← España

PS-00174-2023

1/24  Expediente N.º: EXP202301851 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 05/01/2023 se interpuso una reclamación ante la Agencia Española de Protección de Datos por una presunta infracción de la normativa de protección de datos de carácter personal imputable a la VICECONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES E INVESTIGACIÓN de la Junta de Comunidades de Castilla La Mancha, con NIF S1911001D (en adelante, la parte reclamada o la VICECONSEJERÍA). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: La reclamación se presenta por A.A.A. junto a sus representantes legales (parte reclamante). Se pone de manifiesto que esta (…) y que, en fecha 24/11/2022, cuando A.A.A. estaba (…), de la localidad de (…). Se considera que esta actuación vulnera el derecho de A.A.A. a la protección de sus datos personales. Se solicita la apertura de un procedimiento sancionador y se pide también que “se aperture expediente para la fijación de indemnización económica […], por las secuelas derivadas en su persona por la intromisión y vulneración de los descritos derechos fundamentales de los que ha sido víctima”. A efectos acreditativos se aporta la siguiente documentación: - Copia del mensaje enviado por el ***PUESTO.1. Captura de pantalla de un terminal móvil con la siguiente información: “(...)”. El nombre y los dos apellidos de A.A.A. seguido de la indicación “Recibidos”. A continuación, la letra “(…)” dentro de un círculo rojo; “B.B.B.…”; “(…)” (el subrayado es nuestro). Y un mensaje con este texto: “(…)” - Tres Informes de “***INFORME.1 de A.A.A. emitidos antes y después de los hechos sobre los que versa la reclamación.  Los dos primeros informes refieren un diagnóstico de (...). Como fechas (…) figuran, respectivamente, el 15/05/2022 y 15/6/2022 en el primero de los informes y el 02/11/2022 y el 07/11/2022 en el segundo.  El tercer informe, en el apartado “***APARTADO.1”, indica que “en las dos últimas semanas se ha visto (…) […]”. En este informe constan como fechas (…) el 13/12/2022 y el 19/12/2022, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 -Un documento ilegible que parece corresponder a un ***INFORME.2 emitido por un profesional colegiado. -Copia del DNI (anverso y reverso) de A.A.A. y de sus representantes legales. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la Consejería de Educación, Cultura y Deportes de la Junta de Comunidades de Castilla La Mancha (JCCLM) para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó según las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue aceptado en fecha 16/02/2023 como consta en el acuse de recibo que obra en el expediente. Se dio respuesta a la actuación de traslado y solicitud de información en fecha 16/03/2023. Responde la Delegada de Protección de Datos (DPD), quien aclara que la figura del DPD es única para toda la Administración autonómica excepto para el Servicio de Salud de Castilla La Mancha. Ha remitido dos documentos: “La respuesta de la Viceconsejería de Educación a la solicitud de información de la AEPD por la reclamación presentada en el expediente Nº: EXP202301851” y un informe emitido por la propia DPD. A.- Respuesta de la Viceconsejería de Educación a la solicitud de información de la AEPD por la reclamación presentada en el expediente Nº: EXP202301851. La Viceconsejería de Educación se atribuye la condición de responsable del tratamiento de datos que es objeto de la reclamación formulada y dedica el primer punto de su escrito a defender tal condición: “Esta Viceconsejería de educación es responsable del tratamiento de “Gestión Alumnado”, dado de alta en el RAT de esta Administración con el código 0372, cuya finalidad es la gestión administrativa y educativa del alumnado de centros docentes de Castilla-La Mancha, así como el uso de los recursos educativos digitales por parte de la comunidad educativa.” Seguidamente hace estas manifestaciones: 1º) Confirma el envío (…). Declara que “se ha confirmado que el envío del (…), (enviado por el ***PUESTO.1) (…), de acuerdo con el asesoramiento del departamento de orientación del centro (…)..” Añade que en ningún momento se quisieron transmitir (…) y que “en el propio mensaje puede advertirse que se ruega (se pretendía (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 2º) Afirma que, el centro educativo, tan pronto como advirtió el error, contactó (…). 3º) Destaca que los centros educativos son perfectamente conocedores de la necesidad de tratar (…) “con absoluta confidencialidad, (…)”. En tal sentido, advierte que en esta materia son de aplicación -además de los artículos 5.1.

  1. f)del RGPD, 5 de la LOPDGDD y la disposición adicional vigesimotercera de la L.O.2/2006 de Educación- un elenco de normas reglamentarias aprobadas a instancia de la Consejería que aluden al deber de confidencialidad en el ámbito de la salud e inclusión educativa. Relaciona en particular las siguientes: - La Disposición Adicional segunda –“Confidencialidad y protección de datos”- del Decreto 85/2018, de 20 de noviembre, por el que se regula la inclusión educativa del alumnado en la Comunidad autónoma de Castilla La Mancha, que establece: “1.- El profesorado y el resto del personal que, en el ejercicio de sus funciones, deban conocer el contenido del informe de evaluación psicopedagógica, del dictamen de escolarización o de otros documentos contenidos en el expediente, garantizarán su confidencialidad y quedarán sujetos al deber de sigilo. 2.- Serán responsables de su guardia y custodia las unidades administrativas en las que se deposite el expediente. 3.- En el tratamiento de los datos del alumnado se aplicarán normas técnicas y organizativas que garanticen su seguridad y confidencialidad, estando sujeto a la legislación en materia de protección de datos de carácter personal. Los datos se utilizarán estrictamente para la función docente, orientadora y planificadora, no pudiendo tratarse con fines diferentes del educativo sin consentimiento expreso del alumnado o de los padres, madres o representantes legales en el caso de que aquéllos sean menores de edad o estén incapacitados.” (El subrayado es nuestro) -La Resolución de 26/01/2019, de la Dirección General de Programas, Atención a la Diversidad y Formación Profesional, que regula la escolarización del alumnado que requiere medidas individualizadas y extraordinarias de inclusión educativa. En el apartado 2, relativo al “Proceso de identificación de barreras y potencialidades para la participación e inclusión educativa: evaluación psicopedagógica”, en las letras
  2. h)e i), se establece lo siguiente: “
  3. h)El profesorado y el resto de profesionales que trabajan con el alumnado, en el ejercicio de sus funciones, deben conocer el contenido del informe de evaluación psicopedagógico, garantizando su confidencialidad y quedando sujeto al deber de sigilo.
  4. i)El informe psicopedagógico y la documentación relativa a la evaluación psicopedagógica se incluirá en el expediente del alumno. Se podrá archivar en formato digital y cumplirá con lo exigido por la normativa en materia de protección de datos. (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 Además, la VICECONSEJERÍA subraya que se han remitido directamente a los centros docentes públicos diversas instrucciones que, entre otros aspectos, aluden a la confidencialidad. Entre ellas pueden mencionarse las impartidas por la Secretaría General de la Consejería (remitidas a todos los centros educativos en fecha 04/07/2018), cuyo apartado 4 dispone lo siguiente: “4.Confidencialidad de los datos de carácter personal. Con independencia de los aludidos deberes de registro de las actividades de tratamiento y de información a los interesados, el profesorado y las demás personas de ese centro que traten datos personales o familiares o que accedan a los correspondientes ficheros están sujetos al deber de secreto. Así mismo, en el tratamiento de esos datos se deben aplicar las normas técnicas y organizativas necesarias para garantizar su seguridad y confidencialidad”. Entre esas normas, deberán tenerse en cuenta las medidas de seguridad existentes para el acceso y utilización de los distintos sistemas informáticos y plataformas en las que se conserven datos personales, como Delphos y Papás 2.0, entre ellas, es importante respetar el carácter reservado y personal de las contraseñas que se faciliten para el acceso o asegurar el bloqueo temporal del acceso a estas aplicaciones en los equipos informáticos en los momentos en los que el personal autorizado no esté presente. Del mismo modo, debe guardarse la debida diligencia en el tratamiento, archivo y conservación de la documentación en papel existente en el centro que contenga datos personales”. (El subrayado es nuestro) 4º) Que la VICECONSEJERÍA ha recomendado a los centros docentes públicos el “uso preferente de la plataforma corporativa EducamosCLM (anteriormente denominada Papás 2.0) para la comunicación con el alumnado y familias” (Instrucción tercera de la Resolución de 22/06/2022, de la Consejería de Educación, Cultura y Deportes, por la que se dictan instrucciones para el curso 2022/2023 en la comunidad autónoma de Castilla-La Mancha, DOCM nº 121, de 27-6-2022). 5º) Que en “ el módulo de esa plataforma EducamosCLM recomendada para el envío de las comunicaciones a los distintos grupos (familias, alumnado o profesorado) se han adoptado diversas medidas técnicas tendentes a garantizar el envío correcto de los mensajes y para su supresión en caso de error, para asegurar la confidencialidad. En este caso no se ha utilizado dicha plataforma por el centro para en el envío del mensaje erróneo, quizá porque se pretendía enviar una comunicación interna al profesorado, y no un mensaje al alumnado, por lo que las medidas implantadas no han podido ser eficaces para evitar el error. No obstante, en las instrucciones que se adoptarán de cara al próximo curso está previsto reiterar nuevamente a los centros docentes esta preferencia de uso de la plataforma EducamosCLM en las comunicaciones con las familias y el alumnado y se recordará esta recomendación en particular al centro docente afectado.” (El subrayado es nuestro) La VICECONSEJERÍA de Educación conclusiones: C/ Jorge Juan, 6 28001 – Madrid finaliza sus manifestaciones con dos www.aepd.es sedeaepd.gob.es 5/24 (
  5. i)Que “se han adoptado y revisado convenientemente las medidas organizativas y técnicas apropiadas para garantizar que el tratamiento es conforme con la legislación sobre protección de datos, teniendo en cuenta la naturaleza, el ámbito, el contexto, los fines y posibles riesgos del tratamiento al que se refiere la reclamación, sin perjuicio de que sea inevitable la existencia de errores humanos en la ejecución del tratamiento, como el que ha podido causar esta reclamación.” (
  6. i)Que “el centro afectado ha reaccionado al error cometido con rapidez y corrección, pidiendo disculpas a los afectados por el evidente error cometido en la selección de los destinatarios de un mensaje que, precisamente, iba destinado a proteger la seguridad y salud de A.A.A. ante su situación anímica y en el que se rogaba asimismo la confidencialidad. Por todo ello, se solicita que se tenga en cuenta lo anteriormente expuesto en relación con la reclamación presentada.” B. Informe de la DPD: Comienza indicando que, en el supuesto planteado, la responsable del tratamiento efectuado es la “Viceconsejería” de Educación de la JCCLM. Dice sobre este extremo: “El tratamiento de datos personales en el que está incluido la actividad docente en los centros educativos está inscrito en el Registro de Actividades de Tratamiento de la Junta de Comunidades de Castilla-La Mancha, código 0372, con la siguiente información: <<0542 – Mensajes de Alertas Informativas.[sic] RESPONSABLE DEL TRATAMIENTO: Viceconsejería de Educación FINALIDAD: Gestión administrativa y educativa del alumnado de centros docentes de Castilla-La Mancha, así como el uso de los recursos educativos digitales por parte de la comunidad educativa>>. La DPD responde a las preguntas de la Subdirección General de Inspección de Datos en los siguientes términos: 1.-En relación con los “Informes técnicos o aportaciones del DPD”. Aclara que la figura del DPD en esa Administración es única para toda la Administración regional, excepto para el Servicio de Salud de Castilla y que “existen recomendaciones e instrucciones generales de la Delegada de Protección de Datos y la Unidad de Protección de datos respecto a las obligaciones a cumplir por parte de todos los responsables de los tratamientos, así como actividades de concienciación y formación en materia de protección de datos que son generales para toda la administración de la Junta de Comunidades de Castilla-La Mancha Por lo que atañe al “sector educativo”, dice que, a instancia de la DPD, se envió en 2018 a la Consejería de Educación para su publicación y difusión entre todos los Centros educativos, la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 - Modelos de cláusulas informativas facilitadas por Protección de Datos con participación del Centro Regional del Profesorado. - Tratamientos gestionados por los centros dadas de alta en el RAT en el momento del envío del correo. - Informe de la AEPD sobre el uso de aplicaciones con datos personales en la nube distintas de las plataformas educativas corporativas - Guía para Centros Educativos. - Decálogo de protección de datos para la comunidad educativa elaborado por Protección de Datos con la Unidad que coordina la Protección de datos en Educación, basada en la de la Agencia Española de Protección de Datos: […] - Obligaciones para los responsables de tratamientos -Obligaciones de las personas usuarias con acceso a datos personales. - Instrucción para la gestión de reclamaciones en materia de protección de datos - Instrucción para la notificación de brechas de seguridad - Instrucción para la gestión del ejercicio de derechos en materia de protección de datos Informa de que esos documentos, junto con otros, se encuentran en el Portal Educamos CLM incluidos en el apartado de protección de datos (https://www.educa.jccm.es/es/centros/organizacion-funcionamiento/proteccion-datoscentros-educativos). Añade que “desde la propia Consejería de Educación, Cultura y Deportes se han dirigido diversas comunicaciones a todos los centros educativos públicos sobre el cumplimiento de la legislación aplicable en materia de protección de datos y otras medidas de difusión en esta materia, como actividades formativas a través del Centro Regional de Formación del Profesorado. También, y como consecuencia de anteriores reclamaciones recibidas por la Viceconsejería de Educación en relación con este tratamiento, la unidad de protección de datos y la delegada de protección de datos han mantenido varias reuniones en las que se han identificado medidas a implantar en la plataforma Educamos CLM para minimizar los riesgos a los derechos y libertades de los afectados. En concreto en el módulo de comunicaciones se han incorporado diversos avisos para evitar errores en los mensajes enviados: Incorpora una captura de pantalla en la que puede verse que en el apartado “Enviar mensajes a grupos”, inmediatamente antes de los espacios a cumplimentar que llevan por título “Grupo”, “Alumnos” y “Seleccionar solo algunas personas”, se ha incluido un aviso con esta leyenda: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 “Va a enviar un correo a varios destinatarios. Asegúrese de que todos ellos deben recibirlo y, si el mensaje incluye o adjunta datos personales, que su difusión colectiva es conforme con la normativa reguladora de esta materia”. 2.- Respecto a “La decisión adoptada a propósito de esta reclamación”. La DPD declara que procedió a investigar el hecho que ha motivado la reclamación. “Contactó con el centro educativo para comunicarles este hecho.” Contactó también “con la persona remitente del mensaje enviado y este le dijo que se trataba de un lamentable error.” Se remite a la exposición que sobre esta cuestión la Viceconsejería de Educación en el Informe emitido cuya copia ha aportado. 3.- En cuanto a “las causas que han motivado la incidencia” la DPD expone: “En el caso que nos ocupa es un error humano ocurrido al seleccionar a los destinatarios del mensaje, tal y como ya se ha indicado en el apartado anterior y que el responsable refleja en su informe: En ningún momento se quiso transmitir (…) y en el propio mensaje puede advertirse que se ruega (se pretendía (…) con esta situación.” Añade que: -“el remitente se dio cuenta rápidamente y tomó medidas inmediatas: Tan pronto como se advirtió el error, (…).” - “Según la información facilitada por el centro, el correo erróneo fue eliminado el mismo día de su envío a las 15:15 horas.” 4.- En cuanto “las medidas adoptadas” manifiesta que, como explica en su informe el responsable del tratamiento, “todo el personal está informado de cómo actuar en materia de protección de datos”. Concluye que “se considera que por parte de esta Consejería se han adoptado y revisado convenientemente las medidas organizativas y técnicas apropiadas para garantizar que el tratamiento es conforme con la legislación sobre protección de datos, teniendo en cuenta la naturaleza, el ámbito, el contexto, los fines y posibles riesgos del tratamiento al que se refiere la reclamación, sin perjuicio de que sea inevitable la existencia de errores humanos en la ejecución del tratamiento, como el que ha podido causar esta reclamación.” Que el responsable, en su informe, en relación con la utilización de una herramienta diferente a las recomendadas, indica: “en las instrucciones que se adoptarán de cara al próximo curso está previsto reiterar nuevamente a los centros docentes esta preferencia de uso de la plataforma EducamosCLM en las comunicaciones con las familias y el alumnado y se recordará esta recomendación en particular al centro docente afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 La DPD aporta copia de dos correos electrónicos: el enviado por ella, a raíz de esta reclamación, a la unidad de protección de datos de Educación incluyendo recomendaciones y la respuesta recibida. TERCERO: En fecha 03/04/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La parte reclamante ha solicitado que “se aperture expediente para la fijación de indemnización económica a (…) mis representados, […]”. Sobre ese particular procede indicar que la AEPD carece de competencia para tramitar y pronunciarse sobre pretensiones de esa naturaleza. A efectos informativos recordamos que el artículo 82 del RGPD, “Derecho a indemnización y responsabilidad”, reconoce en el apartado 1 el derecho de toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos. No obstante, ese derecho deberá de ser ejercitado en su caso mediante la presentación de la acción judicial ante los órganos judiciales competentes del correspondiente orden jurisdiccional, el cual va a depender, entre otros aspectos, de la naturaleza del responsable o encargado que haya sido responsable de dicha infracción. En este sentido se pronuncia el apartado sexto del citado del artículo 82 y el apartado segundo del artículo 79 del RGPD. Por lo expuesto, sin perjuicio del derecho que asiste a la parte reclamante a reclamar dicha indemnización ante las autoridades jurisdiccionales competentes, la presente Autoridad no puede pronunciarse sobre la existencia, alcance o determinación de la cuantía, en base a los argumentos anteriormente esgrimidos. QUINTO: Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.
  7. f)del RGPD, tipificada en el artículo 83.5.
  8. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó, el 3 de marzo de 2025, escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente y, en consecuencia, solicita el archivo de las actuaciones iniciadas por Acuerdo de la AEPD. «Primera: Procedencia del archivo de las actuaciones por aplicación del artículo 65.6 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. (…) mediante escrito enviado a la AEPD con fecha 16-3-2023 esta Viceconsejería y la Delegada de Protección de Datos de esta Administración han expuesto y acreditado suficientemente las medidas organizativas y técnicas adoptadas por parte del responsable del tratamiento para que los datos del alumnado “sean tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”(conforme establece el art. 5.1.
  9. f)del RGPD y así disminuir el riesgo de incidentes o errores que afecten a la seguridad, conforme establece la legislación sobre protección de datos, teniendo en cuenta la naturaleza, el ámbito, el contexto, los fines y posibles riesgos del tratamiento. Así mismo, esta Viceconsejería puso de manifiesto a ese organismo que el centro educativo, cuyo ***PUESTO.1 cometió el error que causó la reclamación del progenitor, reaccionó al error cometido con rapidez, suprimiendo el mensaje remitido el mismo día de su envío y pidiendo disculpas a los afectados por el evidente error cometido. El incidente, (…), fue provocado por la selección errónea del grupo de destinatarios de un mensaje por parte del ***PUESTO.1 (…). Sin perjuicio de lo anterior, debe admitirse asimismo que es imposible evitar la existencia ocasional de errores humanos en la ejecución de un tratamiento desarrollado por más de treinta mil profesionales docentes durante toda la vida académica del alumnado (…). Así, del tenor de los artículos 24 y 32 del RGPD se desprende que estas disposiciones se limitan a obligar al responsable del tratamiento a adoptar medidas técnicas y organizativas destinadas a evitar, en la medida de lo posible, cualquier violación de la seguridad de los datos personales…” (STJUE de 1412-2023, asunto C 340/21). (…) Esta consideración de la adecuación de las medidas puede constatarse asimismo teniendo en cuenta que los interesados de este tratamiento de Gestión de Alumnado superan las 350.000 personas (alumnado de todas las enseñanzas educativas) y que, desde la fecha de entrada en vigor del RGPD, (…), en esta Consejería (…) solo nos consta que se hayan detectado y comunicado a esa AEPD únicamente 4 brechas de seguridad y un número mínimamente significativo de reclamaciones. (…). Sin negar que en este caso las medidas no han impedido una aplicación individual errónea, consideramos que la eficacia de esas medidas debe valorarse atendiendo a los factores previstos en los artículos 24 y 32 del RGPD, con respecto la globalidad de los interesados y datos afectados en el tratamiento y no descartar dicha eficacia por un suceso erróneo individual (…). A ello se añade que la responsabilidad se ha tratado de ejercer en todo momento de forma proactiva, revisando y actualizando las medidas adoptadas de forma periódica y en las ocasiones en que se ha detectado algún posible riesgo. (…) Por lo tanto, creemos que es plenamente aplicable en este caso lo dispuesto en el artículo 65.6 de la citada LOPDGDD, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 Segunda: El incidente producido en este caso no revela la inadecuación o insuficiencia de las medidas adoptadas en el tratamiento en el que se ha producido el error o incidente, por aplicación de la jurisprudencia del TSJUE. En el Acuerdo de inicio del procedimiento sancionador no se cuestiona de forma específica la adecuación o eficacia de las medidas adoptadas por el responsable para lograr el fin pretendido, esto es, minimizar los riesgos inherentes al tratamiento de datos personales en un contexto como el ejercicio de la función docente u orientadora, sino que, de la constancia de la vulneración de la confidencialidad producida en el caso concreto que ha sido objeto de reclamación como consecuencia del error cometido por un profesor, parece concluirse (inicialmente y sin perjuicio de valoraciones posteriores) la insuficiencia de estas medidas. (…) Tal y como ya se ha señalado en la primera alegación, esta Administración considera que, en este tratamiento concreto y más específicamente en relación con las comunicaciones a través de medios digitales que deba realizar el profesorado, se ha acreditado que las medidas aplicadas en el tratamiento afectado hasta la fecha pueden considerarse apropiadas, sin perjuicio de la imposibilidad de eliminar por completo cualquier posible riesgo por actuaciones individuales erróneas, (…). A ello se refiere la citada Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 14 de diciembre de 2023 (asunto C 340/21) (…). Según se expone en el numeral 17 de dicha sentencia, “El órgano jurisdiccional remitente, de entrada, considera posible que la constatación de que se ha producido una violación de la seguridad de los datos personales permita, por sí sola, concluir que las medidas adoptadas por el responsable del tratamiento de esos datos no eran «apropiadas», en el sentido de los artículos 24 y 32 del RGPD”. En respuesta a esta cuestión prejudicial, el TSJUE realiza una serie de consideraciones algunas de las cuales, por su interés y relación con este procedimiento, creemos conveniente reproducir: …“22 Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 24 y 32 del RGPD deben interpretarse en el sentido de que una comunicación no autorizada de datos personales o un acceso no autorizado a tales datos por parte de «terceros», a los efectos del artículo 4, punto 10, del mencionado Reglamento, bastan, por sí solos, para considerar que las medidas técnicas y organizativas adoptadas por el responsable del tratamiento no eran «apropiadas» con arreglo a los citados artículos 24 y 32”… “29 La referencia que figura en el artículo 32, apartados 1 y 2, del RGPD, a «un nivel de seguridad adecuado al riesgo» y a un «nivel de seguridad adecuado» pone de manifiesto que este Reglamento instaura un régimen de gestión de riesgos y que en modo alguno pretende eliminar los riesgos de violación de la seguridad de los datos personales”. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 “31 Por consiguiente, los artículos 24 y 32 del RGPD no pueden entenderse en el sentido de que una comunicación no autorizada de datos personales o un acceso no autorizado a dichos datos por parte de un tercero basten para concluir que las medidas adoptadas por el responsable del tratamiento no eran apropiadas, en el sentido de esas disposiciones, sin siquiera permitir a este último aportar la prueba en contrario”. “32 Tal interpretación se impone tanto más cuanto que el artículo 24 del RGPD establece expresamente que el responsable del tratamiento debe poder demostrar la conformidad con dicho Reglamento de las medidas que ha adoptado, posibilidad de la que se vería privado si se admitiera una presunción iuris et de iure”. (…) “34 En lo que se refiere, por un lado, al contexto en el que se inscriben estos dos artículos, procede señalar que del artículo 5, apartado 2, del RGPD se desprende que el responsable del tratamiento debe poder demostrar que ha respetado los principios relativos al tratamiento de datos personales establecidos en el apartado 1 del mismo artículo. Esta obligación se recoge y desarrolla en los artículos 24, apartados 1 y 3, y 32, apartado 3, del mencionado Reglamento, en lo que se refiere a la obligación de adoptar medidas técnicas y organizativas para proteger estos datos en el tratamiento llevado a cabo por dicho responsable. Pues bien, esta obligación de demostrar que esas medidas son apropiadas carecería de sentido si el responsable del tratamiento estuviera obligado a impedir toda violación de la seguridad de dichos datos”. “38 Por otro lado, la interpretación expuesta en el apartado 31 de la presente sentencia también se ve respaldada por el considerando 83 del RGPD, que establece, en su primera frase, que, «a fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos». De este modo, el legislador de la Unión manifestó su intención de «mitigar» los riesgos de violación de la seguridad de los datos personales, sin pretender llegar a eliminarlos”. “39 Por cuantas razones anteceden, procede responder a la primera cuestión prejudicial que los artículos 24 y 32 del RGPD deben interpretarse en el sentido de que una comunicación no autorizada de datos personales o un acceso no autorizado a tales datos por parte de «terceros», a los efectos del artículo 4, punto 10, del mencionado Reglamento, no bastan, por sí solos, para considerar que las medidas técnicas y organizativas adoptadas por el responsable del tratamiento no eran «apropiadas» con arreglo a los citados artículos 24 y 32”.» SÉPTIMO: Con fecha 6 de octubre de 2025 se formuló propuesta de resolución, proponiendo: “Que por la Presidencia de la Agencia Española de Protección de Datos se declare la infracción del artículo 5.1.
  10. f)del RGPD, tipificada en el artículo 83.5.
  11. a)del RGPD, por parte de la VICECONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES E INVESTIGACIÓN, con NIF S1911001D. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a VICECONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES E C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 INVESTIGACIÓN, con NIF S1911001D, que en virtud del artículo 58.2.
  12. d)del RGPD, en el plazo máximo de un mes, acredite haber adoptado las medidas necesarias para cumplir las exigencias de los artículos 5.1.
  13. f)del RGPD.” OCTAVO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En el ***CENTRO.1, de la localidad de ***LOCALIDAD.1, dependiente de la VICECONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES E INVESTIGACIÓN de la Junta de Comunidades de Castilla La Mancha, estaba matriculada como alumna A.A.A.. SEGUNDO: A.A.A. presentaba (…), los cuales documentan que (…). SEGUNDO: En fecha 24/11/2022, el ***PUESTO.1 del ***CENTRO.1 envió (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas 1. Respecto a los hechos objeto de la reclamación que nos ocupa, y a tenor de lo establecido en los artículos 4.1 y 4.2 del RGPD, se evidencia la existencia de un tratamiento de los datos de carácter personal de la parte reclamante del que es responsable la VICECONSEJERÍA que habría vulnerado el principio de confidencialidad establecido en el artículo 5.1.
  14. f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 El artículo 4.2 del RGPD define el “Tratamiento de datos” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 2. El RGPD define la figura del responsable del tratamiento, artículo 4.7, como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento”. La VICECONSEJERÍA es la responsable del tratamiento que da origen al presente procedimiento, pues es quien determinó los fines y los medios del tratamiento. La DPD ha comunicado en su respuesta a la actuación de traslado y solicitud de información de la Subdirección General de Inspección de la Agencia, reiterando así lo manifestado por la VICECONSEJERÍA en su Informe, que el responsable del tratamiento de datos objeto de valoración en este procedimiento es la VICECONSEJERÍA de Educación. A fin de evitar confusiones terminológicas resulta preciso aclarar que, cuando la DPD responde a las actuaciones de traslado de la Subdirección General de Inspección, en fecha 16/03/2023, estaba vigente el Decreto 84/2019, de 16 de julio, de la JCCLMA, que establecía la estructura orgánica y distribución de competencias de la Consejería de Educación, Cultura y Deportes, conforme al cual (artículo 3.1.b,) el órgano administrativo responsable del tratamiento se denominaba “VICECONSEJERÍA DE EDUCACIÓN”. Sin embargo, en virtud de lo dispuesto en el artículo 3.1.
  15. b)del Decreto 108/2023, de 25 de julio, por el que se establece la estructura orgánica y distribución de competencias (DOCM de 28/07/2023), que deroga el Decreto 84/2019, ese órgano ha pasado a denominarse “VICECONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES E INVESTIGACIÓN”. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Tal y como ha quedado reflejado en los antecedentes, las alegaciones formuladas al acuerdo de inicio del presente procedimiento sancionador se centran en destacar que la VICECONSEJERÍA ha acreditado la suficiencia de las medidas técnicas y organizativas adoptadas para garantizar la seguridad de los datos personales, incluida su protección frente al tratamiento no autorizado o ilícito y frente a su pérdida, destrucción o daño accidental, en los términos exigidos por el artículo 5.1.
  16. f)del RGPD. A ello añade, que el incidente obedece a un error humano puntual, alegando que resulta imposible evitar la existencia ocasional de tales errores en la ejecución de los numerosos tratamientos de datos personales que lleva a cabo y que el incidente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 producido no revela la inadecuación o insuficiencia de las medidas adoptadas por aplicación de la Sentencia del Tribunal de Justicia de la Unión Europea, de 14 de diciembre de 2023, en el asunto C-340/21. Contrariamente a lo sostenido por la parte reclamada, dichas alegaciones no pueden ser acogidas, atendiendo a las siguientes consideraciones. En el ámbito educativo es frecuente y necesario el tratamiento de datos relativos a la salud física o mental de los alumnos, en la medida en que dicha información resulta imprescindible para garantizar su protección y adecuado desarrollo personal y académico. En este contexto, la Ley Orgánica 8/2021, de 4 de junio, de protección integral a la infancia y la adolescencia frente a la violencia viene a completar el marco establecido en el artículo 124 de la Ley Orgánica 2/2006, de 3 de mayo, de Educación, que regula los planes de convivencia de los centros educativos, al imponer la necesidad de articular protocolos específicos de actuación frente a situaciones de riesgo que puedan afectar a los niños, niñas y adolescentes en el entorno escolar. A este respecto, resulta conveniente precisar que, conforme a lo establecido en el artículo 9 del RGPD, los datos personales relativos a la salud, por su naturaleza particularmente sensible, y tener la consideración de datos de categoría especial, requieren de una protección reforzada. Esta necesidad se acentúa cuando los titulares de los datos son menores de edad, dada la vulnerabilidad específica de este colectivo. En consecuencia, el tratamiento de estos datos personales por parte de los centros educativos debe realizarse con especial cautela y rigor. En particular, debe prestarse especial atención a la hora de determinar e implementar las medidas técnicas y organizativas a fin de garantizar que sean adecuadas al riesgo existente, como la pérdida de confidencialidad. La quiebra de la confidencialidad de los datos de salud de los menores de edad, en la medida en que conlleva la revelación de circunstancias o información relativas a su esfera más íntima y personal, constituye una injerencia especialmente relevante en sus derechos fundamentales, pudiendo ocasionar graves perjuicios como sucedió en este caso y queda reflejado en el último de los informes médicos aportado con el escrito de reclamación. En resumen, el tratamiento de los datos de salud de los alumnos por parte de los centros educativos, considerados entornos de socialización centrales en la vida de los niños, niñas y adolescentes, implica un riesgo significativo para sus derechos y libertades fundamentales pues puede llegar a provocar daños y perjuicios de carácter físico, material o inmaterial. Como se indicaba en el Fundamento de Derecho IV del acuerdo de inicio, en el presente caso, existen elementos que pondrían de manifiesto la falta de diligencia de la VICECONSEJERÍA en el cumplimiento de la obligación impuesta por el artículo 5.1.
  17. f)del RGPD de garantizar la confidencialidad de los datos tratados debido a que, o bien no se adoptaron las medidas adecuadas para evitar la difusión indebida de la información sensible de un menor, o las mismas habrían sido insuficientes. El cuidado en el uso del correo electrónico resulta vital en cualquier organización, dado su uso cotidiano para el envío de información sensible de la que interesa preservar características como la confidencialidad. Con mayor razón aún, si la información afecta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 a menores de edad. Por lo expuesto, los centros educativos deben maximizar los controles y extremar las precauciones en los sistemas de correo corporativos. Para ello, es necesario identificar los riesgos a los que se está expuesto, siendo el envío accidental de información a destinatarios incorrectos un riesgo perfectamente identificable en la práctica. En el presente caso, estamos ante la utilización del correo electrónico como medio de comunicación para la trasmisión de información sensible de A.A.A. a un grupo de personas (el profesorado del ***CENTRO.1), al margen del mecanismo de mensajería propio de la plataforma educativa Educamos CLM. La propia DPD lo reconoce en uno de los e-mails aportados en su respuesta a la actuación de traslado: “en este caso han utilizado una herramienta distinta a las recomendadas por el responsable”. Así lo reconoce también el responsable del tratamiento quien, en su respuesta al traslado de la reclamación, manifiesta: “En este caso no se ha utilizado dicha plataforma por el centro para en el envío del mensaje erróneo, quizá porque se pretendía enviar una comunicación interna al profesorado, y no un mensaje al alumnado, por lo que las medidas implantadas no han podido ser eficaces para evitar el error.” (El subrayado es nuestro) Conviene precisar, llegados a este punto, que el cumplimiento de la normativa en materia de protección de datos, en particular en este caso, de la existencia de medidas técnicas y organizativas de todo tipo que garanticen el principio de integridad y confidencialidad de estos, no debe entenderse como un mero cumplimiento formal. Al contrario, la adopción de medidas debe ir acompañada de un adecuado diseño (con carácter previo), así como una idónea implementación. En este sentido, se ha pronunciado la SAN de 29 de octubre de 2024, rec. 1824/2021, dispone que “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. En la misma línea la STS de 15 de febrero 2022 (Rec. 7359/2020) indica que: “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso”. En el presente caso, el desarrollo de los acontecimientos evidencia la inadecuación en la implementación de las medidas frente a riesgos previsibles. Así las cosas, cuando la información que se transmite es sensible y contienen datos de categoría especial, el uso de protocolos seguros debe considerarse obligatorio (no solo recomendable) en el seno de la organización. La mera publicación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 documentos orientativos o la formulación de recomendaciones no obligatorias no garantizan por sí mismas la efectiva aplicación de medidas del artículo 5.1.
  18. f)del RGPD, ni previenen de forma adecuada el riesgo de errores humanos en la ejecución de los tratamientos, máxime cuando el propio incidente evidencia que el ***PUESTO.1 pudo omitir dichas recomendaciones sin restricción alguna. Así, resulta llamativo que, cuando el ***PUESTO.1 se disponía a realizar el envío por una plataforma que, de acuerdo con la parte reclamada, no era la recomendada para llevar a cabo ese tipo de comunicaciones, no recibiera ningún tipo de aviso con carácter previo, alertándole de estas circunstancias e instándole a la remisión mediante el otro canal específicamente habilitado. Por otra parte, tampoco consta que, en el momento de producirse los hechos, la parte reclamada contará con avisos que alertaran sobre que se disponía a realizar un envío a un grupo preconfigurado de destinatarios y sus posibles implicaciones desde la perspectiva de protección de datos personales, teniendo en cuenta el número de receptores de una misma comunicación. Por tanto, la ausencia de controles técnicos efectivos y de protocolos obligatorios que neutralicen el riesgo de un envío erróneo de datos de categoría especial pone de manifiesto que las medidas adoptadas no eran apropiadas para garantizar la confidencialidad de los datos personales de una forma adecuada a la naturaleza del tratamiento, ni habían sido debidamente implementadas Además, conforme a lo establecido en los artículos 24 y 32 del RGPD, el responsable del tratamiento debe garantizar un nivel de seguridad adecuado que contemple no solo los riesgos tecnológicos, sino también los derivados del factor humano. En esta línea, aun cuando lo haga específicamente respecto a la existencia de medidas de seguridad adecuadas al riesgo, se pronuncia la STS núm. 188/2022, de 15 de febrero (rec. 7359/2020), que dispone en su fundamento de derecho cuarto: “El hecho de que fuese la actuación negligente de una empleada no le exime de su responsabilidad en cuanto encargado de la correcta utilización de las medidas de seguridad que deberían haber garantizado la adecuada utilización del sistema de registro de datos diseñado. Como ya sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec. 1916/2020) el encargado del tratamiento responde también por la actuación de sus empleados y no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las medidas de seguridad existentes la que fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos "propios" de sus empleados o cargos, no de terceros”. En línea con lo anterior, existen mecanismos razonables y proporcionados que permiten minimizar errores de envío (como el cifrado de las comunicaciones), de modo que la ausencia de tales salvaguardas evidencia que las medidas adoptadas no eran apropiadas. En materia de protección de datos y, en particular, en aplicación del principio de responsabilidad proactiva consagrado en los artículos 5.2 y 24 del RGPD, se exige al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 responsable del tratamiento implementar medidas tanto preventivas como correctivas o de mitigación que se apliquen de forma continua a lo largo de todo el ciclo de vida del tratamiento. Por consiguiente, la VICECONSEJERÍA no puede pretender quedar exonerada de responsabilidad bajo la mera alegación de “error humano”, puesto que precisamente corresponde al responsable prever y neutralizar ese riesgo mediante medidas preventivas adecuadas. IV Obligación incumplida. Integridad y confidencialidad La letra
  19. f)del artículo 5.1 del RGPD propugna lo siguiente: “1. Los datos personales serán: (…)
  20. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (integridad y confidencialidad)” El artículo 5.1.
  21. f)del RGPD impone al responsable de cualquier tratamiento de datos personales la obligación de garantizar la confidencialidad de los datos que trata, obligación que comprende la protección contra el tratamiento no autorizado o ilícito y, por consiguiente, implica la inexistencia de filtraciones o brechas de confidencialidad. El considerando 39 del RGPD así lo confirma pues dice “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” (El subrayado es nuestro) A propósito de la confidencialidad de los datos cabe citar la Sentencia del Tribunal Constitucional (STC) 292/2000, que, con ocasión de analizar el contenido del derecho fundamental a la protección de datos personales, dice en su Fundamento de Derecho 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) La documentación que obra en el expediente indica que la VICECONSEJERÍA, a través del ***PUESTO.1 del centro en el que estudiaba A.A.A., permitió acceder ilícitamente a los alumnos de la clase de la afectada a información concerniente a su estado de salud psíquica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 Nos remitimos al Informe emitido por la VICECONSEJERÍA – en respuesta a las actuaciones de traslado de la Subdirección General de Inspección de Datos- que confirma que el ***PUESTO.1 envió a los compañeros de clase de A.A.A. un mensaje advirtiendo sobre su estado emocional, cuyo texto se reproduce en el Antecedente Primero de esta resolución. La VICECONSEJERÍA subraya en su informe que el envío de ese mensaje electrónico se habría debido a un error, ya que estaba destinado al profesorado del centro y no al grupo de alumnos, y que el único fin que pretendía su envío era “(…)”. El ***PUESTO.1 del IES, en el desempeño de la función educativa que tiene atribuida, accede lícitamente a la información sobre el estado psíquico de A.A.A., siendo la base de licitud del tratamiento la circunstancia prevista en el artículo 6.1.
  22. c)del RGPD - “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”- en conexión con la Disposición Adicional vigesimotercera de la Ley Orgánica 2/2006, de 3 de mayo, de Educación (LOE), que faculta a los centros educativos a recabar los datos personales de los alumnos necesarios para la función educativa, datos que pueden hacer referencia a “características o condiciones personales, al desarrollo y resultados de su escolarización” y a aquellas “circunstancias cuyo conocimiento sea necesario para la educación y orientación de los alumnos”, debiendo adoptar las medidas técnicas y organizativas que garanticen la seguridad y confidencialidad. La citada Disposición Adicional, bajo la rúbrica “Datos personales de los alumnos”, establece: “1. Los centros docentes podrán recabar los datos personales de su alumnado que sean necesarios para el ejercicio de su función educativa. Dichos datos podrán hacer referencia al origen y ambiente familiar y social, a características o condiciones personales, al desarrollo y resultados de su escolarización, así como a aquellas otras circunstancias cuyo conocimiento sea necesario para la educación y orientación de los alumnos.” […] 3.En el tratamiento de los datos del alumnado se aplicarán normas técnicas y organizativas que garanticen su seguridad y confidencialidad. El profesorado y el resto del personal que, en el ejercicio de sus funciones, acceda a datos personales y familiares o que afecten al honor e intimidad de los menores o sus familias quedará sujeto al deber de sigilo.” (El subrayado es nuestro) Con más detalle, y en el ámbito de la Comunidad Autónoma, la Disposición Adicional 2ª del Decreto 85/2018, de 20 de noviembre, por el que se regula la inclusión educativa del alumnado en la Comunidad autónoma de Castilla La Mancha, establece que el profesorado que deba de acceder al informe de evolución psicopedagógica del alumno tiene un deber de confidencialidad y de sigilo. En virtud del artículo 5.1.
  23. f)del RGPD, el responsable del tratamiento y, por consiguiente, quienes dependían de la VICECONSEJERÍA, estaban obligados a garantizar la confidencialidad de los datos; a impedir el acceso a quienes no están legitimados para su tratamiento, en este caso, al resto de (…).. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24 Existen evidencias de una pérdida de confidencialidad de la información concerniente al (…) habida cuenta de que el texto del mensaje que se envió a quienes no estaban legitimados para acceder a esa información decía que (…). La pérdida de confidencialidad implica un riesgo elevado cuando, como ocurre en el presente caso, afecta a datos de salud, encuadrados en la categoría de datos especialmente protegidos del artículo 9 del RGPD. El tratamiento de datos de esta categoría especial tiene en el RGPD una protección reforzada ya que las consecuencias que se derivan de su tratamiento indebido o del acceso ilícito de terceros pueden ser especialmente gravosas para sus titulares. El último de los informes médicos aportado con el escrito de reclamación -referente a la (…) de la interesada (…)- resulta ser un ejemplo de las consecuencias particularmente graves que puede provocar en el interesado el tratamiento de datos de esa categoría especial que le conciernen. Asimismo, cuando el tratamiento de datos relativos a la salud psíquica afecta a un menor de edad el efecto de la vulneración del principio de confidencialidad se amplifica debido a varios factores como el impacto potencial en el desarrollo emocional del menor y el riesgo de exposición a la discriminación o estigmatización dentro de su entorno social. La vulneración de la confidencialidad de ese tipo de dato puede tener repercusiones prolongadas en su desarrollo, ya que el entorno escolar es fundamental para su crecimiento personal y social. Debe recordarse, además que, a tenor del artículo 5.2 del RGPD -principio de responsabilidad proactiva- corresponde al responsable -la VICECONSEJERÍA- la carga de demostrar que, respecto al tratamiento de datos efectuado, se ha cumplido el principio de integridad y confidencialidad. La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) dispone en el artículo 28.1 que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, […] que resulten responsables de los mismos a título de dolo o culpa.” El considerando 74 del RGPD dice sobre esta cuestión: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” La Sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección 1ª, de 13/04/2005 (Rec. 230/2003), después de dar por sentado que la responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico y que debe de respetarse siempre el principio de culpabilidad -que se infiere de la Constitución, en particular de los principios de legalidad y de prohibición de exceso, artículo 25 C.E., o de las exigencias inherentes al a un Estado de Derecho-, dice lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 “En el caso presente es necesario tomar en consideración […] que cuando existe un deber especifico de vigilancia la culpa se integra por el simple incumplimiento del deber de vigilancia, sin que sea necesaria ninguna mayor acreditación a la hora de valorar si se ha producido la trasgresión del deber de guardar secreto. Este criterio resulta de sentencias como la de fecha 18 de Diciembre de 2002 (recurso 1096/2000) en un supuesto muy semejante al que ahora nos ocupa y cuyos argumentos son perfectamente trasladables al caso presente, según la cual "Pues bien, la conducta que configura el ilícito administrativo -artículo 44.2.
  24. e)dela Ley Orgánica 5/1992requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, (...) pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción prevista en el citado artículo. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente". (El subrayado es nuestro) Así pues, en la conducta infractora que se imputa a la reclamada está presente el elemento de la culpabilidad, que se concreta en la falta de diligencia de la VICECONSEJERÍA en el cumplimiento de la obligación impuesta por el artículo 5.1.
  25. f)RGPD de garantizar la confidencialidad de los datos tratados. En síntesis, en el presente caso, la vulneración del principio de confidencialidad proclamado por el artículo 5.1
  26. f)del RGPD tuvo lugar debido a la ausencia de medidas adecuadas, así como a la inadecuada implementación de las mismas para para evitar la difusión indebida de la información sensible (…). Por tanto, de conformidad con las evidencias de que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la VICECONSEJERÍA, por vulneración del artículo 5.1.
  27. f)del RGPD. V Tipificación y plazo de prescripción de la infracción del artículo 5.1.
  28. f)del RGPD La vulneración del principio de confidencialidad -artículo 5.1.
  29. f)del RGPD- se encuentra tipificada en su artículo 83.5, que dice: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  30. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  31. b)los derechos; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Con la exclusiva finalidad de determinar el plazo de prescripción de las infracciones, el artículo 72 de la LOPDGDD califica de “muy grave” la infracción tipificada en el artículo 83.5.
  32. a)del RGPD y fija para ella un plazo de prescripción de tres años. Así, el artículo 72.1 de la LOPDGDD dispone lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  33. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VI Declaración de infracción El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, establece en su apartado 7: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 de la LOPDGDD, “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”, ha hecho uso de tal habilitación y dispone: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  34. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. Por consiguiente, puesto que la VICECONSEJERÍA, en tanto que responsable del tratamiento está encuadrado en el apartado
  35. c)del artículo 77.1. de la LOPDGDD (al integrar una Administración de una comunidad autónoma), se ha de declarar la infracción del artículo 5.1
  36. f)del RGPD. VII Medidas correctivas Confirmada la infracción, puede acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  37. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Así, en esta resolución se requiere a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la infracción cometida y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimiento, mecanismos o instrumentos concretos para implementarlas corresponda a la parte reclamada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por tanto, se requiere a la VICECONSEJERÍA para que, en el plazo de un mes a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas necesarias para cumplir las exigencias del artículo 5.1.
  38. f)del RGPD en particular en lo que se refiere a la adecuada implementación de medidas para garantizar la protección de datos personales en las comunicaciones realizadas a varios destinatarios. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que VICECONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES E INVESTIGACIÓN, con NIF S1911001D, ha infringido lo dispuesto en el artículo 5.1.
  39. f)del RGPD, infracción tipificada en el artículo 83.5.
  40. a)del RGPD. SEGUNDO: ORDENAR a VICECONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES E INVESTIGACIÓN, con NIF S1911001D, que en virtud del artículo 58.2.
  41. d)del RGPD, en el plazo máximo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber adoptado las medidas necesarias para cumplir las exigencias del artículo 5.1.
  42. f)del RGPD en particular en lo que se refiere a la adecuada implementación de medidas para garantizar la protección de datos personales en las comunicaciones realizadas a varios destinatarios. TERCERO: NOTIFICAR la presente resolución EDUCACIÓN, UNIVERSIDADES E INVESTIGACIÓN. a VICECONSEJERÍA DE CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  43. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.