E-08824-2019

1/6  Procedimiento Nº: E/08824/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician con la recepción de un escrito de notificación de quiebra de seguridad de datos personales remitido por CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE DE LA COMUNIDAD VALENCIANA, con NIF S4611001A, en el que se notifica a la Agencia Española de Protección de Datos (en adelante AEPD) que, con fecha 9 de septiembre de 2019, personal de un Instituto de Educación Secundaria (IES) dependiente de la citada Conselleria, expuso en la vía pública un listado de datos personales de alumnos en edades comprendidas entre los 12 y 18 años. Adjunto a la notificación se ha aportado un Informe del Inspector de Educación, de fecha 11 de septiembre de 2019, en relación con el incidente en el IES en el que manifiesta que, en el interior del recinto del Instituto, en la cristalera de la Secretaría, estaba expuesto un listado de alumnos con datos de nombre completo y aula asignada. Este listado de alumnos estuvo expuesto durante los dos primeros días del curso, los días 9 y 10 de septiembre. El listado fue retirado a requerimiento del inspector de Educación. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la notificación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación : 12 de septiembre de 2019 ENTIDADES INVESTIGADAS CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE de la Generalitat Valenciana, con NIF S4611001A, y con domicilio en Avda. Campanar 32, 46015 VALENCIA. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

1. Con fecha 27 de septiembre de 2019 se solicita información a la Consejería de Educación, Cultura y Deportes de la Generalitat Valenciana y con fecha 22 de octubre de 2019 se recibe contestación al requerimiento en el que se adjunta Informes emitido por el director del IES y la Inspección Educativa de la Dirección Territorial, informando de lo siguiente: Respecto de la situación del IES C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6  El 30 de agosto de 2019, el Director Territorial de Educación de Alicante junto con el director del IES, la Concejala de Educación del Ayuntamiento y un arquitecto de la Unidad técnica de la Dirección Territorial constataron la imposibilidad del comienzo del curso escolar debido a las obras que se estaban realizando en el Centro.  El 2 de septiembre, se toma la decisión de aumentar la seguridad física del recinto ampliando las vallas con objeto de aislar las obras por lo que se hace necesario modificar la entrada al Centro con el fin de garantizar la seguridad de todos los usuarios y poder comenzar el curso escolar. El Centro se encuentra en ese momento rodeado de andamios y la entrada ha sido modificada y no dispone de paredes sólidas en el interior.  El 7 de septiembre se toma la decisión de hacer copias de las listas de alumnos para dar a conocer a los alumnos y familiares la distribución de las clases que darían comienzo el día 9 a las 8:00 horas. Respecto de las causas que hicieron posible la incidencia  La publicación de dos listados en el exterior del recinto se produjo con motivo de garantizar la seguridad de los alumnos y empleados del Centro, ya que cualquier otra ubicación era de difícil acceso por el alumnado.  Los listados fueron expuestos en la fachada exterior alejada de la zona de obras, vía pública de poco tránsito, el día 9 de septiembre de 2019 (primer día de clase lectivo al que acuden el total de los alumnos del Centro). Respecto de los datos afectados. Notificación.  Los listados contienen los datos personales de nombre y apellidos, grupo, asignaturas y aula de 860 alumnos.  La Consejería manifiesta que no hay constancia de la utilización de los datos por terceras personas ajenas.  La Dirección del IES no ha realizado ninguna notificación a los alumnos sobre los hechos mencionados. Respecto de las acciones tomadas para minimizar los efectos de la incidencia  Los listados fueron colocados por el equipo directivo del Centro aproximadamente 15 minutos antes de la llegada del alumnado retirándose inmediatamente después de haberse producido la entrada de los alumnos. Este proceso fue supervisado por el equipo directivo y pudieron constatar que ninguna persona ajena al Centro consultó los datos.  El Centro está ubicado fuera del caso urbano y la vivienda más cercana se encuentra a unos 90 metros de distancia. Respecto de las medidas de seguridad implantadas con anterioridad al incidente  C/ Jorge Juan, 6 28001 – Madrid La Subsecretaría de Investigación, Cultura y Deporte, mediante Resolución del 28 de junio de 2018, dictó instrucciones para el cumplimiento de la normativa de Protección de Datos en los Centros públicos titularidad de la Generalitat. En dicha Resolución figura, entre otros, el mantenimiento de Registro de Actividad del Tratamiento. www.aepd.es sedeagpd.gob.es 3/6 Asimismo, consta los apartados 3.3.
2. Publicación de beneficiarios de becas, subvenciones y ayudas y 3.3.
3. Publicación en tablones del alumnado por clases y/o actividades donde se dictan los criterios para ello.  Respecto de la publicación de otras listas: o Listas de admitidos que publica el Centro se exponen junto a la Secretaría con un formato del tipo “apellidos y nombre parcialmente anonimizado”. o Los usuarios del transporte escolar no se publican en listas ya que se entrega individualmente en mano al alumno la información del autobús que le corresponde el primer día de clase en su aula.  A los profesores se les entrega un documento incluido en la “carpeta del profesorado” donde se explican las medidas de protección de datos que deben de cumplir.  En la web del Centro, alojada en la Plataforma de la Consejería, en el apartado de profesorado, se publican los siguientes documentos: o Resolución del 28 de junio de 2018 de la Subsecretaría de Investigación, Cultura y Deporte. o Guía para Centros Educativos de la AEPD. o Informe sobre la utilización de profesores y alumnos de aplicaciones que almacenan datos en la nube con sistemas ajenos a la plataformas educativas (AEPD), FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” El artículo 33 del RGPD señala lo siguiente: “Notificación de una violación de la seguridad de los datos personales a la autoridad de control
4. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.
5. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.” En el presente caso, consta una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, como consecuencia de la publicación indebida en el exterior del IES del listado de alumnos con sus datos personales. De las actuaciones de investigación se desprende que la razón de la exposición del listado de alumnos en el exterior del recinto educativo se debió a una situación transitoria y puntual por la realización de obras en las instalaciones del IES a fin de facilitar la entrada del alumnado al centro el primer día del curso escolar. Asimismo, el citado listado estuvo vigilado en todo momento por personal del centro a fin de evitar accesos indebidos por terceros ajenos y fue retirado al día siguiente a instancia del Servicio de Inspección de Educación de la Consejería. Tampoco consta que los datos de los alumnos expuestos hayan sido objeto de tratamiento por terceros. En este contexto, consta que la Consejería de Educación, Cultura y Deporte, en calidad de responsable del tratamiento de los datos personales de los alumnos del IES disponía de razonables medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencias y acordes con el nivel de riesgo, que se vio alterado de forma sobrevenida por las obras de acondicionamiento de las instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Asimismo, también disponía de protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación del incidente de seguridad de datos personales así como la diligente reacción ante la misma al objeto de corregir, notificar, minimizar el impacto e implementar nuevas medidas razonables y oportunas para evitar que se repita en el futuro la incidencia a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas, como son el responsable del tratamiento, el IES, la Inspección Educativa de la Dirección Territorial y el Delegado de Protección de Datos de la Consejería. No constan reclamaciones ante esta Agencia de personas afectadas como consecuencia del incidente. En consecuencia, consta que la Consejería de Educación, Cultura y Deportes de la Generalitat Valenciana, en calidad de responsable del tratamiento, disponía de forma previa de medidas técnicas y organizativas razonables en función del nivel de riesgo evaluado para evitar este tipo de incidencia. No obstante, se recomienda la realización de un informe final que documente el incidente notificado. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la ahora analizada. III Por lo tanto, se ha acreditado que la actuación de la Consejería de Educación, Cultura y Deportes de la Generalitat Valenciana, en calidad de responsable del tratamiento, ha sido proporcionada y acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE de la Generalitat Valenciana, con NIF S4611001A, y con domicilio en Avda. Campanar 32, 46015 VALENCIA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es