1/5 Procedimiento Nº: E/10680/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de los datos personales remitido por centro educativo de titularidad privada/concertado Colegio Mater Puríssima Madrid, en el que informan a la Agencia Española de Protección de Datos de que, con fecha 28 de octubre de 2019, han detectado el extravío de una Agenda en formato “papel” con las contraseñas de acceso a la web www.socioescuela.es para la detección de conductas tipo bullying. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la notificación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad: 30 de octubre de
- ENTIDADES INVESTIGADAS Colegio Mater Purissima Madrid, con NIF R2802437J y con domicilio en c/ Madre Cándida María de Jesús 4, 28026 Madrid, de titularidad privada/concertada. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 19 de noviembre de 2019 se solicitó información a Colegio Mater Purissima Madrid, y de la contestación se desprende lo siguiente: Respecto del Colegio. El Colegio Mater Purissima Madrid pertenece a la Fundación Educativa Jesuitinas, de titularidad privada/concertado, y dispone de Delegado de Protección de Datos al que se puede contactar en la dirección dpo@jesuitinas.es. Respecto de la cronología de los hechos. El 29 de octubre de 2019, un profesor del Colegio comunicó el extravío de su agenda personal, en soporte papel, estimando que fue sustraída alrededor de las 21:00 horas del día anterior. En dicha agenda, además de otra información, figuraba las claves de acceso a la plataforma web www.socioescuela.es, cuya finalidad en el control de conductas tipo bullying entre los alumnos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Respecto de la Plataforma www.socioescuela.es El Colegio manifiesta que la Plataforma www.socioescuela.es la facilita la Comunidad de Madrid en el marco de desarrollo de sus proyectos dirigidos a mejorar la convivencia y erradicar el acoso escolar. La Plataforma permite la realización de test de detección de acoso escolar en los Centros y se tratan los datos del Centro Escolar, nombre del alumno y en algunos casos inicial del primer apellido. A este respecto, el Colegio ha aportado copia de la Comunicación de la Comunidad de Madrid de fecha 16/04/2016, para el uso del test online de www.socioescuela.es para la detección de posibles casos de violencia en las aulas. El Colegio ha aportado copia de las condiciones de uso de la web www.socioescuela.es, en la que se indica que el usuario está obligado a custodiar con la debida diligencia la clave de acceso, así como mantenerla en la más estricta confidencialidad. Las claves de acceso son proporcionadas por la Comunidad de Madrid al Colegio. La web www.socioescuela.es pertenece a la entidad Socioescuela Informática, S.L., responsable del fichero donde se recogen los datos recabados en la web. En su “Política de Privacidad” figura que tiene como finalidad el mantenimiento de la relación comercial y el desempeño de tareas de información, formación, asesoramiento y otras actividades propias de Socioescuela Informática, S.L. Respecto de las causas que hicieron posible la brecha El Colegio manifiesta que todos sus empleados firman un compromiso de confidencialidad y que dada la naturaleza del puesto de trabajo del profesor era necesario el tratamiento de la información fuera del entorno escolar. No obstante, consideran que ha sido una falta de diligencia del docente en relación con la custodia de la contraseña de acceso a la web www.socioescuela.es Medidas de minimización del impacto de la brecha El Colegio manifiesta que el propio 29 de octubre se solicitó con carácter inmediato el cambio de contraseñas de acceso a la web www.socioescuela.es . Se procedió a registrar la incidencia a efectos de seguimiento en la Plataforma interna de protección de datos de la Fundación (el Colegio Mater Purissima Madrid pertenece a la Fundación Educativa Jesuitinas). Respecto de los datos afectados. Aproximadamente han podido ser afectados los datos de 1.200 alumnos. Los datos a los que se podía acceder en la web de www.socioescuela.es corresponden a nombre y, en algunos casos, inicial del primer apellido. El resto de los datos son estadísticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 En la agenda extraviada también constaban, además, un listado de nombre de alumnos sin referencia al curso escolar. El Colegio manifiesta que no se han detectado accesos indebidos tras la incidencia Tras valorar la incidencia decidieron que no era necesaria la comunicación a los alumnos ya que han considerado que la incidencia no entraña alto riesgos para los derechos y libertades de los posibles afectados. El Colegio manifiesta que no tienen constancia de que los datos que figuraban en la agenda hayan sido publicados y tampoco indexados por buscadores en Internet. Respecto de las acciones tomadas para la resolución final de la brecha El Colegio manifiesta que han reforzado las medidas relativas a la custodia de contraseña incluyendo una prohibición expresa de anotación de credenciales de acceso que provoquen riesgo de extravío o conocimiento de las mismas por terceros. Respecto de las medidas de seguridad implantadas con anterioridad la brecha El Colegio ha aportado la siguiente documentación: o Documento de medidas de seguridad en el tratamiento de datos personales en FEJ-Colegio Mater Purissima Madrid conforme al Reglamento EU 679/
- En el apartado 5 figuran las Medidas específicas para ficheros y tratamientos no automatizados y en el punto 5.5 consta: “Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada”. En el apartado 6.3.
- Gestión de contraseñas- Privacidad figura: “Las contraseñas deben ser conocidas exclusivamente por el usuario propietario de la misma y tratadas como información personal e intransferible. Es responsabilidad del usuario asegurar la confidencialidad y custodia de la contraseña”. o Copia del Análisis de Riesgos elaborado en el cual se concluye que el Colegio no está expuesto a riesgos relevantes que motiven la necesidad de realizar una EIPD ya que las medidas de seguridad Técnicas y Organizativas implantadas son adecuadas. o Procedimiento de Fundación Educativa Jesuitinas para la notificación de violaciones de seguridad de los datos personales, de fecha 18 de enero de
- o C/ Jorge Juan, 6 28001 – Madrid Registro de Actividades de Tratamiento www.aepd.es sedeagpd.gob.es 4/5 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, consta que con anterioridad a la brecha de seguridad se tenían implantadas medidas de seguridad razonables en función de los posibles riesgos estimados. Así, respecto de las contraseñas de acceso a las aplicaciones corporativas, si bien existían, se encontraban anotadas en formato papel en la agenda personal extraviada. Consta, asimismo, que se notificó la pérdida de la agenda personal al centro procediendo a renovar la contraseña de acceso a la plataforma www.socioescuela.es. No obstante, si bien no consta acreditado la posibilidad de acceder a través de la citada web a personas identificadas, estas si pueden ser identificables mediante el nombre e inicial del apellido en el contexto del centro, por lo que constituyen datos personales conforme señala el artículo 4.1 del RGPD. Se debe señalar, que la brecha de seguridad de datos personales se notifica a la AEPD como consecuencia del extravío de la clave de acceso en formato papel de la citada web, sin que conste acreditado que se haya producido el acceso indebido a dicha web por terceros. Además, el Colegio manifiesta que no tienen constancia de que los datos que figuraban en la agenda hayan sido publicados y tampoco indexados por buscadores en Internet. En consecuencia, acaecido el riesgo de la pérdida de las claves de acceso a la web, el Colegio ha reforzado las medidas relativas a la custodia de contraseñas incluyendo una prohibición expresa de anotación de credenciales de acceso que provoquen riesgo de extravío o conocimiento de las mismas por terceros, tal y como figura en el documento de medidas de seguridad en el tratamiento de datos personales en FEJColegio Mater Purissima Madrid conforme al Reglamento EU 679/2016, apartado 5 arriba transcrito. No consta hasta la fecha que los datos personales contenidos en el soporte hayan sido objeto de tratamiento posterior por terceros ajenos, ni constan reclamaciones ente la AEPD por los afectados. Por último, se recomienda elaborar un Informe final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 III Por lo tanto, la actuación tanto del Colegio Mater Puríssima Madrid como responsable del tratamiento, ha sido proporcional con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a: Colegio Mater Purissima Madrid, con NIF R2802437J y con domicilio en c/ Madre Cándida María de Jesús 4, 28026 Madrid. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es