1/5 Procedimiento Nº: E/01032/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento Conselleria de Educación, Cultura y Deporte del Gobierno Valenciano, con número de registro de entrada O00007128e2100002269 relativa a la publicación en el Diario Oficial de la Generalitat Valenciana con fecha ***FECHA.1 una resolución en la que se han transcrito literalmente partes de informes y alegaciones del procedimiento llevado a cabo, en las que se identifica el nombre, datos académicos y profesionales de cuatro profesores del centro privado, así como la identidad de una inspectora de la Conselleria, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos SEGUNDO: A la vista de la citada notificación de quiebra de seguridad de los datos personales, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE COMUNIDAD VALENCIANA con NIF S4611001A con domicilio en AVDA. CAMPANAR 32 - 46015 VALÈNCIA (VALENCIA) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 5 de febrero de 2021 se solicitó información a la CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE COMUNIDAD VALENCIANA de la respuesta recibida se desprende lo siguiente: Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 El ***FECHA.1 se publica en el DOGV la Orden ***ORDEN.1, del Conseller de Educación, Cultura y Deporte, por la cual se resuelve la revocación expresa de la autorización de un centro privado. En dicha publicación no se anonimizaron los nombres y apellidos ni de una inspectora de Educación ni los de cuatro profesores del centro docente. En fecha ***FECHA.1, a las 9:07, el subdirector general de Centros Privados, Conciertos Educativos y Financiación de Centros Concertados envía un correo, previa conversación telefónica, a persona responsable de la publicación del DOGV en el que se solicitan las actuaciones necesarias para impedir que los buscadores privados tengan acceso al nombre y apellidos de las personas citadas en la resolución. El mismo día, a las 10:15, y previa conversación telefónica, la jefa de Servicio de Autorización de Centros Privados y Conciertos Educativos, envía un correo a la Delegación de Protección de Datos de la Generalitat comunicando que se ha producido una brecha de seguridad y que se ha procedido a solicitar a un responsable del DOGV la actuación anterior. El día 26 de enero de 2021, se recibe correo de parte de un funcionario de la Subsecretaria, que es la responsable de protección de datos de la Conselleria de Educación, Cultura y Deporte, en el que adjunta informe emitido por la Delegación de Protección de Datos de la Generalitat con recomendaciones relativas a comunicar a los afectados el hecho y las medidas adoptadas. Mediante conversación telefónica con este funcionario, se acuerda que él comunicará a la Inspección General de Educación que se ponga en conocimiento de la inspectora de Educación los hechos y actuaciones, y desde la Dirección General de Centros Docentes se notificará a los profesores afectados la brecha y las medidas adoptadas. El día 27 de enero de 2021, se comunica mediante correo electrónico a un inspector de la Inspección General de Educación la brecha producida y la necesidad de obtener el domicilio de los profesores afectados para comunicarles los hechos. La contestación, mediante correo electrónico, fue que la Inspección General de Educación no tiene acceso a esos datos. En fecha 1 de febrero de 2021, se decide reiterar la solicitud oficialmente desde la Dirección General de Centros Docentes a la Inspección General de Educación. Se recibe respuesta en fecha 3 de febrero de 2021, en el que se reiteran que la Inspección General de Educación no dispone de la información solicitada. -En fecha 1 de febrero, desde la Subdirección General de Centros Privados, Conciertos Educativos y Financiación de Centros Concertados se solicita a un responsable de la publicación en el DOGV que confirme que la desindexación de los nombre y apellidos de las personas afectadas ha sido realizada y se solicita conocer las razones por las que no se puede retirar la publicación de la Orden del DOGV. En fecha 11 de febrero de 2021, desde el servicio responsable de la publicación en el DOGV se confirma que se procedió a la desindexación de los datos de carácter personal en su momento. Se procede a la comprobación mediante la búsqueda de los nombres y apellidos de las personas citadas en la Orden ***ORDEN.1 y de la misma Orden ***ORDEN.
- Se confirma que los buscadores privados no arrojan como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 resultado la normativa publicada. Esta solo está disponible en el portal oficial del DOGV. En fecha 16 de febrero se procede a notificar a los profesores afectados en el domicilio del centro docente. Respecto de las causas que hicieron posible la brecha La práctica totalidad de las resoluciones que se tramitan en el Servicio de Autorizaciones de centros privados y conciertos educativos se publican en el Diari Oficial de la Generalitat Valenciana (DOGV) tal cual se adoptan, salvo en el caso excepcional de resoluciones de la misma naturaleza de la Orden cuya publicación ha supuesto una brecha de seguridad, que hasta el momento siempre se han anonimizado. Por lo que la causa ha sido un error humano. Respecto de los datos afectados. Tipo de datos y número de afectados: Nombre, datos académicos y profesionales de cuatro profesores de un centro privado, así como la identidad de una inspectora de la Conselleria. En fecha 11 de febrero de 2021, desde el servicio responsable de la publicación en el DOGV se confirma que se procedió a la desindexación de los datos de carácter personal en su momento. Se procedió a la comprobación mediante la búsqueda de los nombres y apellidos de las personas citadas en la Orden ***ORDEN.1 y de la misma Orden ***ORDEN.
- Se confirma que los buscadores privados no arrojan como resultado la normativa publicada. Esta solo está disponible en el portal oficial del DOGV. En fecha 16 de febrero se procedió a notificar a los profesores afectados en el domicilio del centro docente. Respecto de las medidas de seguridad implantadas Por una parte, se continuará con el protocolo de anonimización de los datos personales, como se viene haciendo hasta ahora. Pero, además, para evitar en lo sucesivo los posibles errores humanos, se adopta como medida principal de protocolo interno de la Dirección General de Centros Docentes la decisión de no publicar en su integridad este tipo de resoluciones, sino publicar únicamente un anuncio de su parte dispositiva, la cual contiene solo los datos del centro y las causas de la revocación de su autorización. Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. No existe constancia de que se haya producido una brecha de seguridad antes desde la Subdirección General de Centros Privados, Conciertos Educativos y Financiación de Centros Concertados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad. La Conselleria afirma que el Servicio de Autorizaciones de centros privados y conciertos educativos, cuenta con un protocolo de anonimización de los datos personales, que se aplica a resoluciones de la misma naturaleza de la Orden en cuestión, asimismo confirma la existencia de un procedimiento para la notificación de brechas, del que facilita una copia. De todo ello se desprende, que con anterioridad a la brecha, la entidad investigada disponía de medidas de seguridad razonables. La brecha fue posible, porque se ha cometido un error humano al no anonimizar resolución. En cuanto al impacto, se han visto vulnerados datos básicos (Nombre, Apellidos, fecha de nacimiento), datos de localización y datos académicos y profesionales. Siendo cinco las personas afectadas cuatro profesores del centro y una inspectora. Se ha solicitado al DOGV que proceda a la desindexación de los datos de carácter personal, hecho que se comprueba posteriormente, confirmándose que la normativa publicada está únicamente disponible en el portal oficial del DOGV. Se procede también, a la comunicación a los afectados, sin que consten reclamaciones ante esta Agencia relativas a esta brecha. Para evitar que estos hechos se repitan, se adopta como medida principal de protocolo interno de la Dirección General de Centros Docentes, la decisión de no publicar en su integridad este tipo de resoluciones, sino publicar únicamente un anuncio de su parte dispositiva, la cual contiene solo los datos del centro y las causas de la revocación de su autorización. En consecuencia, consta que se disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia, no obstante y una vez detectada ésta, se produce una diligente reacción al objeto de notificar a la AEPD, comunicar a los afectados e implementar medias para eliminarla. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE COMUNIDAD VALENCIANA con NIF S4611001A con domicilio en AVDA. CAMPANAR 32 - 46015 VALÈNCIA (VALENCIA) De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es