← España

E-03935-2013

1/6 Expediente Nº: E/03935/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades PEDAGOGIA INTERACTIVA, S.A., QUGAT PUBLICING, S.L.U, VIRTUS360 SOFTWARE, S.L, VIRTUS360 SPAIN, S.L., en virtud de denuncia presentada por el ATENEU INSTRUCTIU DE SANT JOAN DESPI, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de junio de 2013, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en representación del Centro educativo ATENEU INSTRUCTIU DE SANT JOAN DESPÍ, en el que denuncia que:  El Centro educativo formalizó, con fecha 1 de septiembre de 2011, un contrato de prestación de servicios con la entidad PEDAGOGIA INTERACTIVA, S.L., que ofrecía una plataforma de “Gestión escolar”, para lo cual contaba con todos los datos relativos a alumnos y profesores del Centro.  Con fecha 17 de julio de 2012, pone en conocimiento de la citada empresa su voluntad de resolver el contrato y la devolución de los datos, tal como figuraba en el contrato.  En el mes de septiembre, el Centro educativo vuelve a utilizar la Plataforma al no haberle sido devuelto los datos del Centro necesarios para realizar gestiones escolares. Por lo que la prestadora del servicio considera prorrogado el contrato y no devuelve los datos.  En la fecha que se presenta la denuncia no les han sido devueltas las bases de datos al citado Centro educativo. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

  1. Con fecha 3 de febrero de 2014, se solicitó información a la entidad PEDAGOGIA INTERACTIVA, S.L. con relación a los hechos denunciados, siendo devuelta la carta por el Servicio de Correos, figurando como causa “Desconocido”.
  2. Se realiza una consulta en Internet a través del buscador GOOGLE “pedagogía interactiva”, comprobándose que dicha entidad ha sido adquirido por la entidad VIRTUS360, según consta en la impresión de pantalla que se adjunta a estas actuaciones de investigación.
  3. Con fecha 27 de marzo de 2014, se recibió escrito del denunciante, manifestando que a esa fecha no les ha sido devuelta la información por la entidad PEDAGOGIA INTERACTIVA, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6
  4. Con fecha 3 de abril de 2014, se realizó visita de inspección en los locales de las entidades arriba reseñadas, poniéndose de manifiesto que: 4.
  5. Las entidades VIRTUS360 SPAIN, S.L. y VIRTUS360 SOFTWARE, S.L., fueron creadas, entre otras, con la finalidad de creación de software para gestión educativa. 4.
  6. La entidad VIRTUS360 SOFTWARE, S.L. es propietaria tanto de la entidad VIRTUS360 SPAIN, S.L. como de QUGAT PUBLISHING, S.L., existiendo entre ellas contratos de colaboración de empresas del mismo Grupo. 4.
  7. En el mes de marzo de 2013, tienen conocimiento que la entidad PEDAGOGIA INTERACTIVA, S.L., dedicada a la misma finalidad, entró en Concurso de acreedores, por lo que, con fecha 26 de julio de 2013, el Juzgado de lo Mercantil número 5 de Barcelona, autorizó a transmitir a la mercantil QUGAT PUBLISHING, S.L.U, creada con fecha 11 de abril de 2013, con esta finalidad entre otras, la Unidad Productiva Interactiva (PLATAFORMA) de PEDAGOGIA INTERACTIVA. En el Acta de entrega, que consta anexa a este Acta consta, de fecha 18 de septiembre de 2013, consta la entrega de los paquetes de software y plataformas: 4.3.1.Gestión escolar 4.3.2.Planit/School/Runnit School 4.3.3.Aplicaciones web 4.3.4.Contenidos LLado. Asimismo, consta la entrega de los contratos suscritos con los clientes. 4.
  8. Entre los contratos entregados, figuraban clientes en activo y clientes que habían solicitada la baja en su día a PEDAGOGIA INTERACTIVA, S.L., entre los que se encontraba ATENEU INSTRUCTIU DE SANT JOAN DESPÍ. Las Bases de datos relativas a estos últimos no les fueron entregadas. 4.
  9. En el momento de la entrega toda la información contenida en las Bases de datos que se encontraba ubicada en unos servidores de MICROSOFT, fue trasladada a unos servidores propios de la Compañía QGAT PUBLISHING, S.L.; dichos servidores se encuentran ubicados en unos locales de la empresa ACENS, con quien tienen suscrito un contrato para uso de los locales y servicio de conectividad mediante “ANCHO DE BANDA INTERNET 2 Mbps. 4.
  10. Entre los servicios ofrecidos por la entidad QUGAT PUBLISHING, S.L., se encuentra la Plataforma de Gestión Educativa transferida de PEDAGOGIA INTERACTIVA, S.L. Se trata de una Plataforma de Gestión integral para los colegios: Gestión de administración, Gestión académica, Gestión de Facturación y Gestión de Otros. 4.
  11. Los datos contenidos en esta Base de datos son correspondientes a datos identificativos y académicos del alumnado, de los profesores, así como de servicios facturables a los alumnos. Cada Centro tiene asignada una URL para el acceso a la Plataforma, de tal manera que únicamente pueden acceder a los datos de su Centro. Existe una FTP ('Protocolo de Transferencia de Archivos' es un protocolo de red para la transferencia de archivos entre sistemas conectados a una red TCP (Transmission Control Protocol), basado en la arquitectura cliente-servidor. Desde un equipo cliente se puede conectar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 a un servidor para descargar archivos desde él o para enviarle archivos, independientemente del sistema operativo utilizado en cada equipo que permite a los Centros bajarse en cualquier momento sus Bases de Datos). Además como medida de seguridad, se instala un software en los Centros, que obliga a identificarse y autenticarse a los usuarios con anterioridad a su entrada a la Plataforma, para todas las gestiones que requieren un mayor nivel de seguridad: Gestión de alumnos, Facturación…Dicho código identificativo, así como la contraseña es gestionado por la entidad. El resto de accesos de otros usuarios, alumnos, padres, profesores, se realiza a través de una Intranet, siendo el propio Centro el que realiza la gestión de usuarios y asigna los códigos de identificación y las contraseñas para su acceso, así como los perfiles de cada usuario. 4.
  12. Con relación al protocolo establecido cuando se produce una resolución de un contrato, se realizan los siguientes pasos: 4.8.1.Una vez recibida la carta de solicitud de resolución del contrato, se coloca una copia de las Bases de datos en un área de un servidor a la que el Centro podrá acceder y descargar su contenido mediante FTP, para lo cual se crea un usuario especial y una Password que se remite al Centro, donde se le indica el periodo de tiempo que la tendrá disponible la información, pasada esta fecha, se procede al borrado, tanto de esa copia como de la propia base de datos existente en la Plataforma. Asimismo, se graba un fichero de LOG donde consta, entre otros, la fecha en que se realiza el borrado de los datos. 4.
  13. Mediante acceso al Sistema Informático se realizan las siguientes comprobaciones en un entorno de prueba conectado con la Plataforma: 4.9.1.Se accede a la Base de datos de los Clientes transferidos desde PEDAGOGIA INTERACTIVA, S.L. y que se encuentran en activo, comprobándose que no existen datos asociados a ATENEU INSTRUCTIU DE SANT JOAN DESPÍ. 4.10.Las inspectoras de la Agencia solicitan información a los representantes de las entidades sobre el citado Centro, manifestando que lo único que les fue entregado a ellos con fecha 18 de septiembre de 2013, con relación a este Centro, es un contrato con PEDAGOGIA INTERACTIVA, S.L. de fecha 11 de septiembre de 2011 y la carta de solicitud de baja de fecha 17 de julio de 2012, pero los datos relativos al mismo no les fueron entregados. 4.11.Los representantes de las entidades, hacen entrega a las inspectoras de la siguiente documentación: 4.12.Certificado de adecuación a la LOPD. 4.13.Documento de información y Confidencialidad suscrito por cada uno de sus trabajadores con relación a la Ley Orgánica de Protección de Datos y su Reglamento. 4.14.Copia anonimizada de un contrato correspondiente a un trabajador donde consta la cláusula de protección de datos que han de firmar los empleados al suscribir el contrato.
  14. Las inspectoras de la Agencia comprueban la existencia de tres Documentos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Seguridad correspondientes a las tres entidades. al que hace referencia el artículo 88 del Real Decreto por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal, donde constan las medidas de seguridad establecidas por dichas entidades para asegurar la salvaguarda y confidencialidad de los datos que obran en su poder, para el servicio prestado a los clientes a través de las plataformas, así como el sistema de destrucción o bloqueo una vez finalizada la relación contractual con el cliente. Comprobándose que constan todas las medias de índole técnica y organizativa con relación a la seguridad de los datos, establecidas en el Reglamento de Medidas de Seguridad. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso nos encontramos con la existencia de un contrato entre la denunciante ATENEU INSTRUCTIU DE SANT JOAN DESPI, y la entidad denunciada, PEDAGOGIA INTERACTIVA, S.A., para el uso de una plataforma educativa y un sistema de gestión de ficheros, para lo cual se entregaron una serie de ficheros a dicha entidad configurándose ésta como un encargado de tratamiento a efectos de la LOPD. De acuerdo al contrato celebrado entre las partes, el ATENEU se comprometía a facilitar datos a la entidad denunciada, para el desarrollo de la prestación contratada, figurando en dicho contrato, las siguientes cláusulas: Cláusula 7: “… En caso de resolución del contrato por cualquier causa, PEDAGOGIA INTERACTIVA notificará al Centro Educativo la necesidad de migrar todos los datos del centro de almacenamiento a los servidores de PEDAGOGIA en un plazo de 2 meses desde la mencionada comunicación. Pasados los dos meses, PEDAGOGIA INTERACTIVA podrá borrar los datos y el Centro Educativo exime a PEDAGOGIA de cualquier responsabilidad delante de los usuarios o de cualquier tercero que pueda estar afectado. Se entiende por migración la exportación de los datos a un formato estándar, por ejemplo, Excel.” Por otro lado, la cláusula 9 establece: “… Una vez finalizada la prestación de los servicios que son objeto de este contrato, los datos de carácter personal se habrán de destruir y devolverse al Centro educativo, así como cualquier soporte o documento en el que consten datos de carácter personal objeto de tratamiento. La devolución de los datos de carácter personal de los ficheros de los que sea titular el Centro Educativo y que hayan sido tratados por PEDAGOGIA INTERACTIVA en ejecución de este contrato se hará, si es necesario en la forma y con los soportes empleados en aquel momento por PEDAGOGIA para almacenar los datos. PEDAGOGIA INTERACTIVA únicamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 conservara bloqueados aquellos datos que por imperativo legal se hallan de conservar durante los plazos legalmente estipulados.” En la Guía para clientes que contraten servicios de Cloud Computing, publicada por la Agencia Española de Protección de Datos se indica que la contratación de servicios de cloud computing se realizará a través de un contrato de prestación de servicios. Resulta imprescindible que ese contrato incorpore entre sus cláusulas las garantías a las que obliga la Ley Orgánica de Protección de Datos. En el supuesto presente, en el contrato consta expresamente la obligación de devolución de datos al ATENEU INSTRUCTIU DE SANT JOAN DESPÍ, en el plazo de dos meses, una vez que éste se resolviera. La entidad denunciante señala que intentó revocar la relación contractual con PEDAGOGIA INTERACTIVA, por la deficiente prestación de servicios contratados y que PEDAGOGIA INTERACTIVA procedió a bloquear el servicio, no atendiendo a la solicitud de devolución de ficheros. El artículo 22 del Real Decreto 1720/2007, de 21 de Diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD, al respecto de la conservación de datos del encargado de tratamiento nos dice: “
  15. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación.
  16. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento.” Por tanto, hemos de tener en cuenta que el encargado del tratamiento conservará los datos en tanto en cuanto persista la relación de la que traen causa, por lo que estaría justificada su posesión mientras que no se resolviera la relación de la que trae causa dicho tratamiento. No obstante, en caso de que haya conflictos entre las partes sobre la resolución de un contrato, el encargado del tratamiento debe devolver los datos al responsable del fichero, manteniendo bloqueada una copia de seguridad con los datos estrictamente imprescindibles. III Por otro lado, hay que tener en consideración que la entidad PEDAGOGIA INTERACTIVA entró en concurso de acreedores en marzo de 2013, poco después de iniciarse la controversia entre la empresa denunciada y el Ateneu. Tras la realización de las Actuaciones Previas de Investigación, no se ha podido contactar con la entidad PEDAGOGIA INTERACTIVA, indicándonos el Presidente del Ateneu que no habían tenido noticias suyas desde el mes de noviembre de
  17. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Cuando QUGAT PUBLISHING, S.L.U., adquirió los paquetes de software y plataformas de PEDAGOGIA INTERACTIVA, así como los contratos suscritos con los clientes, comprobaron que no tenían las bases de datos de empresas que habían solicitado la baja en su día a PEDAGOGIA INTERACTIVA, como era el caso de Ateneu Instructiu de Sant Joan Despí. En consecuencia, no hemos podido constatar que los datos no se entregaran o los motivos por los que no se facilitaron. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a QUGAT PUBLICING, S.L.U, VIRTUS360 SOFTWARE, S.L, VIRTUS360 SPAIN, S.L. y al ATENEU INSTRUCTIU DE SANT JOAN DESPI. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.