← España

PS-00253-2021

1/19 Expediente Nº: PS/00253/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 21/06/2020 interpuso reclamación ante la Agencia Española de Protección de Datos que se dirige contra la CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA con CIF S1911001D (en adelante, la reclamada). Los motivos en que basa la reclamación son que el 8/06/2020 presentó una reclamación contra la XXXXXXXX que un profesor le puso a su hija B.B.B. de segundo de bachillerato, en el IES ***IES.1 de ***LOCALIDAD.1 (***LOCALIDAD.2) y el día 10/06/2020, se entera de que la respuesta motivada en forma de resolución se ha enviado a “mi hija y a todos los compañeros suyos de lase, los cuales le preguntan el porqué”. -Aporta:

  1. a)Copia de un archivo imagen IMG procedente de un teléfono móvil, en el que en un grupo denominado “***GRUPO.1” una persona llamada X saluda y envía un pantallazo de la resolución de la reclamación contra la XXXXXXXX interpuesta por la reclamante, en el sentido de que se mantiene la XXXXXXXX de su hija, y pregunta ¿Qué es esto que ha mandado el director?, a lo que alguien, presuntamente la hija de la reclamante responde: “eso es mío”. Se ve la resolución en su primera página, con los datos de la reclamante, y se informa de la reunión tenida para revisar la XXXXXXXX y el avance de las dos evaluaciones anteriores.
  2. b)Copia archivo llamado “XXXXXXX…”, conteniendo un pantallazo de una aplicación informática: “***SISTEMA.1” por la dirección url de la Junta de Comunidades de Castilla La Mancha, “GRUPO.1”, abierta en los datos de la hija de la reclamante. Figura: “mensaje recibido” “10/06/2020, 08:44”, remitente, el profesor, también XXXXXXX “Destinatarios alumnos por grupos del centro” “Asunto Resolución motiva reclamación XXXXXXXX” con un fichero adjunto, leyéndose en parte de la pantalla, el saludo indicando que adjunta resolución, y se ve en el apartado “ficheros adjuntos” resolución motivada reclamación ***FICHERO.1. Frente a la resolución, indica la reclamante que interpuso recurso de alzada, dirigido a Inspección, cuya resolución” solo se envía a mi y a mi hija.” Sin embargo, añade que el 21/06/2020, una amiga le manda una carta que han escrito ciertos alumnos de la clase de su hija que se muestran “tristes porque el profesor ha dimitido” “a causa del recurso de alzada-en el cual la Inspección nos da la razón frente al profesor“, interpretando la reclamante que también han podido acceder al contenido de la resolución de este recurso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 La copia de la carta que adjunta, va dirigida al profesor, firmada con nombre y apellidos de varios alumnos-as, inicia con “nos hemos enterado de tu reciente dimisión y del porqué de esta tan mala noticia”. El escrito en ningún punto refleja aspecto alguno referido o relacionado con acceso a datos derivados del recurso. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, el 5/08/2020, se traslada la reclamación a la reclamada. Con fecha 7/09/2020, respondió: 1) Se ha instado al Centro a que envíe una contestación a la interesada explicando los hechos. 2) Se adjunta ANEXO I, informe sobre las causas y los hechos objeto de la reclamación. La dirección actual del centro indica: -La reclamación sobre la XXXXXXXX “siguiendo instrucciones de la administración educativa” se envió a través de la plataforma educativa “***SISTEMA.1” de la Junta, usado en todos los centros educativos para la “gestión académica y envío de comunicaciones y documentos entre todos los miembros de la comunidad educativa-profesores, alumnos y familias-dentro del ámbito estrictamente educativo”. - El sistema es ágil, aunque “en muchos casos” da problemas en el envío de mensajes entre todos los miembros de la comunidad, “se queda demasiado tiempo el reloj de la aplicación girando” o cuando se pulsa “enviar”, el sistema te echa del programa”, “sin saber si se ha enviado o no” “esto ocurre a todos los usuarios del sistema”. La administración educativa está al corriente de estos problemas. Eso sucedió esa misma mañana cuando se mandó el mensaje con la resolución de la reclamación contra la XXXXXXXX, al dar a enviar, el reloj comenzó a rodar y el sistema los echó del programa. Esa misma mañana se realizaron varias gestiones con alumnos y sucedió lo mismo, “pero si hubo algún alumno que lo comunicó al Director para que así se subsanase el error”. -En contra de lo manifestado por la reclamante, que la resolución le llegó a todo el alumnado de la clase de su hija, según “XXXXXXXXX”, el mensaje fue enviado exclusivamente para la reclamante, y también como se observa en pantalla que adjuntan, solo tienen un envío y una lectura por parte del destinatario. Aporta un copia-pega en documento, de una pantalla de mensajes enviados el 10/06/2020, a través de la plataforma, a las 8 h 44, dirigido a la reclamante, en asunto, no figura “alumnado del centro”, como consta en otros mensajes dirigidos a varios, en los que se puede ver el total del grupo, y el numero de leídos. En el de la recla mante, en numero destinatarios figura “ha sido respondido no”, y nº destinatarios 1, leídos 1. En cuanto a la pantalla adjunta de la reclamante, “es posible que se enviase por error del sistema a todo el alumnado de la clase de su hija, pero se constata que en mensajes enviados, no aparece la resolución enviada a alumnos por grupo del centro, por tanto no se pudo enviar rectificación puesto que no existía dicha comunicación, y ningún alumno comunicó nada al respecto”. -Indica que el XXXXXX, el día 10/06/2020, en presencia de la Secretaria y otra persona del centro “pidió disculpas a la madre verbalmente por el error causado, explicándole lo que sucede con el sistema”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 -“La dirección no ha tenido constancia ni conocimiento de la difusión del resultado de la difusión posterior del resultado de la resolución del recurso de alzada”, resolución que “se envió a través de la aplicación XXXXXXXX (la aplicación, en lo sucesivo) el 17/06/2020. -La carta de los alumnos, la enviaron a través de la citada aplicación, que se recibió por parte del profesorado que impartía clase a segundo de Bachillerato, indicando que el profesor, en ese momento se encontraba de baja medica y había pedido la jubilación. 3) Refiere la recepción de un informe del personal informático encargado del mantenimiento de la aplicación, en que se indica que internamente, “en PRE, el mensaje se envió a un único destinatario,” relaciona el identificador del mensaje “y en la tabla de destinatarios no esta enviado a ningún colectivo, solo hay un registro para ese mensaje”. “El destinatario de ese mensaje se corresponde con el del usuario “B.B.B.…”, la madre de la alumna. “Entrando en PRE y simulando el usuario de la madre, los datos mostrados no cuadran con el pantallazo enviado. Aporta copia-pega del mensaje, pantalla “seguimiento educativo”. Añade que “para la madre en la relación de mensajes recibidos sale vacía la columna GRUPO”, adjunta otro copia-pega que revela el remitente y destinatario y si se ha leído o no. Resuelve con el confuso literal “se deduce que “únicamente salió de la aplicación el correo a la madre, por lo que no se ha comprobado que el correo de la alumna no fuera remitido a todo el grupo”. 4) Se adjunta en el ANEXO II, un informe que refiere medidas de formación en protección de datos desde 2014 a distintos colectivos de la educación, información de la implantación de la aplicación informatica XXXXXXX, comunicaciones sobre distintos aspectos con motivo de la entrada en vigor del RGPD, y elaboración de un decálogo de protección de datos para la comunidad educativa. Añade que en 2019, se recordaron aspectos sobre tratamiento de imágenes y otras cuestiones derivadas del teletrabajo y correo electrónico corporativo. TERCERO: Con fecha 16/09/2020 la reclamación fue admitida a trámite. CUARTO: Con fecha 22/03/2021, se solicita “…como consecuencia de la difusión de la resolución de una reclamación por disconformidad con la XXXXXXXX de una asignatura, interpuesta por la madre de la alumna menor de edad, entre los alumnos de una clase en fecha 10/06/2020 08:44h a través de la Plataforma Educativa ***SISTEMA.1 y motivado por errores en dicha plataforma a la hora del envío de mensajes, según se manifiesta en su respuesta de fecha 07/09/2020: 1. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares (envío de mensajes a otros destinatarios distintos de los deseados), fechas de implantación y controles efectuados para comprobar su eficacia. 2. Documentación que acredite la fecha desde que son conocedores de este tipo de errores en la plataforma.” Con fecha 23/04/2021, se recibe escrito de respuesta: 1) “Respecto a la información que se solicita sobre las medidas adoptadas para evitar que se produzcan incidencias similares (envío de mensajes a otros destinatarios distintos de los deseados) adjuntando las fechas de implantación y los controles efectuados para comprobar su eficacia, así como documentación acreditativa de la fecha en que se conocen tales erroC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 res de la plataforma, no se puede responder, ya que tras una investigación más exhaustiva del origen de la reclamación por parte del personal TIC que da soporte a la herramienta EducamosCLM, se ha comprobado que existen, en el mismo minuto, 8:44, dos mensajes del XXXXX del Centro, el primero a la interesada y el segundo a todos los alumnos del curso. 2) Aporta copias de: - ANEXO II. Se trata de un correo electrónico enviado el 16/04/2021, entre personas de la Junta En él se indica “efectivamente hay dos mensajes con el mismo remitente y asunto que el de la denuncia” ambos se enviaron en el 10 de junio a las 8:44 h. Concreta que uno de ellos envió a las 8:44 h 14, solo tiene un destinatario, y el otro a las 8:44 h 59, tiene 21 destinatarios, siendo el asunto del texto exactamente el mismo. “El que va a un destinatario esta enviado a un usuario que parece que corresponde a la madre de la alumna” Ambos mensajes tienen un fichero adjunto y el segundo fue visto por varios destinatarios. “El borrado de mensajes a todos los destinatarios se cambió al inicio de este curso porque a raíz del uso masivo de la plataforma requería este cambio entre otros que también se acometieron sobre la mensajería interna en concreto el 17 de abril 2020 se registró una petición de trabajo para añadir una nueva opción, borrar para todos que borre un mensaje para el usuario y para todos los destinatarios. El cambio se puso en producción el 28 de abril de 2020. El comportamiento a partir de ahí es que el mensaje se seguirá mostrando a los destinatarios a la pantalla de mensajes recibidos pero en la columna asunto mostrará el texto mensaje eliminado y no se permitirá ver el detalle del mensaje la opción detalle estará desactivada estamos viendo quien envió el segundo mensaje y cuando se borró” -ANEXO III: Un correo electrónico entre empleados de la Junta, de 20 de abril de 2021 que indica “os adjunto un documento explicativo del comportamiento de la plataforma que complementa los datos enviados el viernes” “Descripción del comportamiento de la mensajería de seguimiento educativo “el módulo de seguimiento educativo incluye una funcionalidad de mensajería interna para todos los usuarios de dicho módulo. No se trata de un sistema de correo electrónico y por tanto los usuarios no requieren una dirección de correo electrónico. El funcionamiento se basa en la definición de colectivos, de manera que se garantiza que la comunicación solo puede realizarse entre usuarios que tengan algún tipo de relación. Por ejemplo, hay definidos colectivos como tutores de mis alumnos, profesores de mi hijo, o mis alumnos, entre otros y estos colectivos estarán activados para los perfiles correspondientes. Cuando un usuario quiere enviar un mensaje a otro, siempre tiene que hacerse a través de uno de los colectivos, nunca directamente. Solo una vez que seleccionado el colectivo puede seleccionarse una o varias personas de dicho colectivo. Se ve que en la aplicación figura un apartado “enviar mensaje a grupos “Grupo”, y debajo la opción en una casilla para seleccionar solo a algunas personas, que deja paso a otra casilla en la que figuran los destinatarios candidatos. “En determinados momentos en los que esta plataforma puede tener una concurrencia muy elevada, el envío de un mensaje puede requerir unos segundos sin ser procesado, mientras se está realizando esta operación, el usuario no puede volver a realizar el envío de ese mismo mensaje, ya que queda deshabilitado el botón de envío hasta que no ha finalizado el envío anterior.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 “Por otro lado, cuando el envío ha finalizado, la pantalla elimina toda la información salvo que queda marcado el check de seleccionar algunas personas, si este estaba marcado del envío anterior”. “Para volver a enviar el mismo mensaje, además de volver a rellenar los campos de asunto y el cuerpo del mensaje, hay que seleccionar de nuevo los destinatarios o eliminar el check de seleccionar algunos destinatarios”. Indica que ambos mensajes enviados tienen un fichero adjunto y el segundo mensaje fue visto por varios destinatarios y que ese mensaje está borrado solo para el emisor, no para todos los destinatarios. -ANEXO IV: indica una empleada de la reclamada, en un e mail a otros empleados el 21/04/2021 sobre quien envió el segundo mensaje, que “se descarta que fuera un fallo del sistema, ya que se ha intentado rastrear comportamientos similares y no se ha encontrado. Por ejemplo el registro del usuario creador de un mensaje no está correctamente registrado en esta tabla, este debería recoger el remitente del mensaje y hemos visto que no está coincidiendo”. “Tampoco recogemos cuando y quien borró ese mensaje, pero al tratarse de un borrado individual, solo para eliminarlo de la lista de correos del usuario solo pudo hacerlo el “Se han tomado medidas para subsanar el tema de la auditoría interna y para dejar registro de todas las acciones que se hagan en la plataforma sobre esta funcionalidad, esto lo hemos detectado ahora y ya se está abordando.” Indica que durante el confinamiento se llevaron a cabo modificaciones sobre la mensajería, y en todo el módulo de seguimiento, “por ejemplo, la posibilidad de borrar mensajes para todos para evitar envíos erróneos, se realizó en el mes de abril. Sin embargo, este usuario no utilizó esta opción sino el borrado individual. Esto fue lo que nos llevó a la confusión en septiembre, cuando informamos de que solo había un mensaje de este usuario.” Deduzco “que el usuario envió dos mensajes seguidos y borró el segundo solo para el” , y propone como mejora que figure una alerta advirtiendo de que “el resto de usuario continuaran teniendo el mensaje”. -ANEXO V. Es un correo electrónico de 22/04/2021: “asunto petición mejoras en seguimiento educativo”. Se trata de implementar sistemas de avisos sobre el funcionamiento de algunas opciones de envío o con el siguiente contenido: Avisar que se va a enviar un mensaje a un grupo de destinatarios Avisar en el momento de intento de borrarlo del mensaje de un destinatario que existen más usuarios destinatarios del mensaje enviado Incluir un texto en todas las comunicaciones advirtiendo a los destinatarios de los mensajes de la prohibición de difusión del mensaje sin autorización del centro remitente - ANEXO I, “informe del responsable del tratamiento basado en la información que se contempla en el resto de los anexos . Se trata de un escrito del Viceconsejero que reitera lo recogido en los otros anexos. QUINTO: Con fecha 11/06/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR de apercibimiento a CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con CIF S1911001D, por la presunta infracción de los artículos: -32 del RGPD, conforme señala el artículo 83.4.
  3. a)del RGPD y el 73.
  4. f)de la LOPDGDD, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 -5.1.
  5. f)del RGPD en relación con el artículo 5 de la LOPDGDD, conforme señala el artículo 83.5.
  6. a)del RGPD, y el 72.1
  7. a)de la LOPDGDD Frente al acuerdo, la reclamada presenta alegaciones el 24/06/2021, acompañando el escrito de 23/04/2021 de la Delegación de Protección de Datos. Indica que desde la plataforma educativa se enviaron dos mensajes con mismo remitente y asunto, a dos tipos de destinatarios, a la interesada y a otros, no debido al funcionamiento del sistema, sino a error humano del remitente del mensaje. Se han reforzado las medidas de seguridad en la plataforma para el envío de mensajes a destinatarios, facilitar el borrado de mensajes erróneos y sus resultados. Consideran que antes de producirse el incidente disponían de medidas técnicas adecuadas del articulo 32 del RGPD. Solicitan el archivo del procedimiento. SEXTO: La reclamante presenta escrito el 15/11/2021, manifestando 1- “Nos vemos en el punto de mira de ciertos compañeros que bajo la influencia de lo sucedido (se enteran del cambio de XXXX de mi hija), y de forma fraudulenta (puesto que lo envían el sábado y mirando bien los destinatarios de la misma) envían una carta a todos los profesores del centro de mi hija.” 2- “Entiendo que los derechos fundamentales de mi hija fueron vulnerados por parte del director (profesor), y que, en consecuencia de sus actos debería ser sancionado.” Aporta copia de su reclamación contra la XXXXXXXX de 8/06/2020 y escrito de la Consejería de 17/06/2020, asunto comunicación corrección XXXXXXXX, en respuesta al recurso de alzada interpuesto por la reclamante. “ la inspectora actuante entiende que no se exponen por parte del departamento didáctico las razones o fundamentos en los que se basa su decisión de ratificar la XXXXXXXX otorgada en la materia a la alumna”. Propone anular el acto administrativo emitido por el departamento didáctico el día 8/06/2020 y modificar la XXXXXXXX, y así se resuelve. También aporta un escrito de 22/05/2020 “reclamación por incumplimiento de la ley de protección de datos y acoso”, sellado por la Consejería el 22/05/2020. SÉPTIMO: Con fecha 3/02/2022 se inicia un período de practica de pruebas dando por reproducida la reclamación y la documentación que la acompaña, así como la obtenida durante la tramitación de la misma, y las alegaciones y documentos aportados al acuerdo de inicio. Además, se solicita que informen o respondan a: a-Según su informe de 23/04/2021, el mensaje fue enviado a dos destinatarios el primero 8 h, 44 min 14 segundos a un solo destinatario, y el segundo 8 h 44 min 59 seg, a 21 destiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 natarios. Se le pregunta, si entre esos 21 destinatarios (todos los alumnos de la clase, es de suponer) figuraba también incluida como destinataria la alumna a la que se refiere la reclamación o estaba excluida. Responde que las tablas de las bases de datos extraídas en Excel y su significado, que tienen información relevante sobre el envío de mensajes, son: -tabla TLMENUSU: almacena el asunto y el texto del mensaje y otra serie de campos: -x Menusu: El que tiene el identificador interno del mensaje -x usuario remitente: El identificador interno del usuario que está enviando el mensaje -x colectivo destino: El identificador del colectivo al que se envía el mensaje. Los colectivos están previamente definidos en la plataforma y es la plataforma la que obtiene las personas que forman dicho colectivo. -x colectivo: si el mensaje se ha enviado al colectivo completo este campo tiene la misma información que x colectivo destino, pero si no se envía a todas las personas de dicho colectivo sino que se filtran para que se envíe solo a parte de ellas este campo está vacío. -TLDESMENUSU: Se guardan los usuarios destinatarios de cada mensaje creado en MENUSU siempre que dicho mensaje no haya sido borrado. En esta misma tabla, se guarda sí el mensaje ha sido leído y/o eliminado- borrado lógico-. - TLDESMENUSU HISTÓRICO: contiene la misma información que la tabla TLDESMENUSU. Indica el identificador interno del profesor usuario en la plataforma, ese 10/06/2020 y reseña sobre los dos correos de ese 10/06/2020 relacionados con la denuncia: -El primer mensaje en orden cronológico (cada mensaje tiene un num identificador), se halla en la tabla TLMENUSU, y detalla es el de las 8:44:14, en la tabla X usuario remitente figura el identificador que se corresponde según los datos de la base de datos , con el profesor. La tabla x colectivo de destino: “18 que corresponde a los padres y madres del centro”. Determina que “se han filtrado los destinatarios” En x colectivo valor nulo, “es decir el mensaje no se ha enviado a todo el colectivo”. En el apartado datos de destinatarios en la tabla ***TABLA.1-“Ya que dichos mensajes han sido eliminados borrado lógico de la plataforma- relacionado con el mensaje, solo hay un registro en el que se puede comprobar que el destinatario es el usuario con identificador interno que se corresponde a”, la madre de la alumna. -El segundo mensaje en orden cronológico , que explica se halla en la tabla TLMENUSU, y detalla es el de las 8:44:59, en la tabla X usuario remitente figura el identificador que se corresponde según los datos de la base de datos, con el profesor. La tabla x colectivo de destino: “32 que corresponde a los alumnos por grupos de centro”. En x colectivo: valor nulo, “es decir el mensaje no se ha enviado a todo el colectivo”. En el apartado datos de destinatarios en la tabla ***TABLA.1-son 22. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 “En concreto los usuarios de los alumnos con matricula en el grupo de 2 B-C de 2º de bachillerato ciencias curso 19-20 del centro del usuario remitente de los mensajes. Entre estos 22 registros se encuentra uno cuyo destinatario es el usuario que corresponde a la hija de la reclamante.” b-Manifestaron en escrito de 23 04 2021, Anexo IV: indica una empleada de la reclamada, en un e mail a otros empleados el 21/04/2021 sobre quien envió el segundo mensaje, que “se descarta que fuera un fallo del sistema, ya que se ha intentado rastrear comportamientos similares y no se ha encontrado. Por ejemplo el registro del usuario creador de un mensaje no está correctamente registrado en esta tabla, este debería recoger el remitente del mensaje y hemos visto que no está coincidiendo”. En su escrito indican que no fue un error del sistema, pese a que el centro indicó que el sistema suele fallar y retrasarse en la ejecución de un envío. A tal efecto se le pregunta si considera que es posible que en poco mas de 30 segundos se puedan completar los campos y reenviar el segundo mensaje y el anexo. Manifiestan que desde la DGAD, “se ha accedido a la plataforma como usuario de la misma, y con el rol de usuario se han grabado dos mensajes cumplimentando todos sus campos y han quedado almacenados en la base de datos con una diferencia de tiempo de 19 segundos siendo la diferencia de los mensajes analizados en este caso de 45 segundos. Añade que este envío en esta escaso tiempo cronológico puede verse también en el mismo usuario el mismo día 10 de junio, un mensaje a las 17:38 09 h y a las 17:38 h 38 otro con un in tervalo de 29 segundos. Aporta documento 1 cuadros Excel en los que se pueden verificar estas manifestaciones. c-Evidencias en las que sostienen rotundamente que no fue un fallo del sistema, (se dice que se ha intentado rastrear comportamientos similares, y no se ha encontrado…) Indica que aparte de ver las tablas aportadas en las que los registros almacenados en el campo de destinatarios son diferentes entre ambos mensajes en la tabla “TLMENÚSU hay 15 mensajes registrados por otros usuarios de la plataforma y ni en estos 15 mensajes en los enviados minutos antes ni los enviados minutos después tienen ninguna anomalía ni ningún patrón similar al analizado que haga sospechar que el sistema tuvo un comportamiento erróneo” “La mensajería de la plataforma no realiza envíos de mensajes a través de internet, lo que conocemos como corre electrónico, sino que se trata de pantallas que controlan la información registrada en las tablas. Es decir la acción de enviar un mensaje consiste internamente en grabar la información en unas tablas del sistema y la acción de leer mensajes consiste en leer la información de dichas tablas. “ Explica la secuencia del código que ejecuta una vez que se pulsa el botón aceptar. Indica que si el sistema se ejecutara internamente varias veces en esa petición, ambos envíos serian exactamente iguales, pero en los registros se puede comprobar que los campos x colectivo y x destino no son los mismos, siendo también los destinatarios diferentes. Tampoco se ha verificado la entrada de alguna queja similar, considerando que en la tabla XXXXXXX “hay registrados mas de 20 millones de mensajes” d- Como se puede interpretar y consecuencias de la manifestación: “el registro de usuario creador de un mensaje no esta correctamente registrado en esta tabla” “Las tablas del sistema incluyen en su definición cuatro campos comunes en todas ellas a modo de auditoria interna, los campos son: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 C USUCREACION-Almacena el identificador interno del usuario que crea un registro en una tabla. F CREACION; Almacena la fecha de creación de un registro en la tabla correspondiente. C USUACTUALIZA: Almacena el identificador interno del ultimo usuario que modificó el registro. F ACTUALIZA: Almacena la fecha en la que se produjo la ultima modificación del registro.” Estos campos son clave para la consistencia de datos, no tienen ninguna funcionalidad para la aplicación, son puramente informativos a nivel interno. “Para identificar el remitente de los mensajes la información está registrada en los campos detallados en el documento 1” e-Informen sobre el resultado de la queja que la reclamante presentó sobre protección de datos de 22/05/2020, como se resolvió y si figura alguna declaración del remitente del mensaje o documento no aportado hasta ahora que consideran de interés, remítanlo. Indica que la petición concreta de vulneración de datos se contenía en el escrito de alzada contra la XXXXXXXX. Detalla que la resolución del recurso de alzada no refiere nada sobre protección de datos. Señala que el profesor envió escrito haciendo alusión a lo ocurrido, figurando en anexo I en escrito enviado a la AEPD el 25/08/2020 y en documento II. Nuevamente se remiten como documento 2. En el mismo, un escrito del profesor fechado 10/06/2020 indica ”ante la denuncia de la reclamante por presunta vulneración de la ley de protección de datos por la publicación de la resolución a la reclamación contra la XXXXXXXX” hace constar, “que la resolución se ha enviado a la madre a través de la plataforma a las 8 44-adjunta pantalla, asimismo, se ha enviado a la alumna y este envío no aparece en mensajes enviados en la aplicación. “ Hace constar que el mensaje se ha enviado exclusivamente a la alumna, sin embargo, el sistema que hoy ha dado muchos problemas, lo ha enviado al alumnado de 2 bachillerato de ciencias. Se adjunta pantalla donde se ven los mensajes enviados en el día de 10/06/020 y ni siquiera aparece dicho mensaje”. f-Informen si desde el ultimo escrito 4/2021 se ha modificado la plataforma de mensajería, se introdujeron las mejoras previstas etc. Indica que está en desarrollo, pero no en producción, desde 15/06/2021, la advertencia de envío a colectivos. Quedaría pendiente aun: -Avisar, en el momento de intento de borrado de mensaje de un destinatario, que existen más usuarios destinatarios del mensaje enviado. - Incluir un texto en todas las comunicaciones, advirtiendo a los destinatarios de los mensajes de la prohibición de difusión del mensaje sin autorización del centro remitente. g-Respecto del mensaje enviado, si la copia fue borrada para el remitente solo, la fecha en que lo fue, y si se decidió finalmente borrarla para todos los destinatarios, fecha en que se lleva a cabo. “Como ya se ha mencionado anteriormente y tras varios correos en los que se trató este tema, finalmente se llevó a cabo desde la DGAD el borrado lógico con el consiguiente paso a la tabla de destinatarios históricos los registros relacionados con esta denuncia,” adjuntando documento cuatro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Finaliza indicando que se acredita que el incidente que ha dado lugar a la reclamación se produjo por un error humano, del remitente del mensaje y no por un problema técnico del sistema o por una falta de adopción de medidas técnicas u organizativas adecuadas sin perjuicio de su mejora en los términos de la propuesta. OCTAVO: Con fecha 21/02/2022, se emite propuesta de resolución del siguiente tenor literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare el archivo de la sanción de apercibimiento a CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con CIF S1911001D, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
  8. a)del RGPD, y a efectos de prescripción en el 73.
  9. f)de la LOPDGDD. Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con CIF S1911001D, por una infracción del artículo 5.1.
  10. f)del RGPD, tipificada en el artículo 83.5
  11. a)del RGPD y a efectos de prescripción en el artículo 72.1.
  12. i)de la LOPDGDD.” No se reciben alegaciones NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 1) La reclamante es madre de una alumna de segundo de bachillerato del IES ***IES.1, en ***LOCALIDAD.2. y efectuó una reclamación sobre una XXXXXXXX en una asignatura de su hija el 8/06/2020. Con fecha 10 del mismo mes, se recibió a través de la plataforma XXXXX de la Consejería (la plataforma) la respuesta, indicando la resolución de la misma. Reclama porque esa resolución fue enviada, además de a su hija, a otros compañeros de la clase de su hija. De acuerdo con la impresión de la pantalla de la plataforma, figura el mensaje recibido por la reclamante a las 8h 44, figurando en destinatarios: “alumnos por grupos del centro” con un archivo adjunto y en asunto: “resolución motivada reclamación XXXXXXXX”. Frente a esa XXXXXXXX interpuso la reclamante recurso de alzada, resuelto el 17 del mismo mes, favorable a la revisión. La resolución del recurso valora entre otros aspectos, la falta de motivación de la revisión de la XXXXXXXX. 2) La reclamante aportó pantallazo de un chat telefónico de grupo de alumnos de la clase de su hija (se ve 2º bachillerato XXXX” puede referirse a Ciencias, mismo al que pertenece la hija de la reclamante). Se pone de manifiesto que una compañera de la hija de la reclamante recibió la misma resolución de 10/06/2020 que contiene la respuesta a la reclamación contra la XXXXXXXX junto con los datos de la hija de la reclamante, así como la motivación para la ratificación de la XXXXXXXX, basada en la evolución del aprendizaje. 3) Según detalla la reclamada en el traslado y en pruebas, el personal TIC que da soporte a la herramienta comprobó el envío de dos mensajes del mismo remitente, en el mismo día 10/06/2020. El primero a la reclamante, madre de la alumna (un destinatario), a las 8 y 44 minutos,14 segundos, y el segundo al grupo de alumnos de la clase de la hija de la reclamante, incluyendo a esta: 22 alumnos, 45 segundos después, esto es a las 8:44:59. Asunto y texto y archivo adjunto son exactamente los mismos. 4) La reclamada, disponía de la plataforma “***SISTEMA.1”, usada en todos los centros educativos para la “gestión académica y envío de comunicaciones y documentos entre todos los miembros de la comunidad educativa-profesores, alumnos y familias-dentro del ámbito estrictamente educativo”. Incluía una funcionalidad de mensajería interna para todos los usuarios de dicho módulo. El funcionamiento se basaba en la definición de colectivos, o grupos, activados según los perfiles. Cuando un usuario quiere enviar un mensaje a otro, siempre tiene que hacerse a través de uno de los colectivos, nunca directamente. Solo una vez seleccionado el colectivo puede seleccionarse una o varias personas de dicho colectivo. Se ve que en la aplicación figura un apartado “enviar mensaje a grupos” ”Grupo” por ejemplo “profesores del centro “profesores de mi hijo”, y debajo la opción en una casilla para “seleccionar solo a algunas personas”, que deja paso a otra casilla en la que figuran desplegados los destinatarios candidatos. Continua con el campo asunto, debiendo escribirse, y otro botón de “adjuntar”, por si se quieren enviar archivos adjuntos como fue el caso. Para volver a enviar el mismo mensaje, se tendrían que volver a rellenar los campos de asunto y el cuerpo del mensaje, anexar el archivo, seleccionar de nuevo los destinatarios o eliminar el check de seleccionar algunos destinatarios. Declara la reclamada que la herramienta llevaba 10 años siendo utilizada por el profesorado. 5) La reclamada indica que se desprende se produjo un “error humano”…. producido por el remitente del mensaje sobre quien envió el segundo mensaje, que “se descarta que fuera un fallo del sistema, aportando tablas de sus base de datos en la que se aprecia que el segundo envío se dirige a un grupo, el de alumnos de la clase, con un total de XX destinatarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 incluyendo la hija de la reclamante, y el remitente es el mismo. Por otro lado, el profesor indicó en sus manifestaciones frente a la presentación de un recurso por la reclamante en sede de Inspección educativa, que el primer envío se dirige a la madre, y el segundo a la hija, pero este segundo envío según reflejan las tablas del sistema de la aplicación Informatica es enviado, 45 segundos después al grupo de la clase. 6) Tanto al inicio del curso 20-21, como durante el periodo de confinamiento, marzo 2020, se produjeron modificaciones en el sistema de la mensajería interna de ***SISTEMA.1. Según la reclamada manifestó en el traslado de la reclamación, “tenemos pendiente de establecer las políticas de retención de mansajes” y van a implementar sistemas de avisos sobre funcionamiento de las opciones, como: -El de que se va a enviar un mensaje a un grupo de destinatarios. -Cuando se intenta borrar un mensaje de un destinatario, de que existen mas usuarios destinatarios. -Texto de advertencia a los destinarios de prohibición de difundir el mensaje. 7) La reclamante añade a su denuncia una presunta infracción adicional al recibir el 20/06/2020 a través de WhatsApp , una carta (alguien se la envía a la reclamante, ya que esta señala que ni ella ni su hija eran destinatarias de la nota) suscrita por varios alumnos compañeros de su hija- “dirigida a los profesores” que también comienza con el nombre del profesor (que calificó a su hija). En la carta, aludiendo de forma indirecta a los hechos, expresan su opinión que manifiestan a los profesores, y no se contiene la palabra recurso, reclamación o resolución, ni dato personal alguno que pueda identificar a la reclamante, o a su hija. La reclamante deduce que se ha dado a conocer la resolución a terceros con el fin de perjudicar a su hija, si bien no se acredita que ello obedezca o tenga relación directa con el tratamiento de datos por parte del responsable del tratamiento o alguna persona que trate los datos en su nombre. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 El RGPD define en su artículo 4 “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2)”tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” […] “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; […]” “10) «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado;” En este caso, el profesor sobre el que originariamente señala la reclamante, es una persona autorizada para tratar los datos personales bajo la dependencia del responsable, profesor, sobre el que no recae la responsabilidad administrativa directa por el tratamiento de datos que ejecuta, sin perjuicio de que pudiera responder a nivel interno si le fueran exigidas las responsabilidades correspondientes. La LOPDGDD concreta los responsables en la materia en el artículo 70: “1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  13. a)Los responsables de los tratamientos” Se deduce la misma responsabilidad del RGPD en artículos como el 5.2 responsable del cumplimiento de los principios de protección de datos y el 82 referido a la reclamación por los daños y perjuicios sufridos. Esta AEPD solo puede valorar si se ha infringido la normativa de protección de datos de la reclamada como parte del derecho fundamental de las personas físicas analizando el contexto y finalidad del tratamiento. La valoración, intencionalidad y daños alegados por al reclamante podrían ser objeto de reclamación en la vía que correspondiera. El artículo 79 del RGPD señala: “1. Sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77, todo interesado tendrá derecho a la tutela judicial efectiva cuando considere que sus derechos en virtud del presente Reglamento han sido vulnerados como consecuencia de un tratamiento de sus datos personales. 2. Las acciones contra un responsable o encargado del tratamiento deberán ejercitarse ante los tribunales del Estado miembro en el que el responsable o encargado tenga un establecimiento.” Hay que tener en cuenta que se trata en este caso de una aplicación informática sobre la que se estaban produciendo ajustes en un momento excepcional por cuanto se producía una situación de pandemia, que sin pretender justificar los hechos, si que implicó un cambio en los usos e intensidad también en los empleados públicos, en medios tecnológicos, cuestiones que se han de tener en cuenta. III En el acuerdo de inicio se contenía el literal: “Por la deficiencia en las medidas de seguridad, por la reclamación contra la XXXXXXXX que se notificó el 10/06/2020, mediante la plataforma de mensajería instantánea, la reclamada ha podido infringir el artículo 32 del RGPD”, que indica: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  14. a)la seudonimización y el cifrado de datos personales;
  15. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  16. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  17. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” El Considerando 74 del RGPD indica: “Debe quedar establecida la responsabilidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” Referencia a su plazo de prescripción se establece en el artículo 73 de la LOPDGDD: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  18. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” Se valora en este caso la seguridad de la plataforma educativa de la Junta, utilizada para la gestión académica y envío de comunicaciones entre los miembros de la comunidad educativa. El nivel de las medidas de seguridad que se ha de tener implantado en el tratamiento de los datos no está definido en la norma, solo por referencia al “apropiado a los riesgos que presenta el tratamiento”. En principio, iría en consonancia con la naturaleza, el alcance, contexto y finalidad del tratamiento. Uno de los riesgos que es el que aquí se analiza es la confidencialidad de los sistemas y servicios de tratamiento. Varios hechos son signos de que la aplicación usada para la comunicación entre los grupos no es la causante del envío del mensaje al grupo de alumnos de clase de la hija de la reclamante. La reclamada ha detallado el funcionamiento de la mensajería instantánea, los grupos y las tablas de las bases de datos que se corresponden con los envíos, junto con los registros del identificador de los dos mensajes. Se ha de concluir que la aplicación no carece de las medidas técnicas u organizativas como para ocasionar un doble envío en forma de replica del mismo, dado que no fue tal lo sucedido. No se puede colegir un funcionamiento extraño o anormal de la aplicación cuando existen registros y lo admitió el profesor, que realmente constatan que se duplicó el mismo mensaje, no por defecto en la aplicación, sino por el remitente. Analizados los envíos de los mensajes como así figura en las tablas que registran los movimientos de usuarios, y sus destinatarios y grupo, aspectos relacionados de la mensajería de la aplicación, se verifica que en el primer envío se selecciona por el remisor solo a la madre de la alumna, para lo cual ha de ir seleccionando desplegables y eligiendo a ella en concreto. El segundo envío, enviado según los registros por el profesor, con el mismo contenido, se efectúa al grupo de alumnos, para lo cual, se debe reconstruir el mismo contenido del mismo mensaje y exprofeso seleccionar los destinatarios, en este caso al grupo de la clase, de alumnos, que coincide con el pantallazo que aportó la reclamante. El personal TIC que da soporte a la herramienta EducamosCLM, en sus respuestas de 23/04/2021 comienza a responder y aclarar lo sucedido, y ese escrito no se contenía referenciado en el acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 Además de lo referido, en el periodo de pruebas se ha ido concretando el conjunto de medidas de que la reclamada dispone que se fueron implementando, y continúan mejorando, considerando que se inició la aplicación cuando tuvo lugar la declaración de la pandemia. También, ha explicado el funcionamiento de la aplicación, en detalles como: “En determinados momentos en los que esta plataforma puede tener una concurrencia muy elevada, el envío de un mensaje puede requerir unos segundos sin ser procesado, mientras se está realizando esta operación, el usuario no puede volver a realizar el envío de ese mismo mensaje, ya que queda deshabilitado el botón de envío hasta que no ha finalizado el envío anterior.” “Por otro lado, cuando el envío ha finalizado, la pantalla elimina toda la información salvo que queda marcado el check de seleccionar algunas personas, si este estaba marcado del envío anterior”. “Para volver a enviar el mismo mensaje, además de volver a rellenar los campos de asunto y el cuerpo del mensaje, hay que seleccionar de nuevo los destinatarios o eliminar el check de seleccionar algunos destinatarios”. “La mensajería de la plataforma no realiza envíos de mensajes a través de internet, lo que conocemos como correo electrónico, sino que se trata de pantallas que controlan la información registrada en las tablas. Es decir la acción de enviar un mensaje consiste internamente en grabar la información en unas tablas del sistema y la acción de leer mensajes consiste en leer la información de dichas tablas. “ “La reclamada intentó rastrear comportamientos similares para verificar si era un fallo del sistema”, y no se hallaron” También se han introducido nuevas mejoras como el borrado para todos en los envíos, y por otra parte, la mensajería no deja de ser un correo en el que la acción humana puede seleccionar o deseleccionar los destinatarios, con lo que se van a implantar avisos de que se enviará un mensaje a un grupo de destinatarios o del borrado de mensajes. Todo ello, conduce a considerar que la infracción no se debió a una eventual mala configuración en materia de seguridad de la aplicación ni a la carencia o insuficiencia de medidas, que se consideran razonables en función del uso a que se destinan. Así pues, no se constata que en este caso exista infracción del artículo 32 del RGPD, por lo que se ha de archivar esta infracción. IV Los mismos hechos, por el resultado que se da, son susceptibles de incardinarse en una infracción del artículo 5.1.
  19. f)del RGPD, que señala: “Los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 El grupo de alumnos compañeros de la hija de la reclamante pudieron tener conocimiento a través de la resolución de la reclamación: -A la XXXXXXXX que es recurrida y la asignatura de que se trata. -El avance previo en la materia, se indica algo sobre la primera y segunda evaluación, y su resultado. -La ratificación final de la XXXX. La reclamación interpuesta constituye el ejercicio de un derecho y se ha transmitido a personas no interesadas, aunque sean los compañeros de la clase o tuvieran algún conocimiento del asunto no procedente de la transmisión, se vulnera la confidencialidad en el tratamiento de los datos. El artículo 83.5 del RGPD indica: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Se tipifica en el artículo 72.1
  21. a)de la LOPDGDD, que señala: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
  22. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Aplicable a esta infracción, en este caso, por ser el presunto infractor una entidad pública, el artículo 83.7 del RGPD, indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1.
  23. c)y 2. 4. 5. y 6. de la LOPDDGG: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  24. c)La Administración General del Estado, las Administraciones de las comunidades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.” Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: SANCIONAR a la CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, CIF S1911001D, con apercibimiento por una infracción del artículo 5.1.
  25. f)del RGPD, tipificada en el artículo 83.5
  26. a)del RGPD y a efectos de prescripción en el artículo 72.1.
  27. a)de la LOPDGDD. SEGUNDO: ARCHIVAR la infracción imputada a la CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con CIF S1911001D, por el artículo 32 del RGPD, tipificada en el artículo 83.4.
  28. a)del RGPD, y a efectos de prescripción en el 73.
  29. f)de la LOPDGDD. TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  30. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-150222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.