← España

E-04753-2020

1/19  Procedimiento Nº: E/04753/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 13 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERÍA DE EDUCACIÓN Y CULTURA DE LA COMUNIDAD AUTÓNOMA DE LA REGIÓN DE MURCIA, y la entidad TOKAPP ONLINE, S.L., (en adelante, el reclamado). Los motivos en que basa la reclamación son que el centro escolar al que asiste su hija menor, ha cedido sin su consentimiento los datos personales suyos y de su hija a una empresa, propietaria de la aplicación "TOPAPP SCHOOL", para realizar a través de la misma las comunicaciones con el centro, que ellos entienden como obligatorias. Se manifiesta que esta cesión de datos ha sido impuesta de forma obligada y que ha sido puesto en conocimiento de la Consejería de Educación y Cultura de Murcia. El reclamante señala además que esta aplicación solicita para su instalación permisos de geolocalización, acceso a contactos y trata la dirección IP de los usuarios, incumpliendo el principio de minimización de datos establecido en el RGPD, ya que a través del tratamiento de la IP se puede conocer el nombre del operador de internet y su geolocalización y este hecho no se recoge en la política de privacidad de la entidad reclamada. Y, entre otra, anexa la siguiente documentación: • Comunicación en la que consta el logotipo de TOKAPP y el escudo de ISABEL BELLVIS y donde consta exclusivamente el texto: “Estimadas familias Hoy en día cuidar la privacidad en la comunicación es una necesidad. Por ello, para mantener un contacto eficaz y respetando las leyes y regulaciones de protección de datos, a partir de ahora enviaremos todas nuestras comunicaciones a través de TokApp School. De esta forma recibiréis toda la información habitual y los avisos importantes en vuestro móvil al instante, además de responder a los mensajes cuando lo solicitemos. Para ello, debéis descargar la app de TokApp School. ¿Cómo? 1. Entrar en la App Store o Play Store. 2. Buscar TokApp School y descargar. Es gratuito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 3. Seguir los pasos para crear usuario, usando el mismo mail o teléfono que nos habéis facilitado al centro. 4. Desplazar el icono de la app a la pantalla principal de vuestro móvil. 5. Esperar a recibir nuestros mensajes. Para cualquier duda o consulta, el departamento de Soporte Técnico de ToakApp está disponible para ayudar a través de soporte@TokApp.com y soporte.tokapp.com Un saludo. El Equipo Directivo. • Más información en https://www.tokapp.com ” Captura de pantalla de los permisos de la aplicación móvil donde consta entre otros “consultar contactos”, “ubicación”, y el texto “Puedes inhabilitar el acceso a estos permisos en Ajustes.” • Copia de la política de privacidad de TokApp ubicada en https://tokapp.com/politica-deprivacidad/ donde consta, entre otros: o Un apartado con la identificación y medio de contacto del responsable del tratamiento. o Un apartado con la información que recopilan del usuario siendo, entre otra, para el usuario de las apps:  Nombre y apellidos, datos de contacto, datos de navegación como la dirección ip y el navegador.  Que para el uso y funcionamiento de las aplicaciones, estas piden autorización para acceder a la agenda, galería, localización, los mensajes, el estado del teléfono y el almacenamiento externo. Que estas peticiones están destinadas única y exclusivamente al correcto uso y funcionamiento de la aplicación y no se almacena en ningún sitio más que en el propio terminal del usuario.  Que en el caso de que el usuario facilite datos de terceros, asumirá la responsabilidad de haberle informado previamente y tener su consentimiento para ello, conforme al artículo 14 RGPD. o Un apartado con la finalidad del tratamiento donde consta, entre otras:  Llevar a cabo la prestación de los servicios contratados, el mantenimiento de la relación contractual y el seguimiento de la misma.  Realizar, en su caso, un perfil del usuario para ofrecerle los productos y servicios relacionados con TokApp de acuerdo con sus intereses. o Un apartado con la legitimación del tratamiento el cual se basa en la ejecución de la prestación del servicio correspondiente y en consentimiento para la finalidad, entre otras, de realizar, en su caso, un perfil del usuario para ofrecer productos y servicios relacionados a TokApp. o Un apartado con los plazos de conservación. o Un apartado con los destinatarios de los datos personales. o Un apartado relativo a derechos. o Un apartado relativo a comunicaciones comerciales en las que el usuario tiene derecho a revocar el consentimiento, notificándolo a TokApp o a través de los sistemas automáticos reflejados en los comunicados recibidos. • Copia del escrito remitido a la Consejería de Educación y Cultura de la región de Murcia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 Con fecha 11 de mayo de 2020 el denunciante remite copia de 7 notificaciones recibidas de TOKAPP cuando, según manifiesta, no ha dado sus datos a nadie ni ha consentido comunicaciones electrónicas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/11755/2019, el 13 de diciembre de 2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación se realiza electrónicamente constando entregada el 16/12/2019. Con fecha 15 de enero de 2020, TOKAPP ONLINE, S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. TOKAPP ONLINE, S.L. manifiesta que han analizado las siguientes cuestiones: Princi- pio de minimización de datos (dirección IP), solicitud de permisos de la aplicación y la información facilitada en la App a los usuarios. 2. Que lo alegado por el reclamante no se corresponde con los usos obligatorios y opcio- nales de la aplicación, posiblemente por no haber comprendido el funcionamiento de la misma, ya que el usuario para ello debe autorizar de forma expresa, en caso contrario la aplicación no podrá acceder a datos como agenda o geolocalización, por ejemplo. 3. Que la falta de comprensión de los usos de la aplicación puede deberse a una falta de claridad en la Política de Privacidad para los usuarios de la misma. 4. Concluye que antes del 1/3/2020 estarán implantadas diversas medidas, entre otras: a. La creación en la APP de una página específica de información donde se detalle el tra- tamiento de datos que realizarán las aplicaciones y la revisión de la política de privacidad para aclarar los usos que se hacen de los datos recabados, de forma que sea más comprensible para el usuario. b. Explicar de forma más detallada en la política de privacidad general de la aplicación, la necesidad de utilizar en base a un interés legítimo de la empresa el dato de la IP con las finalidades de acreditar la aceptación de las condiciones de uso de la aplicación, y avisar al usuario, por motivos de seguridad, cuando la conexión se haga desde otra ubicación. 5. Que valorarán el tratamiento de la IP para determinar si ese tratamiento es realmente necesario y si hay otras alternativas. 6. Que no se han cedido los datos de la menor por parte del centro escolar a TOKAPP ONLINE, S.L. ya que TOKAPP ONLINE, S.L. es encargado de tratamiento de la Consejería de Educación y Cultura de Murcia siguiendo las instrucciones de la misma y habiendo celebrado el pertinente contrato entre el responsable de tratamiento y el encargado conforme al art. 28 del RGPD. Se aporta copia de correos electrónicos relativos al ejercicio de derechos donde consta: Correo electrónico de fecha 14 de octubre de 2019 a las 11:35 AM: “…le resumo Io que debe hacer para ejercer sus derechos. Actualmente, por Io que nos comenta, existen dos tratamientos sobre sus datos que le paso a detallar: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 Los datos que recaba el colegio. Son los datos de sus hijos y sus representantes. El colegio los introduce en la aplicación para poder enviarle comunicados. No existe cesión de datos con TokApp sino una comunicación como encargado de tratamiento. TokApp no puede cederlos a nadie con ningún fin y no puede usarlos para nada que no sea dar servicio a la aplicación. TokApp no puede atenderle en relación a sus derechos sobre estos datos porque sólo puede hacerlo el responsable del tratamiento, que es el colegio. La política de privacidad que afecta a estos datos es la que establece el colegio y que ha aceptado Ud. cuando les facilitó sus datos y los de sus hijos. Si desea ejercer alguno de sus derechos sobre estos datos, deberá dirigirse por escrito al centro escolar. donde le facilitarán el formulario adecuado. Los datos recabados por TokApp. Son los datos que sobre Ud., como usuaria de la App móvil, ha introducido al instalar y registrarse en dicha App. Es TokApp la responsable del tratamiento de estos datos y la política de privacidad que les afecta es la que ha aceptado al registrarse y que puede consultar en "Ajustes" > "Acerca de". TokApp le atenderá directamente en el ejercicio de sus derechos. Si desea ejercer algún derecho sobre estos datos díganos cuál de ellos quiere ejercer y le enviaremos el formulario correspondiente. En concreto, con respecto a la oposición de cesión que nos indica ("Me opongo a la cesión a terceros y al uso con fines comerciales"), le informamos que el colegio no "cede", sino que "comunica" a TokApp sus datos y TokApp no puede cederlos a nadie ni usarlos con fines comerciales. No obstante, puede ejercer su derecho a oposición dirigiéndose al responsable del tratamiento (el colegio). Con respecto a su solicitud de acceso ("Solicito el acceso a todos los datos que tiene la app sobre mí y mis hijos"), le informamos que TokApp sólo puede atenderle en relación a los datos que Ud. que haya informado cuando se registró en la App móvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 En breve le enviaremos el formulario de solicitud para que pueda ejercer este derecho. Con respesto al acceso a los datos de sus hijos y suyos, nuevamente deberá dirigirse al responsable del tratamiento de dichos datos (el colegio).” Correo electrónico de fecha 11 de octubre de 2019 a las 11:10 AM: “Gracias por contactar con nosotros. Le informamos que cuando se registra en TokApp desde la aplicación, usted nos facilita su número de teléfono y/o correo electrónico. En el caso de que usted esté recibiendo mensajes de un centro o entidad, es porque el centro o entidad ha recabado sus datos de contacto (teléfono, correo electrónico, ID de TokApp...etc.) directamente de usted. Si sospecha que no es así, contacte con el centro en cuestión, pues es el responsable del tratamiento de los datos. Adicionalmente, usted puede bloquear o reportar cualquier remitente desde la propia aplicación. Si usted recibe mensajes de una entidad a través del servicio de suscripciones, le informamos que el susodicho centro no tiene acceso a ningún dato personal suyo. En ningún caso, TokApp facilita esos datos personales a ningún centro o entidad. Le informamos que en el momento de registro, usted acepta explícita e íntegramente la política de privacidad y condiciones de uso de TokApp, no es posible aceptarla de manera parcial….” 7. Se aportan dos capturas de pantalla de la aplicación donde consta: “Acceso a Contactos Este permiso lo único que hace es sincronizar tus contactos y mostrártelos en TokApp, es decir, que si alguno de tus contactos tiene TokApp, que puedas chatear directamente. Nunca registraremos a tus contactos que no tengan usuario TokApp.” “Acceso a Ubicación utilizamos cuando quieres enviar tu ubicación a un amigo a través del chat. Solo en ese momento se facilita a la localización. También cuando buscas servicios (botón Servicios) cerca de donde estás. En ningún caso registramos tu ubicación ni en el dispositivo ni en nuestros servidores.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 TERCERO: Con fecha 4 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha 30 de junio de 2020, la consejería de educación y cultura de la comunidad autónoma de la región de Murcia remite a esta Agencia la siguiente información y manifestaciones: 1. Que el uso de la aplicación App “TokApp School” no es obligatoria por parte de los pro- genitores de los alumnos y alumnas de citado centro. 2. Que los datos personales de los alumnos y de sus padres y madres no son introduci- dos en la app por parte del centro educativo sino que existe un traspaso automático de datos de la aplicación PLUMIER, que se abastece con los datos de escolarización, a la aplicación TokApp School. 3. Se aporta informe firmado por la directora del centro educación infantil público ISABEL BELLVIS de CORVERA y fechado a 28 de noviembre de 2019 en el que manifiesta: a. “Desde comienzo de curso se informa a las familias que este curso 2019-20 el centro quiere contribuir con el medioambiente y prescindir de mandar notas informativas en papel y utilizar la plataforma Tok App ( aplicación gratuita) que nos propone Consejería para tal uso.” b. “Esta aplicación aunque los padres no se la descarguen manda la información a sus correos igualmente.” c. “A fecha de hoy Circulares informativas generales como centro no se ha mandado nin- guna. Ningún padre/madre se ha opuesto al uso de esta aplicación.” 1. Aporta informe de la Inspección de Educación fechado a 4 de diciembre de 2019 don- de se manifiesta entre otros aspectos: Extraído de un informe de la dirección del centro educación infantil público ISABEL BELLVIS: a. Que dentro del proceso de digitalización, la Consejería de Educación y Cultura ha puesto a disposición de los centros adheridos al Programa de Centros Digitales, la aplicación de comunicación en el ámbito educativo “TokApp School” para facilitar los procesos de enseñanza y aprendizaje a través de medios digitales y las comunicaciones entre los centros docentes y las familias. b. Que esta aplicación, aunque no haya sido descargada por las familias, remite al correo electrónico de los padres la información que el centro envíe. Y se añade: “Desde esta Inspección se ha asesorado a la directora del centro que debe comunicar a aquellas familias que no desean utilizar la App "TokApp School" que tienen derecho a seguir siendo informados por otros medios, entre ellos el formato papel.” 2. Se aporta informe de la directora del centro educación infantil público ISABEL BELL- VIS de CORVERA firmado y fechado a 13 de enero 2020, donde manifiesta que: a. “A finales de curso mandamos un CLIP a la consejería para que nos den las claves de la licencia. Unos días después de tener activa la licencia, la empresa Tokapp se pone C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 en contacto con nosotros de forma telemática para configurar la aplicación y hacer el traspaso de datos de Plumier a Tokapp.” b. “En las reuniones desde inicio de curso con los padres, Consejo Escolar y circulares se informa a todos los padres del uso de esta aplicación …” c. “En ningún momento se obliga a nadie al uso de la misma, puesto que se informa de la voluntariedad en su uso y a día de hoy ninguna familia se ha manifestado en contra.” d. Que no se ha manifestado en contra ninguna familia y que el reclamante en ningún momento manifestó estar en contra de la descarga y uso de la aplicación. e. Que en todo momento les informan que al descargarse la aplicación se aceptan las condiciones de uso y se da el consentimiento para el uso de los datos. f. “El reclamante, que en ningún momento manifestó estar en contra de la descarga y uso de esta aplicación, no se la descarga y aprovecha para interponer una reclamación en inspección y a la agencia de protección de datos por llegarle vía email información través de Tokapp. Entendemos que la aplicación aun no descargándola, envía por email la información, cosa que desconocíamos….” g. “Como medidas preventivas e inmediatas que hemos adoptado, el centro ha hecho un registro de aquellas familias que no se han descargado la app para que firmen por escrito el consentimiento, ya que se va a proceder a eliminar de la aplicación a todas aquellas familias que no se la hayan descargado y manifestado que quieren usar la app. Otra medida es incluir en la matriculación del centro el consentimiento del uso de la aplicación TokApp. Queremos insistir que hasta la fecha, desconocíamos que la aplicación aun no habiendo sido descargada, enviaba la información a todas las familias por email.” 3. Que con fecha 22 de enero de 2020 el centro educación infantil público ISABEL BELL- VIS aporta: a. Copia de solicitud de plaza para el Proceso de Admisión de Alumnos 2018/2019 fecha- da a 5 de marzo de 2018 donde constan los datos, entre otros, de nombre y apellidos, nº teléfono, nº DNI, nacionalidad, dirección email del padre y/o madre; nombre y apellidos, nº DNI, fecha de nacimiento y nacionalidad del alumno; así como domicilio de residencia. Consta asimismo el aviso a pie de solicitud con el siguiente texto: “NOTA: Los datos de carácter personal de esta solicitud y documentos anexos se incluyen en un fichero cuyo responsable es la Consejería Educación, Juventud y Deportes, ante la cual podrán ejercer de manera gratuita sus derechos de acceso, oposición, rectificación y cancelación de datos personales mediante escrito presentado en cualquiera de los lugares previstos en el artículo 16 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y dirigido al centro directivo indicado anteriormente, de acuerdo con el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” b. Certificado del secretario del centro educación infantil público ISABEL BELLVIS firma- do por el Secretario y la Directora en fecha 22 de enero de 2020, certificando el contenido del consejo escolar de fecha 21/10/2019 en cuyo contenido consta: i. Que la directora presenta la aplicación Tokapp. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 ii. Que la directora expone que la implantación será gradual. iii. Que se indica que se volverá a enviar la circular informativa para recordar su implanta- ción. Se aporta la circular informativa, siendo ésta la misma que la aportada por el denunciante. 1. Con fecha 14 de febrero de 2020 la Jefatura del Servicio de Gestión Informática de Educación, perteneciente a la Consejería de Presidencia y Hacienda aporta Informe de necesidad de contrato menor del Centro Regional de Informática sobre el suministro de licencias de uso temporal con la empresa TOKAPP ONLINE,S.L. fechado a 12/03/2019. 2. Se aporta Orden de 28 de marzo de 2017 del Consejo de Hacienda y Adminis- tración Pública por la que se establece la política de seguridad de la información en la administración regional publicado en BORM con fecha 8 de abril de 2017 en el que consta que: “Artículo 12. Responsables de la Información. 1. El Responsable de la información será, para cada sistema de información, el titular del órgano administrativo con competencia suficiente para decidir sobre la finalidad, contenido, uso y tratamiento de la información contenida en aquél. 2. ….

  1. f)Asumirá dentro de su ámbito competencial y para los ficheros con datos de carácter personal, las funciones atribuidas al Responsable del Fichero y/o Tratamiento por la normativa en vigor sobre Protección de Datos de Carácter Personal. … Artículo 14.- Encargado del tratamiento. La Dirección General competente en materia informática ejercerá, para los sistemas de información de Consejerías y Organismos Autónomos, las funciones de Encargado del tratamiento recogidas en la normativa en vigor sobre protección de datos de carácter personal.” 1. La dirección general de informática corporativa aporta informe para la solicitud de autorización de encargo de tratamiento a un tercero para la comunicación con miembros de la comunidad educativa de fecha 20/01/2020 donde consta: “…se hace necesario solicitar la autorización del responsable de la información, en este caso la Dirección General de Planificación Educativa y Recursos Humanos para que la empresa TOKAPP pueda ser encargada del tratamiento por la subcontratación de los servicios de comunicación entre los miembros de la comunidad educativa.” 2. Se aporta respuesta de la consejería de educación y cultura dirección general de plani- ficación educativa y recursos humanos a consejería de presidencia y hacienda-dirección general de informatica corporativa de fecha 25/02/2020 donde consta que: a. “El Decreto 23/2017, de 15 de marzo, por el que se regulan los criterios y el procedi - miento para la admisión y escolarización del alumnado de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato en centros docentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 sostenidos con fondos públicos de la Comunidad Autónoma de la Región de Murcia, desarrolla los principios de la admisión del alumnado en estas etapas, y en su disposición adicional primera y segunda establece el uso obligatorio de aplicaciones informáticas para una adecuada gestión del proceso de admisión y escolarización. … Por Comunicación Interior nº 15124/2020 de 12 de febrero de 2020, del Director General de Informática Corporativa se solicita autorización conforme al Informe del Jefe de Servicio de Gestión Informática (Educación) de 20 de enero de 2020, para la subcontratación de los servicios de comunicación entre los miembros de la comunidad educativa. En virtud de lo dispuesto en la normativa referida y como responsable de la información relativa a la escolarización de alumnado, esta Dirección General RESUELVE: AUTORIZAR a la Dirección General de Informática Corporativa, como encargada del tratamiento a la subcontratación de los servicios de comunicación entre los miembros de la comunidad educativa. La información que tratarán es el nombre completo, teléfono, enseñanza y curso del alumno así como los datos de los progenitores o tutores de los mismos.” 11. Se aporta Registro de Actividades del Tratamiento de la dirección general de planificación educativa y recursos humanos correspondiente al Procedimiento de admisión y escolarización del alumnado de educación infantil, educación primaria, educación secundaria obligatoria y bachillerato en centros docentes sostenidos con fondos públicos de la Comunidad Autónoma de la Región de Murcia donde consta: “ACTIVIDADES DE TRATAMIENTO Actividad de tratamiento de datos: "Procedimiento de admisión y escolarización del alumnado de educación infantil, educación primaria, educación secundaria obligatoria y bachillerato en centros docentes sostenidos con fondos públicos de la Comunidad Autónoma de la Región de Murcia". A) RESPONSABLE DEL TRATAMIENTO Y DELEGADO DE PROTECCIÓN DEDATOS: Dirección General de Planificación Educativa y Recursos Humanos. Consejería de Educación, Juventud y Deportes de la Comunidad Autónoma de la Región de Murcia. Datos de contacto: Edificio Administrativo Educación. Planta Baja. Avda. Fama, 15. 30006, Murcia. Teléfono: 968279609 Delegado de protección de datos: Heliodoro López Pacheco. Edificio Administrativo Educación. Planta 6?. Avda. Fama, 15. 30006, Murcia. Teléfono: 968279641. dpd.centros@murciaeduca.es B) FINALIDAD Gestión de solicitudes de admisión y formalización de matrícula, en su caso, en las enseñanzas de educación infantil, primaria, secundaria obligatoria y bachillerato C) Base Jurídica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 RGPD 6.1
  2. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Ley Orgánica 2/2006, de 23 de mayo de Educación, Decreto 23/2017, de 15 de marzo, por el que se regulan los criterios y el procedimiento para la admisión y escolarización del alumnado de Educación Infantil, Educación Primaria, Educación Secundaria Obligatoria y Bachillerato en centros docentes sostenidos con fondos públicos de la Comunidad Autónoma de la Región de Murcia. …” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 III En la presente reclamación se manifiesta que el centro escolar al que asiste su hija menor, ha cedido sin su consentimiento los datos personales del reclamante y de su hija a una empresa, propietaria de la aplicación "TOPAPP SCHOOL", para realizar a través de la misma las comunicaciones con el centro, que ellos entienden como obligatorias. El reclamante entiende que no se le ha informado sobre el propósito del tratamiento y el periodo de retención de dichos datos, por lo que considera que sus derechos han sido violados, al considerar infringidos los preceptos 5 (principios generales), 6 (licitud en el tratamiento de datos),12, 13 y 14 del RGPD (principios de transparencia e información). En este sentido el artículo 5 del RGPD, regula los principios generales para el tratamiento de los datos personales, estableciéndose que: “1. Los datos personales serán:
  3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  7. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Por otro lado, el artículo 6 del RGPD regula la licitud del tratamiento de datos personales estableciendo lo siguiente: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  11. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  12. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  13. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  14. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  15. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  16. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  17. c)y e), deberá ser establecida por:
  18. a)el Derecho de la Unión, o
  19. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  20. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  21. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  22. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  23. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  24. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización. Asimismo el artículo 12 del RGPD regula el principio de transparencia en la protección de datos personales, señalándose que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
  25. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
  26. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 El artículo 13 del RGPD regula el principio de información cuando los datos personales se obtienen del propio interesado, estableciéndose que: 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  27. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  28. b)los datos de contacto del delegado de protección de datos, en su caso;
  29. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  30. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  31. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  32. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  33. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  34. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  35. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  36. d)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19
  37. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  38. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Finalmente el artículo 14 del RGPD establece que: 1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:
  39. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  40. b)los datos de contacto del delegado de protección de datos, en su caso;
  41. c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
  42. d)las categorías de datos personales de que se trate;
  43. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  44. f)en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19
  45. a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
  46. b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
  47. c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  48. d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
  49. e)el derecho a presentar una reclamación ante una autoridad de control;
  50. f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
  51. g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
  52. a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
  53. b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
  54. c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
  55. a)el interesado ya disponga de la información; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19
  56. b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
  57. c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
  58. d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria. IV En el presente caso, el reclamante manifiesta que sus datos personales y los de su hija menor de edad han sido cedidos sin su consentimiento a una aplicación que utiliza el colegio para su adecuada gestión. El responsable del tratamiento de los datos es el centro escolar, siendo la entidad reclamada, la encargada del tratamiento, lo cual se acredita con el informe firmado por la directora del centro educación infantil público ISABEL BELLVIS de CORVERA y fechado a 28 de noviembre de 2019 en el que se informó a las familias del siguiente modo: “Desde comienzo de curso se informa a las familias que este curso 2019-20 el centro quiere contribuir con el medioambiente y prescindir de mandar notas informativas en papel y utilizar la plataforma Tok App (aplicación gratuita) que nos propone la Consejería para tal uso.” Aporta además el informe de la Inspección de Educación fechado a 4 de diciembre de 2019 donde se manifiesta que: “La Consejería de Educación y Cultura ha puesto a disposición de los centros adheridos al Programa de Centros Digitales, la aplicación de comunicación en el ámbito educativo “TokApp School” para facilitar los procesos de enseñanza y aprendizaje a través de medios digitales y las comunicaciones entre los centros docentes y las familias y se ha asesorado a la directora del centro que debe comunicar a aquellas familias que no desean utilizar la App "TokApp School" que tienen derecho a seguir siendo informados por otros medios, entre ellos el formato papel.” Concluir señalando que tras las actuaciones de investigación realizadas por esta Agencia, se ha constatado que la plataforma Tok App actúa como una mera encargada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 del tratamiento, y que no existe una comunicación o cesión de datos entre el colegio y la plataforma. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  59. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.