PD-00076-2025

1/8  Expediente N.º: EXP202412695 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 30 de julio de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Acceso frente a la CONSELLERIA DE EDUCACIÓN, CULTURA, UNIVERSIDADES Y EMPLEO (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante expone que el 16/04/2024 solicitó a la entidad educativa reclamada el acceso a los datos personales de su hijo que fueran objeto de tratamiento "en relación con el uso de Google Chromebooks, incluyendo todo tratamiento de datos personales a través de software pre-instalado en este dispositivo, así como cuentas en línea que se utilizan en el contexto escolar (Google Education etc.)". Según manifiesta, en fecha 22/04/2024 recibió una contestación en la que el Colegio se limita a afirmar que "Nuestras cuentas no vulneran la Ley de Protección de datos ya que no contienen ningún tipo de información sobre el alumnado ni sobre las familias del alumnado." Entiende que la respuesta es inadecuada dado que su petición no se refería solo a la cuenta del menor, dada de alta para el uso de Chromebook, sino a todos los datos personales del menor tratados a partir del uso del citado dispositivo electrónico, lo que puso de manifiesto al centro, en aras de obtener una contestación más detallada, sin haber obtenido nueva contestación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 30 de octubre de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones: “…PRIMERA. - La Conselleria de Educación, Cultura, Universidades y Empleo ha diseñado e implementado las medidas técnicas y organizativas necesarias a efectos de que los centros educativos dispongan de las herramientas hardware y software seguras para llevar a cabo la función docente, conforme a sus responsabilidades proactivas derivadas del artículo 32 del RGPD y resto de obligaciones en materia de protección de datos y seguridad de la información. Dichas medidas se encuentran en permanente revisión y actualización como se puede comprobar en las resoluciones en esta materia publicadas en la página web https://ceice.gva.es/es/delegatic [y en las referencias normativas del informe emitido por la Dirección General de Infraestructuras Educativas]. SEGUNDA.- No obstante todas estas medidas, en el presente caso, esta Subsecretaria es del parecer que, aunque no consta que se hayan tratado datos especialmente sensibles del alumnado ni se conocen consecuencias negativas para el menor y su familia de una posible mala praxis, sí que se han incumplido de forma palmaria la normativa de ámbito autonómico y las instrucciones de obligado cumplimiento en materia de seguridad de la información y protección de datos, haciendo inútiles en gran medida los esfuerzos de la Generalitat para reforzar la innovación tecnológica en materia educativa, ya que únicamente se permite desde la Conselleria la utilización de servicios y aplicaciones desarrolladas por la misma o de aquellas externas que se han considerado útiles y adecuadas desde el punto de vista educativo y que han sido verificadas desde el ámbito de seguridad de la información y de protección de datos, con la suscripción de los correspondientes encargos de tratamiento. Asimismo, la utilización de equipos no suministrados por la Conselleria, con el agravante de que su adquisición ha tenido que ser costeada por las familias del alumnado, conlleva un riesgo adicional para la seguridad de los datos, además de un incumplimiento de la prohibición de conectar a las redes de la Generalitat dispositivos externos sin que medie una previa autorización. TERCERA.- Dado que de la actuación del centro se entremezclan cuestiones con relevancia en materia de protección de datos, de seguridad de la información y de estricta inobservancia de normativa e instrucciones dictadas en el ámbito de la Generalitat Valenciana, procede dar traslado de los informes recabados, así como de la comunicación que haga la DPD a la Agencia Española de Protección de Datos, tanto a la Inspección General de Educación como a la propia Secretaría Autonómica de Educación, para que adopten aquellas medidas generales necesarias en el ámbito formativo del personal y en el de información a los centros que puedan estimarse convenientes y adecuadas para evitar que en el futuro se vuelvan a producir actuaciones similares por parte de centros educativos titularidad de la Generalitat Valenciana. CUARTA.- Resultaría asimismo necesaria, de forma específica, la impartición de formación especializada en materia de protección de datos y seguridad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 la información al personal del centro CEIP B.B.B., cuestión que debería ser estudiada y acordada, sin mayor dilación, por parte de la Secretaría Autonómica de Educación, sin perjuicio de la realización de las actuaciones necesarias con el fin de conocer las circunstancias y responsabilidades del caso concreto y determinar la conveniencia o no de iniciar el procedimiento o los procedimientos que correspondan.»…” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, sin que se haya recibido respuesta por su parte. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 30 de octubre de 2024, a los efectos previstos en sus artículos 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión Comenzaremos diciendo que esta reclamación solo tendrá en cuenta si el derecho solicitado, derecho de acceso, ha sido atendido o no. El resto de las cuestiones que puedan ser planteadas por las partes, no serán tenidas en cuenta en esta resolución, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 pero esta Agencia se reserva el derecho de abrir una investigación si lo considera oportuno. Durante la tramitación del presente procedimiento, la entidad reclamada ha contestado a esta Agencia, pero no acredita haber atendido lo solicitado por la parte reclamante, remitiéndole la preceptiva respuesta a su solicitud. No se puede dar como valida la respuesta dada por el CEIP B.B.B. a la parte reclamante: "Nuestras cuentas no vulneran la Ley de Protección de datos ya que no contienen ningún tipo de información sobre el alumnado ni sobre las familias del alumnado." En primer lugar, el artículo 4 del RGPD define los datos de carácter personal como cualquier información relacionada con una persona física identificada o identificable. Por lo tanto, toda información recabada por el centro para introducir en los sistemas que identifican a una persona será considerada un dato de carácter personal. El artículo 28 del RGPD, que trata sobre la relación entre el responsable y el encargado del tratamiento de datos, señala que el tratamiento por parte del encargado debe estar regulado por un contrato que especifique, entre otras cuestiones, las instrucciones del responsable al encargado del tratamiento, las medidas técnicas y organizativas aplicadas para asegurar la protección de los datos de las personas físicas que trata el responsable del tratamiento, así como los derechos y obligaciones del encargado del tratamiento respecto del responsable. Los centros educativos deben actuar no solo como responsables del tratamiento de datos, garantizando que se cumplan todas las obligaciones del RGPD, aun cuando actúen a través de un encargado del tratamiento, razón por la que deben realizar una rigurosa evaluación de las capacidades de los encargados del tratamiento y elegirán únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas adecuadas, de manera que el tratamiento sea conforme con los requisitos del RGPD y garantice la protección de los derechos del interesado. Asimismo, el artículo 28 del RGPD establece que el encargado del tratamiento asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que éste pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III del RGPD. Por lo tanto, la parte reclamada como encargada del tratamiento está obligada a facilitar a la parte reclamante los datos personales de su hijo que son objeto de tratamiento en relación con el uso del Chromebook, así como sobre las cuentas en línea que se utilizan en el contexto escolar, y todos los datos personales del menor tratados a partir del uso del citado dispositivo, etc. Así, no cabe aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión, sino que deberá darse respuesta al propio reclamado. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a la CONSELLERIA DE EDUCACIÓN, CULTURA, UNIVERSIDADES Y EMPLEO con NIF S4611001A, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la CONSELLERIA DE EDUCACIÓN, CULTURA, UNIVERSIDADES Y EMPLEO. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 1381-090823 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es