1/18 Expediente N.º: EXP202312787 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de julio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra UNIVERSIDADE DE VIGO con NIF Q8650002B (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es profesor de la Universidad reclamada y que ésta utiliza una plataforma digital denominada ***PLATAFORMA.1 para informar a los alumnos sobre su evaluación y para incluir informes para dichos alumnos. Señala que en dicha plataforma se incluyen el dato del número de DNI de los profesores, siendo de libre acceso para los usuarios de la plataforma. Entiende la parte reclamante que dicha exposición no es adecuada y afirma haber solicitado la anonimización del dato de su número de DNI a la parte reclamada, sin haber sido atendida su petición. Junto a la reclamación se aporta imagen procedente de la plataforma ***PLATAFORMA.1 en la que aparece un listado de profesores, entre otros la parte reclamante, y figura su número de DNI. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5/10/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 6/11/2023 se recibe en esta Agencia escrito de respuesta indicando, entre otras cuestiones, las siguientes: “…El profesor indica que “En ***PLATAFORMA.1, en la entrada de prácticas, aparecen publicados los números de dni completos del profesorado…indica que no sabe quién tiene acceso pero que puede ver los DNI de todo el profesorado del Departamento que participa en la materia… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 …La respuesta de vicegerencia es la siguiente: “Por tu correo creía que era una publicación de acceso abierto al público, que es a lo que se refiere la ley. Dentro de una asignatura, el profesorado con el que compartes docencia tiene acceso a esos datos. Sólo podéis acceder vosotros y ni el alumnado ni el resto del PDI puede acceder a estos datos. Como personal funcionario, existe un deber de secreto y confidencialidad, por lo que los datos que manejamos los funcionarios deben de utilizarse para el uso exclusivo para el cual figuran. Pongo en copia al vicerrectorado de profesorado por si quieren aportar o rectificar algo. …Y la respuesta de la parte reclamante, con lo que termina el intercambio de correos, es: “Gracias por la información. Me sigue resultando raro que prácticamente todo el departamento, en el cual un buen número de personas no es funcionario, aunque se entendería que estuviera asimilado, siga teniendo acceso a una información personal que en nada interesa y aporta, pero si la ley así lo permite, nada habría que objetar. Yo, por mi parte, preferiría que no se tuviese acceso a mi dni. …Cada profesor/a va a ver las materias correspondientes a los grupos en los que imparte docencia y solamente tiene acceso a esas materias o grupos de los que es responsable. Todos los datos personales de su alumnado a los que tiene acceso son necesarios y adecuados para la finalidad docente y se utilizan exclusivamente para dicha finalidad de acuerdo con lo establecido en el artículo 5.1 del RGPD, apartados
- b)y c). …El alumnado solo puede acceder a los contenidos que el profesorado decida hacer visibles (materiales docentes, pruebas, calificaciones, grupos de trabajo, fechas de exposiciones, etc.) pero en ningún caso ni al DNI del profesorado (se explica con detalle en el informe del Director de ATIC) ni al DNI de sus compañeros y compañeras. …Sobre la procedencia, adecuación u oportunidad de ocultar el dato DNI del profesorado para el funcionamiento y uso de la plataforma, según se recoge en el Informe del Director de ATIC, no es posible ocultar, para los profesores, el DNI de los docentes con los que comparten asignatura, por dos razones principalmente: En primer lugar, porque “un pilar básico de ***PLATAFORMA.1 es que la Universidad de Vigo no modifique bajo ningún concepto el código fuente de ***SISTEMA.2, para así poder aplicar las actualizaciones de los parches de seguridad sin problemas, no se contempla la posibilidad de modificar el comportamiento estándar de ***SISTEMA.2”; En segundo lugar: “una vez descartada la modificación del código fuente, la única opción realista sería cambiar la configuración de ***SISTEMA.2 para evitar que los profesores puedan visualizar el “username” de los participantes en sus cursos. Sin embargo, esta opción también implicaría la pérdida de funcionalidades académicas (…). El caso de la materia de TFG es una excepción ya que, como se indicó con anterioridad, forma parte de esta materia todo el profesor al que su centro o facultad le haya asignado las labores de tutorización de un trabajo de fin de grado. De manera automática, ***PLATAFORMA.1 genera una materia TFG (o TFM) en la que está dado de alta como profesor el coordinador de cada centro o facultad y, es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 éste quien, de acuerdo con la normativa propia de cada centro de trabajos de fin de grado o máster, en cada curso académico solicita o da de alta al profesorado tutor que resulte necesario.” Junto al escrito de contestación aporta lo siguiente: -Copia de los correos electrónicos enviados entre la parte reclamante y la parte reclamada que han sido explicados en el escrito presentado. - Informe del Decano y certificado del secretario académico sobre el espacio ***PLATAFORMA.1 de la materia TFG del Grado en Traducción e Interpretación de la Facultad de Filología y Traducción. -Reglamento del Trabajo de Fin de Grado y calendario académico de la Facultad de Filología y Traducción. - Informe sobre la implantación del módulo de trabajos fin de estudio y de prácticas empresa de ***SISTEMA.1 de Vicegerencia de Coordinación Académica, asegurando en este informe lo siguiente: “Una vez hecha la asignación del tutor y del alumno al trabajo, existe un espacio común que ***SISTEMA.1 denomina “espacio del alumno” en el cual interactúan de forma individual el alumno, el tutor, el coordinador y la secretaría no teniendo acceso el resto del profesorado. … la implantación sería en enero 2024.” - INFORME TÉCNICO DE ARQUITECTURA Y DISEÑO DE ***PLATAFORMA.1, del Director del Área de Tecnologías de la Información y Comunicaciones de la Universidad de Vigo (ATIC), por ausencia justificada del Responsable de Seguridad. -DECISIÓN ADOPTADA A PROPÓSITO DE LA RECLAMACIÓN E INFORME SOBRE LAS MEDIDAS CORRECTORAS PARA EVITAR QUE SE PRODUZCAN INCIDENCIAS SIMILARES, FECHAS DE IMPANTACIÓN Y CONTROLES. En este informe se detallan lo transcrito a continuación: “1. En relación con la reclamación con n/ref.: EXP202312787 presentada por el profesor A.A.A. para que se “anonimice su dni”, la Universidad de Vigo no puede atender su solicitud ya que si se ocultan los DNI del profesorado en la plataforma ***PLATAFORMA.1, ello tendría como consecuencia la ocultación también del DNI del alumnado, tal y como se explica en los informes que anteceden a éste: Informe técnico del Director de ATIC e Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. No obstante, la migración de las materias de trabajos de fin de carrera a la aplicación académica ***SISTEMA.1 está prevista para el próximo mes de enero. A partir de ese momento, la creación de un espacio individual para cada tutor en esas asignaturas supondrá que el DNI, o cualquier otro dato personal del profesorado en esas materias, no será visible para ningún otro profesor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 2. La Universidad de Vigo, en relación con la reclamación con n/ref.: EXP202312787 ha adoptado las siguientes medidas correctoras: PRIMERA. - Incluir un aviso recordando la obligación de confidencialidad de todos los usuarios de la plataforma ***PLATAFORMA.1 respecto de todos los datos personales que figuran en la misma y, en particular, del personal docente de la Universidad de Vigo. Fecha de adopción: Medida implantada. A continuación, se indica la pantalla de inicio de ***PLATAFORMA.1 en donde se encuentra el aviso, puede verse en ***URL.1 Órgano responsable de su implantación y control: Vicerrectorado de Planificación e Sostenibilidad y Área de Tecnologías de la Información y Comunicaciones (ATIC). SEGUNDA.- Aprobación de un Reglamento específico, para el uso de la plataforma ***PLATAFORMA.1 a fin de ofrecer una mayor seguridad jurídica respecto de, al menos, las siguientes materias: usuarios autorizados, mecanismos de revisión de las autorizaciones, finalidades y usos de la plataforma, medidas de seguridad y confidencialidad de obligado cumplimiento para el profesorado responsable de cada una de las materias en ***PLATAFORMA.1, requisitos para el alta de nuevos usuarios en cada materia cuando se realice manualmente por el coordinador de la misma. Fecha prevista para la aprobación de la normativa: enero de 2024 Órgano responsable de su implantación y control: Vicerrectorado de Planificación y Sostenibilidad TERCERA. - Incluir entre las FAQ (preguntas frecuentes) una con la descripción de los usos autorizados de ***PLATAFORMA.1 una vez aprobada la correspondiente normativa. Estarán disponibles para los usuarios en el siguiente enlace. ***URL.2 Fecha prevista de implantación: en un plazo de 10 días desde la aprobación de la normativa. Órgano responsable de su implantación y control: Vicerrectorado de Planificación e Sostenibilidad y ATIC. CUARTA. - Migrar todas las materias de TFG y TFM al Campus docente de ***SISTEMA.1 creando un espacio específico para cada tutor con su alumnado. Actualmente se está configurando en ***SISTEMA.1 el módulo de trabajos fin de estudio y de prácticas externas, a través del cual se llevarán a cabo las ofertas de los trabajos y prácticas, dentro de una convocatoria realizada por el coordinador del centro. Fecha prevista de implantación: enero de 2024. Órgano responsable de su implantación y control: Gerencia de la Universidad de Vigo. “ TERCERO: Con fecha 18 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 18 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 por la presunta infracción del Artículo 25 del RGPD y del Artículo 5.1.
- f)del RGPD, tipificadas en el Artículo 83.4
- a)y 83.5
- a)del RGPD, respectivamente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en fecha 25/10/2024 en el que, manifestaba, entre otras cosas lo siguiente: “que, en relación con los aspectos técnicos relativos a las dificultades inherentes al diseño e implementación práctica de la plataforma “***PLATAFORMA.1” (…) (esto es, una versión de “***SISTEMA.2”, que es la utilizada en la mayoría de las Universidades del mundo) y que condujeron a la situación que se refleja en el expediente, no cabe ahondar, pues ya fueron remitidos a esa Agencia los correspondientes informes de las personas responsables y que figuran incorporados en el expediente, por lo que nos remitimos a tales informes en todo lo que se considere oportuno aclarar sobre dichos aspectos, en el marco del presente procedimiento, reiterándonos y ratificándonos en lo que en ellos se indica.” Así mismo alude al informe remitido a propósito de la reclamación, donde se señalaban las medidas correctoras previstas en relación con la situación creada. Algunas medidas han sido ya implantadas según se indica en las alegaciones: “[…] Incluir un aviso recordando la obligación de confidencialidad de todos los usuarios de la plataforma ***PLATAFORMA.1 respecto de todos los datos personales que figuran en la misma y, en particular, del personal docente de la Universidad de Vigo. “A continuación, se indica la pantalla de inicio de ***PLATAFORMA.1 en donde se encuentra el aviso, puede verse en ***URL.1” “[…] Aprobación de un Reglamento específico, para el uso de la plataforma ***PLATAFORMA.1 a fin de ofrecer una mayor seguridad jurídica respecto de, al menos, las siguientes materias: usuarios autorizados, mecanismos de revisión de las autorizaciones, finalidades y usos de la plataforma, medidas de seguridad y confidencialidad de obligado cumplimiento para el profesorado responsable de cada una de las materias en ***PLATAFORMA.1, requisitos para el alta de nuevos usuarios en cada materia cuando se realice manualmente por el coordinador de la misma.” “[…] Incluir entre las FAQ (preguntas frecuentes) una con la descripción de los usos autorizados de ***PLATAFORMA.1 una vez aprobada la correspondiente normativa. Estarán disponibles para los usuarios en el siguiente enlace. ***URL.2” “[…] Migrar todas las materias de TFG y TFM al Campus docente de ***SISTEMA.1 creando un espacio específico para cada tutor con su alumnado. Actualmente se está configurando en ***SISTEMA.1 el módulo de trabajos fin de estudio y de prácticas externas, a través del cual se llevarán a cabo las ofertas de los trabajos y prácticas, dentro de una convocatoria realizada por el coordinador del centro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 …que las medidas previstas primera y tercera expuestas han sido ya implantadas, como puede comprobarse fácilmente mediante el acceso a los hipervínculos indicados supra.” “[…] que cabe destacar, en especial, la implantación de la cuarta medida prevista, esto es, la migración de las materias TFG y TFM al Campus docente de ***SISTEMA.1 (motivo por el cual se entendió que decaía la necesidad de aprobar un reglamento específico para el uso de la plataforma ***PLATAFORMA.1, como tercera medida a implantar); dado que el principal problema en relación con la protección de datos que motivó la reclamación que nos ocupa quedó resuelto tras haberse operado dicha migración, tal y como se aclara en el informe de la vicegerenta de coordinación académica, que se acompaña. Que la UVigo ha colaborado desde el primer momento con la Agencia para alcanzar una solución satisfactoria a la incidencia presentada, reaccionando con la celeridad y eficacia requeridas; dado que nuestra institución asume y aplica con rigor los principios que integran la política de protección de datos reflejados en el RGPD así como en la propia legislación nacional; y que han sido incorporados tanto en nuestra normativa interna como en nuestro forma de actuar cotidiana, siendo ampliamente conocidos y compartidos por toda la comunidad universitaria.” Se adjuntaba con las alegaciones el informe de la vicegerenta de coordinación académica al que hace referencia. SEXTO: Con fecha 27 de enero de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que UNIVERSIDADE DE VIGO, con NIF Q8650002B, ha infringido lo dispuesto en el Artículo 5.1.
- f)y Artículo 25 del RGPD del RGPD, tipificadas en el Artículo 83.5
- a)y 83.4 a)del RGPD y se ordene a UNIVERSIDADE DE VIGO, con NIF Q8650002B, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de dos meses, acredite haber procedido al cumplimiento de las medidas necesarias para adecuar la plataforma de gestión a fin de que el dato relativo al número de DNI de los profesores no resulte accesible para el resto de usuarios. Transcurrido el plazo concedido al efecto, no consta que la parte reclamada haya realizado alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Queda acreditado que en la plataforma de gestión de alumnos (***PLATAFORMA.1) utilizada por la parte reclamada, se utiliza el DNI de los usuarios como identificador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 Dicho hecho se desprende de la documentación aportada por la parte reclamada en fecha 3/11/23 en contestación a la solicitud de información de esta Agencia y que incluye el siguiente informe: - INFORME TÉCNICO DE ARQUITECTURA Y DISEÑO DE ***PLATAFORMA.1, del Director del Área de Tecnologías de la Información y Comunicaciones de la Universidad de Vigo (ATIC), por ausencia justificada del Responsable de Seguridad en el que se afirma los siguiente: “Debido a tener que soportar usuarios sin cuenta de correo de uvigo y que, aun teniéndola, cada sistema de origen de datos gestiona la identidad de usuarios de una forma diferente, el único método viable de mantener la información sincroniza es mediante el DNI de cada alumno/profesor. Este es el motivo por el que en ***PLATAFORMA.1, el "username" de cada usuario es su documento de identidad.” SEGUNDO: Ha quedado constatado que los usuarios de la plataforma de gestión de alumnos (***PLATAFORMA.1) gestionada por la parte reclamada, pueden visualizar el número de los DNI de los profesores que se encuentran de alta en la misma. Ello se desprende del mismo informe citado el HECHO PRIMERO en el que se indica lo siguiente: “Actualmente la situación es la siguiente: • los alumnos no pueden ver los DNIs ni de profesorado ni de alumnado • los profesores sí pueden ver los DNIs tanto de los alumnos de sus asignaturas, como de los profesores con los que comparten docencia en sus asignaturas • los profesores no pueden ver los DNIs ni de alumnos ni de profesores con los cuales no comparten asignatura”. Así mismo, en la documentación aportada como respuesta a la solicitud de información de esta Agencia incluyen también informe respecto de la decisión adoptada a propósito de la reclamación en el que se señala lo transcrito a continuación: “1. En relación con la reclamación con n/ref.: EXP202312787 presentada por el profesor A.A.A. para que se “anonimice su dni”, la Universidad de Vigo no puede atender su solicitud ya que, si se ocultan los DNI del profesorado en la plataforma ***PLATAFORMA.1, ello tendría como consecuencia la ocultación también del DNI del alumnado, tal y como se explica en los informes que anteceden a éste:” TERCERO: Queda acreditado que la parte reclamada, desde el momento de la implementación de la plataforma de gestión de alumnos (***PLATAFORMA.1) no ha adoptado medidas técnicas y organizativas con el fin de evitar que los números de DNI de los profesores no sean accesibles para el resto de los usuarios. Ello se desprende de la comunicación realizada por la parte reclamada de las medidas implementadas, las cuales siguen sin impedir de manera efectiva el acceso no autorizado por terceras personas de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida, registro y organización de los siguientes datos personales de personas físicas, tales como: nombre y apellidos y número del documento nacional de identidad. La parte reclamada realizó esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante, brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de datos personales en las circunstancias arriba indicadas, categorizada como de confidencialidad, al haberse podido visualizar a través de la plataforma gestionada por la parte reclamada los DNIs de los distintos profesores que comparten asignatura o profesores que realicen labores de tutorización de TFG y TFM, exponiendo, sin legitimación para ello, datos personales de los mismos. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 Alegaciones al acuerdo de inicio Primera: que, en relación con los aspectos técnicos relativos a las dificultades inherentes al diseño e implementación práctica de la plataforma “***PLATAFORMA.1” en la UVigo (esto es, una versión de “***SISTEMA.2”, que es la utilizada en la mayoría de las Universidades del mundo) y que condujeron a la situación que se refleja en el expediente, no cabe ahondar, pues ya fueron remitidos a esa Agencia los correspondientes informes de las personas responsables y que figuran incorporados en el expediente, por lo que nos remitimos a tales informes en todo lo que se considere oportuno aclarar sobre dichos aspectos, en el marco del presente procedimiento, reiterándonos y ratificándonos en lo que en ellos se indica. En respuesta a esta alegación cabe hacer constar que la parte reclamada ha incumplido sus obligaciones derivadas del artículo 5.1
- f)del RGPD al no garantizar la confidencialidad e integridad de los datos personales de los usuarios en la plataforma ***PLATAFORMA.1, permitiendo accesos indebidos a los números de DNI de los mismos, por lo que se desestima la presente alegación. Segunda: que, en el informe remitido a propósito de la reclamación, donde se señalan las medidas correctoras previstas en relación con la situación creada, se incluyeron las siguientes: PRIMERA. - Incluir un aviso recordando la obligación de confidencialidad de todos los usuarios de la plataforma ***PLATAFORMA.1 respecto de todos los datos personales que figuran en la misma y, en particular, del personal docente de la Universidad de Vigo. Fecha de adopción: Medida implantada. A continuación, se indica la pantalla de inicio de ***PLATAFORMA.1 en donde se encuentra el aviso, puede verse en ***URL.1 Órgano responsable de su implantación y control: Vicerrectorado de Planificación e Sostenibilidad y Área de Tecnologías de la Información y Comunicaciones (ATIC). SEGUNDA.- Aprobación de un Reglamento específico, para el uso de la plataforma ***PLATAFORMA.1 a fin de ofrecer una mayor seguridad jurídica respecto de, al menos, las siguientes materias: usuarios autorizados, mecanismos de revisión de las autorizaciones, finalidades y usos de la plataforma, medidas de seguridad y confidencialidad de obligado cumplimiento para el profesorado responsable de cada una de las materias en ***PLATAFORMA.1, requisitos para el alta de nuevos usuarios en cada materia cuando se realice manualmente por el coordinador de la misma. Fecha prevista para la aprobación de la normativa: enero de 2024. Órgano responsable de su implantación y control: Vicerrectorado de Planificación y Sostenibilidad TERCERA. - Incluir entre las FAQ (preguntas frecuentes) una con la descripción de los usos autorizados de ***PLATAFORMA.1 una vez aprobada la correspondiente normativa. Estarán disponibles para los usuarios en el siguiente enlace. ***URL.2 Fecha prevista de implantación: en un plazo de 10 días desde la aprobación de la normativa. Órgano responsable de su implantación y control: Vicerrectorado de Planificación e Sostenibilidad y ATIC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 CUARTA. - Migrar todas las materias de TFG y TFM al Campus docente de ***SISTEMA.1 creando un espacio específico para cada tutor con su alumnado. Actualmente se está configurando en ***SISTEMA.1 el módulo de trabajos fin de estudio y de prácticas externas, a través del cual se llevarán a cabo las ofertas de los trabajos y prácticas, dentro de una convocatoria realizada por el coordinador del centro. Fecha prevista de implantación: enero de 2024. Órgano responsable de su implantación y control: Gerencia de la Universidad de Vigo”. Tercera: que las medidas previstas primera y tercera expuestas han sido ya implantadas, como puede comprobarse fácilmente mediante el acceso a los hipervínculos indicados supra. Cuarta: que cabe destacar, en especial, la implantación de la cuarta medida prevista, esto es, la migración de las materias TFG y TFM al Campus docente de ***SISTEMA.1 (motivo por el cual se entendió que decaía la necesidad de aprobar un reglamento específico para el uso de la plataforma ***PLATAFORMA.1, como tercera medida a implantar); dado que el principal problema en relación con la protección de datos que motivó la reclamación que nos ocupa quedó resuelto tras haberse operado dicha migración, tal y como se aclara en el informe de la vicegerenta de coordinación académica, que se acompaña. En respuesta a las alegaciones segunda a cuarta que detallan las medidas correctoras, estas no eximen de la responsabilidad derivada de los incumplimientos constatados en el momento de la reclamación, las medidas técnicas y organizativas adecuadas para garantizar la confidencialidad e integridad de los datos personales de los usuarios se deben aplicar antes de la realización del tratamiento, por lo que se desestiman. Quinta: que la UVigo ha colaborado desde el primer momento con la Agencia para alcanzar una solución satisfactoria a la incidencia presentada, reaccionando con la celeridad y eficacia requeridas; dado que nuestra institución asume y aplica con rigor los principios que integran la política de protección de datos reflejados en el RGPD así como en la propia legislación nacional; y que han sido incorporados tanto en nuestra normativa interna como en nuestro forma de actuar cotidiana, siendo ampliamente conocidos y compartidos por toda la comunidad universitaria. En respuesta a esta alegación, indicar que la colaboración a la que aluden no exime de responsabilidad sobre la brecha de datos personales que se ha producido entre los usuarios del Sistema utilizado ***PLATAFORMA.1. IV Principio de integridad y confidencialidad El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El principio de confidencialidad e integridad, recogido en el artículo 5.1
- f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de manera que se garantice la confidencialidad e integridad de los mismos, evitando accesos no autorizados, usos indebidos o divulgaciones a terceros no autorizados. Esto incluye implementar medidas técnicas y organizativas apropiadas para proteger los datos frente a posibles brechas, tanto externas como internas. Dichas medidas deben ser adecuadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas y revisarse periódicamente para asegurar su eficacia. En el presente caso, la brecha de datos personales se ha producido porque no se habían adoptado las medidas técnicas y organizativas que garantizasen la confidencialidad de los datos de los DNIs de todos los profesores que comparten una asignatura o tutores de TFG y TFM a todos ellos, incluido el de la parte reclamante. Cabe señalar que la utilización del DNI como identificador en una plataforma accesible por múltiples usuarios incrementa significativamente los riesgos asociados a la confidencialidad y la integridad de los datos, especialmente cuando estos quedan expuestos de forma innecesaria a usuarios no autorizados. La falta de implementación de medidas específicas adecuadas habría permitido el acaecimiento de la brecha, vulnerando de esta forma el principio de confidencialidad. En conclusión, la parte reclamada ha incumplido sus obligaciones derivadas del artículo 5.1
- f)del RGPD al no garantizar la confidencialidad e integridad de los datos personales del profesorado en la plataforma ***PLATAFORMA.1, permitiendo accesos indebidos a los números de DNI de los mismos. Si bien se han adoptado medidas correctoras, estas no eximen la responsabilidad derivada de los incumplimientos constatados en el momento de la reclamación. De los hechos probados se desprende la ausencia de implementación de medidas técnicas específicas para evitar que los usuarios de la plataforma ***PLATAFORMA.1 puedan visualizar los números de DNI del profesorado. Aunque se detalla la migración de las materias al sistema ***SISTEMA.1, dicha medida tiene una fecha de implantación futura, por lo que no soluciona el acceso indebido de forma inmediata. Además, el aviso de confidencialidad incluido en la plataforma se limita a una medida de concienciación, sin establecer restricciones técnicas que impidan de manera efectiva el acceso no autorizado. En conclusión, la parte reclamada ha incumplido el principio de confidencialidad al no implementar de manera oportuna medidas técnicas y organizativas de todo tipo, adecuadas para garantizar la confidencialidad e integridad de los datos personales de los usuarios en la plataforma ***PLATAFORMA.1, tanto en el momento anterior a la reclamación como posteriormente tras el conocimiento de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
- f)del RGPD. V Tipificación de la infracción del artículo 5.1.
- f)del RGPD y calificación a efectos de prescripción La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18
- i)Las Universidades Públicas. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Atendiendo lo previsto en dicho precepto y a la naturaleza jurídica de la parte reclamada, procede se declarar la infracción del artículo 5.1.f del RGPD. VII Protección de datos desde el diseño y por defecto El Artículo 25 “Protección de datos desde el diseño y por defecto” del RGPD establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. 3.Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.” Este artículo se encuadra dentro de las obligaciones generales que el Capítulo IV del RGPD establece al responsable del tratamiento, imponiendo una obligación de diseño en el momento de determinar los medios de tratamiento, los cuales deben garantizar de forma efectiva el cumplimiento de los principios de protección de datos, recogidos en la normativa general de Protección de Datos. Tal y como se indica en el hecho probado primero, en el presente casose ha constatado que se utilizó el DNI de los usuarios como identificador en la plataforma de gestión de alumnos (***PLATAFORMA.1), utilizada por la parte reclamada que, según indica la misma, se puso en marcha como nuevo campus virtual de la institución en el curso 2020/2021, fechas en las que ya estaba en vigor el RGPD y existía obligación de cumplir con el artículo 25 del RGPD, por lo que en el momento de diseño del sistema se debería haber tenido en consideración sus obligaciones en materia de protección de datos. Se ha vinculado el identificador con los datos que se muestran en la plataforma (se accede a la plataforma con DNI de alumno y profesor, por ello se muestra el DNI de profesores y alumnos a los profesores que comparten materia o son tutores de TFG o TFM). . En consecuencia, tal y como se ha configurado la plataforma utilizada, nos encontramos con la comisión de una infracción debido a que no se habrían analizado de forma adecuada los riesgos para los derechos y libertades de las personas físicas, ni previsto ni aplicado desde el diseño las medidas técnicas y organizativas apropiadas que exige el artículo 25 RGPD. En este caso concreto, no haber previsto estas medidas desde el diseño permite que cualquier profesor puede acceder a los DNIs de sus compañeros si comparten la misma materia o son tutores de TFG y TFM . Por todo lo anterior, se pone de manifiesto que la parte reclamada ha incumplido la obligación de diseño de unas medidas técnicas y organizativas apropiadas, ya que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 debió adoptar otra solución que no compartiera datos personales, en concreto los DNIs de profesores, que resultan accesibles a otros usuarios. Se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 25 del RGPD. VIII Tipificación de la infracción del artículo 25 y calificación a efectos de prescripción De confirmarse, la citada infracción del artículo 25 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679. (…) IX Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- i)Las Universidades Públicas. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por tanto, se declara la infracción del artículo 25 del RGPD por parte de la parte reclamada. X Sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración de los artículos 25 y 5.1.
- f)del RGPD tipificadas en los Artículos 83.4 y 83.5 respectivamente del RGPD. La sanción que corresponde imponer es la declaración de infracción. XI Adopción de medidas Se impone al responsable que en el plazo de dos meses proceda a acreditar que se ha adecuado la plataforma de gestión a fin de que el dato relativo al número de DNI de los usuarios no resulte accesible para el resto de usuarios, de acuerdo a lo ya señalado, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que UNIVERSIDADE DE VIGO, con NIF Q8650002B, ha infringido lo dispuesto en los artículos 5.1.
- f)y 25 del RGPD, infracciones tipificadas en los artículos 83.5
- a)y 83.4
- a)del RGPD, respectivamente. SEGUNDO: ORDENAR a UNIVERSIDADE DE VIGO, con NIF Q8650002B, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de dos meses desde que la presente resolución sea firme y ejecutiva, acredite haber adoptado las medidas necesarias dirigidas a evitar que en la plataforma de gestión el número de DNI/NIF de los usuarios resulte visible para el resto de los usuarios. SEGUNDO: NOTIFICAR la presente resolución a UNIVERSIDADE DE VIGO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es