← España

PS-00163-2020

1/17  Procedimiento Nº: PS/00163/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de los datos de carácter personal (en adelante brecha de seguridad) remitido por la Subdelegada de Protección de Datos indicando como responsable del tratamiento a la Conselleria de Educación, Cultura y Deporte de la Generalitat Valenciana respecto de los datos personales tratados por el Colegio de Educación Infantil y Primaria “***COLEGIO.1”, de ***LOCALIDAD.1 (en adelante CEIP), ***LOCALIDAD.1. Informan a la Agencia Española de Protección de Datos de que la brecha de seguridad la comunica por correo electrónico una madre de alumnas del CEIP. La madre de las alumnas informa que el centro publicó en su web el listado de alumnos aceptados, con información adicional, así como el listado de todos los alumnos del centro escolar y el de admitidos del año pasado. Tras contactar con la dirección del CEIP se han eliminado algunas de las entradas correspondientes, pero los enlaces de los documentos <pdf> seguían siendo accesibles si se disponía de los enlaces guardados o se hacía una búsqueda en cualquier buscador de los alumnos. La información de las listas de alumnos del CEIP se publica en la web del centro (***URL.1) gestionada a través de la plataforma “***PLATAFORMA.1” ofrecida por la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte. En la notificación de la brecha de seguridad se indica que hay unos 450 menores afectados y que las categorías de datos son: - Datos básicos. Datos económicos o financieros. Información particular de la familia. Porcentaje de discapacidad. SEGUNDO: A la vista de la citada notificación de la brecha de seguridad, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de brecha de seguridad: 20 de septiembre de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 ENTIDADES INVESTIGADAS Conselleria de Educación, Cultura y Deporte, con NIF S4611001A y con domicilio en Avenida Campanar 32, 46015 Valencia. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 3 de octubre de 2019 se requiere al CEIP información sobre la brecha de seguridad notificada, obteniendo como respuesta de la Subsecretaría de la Consejería de Educación, Cultura y Deporte de la Generalitat Valenciana lo siguiente: “Desde la dirección del centro educativo CEIP ***COLEGIO.1 de ***LOCALIDAD.1, dependiente de la Conselleria de Educación, Cultura y Deporte de la Generalitat Valenciana, se ha remitido a esta Subsecretaría requerimiento de información referido a una brecha de seguridad que al parecer tuvo relación con la actuación de dicho centro educativo. En dicho requerimiento se indica que «al objeto de aclarar las circunstancias de la brecha de seguridad notificada a esta Agencia el 20/09/2019, con relación a la publicación de un listado de alumnos aceptados en el CEIP ***COLEGIO.1 de ***LOCALIDAD.1...». Dado que dicha brecha de seguridad al parecer no ha sido notificada desde ningún órgano de la Generalitat Valenciana, y que, consultada tanto la dirección del centro como la inspección educativa, no se tiene la suficiente certeza sobre a qué publicación de listado hace referencia el requerimiento, SE SOLICITA de esa Agencia Española de Protección de Datos: Que se complete el contenido del requerimiento formulado, indicando, en la medida de lo posible, con mayor claridad y definición, a que actuación del centro viene referida la brecha de seguridad, todo ello al objeto de poder analizar las circunstancias en que tal brecha se pudo producir y dar cumplida respuesta al requerimiento formulado.” Por ello, se vuelve a requerir al CEIP la información anteriormente solicitada, aportando más información sobre la notificación de brecha de seguridad recibida en esta Agencia, recibiéndose respuesta de la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte de la Generalitat Valenciana, en los siguientes términos: “ […] Una vez advertida la falta de coordinación inicial entre departamentos de la Generalitat e identificados exactamente los hechos que dieron lugar a la notificación de la brecha de seguridad, por parte de la dirección del centro CEIP ***COLEGIO.1 de ***LOCALIDAD.1 se ha elaborado un informe, acompañado del resto de información solicitada, de acuerdo con el esquema recogido en el Anexo 2 del requerimiento de información de fecha 17-01-2020. En el informe en cuestión se reconoce, en síntesis, los siguientes extremos: - Que se ha procedido de manera incorrecta a la publicación en la página web del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 centro de un listado que únicamente debería haber estado expuesto en el tablón interior del centro CEIP ***COLEGIO.1 de ***LOCALIDAD.1 - Que tal publicación en la web del colegio se realizó en aras de una mayor transparencia de facilitar la consulta a los padres y madres de los alumnos. - Que se actuó en la forma expuesta a pesar de existir unas instrucciones de la Conselleria indicativas de la forma en que se debe proceder (Resolución de 28 de junio de 2018, de la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte, por la que se dictan instrucciones para el cumplimiento de la normativa de protección de datos en los centros educativos públicos de titularidad de la Generalitat). - Que, si bien se eliminó el listado de la página web en cuanto se tuvo conocimiento, la supresión del mismo en el servidor de la Conselleria se retrasó hasta principios del mes de octubre. - Y por último, que una vez desaparecidos los hechos que motivaron la notificación de la brecha de seguridad, de cara al inicio del nuevo curso escolar 2019-2020 se adoptaron las medidas pertinentes y se concienció al profesorado del centro para que no volviera a producirse en el futuro una situación similar, que resulta contraria a la normativa en materia de protección de datos y a las instrucciones impartidas desde la Conselleria.” Acompañan informe de la directora del CEIP en el que manifiesta: << 1.- COPIA DEL INFORME ELABORADO EN RELACIÓN CON LOS HECHOS MENCIONADOS: a.-Descripción detallada y cronológica: Al finalizar el curso 2018-19, en el Proyecto Educativo del Centro tenemos establecido el criterio de reagrupar al alumnado en los niveles de primero, tercero y quinto de Educación Primaria. Además, se producen cambios en las tutorías de alumnos respecto quien será el tutor/a durante el curso siguiente. a.1.- Durante el mes de julio de 2019 se produce la publicación de las listas. a.2.- Se detecta a principios de septiembre de 2019. a.3.- Se eliminan de la página web en los siguientes días de la detención, no es visible ni editable. a.4.- Se elimina de la ubicación del servidor de Consellería al inicio del mes de octubre. Cuando empieza el mes de octubre la incidencia está totalmente resuelta. b.-Especificación del motivo: La tarea del reagrupamiento la realizan los tutores/as durante la primera semana de julio. Bastantes familias marchan a sus domicilios de verano y con bastante frecuencia, preguntan cuándo sabrán cómo han quedado los grupos para el próximo curso y quién será el tutor o la tutora. Se insiste con asiduidad si se publicaran las listas en la web. Cuando el profesorado tuvo los listados preparados, en aras a la transparencia y para facilitar la información a los padres y madres, se colgaron en la web los listados que se adjuntan a este escrito de esta forma y manera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 c.-El no de alumnos del listado ubicado en la página web era de 439 alumnos. d.-La tipología de los datos: Corresponde a cuatro campos: CURSO (edad) porque aparecía infantil (3 años…)/ NO orden ALUMNO / NOMBRE ALUMNO/ NOMBRE DEL TUTOR/A. e.-Descripción detallada de los motivos por los cuales los listados seguían accesibles, retirados los enlaces: Una madre del centro, estuvo en el colegio a principios del mes de septiembre y mantuvo una conversación con el jefe de estudios y coordinador TIC de la escuela. Le hizo llegar su preocupación por la publicación de listados de alumnos en la web del centro y en resultados de búsqueda de alumnos en Google por ello le pidió que los eliminase de la web del colegio, “***PLATAFORMA.1”. El coordinador TIC así lo hizo en la página web del centro, pero no pudo hacer desaparecer los resultados de búsqueda de Google dado que los archivos “pdf” del servidor seguían indexados por Google, y en aquel momento el coordinador TIC no sabía cómo eliminarlos. Por ello, le recomendó enviar un correo a la Consellería de Educación pidiendo que consultase como eliminar de la ubicación pertinente de la web “***PLATAFORMA.1”, cualquier archivo relacionado con la petición de la madre; ella así procedió. De dicha conversación, no se me informó como directora, puesto que, el jefe de estudios pensó que había resuelto el incidente. Mi primera noticia al respecto fue cuando, a mitad del mes de octubre, recibí el comunicado de la Agencia Española de Protección de Datos, comunicándome una brecha de seguridad. Reuní al equipo directivo para informar sobre la carta recibida y en ese momento el jefe de estudios me pone al corriente de la reunión con la madre citada. Omite decirme que le había recomendado enviar un correo a la Consellería. En mi opinión, si el error era del centro, debía ser el centro quien Io solucionara, pidiendo el asesoramiento correspondiente. f.-Descripción detalla de todas las acciones realizadas con objeto de minimizar los efectos adversos y para la resolución final de la incidencia, incluyendo la fecha y hora de las medidas adoptadas.: f.1.- El centro eliminó, de forma instantánea, de la web cualquier enlace o rastro visible en el mismo momento que la madre, manifestando su disconformidad, se entrevistó con el coordinador TIC. f.2.- La madre hizo un correo a la Consellería de Educación Cultura y Deporte de la Generalitat Valenciana, pidiendo la eliminación de los archivos guardados en el espacio reservado a la página web de “***PLATAFORMA.1” del CEIP, que pertenecen al servidor de Consellería, pero no fue una denuncia al respecto. Esta señora está actualmente en el Consejo Escolar del centro tras las pasadas elecciones del 21 de noviembre de 2019, y su relación con el Equipo Directivo, y con el Claustro es muy buena. De hecho, de este tema se ha hablado de manera reiterada con ella y nos manifiesta su preocupación por lo sucedido, pues no era su intención generar este conflicto. f.3.- Pasadas unas semanas, el jefe de estudios y coordinador TIC, tuvo una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 formación promovida por el CEFIRE de ***LOCALIDAD.1 donde entre otros aspectos se trató la protección de los datos. Allí preguntó cómo eliminar el resto del archivo, y tras darle las explicaciones oportunas, al regresar al colegio lo eliminó. Actualmente, no queda ningún rastro en ningún servidor de la red. 2.- INFORMACIÓN RESPECTO DE SI TIENE CONOCIMIENTO DE LA UTILIZACIÓN POR TERCEROS DE LOS DATOS PERSONALES PUBLICADOS.: 1-No tenemos constancia, no tenemos comunicado alguno de la utilización por terceros de los datos personales publicados. Tampoco nos consta que se haya manipulado o aplicado para ningún fin la información de las listas de alumnos y los tutores asignados. 3.- INFORMACION RESPECTO DE LA NOTIFICACIÓN REALIZADA A LOS ALUMNOS SOBRE LOS HECHOS OCURRIDOS. 1- A los alumnos no se les informó al respecto puesto que son menores de edad. El CEIP ***COLEGIO.1 es un colegio de Infantil y Primaria. 2- Preocupados por el tratamiento de los datos del centro, desde el equipo directivo, se dijo a todo el Claustro de profesores que, en las reuniones de principio de curso, en cada una de las tutorías, se tratase el tema de la protección de datos, e informase a todas las familias que, cualquier información con datos sensibles, no se publicarían en la web, ni en los tablones de anuncios con visibilidad externa al centro. Esta información quedaría solo disponible en el tablón de anuncios oficial e interno del centro. Así mismo, en el citado tablón consta la Ley de Protección de datos (LOPD y a su Reglamento RGPD del 25 de mayo de 2018) donde se indica la prohibición de realizar fotografías o dar publicidad a la información allí detallada. 3- Se adjunta acta de la reunión del jefe de estudios con los coordinadores donde se les comunicaba el guion de las reuniones de principio de curso. 4- También se adjunta el acta de principio de curso (punto 2 del acta) donde al leer las instrucciones de principio de curso de la Generalitat Valenciana, RESOLUCIÓN de 5 de julio de 2019 donde en su punto 133 queda explicito el uso de las plataformas, así como el trato a la protección de los datos. 4.-DOCUMENTAClÓN ACREDITATIVA DE LA NORMA DE LA CONSELLERIA QUE MANDA A LOS INSTITUTOS: <RESOLUCIÓN de 28 de junio de 2018, de la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte, por la que se dictan instrucciones para el cumplimiento de la normativa de protección de datos en los centros educativos públicos de titularidad de la Generalitat. En su artículo 3.3.4, especifica que: 3.3.4 Publicación en tablones del alumnado por clases y/o actividades Para la organización de la actividad docente los centros distribuyen al inicio de cada curso al alumnado por clases, materias, actividades y servicios. Para dar a conocer al alumnado y sus familiares esta distribución, se pueden colocar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 dichas relaciones en los tablones de anuncios o en las entradas de las aulas, durante un tiempo razonable para permitir el conocimiento por todas las personas interesadas, o bien, a través del sistema ITACA>. 5-DOCUMENTACIÓN ACREDITATIVA DE LA NORMA DE LA CONSELLERIA QUE MANDA A LOS INSTITUTOS. 1- Instrucciones de principio de curso 2019-20. Lectura al Claustro de dichas instrucciones tal y como ha quedado detallado en las medidas adoptadas del punto anterior. 2- Acta del jefe de estudios, a propuesta de la directora, con el guión que les dio a los coordinadores para las reuniones de tutorías de principio de curso. 3- En las actas de cada uno/a de los tutores consta que se trató el punto de la protección de datos. Por todo lo expuesto anteriormente, COMUNICO: 1.- Como directora del centro, pido disculpas por el error cometido por mi parte en la publicación de las listas. No fue en ningún momento la intención de causar daños a terceros. La intencionalidad fue facilitar la información a las familias evitando el desplazamiento al centro. 2.- Al estar en la página web de “***PLATAFORMA.1”, pensé que los datos estaban "protegidos" por la Consellería de Educación, y sacados de la plataforma ***PLATAFORMA.2, siempre pensamos y creíamos que no había información sensible al respecto, en ningún momento pudimos racionalizar que estábamos cometiendo alguna irregularidad. 3.- El listado de los alumnos nunca más se hizo público a través de la página web del centro, y actualmente cualquier publicación se realiza por el tablón de anuncios interior del centro. 4.- Que se han pedido disculpas a la madre que formuló el correo, quién las ha aceptado y lamenta lo ocurrido. 5.- Que reitero mis disculpas a la Consellería de Educación Cultura y Deporte por no saber ejercer mi función de directora como procede, lamentando profundamente a nivel profesional y personal lo ocurrido. 6.- Que procuraré que durante el tiempo que siga ejerciendo el cargo, no vuelva a ocurrir hechos lamentables como este y estaré "in vigilando" respecto a la publicación de datos del centro. 7.- Que estoy a su disposición para lo que se me requiera. >> Dado que en la notificación de brecha se mencionaba la publicación de datos adicionales, (de la familia, económicos y sociales) se realiza un nuevo requerimiento al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 CEIP para que aporte copia de la primera página de los listados publicados, verificándose que, en uno de los listados aportados de solicitudes de ayuda asistencia de comedor de curso 2019/2020, además de datos de curso, nº orden alumno, nombre y apellidos de alumno, figuran también datos de renta familiar (del IRPF), número de miembros de la unidad familiar, la puntuación económica obtenida, la puntuación social, y la puntuación total. Los otros dos listados aportados contienen únicamente datos de curso, nº orden del alumno, nombre y apellidos del alumno, nombre del tutor. TERCERO: Con fecha 17 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. CUARTO: Con fecha 2 de octubre de 2020 se formuló propuesta de resolución, en los siguientes términos: << Que por la Directora de la Agencia Española de Protección de Datos se sancione a la CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE DE LA GENERALITAT VALENCIANA, con NIF S4611001A, por infracción del artículo 32.1,

  1. b)y
  2. c)del RGPD, tipificada en el artículo 83.4 del RGPD, considerada grave a efectos de prescripción en el artículo 73.
  3. g)de la LOPDGDD y por infracción del artículo 5.1.
  4. f)del RGPD tipificada en el Artículo 83.5 del RGPD, considerada muy grave a efectos de prescripción en el artículo 72.
  5. i)de la LOPDGDD, con sanción de apercibimiento>>. QUINTO: En fecha 19/10/2020 se recibieron las alegaciones a la propuesta de resolución en los siguientes términos: En primer lugar, se alega vulneración del principio de tipicidad con base en que los hechos imputados no constituyen infracción del RGPD al resultar obligatoria la publicación de los listados. En este sentido, se debe señalar que los hechos imputados constan descritos como infracción en los artículos 32.1.
  6. b)y 5.1.
  7. f)del RGPD y tipificados en los artículos 83.4 y 83.5 del RGPD, respectivamente, tal y como se describe en los fundamentos de la presente resolución. En consecuencia, la alegación debe rechazarse. En segundo lugar, se alega vulneración del principio de presunción de inocencia con base a que no constan acreditados los hechos imputados. En este sentido, se significa que los hechos imputados constan acreditados no solo de las propias manifestaciones del responsable del tratamiento y de la responsable del CEIP, sino que constan documentalmente probados en el documento solicitado por la Inspección de esta AEPD y remitido a la misma en fecha 21/02/2020, con número de registro de entrada 008501/2020. En dicho documento figuran expresamente los datos publicados de renta familiar, miembros de la familia, puntuación económica y puntuación social. En consecuencia, esta AEPD en sus actuaciones de investigación ha enervado el principio aludido. Por lo tanto, la alegación debe rechazarse. En tercer lugar, se alega a aplicación del principio “in dubio pro reo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 A este respecto los hechos imputados han quedado indubitadamente acreditados por lo que no procede aplicar tal principio jurídico. En consecuencia, la alegación debe rechazarse. En cuarto lugar, se alega no se han fijado de forma motivada en la Propuesta de Resolución los hechos probados y su calificación jurídica, lo que ha generado indefensión. En este sentido, señalar que en la Propuesta de Resolución constan los mismos hechos probados que en la presente resolución, así como su calificación jurídica que se reproducen en el apartado CUARTO de los antecedentes de esta Resolución. En consecuencia, la alegación debe rechazarse. En quinto lugar, se alega que el Instructor ha tomado como prueba de cargo el “listado de ayudas de comedor”, y no contiene los datos a los que se hace referencia en este procedimiento. En este sentido señalar nuevamente que el listado publicado consta incluido en el expediente a solicitud de la Inspección de datos de esta AEPD con fecha 21/02/2020 y número de registro de entrada 008501/2020, y en el mismo figuran expresamente los datos de renta familiar, miembros de la familia, puntuación económica y puntuación social de 439 alumnos. En consecuencia, la alegación debe rechazarse. En sexto lugar, se alega que no se ha producido una brecha de seguridad toda vez que los datos no se publicaron en un lugar de consulta permanente “como pudiera ser el caso de un diario oficial” (sic). Al este respecto señalar que consta probado que el listado de ayudas de comedor fue publicado en la web “***PLATAFORMA.1” cuyo responsable es el organismo público ahora investigado dando acceso a los datos analizados a terceros ajenos sin que sea relevante la forma de su publicación sino que terceros ajenos han tenido acceso a los mismos. Por lo tanto, la alegación debe rechazarse. En séptimo lugar, se aporta una relación de normativa dictada por la investigada, y que se afirma que las medidas técnicas y organizativas ya han sido implantadas al objeto de no vulnerar la normativa en materia de protección de datos y dado que en la Comunidad existen 1634 centros públicos resulta de todo punto imposible controlar a información y documentos que se publican en los centros. En este sentido señalar que no constan aplicadas las medidas recogidas en la normativa señalada, ya que tan sólo enuncian las medidas a tomar sin que ello implique su adecuada implantación en los sistemas de información de la investigada. En consecuencia, la alegación debe rechazarse. En octavo lugar, se alega que no se han tenido en cuenta los criterios establecidos en al artículo 83.2 del RGPD a la hora de evaluar la responsabilidad. En este sentido señalar, tal y como se expone al inicio el citado artículo 83.2 del RGPD, dichos criterios se aplicarán en las multas administrativas. En el presente caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 la sanción es de apercibimiento, por lo que no procede su aplicación. consecuencia, la alegación debe rechazarse. En En noveno lugar y último, se relacionan expedientes de la AEPD de los años 2018 y 2019 en los que se han archivado incidencias similares al haber resuelto con diligencia y minimizado las consecuencias de la brecha notificada. En este sentido, señalar que en los casos indicados quedó probado la implantación durante las investigaciones previas de todas aquellas medidas correctoras necesarias para evitar la repetición de hechos similares. En el presente caso, sólo se han realizado manifestaciones al respecto sin que quede constancia fehaciente de su implantación efectiva en los sistemas de información de los que es responsable la investigada. En consecuencia, la alegación debe ser rechazada. HECHOS PROBADOS PRIMERO: El CEIP “***COLEGIO.1” de ***LOCALIDAD.1, es un centro educativo adscrito a la Conselleria de Educación, Cultura y Deportes de la Generalitat Valenciana. SEGUNDO: La Conselleria de Educación, Cultura y Deportes de la Generalitat Valenciana es la responsable de la plataforma “***PLATAFORMA.1” desde la que se gestiona la publicación de listados de alumnos de los CEIP adscritos. TERCERO: En dicha plataforma se publicó el listado de “solicitudes de ayudas asistenciales de comedor curso 2019-2020” al que tuvieron acceso terceros ajenos durante un mes. En el listado figuraban datos familiares de alumnos menores de edad del CEIP “***COLEGIO.1” relativos la renta familiar y “puntuación social” (sic). CUARTO: A los listados publicados tuvieron acceso terceras personas ajenas. QUINTO: Consta publicada la Resolución de 28 de junio de 2018, de la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte, por la que se dictan instrucciones para el cumplimiento de la normativa de protección de datos en los centros educativos públicos de titularidad de la Generalitat. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Establece el artículo 4.12 del RGPD que se considera “violación de la seguridad de los datos personales”: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. III Establece el artículo 33.1 del RGPD, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.” (…). Establece el artículo 34.1 del RGPD, lo siguiente: “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida.” De las actuaciones practicadas se desprende que se notificó a esta AEPD, en el término de 72 horas, la brecha de seguridad de datos personales y se comunicó a los interesados, dando cumplimiento a lo establecido en el artículo 33 y 34 del RGPD. IV Los artículos 4.7 y 24 del RGPD, definición de responsable y responsabilidad del responsable del tratamiento, señalan lo siguiente: “4.7. «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros” “24.1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos” (…). En el presente caso, la Conselleria de Educación, Cultura y Deporte es la responsable de los tratamientos de datos personales en todas las actuaciones llevadas a cabo por las diferentes unidades orgánicas a ella adscritas, la web “***PLATAFORMA.1” y los CEIP de la Comunidad Autónoma, toda vez que, tal y como señala el art 4.7 del citado RGPD, es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento; y así lo declara la propia Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte en la Resolución de 28 de junio de 2018, de la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte, por la que se dictan instrucciones para el cumplimiento de la normativa de protección de datos en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 centros educativos públicos de titularidad de la Generalitat, en concreto señala lo siguiente: “La Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte es el órgano responsable de los ficheros de datos de carácter personal según establece el artículo 9 del Decreto 130/2012, de 24 de agosto, del Consell, por el que se establece la organización de la seguridad de la información de la Generalitat, y debe velar, dentro de su ámbito de competencia por el cumplimiento de la legislación en materia de protección de datos. Por tanto, resulta necesario dictar instrucciones respecto a las medidas a llevar a cabo por los centros educativos públicos donde existan tratamientos de datos de carácter personal”, a lo que añade y singulariza en el Anexo I, apartado 2.4. de la misma Resolución que “2.4. Medidas de seguridad. Tanto la Conselleria competente en materia de educación, como responsable de los tratamientos de datos personales, como los centros educativos deben adoptar una serie de medidas de seguridad, de carácter técnico y organizativo, que garanticen la seguridad de los citados datos” (el subrayado es de la AEPD). Añade el Anexo I de la citada Resolución de 28/06/2018, lo siguiente: “3.3.3. Publicación de beneficiarios de becas, subvenciones y ayudas La Ley de transparencia y acceso a la información pública y buen gobierno determina la obligación de hacer pública, como mínimo, la información relativa a las subvenciones y ayudas públicas concedidas por las administraciones públicas con indicación de su importe, objetivo o finalidad y los beneficiarios. Sin perjuicio de la publicación por parte de la administración convocante, los centros escolares también podrán publicar esta información a efectos informativos de las personas afectadas. Cuando se trate de becas y ayudas fundadas en la situación de discapacidad de los beneficiarios será suficiente con publicar un listado con un número de identificación de los beneficiarios, como el del DNI o un número identificador que se hubiera facilitado a los interesados con la solicitud. Asimismo, si fueran varios los requisitos a valorar, se podría dar el resultado total y no el parcial de cada uno de los requisitos. Si los criterios de las ayudas no se basan en circunstancias que impliquen el conocimiento de categorías especiales de datos hay que valorar si, no obstante, podrían afectar a la esfera íntima de la persona, por ejemplo, al ponerse de manifiesto su capacidad económica o su situación de riesgo de exclusión social. En estos casos habría que analizar en cada caso si resulta necesario hacer pública dicha información para garantizar la transparencia de la actividad relacionada con el funcionamiento y control de la actuación pública. Igualmente, cuando ya no sean necesarios estos listados, habrá que retirarlos”. (el subrayado es de la AEPD). En el presente caso no se ha aplicado la propia normativa de la Consejería publicada a fin de garantizar los derechos y libertades de los afectados. V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Establece el artículo 32 del RGPD lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  8. a)la seudonimización y el cifrado de datos personales;
  9. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  10. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  11. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. (…) 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” (el subrayado es de la AEPD). De los hechos descritos y acreditados consta que la Conselleria de Educación, Cultura y Deporte no disponía implantadas en la web “***PLATAFORMA.1” de la que es responsable, medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, toda vez que consta acreditado por la documentación obrante en el expediente y las propias alegaciones de la responsable del CEIP que omitió su deber de garantizar previamente que el contenido de la información que se incluye en dicha web es adecuada y pertinente, con base, entre otros, en su propia regulación normativa arriba transcrita, al haber permitido la inclusión en la citada web de contenidos indebidos. Estos contenidos indebidos y publicados en la citada web dando acceso a los mismos por terceros - renta familiar, puntuación económica, puntuación social - constan en el documento publicado indebidamente en la plataforma “***PLATAFORMA.1” y con el título “solicitudes de ayudas asistenciales de comedor curso 2019/2020”, documento solicitado por la Inspección de la AEPD y remitido por la responsable del tratamiento a esta AEPD en fecha 21/02/2020, con número de registro de entrada 008501/2020. De las actuaciones practicadas, se ha verificado que las medidas de seguridad con las que contaba la entidad investigada en relación con los datos que sometía a tratamiento en calidad de responsable, no eran las adecuadas al momento de producirse la quiebra de seguridad de datos personales, con la consecuencia de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 exposición pública en la citada plataforma de los citados datos personales de las familias de los alumnos. Es decir, los afectados se han visto desprovistos del control sobre sus datos personales haciéndose público un determinado posicionamiento económico y social cuya revelación pública no tiene por qué haber sido consentida por su titular. Esta posibilidad supone un riesgo que se ha de ponderar a la hora de tratar determinados datos que resultan inapropiados para la finalidad con la que han sido recabados y que aumenta la exigencia del grado de protección en relación con la seguridad y salvaguarda de la confidencialidad de estos datos. Este riesgo debe ser tenido en cuenta por el responsable del tratamiento y en función del mismo haber establecido las medidas que hubieran impedido la pérdida de control de los datos por parte del responsable del tratamiento y, por tanto, por parte de los titulares de los datos que los proporcionaron a éste. En consecuencia, se debe imputar infracción del artículo 32.1.
  12. b)del RGPD en relación con el art 5.1.
  13. f)del RGPD y tipificado en el artículo 83.4 del RGPD. VI El artículo 83.4 del RGPD dispone lo siguiente: 4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; Por su parte, el artículo 71 de la LOPDGDD, bajo la rúbrica “Infracciones”, señala lo siguiente: Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica. La falta de diligencia a la hora de implementar las medidas de seguridad adecuadas y con la consecuencia de haber vulnerado los derechos y libertades de los afectados constituye el elemento de la culpabilidad que requiere la imposición de sanción. Respecto a la prescripción de las infracciones se ha de estar a las previsiones de la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) cuyo artículo 73.
  15. g)considera infracción grave, siendo su plazo de prescripción de dos años, “El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. En el presente caso concurre la circunstancia prevista en el artículo 73.
  16. g)de la LOPDGDD arriba transcrito. VII El artículo 5.1.
  17. f)del RGPD, Principios relativos al tratamiento, señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 1. Los datos personales serán: (…)
  18. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). En el presente caso, la brecha de seguridad también debe ser calificada de confidencialidad, al tener el tratamiento notificado la consecuencia de un acceso ilícito por terceros ajenos con conocimiento de su contenido. En consecuencia, se debe imputar infracción del artículo 5.1.
  19. f)del RGPD (principio de confidencialidad), tipificado en el artículo 83.5 del RGPD. El artículo 83.5 del RGPD dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” En el presente caso, consta vulneración del ya citado artículo 5.1.
  21. f)del RGPD, tipificado en el art. 83.5 del RGPD arriba transcrito. Por su parte, el artículo 71 de la LOPDGDD, bajo la rúbrica “Infracciones”, señala lo siguiente: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Establece el artículo 72 de la LOPDGDD, bajo la rúbrica “Infracciones consideradas muy graves”, lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  22. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. En el presente caso, consta que el acceso ilícito por terceros ajenos a la información sensible de los alumnos y las familias del CEIP implica la vulneración del deber de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 confidencialidad de los datos de los que es responsable la Consejería de Educación, Cultura y Deportes. Respecto a la prescripción de las infracciones se ha de estar a las previsiones de la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales cuyo artículo 72.1.
  23. a)de la LOPDGDD considera infracción muy grave a efectos de prescripción. En consecuencia, concurre la circunstancia prevista en el artículo 72.1.
  24. a)de la LOPDGDD arriba transcrito. VIII La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  25. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  26. b)Los órganos jurisdiccionales.
  27. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  28. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  29. e)Las autoridades administrativas independientes.
  30. f)El Banco de España.
  31. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  32. h)Las fundaciones del sector público.
  33. i)Las Universidades Públicas.
  34. j)Los consorcios.
  35. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (el subrayado es de la AEPD). La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. De conformidad con las sólidas evidencias de las que se dispone señaladas en los hechos probados, la brecha de seguridad ahora analizada constituye, por parte la Conselleria de Educación, Cultura y Deporte de la Generalitat Valenciana infracción a lo dispuesto en el artículo 32.1
  36. b)del RGPD en relación con el artículo 5.1.
  37. f)del RGPD e infracción del artículo 5.1.
  38. f)del RGPD, toda vez que el responsable del tratamiento vulneró su propio protocolo para garantizar la seguridad de los tratamientos y no establecer las medidas organizativas adecuadas para garantizar la seguridad de los mismos, todo ello con la consecuencia añadida de vulneración del principio de confidencialidad sobre datos de carácter personal relativos a la “renta familiar, puntuación económica y puntuación social” de las familias de los alumnos del citado CEIP. No obstante, si bien el responsable ha manifestado que ha implantado las medidas correctoras adecuadas para evitar la repetición en el futuro de los hechos analizados, no constan acreditadas que dichas medidas correctoras hayan sido implantadas. A la vista de lo expuesto se procede a emitir la siguiente Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE DE LA GENERALITAT VALENCIANA, con NIF S4611001A, por infracción del Artículo 32.1.
  39. b)del RGPD tipificada en el Artículo 83.4 del RGPD y por infracción del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 artículo 5.1.
  40. f)del RGPD tipificada en el artículo 83.5 del RGPD, la sanción de apercibimiento. REQUERIR a la CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE DE LA GENERALITAT VALENCIANA, con NIF S4611001A, a que aporte en el plazo de tres meses a esta AEPD, acreditación de las medidas que ha implantado en el sistema de información de la plataforma “***PLATAFORMA.1” para evitar la repetición en el futuro de los hechos analizados en el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a CONSELLERIA DE EDUCACIÓN, CULTURA Y DEPORTE DE LA GENERALITAT VALENCIANA, con NIF S4611001A. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  41. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.