E-08162-2019

1/5  Procedimiento Nº: E/08162/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de investigación se inician por la recepción de un escrito de notificación de quiebra de seguridad remitido por CONSEJERIA DE EDUCACIÓN Y DEPORTES - CEIP "AL-ÁNDALUS", con NIF: S4111001F, en el que informan a la Agencia Española de Protección de Datos (en adelante AEPD) de la pérdida de un dispositivo de almacenamiento externo (pen drive) con datos de alumnos. Declaran la existencia de datos básicos y de calificaciones así como categorías especiales de datos e informan de un total de unos 50 afectados (con posibilidad de contener 2 informes psicopedagógicos). Indican que han tenido conocimiento de la quiebra de seguridad el 29/07/2019. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la notificación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de quiebra: 01 de agosto de 2019 ENTIDADES INVESTIGADAS JUNTA DE ANDALUCIA - CONSEJERIA DE EDUCACIÓN Y DEPORTES - CEIP "ALÁNDALUS", con NIF S4111001F y con domicilio en C/ LA VID, NUM 7 - 11130 CHICLANA DE LA FRONTERA (CÁDIZ) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Respecto a los hechos.  El viernes 26 de julio de 2019 a las 9:00 horas de la mañana el director acude al centro (en lo sucesivo CEIP) para abrir las instalaciones a los técnicos de la alarma del centro (Protelec) para proceder a la revisión de los sensores por problemas en los días previos, ya que se trata de periodo de vacaciones y no hay nadie que pueda realizar esa labor. La intención del director es, mientras tanto, hacer un trasvase de datos y revisar alguna documentación usando un pendrive. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5  Durante ese tiempo recorre varias dependencias del colegio, pero no puede recordar cuándo fue el último momento en que vio el dispositivo. Su estancia en el colegio fue desde las 9:00 h. hasta las 10:30 h.  El lunes 29 de julio sobre las 9:30 h., cuando se dispone a asistir al colegio advierte que el pendrive no se encuentra en la mochila donde suele dejarlo. Repasa cuales fueron los movimientos, que realiza andando desde que deja su puesto de trabajo hasta la vivienda y no recuerda haberlo dejado en la mochila, detalle que refuerza la pérdida del pendrive en el colegio.  No puede asegurar el contenido exacto del pendrive, ya que su uso es para el transporte de datos entre dispositivos, pero puede contener algún informe de alumnado, calificaciones, etc .... El dispositivo también contiene datos personales del director y su cónyuge.  Hasta la fecha, día 16 de octubre de 2019, no se ha tenido conocimiento de la utilización posterior de los datos personales en el soporte desaparecido. Respecto a las medidas implementadas con anterioridad a la brecha.  Han elaborado un Registro de Actividades de Tratamiento (RAT) habiendo aportado a esta Inspección de Datos el enlace a la publicación del mismo por parte de la Junta de Andalucía: ***URL.1 Se comprueba que la página referenciada contiene el RAT así como la publicación, entre otras muchas, de la actividad de tratamiento “CED-Necesidades específicas de apoyo educativo". Los representantes de la Consejería de Educación y Deporte de la Junta de Andalucía entienden que, conforme a la información facilitada por el director del centro, los datos afectados que motivaron la notificación de la brecha de seguridad estarían comprendidos en la actividad de tratamiento "Necesidades específicas de apoyo educativo". Este tratamiento se debe realizar a través del Sistema de Información Séneca que da soporte a la gestión académica de los centros educativos, regulado por el Decreto 285/2010, de ll de mayo, por el que se regula el Sistema de Información Séneca y se establece su utilización para la gestión del sistema educativo andaluz.  Indican que el Sistema de Información Séneca ha sido auditado y cuenta con el correspondiente certificado del Sistema de Gestión de Seguridad de la Información, conforme a la norma UNE-ISO 27001:2014, cuya fecha última de emisión es 30/12/2018 y expira el 30/12/2021 (obra copia del certificado en las presentes actuaciones de inspección). Aportan copia del certificado de AENOR del Sistema de Gestión de Seguridad de la Información de la Consejería de Educación de la Junta de Andalucía.  Disponen de Análisis de Riesgos (AR) elaborado el 21/09/2018. Aportan copia del mismo que obra en las presentes actuaciones de inspección.  Como medidas de seguridad implementadas en los CEIP, relacionadas con la ocurrencia de la brecha, han declarado existir las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 o Acceso a los ordenadores con clave de seguridad. o Cierre con llave de cada dependencia del centro o Recomendación de cifrado de todos los ordenadores. o Recomendación de cifrado de soportes y conexiones USB. Indican que no existía un documento por escrito, aunque si recomendaciones de uso de conexiones USB, y recomendación de comunicaciones a través de correos electrónicos corporativos de la Junta de Andalucía. Respecto a las acciones y medidas tomadas ante la posible ocurrencia de la brecha.  Después de una búsqueda intensiva del dispositivo perdido en el centro y en la vivienda, se comunica a objetos perdidos de la Policía Local de la localidad, y siguiendo el asesoramiento de los Servicios Jurídicos de la Delegación Territorial se procede a denunciar los hechos ante la Guardia Civil el 31 de julio de 2019. Obra en las presentes actuaciones inspectoras copia de la denuncia interpuesta ante la comandancia de la Guardia Civil de Chiclana de la Frontera, de fecha 31/07/2019.  A su vez, siguiendo las instrucciones del Delegado de Protección de Datos de la Consejería de Educación, se comunica a la Agencia Española de Protección de Datos la brecha de seguridad el 1 de agosto de 2019 a las 14:00 h.  En la mañana del día 2 de agosto (entre las 11:00 h. y las 13:00

1. h)se informa a las dos familias que pueden verse especialmente afectadas, ya que se trata de datos relacionados con datos psicopedagógicos. Obra en las actuaciones de inspección copia de las comunicaciones entregadas a los padres con relación a la pérdida de un pendrive donde podrían existir datos de sus hijos, firmadas por los padres y fechadas el 02/08/2019.  Después de los hechos acaecidos se ha vuelto a recomendar al personal de centro la importancia del cifrado de los dispositivos que se usan en el centro y de los compromisos de confidencialidad de los datos. También se han trasladado al personal del centro las recomendaciones de seguridad aportadas por el delegado de protección de datos de la Consejería de Educación a todos los centros educativos de la comunidad, incidiendo en que el uso de dispositivos portables es una práctica nada recomendable por suponer un alto riesgo para los posibles afectados. Aportan copia de la comunicación remitida por el DPD de la Consejería de Educación y Deporte al Delegado Territorial con relación a recomendaciones de seguridad sobre dispositivos que puedan contener datos personales (pendrives, tablets, portátiles, etc.), indicándose así mismo la necesidad de cumplir con la normativa, y conteniendo el ruego de dar traslado de la comunicación a los centros del ámbito de esa Delegación Territorial C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una posible brecha de confidencialidad, como consecuencia del extravío de un soporte externo conteniendo datos personales de alumnos del centro. Sin embargo, no consta que se hayan efectuado tratamientos posteriores sobre el contenido del soporte extraviado ni constan denuncias en esta AEPD al respecto por los afectados. De las actuaciones de investigación se desprende que el CEIP disponía de razonables medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias y acordes con el nivel de riesgo. Asimismo, el CEIP disponía de protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación del supuesto incidente de seguridad de datos personales así como la diligente reacción ante la misma al objeto de notificar, minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la supuesta incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. En consecuencia, el CEIP disponía de forma previa de medidas técnicas y organizativas razonables, en concreto RAT, análisis de riesgos y auditorías del sistema de información, en función del nivel de riesgo para evitar este tipo de incidencia. No obstante, se recomienda la realización de un informe final sobre el incidente notificado. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada causada previsiblemente por un error puntual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 III Por lo tanto, la actuación de la CONSEJERIA DE EDUCACIÓN Y DEPORTES (CEIP "AL-ÁNDALUS") como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la JUNTA DE ANDALUCIA CONSEJERIA DE EDUCACIÓN Y DEPORTES - CEIP "AL-ÁNDALUS" con NIF S4111001F y con domicilio en C/ LA VID, NUM 7 - 11130 CHICLANA DE LA FRONTERA (CÁDIZ). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
2. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es