PS-00286-2021

1/53  Expediente N.º: PS/00286/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8/01/2021, se recibe reclamación de A.A.A. y otros, que manifiestan son funcionarios públicos y profesores adscritos a la Escuela Oficial de Idiomas (EOI) de Madrid "Jesús Maestro" (reclamantes) contra la citada EOI, (CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA de la CCAA DE MADRID), con NIF S7800001E (en adelante, la parte reclamada). Los motivos en que basan la reclamación son los siguientes: -El 12/11/2019, el Director de la EOI (Director) “nos impuso, sin consulta, debate ni recabar el consentimiento, el uso de unas cuentas personales de correo electrónico creadas en el dominio eoijesusmaestro.es, alojado en la plataforma GOOGLE SUITE”, (GS)“para ser usada como forma de relación y comunicación para todo trámite, fuera personal o con alumnos, estableciendo obligatoriamente que todas las comunicaciones y trámites administrativos se debían realizar a través de dicha plataforma” “enlazadas a la cuenta personal que constaba en el expediente de cada profesor o trabajador”. Los reclamantes señalan que el Director (con privilegios de administrador único del sistema) está habilitado por la “plataforma” “al acceso a toda la información personal e incluso a los correos que se reciben o envían”, al tener privilegios de “administrador único”. Aporta ANEXO 16, consistente en la impresión de una página procedente de la web de soporte de GS, titulado “acceso a los datos por parte del administrador o del proveedor de servicios”, que informa que con la cuenta de GOOGLE WORKSPACE, antes GS, “utilizando la dirección que te haya asignado tu administrador puedes acceder a la mayoría de los productos de GOOGLE.” “Recuerda que el administrador tiene accesos a todos los datos almacenados en esta cuenta, incluido tu correo electrónico. Además, el administrador del dominio puede desactivar determinados servicios o limitar la capacidad de transferir datos desde o hacia otra cuenta de la organización”. “Previamente, se estaba utilizando por todo el personal, “correos personales e institucionales dentro de la plataforma de la Consejería de Educación, en educamadrid.org.” En ANEXO 4, aporta copia de modificación del reglamento interior de 20/12/2019, que manifiesta fue unilateral, en el que prevé la obligación de relacionarse con la Escuela o el ejercicio de derechos, con las cuentas de correo, figurando que: “la misma dirección de correo electrónico individual se usará como credencial personal de identificación y acceso a las paginas internas del centro y en los distintos procedimientos que se articulen”.” El buzón de correo asociado a esa dirección deberá consultarse al menos al comienzo de cada jornada laboral”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/53 El 17/02/2020, ***PUESTO.1 de la EOI remitió “una consulta” a través de correo electrónico a Delegación de Protección de Datos (DPD) de la Consejería, sobre el cambio de uso de correo, y la imposibilidad de uso del correo institucional de madrid.org. El 19/02/2020, recibe respuesta indicando que “los hechos expuestos podrían vulnerar la normativa de protección de datos, razón por la cual se iban a estudiar y documentar las circunstancias ocurridas”. Se documenta en ANEXO 6, (32/62) que incluye: - copia respuesta e mail de la DPD de 19/02/2020, “consulta sobre g. suite”, conteniendo en el adjunto tres archivos pdf sobre: -“instrucciones usuarios correo electrónico 2010”, “BOCM instrucciones 2004 publicación paginas webEducamadrid.pdf” y “uso aplicaciones ajenas a EducaMadrid”, que lleva un link de la AEPD: “informe sobre la utilización por parte de profesores y alumnos de aplicaciones que almacenan datos en nube con sistemas ajenos a las plataformas educativas”. El e mail indica: “con el uso de herramientas ajenas a las corporativas se pierde el control sobre el tratamiento de los datos personales así como el cumplimiento de la normativa en el uso de los datos y las medidas de seguridad que se deben aplicar. Hay que tener en cuenta que el responsable del tratamiento es la DIRECCIÓN GENERAL DE ENSEÑANZA SECUNDARIA, FORMACIÓN PROFESIONAL Y RÉGIMEN ESPECIAL (DGESFP y RES), que es quien decide sobre la finalidad, el contenido y el uso de los datos de carácter personal “Por lo tanto, el Director del centro no tiene competencias sobre la decisión de las finalidades en materia de protección de datos, está asumiendo una responsabilidad a espaldas del responsable.” -Aporta copia de ANEXO 9, (41/62) de la DPD, fecha abril 20, de 6 folios titulado: ”UTILIZACIÓN DE APLICACIONES AJENAS A LAS DE LA COMUNIDAD DE MADRID” (publicado en la web de la Consejería y del DPD) que responde a una “solicitud de información de la legalidad” contenida en ANEXO 8 (consulta sobre la imposición del uso de dichas cuentas a los profesores, hecha el 27/02/2020, de personal de la EOI a la DPD), indicando que desconocen los permisos de acceso y propiedad del Director como administrador del dominio sobre nuestras cuentas. Alude, el anexo 9 reproduciendo en parte y resumiendo, el informe de la AEPD, sobre “uso por parte de profesores y alumnos de aplicaciones que almacenan datos en nube con sistemas ajenos a las plataformas educativas” (6/03/2018) y a la adecuación de la normativa en materia de seguridad, que reproduce afirmaciones como que “cualquier aplicación que incluya la identificación del alumno puede llevar a la elaboración de perfiles…”. Reitera que un Director de un centro educativo, no es un órgano directivo con capacidad de decisión sobre el tratamiento de datos personales, y que si lo son, como responsable del tratamiento, las Direcciones Generales de la Consejería, de acuerdo con el Decreto que establece la estructura orgánica de la Consejería de Educación y Juventud, Decreto 288/2019 de 12/11 del Consejo de Gobierno. Se establece la sección de “política de seguridad” relativa a los centros educativos en la que se incluirán las aplicaciones educativas para el aprendizaje y organización de las aulas. “Los centros deberán solicitar previamente a su utilización, la autorización del responsable del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/53 Debe existir un procedimiento para solicitar por el centro esa autorización previa. La solicitud, conllevará: a. La evaluación de la aplicación desde el punto de vista de la seguridad de la información - Esto exige el diseño y restricciones sobre la cantidad y tipo de datos que van a ser incorporados en las aplicaciones, que tendrá en cuenta en primer lugar la privacidad de los datos personales, e incluirá valorar la necesidad de disociar o anonimizar la información, especialmente cuando exista cesión de datos a terceros o transferencias internacionales de datos. De todo ello deberá existir constancia documental. b. La privacidad de los datos personales. c. Una vez autorizada, el centro podrá aprobar su “puesta en funcionamiento” y su incorporación a la PROGRAMACIÓN GENERAL ANUAL (PGA) con el detalle del uso y de los datos personales que se verán afectados. Esta PGA deberá estar accesible a la comunidad educativa del centro para su consulta. Los mismos requisitos le son aplicables a “los tratamientos de datos personales mediante las apps”. Referencias al contenido en el informe de la AEPD punto 5, sobre “orientaciones para la realización de la evaluación de las aplicaciones.”, contenido en uso por parte de profesores y alumnos de aplicaciones que almacenan datos en nube con sistemas ajenos a las plataformas educativas” (6/03/2018). -Contiene un apartado de “plataforma educativa de la Comunidad de Madrid”, EducaMadrid: “Los centros educativos cuando utilizan plataformas educativas externas solo se justifica cuando no se hayan puesto a disposición de los centros, medios o herramientas adecuadas y equivalentes y requerirá la autorización de la Dirección General de la Consejería competente, que deberá establecer un procedimiento en aras de la seguridad jurídica que impida el uso de aquellas que no hayan sido aprobadas expresamente”. Estas evaluaciones y la decisión final sobre el uso de las aplicaciones o plataformas educativas deben ser validadas por el responsable del tratamiento de datos personales, la Consejería de Educación y Juventud, a través de las correspondientes Direcciones Generales, y deben someterse a la supervisión por la Delegación de protección de datos de la Consejería, que comprobará su adecuación a la normativa aplicable.” También se refiere a la inclusión en la PGA del curso que ha de incluir “el uso justificado de las correspondientes plataformas o aplicaciones externas, previa comprobación de que cumplen con la política de privacidad exigida por el RGPD. En ella, se incorporará información clara sobre los tratamientos efectuados, sus responsables, sus finalidades, la ubicación de los datos, el periodo de conservación y las garantías sobre su seguridad. Dicha información deberá darse a conocer a las familias y los alumnos mayores de 14 años a través de su publicación en la página web del centro y de cualquier otro medio que asegure la obligación de informar sobre las finalidades adicionales del uso de dichas herramientas. La información ofrecida deberá ser concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en especial la dirigida a los menores.” “Es conveniente que las familias consulten la PGA pará tener información adecuada, pues una vez aprobado su uso, existe la obligación de suscribir un contrato o cualquier otra figura jurídica que vincule al responsable con el encargado de tratamiento,-es decir, las empresas prestadoras del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/53 servicio que requiere recabar el consentimiento de las familias para que dichas empresas puedan tratar sus datos personales.” Añade que: “No obstante, cuando las empresas prestadoras del servicio son multinacionales o poseen un gran volumen de negocio, el centro educativo no puede suscribir por sí mismo un contrato o acuerdo, sino que debe aceptar las condiciones de uso de las aplicaciones o plataformas que aquellas hayan establecido, lo que contradice el requisito establecido por el reglamento de protección de Datos según el cual es el responsable quien debe imponer las condiciones para el tratamiento de los datos por el encargado. Por esta razón, la Dirección General de Bilingüismo y Calidad de la Enseñanza, como responsable según el actual marco competencial, deberá validar el uso de las plataformas o aplicaciones ajenas por parte de los centros, y deberá suscribirse un acuerdo o contrato donde figure dicha Dirección General como responsable del tratamiento y como encargado; de este la empresa prestadora, estableciendo conjuntamente las condiciones del tratamiento por parte del centro educativo. Una vez suscrito el acuerdo, la Dirección General de Educación infantil y Primaria y la Dirección General de Educación Secundaria, Formación Profesional y Régimen Especial serán responsables, en función de las competencias atribuidas por el Decreto de estructura de la Consejería, del cumplimiento de lo acordado por parte de los centros educativos.” -El 6/04/2020, la DPD elabora un informe “en relación con el uso de la plataforma GS para la gestión administrativa, así como el empleo de correos no corporativos asociados a dicha plataforma”, que remitió a la DGESFP y RES, y esta lo trasladó al Director de la EOI el 6/05/2020 (copia del traslado en ANEXO 13). El informe indica: “Si bien por necesidades objetivas para atender la gestión del centro se hayan podido buscar desde la dirección del mismo alternativas a las herramientas institucionales que se ofrecen desde la Consejería, el uso de las mismas constituye un riesgo para la seguridad de la información, así como para la privacidad de los datos personales, incluidos los de categoría especial, al no estar alojados en servidores seguros del entorno EducaMadrid.” El centro debe realizar una transición para dejar de utilizar servicios de terceros como es la plataforma Google Suite y sus cuentas de correos asociadas y contar con los servicios seguros proporcionados por la administración educativa realizando las diferentes gestiones a través de la plataforma EducaMadrid, la cual proporciona una amplia gama de recursos para cubrir las necesidades digitales de los centros docentes, entre las que se incluyen correo electrónico, mensajería instantánea, hosting web, almacenamiento en la nube, aulas virtuales, organizadores de proyectos, sistemas operativos libres compatibles con paquetes ofimáticos libres, mediateca, formularios y encuestas online entre otros”. Añade al final del escrito, que se están realizando una serie de actuaciones para mejorar los servicios de EducaMadrid, “entre los que se encuentran el acuerdo con Microsoft para el uso de la suite MICROSOFT OFFICE 365, por parte de la comunidad escolar de la CCAA de Madrid, si bien, en ningún caso, para funciones propias de la gestión de los centros docentes, que ofrece servicios digitales equivalentes a los de GOOGLE”. (el subrayado es de la AEPD) -Los reclamantes indican que en la actualidad siguen utilizando la plataforma de Google para efectuar algunos trámites miembros del equipo directivo y los técnicos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/53 mantenimiento y la Secretaria de Jefatura de Estudios, indirectamente los profesores y los propios alumnos se ven obligados a usar esta dirección de correo para dirigirse al equipo directivo o a los miembros del PAS (comunicar posibles contagios de COVID, en ANEXO 15) tras haber pasado ocho meses de haber sido conminado por la citada Dirección General. El documento, ANEXO 15-version 12-12-2020, contiene instrucciones por si alguien presenta síntomas compatibles con COVID, y se menciona la comunicación a través de la dirección de correo electrónico eoijesusmaestro.es de alumnos o afectados con síntomas, y el papel del Coordinador COVID al que se debe comunicar por correo la reincorporación del alumno. Aporta copia de 18 anexos, algunos ya mencionados, como documentación adicional entre los que destacan: ANEXO 1, copia del correo electrónico de Director de la Escuela de 12/11/2019 asunto: “correos profesionales”, en el que avisa de la implantación de la dirección de correo electrónico de la Escuela, donde todos los profesores tendrán una dirección profesional propia bajo el dominio de la escuela. “Estará configurada con reenvío automático a vuestras direcciones habituales para que en principio no sea necesario consultar una cuenta de forma separada” ”esa cuenta nos dará acceso a una serie de páginas y recursosalmacenamiento ilimitado en la nube, posibilidad de trabajo cooperativo etc.” Remite adjunto un listado direcciones de profesores, con el nombre del correo que correspondería a cada persona. ANEXO 2, copia de escrito del Director por correo electrónico 20/08/2020, informando a los que necesiten autorizaciones de movilidad por restricciones que lo soliciten en las direcciones de correo electrónico en las que pinchando se crea directamente el correo para enviarlo. En ANEXO 3, correo de 2/12/2019, del Director, informa que está abierta la campaña para 2020 de solicitudes de reconocimiento médico, indicando la información y el enlace al formulario para solicitarlo en el portal institucional, dominio: jesusmaestro.es, informando además, que “para poder acceder al portal hay que usar la nueva cuenta en eoijesusmaestro.es” –“el usuario y contraseña se enviaron en un correo anterior”. Escrito de 13/05/2020, de respuesta de la Directora de Área Territorial Madrid al enviado por una profesora, miembro del Consejo Escolar (anexo 7), indicando que ha elevado la consulta a la DPD. ANEXO 5, copia de un correo electrónico de 28/01/2020, del Director de la EOI, sobre instrucciones en el asunto de las reclasificaciones de alumnos, y los cambios en el procedimiento de comunicación a la Secretaría, rellenando un formulario desde la web de la escuela. “Os pedirá como es lógico que os identifiquéis con la cuenta profesional de la escuela y su contraseña, la que creamos en diciembre”. En el cruce de comunicados con otras personas, se aprecian envíos a direcciones con dominio yahoo.es, o Gmail.com de 6/02/

1. Se incluye en este anexo un escrito de una profesora de 6/02/2020 a Jefatura, desde su dirección de dominio @hotmail.com, indicando que no desea verse obligada a activar un correo electrónico a mi nombre que se ha abierto sin mi consentimiento”, proponiendo la solución de que se utilice el de “EducaMadrid”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/53 ANEXO 10, escrito de los representantes sindicales dirigido al Área Territorial, con fecha 1/03/2020, ANEXO 11, de los representantes de los trabajadores dirigido a la Dirección de Área territorial de Madrid, con fecha 21/09/
2. ANEXO 17: en “Básicos de EDUCAMADRID” “Avisos al profesorado creación de equipos en TEAMS y eliminación de GOOGLE SUITE de fecha 16/11/2020” de la Vicedirectora. Se da información relacionada con la implantación de MICROSOFT TEAMS. (si bien como luego se verá, el acuerdo Consejería- Microsoft tuvo lugar el 8/03/2021) “Por otra parte las INSTRUCCIONES Y RECOMENDACIONES SOBRE PROTECCIÓN DE DATOS PERSONALES PARA LOS CENTROS DOCENTES PÚBLICOS DE LA COMUNIDAD DE MADRID DE 8/09/2020, contemplan que en la gestión de la actividad docente mediante el uso de herramientas y plataformas educativas, los centros deberán abstenerse de emplear aplicaciones o plataformas educativas no corporativas o no consideradas para la Consejería como complementarias. Esto afecta al uso de GOOGLE SUITE FOR EDUCATION como plataforma educativa. Al no haber alcanzado la Dirección General un acuerdo con GOOGLE, al contrario de lo ocurrido con MICROSOFT, este recurso educativo dejará de estar disponible de forma generalizada para los profesores del centro y se procederá a la eliminación de las cuentas que aún existan. Aquellos profesores que quieran disponer de una cuenta en el dominio eoijesusmaestro.es, a los efectos de su uso personal como docente (almacenamiento ilimitado de materiales didácticos en la nube, gestión de calendario, blogs etc.) deberán solicitarlo expresamente a través del correspondiente formulario del aula virtual, no más tarde del 27 de noviembre.” ANEXO 18: comunicación general de la Delegación de Protección de Datos, de mayo de 2020 sobre “UTILIZACIÓN DE FORMULARIOS TIPO GOOGLE FORMS PARA TRÁMITES DE MATRICULACIÓN DE ALUMNOS.” sobre el curso 2020-21, en el que insta a las Direcciones de Área Territorial para que comuniquen a los centros educativos que se abstengan de diseñar procedimientos de matriculación basados en sistemas de formularios interactivos de otras plataformas como GOOGLE forms, por que no existe limitación al tratamiento por parte de los proveedores de la plataforma, “sin que exista un contrato de encargo de tratamiento de datos” y sin que se haya realizado análisis de riesgos para la privacidad, así como la seguridad de la información que debe adecuarse al Esquema Nacional de Seguridad. Prescribe borrar los datos personales ya recogidos, y da instrucciones para realizarse por otro medio, considerando “dicho contenido de carácter administrativo y deberá residir en los servidores corporativos”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se trasladó el 2/03/2021 la reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 6/04/2021, se recibe en esta Agencia escrito de respuesta, indicando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/53 -El tratamiento de datos personales a los que se refiere la reclamación corresponde a actividades de las que la DGESFP y RES es responsable, participando en la determinación de los fines del tratamiento, aunque la determinación de las directrices de uso de las plataformas para fines educativos es competencia de la DIRECCIÓN GENERAL DE BILINGÜISMO Y CALIDAD DE LA ENSEÑANZA (DGB y CE), lo que, de acuerdo con la definición de responsable del artículo 4.7 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); implica su corresponsabilidad en dicho tratamiento de datos personales, de acuerdo con el artículo 26 del RGPD.“ Especifica que la DGB y CE es “competente en el diseño de los programas de innovación para la mejora de la calidad de las enseñanzas escolares y para la elaboración de directrices de uso de las plataformas informáticas de los centros docentes y sistemas informáticos vinculados al aprendizaje y actualización docente” La actividad de tratamiento se denomina: “Gestión de alumnos matriculados en centros docentes que imparten enseñanzas no universitarias”. -Aporta copia de Anexo I, escrito que no porta fecha, dirigido por la DPD a tres Direcciones Generales, entre ellas la que alude a la entrada del escrito de la reclamante de 17/02/2020, titulado: “RECLAMACIÓN SOBRE EL USO DEL CORREO ELECTRÓNICO Y DE LA PLATAFORMA G SUITE, AJENOS A LAS HERRAMIENTAS CORPORATIVAS DE LA COMUNIDAD DE MADRID EN LA EOI JESÚS MAESTRO-JM-” de la DPD, a las responsables del tratamiento, DGESFP y RES y DGDB y CE. (15 páginas). En el, se refieren varios aspectos y conclusiones sobre cada uno. Se consideran las reclamaciones de profesores y se valora la legitimación del Director del Centro Educativo, la autonomía educativa y la responsabilidad del tratamiento en conjunción con las competencias educativas en la CCAA de Madrid. Se alude a una somera referencia a aviso de privacidad de G SUITE FOR EDUCATION, en el punto 4, a la aplicación de la política de privacidad de Google y a los términos de servicio. También a que “el responsable deberá adoptar las medidas de carácter preventivo necesarias para poder identificar, evaluar y gestionar los riesgos a los que están expuestas sus actividades de tratamiento con el objetivo de garantizar los derechos y libertades de las personas físicas. “La Comunidad de Madrid, dispuso en 2010 unas instrucciones de utilización del correo electrónico para los usuarios del dominio @madrid.org, extensibles completamente al dominio @educa.madrid.org, donde se dice expresamente que “La utilización del correo electrónico es facilitada por la Comunidad de Madrid, a los efectos de comunicación de un empleado con otro(s), o con personas u organizaciones del exterior, con la finalidad de la actividad profesional”. “Corresponde a las Direcciones Generales determinar los fines y medios para garantizar el cumplimiento de la normativa en materia de protección de datos, así como la gestión, coordinación y dirección del tratamiento de los mismos. El ejercicio de dicha competencia les obliga a adoptar una política de protección de datos de aplicación común en todos los centros educativos públicos, los cuales deberán cumplir con todas las medidas técnicas y organizativas que les imponga el centro directivo competente de la Administración, sin perjuicio de que cada centro decida utilizar herramientas ajenas y complementarias de las institucionales, de cuyo uso debe tener conocimiento el responsable para que pueda valorar si el mismo se adecúa a la normativa de seguridad y cumple con la política de privacidad establecida por el centro directivo”. En cuanto a cumplimiento de seguridad, se copia la referencia al “escudo de privacidad”, que está anulado desde 16/07/2020 por la sentencia TJUE Schrems II, asunto C-311/18 Data Protection Commissioner/Maximillian SchreC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/53 ms y Facebook Ireland. Efectúa una serie de conclusiones y recomienda al Director de la EOI la necesidad de abandonar la plataforma GOOGLE SUITE y de utilizar herramientas institucionales con la instalación de una plataforma de gestión educativa oficial. - En las Escuelas Oficiales de Idiomas, la aplicación corporativa “RAÍCES”, empleada en las enseñanzas obligatorias no pudo desplegarse en el curso 20-21, retrasando su aplicación para el siguiente. “Por ello, los centros docentes se han visto obligados de una forma sobrevenida, al uso de herramientas flexibles”, ”determinadas EOI optaron transitoriamente por paquetes informáticos integrados de propósito general como puede ser la plataforma GOOGLE SUITE, solución institucional en otras CCAA, hasta la implantación de forma efectiva de la aplicación corporativa RAÍCES de la Consejería de Educación y Juventud.” “Por no contar con una aplicación informática alternativa, y haber supuesto un perjuicio mayor, ha primado la prestación del servicio público a la suspensión de la aplicación.” -Alude a la situación sobrevenida de pandemia y “de procesos desplegados de forma telemática”, a la recomendación de la DPD para pedir al Director de la EOI que abandonara GS y utilizara las herramientas institucionales, y que se “estableciera una plataforma de gestión educativa oficial, en caso de que no pudiera utilizarse el Sistema Integral de Gestión educativa Comunidad de Madrid: “RAÍCES”, -”También recomendó a la Dirección General de Bilingüismo y Calidad de la Enseñanza, la elaboración de directrices e instrucciones para la utilización de plataformas educativas ajenas a las corporativas, que además deberían incorporarse en las Instrucciones para el inicio del curso 2020-2021 (Anexo II).” -La EOI JM, ha realizado un encargo de asesoría especializada para auditar “todos los usos de sus sistemas de información”, aún no finalizada. -La DGB y CE tiene previsto establecer el uso necesario de las plataformas y aplicaciones institucionales de la CCAA de Madrid, que no deben ser sustituidas en ningún caso por otras ajenas a las mismas, siendo el uso de estas una forma complementaria” “Si el centro opta por incluir en su PGA aplicaciones ajenas deberá seguir el protocolo que se establecerá con carácter obligatorio: “-Informar a las personas afectadas por el uso de la aplicación o plataforma de su política de privacidad y recabar su consentimiento cuando sea necesario, previa valoración de la necesidad de alojar y realizar cesiones o transferencias internacionales de datos en sus servidores. -Realizar obligatoriamente un análisis de riesgos o evaluación de impacto, cuando proceda, y diseñar los tratamientos de datos personales antes de utilizar cualquier aplicación o plataforma, estableciendo criterios como el uso limitado de dichos datos, tratando que se sean los mínimos posibles, favoreciendo la seudonimización (disociando los datos personales para evitar identificar fácilmente a las personas) y cuando sea posible, la anonimización de los mismos (de modo que la identificación sea imposible). -Para que el centro educativo pueda utilizar las aplicaciones o plataformas ajenas, deberá acreditar que dispone de un contrato suscrito por el responsable del tratamiento a favor del propio centro con el encargado del tratamiento o empresa prestadora del servicio, que perC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/53 mita acreditar que el tratamiento de los datos personales se adecua a los principios y garantías establecidos en el RGPD.” -La Consejería estudie la posibilidad de establecer un convenio o cualquier otra figura que la vincule jurídicamente con las entidades prestadoras de servicios cuyas plataformas sean utilizadas con mayor frecuencia por los centros educativos, que permita obtener un compromiso por los prestadores sobre la cesión y la privacidad de los datos que realmente minimicen el impacto sobre su seguridad. -Anexo II, con el escrito titulado: “INSTRUCCIONES Y RECOMENDACIONES SOBRE PROTECCIÓN DE DATOS PERSONALES PARA LOS CENTROS DOCENTES PÚBLICOS DE LA COMUNIDAD DE MADRID”, de agosto 2020, de la DPD con recomendaciones para la elaboración de directrices e instrucciones para la utilización de plataformas educativas ajenas a las corporativas, que además deberían incorporarse para el curso 20-21 (24 páginas). Contiene una tabla de contenidos generales entre el que se incluye el apartado de “uso de aplicaciones y plataformas educativas”. En el mismo se referencia las finalidades administrativas o de gestión de los centros educativos , “no se autoriza su uso con carácter general” “que deberán realizarse con las aplicaciones informáticas de gestión oficiales”. En cuanto a “servicios que no puedan prestarse por EducaMadrid se podrá hacer uso de otros recursos complementarios que la autoridad educativa habilite como tales, y que serán incluidos en la página web” ”Cuando los centros educativos públicos deseen emplear aplicaciones educativas que no figuran en los párrafos anteriores, deberán solicitar autorización y supervisión a la Consejería de Educación y Juventud. Deberán abstenerse de emplear aplicaciones o plataformas educativas no corporativas o no consideradas por la Consejería como complementarias que exijan adherirse a las condiciones del prestador del servicio, y que no permitan suscribir un contrato de encargo de tratamiento, donde debe figurar el responsable del tratamiento. Tampoco deberán hacerlo si no son capaces de garantizar y poder demostrar el estricto cumplimiento de la normativa vigente sobre protección de datos. “Cuando un centro educativo desee emplear una aplicación o plataforma educativa no corporativa o no complementaria deberá elaborar con carácter previo un proyecto detallado sobre el tratamiento de los datos personales que pretende introducir en ellas, para su posterior evaluación de impacto sobre la privacidad y validación por la D.G. de Bilingüismo y Calidad de la Enseñanza, que contará con el asesoramiento de la Delegación de Protección de Datos”. Determina el contenido del proyecto. Se especifica que :“La aplicación nunca se utilizará para tratar datos de carácter administrativo con efectos jurídicos, como gestión de faltas de asistencia de alumnos y profesores, tramitación de bajas laborales, gestiones económicas, evaluación de pruebas de conocimiento o aptitud parciales o finales, valoración de conductas o procedimientos disciplinarios, pruebas de tipo psicopedagógico y cualquier otro trámite de carácter confidencial corporativo.” “Además, cuando se traten datos personales deberá existir un contrato por escrito entre la Unidad de la Consejería de Educación y Juventud competente y la empresa prestadora del servicio, que recoja la finalidad del tratamiento, las responsabilidades y demás requisitos que establece el RGPD en su art. 28.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/53 -Anexo IV, nota interior del DGESFP y RES a Dirección General de Infraestructuras y Servicios y a la DGB y CE, asunto “instrucciones sobre uso de plataformas informáticas”, escrito de 6/05/2020, en el que se indica que las EOI no disponen de sistema de gestión dentro del entorno de Madrid Digital, situación anómala en comparación con el resto de las enseñanzas oficiales. Algunas de ellas han recurrido a soluciones temporales surgidas por la necesidad. Dada la competencia de la DGBCE … solicita “ nos hagan llegar las directrices de uso de plataformas informáticas ajenas a las corporativas que están empleando determinados centros en tanto en cuanto no se ponga en marcha el programa informático RAÍCES que permitan cumplir con la normativa de protección de datos” -Como anexo 5, aporta la publicación el 30/03/2021 en el BOCM del Convenio de Colaboración de 8/03/2021 entre la Comunidad de Madrid y MICROSOFT IBÉRICA SRL para mejorar la competencia digita en el ámbito educativo con el entorno OFFICE 365, como un complemento a las herramientas corporativas de la Consejería. TERCERO: Con fecha 8/04/2021, la reclamación prosigue, de acuerdo con lo prescrito en el párrafo 5 del artículo 65 de la LOPDGDD. CUARTO: Se ha tenido conocimiento de que figura publicado en el BOCM de 24/06/2021, el Convenio de colaboración de 10/06/2021, entre la Comunidad de Madrid (Consejería de Educación y Juventud) y GOOGLE IRELAND LIMITED, para contribuir a la mejora de la competencia digital en el ámbito educativo mediante el uso de WORKSPACE FOR EDUCATION, en el que destaca: - Se configura como un complemento a las herramientas corporativas de la Consejería a herramientas que integran las tecnologías de la información y la comunicación en el proceso educativo, como complemento de las que integran la plataforma corporativa EducaMadrid. -Se pone a disposición de docentes y alumnos el uso de la versión básica de Workspace For Education, a través de las condiciones acordadas entre las partes en la licencia y prestación de servicios instrumentado en el contrato de encargado de tratamiento, que el responsable, la Consejería ha efectuado un análisis de riesgo. -Se indica que los servicios están regulados por los siguientes acuerdos, incorporados al presente Convenio: “— Los TÉRMINOS DE SERVICIO acordados por las partes sobre el uso de Workspace for Education, que se incluyen como Anexo II a este Convenio y que se publicarán también en EducaMadrid (“Términos de Workspace for Education”). Establece los términos de servicio, entre los que destaca: “1.
3. Consola de Administración. El Cliente tendrá acceso a la Consola de Administración, con la que podrá gestionar su uso de los Servicios y administrar las Cuentas de Usuarios finales y otras funcionalidades de los Servicios. La Consejería deberá: (a) administrar las Cuentas de Usuarios finales a través de la Consola de Administración; y (b) determinar los Servicios a los que los Usuarios finales tendrán acceso. 1.
4. Cuentas y verificación para usar los Servicios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/53 (a) Cuentas. El Cliente debe tener una Cuenta para usar los servicios y es responsable de la información facilitada para crearla, así como de la seguridad de las contraseñas de la Cuenta y de cualquier uso que se haga de esta. Google no tiene la obligación de proporcionar varias Cuentas al Cliente. (b) Verificación para usar los Servicios. El Cliente debe verificar una dirección de Correo Electrónico de Dominio o un Nombre de Dominio para usar los servicios. Si el Cliente no tiene un permiso válido para usar esa dirección de Correo Electrónico de Dominio o no posee ni controla ese Nombre de Dominio, Google no tendrá obligación de proporcionar los Servicios al Cliente y podrá eliminar la Cuenta sin previo aviso.” — La ADENDA DE TRATAMIENTOS DE DATOS, cuya versión vigente al momento de la firma, según se adapta en este Convenio, se incorpora como referencia como Anexo III.” Se incluye a titulo de ejemplo el apartado 6.5.2 b. Respecto de las Cláusulas Contractuales Tipo según se describe en la Sección 9.2 (Transferencias de datos), Google permitirá a la Consejería o a un auditor independiente designado por la Consejería realizar auditorías según se describe en las Cláusulas Contractuales Tipo de conformidad con la Sección 6.5.3 (Condiciones comerciales adicionales para revisiones y auditorías). La Consejería podrá realizar una auditoría para verificar el cumplimiento por parte de Google de sus obligaciones en virtud de esta Adenda de Tratamiento de Datos mediante la revisión de la Documentación de Seguridad (que refleja el resultado de las auditorías realizadas por el Auditor Externo de Google). QUINTO: Con fecha 3/01/2022, se acuerda por la Directora de la AEPD: “INICIAR PROCEDIMIENTO SANCIONADOR a CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA de la CCAA DE MADRID, con NIF S7800001E, (EOI) de Madrid "Jesús Maestro" (por la presunta infracción del artículo 32 del RGPD, de conformidad con el artículo 83.4.a) del RGPD y a efectos de prescripción en el artículo 73 f) de la LOPDGDDD. A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción.” SEXTO: Con fecha 21/01/2022, se reciben las siguientes alegaciones: 1-Cuando el 12/11/2019, la EOI informa que va a proporcionar el nuevo recurso, el uso de correos que estaba realizando el Claustro en el dominio EducaMadrid. org era testimonial. La acción se enmarcaba en la “estrategia de digitalización” del centro, cuyo proyecto educativo recogía, desde julio del 2019, como se detalla en la PGA (programación general anual) del curso 19/20, la necesidad de dotarse de plataformas y herramientas avanzadas y específicamente entre ellas de GOOGLE SUITE FOR EDUCATION. “Las nuevas cuentas las creó la EOI de Jesús Maestro para uso estrictamente profesional, quedando habilitadas el 1/12/2019 -documento 2-, que es la copia de un correo a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/53 reclamante informando del correo profesional “ya operativo en el dominio eoijesusmaestro, pudiendo acceder al buzón directamente desde correo.eoijesusmaestro.es. El correo te seguirá llegando también a tu dirección personal, pero tendrás que usar esta nueva cuenta para acceder a los enlaces, carpetas y documentos-o te dirá que no tienes acceso-“. “sin que el reclamante o ninguna otra persona alegase su oposición en el transcurso de esas semanas.” “Las herramientas de EducaMadrid contaban con escasa implantación y por dificultades en la prestación del servicio, con un fuerte rechazo por el Claustro, siendo el uso de una cuenta institucional del centro con el dominio eoijesusmaestro.es, una alternativa por la que se optó para la mejora”. Sobre la posibilidad de acceso por parte de los administradores del sistema a la información obrante en los correos del dominio, si bien esta existe, no es arbitraria sino que “puede ser necesaria en un contexto meramente profesional, precisamente para cumplir con los requerimientos legales de la autoridad administrativa o judicial. Esta capacidad de investigación debe configurarse exprofeso. Su uso está estrictamente limitado. Queda registrado en el propio sistema a efectos de su auditoría. En cualquier caso, esta configuración no se aplicó en la escuela. Aporta impresión de la aplicación ,documento 4 sobre las instrucciones “utilizar la herramienta de investigación para ver el contenido de mensajes de Gmail”. Se trata de ajustar la configuración de la herramienta, indicando que se ha de proporcionar en modo escrito una justificación para ver el mensaje, que queda anotado en el registro de auditoría de la consola de administración. 2-“Se recabó a través de la Dirección del Área territorial de Madrid informe del Director de la EOI de 2/03/2020 donde se detalla la justificación de las herramientas adoptadas y en particular la aplicación al contrato previamente suscrito por el centro en noviembre del 2019 de las cláusulas contractuales tipo avaladas por resolución de la AEPD de 22/06/2017”. 3-“ En julio del 2020 se anuncia ante el Claustro de profesores la decisión de abandonar las cuentas del dominio gestionado en GOOGLE WORKSPACE”. “Desde el comienzo del siguiente curso escolar en septiembre de 2020, se incrementó el uso de la plataforma de EducaMadrid, usando solamente sus aulas virtuales para la gestión interna del centro y dirigiendo las comunicaciones a los profesores exclusivamente a estos correos institucionales. La eliminación definitiva de las cuentas docentes en el dominio de la escuela —cuya utilización, por otra parte, nunca fue excluyente ni sustitutiva del uso de las de EducaMadrid— se produjo en noviembre de 2020, tan pronto como el centro de gestión de incidencias para Microsoft Teams de la Consejería estuvo operativo y se pudo solicitar el alta o restitución de aquellos usuarios que no tenían acceso, así como la creación de equipos.” 4- Teniendo en consideración el proceso de autorización detallado, la EOI JM inició en febrero 2021 “una consultoría” de las aplicaciones no corporativas en uso, teniendo en cuenta las “instrucciones y recomendaciones sobre protección de datos personales para los centros docentes públicos de la Comunidad de Madrid”, en su versión de septiembre de
5. Al finalizar, en junio 2021 se presentó a la Dirección General de Bilingüismo y Calidad de la Enseñanza. Aporta documento 8 a (46 paginas) “solicitud de uso de herramientas educativas ajenas de la CCAA de Madrid” para continuación de uso académico de la plataformas desC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/53 critas en el documento, entre la que se incluye subsidiariamente la versión GS“Fundamentals” a la que se produciría la migración. El documento indica: ”Recientemente se ha comunicado el acuerdo celebrado entre la Comunidad de Madrid y Google para incluir las soluciones de Google Workspace, en su modalidad básica, dentro del catálogo de aplicaciones complementarias a EducaMadrid. Al carecer todavía de detalles del citado acuerdo, pero tomando en cuenta el mismo, solicitamos autorización para dar continuidad al uso de Google WorkSpace for Education, con base a los apartados descritos a continuación.·. El documento no lleva fecha y porta el logo de la EOI JM. Figura un apartado referido al “uso de la aplicación GS con servidores ajenos a los de EducaMAdrid”, desde el año 2019, porque la Consejería dio cursos y recomendaba la aplicación, los alumnos están habituados al uso de estas herramientas, no es necesario aprender su uso, es una suite completa con diferentes funcionalidades integradas, no así la de EducaMadrid, y “razones por las que las herramientas de EDUCAMADRID no cubre nuestras necesidades” mencionando entre otras: la falta de integración de la herramienta videoconferencias con el resto, la experiencia de usuario y la plataforma de formación on line a través del sistema de clases es poco usable, carece de aplicaciones ofimáticas colaborativas en línea, falta de integración con sistemas ofimáticos en línea del aula virtual en la aplicación “MOODLE”, así como otro apartado de los beneficios de las aplicaciones de GS para la educación. Indica que ya se ha realizado el análisis de riesgos de los tratamientos realizados en GS. En datos tratados con GS figuran nombre y apellidos y la clase o grupo, relacionadas con el “desarrollo de clases a distancia”, no se alude al uso de gestión académica o relación entre el centro y profesores-alumnos, indicándose que el uso de los profesores es para generación de clases y asociación de alumnos a las clases. En una tabla aporta por columnas sobre la “operación de tratamiento de datos por uso de GS”, los “riesgos identificados”, las “medidas implementadas” y “observaciones”, Así, figura: Como base legitimadora consta la del “consentimiento expreso”. Menciona las medidas que aplica GS como proveedor de servicios en la nube, alude a aspectos del riesgo en el tratamiento en cuanto a transparencia, colectivo afectado y tipo de datos, pero estas menciones, como a la “ubicación de datos” o el “periodo de conservación” remiten a la página de GOOGLE, no detallan como funcionan ni especifican las medidas con ellos relacionadas en cuanto a garantías para los afectados. Se indica que el centro “pone a disposición de todos los alumnos y docentes una cuenta de GS, cuyo uso requiere la aceptación expresa por parte de los usuarios, incluidas en el dominio @eoijesusmaestro.es” “Se prevé como medida, la migración al entorno de GOOGLE WORKSPACES Fundamentals, en caso de negativa a la autorización a la versión Enterprise”, si bien el convenio suscrito figura la versión “básica”. 5- “El centro adoptó transitoriamente GOOGLE WORKSPACE para la educación, versión Standard en abril de 2021 para garantizar el tratamiento de datos en el Espacio Económico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/53 Europeo”. “Esto sin menoscabo de que ya en agosto de 2020, tras el fin del escudo de privacidad, Google hubiese adaptado las cláusulas contractuales tipo en la adenda de protección de datos (documento 9) que consiste en un e mail informativo desde GOOGLE a la EOI asunto: “GS/ Cloud identity enmienda de tratamiento de datos actualizada para abordar la nulidad del EU-US Escudo de privacidad” en respuesta a la sentencia del TJUE de 16/07/2020”, señalando que desde la administración de la consola se puede haber aceptado ya por las actualizaciones que se llevan de tiempo en tiempo, y si no se ha adoptado se clique para aceptarlas “Después de todas las acciones adoptadas, las únicas cuentas de correo @eoijesusmaestro.es aún operativas son las que corresponden a miembros del equipo directivo