E-01556-2020

1/5  Procedimiento Nº: E/01556/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de los datos personales remitido por HH EE CRISTIANAS DE LA SALLE ***LOCALIDAD.1 (en adelante LA SALLE) en el que informan a la Agencia Española de Protección de Datos que, con fecha estimada de 13 de noviembre de 2019, un estudiante ha robado, mediante observación visual, el código de usuario y la contraseña de un tutor del Centro y ha tenido acceso a los exámenes y todos los módulos del tutor. El alumno ha comunicado las credenciales a terceros. Se encuentran afectados los datos personales, incluyendo datos de salud y de perfil, de aproximadamente 100 estudiantes. SEGUNDO: En fecha 17 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos, teniendo conocimiento de los siguientes extremos: Fecha de notificación de la brecha de seguridad de datos personales: 11 de febrero de

1. ENTIDAD INVESTIGADA: HH EE CRISTIANAS DE LA SALLE ***LOCALIDAD.1 con CIF R0300266D y con domicilio en Barranc del Sint, 1, 03803, ***LOCALIDAD.1Alicante. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN: 1.- Con fechas 12 de junio y 8 de julio de 2020 se remitió requerimiento de información a LA SALLE mediante Notific@ y por diversas circunstancias no fueron recogidos, por lo que, con fecha 26 de agosto, se procedió a un nuevo envío a la entidad y al correo electrónico al Delegado de Protección de Datos, el cual ha remitido la documentación solicitada el día 28 de agosto, mediante correo electrónico. Todos los documentos se han registrado en SIGRID como objetos asociados. De dicha documentación se desprende: Respecto del Sistema de Información  C/ Jorge Juan, 6 28001 – Madrid LA SALLE utiliza un sistema de Información denominado ***SISTEMA.1, cuya estructura interna está basada en ***HERRAMIENTA.1 (herramienta de gestión de aprendizaje que permite a los docentes crear comunidades de aprendizaje en línea). Los servidores se encuentran gestionados por la www.aepd.es sedeagpd.gob.es 2/5 sede central de la Organización en Madrid y cada Centro tiene su propia dirección (***URL.1). La plataforma ***SISTEMA.1 contiene dos tipos de información: pública de acceso libre, y organizativa y de gestión a la que pueden acceder los miembros de la comunidad educativa previamente identificados con usuario y contraseña. Los usuarios en la plataforma se les asigna un perfil en función de su rol dentro del centro. El perfil de estudiante permite el acceso a sus datos personales y el perfil de tutor tiene acceso a datos personales propios, de los alumnos y de los padres, así como a datos de calificaciones y necesidades educativas especiales.  Por otra parte, ***SISTEMA.1 tiene un doble uso: pedagógico, donde los alumnos tienen disponible todo el material para el desarrollo de las clases, espacios dedicados a cada asignatura y en el que solo tienen acceso aquellos alumnos que cursen esa asignatura y un uso de gestión e información para el Centro. Respecto de la cronología de los hechos. Acciones tomadas para la resolución final de la brecha.  El 6 de febrero de 2020 tienen conocimiento de que un grupo de alumnos han podido acceder a propuestas de exámenes.  El 7 de febrero se localiza a dos alumnos, uno de los cuales reconoce haber tenido acceso a la plataforma de ***SISTEMA.1 utilizando las credenciales de un profesor al que acudía en clases de apoyo en mayo de 2019 y memorizó el tecleo del código de usuario y la contraseña.  El 10 de febrero de 2020 se llega a la conclusión de que únicamente este alumno conoce las credenciales de acceso. Este mismo día se modifican las contraseñas de todos los profesores en la plataforma ***SISTEMA.1 y en las cuentas de correo corporativo, aunque no se había detectado incidencias en estas últimas.  El 11 de febrero de 2020 se notifica la brecha de seguridad a la Agencia Española de Protección de Datos. Además, se facilita la información a la Conselleria de Educación de la Comunidad Valenciana cerrando la incidencia el 12 de febrero. Respecto de las causas que hicieron posible la brecha  El aula de apoyo es un recurso para atender a aquellos alumnos con necesidades educativas especiales. Esta medida consiste en que un alumno o como mucho dos alumnos, salen del aula ordinaria para trabajar aquellas partes del currículum en las que presentan lagunas y lo hacen con un profesor especialista en la materia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 La separación entre el profesor y el alumno es muy corta.  Al introducir el profesor sus credenciales en ***SISTEMA.1, el alumno no se encontraba muy alejado y pudo ver y memorizar el tecleo. Respecto de los datos afectados.  Los datos personales a los que se habría podido acceder corresponden a unas 220 personas de los cuales unos 110 son datos de alumnos y el resto de los padres/tutores. No obstante, el alumno manifiesta no haber accedido a ningún dato.  Los datos que se han visto expuestos son datos básicos y de contacto tanto de alumnos como de padres/tutores y datos académicos de los estudiantes.  LA SALLE manifiesta que no tiene constancia de la utilización ni difusión de los datos personales que han sido expuestos. Asimismo, los datos no son exportables en formato digital.  LA SALLE manifiesta que al considerar que el alumno finalmente no ha accedido a ningún dato personal no se va a proceder a la comunicación de la brecha a los posibles afectados. Respecto de las medidas de seguridad implantadas con anterioridad la brecha.  Dentro de las medidas de seguridad que implementadas en la plataforma figura: o Gestión de usuarios o Contraseñas cifradas. o Cambio de contraseña la primera vez de uso. o Cambio de contraseña obligatorio. o Robustez de contraseñas. o Cierre de sesión automática transcurridos 50 minutos de inactividad. o Control de accesos o Copias de seguridad  C/ Jorge Juan, 6 28001 – Madrid LA SALLE ha aportado la siguiente documentación: www.aepd.es sedeagpd.gob.es 4/5 o Registro de Actividades de Tratamiento, entre los que figura Gestión Académica (documento Anexo I). o Análisis de Riesgo, entre ellos Gestión Académica (documento Anexo II). o Política de Violaciones de Seguridad (documento Anexo III). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De las actuaciones de investigación se desprende que, con anterioridad a la brecha de seguridad, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados. Consta también que disponía de Registro de Actividades de Tratamiento, Análisis de Riesgo y Política de Violaciones de Seguridad según se indica en los antecedentes y se han tomado las acciones posteriores oportunas respecto de las contraseñas para evitar la repetición del incidente. En cuanto al impacto de este, cabe señalar la inexistencia de difusión, modificación ni pérdida de datos personales además de que los datos afectados no son exportables en formato digital. Asimismo, contaba con protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. No constan reclamaciones ante esta Agencia por parte de terceros. En consecuencia, consta que disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente. III A la vista de las actuaciones practicadas, se ha acreditado que la actuación de la entidad investigada como responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a HH EE CRISTIANAS DE LA SALLE ***LOCALIDAD.1 con CIF R0300266D y con domicilio en ***DIRECCIÓN.1, ***LOCALIDAD.1- ***LOCALIDAD.
2. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es