombre y apellidos, DNI, dirección de correo electrónico, libro de familia, imágenes para el servicio de reconocimiento facial, cuentas de usuario y perfiles de internet, así como "otra documentación" no detallada, correspondientes a padres, alumnos y equipo directivo de los centros escolares. Sin embargo, en el Convenio no se indica de qué manera se va a permitir a la sociedad mercantil acceder a los datos personales de los alumnos, ni cuál será el tratamiento posterior. En el Registro de Actividades de Tratamiento de los centros docentes y en la página web general de la Consejería, no consta ningún tratamiento en el que se pueda enmarcar esta actividad, ni, en particular, actividad alguna que contemple el tratamiento de datos personales biométricos de alumnado, careciendo también de referencias a las medidas de seguridad aplicables por la Consejería para proteger el derecho fundamental a la protección de datos de los alumnos de los colegios que formarán parte de esta iniciativa. SEGUNDO: Teniendo en cuenta la relevancia de la información, resultaba necesario para esta Agencia conocer en profundidad los hechos descritos y los tratamientos llevados a cabo para, en su caso, determinar las consecuencias que de ellos podían derivarse para los derechos y libertades de las personas. La necesidad de evaluar las implicaciones en materia de protección de datos personales requería la apertura de una investigación para verificar estos extremos y, en su caso, la adecuada observancia de la normativa de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Por todo ello, en fecha 7 de julio de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD) para investigar a la CONSEJERÍA DE EDUCACIÓN y YOUFORGET.ME, S.L. con NIF B42751842, teniendo conocimiento de los siguientes extremos: El Boletín Oficial de la Región de Murcia del sábado, 27 de mayo de 2023, publica el convenio de colaboración entre la Comunidad Autónoma de la Región de Murcia, a través de la Consejería de Educación, Formación Profesional y Empleo y la Sociedad Mercantil Youforget.me S.L., para el uso y difusión de la plataforma www.mihuelladigital.es, con el objetivo de informar y concienciar sobre la privacidad digital y la protección de datos a fin de luchar y prevenir situaciones de ciberbullying en centros sostenidos con fondos públicos. En la diligencia del 2 de agosto de 2023, se recoge la consulta al Registro de Actividades de Tratamiento de la Región de Murcia, en la que no se ha encontrado ningún registro relacionado con el citado Convenio firmado por Consejería de Educación, ni con las palabras “mihuelladigital” o “youforget”. El 26 de septiembre de 2023, la Consejería de Educación, Formación Profesional y Empleo de la Comunidad Autónoma de la Región de Murcia, responde al requerimiento del 4 de agosto de 2023 de esta Agencia: El objetivo del convenio con la sociedad mercantil Youforget.me, S.L. es […]” informar y concienciar sobre la privacidad digital y la protección de datos a fin de luchar y prevenir situaciones de ciberbullyng” […]. Adjunta el informe del 20 de septiembre de 2023 la Subdirección General de Innovación y Atención a la diversidad como respuesta al requerimiento de la AEPD: “1. Objetivo del convenio. Los objetivos que se pretenden conseguir con el presente convenio son los siguientes: 1. Promover la iniciativa de la Consejería de Educación, Formación Profesional y Empleo de afrontar los nuevos retos que suponen la actual era digital en la comunidad educativa, así como la regulación vigente, con inquietud y proactividad, apoyándose en el equipo y tecnología de Youforget.me / mihuelladigital para tal fin. 2. Seleccionar un conjunto de 100 centros educativos piloto, formando a los equipos directivos y al coordinador/a de bienestar y protección, en los conocimientos relativos a la huella digital, fomentando la concienciación, así como la información relativa tanto a la privacidad digital como a la protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 de datos. De igual modo, poniendo a su disposición el acceso a la plataforma digital (www.mihuelladigital.
- es)y el método Youforget.me S.L. 3. Despertar el interés dentro de la comunidad educativa de la importancia de la información que se publica o comparte a través de internet. 4. Prevenir que se generen situaciones de ciberbullying en los centros educativos, garantizando entornos seguros y confortables para el alumnado”. […] La sociedad mercantil Youforget.me S.L. se encarga del tratamiento de los datos de carácter personal necesarios para prestar los servicios de la plataforma Youforget.me de tramitación de solicitudes de derechos de protección de datos, consistiendo dicho tratamiento en la recogida, estructuración, conservación, registro y comunicación de datos personales. La finalidad del tratamiento expuesto en el párrafo anterior consiste en la gestión de solicitudes administrativas relativas a los derechos de protección de datos gestionadas por despachos profesionales y la obtención de la huella digital de alumnos de los centros piloto, tramitándose dichas solicitudes de protección de datos según lo estipulado en el Reglamento General de Protección de Datos (RGPD) […] se expone la tipología de datos personales tratados: nombre y apellidos, DNI, dirección de correo electrónico, libro de familia, imágenes para el servicio de reconocimiento facial, cuentas de usuario y perfiles de internet, así como otra documentación personal, donde se contengan los datos personales arriba mencionados”. “3. Categorías de interesados. Según la cláusula novena del convenio, se establece que la categoría de interesados estará compuesta por padres, alumnos y equipo directivo o persona en quién se delegue”. […] “Los datos personales incluidos en este Convenio (datos de los intervinientes) serán tratados por la otra parte con la finalidad de gestionar la relación de colaboración, siendo la base del tratamiento el cumplimiento de dicha relación y se conservarán durante todo el tiempo en que ésta subsista y aún después, hasta que prescriban las eventuales responsabilidades derivadas de ella.” […]: […]
- a)Los respectivos responsables del tratamiento de datos de carácter personal, son las partes firmantes y los datos de contacto del delegado de protección de datos (DPD) o del responsable de privacidad de cada una de ellas son los siguientes: 1. Datos del delegado de protección de datos de la sociedad mercantil Youforget.me S.L.: E-mail: dpd@youforget.me; Dirección postal: Av. Pablo Picasso nº 74, 41.940, Tomares, Sevilla. 2. Datos del delegado de protección de datos o, en su caso, del responsable de privacidad de la Consejería de Educación: E-mail: ***EMAIL.1 Dirección postal: Avda. de la Fama nº 15, 30.003, Murcia.
- b)Los datos personales del alumnado no serán cedidos a terceras entidades, ni serán objeto de decisiones automatizadas. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 […] “La sociedad mercantil Youforget.me S.L. se encarga del tratamiento de los datos de carácter personal necesarios para prestar los servicios de la plataforma Youforget.me de tramitación de solicitudes de derechos de protección de datos, consistiendo dicho tratamiento en la recogida, estructuración, conservación, registro y comunicación de datos personales. La finalidad del tratamiento expuesto en el párrafo anterior, consiste en la gestión de solicitudes administrativas relativas a los derechos de protección de datos gestionadas por despachos profesionales y la obtención de la huella digital de alumnos de los centros piloto, […] la tipología de datos personales tratados: nombre y apellidos, DNI, dirección de correo electrónico, libro de familia, imágenes para el servicio de reconocimiento facial, cuentas de usuario y perfiles de internet, así como otra documentación personal, donde se contengan los datos personales arriba mencionados. De igual modo, se establece que la categoría de interesados estará compuesta por padres, alumnos y equipo directivo o persona en quien se delegue. […]” […] “No hay ningún centro inscrito porque no se ha llegado a esta fase de implementación.” […] No se ha facilitado información relativa a los participantes respecto al artículo 13 del RGDP, porque no se han obtenido datos personales de ningún interesado, ya que no se ha puesto en marcha la implementación del convenio y no existen participantes. […] “el convenio firmado entre la Consejería de Educación, Formación Profesional y Empleo de la Región de Murcia y la sociedad mercantil “Youforget.me, S.L.”, está excluido del ámbito de aplicación del contrato”,” al prever una colaboración sin gasto por parte de esta Consejería. […] Esta falta de onerosidad que se aprecia en el convenio de referencia, que no supone gasto para la Administración, lo excluye del ámbito contractual. […] No hay registros de ningún alumno/a ni de ningún padre, madre o tutor/a legal a Youforget.me S.L. ya que no se ha llevado a cabo ninguna actuación. Las únicas actuaciones que se han producido han sido la firma del acuerdo y una demostración institucional. […] Con fecha 29 de junio de 2023 el Delegado de Protección de Datos para los Centros Docentes, remite informe relativo al convenio entre la Comunidad Autónoma de la Región de Murcia, a través de la Consejería de Educación, Formación Profesional y Empleo, y la sociedad mercantil Youforget.me s.l., para el uso y difusión de la plataforma www.mihuelladigital.es, con el objetivo de informar y concienciar sobre la privacidad digital y la protección de datos a fin de luchar y prevenir situaciones de ciberbullyng en centros sostenidos con fondos públicos desde el punto de vista de protección de datos.” Se adjunta a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 “INFORME DESDE EL PUNTO DE VISTA DE PROTECCIÓN DE DATOS DEL CONVENIO DE COLABORACIÓN ENTRE LA COMUNIDAD AUTÓNOMA DE LA REGIÓN DE MURCIA, A TRAVÉS DE LA CONSEJERÍA DE EDUCACIÓN, FORMACIÓN PROFESIONAL Y EMPLEO, Y LA SOCIEDAD MERCANTIL YOUFORGET.ME S.L., PARA EL USO Y DIFUSIÓN DE LA PLATAFORMA WWW.MIHUELLADIGITAL.ES, CON EL OBJETIVO DE INFORMAR Y CONCIENCIAR SOBRE LA PRIVACIDAD DIGITAL Y LA PROTECCIÓN DE DATOS A FIN DE LUCHAR Y PREVENIR SITUACIONES DE CIBERBULLIYNG EN CENTROS SOSTENIDOS CON FONDOS PÚBLICOS” del Delegado de Protección de Datos para los Centros Docentes de la Consejería de Educación de la Comunidad Autónoma de la Región de Murcia, Avenida de la Fama, 15, Pla. 0, 30006 MURCIA, de 28 de junio de 2023. “[…]La Dirección General de Atención a la Diversidad, Innovación y Formación profesional no ha aportado, antes del inicio del procedimiento, dicho registro de actividad de tratamiento, obligatorio cuando existe un tratamiento de datos, por lo que a la Consejería de Educación, Formación Profesional y Empleo se le podría imputar una infracción del artículo 30 de RGPD, incluida dentro de la tipología encuadrada en el artículo 83.4, apartado
- a)del RGPD. Infracción tipificada como falta grave de acuerdo con el artículo 73, apartado
- n)de la LOPDGDD”. “se observa que no se ha aportado, antes del inicio del procedimiento, la EIPD obligatoria cuando el tratamiento conlleva la utilización de datos biométricos, por lo que, a la Consejería de Educación, Formación Profesional y Empleo se le podría imputar una infracción del artículo 35 de RGPD, incluida dentro de la tipología encuadrada en el artículo 83.4, apartado
- a)del RGPD. Infracción tipificada como falta grave de acuerdo con el artículo 73, apartado
- t)de la LOPDGDD.” “Por consiguiente, el tratamiento de datos biométricos al amparo del artículo 9.2.
- g)requiere que esté previsto en una norma de derecho europeo o nacional, debiendo tener en este último caso dicha norma, según la doctrina constitucional citada y lo previsto en el artículo 9.2 de la LOPDGDD, rango de ley. Dicha ley deberá, además especificar el interés público esencial que justifica la restricción del derecho a la protección de datos personales y en qué circunstancias puede limitarse, estableciendo las reglas precisas que hagan previsible al interesado la imposición de tal limitación y sus consecuencias, sin que sea suficiente, a estos efectos, la invocación genérica de un interés público.” “Dichos preceptos, y atendiendo a lo planteado en el presente caso, se consideran insuficiente para permitir la utilización de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 técnicas de reconocimiento facial con la finalidad de construir la huella digital del alumnado, al no cumplir los requisitos anteriormente señalados, siendo necesario que se aprobara una norma con rango de ley que justificara específicamente en qué medida y en qué supuestos, la identificación del alumnado mediante el empleo de la biometría respondería a un interés público esencial,” “Por tanto, no existe en el presente, como se ha indicado, norma legal que habilite dicho tratamiento de datos biométricos al amparo del artículo 9.2.
- g)del RGPD, ya que ni el artículo 2 ni el 111 bis de la Ley Orgánica 2/2006, de 3 de mayo, de Educación, citados cumplen con los requisitos previstos legal y jurisprudencialmente.” “Partiendo de dichos criterios, consideramos que la posibilidad de admitir un consentimiento libre del alumnado que permitiera el empleo de técnicas de reconocimiento facial al objeto de tratar sus datos biométricos para la utilización de la plataforma “Mi huella digital” requeriría que a los mismos se les ofreciera la posibilidad de utilizar dicha plataforma en una situación equiparable en la que no fuera necesario el tratamiento de su reconocimiento facial, es decir, ofreciendo otras alternativas que no requieran el tratamiento de sus datos biométricos, de lo contrario el consentimiento no podría considerarse libremente prestado. Corresponde, por ende, a la Consejería de Educación, Formación Profesional y Empleo, en virtud de sus competencias en materia de educación y en cuanto responsable del pretendido tratamiento, determinar si en la puesta en marcha del convenio, por tanto, de la plataforma “Mi huella digital”, se acredita la igualdad entre el alumnado que consiente el tratamiento de sus datos biométricos y los que no lo hagan. Únicamente de este modo, el consentimiento podría legitimar dicho tratamiento.” Concluye: “ … una vez analizadas las razones expuestas consideramos que no resulta justificada la necesidad del tratamiento de datos personales propuesto en el convenio de colaboración entre la Comunidad Autónoma de la Región de Murcia, a través de la Consejería de Educación, Formación Profesional y Empleo y la Sociedad Mercantil Youforget.me S.L., para el uso y difusión de la plataforma www.mihuelladigital.es, con el objetivo de informar y concienciar sobre la privacidad digital y la protección de datos a fin de luchar y prevenir situaciones de ciberbulliyng en centros sostenidos con fondos públicos, ya que supone un posible incumplimiento de la legislación vigente de protección de datos de carácter personal, …” Continua la respuesta: […]” No se ha hecho evaluación de impacto.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 Concluye: “1º.- No se han transmitido datos personales de ningún alumno/a ni de ningún padre, madre o tutor/a legal a Youforget.me S.L. hasta la fecha del presente informe. 2º.- La transmisión de los datos de cualquier alumno/a, padre, madre o tutor/a legal requerirá siempre la autorización expresa de los padres, madres o tutores legales. 3º.- Los trámites de solicitudes se realizarán al amparo del Reglamento General de Protección de Datos, […] Los datos personales del alumnado no serán cedidos a terceras entidades, ni serán objeto de decisiones automatizadas. 4º.- Las actuaciones realizadas hasta la fecha del presente informe, solo comprenden la firma del acuerdo y la demostración institucional. No hay ningún centro participando ni hay datos de alumnos/as, padres o tutores que se hayan transmitido. Quedamos a la espera de la respuesta al requerimiento de información realizada, para poder comenzar, en su caso, con las actuaciones referidas al objeto del convenio de colaboración con Youforgetme. S.L. Mientras tanto no se va a realizar ninguna actuación concerniente al objeto del convenio”. Como destaca el DPD, el responsable (la Consejería de Educación) no ha registrado esta actividad en el Registro de Actividades de Tratamiento. En la diligencia del 16 de noviembre de 2023 se recoge la noticia de que el curso 2023/2024 en la Región de Murcia comienza con más de 300.000 alumnos y 27.000 docentes, por lo que el responsable sí está obligado a realizar el Registro de Actividades de Tratamiento. La Consejería de Educación reconoce en su respuesta del 26 de septiembre de 2023, que no ha hecho Evaluación de Impacto para la protección de datos, como señala también el DPD en su informe del 28 de junio de 2023. En la respuesta de Youforget.me de 30 noviembre de 2023 al requerimiento de 17 de noviembre 2023 de la Agencia, manifiesta: “2.- Datos que se recogen: Se ha de destacar que una de las cuestiones por la que no se llegó a ejecutar el presente convenio es que no quedaron delimitadas los roles de encargado de tratamiento, y no de responsable o corresponsable del citado tratamiento, dado que esta condición estimábamos que correspondondía a la Consejería de Educación, Formación Profesional y Empleo de la Comunidad Autónoma de la Región de Murcia. Dicho esto, y teniendo en cuenta que el convenio no ha llegado a ejecutarse, exponemos los datos que hubieran sido objeto de tratamiento durante la ejecución de dicho convenio.” […] La información que ofrece Youforgetme, S.L. es la siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 1.- Identificación y datos de contacto: Youforget.me, S.L. con dirección en Avenida Pablo Picasso 74, Tomares, 41940 Sevilla Contacto: dpd@youforget.me Puedes utilizar este correo electrónico para ampliar cualquier tipo de información o presentarnos dudas y cuestiones. 2.- Finalidad del tratamiento: A continuación, desglosamos los diferentes tratamientos que se realizan en la plataforma de coordinador de bienestar, la finalidad de estos y la categoría de datos objeto del tratamiento:
- a)Gestión de la plataforma por el centro educativo. Para acceder a la plataforma pedirá datos de contacto y acceso relativos al personal que va a utilizar la plataforma tecnológica por parte del Centro Educativo, que puede ser la Dirección del centro o el Coordinador de Bienestar. Estos datos únicamente son: nombre, apellidos, número de teléfono y correo electrónico. La legitimación se basa en el acuerdo de colaboración firmado por la Consejería de Educación, Formación Profesional y Empleo de la Comunidad Autónoma de la Región de Murcia, en el cual seleccionará 100 centros educativos para la utilización piloto de la plataforma.
- a)Preparación expediente para AEPD – Canal prioritario en caso de accidente de violencia o acoso digital detectado por el centro. Si el Centro Educativo detecta un caso de violencia o acoso digital tiene el deber de comunicarlo a la AEPD a través del canal prioritario y/o a las autoridades si supone la comisión de un delito. La plataforma de coordinador de bienestar te ayuda a preparar dichos expedientes. La legitimación es el interés legítimo de ayudar al alumnado según establece la Ley Orgánica 8/2021, de 4 de junio, de protección integral a la infancia y la adolescencia frente a la violencia. Los datos a tratar son: C/ Jorge Juan, 6 28001 – Madrid - Datos de identificación de alumnos y tutores (que ya posee el centro para su labor educativa): nombre y apellidos, fecha de nacimiento, dirección completa, N.º DNI, teléfono y mail. - Si optan por obtener evidencia digital a través de la plataforma, URLs donde está el contenido violento o acosador para la preparación del expediente / denuncia. Esta información es voluntaria y solo si el interesado quiere evidencia digital. - Documentación soporte de la denuncia: imágenes aportadas por los alumnos o centro educativo como documentación de apoyo para el expediente/denuncia, si la hay. Esta información es voluntaria y solo si el interesado quiere aportarla como documentación soporte. www.aepd.es sedeagpd.gob.es 9/18
- a)Formulario de derecho de protección de datos. Esta funcionalidad es para que el centro educativo pueda pedir en representación de los alumnos y bajo su consentimiento los derechos de protección de datos que afecten a dichos alumnos. La plataforma prepara un formulario de solicitud de derechos, según el RGPD y la LOPDGDD en nombre del centro educativo (que representa al alumno) y lo envía al responsable de tratamiento correspondiente. En 3 clics y 5 minutos facilita a los interesados el ejercicio de los derechos de protección de datos. Para tal servicio la plataforma pide los siguientes datos: - Datos de identificación de alumnos y tutores (en el caso de alumnos menores de 14 años). - URLs de información de la que quieran dejar constancia mediante evidencia digital de una publicación, para ejercer el derecho de protección de datos correspondiente. Esta información es voluntaria y solo si el interesado quiere evidencia digital. La legitimación está en el consentimiento que se obtiene mediante representación que se otorga también de forma digital por la plataforma.
- d)Huella digital del alumno. La finalidad del tratamiento de huella digital es prestarte el servicio de huella digital, en el cual podrás encontrar en un informe toda tus datos personales e información relativa a tu privacidad (como brechas de seguridad a las que han estado expuestas tus cuentas y contraseñas), que se encuentra pública y por tanto disponible a cualquier persona, entidad e inteligencia artificial. Para llevar a cabo dicho tratamiento el Centro Educativo recaba tu consentimiento a para ejecutar en tu nombre el informe de huella digital, el cual es la base de legitimación. El centro educativo no podrá visualizar los resultados del informe salvo que tú autorices que así pueda hacerlo, de esta forma queremos velar por tus intereses y que solo tú determines si el contenido del informe es solo para ti o no. Si eres menor de 14 años no podrás usar el servicio de huella digital y será tu tutor el que deba solicitarlo por ti”. […] “El mecanismo por el cual se recabará dicho consentimiento consiste en que cuando se solicite el informe por parte del coordinador, se envía un mail al tutor o al alumno si es mayor de 14 años (dicho tutor debe estar marcado como obligatorio para prestar consentimiento sobre la obtención del informe) con un enlace para acceder a una página web y prestar el consentimiento a dicha solicitud.” El contenido que manifiesta que tendría la página web es un consentimiento informado para los tutores de los menores, la descripción del proceso de solicitud de huella digital y los sistemas de seguridad y autenticación previstos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 Sobre los servidores donde almacenan o está previsto que se almacenen los datos personales, responde: “La solución está alojada en un servidor de aplicaciones Windows en la cloud de Amazon (eu-west-1, Irlanda), en estos momentos está en proceso su migración a la cloud de Azure en Países Bajos.” Sobre la adecuación al Esquema Nacional de Seguridad: “Dado que por el momento la sociedad no mantiene relaciones contractuales con la Administración Pública ni se exigió en el Convenio como garantías propias del encargo de tratamiento, no se ha considerado requisito indispensable. Como paso previo al Esquema Nacional de Seguridad, Youforget.me se ha certificado por AENOR en la ISO 27001. En caso de potenciales futuros acuerdos con la Administración Pública Youforget.me se se analizará la adecuación al Esquema Nacional de Seguridad”. En el documento “Anexo_3_Coordinador_de_Bienestar_Anlisis_de_riesgos” declara: “Finalidad de la plataforma La finalidad de esta plataforma es facilitar, agilizar y proporcionar el soporte necesario para gestionar y documentar los casos de ejercicios de derechos de protección de datos, así como los casos de violencia o acoso digitales que quieran ser denunciados ante la AEPD vía canal prioritario. ¿A quién ayuda la plataforma de coordinador de bienestar? La plataforma está destinada a centros educativos y coordinadores de bienestar y protección. No obstante, también ayuda a todos los menores de dichos centros educativos durante su uso, además de fomentar la concienciación sobre el entorno digital que les rodea. ¿Por qué hemos diseñado esta herramienta? Dada la dificultad existente de conexión con la Administración Pública, esta herramienta permite ayudar de una forma sencilla a que los colegios y sus coordinadores de bienestar puedan cumplir con sus obligaciones legales, asistiéndoles y proporcionándoles todo lo necesario para la creación de expedientes para la AEPD o formularios para el ejercicio de derechos. […] Tratamientos que realiza […] 6. Alta de alumnos: Se da de alta igual que a los demás usuarios. Datos: nombre y apellidos, fecha de nacimiento, número de DNI y fecha de validez, imagen de cara, foto del DNI (anverso), domicilio completo, correo electrónico y número de teléfono. También se guardan los nombres de usuarios de las redes sociales que nos proporcionen para la huella digital (Instagram, Tiktok, Discord, Vk, Steam, Foursquare, Linkedin, Telegram, Twitter, email de Google, palabras clave y palabras excluídas). 6.a. De todos los datos, son obligatorios: Nombre y 1º apellido, fecha de nacimiento, número de DNI, imagen, dirección completa, número de teléfono y correo electrónico 6.b. Datos sensibles emborronados igual que punto 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 6.c. Si no tiene DNI el menor y si es menor de 14 años, tutor/padre debe firmar una autorización para que se realice el servicio. 6.d. En la relación entre alumno y tutor hay diversas opciones: Marcar como obligatoria la autorización de huella: Supone que antes de sacar la huella digital del alumno, el tutor debe autorizarlo. Marcar como obligatoria la autorización para ejercer derechos: Supone que cada vez que se vaya a solicitar o ejercer un derecho en nombre del alumno, el tutor debe autorizarlo y estar informado. Permiso para visualizar el informe de huella: En casos en los que el alumno no deje ver el informe o que el coordinador quiera que el tutor vea el informe de su hijo, por ejemplo. Este permiso lo decide el tutor. 7.Informe de huellas digitales: Dentro del informe elaborado de la huella digital, se puede dar la situación de que se quiera ejercer un derecho o notificar un caso a la AEPD. 8. Solicitud proceso de notificación: Se crea un expediente único que se genera a través de una serie de preguntas y respuestas contestadas por el coordinador. 9. Firma de documentación por el coordinador con una firma avanzada. Cuando quiera firmar el documento solicitado para la notificación a la AEPD se le enviará un código al número de teléfono guardado para ello, con el que confirmará la firma”. Manifiesta que dado que: “Dado que el curso escolar 2022-2023 ya ha finalizado y no se ha ejecutado el proyecto y siendo el vencimiento del mismo abril de 2024, en caso de llegar a ejecutarse se requeriría de una prórroga o de la firma de un nuevo convenio, algo que a día de hoy ni existe ni se contempla, siendo necesario aclarar que no hay negociaciones previstas por ninguna de las partes en un sentido u en otro y se procede a cancelar el presente proyecto” Adjunta comunicación de inscripción del DPD de YOUFORGET.ME SL en la AEPD, del 11 de enero de 2022. El Delegado de Protección de datos de YOUFORGET.ME SL que es quien firma el escrito de respuesta, incluye la siguiente recomendación: “Las recomendaciones del DPD se han enfocado en no proceder a realizar ningún tipo de tratamiento en lo relativo al posible reconocimiento facial de los interesados al existir métodos mucho menos invasivos para la privacidad como pudiera ser la validación por parte del Coordinador del centro educativo o de la persona designada por dicho centro en cuanto a la identificación correspondiente de forma manual o mecanismo equivalente que dictasen las instrucciones de la Consejería de Educación, Formación Profesional y Empleo de la Comunidad Autónoma de la Región de Murcia”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 En fecha 13/11/2024, se realizó un requerimiento a la Consejería de Educación, solicitando que informara sobre si se había llevado a cabo alguna actuación de tratamiento de datos en el ámbito del convenio de colaboración con la sociedad mercantil Youforget.me S.L. para uso y difusión de la plataforma www.mihuelladigital.es con el objetivo de informar y concienciar sobre la privacidad digital y la protección de datos a fin de luchar y prevenir situaciones de ciberbulliyng, tal y como se indicó en el escrito presentado por esa Consejería ante la Agencia de Protección de Datos el 26/09/2023. Con fecha de 26/11/2024, la Consejería de Educación contestó al anterior requerimiento indicando que “no se ha llevado a cabo ninguna actuación de tratamiento de datos dado que el convenio se dio por extinguido sin entrar en vigor.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En fecha 27 de mayo de 2023, fue publicada en el Boletín Oficial de la Región de Murcia nº 121, la Resolución de 15 de mayo de 2023, de la Secretaria General de la Consejería de Educación, Formación Profesional y Empleo, por la que se disponía la publicación en el citado Boletín Oficial, del convenio de colaboración entre la Comunidad Autónoma de la Región de Murcia, a través de la Consejería de Educación, Formación Profesional y Empleo y la Sociedad Mercantil Youforget.me S.L., para el uso y difusión de la plataforma www.mihuelladigital.es, con el objetivo de informar y concienciar sobre la privacidad digital y la protección de datos, a fin de luchar y prevenir situaciones de ciberbullyng en centros sostenidos con fondos públicos. En dicha publicación se incluía como cláusula novena del convenio, un apartado referente a la protección y tratamiento de datos. En el apartado c de dicha cláusula novena se incluían los párrafos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 “La sociedad mercantil Youforget.me S.L. se encarga del tratamiento de los datos de carácter personal necesarios para prestar los servicios de la plataforma Youforget.me de tramitación de solicitudes de derechos de protección de datos, consistiendo dicho tratamiento en la recogida, estructuración, conservación, registro y comunicación de datos personales. La finalidad del tratamiento expuesto en el párrafo anterior consiste en la gestión de solicitudes administrativas relativas a los derechos de protección de datos gestionadas por despachos profesionales y la obtención de la huella digital de alumnos de los centros piloto, tramitándose dichas solicitudes de protección de datos según lo estipulado en el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD). Con el objetivo de dar cumplimiento al contenido del artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y a la libre circulación de estos datos, se expone la tipología de datos personales tratados: nombre y apellidos, DNI, dirección de correo electrónico, libro de familia, imágenes para el servicio de reconocimiento facial, cuentas de usuario y perfiles de internet, así como otra documentación personal, donde se contengan los datos personales arriba mencionados. De igual modo, se establece que la categoría de interesados estará compuesta por padres, alumnos y equipo directivo o persona en quien se delegue”. De conformidad con lo establecido en el artículo 55 del Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como para ejercer los poderes que le han sido atribuidos por el artículo 58. En este mismo sentido, procede citar el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), conforme al cual, corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo. III Registro de las actividades del tratamiento El artículo 30 del RGPD, relativo al registro de las actividades del tratamiento, indica: “1. Cada responsable y, en su caso, su representante, llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18
- a)el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
- b)los fines del tratamiento;
- c)una descripción de las categorías de interesados y de las categorías de datos personales;
- d)las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
- e)en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
- f)cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
- g)cuando sea posible, una descripción general de las medidas técnicas y organizativas a que se refiere el artículo 32, apartado 1.” IV Evaluación de Impacto de datos personales El artículo 35 del RGPD establece la obligación de disponer de una Evaluación de Impacto en la Protección de los Datos Personales (EIPD), señalando: “1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. 2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos. 3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:
- a)evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18
- b)tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
- c)observación sistemática a gran escala de una zona de acceso público. 4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68. 5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité. 6. Antes de adoptar las listas a que se refieren los apartados 4 y 5 , la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión. 7. La evaluación deberá incluir como mínimo:
- a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
- b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
- c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
- d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas. 8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos. 9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras
- c)o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento. 11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.” V Conclusión Según consta en el propio Informe emitido por el Delegado de Protección de Datos para los Centros Docentes de la Consejería de Educación, Formación Profesional y Empleo de la Región de Murcia, en fecha 28 de junio de 2023: “La Dirección General de Atención a la Diversidad, Innovación y Formación profesional no ha aportado, antes del inicio del procedimiento, dicho registro de actividad de tratamiento, obligatorio cuando existe un tratamiento de datos, por lo que, a la Consejería de Educación, Formación Profesional y Empleo se le podría imputar una infracción del artículo 30 de RGPD, incluida dentro de la tipología encuadrada en el artículo 83.4, apartado
- a)del RGPD. Infracción tipificada como falta grave de acuerdo con el artículo 73, apartado
- n)de la LOPDGDD.” “se observa que no se ha aportado, antes del inicio del procedimiento, la EIPD obligatoria cuando el tratamiento conlleva la utilización de datos biométricos, por lo que, a la Consejería de Educación, Formación Profesional y Empleo se le podría imputar una infracción del artículo 35 de RGPD, incluida dentro de la tipología encuadrada en el artículo 83.4, apartado
- a)del RGPD. Infracción tipificada como falta grave de acuerdo con el artículo 73, apartado
- t)de la LOPDGDD.” “el tratamiento de datos biométricos al amparo del artículo 9.2.
- g)requiere que esté previsto en una norma de derecho europeo o nacional, debiendo tener en este último caso dicha norma, según la doctrina constitucional citada y lo previsto en el artículo 9.2 de la LOPDGDD, rango de ley. Dicha ley deberá, además especificar el interés público esencial que justifica la restricción del derecho a la protección de datos personales y en qué circunstancias puede limitarse, estableciendo las reglas precisas que hagan previsible al interesado la imposición de tal limitación y sus consecuencias, sin que sea suficiente, a estos efectos, la invocación genérica de un interés público.” “(…) atendiendo a lo planteado en el presente caso, se consideran insuficiente para permitir la utilización de técnicas de reconocimiento facial con la finalidad de construir la huella digital del alumnado, al no cumplir los requisitos anteriormente señalados, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 siendo necesario que se aprobara una norma con rango de ley que justificara específicamente en qué medida y en qué supuestos, la identificación del alumnado mediante el empleo de la biometría respondería a un interés público esencial. Por tanto, no existe en el presente, como se ha indicado, norma legal que habilite dicho tratamiento de datos biométricos al amparo del artículo 9.2.
- g)del RGPD, ya que ni el artículo 2 ni el 111 bis de la Ley Orgánica 2/2006, de 3 de mayo, de Educación, citados cumplen con los requisitos previstos legal y jurisprudencialmente.” “(…) consideramos que la posibilidad de admitir un consentimiento libre del alumnado que permitiera el empleo de técnicas de reconocimiento facial al objeto de tratar sus datos biométricos para la utilización de la plataforma “Mi huella digital” requeriría que a los mismos se les ofreciera la posibilidad de utilizar dicha plataforma en una situación equiparable en la que no fuera necesario el tratamiento de su reconocimiento facial, es decir, ofreciendo otras alternativas que no requieran el tratamiento de sus datos biométricos, de lo contrario el consentimiento no podría considerarse libremente prestado. Corresponde, por ende, a la Consejería de Educación, Formación Profesional y Empleo, en virtud de sus competencias en materia de educación y en cuanto responsable del pretendido tratamiento, determinar si en la puesta en marcha del convenio, por tanto, de la plataforma “Mi huella digital”, se acredita la igualdad entre el alumnado que consiente el tratamiento de sus datos biométricos y los que no lo hagan. Únicamente de este modo, el consentimiento podría legitimar dicho tratamiento.” No obstante, las actuaciones de investigación desarrolladas han permitido constatar que el curso escolar 2022-2023 ha finalizado y no se ha ejecutado el proyecto referido en el convenio, dado que el convenio se dio por extinguido, sin entrar en vigor. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE EDUCACIÓN. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-21112023 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es