← España

PS-00219-2021

1/18  Procedimiento PS/00219/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00219/2021, instruido por la Agencia Española de Protección de Datos, a la entidad a la CONSEJERÍA DE EDUCACIÓN del Principado de Asturias, titular y responsable de la página web, ***URL.1, (en adelante, “la parte reclamada”), por presunta infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD); Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD) y de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 09/01/21, tuvo entrada en esta Agencia escrito de reclamación presentado por D. A.A.A. (en adelante, “la parte reclamante”), en el cual, entre otras, se indicaba: “Se detectaron en la página web ***URL.1 infracciones administrativas tipificadas en el Reglamento general de protección de datos («RGPD») y en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, tanto en su política de privacidad como en la política sobre cookies Por otra parte, al acceder a la página web ***URL.1 que se denuncia, se comprueba que se accede a la dirección con protocolo de seguridad “http”, posibilitando así, que otros usuarios puedan interceptar la información que se transfiere desde el terminal del cliente al servidor web, ya que la información que proporcionan los usuarios no se trasfiere de forma segura (encriptada) (…)”. SEGUNDO: Con fecha 24/02/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 15/03/21, se recibe en esta Agencia escrito de contestación de la CONSEJERIA DE EDUCACION del Principado de Asturias (Centro Integrado de Formación Profesional de ***LOCALIDAD.1), donde se indica, entre otras, que: 1.- No tenemos constancia de la incidencia que se relata puesto que ***URL.1 cuenta un apartado de política de privacidad y un apartado de términos de uso como puede comprobarse en: ***URL.2 ***URL.3 No obstante, entra dentro de lo posible que con motivo de actualizaciones de la web algún enlace (links) hubiera quedado roto de forma momentánea o diera error. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 2.- Las políticas de privacidad, condiciones de uso, etc. creemos que están dentro de la normativa vigente. Aun así, hemos explicitado que la "Política de Privacidad" se adecua al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/16. No obstante, la web ***URL.1 no maneja información personal o sensible de usuarios de esta, pues tiene un carácter meramente informativo para los usuarios, de las actividades desarrolladas por el Centro Integrado FP ***LOCALIDAD.1 o noticias relacionadas con la Formación Profesional. 3.- Las "cookies" utilizadas por ***URL.1 no son invasivas ni nocivas, y no contienen datos de carácter personal. No obstante, se informa al usuario que navega por nuestra web que se utilizan y se le pide su aprobación, y que puede desactivarlas siguiendo las instrucciones de su navegador. 4.- Hemos procedido a revisar estos apartados de la web ***URL.1. CUARTO: Con fecha 05/05/21, por parte de esta Agencia se realizan las siguientes comprobaciones sobre la página web, ***URL.1: a).- Sobre el tratamiento de datos personales: 1.- A través del enlace existente en la parte superior de la página principal, <<contacto>>, la web redirige, a una nueva página ***URL.4, desplegándose un formulario donde se pueden introducir datos personales, como el nombre, el correo electrónico y el “asunto” que se quiere indicar. El formulario se puede enviar sin necesidad de haber “leído y aceptado” la política de privacidad o aviso legal. No existe más que un botón con el mensaje de <<enviar>> 2.- Se pueden obtener datos personales de los usuarios a través de la pestaña <<pedir cita previa>>: (Sede virtual  Secretaria Virtual Pedir cita previa), ***URL.5 , donde se pueden incluir datos personales como el nombre, apellidos, DNI, correo electrónico y número de teléfono. El formulario se puede enviar sin necesidad de haber “leído y aceptado” la política de privacidad o aviso legal. No existe más que un botón con el mensaje de <<enviar>> 3.- Se pueden obtener datos personales de los usuarios de la web a través de la pestaña <<trabaja con nosotros>> (Campus  Orientación Empleo  Trabaja con nosotros), ***URL.6, donde se pueden incluir datos personales como el nombre, dirección, teléfono. También se puede adjuntar documentos como el “currículum vitae”. Hay que destacar que en este formulario existe el siguiente mensaje: “Debido al volumen de trabajo y la diversidad de áreas de actuación que abarcamos, tenemos una bolsa de empleo propia para dar respuesta a nuestras necesidades. Si quieres colaborar con nosotros, háznoslo saber”. El formulario se puede enviar sin necesidad de haber “leído y aceptado” la política de privacidad o aviso legal. No existe más que un botón con el mensaje de <<enviar>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 b).- Sobre la “Política de Privacidad”: 1.- A través del enlace, <<Política de Privacidad>>, existente en la parte inferior de la página principal, la web redirige a una nueva página, ***URL.2, donde se informa que el tratamiento de los datos personales se ajusta a la normativa vigente. Además, se proporciona la siguiente información: “(…) 2. FICHEROS: Por Resolución de 28 de mayo de 2003, de la Consejería de Educación y Cultura, BOPA Nº 137 - Sábado, 14 de junio de 2003, se crea el fichero automatizado "Base de datos del Sistema de Administración Unificada de Centros Educativos (SAUCE)", dependiente de la actual Dirección General de Planificación, Centros e Infraestructuras de la Consejería de Educación y Ciencia, en los términos y condiciones fijadas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Por Resolución de 11 de abril de 2003, de la Consejería de Educación y Cultura, BOPA Nº 113 - sábado, 17 de mayo de 2003, se regulan los ficheros de tratamiento automatizado de datos de carácter personal existentes en la Consejería, entre ellos el Sistema Integrado de Gestión de Personal (SIGP), dependiente de la actual Dirección General de Recursos Humanos, en los términos y condiciones fijadas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. La finalidad de los citados ficheros es recoger toda la información necesaria referente al alumnado y al personal dependiente de los centros educativos para la gestión administrativa y educativa de los centros escolares, asegurar la fiabilidad y permitir su utilización por los sistemas de información para facilitar una gestión eficaz. Cipfcerdeno.com puede requerir del conocimiento de datos obrantes en dichos ficheros para hacer extensivos sus servicios y recursos al alumnado que cursa estudios oficiales en los centros educativos y al personal dependiente de dichos centros. Cifpcerdeno.com no tiene ficheros automatizados de usuarios y/o carácter personal, y por lo tanto no gestiona, ni comercializa con ningún tipo de información sensible. Mediante la aceptación de esta Política de Privacidad da su consentimiento para el envío, por medios tradicionales y electrónicos, de información acerca de los servicios de la Consejería de Educación del Principado de Asturias, actualmente y en el futuro. Si desea revocar este consentimiento deberá comunicarlo a la siguiente dirección de correo electrónico ***EMAIL.1. 3.- EJERCICIO DE DERECHOS En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, el Usuario de Cipfcerdeno.com podrá en todo momento ejercer los diferentes derechos que la ley le reconoce: acceso, rectificación, cancelación u oposición a la cesión de sus datos, contenidos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 fichero registrado en la Agencia de Protección de Datos. Los citados derechos se podrán ejercer contactando con la dirección de correo electrónico:***EMAIL.1. La aceptación del Usuario para que puedan ser tratados sus datos en la forma establecida en este párrafo, tiene siempre carácter revocable, sin efectos retroactivos, conforme a lo que disponen los artículos 6 y 11 de la Ley Orgánica 15/1999 de 13 de diciembre. (…)”. b.1.- Política de Privacidad en la Consejería de Educación del Principado de Asturias: Por su parte, la información que ofrece la Consejería de Educación del Principado de Asturias en su página web, ***URL.7, sobre el tratamiento de los datos personales es la siguiente: “La Administración del Principado de Asturias respeta la legislación vigente en materia de protección de datos personales, la privacidad de los interesados y el secreto y seguridad de los datos personales, de conformidad con lo establecido en la legislación aplicable en materia de protección de datos, en concreto, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, adoptando para ello las medidas técnicas y organizativas necesarias para evitar la pérdida, mal uso, alteración, acceso no autorizado y robo de los datos personales facilitados, teniendo en cuenta el estado de la tecnología, la naturaleza de los datos y los riesgos. Se informa a los usuarios de este portal, que sus datos de carácter personal sólo podrán obtenerse para tu tratamiento cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas. Cuando se recaben datos personales a través de cualquier portal de la Administración del Principado de Asturias, se informará previamente al usuario, de forma clara e inequívoca, de los siguientes extremos: Existencia de un tratamiento de datos de carácter personal. La identidad y los datos de contacto del responsable del tratamiento. Los datos de contacto del delegado de Protección de Datos. Los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento. Los destinatarios o las categorías de destinatarios de los datos personales, en su caso. En su caso, la intención del responsable del tratamiento de transferir datos personales a un tercer país. El plazo o los criterios de conservación de la información. La existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, el derecho a la portabilidad de los datos, o a oponerse al tratamiento. Asimismo, la manera de ejercitar los derechos indicados. Cuando el tratamiento esté basado en el consentimiento del interesado. La existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecta a la licitud del tratamiento basado en el consentimiento previo a su retirada. Si el tratamiento no está basado en el consentimiento, su derecho a ejercer la oposición al tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 El derecho a presentar una reclamación ante una autoridad de control. La existencia, si las hubiera, de decisiones automatizadas, incluida la elaboración de perfiles y el ejercicio de derechos asociados a dicho tratamiento. El usuario será el único responsable a causa de la cumplimentación de los formularios con datos falsos, inexactos, incompletos o no actualizados. Responsable del tratamiento: Los datos de carácter personal que se pudieran recabar directamente del interesado serán tratados de forma confidencial y quedarán incorporados a la correspondiente actividad de tratamiento titularidad de la Administración del Principado de Asturias. La relación actualizada de las actividades de tratamiento que la Administración del Principado de Asturias lleva a cabo, se encuentra disponible en la sede electrónica a través del siguiente enlace ***URL.8. Finalidad: La finalidad del tratamiento de los datos corresponde a cada una de las actividades de tratamiento que realiza la Administración del Principado de Asturias y que están accesibles en la sede electrónica a través del siguiente enlace ***URL.8. Legitimación: El tratamiento de sus datos se realiza para el cumplimiento de obligaciones legales por parte de la Administración del Principado de Asturias, para el cumplimiento de misiones realizada en interés público o en el ejercicio de poderes públicos conferidos a la Administración del Principado de Asturias, así como cuando la finalidad del tratamiento requiera su consentimiento, que habrá de ser prestado mediante una clara acción afirmativa. Puede consultar la base legal para cada una de las actividades de tratamiento que lleva a cabo la Administración del Principado de Asturias en el siguiente enlace ***URL.8. Conservación de datos: Los datos personales proporcionados se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recaban y para determinar las posibles responsabilidades que se pudieran derivar de la finalidad, además de los períodos establecidos en la normativa de archivos y documentación. Comunicación de datos: Con carácter general no se comunicarán los datos personales a terceros, salvo obligación legal, entre las que pueden estar las comunicaciones al Defensor del Pueblo, Jueces y Tribunales, interesados en los procedimientos relacionados con las reclamaciones presentadas. Puede consultar los destinatarios para cada una de las actividades de tratamiento que lleva a cabo la Administración del Principado de Asturias en el siguiente enlace: ***URL.8 Derechos de los interesados: Cualquier persona tiene derecho a obtener confirmación sobre los tratamientos que de sus datos que se llevan a cabo por la Administración del Principado de Asturias. Puede ejercer sus derechos de acceso, rectificación, supresión y portabilidad de sus datos, de limitación y oposición a su tratamiento, así como a no ser objeto de decisiones basadas únicamente en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 tratamiento automatizado de sus datos, cuando procedan, a través del Servicio de Atención Ciudadana (SAC) de la Administración del Principado de Asturias, presentando el formulario normalizado, disponible en ***URL.8, que podrá localizar introduciendo el código 201200088 en el buscador de la cabecera (situado en la parte superior derecha de la página), electrónicamente o presencialmente a través del Registro General Central de la Administración del Principado de Asturias o por cualquiera de los medios establecidos en la Ley de Procedimiento Administrativo. Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una Autoridad de Control en materia de Protección de Datos competente, si considera que el tratamiento de datos personales que le concierne infringe la normativa en materia de Protección de datos personales”. c).- Sobre la Política de Cookies: 1.- Al entrar en la página inicial de la web, (primera capa), se comprueba que sin realizar ninguna acción ni aceptar las cookies, se utilizan cookies no necesarias, tanto propias como de terceros cuyos identificativos; dominio, descripción y tiempo de activación son: _ga: ***URL.1. Usada para identificar a los usuarios (permanencia 2 año). _gid: ***URL.1. Usada para identificar a los usuarios (permanencia 2 años). También se utilizan las siguientes cookies que no se han podido identificar si son o no necesarias: ***COOKIE.1; ***COOKIE.2; ***COOKIE.3. 2.- El banner sobre cookies que aparece en la página principal proporciona la siguiente información: “Las cookies utilizadas por cifpcerdeno.com no son invasivas ni nocivas, y no contienen datos de carácter personal. No obstante, si lo desea, pude desactivarlas siguiendo las instrucciones de su navegador”. <<acepto>> No existe en este banner ninguna posibilidad de rechazar las cookies no necesarias y tampoco ningún tipo de enlace a la segunda capa o panel de configuración de las 3.- Si se accede a la “Política de Privacidad”, a través del enlace existente en la parte inferior de la página principal, <<política de privacidad>>, la web redirige a una nueva página, ***URL.2, donde se proporciona información, en el apartado de cookies, sobre: qué son las cookies y los tipos de cookies que existen pero no se proporciona información ni se identifican las cookies que utiliza la página. Sobre cómo gestionar las cookies, la página remite al usuario al configurar el navegador instalado en su equipo terminal no existiendo, en esta página, ningún mecanismo que permita rechazar todas las cookies o gestionarlas de forma granular. QUINTO: Con fecha 07/05/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la denuncia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 presentada por la parte reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. SEXTO: A la vista de los hechos denunciados y de las evidencias observadas en la página web, con fecha 22/06/21, por parte de la Directoria de la Agencia Española de Protección de Datos, se acuerda incoar procedimiento sancionador a la parte reclamada, dirigiéndole un apercibimiento por: - Infracción del artículo 32.1) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, por la falta de adopción de las medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento de los datos personales. - Infracción del artículo 13) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, por la falta de información que se debe ofrecer a los usuarios de la página web cuando se obtienen sus datos personales. - Infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de su “Política de Cookies”. SÉPTIMO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 06/07/21 formuló, en síntesis, las siguientes alegaciones: Ante los hechos expuestos, se le traslada las consideraciones y actuaciones que al efecto ha realizado el Centro Integrado de Formación Profesional de ***LOCALIDAD.1: 1.- A través del enlace existente en la parte superior de la página principal, <<contacto>> se desplegaba un formulario donde se podían introducir datos personales, como el nombre, el correo electrónico y el “asunto" que se quiere indicar. El formulario ha sido retirado. 2.- Se pueden obtener datos personales de los usuarios de la web a través de la pestaña <<trabaja con nosotros>>. El formulario ha sido retirado. 3.- Sobre la Política de privacidad y la Política de cookies. - adecuación a la nueva normativa.- Se ha pedido presupuesto a empresa especializada Responsable: DATAPLUS CONSULTING S.L CIF: 887536728; Calle Vallehermoso Nº 40, 28015 Madrid; para : . Fase de Adecuación (RGPD-LOPDGDD) (Adecuación-actualización del CLIENTE a la normativa europea en materia de protección de datos). Se ha informado al centro educativo de la necesidad de acomodar su conducta a las prescripciones contenidas en el capítulo IV del Decreto 37/2018. de 18 de julio, de organización y desarrollo de los instrumentos de funcionamiento de las tecnologías de la información y las comunicaciones y de la seguridad de la información de la Administración del Principado de Asturias y su sector público (BOPA 27/07/2018)”. OCTAVO: Con fecha 13/10/21, se notifica a la parte reclamada la propuesta de resolución, en la cual, se propone que, por parte de la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 Española de Protección de Datos se proceda a “DIRIGIR UN APERCIBIMIENTO” a la CONSEJERÍA DE EDUCACIÓN DEL PRINCIPADO DE ASTURIAS, responsable de la página ***URL.1, por: - Infracción del artículo 32.1) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, respecto de la falta de seguridad en la página web. - Infracción del artículo 13) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, respecto de su “Política de Privacidad”, al no estar adaptada a la nueva normativa vigente. - ARCHIVAR el presente procedimiento sancionador, por infracción del artículo 22.2) de la LSSI, respecto de su “Política de Cookies”, al desaparecer la condición de “Prestador de Servicios de la Sociedad de la Información”, al haber sido modificada la página web, eliminando la pestaña <<trabaja con nosotros>>. NOVENO: Notificado la propuesta de resolución, con fecha 26/10/21, la parte reclamada presentó escrito de alegaciones a la propuesta de resolución, en el cual, entre otras, indicaba lo siguiente: 1.- Con respecto a Infracción del artículo 32.1) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, respecto de la falta de seguridad en la página web: Hemos adquirido un Certificado de conexión segura: Implementación de un certificado SSL Wildcard. Los Certificados de Seguridad SSL cifran las comunicaciones entre el servidor web y el navegador de sus visitantes, manteniendo el intercambio de datos seguro. Las características del Certificado Instant55L Wildcard son: Certificado de Validación de Empresa. SSL para todo el dominio y subdominios. Tiempo de emisión: 1,2 días. Cumple el reglamento GDPR. Certificación de Empresa. Encriptación SHA, 256. Recordatorios de renovación. 2.- Respecto a Infracción del artículo 13) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, respecto de su “Política de Privacidad", no estar adaptada a la nueva normativa vigente Hemos procedido a revisar estos apartados de la web cipcerdeno.com y subsanar las referencias normativas DÉCIMO: Con fecha 02/11/21, por parte de esta Agencia se realizan las siguientes comprobaciones sobre la página web, ***URL.1 :

  1. a)Sobre el tratamiento de datos personales: 1.- Se pueden obtener datos personales de los usuarios a través de la pestaña <<pedir cita previa>>:***URL.9 , donde se pueden incluir datos personales como el nombre, apellidos, DNI, correo electrónico y teléfono. Antes de enviar el formulario, se debe marcar la casilla: “ _ He leído y aceptado <<la política de privacidad>>”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18
  2. b)Sobre la “Política de Privacidad”: 1.- A través del enlace, <<Política de Privacidad>>, existente en la parte superior de la página principal, la web redirige a una nueva página, ***URL.2, donde se informa que el tratamiento de los datos personales se ajusta a la normativa vigente. Además, se proporciona la siguiente información sobre quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos según el formulario utilizado; los destinatarios de la transferencia de datos; la legitimación del tratamiento de los datos y sobre los derechos que asisten a los usuarios en materia de protección de datos y donde dirigirse para ejercitarlos.
  3. c)Sobre el protocolo de seguridad “https” utilizado en la transferencia de datos: Al acceder a la página web, el navegador Chrome avisa de que la página es segura, pues utiliza el protocolo (***URL.1), para sus comunicaciones, ofreciendo el siguiente mensaje: “LA CONEXIÓN ES SEGURA: Tu información, por ejemplo, tus contraseñas o tu número de tarjeta de crédito, es privada cuando se envía en este sitio web”. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes hechos: HECHOS PROBADOS 1º.- Según el reclamante, la página web ***URL.1 existen infracciones administrativas tipificadas en el Reglamento general de protección de datos («RGPD») y en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, tanto en su política de privacidad como en la política sobre cookies. 2º.- Según las comprobaciones hechas por esta Agencia en la página web denunciada, el 05/05/21, por parte de esta Agencia se realizaron las siguientes comprobaciones sobre la página web, ***URL.1:
  4. a)Sobre el tratamiento de datos personales: 1.- Se podían obtener datos personales de los usuarios a través de la pestaña, <<pedir cita previa>> o a través del enlace de <<contacto>>. El formulario se podía enviar sin necesidad de haber “leído y aceptado” la política de privacidad o aviso legal. No existía más que un botón con el mensaje de <<enviar>> en los formularios. 2.- También se podían obtener datos personales de los usuarios de la web a través de la pestaña, <<trabaja con nosotros>> donde se gestionaba la “bolsa de trabajo” del Instituto de Enseñanza. El formulario se podía enviar sin necesidad de haber “leído y aceptado” la política de privacidad o aviso legal.
  5. b)Sobre la “Política de Privacidad”: 1.- A través del enlace, <<Política de Privacidad>>, existente en la parte inferior de la página principal, la web redirige a una nueva página, donde se informaba que el tratamiento de los datos personales se ajusta a la normativa vigente. No obstante, todavía seguía haciendo referencia a la derogada LOPD “(…) En cumplimiento de lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, el Usuario de Cipfcerdeno.com podrá (…)”.
  6. c)Sobre el protocolo de seguridad “http” utilizado en la transferencia de datos: Al acceder a la página web, el navegador Chrome avisaba de que la página no era segura, pues utiliza el protocolo http:// para sus comunicaciones, ofreciendo el siguiente mensaje: “No es seguro: Te recomendamos que no introduzcas información personal ni privada en esta página. Si es posible, no utilices este sitio web. No es seguro: ve con cuidado. La conexión de este sitio web tiene algún problema grave de privacidad. Es posible que otro usuario pueda ver la información que envías o recibes a través de este sitio. Puede aparecer el mensaje "Inicio de sesión no seguro" o "Pago no seguro". Peligroso: evita este sitio web. Si aparece una pantalla de advertencia de color rojo que ocupa toda la página, significa que la función Navegación Segura ha marcado el sitio web como no seguro. Es muy probable que tu información privada corra peligro al utilizarlo”. “El código HTTP es un protocolo de comunicación que permite la transferencia de información en Internet, pero totalmente inseguro y estando sujeto a ataques que permitir obtener fácilmente la información que está transfiriendo de un sitio web a otro”.
  7. d)Sobre la Política de Cookies: 1.- Al entrar en la página inicial de la web, (primera capa), se comprobó que sin realizar ninguna acción ni aceptar las cookies, se utilizaban cookies no necesarias, tanto propias como de terceros. 2.- El banner sobre cookies que aparece en la página principal proporciona la siguiente información: “Las cookies utilizadas por cifpcerdeno.com no son invasivas ni nocivas, y no contienen datos de carácter personal. No obstante, si lo desea, pude desactivarlas siguiendo las instrucciones de su navegador”. <<acepto>> No existía en el banner ninguna posibilidad de rechazar las cookies no necesarias ni tampoco ningún enlace a la segunda capa o panel de configuración de las cookies. 3.- Si se accedía a la “Política de Privacidad”, la web redirigía a una nueva página, donde se proporcionaba información, en el apartado de cookies, sobre: qué son las identifican las cookies que utilizaba la página. 3º.- Durante el presente procedimiento sancionador, el responsable de la página web en cuestión la ha ido modificando convenientemente. En este sentido, la comprobación realizada en la página el 02/11/21, ha dado como resultado los siguiente:
  8. a)Sobre el tratamiento de datos personales: 1.- Se pueden obtener datos personales de los usuarios a través de la pestaña <<pedir cita previa>>: donde se pueden incluir datos personales como el nombre, apellidos, DNI, correo electrónico y número de teléfono. Antes de enviar el formulario, se debe marcar obligatoriamente la casilla: “ _ He leído y aceptado <<la política de privacidad>>”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18
  9. b)Sobre la “Política de Privacidad”: 1.- A través del enlace, <<Política de Privacidad>>, existente en la parte superior de la página principal, la web redirige a una nueva página, donde se informa que el tratamiento de los datos personales se ajusta a la normativa vigente. Además, se proporciona información sobre quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos según el formulario utilizado; los destinatarios de la transferencia de datos; la legitimación del tratamiento de los datos y sobre los derechos que asisten a los usuarios en materia de protección de datos y donde dirigirse para ejercitarlos.
  10. c)Sobre el protocolo de seguridad “https” utilizado en la transferencia de datos: 1.- Al acceder a la página web, el navegador Chrome avisa de que la página es segura, pues utiliza el protocolo ***URL.1, para sus comunicaciones, ofreciendo el siguiente mensaje: “LA CONEXIÓN ES SEGURA: Tu información, por ejemplo, tus contraseñas o tu número de tarjeta de crédito, es privada cuando se envía en este sitio web”.
  11. d)Sobre la Política de Cookies: Después de recibir las alegaciones formuladas por la Consejería de Educación del Principado de Asturias donde se indicaba que iba a proceder a adecuar la página web a la normativa vigente en materia de “organización y desarrollo de los instrumentos de funcionamiento de las tecnologías de la información y las comunicaciones y de la seguridad de la información de la Administración del Principado de Asturias y su sector público (BOPA 27/07/2018)”, se ha podido comprobar, por parte de esta Agencia que, el enlace, <<trabaja con nosotros>> (Campus  Orientación Empleo  Trabaja con nosotros), ha sido eliminada. Por lo tanto, según establece el artículo 2.1 de la LSSI, la Consejería de Educación del Principado de Asturias, (CIFP ***LOCALIDAD.1), ya no encajaría dentro del ámbito de aplicación de la LSSI. FUNDAMENTOS DE DERECHO I.- Competencia: a). - Con respecto de la infracción cometida al RGPD, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en su art. 58.2 del RGPD y en el art. 47 de LOPDGDD. b). - Con respecto de la infracción cometida a la LSSI, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en su art. 43.1, párrafo segundo. II.- Sobre el protocolo de seguridad “http” utilizado en la transferencia de datos en la página web: Comprobada la página web el 05/5/21, se observó que, al acceder a la misma, el navegador Chrome avisaba de que la página no era segura, pues utiliza el protocolo http:// para sus comunicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Iniciado el presente procedimiento sancionador por infracción del artículo 32.1) del RGPD, respecto de la falta de seguridad en la página web, el responsable de esta notificó a esta Agencia que se había adquirido un Certificado de conexión segura, implementado un certificado SSL Wildcard. Comprobado este aspecto por parte de esta Agencia el 02/11/21, se pudo constatar que, al acceder a la página web, el navegador Chrome avisa de que la página es segura, pues utiliza el protocolo ***URL.1, para sus comunicaciones, ofreciendo el siguiente mensaje: “LA CONEXIÓN ES SEGURA: Tu información, por ejemplo, tus contraseñas o tu número de tarjeta de crédito, es privada cuando se envía en este sitio web”. En este sentido, el artículo 32 del RGPD indica, sobre la seguridad del tratamiento de los datos personales, que: 1.Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  12. a)la seudonimización y el cifrado de datos personales;
  13. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  14. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  15. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2.Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3.La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4.El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros. Con arreglo a las evidencias que se disponen en este momento de resolución del procedimiento sancionador, se considera que las medidas técnicas y organizativas implementadas en la página web no se contradicen con lo estipulado en el artículo 32.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 III.- Sobre el tratamiento de datos personales y la “Política de Privacidad” de la web: Consultada la página web en cuestión, el 05/05/21, por parte de esta Agencia se pudo comprobar que se podían obtener datos personales de los usuarios a través de la pestaña, <<pedir cita previa>> o a través del enlace de <<contacto>>. El formulario se podía enviar sin necesidad de haber “leído y aceptado” la política de privacidad o aviso legal. No existía más que un botón con el mensaje de <<enviar>> en los formularios. También se podían obtener datos personales de los usuarios de la web a través de la pestaña, <<trabaja con nosotros>> donde se gestionaba la “bolsa de trabajo” del Instituto de Enseñanza. El formulario se podía enviar sin necesidad de haber “leído y aceptado” la política de privacidad o aviso legal. Por su parte, la “Política de Privacidad” informaba que el tratamiento de los datos personales se ajustaba a la normativa vigente. No obstante, todavía seguía haciendo referencia a la derogada LOPD. Iniciado el presente procedimiento sancionador por infracción del artículo 13) del RGPD, respecto de la falta de adaptación de la web a la nueva normativa vigente en materia de protección de datos, el responsable de esta notificó a esta Agencia que se había procedido a revisar estos apartados de la web y a subsanar los errores detectados. Comprobado este aspecto por parte de esta Agencia el 02/11/21, se pudo constatar que, en la actualidad se pueden obtener datos personales de los usuarios a través de la pestaña <<pedir cita previa>> pero ahora, antes de poder enviar el formulario, se debe marcar obligatoriamente la casilla: “ _ He leído y aceptado <<la política de privacidad>>”. Sobre la “Política de Privacidad”, en la actualidad se proporciona información sobre quién es el responsable del tratamiento de los datos personales; la finalidad del tratamiento de los datos según el formulario utilizado; los destinatarios de la transferencia de datos; la legitimación del tratamiento de los datos y sobre los derechos que asisten a los usuarios en materia de protección de datos y donde dirigirse para ejercitarlos. Todo ello, haciendo referencia la normativa vigente, este es, al RGPD y a la LOPDGDD. En este sentido, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento de recogida de sus datos personales: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
  16. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  17. b)los datos de contacto del delegado de protección de datos, en su caso;
  18. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  19. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  20. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  21. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  22. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  23. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  24. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  25. d)el derecho a presentar una reclamación ante una autoridad de control;
  26. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  27. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. En el presente caso, con arreglo a las evidencias que se disponen en este momento de resolución del procedimiento sancionador, se considera que la “Política de Privacidad”, de la página web reclamada, ya no se contradice con lo estipulado en el artículo 13 del RGPD. IV.- Sobre la “Política de Cookies” de la página web: La LSSI es aplicable únicamente a los prestadores de servicios de la sociedad de la información; en otras palabras, es aplicable a las personas físicas o jurídicas que realicen actividades económicas por Internet u otros medios telemáticos. Por tanto, una Administración Pública, como en este caso, La Consejería de Educación del Principado de Asturias, (CIFP ***LOCALIDAD.1), no encajaría dentro de la LSSI, salvo que, a través de la página web de dicha Administración Pública se realizase una actividad económica, como por ejemplo la venta de publicaciones o la gestión de la bolsa de trabajo para la contratación de personal eventual. En el caso que no ocupa, cuando se inició el presente procedimiento sancionador, se comprobó que, a través de la página web: ***URL.1 se gestionaba la bolsa de trabajo del Instituto, posibilitando a los usuarios enviar sus datos personales y su currículum vitae directamente al centro educativo CIFP ***LOCALIDAD.1, por lo que, debido a esta actividad la Consejería de Educación del Principado de Asturias, (CIFP ***LOCALIDAD.1), se consideró “Prestador de Servicios de la Sociedad de la Información” y por tanto sujeto a la LSSI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 Consultada la página web en cuestión, el 05/05/21, por parte de esta Agencia se pudo comprobar que se podían obtener datos personales de los usuarios de la web a través de la pestaña <<trabaja con nosotros>> (Campus  Orientación Empleo  Trabaja con nosotros), ***URL.1. En dicha página existía el siguiente mensaje: “Debido al volumen de trabajo y la diversidad de áreas de actuación que abarcamos, tenemos una bolsa de empleo propia para dar respuesta a nuestras necesidades. Si quieres colaborar con nosotros, háznoslo saber”. Por su parte, se pudo comprobar que, al entrar en la página inicial de la web, (primera capa), sin realizar ninguna acción ni aceptar las cookies, se utilizaban cookies no necesarias, tanto propias como de terceros. El banner sobre cookies que aparece en la página principal proporcionaba información genérica sobre cookies, pero no existía en este banner ninguna posibilidad de rechazar las cookies no necesarias y tampoco ningún tipo de enlace a la segunda capa o panel de configuración de las cookies. Si se accedía a la “Política de Privacidad”, la web redirigía a una nueva página, donde se proporcionaba información, en el apartado de cookies, sobre: qué son las cookies y los tipos de cookies que existen, pero no se proporciona información ni se identifican las cookies que utilizaba la página. Después de recibir las alegaciones formuladas por la Consejería de Educación del Principado de Asturias donde se indicaba que iba a proceder a adecuar la página web a la normativa vigente en materia de “organización y desarrollo de los instrumentos de funcionamiento de las tecnologías de la información y las comunicaciones y de la seguridad de la información de la Administración del Principado de Asturias y su sector público (BOPA 27/07/2018)”, se ha podido comprobar, por parte de esta Agencia que, el enlace, <<trabaja con nosotros>> (Campus  Orientación Empleo  Trabaja con nosotros), ha sido eliminada. Por lo tanto, según establece el artículo 2.1 de la LSSI, la Consejería de Educación del Principado de Asturias, (CIFP ***LOCALIDAD.1), ya no encajaría dentro del ámbito de aplicación de la LSSI. V.- Régimen sancionador aplicable a determinadas categorías de responsables y encargados de tratamiento. El artículo 77 de la LOPDGDD establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  28. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  29. b)Los órganos jurisdiccionales.
  30. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  31. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18
  32. e)Las autoridades administrativas independientes.
  33. f)El Banco de España.
  34. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  35. h)Las fundaciones del sector público.
  36. i)Las Universidades Públicas.
  37. j)Los consorcios.
  38. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO, a la CONSEJERÍA DE EDUCACIÓN DEL PRINCIPADO DE ASTURIAS, responsable de la página ***URL.1, por: - Infracción del artículo 32.1) del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, respecto de la falta de seguridad en la página web, durante el tiempo que estuvo activo el protocolo http//, en página web en cuestión hasta su modificación. - Infracción del artículo 13) del RGPD, por el tiempo que estuvo sin adaptar la “Política de Privacidad”, a la nueva normativa vigente. SEGUNDO: ARCHIVAR, a la CONSEJERÍA DE EDUCACIÓN DEL PRINCIPADO DE ASTURIAS, responsable de la página web, ***URL.1, el presente procedimiento sancionador, por Infracción del artículo 22.2) de la LSSI, respecto de su “Política de Información”, al modificar la página web. TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE EDUCACIÓN DEL PRINCIPADO DE ASTURIAS y al reclamante sobre el resultado de la reclamación. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  39. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Mar España Martí. Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.