← España

PS-00024-2019

1/18 Procedimiento Nº: PS/00024/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de septiembre de 2018 Dña. A.A.A. (en adelante, la reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos contra el Centro Educativo ESCUELA EDUCACION INFANTIL DE MILLADOIRO (AMES), (en lo sucesivo, Centro Escolar o EEI), con motivo de la exposición del listado definitivo de alumnos admitidos para el curso 2018/2019, de fecha 14 de mayo de 2018, en la fachada principal y acristalada del centro, de modo que resulta accesible desde el exterior a cualquier viandante o vecino. Añadía la reclamante que dicho listado también se publica en la página web del mencionado Centro. El reseñado listado, del que la reclamante ha aportado una copia, contiene detalle del número de orden, nombres, apellidos y puntuación de un total de 100 alumnos admitidos para dicho curso escolar en el mencionado Centro, dependiente de la CONSEJERÍA DE EDUCACIÓN, UNIVERSIDAD Y FORMACIÓN PROFESIONAL DE LA JUNTA DE GALICIA, (en adelante, la Consejería o el reclamado). También expone la reclamante que el centro escolar hizo entrega a todas las familias de la clase de su hija menor de una lista con los datos identificativos de los alumnos integrantes del grupo, cuya copia adjunta. SEGUNDO: Con fecha 11 de octubre de 2018, de conformidad con el artículo 9.4 del Real Decreto-Ley 5/2018, se dio traslado de la reclamación presentada por la reclamante al citado Centro escolar para que en el plazo de un mes procediese a informar a esta Agencia sobre las causas que habían motivado los hechos expuestos en la reclamación e informase las medidas adoptadas para evitar que se produjeran incidencias similares. En respuesta a dicho requerimiento de información, con fecha 28 de noviembre de 2018, se registra de entrada en esta Agencia escrito del reclamado indicando en lo que respecta a la exposición del listado de admitidos lo que sigue: “Que el proceso de admisión de alumnado en centros públicos es un proceso de concurrencia competitiva, en dichos procedimientos de concurrencia competitiva debe regir la más absoluta transparencia de forma que los lisados de alumnado admitido siempre se hacen públicos. Debe señalarse además que la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones públicas prevé en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 artículo 45 a posibilidad de sustituir la notificación individualizada por la publicación en determinados procedimientos. En concreto incluye en dicha previsión a los “actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.” Al tratarse pues de un procedimiento de concurrencia competitiva existe una habilitación legal para proceder a la publicación de dichos listados de personas admitidas, habilitación legal que se ha concretado en la Orden de 12 de marzo de 2013 por la que se desarrolla el procedimiento para la admisión del alumnado en centros docentes sostenidos con fondos públicos que impartan enseñanzas de 2º ciclo de educación infantil, de educación primaria, de educación secundaria obligatoria y de bachillerato reguladas en la Ley Orgánica 2/2006, de 3 de mayo, de educación (DOG 15/03/2013), recientemente modificada por la Orden de 25 de enero de 2017 por la que se modifica la Orden de 12 de marzo de 2013 (…) (DOG 01/02/2017). El artículo 30 de la de 12 de marzo de 2013 (…) establece lo siguiente: “Artículo 30. Publicación de la lista provisional de personas admitidas y no admitidas y reclamaciones 1. A la vista de las solicitudes de admisión presentadas, y una vez determinada la puntuación resultante de aplicar los criterios de baremo, en su caso, el centro publicará en su talón de anuncios y en su página web la relación nominal de todo el alumnado admitido y no admitido por curso, por orden de la puntuación total obtenida.” Asimismo, su artículo 31 establece que: “2. La dirección de los centros públicos y la titularidad de los centros privados concertados publicarán en su tablón de anuncios y en su página web, antes del 15 de mayo de cada año, las listas definitivas de personas admitidas y no admitidas (…)” Por lo tanto, como primera premisa debe señalarse que la publicación tanto en la página web del centro como en el tablón de anuncios está expresamente habilitada por la normativa vigente. Debe tenerse en cuenta además que la disposición adicional tercera de dicha Orden de 12 de marzo de 2013, en su redacción dada por la Orden de 25 de enero de 2017, establece lo siguiente: << De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, los datos personales recogidos en la tramitación de este procedimiento cuyo tratamiento y publicación autoricen las personas interesadas mediante la presentación de las solicitudes serán incluidos en un fichero denominado <<“Relaciones administrativas con la ciudadanía y entidades>> con el objeto de gestionar el presente procedimiento, así como para informar a las personas interesadas sobre su tramitación . El órgano responsable de este fichero es la Consellería de Cultura, Educación y Ordenación Universitaria de la Xunta de Galicia. (…)>> Resulta de especial relevancia que la propia orden reguladora del procedimiento señala que el tratamiento y publicación de los datos personales son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 autorizados por las propias personas interesadas mediante la presentación de la solicitud. Estamos por lo tanto ante un supuesto de consentimiento de los afectados para el tratamiento y publicación de dichos datos personales, que se manifiesta con la presentación de la solicitud, por lo que la reclamante, al firmar y presentar su solicitud, consintió dicha publicación. La reclamante también manifiesta su disconformidad con el hecho de que la publicación en el tablón se realice en la cristalera del centro educativo, a este respecto debe señalarse que consultada la situación, el centro no dispone de un tablón de anuncios como tal, sino que se emplean las cristaleras de la escuela para transmitir información a las familias en las que se fija la información del centro, de la ANPA (actividades extraescolares, etc) y delas actividades didácticas y pedagógicas del Ayuntamiento de Ames. Durante el periodo de admisión, y puesto que se debe publicar mucha documentación (instrucción de la consellería, datos del centro, listados provisionales, listados definitivos, etc.) se emplea la cristalera que está al frente de la escuela, pues es más amplia y permite un visionado correcto de toda la documentación. Debe señalarse que como ya se ha indicado la orden que regula el procedimiento de admisión prevé la publicación no sólo en el tablón de anuncios del centro, sino también en su página web, incluyendo por lo tanto un medio de publicación alternativo que implica una publicidad mucho mayor que el tablón de anuncios del centro. Por lo tanto, no se puede aducir por la reclamante que desconocía que la información que se publicaría sería accesible a personas ajenas al centro educativo, ya que la propia convocatoria señalaba que se publicarían los listados en el tablón de anuncios y en la página web, previsión que hace irrelevante el hecho de que el tablón de anuncios sea accesible desde la calle, pues la página web del centro es accesible por cualquier persona desde cualquier ordenador del mundo. En tercer lugar alega la reclamante que el centro hace entrega de una lista con los integrantes del grupo escolar que le corresponde a la menor a todas las familias de la clase. Con respecto a este punto, debe señalarse que la entrega de dicha lista responde según indica el propio centro educativa a que durante el período de adaptación (con una duración de 10 días) se realizan agrupamientos flexibles de tal manera que se vaya combinando el alumnado en cada sesión y la hora de asistencia. (…) Por lo tanto, quiere con ello explicarse que la elaboración de dichos listados y su entrega no responde a una arbitrariedad del centro, sino a la voluntad de prestar un mejor servicio que facilite el periodo de adaptación a las familias. No obstante, de cara a futuros inicios de cursos escolares, desde la Secretaría General Técnica se ha comunicado al centro que para continuar utilizando este sistema deberán recabar autorización de los representantes legales del alumnado para la distribución del listado a las demás familias del aula. En caso de no disponer de la oportuna autorización deberá implantarse un sistema distinto que no conlleve dicha entrega.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 TERCERO: Con fecha 2 de diciembre de 2018 la reclamante presenta ampliación de la reclamación adjuntando la siguiente documentación: Impresión de un documento, de fecha 30 de noviembre de 2018, a la atención del Secretario General Técnico de la Consejería, en uno de cuyos apartados se indica que ”Ante la elección de los miembros del Consejo Escolar, En el centro educativo publican en la cristalera y hacia afuera la lista de padres de familia que conforman la comunidad educativa asociando a cada nombre y apellidos su DNI completo sin pixelar parte de él”. La reclamante no acredita el origen, autoría ni naturaleza de dicho documento. Captura parcial de una hoja del listado “Censo de Responsables” del EEI do Milladoiro, Año Académico 2018/2019, que contiene los nombres, apellidos y DNIs de los responsables detallados en los números 288 al 311 del Censo. Este documento no prueba, por sí mismo, el lugar exacto de colocación de dicho listado. Dos fotografías en las que se muestra una cristalera con documentación expuesta, pero que no permiten conocer el contenido ni naturaleza de los documentos expuestos en dicha cristalera. En cuanto a la falta de pixelación del DNI contenido en el “Censo de Responsables” supuestamente difundido en la mencionada cristalera, señalar que en la fecha de presentación de la ampliación de la reclamación, posterior necesariamente a la fecha de emisión del citado censo, no se encontraba en vigor la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y, por lo tanto, no era de aplicación la Disposición adicional séptima contenida en dicha norma, relativa a la “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos”, cuyo apartado 1 dispone: “1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente.” CUARTO: Con fecha 10 de mayo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, de conformidad con lo previsto en el artículo 58.2 del RGPD, por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5.
  2. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 En dicho acuerdo se señalaba “Que, de confirmarse la existencia de las infracciones descritas, a los efectos previstos en el artículo 58.2 del RGPD las medidas correctivas que podrían imponerse a la CONSEJERIA DE EDUCACIÓN, UNIVERSIDAD Y FORMACIÓN PROFESIONAL DE LA JUNTA DE GALICIA, en la resolución, consistirían, a la vista de los elementos de juicio disponibles en este momento, en ORDENARLE la adopción de medidas técnicas y organizativas adecuadas para garantizar el principio de confidencialidad en orden a evitar que terceros no interesados accedan a la información de carácter personal obrante en actos administrativos referidos, tanto a quienes participan en procedimientos selectivos o de concurrencia competitiva que deban ser objeto de notificación mediante su publicación en tablones de anuncios o páginas web, como a los datos de carácter personal concernientes a los interesados cuya identificación deba figurar en actos administrativos a publicar en la forma señalada, evitando, en cualquier caso, que esos datos resulten accesibles en forma indiscriminada desde la vía pública o en abierto desde los sitios web, amén de que los datos publicados respondan al principio de minimización de datos respecto de los fines para los que son tratados. Dichas medidas se habrían de adoptar, en su caso, en el plazo que se señale computado desde la fecha en la que se le notifique la resolución sancionadora, debiendo aportarse los medios de prueba acreditativos de su cumplimiento.” QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, se ratificaba en las manifestaciones efectuadas en el escrito de contestación al requerimiento de información efectuado junto con el traslado de la reclamación. -En cuanto a la publicación de los listados de alumnos admitidos en la página web del Centro Escolar y en la fachada acristalada del mismo, visibles desde el exterior, se reitera que el proceso de admisión de alumnado en centros públicos constituye un procedimiento de concurrencia competitiva, regido por el principio de transparencia, publicándose dichos listados amparo de lo previsto en el artículo 45 de la LPACAP y conforme a lo concretado en la Orden de 12 de marzo de 2013. Aduce que dicha publicación se ampara en dos bases legitimadoras contempladas en el RGPD y la LOPDGDD. La primera base legitimadora responde a lo previsto en el artículo 6.1.
  3. e)del RGPD, al existir una norma que habilita expresamente a la administración para realizar dicha publicación. A este respecto, se señala que el proceso de escolarización responde al cumplimiento de una misión de interés público atribuida a la administración educativa por la Ley Orgánica 2/2006, de 3 de mayo, de educación. Con respecto al modo concreto de notificación de la resolución de dicho proceso, el artículo 45.1.
  4. b)de la LPACAP establece la obligación legal para la administración responsable del tratamiento de sustituir la notificación individualizada de la resolución por la publicación en los procedimientos selectivos o de concurrencia competitiva. Además, los artículos 30 y 31 de la Orden de 12 de marzo de 2013, cuya transcripción aparece en el Antecedente segundo anterior, habilitan expresamente la publicación de las listas de las personas admitidas y no admitidas en la página web del centro y en el tablón de anuncios. La segunda base legitimadora, responde a lo previsto en el artículo 6.1.
  5. a)del RGPD, en tanto que con arreglo a lo dispuesto en la disposición adicional tercera de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 mencionada Orden de 12 de marzo mediaría el consentimiento del afectado para el tratamiento y publicación de los datos personales recogidos en la tramitación de este procedimiento al haberlo autorizado “las personas interesadas mediante la presentación de las solicitudes”. Por lo que al firmar y presentar las solicitudes de admisión correspondientes a sus hijas, cuya copia aporta el reclamado, la reclamante consintió dicha publicación. -En cuanto a la disconformidad de la reclamante con el hecho de que la publicación en el tablón se realice en la cristalera del centro educativo, la Consejería reitera lo expresado en relación con que “el centro no dispone de un tablón de anuncios como tal, empleando las cristaleras que están al frente de la escuela para transmitir diversa información a las familias” y publicar la documentación referida al período de admisión, dado que por su amplitud permite un visionado correcto de toda la documentación. - La publicación de los listados del censo resulta necesaria para el procedimiento de celebración de las elecciones al Consejo Escolar, estableciéndose en el artículo 44 del Decreto 92/1988, por el que se regulan los órganos de gobierno de los centros públicos docentes, que “El censo electoral deberá exponerse en el tablón de anuncios del centro con diez días, al menos, de antelación a la fecha fijada para el acto electoral, para la comprobación y posible reclamación por parte de los padres y tutores legales de los alumnos”. Se señala que el objetivo de publicar los listados en la cristalera de forma que sean accesibles desde el exterior responde a un intento de facilitar la consulta del censo a los progenitores, ya que de esta forma pueden consultarlo incluso en momentos en que la escuela se encuentre cerrada. - Comunican la adopción de medidas tendentes a dar cumplimiento a lo previsto en la Disposición adicional séptima de la LOPDGDD y a publicar los listados del electoral en el tablón interno del Centro Escolar. SEXTO: Con fecha 15 de noviembre de 2019 se formuló propuesta de resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se impusiera al reclamado, de conformidad con lo previsto en el artículo 58.2.
  6. b)del RGPD, una sanción de apercibimiento por una infracción del artículo 5.1.
  7. f)del RGPD, tipificada en el artículo 83.5.
  8. a)del RGPD. Asimismo, se proponía que, de no haberse acreditado la subsanación de la situación irregular descrita con anterioridad a la emisión de la resolución que procediese acordar, la Directora de la Agencia Española de Protección de Datos ordenase al reclamado, de conformidad con lo previsto en el artículo 58.2.
  9. d)del RGPD, “la adopción de medidas técnicas y organizativas adecuadas para garantizar el principio de confidencialidad, que en lo que se refiere al Centro Escolar estudiado tenderán a impedir la publicación de actos administrativos que contengan datos personales en la fachada acristalada , y hacia el exterior, del Centro Escolar que nos ocupa. En general, dichas medidas se extenderán a evitar que la información de carácter personal contenida en ese tipo de actos administrativos objeto de publicación en los medios establecidos a tales efectos no resulten visibles y/o accesibles desde el exterior de los centros escolares, debiendo también implementarse mecanismos que garanticen que el acceso al contenido de esos actos administrativos publicados en la página web de los Centros Escolares se restrinja a las personas interesadas en los procedimientos (participantes).” . Igualmente, se indicaba que tales medidas correctoras de habrían de adoptar, en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 caso, en el plazo de un mes computado desde el día siguiente a la fecha en la que se notificase la resolución sancionadora, debiendo aportarse los medios de prueba acreditativos de su cumplimiento en idéntico plazo. SÉPTIMO: Notificada la citada propuesta de resolución, el reclamado presentó escrito de alegaciones manifestando su discrepancia frente a la vulneración que se le imputaba, en base a los siguientes argumentos: - Conforme a lo mantenido en la propuesta de resolución, cualquier publicación realizada por una administración pública al amparo de la LPACAP o con arreglo a lo previsto en el artículo 20 de la Ley 38/2003, de 17 de noviembre, General de Subvenciones, “resultaría contraria al principio de confidencialidad, ya que se está categorizando como de exposición “indiscriminada” una publicación que no sólo cuenta con una base legitimadora no controvertida, sino que además en sus elementos formales es acorde con lo dispuesto en la LOPDGDD.” . Reitera que la admisión de alumnado en centros públicos es un procedimiento de concurrencia competitiva en el que resulta obligado sustituir la notificación individualizada por la publicación en aplicación de una norma con rango de ley (artículo 45 de la LPACAP). -Partiendo de que la disposición adicional séptima de la LOPDGDD incluye las cautelas concretas que resultan de aplicación en las publicaciones de las administraciones, se afirma que “a sensu contrario” cabe entender que “en los demás aspectos relativos a la publicación, no se establece ningún otro tipo de cautela legalmente necesaria, como evitar la publicación en abierto mediante el acceso con clave y contraseña que sugiere la AEPD, sino, como se ha señalado, se dispone la forma correcta de materializar la publicación obligatoria del acto administrativo, que es respetuosa, al mismo tiempo, con los límites normativos referidos a la protección de datos personales.”. Añade que dichas cautelas están concebidas, entre otros, para los casos en que la publicación ha de surtir efectos de notificación, principalmente, a través de boletines oficiales que a la fecha de entrada en vigor de la LOPDGDD tenían, en su mayoría, carácter electrónico, posibilitando de este modo la máxima difusión o publicidad entre la ciudadanía de los actos publicados a través del acceso libre en Internet. Al hilo de lo cual, el reclamado aduce que “nada impide que la conformidad a derecho y la validez jurídica de los actos administrativos que siguen las pautas definidas en la disposición adicional séptima de la LOPDGDD y se publiquen en boletines oficiales electrónicos se extienda aquellos cuya publicidad se realice a través de otros sitios electrónicos o webs que se habiliten a tal fin a través de las convocatorias respectivas. Y si la publicación en esos términos está ajustada a derecho cuando se realiza a través de medios electrónicos de acceso libre, con igual motivo lo estará cuando se realice en formato papel.” - La accesibilidad de la información por un número indeterminado de personas físicas es consustancial a la publicación de los actos administrativos obligada por el artículo 45 de la LPACAP. - En el caso analizado se considera que las medidas técnicas y organizativas adoptadas han sido las adecuadas, en tanto que la publicación ha afectado a los datos identificativos mínimos, imprescindibles y adecuados para alcanzar, a través del procedimiento administrativo promovido, la finalidad prevista en la normativa educativa. Señala que no se identifica obligación legal para adoptar medidas tendentes a que los listados provisionales y definitivos de alumnos admitidos y no admitidos se publiquen únicamente en el tablón interno del centro escolar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 La Consejería considera que prima el interés público en la eficacia de la notificación a través de la publicación y en la garantía del ejercicio del derecho de defensa de intereses legítimos, directamente o a través de asociaciones protectoras de intereses colectivos que puedan personarse a posteriori, frente a los derechos de las personas implicadas, cuya privacidad se ve afectada en niveles de rango mínimo. - Inexistencia de infracción por parte de la Consejería al haberse efectuado la publicación en la forma legalmente prevista. Mantiene que teniendo en cuenta las indicaciones contenidas en la LOPDGDD en cuanto a la forma de publicar actos administrativos, la posibilidad apuntada de acceder con clave y contraseña constituye una mera sugerencia de la AEPD, por lo que su inobservancia no constituiría un incumplimiento de obligación legal alguna aplicable al supuesto analizado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero: Con fecha 12 de septiembre de 2018 la reclamante interpuso reclamación ante la Agencia Española de Protección de Datos contra el Centro Educativo ESCUELA EDUCACION INFANTIL DE MILLADOIRO (en lo sucesivo, Centro Escolar o EEIM), con motivo de la publicación de los listados definitivos de alumnos admitidos, para el curso 2018/2019, en la fachada principal y acristalada del Centro Escolar, de modo que resultaban visibles desde el exterior del Centro para cualquier persona que transitase por ese lugar. La reclamante añadía que los citados listados también se publicaban a través de la página web del Centro Escolar. Segundo: Consta que el listado definitivo de alumnos admitidos de 4º de Educación infantil (jornada continua), curso 2018/2019 de la EEIM, relaciona, por orden de puntuación, los nombres y apellidos de los 100 alumnos admitidos para ese curso en ese Centro Escolar, dependiente de la Consejería de Educación, Universidad y Formación Profesional de la Junta de Galicia, (en adelante, la Consejería o el reclamado). Tercero: Con fecha 12 de septiembre de 2018 la reclamante amplió su reclamación extendiéndola a la publicación en la fachada principal y acristalada del Centro Escolar, también hacia afuera, del listado del censo necesario para el procedimiento de celebración de las elecciones al Consejo Escolar. Cuarto: El “Censo de Responsables” del “Año académico: 2018/2019” publicado en la cristalera de la fachada de la EEIM contiene el nombre, apellidos y DNI completo de los padres y tutores de los alumnos. Quinto: La Consejería ha reconocido en los escritos presentados en esta Agencia el uso de dichas cristaleras para publicar los listados provisionales y listados definitivos de alumnos admitidos en los siguientes términos: “Durante el período de admisión, y puesto que debe publicar mucha documentación (instrucción de la Consejería, datos del centro, listados provisionales, listados definitivos, etc.) se emplea la cristalera que está al frente de la escuela, pues es más amplia y permite un visionado correcto de toda la documentación”. Sexto: La Consejería ha manifestado que el objetivo de publicar los listados del censo electoral “en la cristalera de forma que sean accesibles desde exterior responde a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 intento de facilitar la consulta del censo a los progenitores, ya que de esta forma pueden consultarlo incluso en momentos en que la escuela se encuentre cerrada.” FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1 y 2, 57.1 y 58.2 del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), reconocen a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1, 77.1.
  10. c)y 2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los artículos 1 y 2.1 del RGPD disponen lo siguiente: “Artículo 1. Objeto 1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Artículo 2. Ámbito de aplicación material 1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.” A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7)<<responsable del tratamiento>>” o <<responsable>>”:la persona física o jurídica, autoridad pública, servicio u otro organismo que, sólo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los estados miembros;” De conformidad con las definiciones recogidas en los reseñados apartados 1, 2 y 7) del artículo 4 del RGPD, la difusión en la fachada acristalada, hacia el exterior, y en la página web del Centro educativo EEIM de los datos identificativos (nombre y apellidos) contenidos en los listados provisionales y definitivos de alumnos admitidos y no admitidos para el curso escolar 2018/2019, así como la exposición en la reseñada fachada acristalada del censo electoral (censo de responsables) del año académico 2018/2019 con los datos identificativos(nombre, apellidos y DNI completo) de los padres y tutores legales de los alumnos con motivo de la elección de los miembros del Consejo Escolar del Centro, constituye un tratamiento de datos personales por parte del reclamado, en su condición de responsable de dicho tratamiento. III Se imputa al reclamado la comisión de una infracción al principio de confidencialidad recogido en el artículo 5.1.
  11. f)del RGPD, que bajo la rúbrica “Principios relativos al tratamiento”, establece que: “1. Los datos personales serán: (…) “
  12. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>)” Por su parte el apartado 2 del citado artículo 5 del RGPD establece que: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)”, precepto éste que ha de ponerse en relación con lo previsto en el artículo 32.2 del mismo Reglamento, que en cuanto a la “Seguridad del tratamiento, establece que: ”Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. A su vez, el artículo 5 de la LOPDGDD, en cuanto a los “Principios de protección de Datos”, establece: “Artículo 5. Deber de confidencialidad. 1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  13. f)del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” IV En el presente caso, del conjunto de elementos de juicio disponibles en el procedimiento, en particular de la documentación aportada por la reclamante y de las manifestaciones efectuadas por el reclamado en los escritos de alegaciones presentados durante la tramitación del mismo, se estima que la exposición en la cristalera de la fachada exterior del centro escolar, en lugar de en el tablón de anuncios del interior del recinto escolar, de los datos identificativos contenidos no sólo en los listados provisionales y definitivos de alumnos admitidos y no admitidos para el curso 2018/2019 (nombres y apellidos), sino también de los datos identificativos (nombres, apellidos y DNIs completos) de los padres y tutores legales de los alumnos incluidos en el censo electoral del año académico 2018/2019, así como la difusión en abierto, y sin restricciones, en la página web del centro escolar de la información de carácter personal recogida en los mencionados listados provisionales y definitivos, constituye un tratamiento de datos de carácter personal por parte del reclamado, en su condición de responsable de dicho tratamiento, que vulnera el principio de confidencialidad previsto en el artículo 5.1.
  14. f)del citado Reglamento. El reclamado ha justificado su conducta defendiendo que la publicación de los reseñados listados definitivos de alumnos admitidos y no admitidos encuentra su legitimación en el cumplimiento de una obligación legal aplicable al responsable del tratamiento (artículo 6.1.c RGPD) al tratarse de procedimientos de concurrencia competitiva, que concreta en lo dispuesto en el artículo 45.1.
  15. b)de la LPACAP y los artículos 30 y 31 de la Orden de 12 de marzo de 2013, por la que se desarrolla el procedimiento para la admisión del alumnado en centros docentes sostenidos con fondos públicos que impartan enseñanzas de 2º ciclo de educación infantil, de educación primaria, de educación secundaria obligatoria y de bachillerato reguladas en la Ley orgánica 2/2006, de 3 de mayo, de educación, (en adelante, Orden de 12 de marzo de 2013), amén del consentimiento otorgado por los interesados en el momento de presentar las solicitudes de admisión para el tratamiento y publicación de los datos personales recogidos en la tramitación de este tipo de procedimientos al objeto de gestionar el procedimiento e informar a las personas interesadas sobre su tramitación (artículo 6.1.
  16. a)del RGPD). El citado artículo 45.1. de la LPACAP, bajo la rúbrica “Publicación”, establece: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
  17. a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 caso, adicional a la individualmente realizada.
  18. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.” (El subrayado es de la AEPD) Los artículos 30.1 y 31.2 y 3 de la Orden de 12 de marzo de 2013 establecen lo siguiente: “Artículo 30. Publicación de la lista provisional de personas admitidas y no admitidas y reclamaciones. 1.A la vista de las solicitudes de admisión presentadas, y una vez determinada la puntuación resultante de aplicar los criterios de baremo, en su caso, el centro publicará en su tablón de anuncios y en su página web la relación nominal de todo el alumnado admitido y no admitido por curso, por orden de la puntuación total obtenida.” El subrayado es de la AEPD) “Artículo 31. Publicación de la lista definitiva de personas admitidas y no admitidas: 1.(…) 2. La dirección de los centros públicos y la titularidad de los centros privados concertados publicarán en su tablón de anuncios y en su página web, antes del 15 de mayo de cada año, las listas definitivas de personas admitidas y no admitidas, ordenadas según la puntuación total, indicando expresamente la forma concreta para su impugnación, órgano competente y plazo, de acuerdo con el artículo siguiente. 3.Estas listas definitivas permanecerán expuestas en el tablón de anuncios y en la página web del centro hasta el día de inicio del nuevo curso escolar.” (…)”El subrayado es de la AEPD) Sin embargo, en ningún momento de la tramitación del procedimiento la conducta objeto de infracción se ha asociado a la conculcación del principio de licitud del tratamiento de los datos personales utilizados en la publicación de los listados de alumnos o del censo electoral, sino que desde su inicio se ha fundado en la vulneración del principio de confidencialidad del tratamiento recogido en el artículo 5.1.
  19. f)del citado RGPD, materializado en una exposición indiscriminada de la información de carácter personal publicada (datos identificativos) a terceros no interesados. No se cuestiona que los listados del alumnado estudiados deban ser objeto de publicación conforme a lo previsto en el artículo 45.1.
  20. b)de la LPACAP. Lo que se imputa es que el reclamado ha publicado la información de carácter personal contenida en los listados estudiados y ha expuesto los datos identificativos contenidos en el censo electoral reseñado sin respetar el principio de confidencialidad que resulta de aplicación al tratamiento de esa información de carácter personal. Así, consta probado en el procedimiento que el reclamado ha incumplido el deber de confidencialidad que le resulta exigible al no haber tomado medidas técnicas u organizativas previas tendentes a garantizar un nivel adecuado de seguridad que impidiera la comunicación y/o acceso indiscriminado de esa información de carácter personal por parte de terceros no interesados en el procedimiento de concurrencia competitiva de admisión de alumnos o en el proceso de elección de representantes de los padres en el Consejo Escolar . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 De esta forma, la exposición de los documentos anteriormente reseñados a través de las cristaleras de la fachada del centro escolar colocados de modo que los datos personales contenidos en los mismos pudieran visualizarse desde el exterior, contraviene el medio de publicación determinado por el artículo 31.2 y 3 de la Orden de 12 de marzo de 2013 para los listados provisionales y definitivos de alumnos admitidos y no admitidos, donde se fija como tal el tablón de anuncios del centro escolar, que es el mismo medio que figura en el artículo 41 del Decreto 92/1988, de 28 de abril, para la publicación del listado del censo electoral. La publicación de dichos documentos con datos identificativos de los interesados en las cristaleras de la fachada del centro escolar en lugar de en el tablón de anuncios del interior del recinto escolar, donde deberían haber sido expuestos con arreglo a lo previsto en el artículo 45.1.
  21. b)de la LPACAP y los preceptos anteriormente citados de la Orden de 12 de marzo de 2013 y del Decreto 92/1988, ha propiciado la revelación de esta información de carácter personal a terceros ajenos a los procesos en cuestión, puesto que ha permitido su visualización y acceso indiscriminados por terceros no interesados ajenos a los procedimientos de admisión de alumnado o de celebración de las elecciones al consejo escolar. Téngase en cuenta que la información de carácter personal recogida en dichos listados resultaba accesible sin ningún tipo de restricción a cualquier persona que transitase por la zona exterior del centro escolar a la que daba la fachada acristalada. Por su parte, la publicación en la página web del centro escolar, en abierto y sin ningún tipo de restricción, de los mencionados listados provisionales y definitivos de alumnos ha supuesto un acceso indiscriminado a la información de carácter personal contenida en esos documentos, puesto que no se había limitado su acceso a los interesados que solicitaron participar en los procedimientos de admisión de alumnos en cuestión, que son los participantes en los procedimientos de concurrencia competitiva. Por tanto, la divulgación de datos personales a terceros no interesados con motivo de la publicación y/o difusión del contenido de los documentos objeto de estudio anteriormente mencionados de forma indiscriminada, constituye un incumplimiento del principio de confidencialidad relativo al tratamiento, habiéndose, por tanto, vulnerado el artículo 5.1.
  22. f)del RGPD. El reclamado, en su condición de responsable de dicho tratamiento, debería de haber adoptado e implementado, en forma proactiva, las medidas técnicas y organizativas que resultasen apropiadas para evaluar y garantizar un nivel de seguridad adecuado a los probables riesgos de diversa naturaleza y gravedad vinculados a los tratamientos de datos realizados que pudieran afectar, entre otros, al principio de confidencialidad, estableciendo para ello las medidas de seguridad que resultasen necesarias para evitar que se produjera la difusión de datos personales a terceros no interesados en los procedimientos de concurrencia competitiva y de elección de miembros del Consejo Escolar en cuyo marco se han producido los hechos objeto de infracción. A estos efectos se recuerda que el artículo 24.2 del RGPD, en línea con lo también dispuesto en los artículos 5.2 y 32.2 transcritos en el Fundamento de Derecho anterior, establece lo siguiente respecto de las obligaciones a cumplir por el responsable del tratamiento en relación con la “Protección de datos desde el diseño y por defecto”: “2. El responsable del tratamiento aplicará las medidas técnicas y organizativas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.” (El subrayado es de la AEPD) Sentado lo anterior debe rechazarse el argumento de que la única cautela que resulta de aplicación en relación con las publicaciones llevadas a cabo por las administraciones públicas es la prevista en la disposición adicional séptima de la LOPDGDD, ya que la misma se circunscribe a determinar el modo en el que deberá producirse la “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos”, asunto que no es objeto de análisis en este procedimiento conforme se ha justificado en el Antecedente de Hecho Tercero de esta resolución y que, en cualquier caso, tampoco resultaría óbice para analizar el supuesto que nos ocupa vinculado al incumplimiento del principio de confidencialidad recogido en el artículo 5.1.
  23. f)RGPD y con fundamento en los hechos que han resultado probados. En cuanto al alegato relativo a que en la ponderación de los intereses implicados primaría el interés público en la eficacia de la notificación a través de la publicación y en la garantía del ejercicio del derecho de defensa de intereses legítimos, directamente o a través de asociaciones protectoras de intereses colectivos que puedan personarse a posteriori, frente a los derechos de las personas implicadas, cuya privacidad se ve afectada en niveles de rango mínimo, además de reiterar los argumentos expuestos respecto de la aplicabilidad al supuesto estudiado del deber de confidencialidad, en el caso señalado por el reclamado dichas asociaciones podrían ejercer derecho de acceso a esa información justificado su condición de interesados . V Los apartados b),
  24. d)e
  25. i)del artículo 58.2 del RGPD, “Poderes”, disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  26. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  27. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  28. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 A los efectos de determinar la sanción que pudieran llevar aparejada la mencionada infracción han de tenerse en cuenta los siguientes preceptos: El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, establece en su apartado 5.
  29. a)que: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  30. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A su vez, el artículo 72.1.
  31. a)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas muy graves”, dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  32. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Paralelamente, el artículo 83.7 del RGPD establece que: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” En tal sentido, los apartados 1.c), 2, 4 y 5 del artículo 77 de la LOPDGDD, bajo la rúbrica “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento“, establecen lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  33. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” “4. Se deberán comunicar a la autoridad de protección de datos las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 resoluciones que recaigan en relación con las medidas y actuaciones refieren los apartados anteriores a que se 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Con arreglo a lo expuesto, el reclamado resulta responsable de la comisión de una infracción a lo dispuesto en el artículo 5.1.
  34. f)del RGPD, tipificada en el artículo 83.5.
  35. a)del citado texto legal y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  36. a)de la LOPDGDD, pudiendo ser sancionado, de acuerdo con lo dispuesto en el artículo 58.2.
  37. b)del RGPD, con apercibimiento. En este caso, la Consejería comunicó en su escrito de alegaciones al acuerdo de inicio la adopción de las siguientes medidas:
  38. a)En futuras elecciones al Consejo Escolar se adoptará el criterio de que los listados del censo únicamente se publiquen en el tablón interno del centro;
  39. b)La puesta en marcha de las medidas pertinentes para que cada vez que sea necesario realizar una publicación con nombres íntegros y DNI, el propio sistema informático genere el documento respetando lo dispuesto en la disposición adicional séptima de la LOPDGDD y, particularmente, las orientaciones emitidas por la AEPD relativas a los dígitos del DNI que deben eliminarse de las publicaciones. Posteriormente, en el escrito de alegaciones a la propuesta de resolución indico que las publicaciones enmarcadas en el proceso de concurrencia competitiva se realizarán, como medida proactiva, en una parte de la página web de los centros educativos que no permita la indexación por parte de los buscadores automatizados. Sin embargo, en ninguno de los escritos de alegaciones presentados dicha Consejería ha hecho referencia a la adopción de medidas tendentes a impedir el uso de la fachada acristalada del centro escolar para publicitar, de forma que resultan visibles desde el exterior del centro, los mencionados listados provisionales y definitivos de alumnos admitidos y no admitidos por curso. Por el contrario, en las alegaciones a la propuesta de resolución el reclamado afirmaba que “no se identifica obligación legal” para que dichos listados hubieran de publicarse en el tablón interno del centro al tratarse de un proceso de admisión de concurrencia competitiva, obviando que el tablón de anuncios de los centros escolares constituye uno de los lugares fijados por los artículos 30.1 y 31.2 y 3 de la Orden de 12 de marzo de 2013 para publicar tales listados. Tampoco ha indicado el establecimiento de mecanismos de seguridad tendentes a evitar accesos indiscriminados de terceros no interesados a la información de carácter personal contenida en los listados provisionales y definitivos de alumnos publicados, en las páginas web de los centros escolares. Para lo cual, el reclamado debería implementar un sistema que asegurase un acceso a esa información personal publicada en las páginas web limitado y exclusivo a las personas interesadas en esos procedimientos. A título de sugerencia, podría habilitarse un sistema de acceso con clave y contraseña que permitiera únicamente a los participantes interesados en los procedimientos selectivos o de concurrencia competitiva acceder a los actos publicados por ese medio. Sentado lo anterior, se estima conveniente aplicar lo establecido en el artículo 58.2.
  40. d)del RGPD, ordenando al reclamado llevar a cabo una serie de actuaciones concretas para adecuar las operaciones del tipo de tratamiento estudiado a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 dispuesto en el artículo 5.1.
  41. f)del RGPD que ha resultado conculcado, debiendo aplicarse las medidas técnicas y organizativas necesarias para garantizar la debida adecuación entre el principio de confidencialidad en el tratamiento de los datos personales con la publicidad de determinados actos administrativos que contienen datos de carácter personal. Tales medidas habrán de adoptarse por el reclamado en el plazo de UN MES, computado desde el día siguiente al de la notificación de esta resolución sancionadora, debiendo acreditarse por el reclamado su cumplimiento en idéntico plazo mediante la aportación de documentación o cualquier otro medio de prueba válido en derecho que permita verificar su adopción e implementación en forma fehaciente. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a LA CONSEJERIA DE EDUCACIÓN, ÚNIVERSIDAD Y FORMACIÓN PROFESIONAL, con NIF S1511001H, de conformidad con lo previsto en el artículo 58.2.
  42. b)del RGPD, una sanción de APERCIBIMIENTO por una infracción del artículo 5.1.
  43. f)del RGPD, tipificada en el artículo 83.5.
  44. a)del RGPD. SEGUNDO: ORDENAR a LA CONSEJERIA DE EDUCACIÓN, ÚNIVERSIDAD Y FORMACIÓN PROFESIONAL, con NIF S1511001H, de conformidad con lo previsto en el artículo 58.2.
  45. d)del RGPD, la adopción de medidas técnicas y organizativas adecuadas para garantizar el principio de confidencialidad, que en lo que se refiere al Centro Escolar estudiado se focalizarán en impedir la publicación de actos administrativos que contengan datos personales en la fachada acristalada, y hacia el exterior, del centro escolar que nos ocupa, utilizando para ello el tablón de anuncios del interior del centro. En general, dichas medidas se extenderán a evitar que la información de carácter personal contenida en actos administrativos objeto de publicación en los medios establecidos por la normativa aplicable al supuesto no resulten visibles y/o accesibles desde el exterior de los centros escolares, debiendo también implementarse mecanismos que garanticen que el acceso al contenido de esos actos administrativos publicados en la página web de los Centros Escolares se restrinja a las personas interesadas en los procedimientos de selección o pública concurrencia de que se trate. Dichas medidas se habrán de adoptar, en su caso, en el plazo de un mes computado desde el día siguiente al de la notificación de la presente resolución, debiendo aportarse los medios de prueba acreditativos de su cumplimiento en idéntico plazo. TERCERO: NOTIFICAR la presente resolución a la CONSEJERIA DE EDUCACIÓN, ÚNIVERSIDAD Y FORMACIÓN PROFESIONAL, con NIF S1511001H CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  46. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.