1/8 Expediente Nº: E/03036/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONSEJERIA DE EDUCACION Y CULTURA DEL PRINCIPADO DE ASTURIAS, y la UNIVERSIDAD INTERNACIONAL DE LA RIOJA, S.A., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de abril de 2017, tuvo entrada en esta Agencia escrito remitido por Don A.A.A., en el que expone que es Presidente de ***SINDICATO.1, y manifiesta lo siguiente: La Consejería de Educación y Cultura del Principado de Asturias (CONSEJERÍA), con la colaboración de la Universidad Internacional de la Rioja (UNIR) han configurado un proyecto denominado CIBERASTUR, que tiene por objeto “Analizar la prevalencia del problema del acoso a través de las nuevas tecnologías en el alumnado del Principado, con edades comprendidas entre los 12 y 17 años de edad”, que podría no cumplir con las disposiciones del artículo 5 de la Ley Orgánica 15/1999. La obtención de datos se realiza a través de la plataforma web por los alumnos: nº de identificación escolar (NIE), sexo, edad, datos de salud, centro en el que estudia, curso y grupo, amigos, relación con la familia, dinero recibido, uso teléfono móvil e internet. Que la solicitud el consentimiento a la familia no cumple el mandato del artículo 14 del Reglamento de desarrollo de la LOPD y los datos entregados a la UNIR permiten la perfecta identificación de los alumnos. También, se solicitan datos de salud del alumno así como datos indirectos relativos a la economía familiar y prevé un modelo de carta a las familias para obtener el consentimiento pasivo para la participación en el proyecto. Si bien, el denunciante no acredita que se hubieran cumplimentado encuestas con el NIE u otros datos personales que pudieran identificar a los alumnos. Que según el denunciante tuvieron lugar los hechos en el periodo comprendido entre abril y mayo de 2017. Con el escrito de denuncia se adjunta la siguiente documentación: Presentación del Proyecto CIBERASTUR. Modelo de carta a familias en el que la CONSEJERÍA informa del proyecto CIBERASTUR, que se desea realizar a todo el alumnado del Principado de Asturias, que está cursando Educación Secundaria Obligatoria (ESO), Bachillerato y Transición a la Vida Adulta (TVA). En la parte inferior de la página figura un impreso “Consentimiento Pasivo Proyecto CIBERASTUR PRINCIPADO DE ASTURIAS” mediante el que se solicita nombre, apellidos y DNI, como tutor/a legal del alumno/a, “y he sido informado/a de la participación de mi hijo/a en el proyecto antes mencionado. En este sentido, quiero manifestar que NO estoy de acuerdo con que participe y para que así conste extiendo mi firma”. Modelo de encuesta mediante la que cumplimentan, entre otros, la siguiente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 información: Datos sociodemográficos: NIE (“nº facilitado por un responsable del centro. Será usado para evitar duplicar respuestas y los datos serán tratados de forma anónima por los investigadores externos”), sexo, edad, centro, curso y grupo y datos sobre utilización del móvil. Calidad de vida: discapacidad o problemas salud, actividad física y salud, estado de ánimo y sentimientos, relación familiar y has tenido suficiente dinero, relación con el colegio, profesores y amigos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La CONSEJERÍA y el Grupo de Investigación "Análisis y Prevención del ciberacosoCB-OUT" de la UNIR, llegaron a un acuerdo para desarrollar un proyecto de investigación denominado "CIBERASTUR Principado de Asturias”, consistente en un estudio relativo al acoso escolar, el ciberacoso, el uso problemático de Internet y calidad de vida relacionada con la salud entre el alumnado matriculado en las enseñanzas de ESO, Bachillerato y TVA de diferentes centros escolares. Dicho acuerdo se formalizó a través del documento “Carta de interés” de fecha 16 de enero de 2017. En dicha “Carta de Interés”, la UNIR se compromete a elaborar el proyecto de investigación, seleccionar las herramientas de evaluación y obtener los informes, realizar el diseño e implementación de la encuesta en una plataforma on-line y generar un informe por centro participante y general para la CONSEJERÍA. También, se detalla que de conformidad con lo dispuesto en la Ley Orgánica 15/1999 y en el artículo 83 del Real Decreto 1720/2007, entre otros, se garantizará la disociación de las bases de datos de modo que se asegure la anonimización de los datos recabados, la obligación de la confidencialidad y deber de secreto. Se adjunta copia de la “Carta de interés”. Por otra parte, para salvaguarda de los derechos del alumnado y sus representantes legales, se acuerda un sistema de consentimiento pasivo que permita a quienes representen legalmente a menores rechazar su participación en el estudio. Esta acción fue realizada por los centros participantes mediante la distribución de una carta que recogía la información relativa al Proyecto, y facilitaba a los tutores legales la posibilidad de oponerse para que los menores no participaran en el mismo. Se aporta Modelo de carta a familias por ambas instituciones, que coincide con la aportada por el denunciante. No obstante, les constan “272” negativas a participar, se cumplimentaron 27.912 cuestionarios y estaban convocados cerca de 40.000 estudiantes. Con respecto a la solicitud del NIE, dicha propuesta no llegó a prosperar, en el propio cuestionario no se solicitaba dicho dato, además, en el encabezado de las “Instrucciones generales” y en la primera página a cumplimentar figuraba el texto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 “NOTA: NO es necesaria la grabación del dato NIE por parte del alumnado participante. El filtrado de duplicados se llevará a cabo a través de otros medios técnicos”. En el encabezado figura la identificación de las dos entidades participantes. La información que se solicitaba en la encuesta era la siguiente: Datos sociodemográficos (sexo, edad, centro docente y curso, datos asociados a teléfono móvil), Acoso escolar, Ciberacoso, Ciberacoso – versión victimización, Ciberacoso – Observador, Usos de Internet y Calidad de vida. Se adjunta modelo de encuesta, capturas de pantalla, anexo al escrito de la CONSEJERÍA. Los alumnos/as participantes fueron dirigidos en los propios centros, por su personal, a las aulas de informática donde, a través de un enlace web <***WEB.1/>, eran redirigidos al cuestionario. Cada centro tenía una clave para acceder con el fin de evitar que personas externas pudieran acceder al mismo. Por otra parte, la Fiscalía de Menores del Principado de Asturias, con fecha de 20 de abril de 2017, Diligencias informativas 4/17, mediante Decreto del fiscal, acuerda “que en el proyecto de investigación CIBERASTUR se adoptan las medidas adecuadas para la protección de datos personales de los menores intervinientes, procede acordar el ARCHIVO de las presentes diligencias. Se adjunta copia adjunta al escrito de la CONSEJERÍA, como anexo nº 5. Añade la UNIR que según lo expuesto no se tratan datos de carácter personal por lo que no procede el deber de información, de la obtención del consentimiento así como las demás obligaciones que establece la normativa de protección de datos de carácter personal. Por otra parte, los empleados y colaboradores de la UNIR han suscrito el documento Compromiso de confidencialidad, en el que, entre otros, se comprometen a cumplir con la normativa de protección de datos de carácter personal (…). Se adjunta copia de dicho documento. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 su caso.” III La denuncia se concreta en que el proyecto denominado CIBERASTUR, que tiene por objeto “Analizar la prevalencia del problema del acoso a través de las nuevas tecnologías en el alumnado del Principado, con edades comprendidas entre los 12 y 17 años de edad”, podría no cumplir con las disposiciones del artículo 5 de la Ley Orgánica 15/1999; y que la solicitud el consentimiento a la familia no cumple el mandato del artículo 14 del Reglamento de desarrollo de la LOPD y los datos entregados a la UNIR permiten la perfecta identificación de los alumnos. Tras la realización de las actuaciones previas de investigación se ha constatado que la Consejería y la UNIR llegaron a un acuerdo para desarrollar un proyecto de investigación denominado "CIBERASTUR Principado de Asturias”, consistente en un estudio relativo al acoso escolar, el ciberacoso, el uso problemático de Internet y calidad de vida relacionada con la salud entre el alumnado matriculado en las enseñanzas de ESO, Bachillerato y TVA de diferentes centros escolares. Aunque el estudio asegura la anonimización de los datos recabados, a través de los de los Institutos, se informó a los padres o representantes legales de su realización, pudiendo éstos negar que sus hijos participasen en el estudio. Si el responsable del estudio fuera a tratar datos personales, debería obtener el consentimiento de los interesados para el tratamiento o cesión de los datos y la de informar sobre los derechos que les asisten (de rectificación, cancelación, acceso y oposición), así como sobre la identidad y dirección del responsable y sobre el uso que se va a dar a esos datos, tal y como denuncia el Presidente de ANPE. Por otro lado, el consentimiento debería ser, tal y como prevé el artículo 3
- i)de la propia Ley, libre, inequívoco, específico e informado, con indicación al afectado de la totalidad de los extremos a los que se extiende el deber de información, consagrado por el artículo 5.1 de la Ley, según el cual: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 su representante”. Además, si los afectados facilitasen datos personales referidos a su salud y vida sexual, nos encontraremos ante un tratamiento de datos especialmente protegidos para el que el artículo 7.3 de la LOPD señala que “Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos, cuando por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.” Por otra parte, tratándose del consentimiento de menores de edad, se plantea si el mismo podrá darse directamente por los menores o si será necesaria la concurrencia de su padre o tutor. Al respecto el artículo 13 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (no el artículo 14 como indica el denunciante) regula el consentimiento para el tratamiento de datos de menores en los siguientes términos: “1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo. 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales”. En consecuencia, para que se puedan tratar datos personales de menores de 14 años, se necesita del consentimiento de padres, madres o tutores legales. Si el niño es mayor de 14 años podrá consentir por sí mismo. Cuando para cualquier actividad de un mayor de 14 años se exija el consentimiento de aquéllos, también deberá solicitarse para tratar los datos del mismo. Por ello, si el responsable del estudio fuese a trabajar con datos personales de menores de 14 años (se incluían adolescentes de entre 12 y 17 años), debería contar con impresos o cualquier otro medio a través del que requieran a sus representantes legales para que autorizasen el tratamiento de datos y, además, deben solicitar los documentos que acrediten la condición de padre, madre o tutor legal. Dicho consentimiento, una vez prestado, podría ser revocado. En el caso denunciado, había menores de 14 años, por lo que ellos mismos no podrían haber consentido en el tratamiento de sus datos, ni podrían facilitar datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 sociológicos, hábitos de conducta, situación profesional... de sus progenitores. No obstante, debemos estudiar si el tratamiento de datos efectuado en el proyecto CIBERASTUR se realizó con datos de los menores identificables o disociados, cuestión fundamental ésta ya que en el primer caso sería aplicable la LOPD y en el segundo estaría excluida su aplicación. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, ha detallado más las definiciones, determinando: Dato disociado: aquél que no permite la identificación de un afectado o interesado. Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados. En el ámbito de la protección de datos personales suelen distinguirse tres categorías de datos, en atención, en atención a la posibilidad de identificación de la persona de la que provienen los datos, siguiendo los criterios recogidos en la Directiva 95/46: 1. Los datos relativos a personas identificadas, que son aquellos datos que aparecen vinculados con la persona respecto de la que aportan información. 2. Los datos relativos a personas identificables: se trata de datos que no se asocian directamente a una persona determinada, puesto que ésta no aparece identificada o no existe una vinculación entre datos y persona, pero es fácil vincular esos datos a la persona a la que se refieren por diferentes procedimientos, en general técnicos, y, en principio, fácilmente realizables. 3. Los datos anónimos o anonimizados irreversiblemente: son aquellos datos respecto de los que no es conocida la identidad de la persona a la que se refieren ni es posible su identificación, bien porque dichos datos fueron recogidos de este modo, bien porque aunque fueran recogidos junto con la identificación de la persona, han sido transformados con posterioridad en anónimos. Si bien la normativa de protección de datos sugiere que es posible anonimizar, de forma absoluta, los datos personales, esas mismas normas están estableciendo los criterios para determinar si una persona es identificable a partir de los datos que se han anonimizado; para lo que hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona. Al incluir, en la propia Directiva, la palabra “razonable” se está indicando que si es posible identificar de una persona, pero admitiendo que si esa identificación exige un esfuerzo exagerado, se entiende que una persona ya no es identificable, aunque en la práctica por medio de procedimientos extraordinarios, complejos, trabajosos, caros,..., pudiera llegar a ser identificarse. Durante la realización de las actuaciones previas de investigación se ha podido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 comprobar que los cuestionarios recogen los datos siguientes: Datos sociodemográficos (sexo, edad, centro docente y curso, datos asociados a teléfono móvil), Acoso escolar, Ciberacoso, Ciberacoso – versión victimización, Ciberacoso – Observador, Usos de Internet y Calidad de vida. Es decir, datos que no identifican ni hacen identificables a los menores que rellenaron la encuesta. En referencia al tratamiento de datos, hay que señalar que el estudio en ningún caso tenía como finalidad un seguimiento de los participantes que hiciese necesaria su identificación. Probablemente sin la colaboración de los menores participantes y los centros en los que estudian, su identificación exigiría grandes esfuerzos. En resumen, podemos señalar que el estudio se realiza con datos anonimizados. No obstante, en el diseño del estudio se incluyó un sistema de consentimiento pasivo que permitiese a quienes representen legalmente a menores rechazar su participación en el estudio. Esta acción fue realizada por los centros participantes mediante la distribución de una carta que recogía la información relativa al Proyecto, y facilitaba a los tutores legales la posibilidad de oponerse para que los menores no participaran en el mismo. Por último reseñar que la Fiscalía de Menores del Principado de Asturias, mediante Decreto del fiscal, acordó “que en el proyecto de investigación CIBERASTUR se adoptan las medidas adecuadas para la protección de datos personales de los menores intervinientes, procede acordar el ARCHIVO de las presentes diligencias”, con fecha de 20 de abril de 2017. En resumen, el estudio no vulneraba las exigencias recogidas por la normativa de protección de datos, ya que partía del tratamiento de datos disociados y, además, al tratarse de menores de edad, se informaba y recababa el consentimiento pasivo de los padres/representantes legales de los participantes. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la CONSEJERIA DE EDUCACION Y CULTURA DEL PRINCIPADO DE ASTURIAS, a la UNIVERSIDAD INTERNACIONAL DE LA RIOJA, S.A. y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es