E-01392-2014

1/5 Expediente Nº: E/01392/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES BALTASAR PORCEL) en virtud de denuncia presentada por la POLICIA LOCAL DE ANDRATX, y teniendo como base los siguientes, HECHOS PRIMERO: En relación con la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears, Instituto de Educación Secundaria Baltasar Porcel, de la localidad de Andratx (en lo sucesivo IES BALTASAR PORCEL), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00054/2013, que concluyó mediante resolución nº R/00519/2014, de fecha 11/03/2014, en la que se tuvieron por probados los siguientes hechos: <<PRIMERO: El IES Baltasar Porcel depende de la Conselleria d'Educació, Cultura i Universitats de la Comunidad Autónoma de les Illes Balears. SEGUNDO: Con fecha de 11/02/2013, la Policía Local de Andratx informó sobre el hallazgo en la vía pública, en fecha 27/01/2013, de diversa documentación pertenecientes al Instituto de Educación Secundaria Baltasar Porcel, de la localidad de Andratx. La citada Policía Local aportó una muestra de la documentación y un reportaje fotográfico del vertido, en el que se aprecia la existencia de documentación fuera de un contenedor de papel. Se especifica en el informe que se trata un contenedor de reciclaje de papel ubicado frente al citado centro educativo y que se encontraba prácticamente vacío. Uno de los documentos aportados consiste en un listado ordenado alfabéticamente por apellidos, figurando 33 alumnos identificados por su nombre y dos apellidos, así como sus calificaciones en de diferentes asignaturas. El resto de documentos son exámenes de segundo de la ESO de la materia Lengua Catalana y Literatura y exámenes de primero de la ESO también de Lengua, expresión y compresión escrita. Todos los exámenes se encuentran cumplimentados y en ellos se identifica el alumno con su nombre, primer apellido y, en ocasiones, segundo apellido. En la mayoría de los documentos consta “IES BALTASAR PORCEL” de “ANDRATX”. TERCERO: El Director del centro IES Baltasar Porcel ha reconocido que la documentación reseñada en el Hecho Probado Segundo fue depositada fuera del contenedor de papel. CUARTO: El Director del centro IES Baltasar Porcel ha reconocido que no disponían de una normativa específica sobre la destrucción de exámenes y pruebas escritas. QUINTO: El Director del centro IES Baltasar Porcel ha manifestado que, para el curso 2013/14, la Conselleria d'Educació ha cursado instrucciones relativas a la destrucción de documentación, señalando textualmente: "El material de evaluación (pruebas escritas, trabajos y cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 producción del alumnado) que se tenga que eliminar se partirá en al menos dos mitades y se depositará en los contenedores específicos de reciclaje de papel. En ningún caso se hará en las papeleras del centro o de los departamentos”>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 11/03/2014 se acordó lo siguiente: <<PRIMERO: DECLARAR que la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES Baltasar Porcel) ha infringido lo dispuesto en el artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de de la citada Ley Orgánica. SEGUNDO: REQUERIR a la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES Baltasar Porcel), de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde la notificación de este acto: 2.1.- CUMPLA lo previsto en el artículo 9 de la LOPD. En concreto se insta al denunciado a adoptar, de manera efectiva, las medidas técnicas y organizativas que garanticen la seguridad de los datos de carácter personal contenidos en sus ficheros e impidan su divulgación a terceros sin el consentimiento de los afectados, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso dichos ficheros a garantizar la confidencialidad de los datos, comprometiéndose expresamente a destruir o borrar cualquier documento o soporte que vaya a desecharse, evitando el acceso a la información contenida en los mismos o su recuperación posterior. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando escrito en el que se detallen las normas adoptadas, así como aquellos documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior y se declare expresamente haber eliminado la documentación objeto de la denuncia>>. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, el Director de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/01392/2014. CUARTO: Con motivo de lo instado en la resolución, la denunciada, IES BALTASAR PORCEL, remitió a esta Agencia escrito en el que informa sobre las medidas adoptadas en los siguientes términos: “En cumplimiento de la resolución R/00519/2014 derivada del procedimiento de Declaración de Infracción de Administraciones Públicas AP/00054/2013 le comunico que en el ROF del centro (Reglamento de Organización y Funcionamiento) se ha añadido el siguiente apartado: 3.2- Custodia y destrucción de documentos y materiales de evaluación 3.2.1- Custodia Este material se ha de conservar en el departamento correspondiente y como mínimo durante los tres meses siguientes a las calificaciones finales, excepto si forman parte de una reclamación; en este caso se han de conservar hasta que se haya resuelto el proceso de reclamación. La custodia estará a cargo del profesor del departamento que ha realizado las pruebas, si éste continúa en el centro, y del jefe de departamento si el profesor en cuestión ya no pertenece al mismo. El jefe de departamento será el responsable de coordinar todo el proceso. En el caso de informes de evaluación de un grupo, en los que aparecen los alumnos y sus respectivas notas, será responsable de su custodia el profesor al cual se le haya entregado el mencionado informe. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 3.2.2- Destrucción . La documentación o material que, además del nombre y apellidos del interesado incluya otros datos personales, se tiene que eliminar siempre mediante su destrucción en la trituradora de papel que hay en conserjería. De la misma forma se destruirán los informes de evaluación mencionados en el apartado anterior de custodia. . El resto de material de evaluación que se tenga que eliminar, se partirá al menos en dos mitades y se depositará en los contenedores específicos de reciclaje de papel. En ningún caso se hará en las papeleras del centro o de los departamentos. . La dirección del centro comunicará a los jefes de departamento, en la primera Comisión de Coordinación Pedagógica del segundo trimestre escolar, la posibilidad de eliminar los documentos de evaluación del curso anterior o anteriores y la forma en que se han de eliminar. . Los materiales NO pueden quedar al alcance de terceras personas en la vía pública, en bolsas, cajas o cualquier otro procedimiento que no sean los contenedores cerrados para el reciclaje de papel que hay delante del centro o en otro lugar de características similares. Los jefes de departamento coordinarán y supervisarán este proceso en lo que hace referencia al material del su departamento”. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el procedimiento AP/00054/2013 se imputó a la entidad IES BALTASAR PORCEL el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El artículo 9 de la LOPD, relativo a la seguridad de los datos, dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Por otra parte, el artículo 89 y siguientes del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, se refiere a las medidas de seguridad de nivel básico que deben implementarse en los ficheros. El artículo 92.4 de dicho Real Decreto, referido a la “Gestión de soportes y documentos”, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Y el artículo 97.2 del mismo Reglamento se refiere a la misma cuestión en los siguientes términos: “2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada”. En este caso, se constató que, el día 27/01/2013, en un lugar de la vía pública de dicha localidad, se había depositado diversa documentación perteneciente a la entidad IES BALTASAR PORCEL, en la que figuraban datos de carácter personal relativos a alumnos del centro. En concreto, se localizó algún listados de alumnos identificados por su nombre y dos apellidos, con el detalle de sus calificaciones en diferentes asignaturas, así como exámenes en los que se identifica el alumno con su nombre, primer apellido y en ocasiones segundo apellido. En consecuencia, se consideró que la entidad IES BALTASAR PORCEL no había dado cumplimiento a las normas expuestas, y se requirió a la misma la adopción de nuevas medidas que impidan que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 9 de la LOPD, estableciendo unas normas internas que obliguen a las personas de su organización que tengan acceso los datos personales a garantizar el respeto a seguridad y confidencialidad de los datos, con el compromiso expreso de destruir o borrar cualquier documento o soporte que vaya a desecharse, evitando el acceso a la información contenida en los mismos o su recuperación posterior. En respuesta a este requerimiento, se recibe de la denunciada la información que se detalla en el Antecedente Cuarto, señalando que la documentación o material que incluya datos personales se eliminará siempre mediante su destrucción en una trituradora de papel. Por tanto, en el supuesto presente, del examen de las medidas adoptadas por la entidad IES BALTASAR PORCEL se constata que reúnen los requisitos anteriormente descritos para atender las exigencias previstas al efecto en la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad Conselleria d'Educació, Cultura i Universitats de les Illes Balears (IES BALTASAR PORCEL) y a la POLICIA LOCAL DE ANDRATX. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es