E-04062-2013

1/7 Expediente Nº: E/04062/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la CONSEJERIA DE EDUCACION DE LA COMUNIDAD DE MADRID en virtud de denuncia presentada por D.ª A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de mayo de 2013, tuvo entrada en esta Agencia escrito de D./Dña. A.A.A. en el que manifiesta, que el día 13 de mayo de 2013 ha solicitado telemáticamente cheques de guardería para el año 2013/2014 a través de la web de la Consejería de Educación, Juventud y Deporte de la Comunidad de Madrid, Dirección General de Becas y Ayudas a la Educación, Subdirección General de Becas y Ayudas (en adelante Subdirección General de Becas) y que ha recibido el documento acreditativo de su solicitud con los datos de otra familia y aporta documento al respecto. Con fecha 13 de enero de 2014, desde la Inspección de Datos se solicita ampliación de información a la denunciante con objeto de conocer la forma en que el documento con datos personales de un tercero, menor de edad, ha sido recibido de forma que, con fecha 17 de enero de 2014, se recibe un escrito de la denunciante donde informa que dentro del procedimiento telemático, la Subdirección .General de Becas remite a los solicitantes un correo electrónico indicando un link en el que se permite descargar la solicitud realizada y aporta copia del mencionado correo electrónico y que al consultar en la web identificándose con su DNI información sobre la solicitud realizada, se pudo descargar la solicitud de otro menor de nombre B.B.B.. La denunciante añade que no ha contactado con la Dirección General de Becas para informar de lo acaecido. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. En la copia del correo electrónico aportado por la denunciante a esta Agencia figura que se han publicado los listados con las solicitudes presentadas y las excluidas e informa de que se puede realizar una consulta individual de la situación de la solicitud en el siguiente enlace: www.madrid...........
2. Con fecha 11 de febrero de 2014, desde la Inspección de Datos se ha accedido al enlace www.madrid.......... obteniéndose una pantalla en la cual se solicita un código de identificación para el acceso. Asimismo, al realizar una navegación desde el portal www.madrid.... se ha accedido a la opción de “Cheques Guardería (curso 2013/2014)” verificando que el sistema devuelve el siguiente mensaje: “El plazo de presentación de solicitudes para esta convocatoria se encuentra cerrado”. Tal y como consta en el Acta de Inspección E/4062/2013-I/1 realizada en fecha 10 de febrero de 2014 en Subdirección General de Becas.
3. Anualmente la Subdirección General de Becas realiza una convocatoria de ayudas para la escolarización de niños menores de tres años matriculados en centros privados, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 para impartir el primer ciclo de Educación Infantil. (Cheque Guardería). En el año 2009, se implantó el Sistema de Información de Solicitud Telemática de Cheque Guardería que permite cumplimentar la solicitud a través de la web de la Comunidad de Madrid en la dirección www.madrid.org. Este curso escolar se han recibido aproximadamente 40.000 solicitudes de Cheque Guardería de las cuales aproximadamente el 25% se realizan de forma telemática.
4. La Subdirección General de Becas manifiesta que para cumplimentar telemáticamente la solicitud es necesario identificarse y autenticarse con un certificado digital. La web www.madrid.org dispone de un formulario que debe cumplimentarse por el padre/madre/tutor del solicitante ya que este es menor de edad. Una vez cumplimentados los datos, desde la propia web se envía a registrar la solicitud y se genera un documento pdf que debe ser descargado por el solicitante ya que es la solicitud registrada. Este documento coincide con el aportado por la denunciante. Este documento solo es accesible para el solicitante en esta fase de cumplimentación y presentación de solicitudes. A este respecto se ha verificado que:  Para acceder a la web al área de cumplimentación del formulario de “cheques guardería 2014/1015” se requiera un certificado digital.  En el formulario se registran datos personales del niño y del padre/madre/tutor.  Una vez cumplimentados los datos y pulsado la opción “Grabar”, el sistema devuelve el siguiente mensaje “Por favor, compruebe que ha introducido como solicitantes a todos los hijos que se encuentren matriculados en centros privados en el primer ciclo de educación infantil, independientemente de que estén matriculados en distintos centros. Recuerde que posteriormente no podrá entrar a modificar la solicitud una vez que la haya confirmado”.  Al continuar el Sistema muestra una pantalla resumen con los datos introducidos y, entre otros, el siguiente comentario: “La solicitud que se presentará será la siguiente. Por favor pulse continuar en el caso de estar todo correcto e ir a la pantalla de registro. No se podrá modificar la información de la solicitud una vez pulsado el botón “Grabar Datos” AVISO: Si no registra la solicitud en la siguiente pantalla, ésta no tendrá validez”.  Una vez grabados, el Sistema devuelve el siguiente mensaje: “La solicitud ha sido grabada. Ahora podrá anexar documentación. Imprima un borrador de la solicitud o Pasarla por Registro. AVISO: Si no registra la solicitud, ésta no tendrá validez”.  En el borrador de la solicitud en papel consta en todo el documento la marca “BORRADOR”.  La siguiente pantalla muestra un resumen indicando “La solicitud ha sido grabada, puede anexar documentación o pasarla por registro. AVISO si no registra la solicitud ésta no tendrá validez”.  Una vez mandada a registrar, el Sistema devuelve el siguiente mensaje “La solicitud ha sido registrada”.  La solicitud en soporte papel figura con sello de registro: número, fecha y hora, y dirigido a la Subdirección General de Becas y Ayudas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7
5. Subdirección General de Becas manifiesta que una vez cerrado el plazo de presentación de solicitudes, se procede a la publicación de la Resolución Provisional y se remite un correo electrónico a la dirección de correo aportado en las solicitudes y un mensaje SMS para que los solicitantes conozcan que se ha publicado la Resolución y puedan consultar y subsanar, en su caso. El correo electrónico que se remite coincide con el aportado por la denunciante. Asimismo, manifiesta que al acceder a la dirección www.madrid.......... que figura como link en el correo, el sistema solicita una identificación y te ofrece el estado de tramitación de la solicitud. En ningún caso se puede imprimir el documento de solicitud registrado. A este respecto se ha verificado que la dirección www.madrid.......... solicita como clave de acceso el DNI del padre/madre/tutor que conste en la solicitud. Asimismo se ha verificado que una vez identificado se muestran los datos de: número de expediente, nombre y apellidos del menor, fecha de nacimiento y Resultado. Se ha verificado que utilizando como argumento de búsqueda el DNI “***DNI.1” que se corresponde con el DNI de la denunciante el Sistema muestra información sobre el estado de la solicitud de C.C.C.. Se ha verificado que utilizando como argumento de búsqueda el DNI de uno de los tutores que figura en el documento Solicitud Telemática de cheques Guardería adjuntado por la denunciante y que corresponde con el DNI de uno de los tutores del tercero, el Sistema muestra información sobre el estado de la solicitud del niño B.B.B.. Se ha verificado que utilizando como argumento de búsqueda el DNI del tutor registrado en la inspección el Sistema muestra el estado de la solicitud registrada. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denunciante que el día 13 de mayo de 2013 solicitó telemáticamente cheques de guardería para el año 2013/2014 a través de la web de la Consejería de Educación, Juventud y Deporte de la Comunidad de Madrid, Dirección General de Becas y Ayudas a la Educación, Subdirección General de Becas y Ayudas y que ha recibido el documento acreditativo de su solicitud con los datos de otra familia y aporta documento al respecto en el que se recogen los datos del menor de nombre “ B.B.B.” y los de la madre y DNI como representante. El artículo 6 de la LOPD regula el principio del “consentimiento” del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 interesado para el tratamiento de sus datos, en el que se dispone lo siguiente: “
6. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.
7. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…;” La Subdirección General de Becas formulada la solicitud de cheques de guardería está habilitada para el tratamiento de los datos del solicitante. El artículo 9 de la LOPD, recoge: “
8. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”. Y el artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, la Consejería de Educación, Juventud y Deporte de la Comunidad de Madrid,, como “responsable del fichero” está sujeta al “deber de secreto” de los datos que obtenga por razón de sus competencias y solamente podrá proceder al “tratamiento” de los datos del afectado sin su consentimiento si está exceptuado por alguno de los supuestos contemplados en el artículo
9. 1 y 2 de la LOPD trascritos, por lo que, procede pasar a analizar si la citada Consejería cometió una infracción al deber de secreto de los datos del menor a consecuencia de una falta en las medidas de seguridad de la pagina web www.madrid.org al facilitar el acceso a la denunciante al los datos de otro menor beneficiario de cheques de guardería instados a través de la citada pagina web ejería. III La AEPD tiene conferida “potestad inspectora” en el artículo 40, apartado 1, que recoge: “Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar sin concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa citada corresponde al Director de la Agencia Española de Protección de Datos -AEPD- determinar si, a la vista de la denuncia formulada y de los elementos aportados en justificación de la misma, concurre causa justificativa que lleve a la realización de actuaciones previas de inspección, de suerte que en el presente caso, se realizaron dichas actuaciones previas con el resultado expuesto en el Hecho Segundo de la presente resolución. En la inspección “in situ” realizada por el personal de la Inspección de Datos se verificó y se describe paso a paso el procedimiento establecido para la solicitud de los cheques de guardería establecido por la Consejería, Subdirección de Becas, través de la pagina web www.madrid.org según se describe en el Hecho Segundo, punto 4 y 5 de la presente resolución. En síntesis, se comprobó que al acceder a la dirección www.madrid.......... que figura como link en el correo recibido por el solicitante, el sistema solicita una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 identificación y ofrece el estado de tramitación de la solicitud (sin que, ningún caso, se pueda imprimir el documento de solicitud registrado) y requiere como clave de acceso el DNI del padre/madre/tutor que conste en la solicitud y una vez identificado se muestran los datos de: número de expediente, nombre y apellidos del menor, fecha de nacimiento y resultado. Por otra parte, se verificó por el personal Inspector de Datos en el establecimiento de la Subdirección de Becas que utilizando como argumento de búsqueda el DNI “***DNI.1” correspondiente al de la denunciante, el Sistema muestra, exclusivamente, información sobre el estado de la solicitud de C.C.C., hijo de la denunciante. También, se comprobó que utilizando como argumento de búsqueda el DNI de uno de los tutores que figura en el documento Solicitud Telemática de cheques guardería adjuntado por la denunciante y que corresponde con el DNI de uno de los tutores del tercero, el sistema muestra información sobre el estado de la solicitud del niño “B.B.B.” . Es decir, sin poner en duda los hechos denunciados no se ha podido comprobar en la inspección in situ que por el DNI del solicitante de la ayuda de los cheques guardería se acceda a los datos de un tercero ajeno a la solicitud y, por tanto, pueda imputarse una infracción al deber de secreto por fallo en las medias de seguridad del sistema. El hecho de que la denunciante aporte una solicitud telemática de cheques guardería curso 2013/2014 correspondiente a Dª D.D.D. y beneficiario su hijo “ B.B.B.” no comporta una prueba de “cargo” de que en el sistema mantenga una brecha que permita el acceso por los solicitantes de la ayuda a los datos de tercero como exigiría el inicio de un procedimiento sancionador . Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “
10. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya comprobado como en el caso en cuestión la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a CONSEJERIA DE EDUCACION DE LA COMUNIDAD DE MADRID y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es