PS-00334-2022

1/56  Expediente N.º: EXP202104450 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 29/08/2021, interpuso reclamación ante la Agencia Española de Protección de Datos, que se dirigió contra MINISTERIO DE DEFENSA, (EJÉRCITO DEL AIRE Y DEL ESPACIO- ***CARGO.1COLEGIO MENOR NUESTRA SEÑORA DE LORETO) con NIF S2801407D (en adelante, reclamado. Los motivos en que basa la reclamación son los siguientes: Recibió mediante un correo electrónico de 5/7/2021, (aporta en ANEXO I) una información del Colegio Menor Nuestra Señora de Loreto (CMNSL) en el que estudian sus (...) hijos (...), que indica: “El año anterior les solicitamos que creasen una cuenta de correo para sus hijos/as para poder utilizar la plataforma educativa” y prosigue: “el Colegio solicitó y se le concedió, GOOGLE WORKSPACE for Education” (GW), “conjunto de herramientas basadas en la nube”, informando que “a través de GW, el Colegio va a crear una cuenta de correo electrónico para sus hijos e hijas con todas las ventajas y características de una cuenta de Gmail, pero con el dominio colegiomenorloreto.es” y con “vigencia durante toda la vida escolar de los alumnos, por lo que cada año que los alumnos estén en el centro no tendrán que cambiar más de dirección de correo electrónico”. “En breve recibirán un correo electrónico con los datos de la cuenta de sus hijos e hijas en los correos electrónicos que figuran en Alexia”. “La estructura del correo intentará ser nombre.apellido@colegiomenorloreto.es, salvo en los casos de concurrencia de nombres y apellidos, donde se podrá utilizar el segundo apellido.” Finaliza con: “cuando reciban el correo accedan a la cuenta de sus hijos y cambien la contraseña…” A-El reclamante ejerció el 12/07/2021 su derecho de acceso “a la información relativa al tratamiento de datos personales que está realizando el Colegio Loreto sobre mis (...) hijos”. Aporta ANEXO II, como “reclamación previa amparada en el artículo 37 de la LOPDGDD” en la que destaca: 1) Le indica que ha recibido la comunicación de 5/07/2021 y añade, “en la pasada limitación a las clases presenciales durante la pandemia, cuando algunos docentes comenzaron a usar la herramienta Google Classroom (entre otros) esta parte no dio el consentimiento para el uso de herramientas educativas de Google.” Ha expresado diversas divergencias, sugerencias y escritos al Colegio en el año 2020, relacionadas con protección de datos, incluyendo un escrito sobre la recogida en el formulario para el proceso de matriculación “de este año”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/56 2) En el registro de actividades de tratamiento (RAT) del Ministerio de Defensa (MINISDEF), Ejército del Aire y del Espacio, no se mencionan las que se realizan en el CMNSL. 3) La información que figura en la web ejércitodelaire.defensa.gob.es/EA/Loreto/, (aporta copia-pega versión 11/07/2021) lleva a apartado: “privacidad” y da una información genérica sobre el tratamiento y finalidad de la recogida de datos de usuarios del portal y los servicios solicitados, precisando que el responsable del fichero de datos generado con los datos de carácter personal suministrados por los usuarios del portal www.ejércitodelaire.mde.es es el Ministerio de Defensa-Ejército del Aire y del Espacio, no se alude en ningún punto al Colegio y se ve “mapa del sitio” con enlaces a distintos órganos del Ministerio. El reclamante señala que contiene referencia en los compromisos de tratamiento a la normativa anterior de protección de datos, LOPD 15/1999, y así figura. Añade que “incumple el deber de información que impone el RGPD” y que “los padres tampoco disponemos de otra fuente pública de información acerca del tratamiento de datos personales propios ni de nuestros hijos.” 4) Posible vulneración del deber de información por el responsable del tratamiento: a). En el “formulario obtención de datos médicos de los menores”, anexo IV, titulado “CMNSL FICHA Médica ”“durante la matriculación”, del que aporta copia/pega de parte del documento, “aviso” en el que se alude a que informan conforme a la LOPD 15/1999, derogada, y que los datos se incorporan “al fichero de alumnos del Colegio para una “eficaz gestión”, “se destinarán exclusivamente para el correcto control sanitario del alumno, podrán ser cedidos a las autoridades sanitarias competentes en caso de necesidad”. Indica, además que el ejercicio de derechos de acceso, oposición y cancelación, se efectúen ante el Centro Educativo, no “ante el responsable”. b). En el formulario: “Autorización para el tratamiento de datos e información sobre el ejercicio de derechos legales”, se informa de los datos facilitados para la matriculación en el colegio, anexo V, del que aporta una copia/pega parcial del documento. Se refiere de nuevo, que: “de conformidad con la LOPD 15/1999, en su versión actualizada por la de 30/07/2018”, informando de que los datos de carácter personal “facilitados para la matriculación en el Colegio” se incorporan a un “fichero privado” “cuyo responsable y único destinatario es el Colegio”. En el párrafo posterior, se alude también, a: “Todos los datos facilitados” sigue:” Bajo ningún concepto serán cedidos a terceras personas ni tendrá acceso a ellos persona alguna, física o jurídica, salvo que sea estrictamente necesario para el cumplimiento de los fines educativos del Colegio”. Se reproduce la información según el escrito: - “Los datos e información académica de los alumnos” sobre los que “como titular de la patria potestad puede ejercer sus derechos de acceso, modificación y rectificación de los datos facilitados”. - “Los derechos de cancelación solo pueden hacerse efectivos para datos personales suyosde contacto, números de cuenta bancaria, datos de domiciliación, datos médicos de sus hijos- “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/56 - “Sin embargo, los datos que consten en el “expediente académico” no pueden ser cancelados…”, explicando las razones. - “Para el ejercicio de esos derechos, puede solicitarlo a…”, indicando la sede del Colegio y dos modalidades. - “Habiendo sido debidamente informado sobre tratamiento de datos y de los datos de mis hijos, sobre mis derechos de acceso, modificación y cancelación de los mismos, de conformidad con la Ley Orgánica 3/2018 autorizo su tratamiento con fines exclusivamente educativos al Colegio Menor Nuestra Señora de Loreto”. Precisa que no se informa de cesiones de datos a terceros para “fines educativos”, especificando a GW, faltaría mencionar la posibilidad de que los mayores de 14 años otorguen la autorización, y que olvida varios de los derechos, el plazo de conservación y no concreta las medidas de seguridad. 5) Falta de transparencia en la cesión de datos a GW sobre garantías, contrato suscrito, derechos a ejercitar y medidas de seguridad, añadiendo que se ha creado la cuenta sin su consentimiento. 6) Añade que solicita otro tipo de información que considera asociado al derecho de acceso: que se incluya la mención a las cesiones de datos, identidad de los cesionarios, a la existencia de relación contractual entre responsable de tratamiento y diferentes encargados, a las medidas técnicas y organizativas para garantizar la confidencialidad, existencia de evaluaciones de impacto y auditorías que garanticen confidencialidad integridad y disponibilidad y existencia de transferencias internacionales y garantías del artículo 46 del RGPD. B-El reclamante recibió contestación del DPD del Ministerio de Defensa en correo electrónico de 2/8/2021, (aporta copia en anexo IV), con un oficio de 30/07/2021 (aporta copia en anexo III): del ***CARGO.1, (…), destinatario: DPDMINISDEF, con copia a: ***CARGO.2, en el que: “remite respuesta del EA relativa a la solicitud sobre ejercicio derechos acceso y oposición “ En el literal del oficio figura: ANEXOS, y, entre otros: “autorización tratamiento datos personales”, “respuesta al DPD reclamación CMNSL”. El Anexo IV contiene la respuesta a la solicitud del ejercicio de derechos, en la que destaca: 1) Se confirma la existencia de un tratamiento de datos personales de los interesados llevado a cabo por el Colegio Menor Nuestra Señora de Loreto, que “se encuadra en el Mando de Personal del Ejército del Aire y, por tanto, el responsable de tratamiento de los datos que se lleven a cabo por dicha entidad es ***CARGO.1”, y figura en el Registro de las actividades de Tratamientos-RAT- del Ministerio de Defensa denominado: “EA. Gestión de Centros Docentes”, relacionando la web desde la que es accesible. Haciendo clic en la misma, aparece versión junio 22, figura “

1. a)fines del tratamiento”, se desglosa en apartados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/56 -Fines: “Gestión de centros”: entre otros, consta: “gestión de la impartición de clases y conferencias”. - “Gestión de datos de menores”, entre otros consta: “gestión centros de educación infantil, colegios”. -“Gestión de datos académicos de centros docentes”; entre otros consta: “gestión de solicitudes de plazas, matrículas y cobros, datos necesarios para la formalización de la matriculación en el centro, gestión administrativa de los alumnos y seguimiento de su historial académico, realización de tutorías, orientación profesional y apoyo académico, gestión de los datos de los alumnos para garantizar la salud de los mismos, gestión de los datos de los alumnos para la prestación del servicio de Comedor en el centro, realización de tareas complementarias al estudio como visitas a museos, actividades, etc., Tratamiento de las imágenes de los alumnos para la divulgación o publicación de las mismas”.
2. a)Colectivo: entre otros figuran: padres, tutores legales, profesores, alumnos de los centros educativos.
3. b)Categoría de datos: “identificativos de contacto entre los que figuran nombre y apellidos, DNI teléfono, email” y “categorías especiales de datos sensibles relativos a la salud”.
4. c)Categoría de destinatarios: “No están previstas transferencias internacionales de los datos.” Indica que “ la Agencia Española de Protección de Datos entiende, a efectos de aplicación del RGPD, que serán transferencias internacionales de datos aquellas que suponen un flujo de datos personales desde el territorio español a destinatarios establecidos en países fuera del Espacio Económico Europeo (los países de la Unión Europea más Liechtenstein, Islandia y Noruega).”, señala un link de la AEPD sobre derechos y deberes, que se actualiza periódicamente, en el que informa que “Los responsables y encargados del tratamiento podrán realizar transferencias internacionales de datos sin necesidad de autorización de la Agencia Española de Protección de Datos siempre que el tratamiento de datos observe lo dispuesto en el RGPD y en los siguientes supuestos:…”
5. d)“Plazo de supresión: la documentación que conforma este tratamiento forma parte del patrimonio documental, lo que determina su conservación en el tiempo. Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Menciona la Ley Orgánica 2/2006 de Educación, de 3/05 y sus modificaciones, y la Ley Orgánica 3/83 de 25/02 de la competencia de desarrollo legislativo y ejecución de la enseñanza.
6. e)Base jurídica: “artículo 6.1b) del RGPD y tratamiento necesario para la ejecución de un contrato en el que interesado es parte o para la aplicación a petición de éste de medidas precontractuales” y con base al servicio público esencial de la educación, en el artículo 6.1e) del RGPD: “tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento” citando diversas normas legales. “Consentimiento explícito en cuanto a temas relacionados con menores.”, igualmente sin detallar con que tratamientos se relacionaría. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/56
7. f)Medidas de seguridad “se corresponden con las previstas en el Anexo II (Medidas de seguridad) del Real Decreto 3/2010, de 8/01, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica”.
8. g)Responsable del tratamiento: “***CARGO.1.”
9. h)Delegado de Protección de Datos, dirección en la sede física del Ministerio de Defensa y dirección de correo electrónico. 1) “La solución Workspace for Education es una herramienta educativa puesta a disposición de docentes y alumnos por parte de la Comunidad de Madrid. Con ella se pretende mejorar la gestión de la enseñanza, afrontar las posibles contingencias que pudieran derivarse de la COVID19 y aprovechar el carácter gratuito de su versión básica, al objeto de no engrosar el gasto de las familias. El acuerdo que lo regula está publicado en el B.O.C.M. Núm. 149, del jueves 24/06/2021 como “CONVENIO de colaboración de 10/06/2021, entre la Comunidad de Madrid (Consejería de Educación y Juventud) y Google Ireland Limited” (en adelante CONVENIO) “para contribuir a la mejora de la competencia digital en el ámbito educativo mediante el uso de Workspace for Education”. “Del Convenio se extrae que GOOGLE es encargado del tratamiento siendo responsable la Consejería.” “A partir del próximo curso, y una vez finalizados los procesos necesarios para comenzar el uso de la herramienta Google Workspace, está prevista la cesión de datos a la Consejería de Educación de la Comunidad de Madrid con la finalidad de gestionar los mismos a través de dicha herramienta. Mientras tanto, se ha ofrecido a las familias una dirección de email a esos efectos, solicitando su aceptación y protección a través de una clave personal. Dicha aceptación sería la que activaría la cuenta. No obstante, previa a la inclusión de datos en dicha plataforma, se solicitará autorización expresa para ello a los padres o tutores de los alumnos (...)”. 2) “Las transferencias que se realicen en virtud del encargo de tratamiento de datos a la compañía Google Ireland Limited, con domicilio social en Gordon House, Barrow Street, Dublín 4, Irlanda, no serán consideradas transferencias internacionales a efectos de aplicación del RGPD. Google Ireland Limited actúa como encargado de tratamiento, nunca como destinatario de cesiones de datos”. “En cuanto al ejercicio del DERECHO DE OPOSICIÓN a la transferencia internacional de datos, así como al tratamiento de los datos mediante la herramienta Google Workspace solicitado por el interesado, cabe indicarle que, habida cuenta que Irlanda es un país amparado por la aplicación del RGPD, no será entendido el tratamiento, a efectos de aplicación de este Reglamento, como una transferencia internacional de datos personales.” “Además, respecto a la oposición al tratamiento de datos mediante la herramienta Google Workspace o, subsidiariamente, la limitación sobre estos datos hasta su tratamiento lícito por ese medio, demostrado e informado, cabe indicar que el Ejército del Aire considera que el tratamiento de datos personales es lícito por este medio ya que el tratamiento se realiza al amparo del RGPD y a través de un encargo de tratamiento de datos con Google Ireland Limited amparado por el reciente Convenio de Colaboración entre la Comunidad de Madrid”. Considera el Convenio como la fuente en la que se implementan las transferencias necesarias y que cumplen las garantías adecuadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/56 “atendiendo a que el tratamiento de datos personales se lleva en cabo en aplicación del artículo 6.1.
10. e)del RGPD por motivos de interés público, consolidado a través del derecho a la educación del artículo 27 de la Constitución Española y la Ley Orgánica 3/2020, de 29/12, por la que se modifica la Ley Orgánica 2/2006, de 3/05, de Educación, para facilitar la digitalización de la educación y el acceso a la misma a todos los ciudadanos durante la crisis sanitaria de COVID19, y a que el representante de los interesados no ha expresado un motivo relacionado con su situación particular que motive suficientemente la oposición al tratamiento, se propone DENEGAR su ejercicio de derecho de oposición.” 3) “En relación a las referencias sobre carencias en las cláusulas informativas de los formularios para la recogida de datos o para el consentimiento de padres/tutores, se informa que se están revisando y actualizando todos ellos, de forma que estén disponibles antes del inicio del próximo curso escolar, principalmente, el referido a la “Autorización para el tratamiento de datos e información sobre el ejercicio de derechos legales”. ·”se está actualizando la política de privacidad a la que el reclamante hace referencia, si bien, también a los efectos del deber de información, es necesario considerar que dicha página web es, como puede apreciarse, un subdominio del dominio https://ejércitodelaire.defensa.gob.es, que cumple con exactitud lo estipulado en el RGPD”. 4) “La herramienta Google Workspace posee certificación del Centro Criptológico Nacional que la reconoce como empresa certificada en Esquema Nacional de Seguridad, como se puede extraer tanto de la página web del Centro Criptológico Nacional como de la propia información ofrecida por Google en su página corporativa”. 5) Informa que, por parte de la Oficina de Protección de Datos del EA, está prevista la realización de una inspección al Colegio, durante la tercera semana de septiembre, al objeto de confirmar la finalización de todas las acciones puestas en marcha para la subsanación de las deficiencias encontradas tras la reclamación, principalmente en materia de información legal. 6) Responde que posee herramientas internas para el análisis de riesgos. C-El reclamante, indicando que ha sido informado por el SEGEMA que el CONVENIO se aplica en su Colegio, dirigió un escrito el 25/08/2021, a la DPD de la Consejería de Educación de la Comunidad de Madrid, (aporta copia en Anexo V) solicitando diversa información sobre el CONVENIO que suscribió con GOOGLE para implantar GW publicado en BOCM de 24/06/2021, preguntaba:
11. a)Si se ha confeccionado una EIPD, así como el resultado. Si se ha realizado una consulta previa a la AEPD (art 36 RGPD).
12. b)Consecuencias de la no prestación del consentimiento.
13. c)Aspectos sobre las transferencias internacionales. Aporta anexo VI, de respuesta, de 27/08/2021, indicando que conforme “se determina en el Anexo II, apartado 3.1, el Convenio es de aplicación a centros educativos públicos sin ánimo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/56 de lucro de la Comunidad de Madrid…” Por lo tanto, no es de aplicación en los centros docentes de naturaleza privada como es el caso del Colegio Menor Ntra. Sra. de Loreto, y cuya titularidad reside en un Patronato de Huérfanos del Ejército del Aire”. Continua el reclamante indicando que el Patronato de Huérfanos del Ejército del Aire, es una «asociación benéfica particular, adscrita al Ministerio de Defensa» según dispone el art.1 de la Orden DEF/1876/2009, de 8/07 (BOD nº138), por la que se aprueba el Reglamento del Patronato de Huérfanos del Ejército del Aire "Nuestra Señora de Loreto". Cabría preguntarse si está integrado en el sector público o en el sector público institucional (art. 2 Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público), especialmente a efectos del régimen especial sancionador del art. 77 LOPDGDD, o de la obligación de designar un DPD propio (art. 34.b). Demanda a la AEPD se pronuncie sobre “si la competencia del responsable del tratamiento y del Delegado de Protección de Datos del Ministerio, “es acorde con la normativa de protección de datos para el tratamiento de los datos del Colegio.” El reclamante finaliza, exponiendo: 1) “La información que le han facilitado los responsables del tratamiento es contradictoria (uno dice que el CONVENIO es aplicable al Colegio de sus hijos y el otro responsable manifiesta que no).” Le impide conocer si la cesión de datos a Google por parte del Colegio se está realizando al amparo de un mecanismo jurídico adecuado, y cuáles son las condiciones en que se desarrolla. 2) Los formularios de recogida de datos de los alumnos del colegio y la política de privacidad de las páginas web del Colegio y del Ejército del Aire y del Espacio, en cuanto al cumplimiento del deber de Información, no cumplen los parámetros establecidos por la normativa de protección de datos. Aporta anexo VIII del formulario, titulado “autorización para el tratamiento de datos personales e información sobre el ejercicio de derechos legales”, que considera no es correcto. El formulario que se refería en el derecho de acceso se contenía sin firmar, este si lo está, a 23/05/2021. Su contenido ya figura explicado. Incide además que en el formulario se informa que los datos no se cederán a terceras personas “salvo que sea estrictamente necesario para el cumplimiento de los fines educativos del Colegio”. Por ello, en el ejercicio de derechos preguntó (anexo II, p.7) si las cesiones a terceros, especialmente en atención a las alergias alimentarias que presentan los menores se efectúa a la concesionaria del servicio de comedor, etc. o de otro título, como encargado de tratamiento, sin obtener respuesta. Aporta copia de “anexo IX, ficha médica CMNSL”, que es el formulario que aportó parcialmente, sobre obtención de datos médicos de los menores ya referido previamente. 3) También aporta copia de anexo X que contiene la política de privacidad de la página web del Colegio, y del Ejército del Aire y del Espacio, en cuanto al cumplimiento del deber de información para que sea valorada por la AEPD. 4) Solicita la adopción de medidas provisionales para salvaguardar el derecho fundamental de protección de datos con obligación de bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado con cita del artículo 68 de la LOPDGDD, estimando que en GW “pueden incluirse datos especialmente protegidos de salud y religión” y “ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/56 denegación del Responsable del Tratamiento a nuestra solicitud del Derecho de Oposición (anexo IV, pp. 8-9) referida a la transferencia internacional de datos mediante la aplicación Google Workspace, y la cesión de cualquier dato a Google, en tanto no se cumplan adecuadamente los requisitos de información y licitud del tratamiento, cree esta parte adecuada la adopción por esa Agencia de una medida provisional consistente en el cese de la utilización de la mencionada plataforma, si efectivamente no estuviera amparada por el convenio CAMGoogle y/o indiciariamente esa Autoridad de Control entendiera que no se está utilizando acorde a la normativa de Protección de Datos.” 5) Considera se ha violado su confidencialidad al remitirse el oficio de 30/07/2021 a dos dependencias calificándolo de uso oficial. El oficio que le remitía el anexo IV que contiene la respuesta a su derecho, en el que ni en tal respuesta ni en el oficio se le identifica a él, a su hijo o el curso, “considera que hay datos personales que pueden identificar a una persona de forma indirecta”. SEGUNDO: Con fecha 23/11/2021, se recibe “complemento de la reclamación”, aporta:
14. a)Escrito del Colegio de 18/11/2021, “nota a las familias”, recordando a “los que no han devuelto la documentación que se requería a comienzo de curso- carta compromiso de cumplimiento de la normativa del Centro, cláusulas informativas acerca del uso de Google Workspace y cláusulas informativas sobre Protección de Datos y consentimiento que se debe devolver incluso si consta su negativa. La no complementación de estos documentos o la negativa sobre cualquiera de ellos podría tener influencia en el proceso de renovación de la matrícula para el curso 2022/ 2023.”
15. b)Escrito comunicado por correo electrónico de reclamante al Colegio, de 19/11/2021, en el que le indica: “en cuanto al uso de la plataforma Google Workspace, como ya conoce el Colegio, nos oponemos a la cesión de datos de nuestros hijos a esa mercantil en lo que el consentimiento del interesado cómo base legitimadora intervenga.” “Debido a la información contradictoria que facilita el centro con respecto a la Comunidad de Madrid en cuanto a la aplicabilidad del convenio referenciado, se está sustanciando el correspondiente expediente ante la Agencia Española de Protección de Datos”. Acompaña copia de escrito firmado el 19/11/2021 que lleva el anagrama del Colegio y contiene una cláusula informativa en una cara de un folio. “He leído y comprendo la información facilitada por el CMNSL sobre la creación y mantenimiento de una cuenta GW asignada a cada hijo, para que GOOGLE recoja, utiliza y divulgue información sobre él sólo con los fines descritos en este mensaje”, (se desconoce cuál sería esta información, si pudiera ser la de 5/07/2021)- Aparece anotado a mano “no”, para leerse “no comprendo la información facilitada…”, acompañado de la nota manuscrita de “No conforme con la cesión de datos a GOOGLE INC o cualquiera de sus filiales o dependientes vinculadas” En el pie del escrito figura “notificación de Google WORKSPACE for Education dirigida a padres y tutores”, del literal: “En este mensaje, se describe que tipo de información personal proporcionamos a Google procedente de estas cuentas y como GOOGLE recoge, utiliza y divulga la información personal de los alumnos en lo que respecta a estas cuentas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/56 Con sus cuentas de Google Workspace for Education, los alumnos pueden utilizar y acceder a las siguientes “servicios principales” que ofrece Google descritos con más detalle” en una dirección de Google que reseña, listando los servicios a los que pueden acceder, entre otros constan, Gmail, CLASSROOM, documentos, hojas de cálculo, prestación y formularios, “CLOUD SEARCH”. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado, y a la Consejería de educación, universidades, ciencia y portavocía de la CCAA de Madrid, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16/11/2021, como consta en el acuse de recibo que obra en el expediente. En el traslado se solicitaba analizar la reclamación y remitir a esta Agencia la siguiente información: CUARTO: Con fecha 7/12/2021, el reclamado, manifestó: 1-El Colegio manifiesta que atendió la petición del reclamante. Adjuntan copia de la respuesta. Considera que atendieron el artículo 15 del RGPD. 2-Por un lado, el reclamante expone que los formularios de recogida de datos de los alumnos del Colegio y la política de privacidad de las páginas web no cumplen con lo establecido por la normativa de protección de datos. “Tras un profundo proceso de revisión, en la actualidad cumplen con lo establecido por la normativa”, “cuando el reclamante presenta a la AEPD la reclamación, “ya habían sido efectuadas las correcciones oportunas”. Si bien indica que: “ A tenor de la petición de información del reclamante, en julio de 2021 y a pesar de la diligencia mostrada por el Colegio, se identificaron áreas de mejora en la protección de los datos y se procedió a su subsanación” y en el apartado de “actualización de los formularios informativos y de consentimiento de recogida de datos personales” consta que “se efectuó la redacción de un nuevo formulario informativo y de consentimiento de recogida de datos personales, reforzando el deber de información del artículo 13 del RGPD y del artículo 11 de la LOPDGDD (“Evidencia 5”). 3- Manifiesta que “a causa de la situación sanitaria originada con motivo de la COVID19 se pusieron de manifiesto carencias organizativas y de medios en el ámbito educativo con la necesidad de contar una herramienta que permitiera superar estas dificultades en el caso de que se reprodujeran las mismas circunstancias. GW no requería una compleja formación previa para los usuarios, era gratuita, “si se demostraban unas condiciones organizativas determinadas”. “Tras aparecer el CONVENIO que suscribió la Consejería de Educación de la Comunidad de Madrid, (BOCM 24/06/21) se reforzó para iniciar el proceso de solicitud”. “Google aceptó inicialmente la petición de acceso del Colegio para un periodo de prueba de dos semanas. Tras este, en noviembre 2020, GOOGLE concedió la autorización definitiva que por parte del Colegio se materializa en la aceptación de los “términos de uso” antes del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/56 primer acceso. Se entendió como un acuerdo de adhesión en el que se comprometían ambas partes a lo especificado en los términos de uso”. Adjuntan la dirección url https://edu.google.com/intl/ALL_es/why-google/privacy-security/, que no lleva al contrato suscrito sino a la página de GOOGLE, “Google for education”” Centro de privacidad y seguridad” que informa la herramienta e informa de las versiones, “Education fundamentals”, “teaching and learning upgrade”,” Standard”, y “Plus” “Con el objetivo de tener la plataforma Workspace en disposición de ser utilizada durante el Curso 2021-2022, durante el pasado verano se envió a las familias de los alumnos un documento que informaba de la decisión de establecer Workspace como plataforma educativa para tele-enseñanza. Se solicitaba autorización para asignar una cuenta de correo a cada alumno, de forma que Google recogería y trataría la información de cada uno de ellos con los fines educativos descritos. Así, recibidas las autorizaciones, se crearon los correos de los alumnos, con el dominio @colegiomenorloreto.es. A cada familia se le comunicó el nombre del correo asignado, solicitándole la activación de la cuenta mediante la generación automática de una contraseña, condición necesaria para que la cuenta sea operativa.” “En el caso del reclamante, éste manifestó su disconformidad para el uso de Workspace, rechazando su uso, por lo que las cuentas de sus hijos no fueron dadas de alta.” 4-“Tras la reclamación recibida en julio, y después de la auditoría interna realizada por la Oficina LOPD del EA, con la colaboración de las oficinas de Control de Procesos y del DPDMINISDEF, se planteó la duda sobre la viabilidad del uso de GW, lo que provocó la consulta a la AEPD a través del DPDMINISDEF, según copia parcial que aportan, que dio como resultado la respuesta de esa Agencia, “quedando en suspenso cautelarmente el uso de dicha plataforma” ”hasta encontrar una solución definitiva”. Aporta copia de la consulta en los términos en que se hace el 7/10/2021, contestada por la AEPD de 15/11/2021, solo la primera página, sobre “utilización de la plataforma workspace for Education Google para el curso 21/22 en base al convenio de colaboración entre Comunidad de Madrid y Google Ireland de 10/06/2021 que habilita a todos los centros educativos para el uso de las herramientas de Google en el proceso docente”. Se indica en la respuesta de la AEPD dos links sobre guía de servicios “cloud” e informa que los servicios denominados en la nube o “cloud computing” se realizarán a través de un contrato de prestación de servicios u otro acto jurídico con arreglo a derecho y resultando im prescindible que se incorpore entre sus cláusulas las garantías a las que obliga el RGPD, artículo 28, indicando diversa documentación sobre el responsable del tratamiento y el encargado. 5-En cuanto a las condiciones en que se produce la cesión de datos a Google, señala que ello se responde en el link que menciona las condiciones del contrato. 6- “No han dado respuesta a la parte reclamante pues han tenido conocimiento de la existencia de la reclamación del interesado a la AEPD con ocasión de la recepción del presente requerimiento”. 7-En cuanto a las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles para comprobar su eficacia, indican que entre los meses de julio y septiembre del 2021 y antes del inicio del curso escolar efectuaron: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/56
16. a)Una auditoría interna para comprobar la situación real del colegio en materia de Protección de Datos. Aportan “evidencia 3” que consiste en escrito de 6/09/2021, del ***CARGO.1, al ***CARGO.2 informando de la realización de visita de inspección al CMNSL el 29/09/2021 e informa de que realizaran un listado de verificación cumplimiento GDPR: LOPD y de otro llamado “de adecuación on line” para la cumplimentación por el centro. No aporta copia del resultado y valoración de dicha auditoría.
17. b)Contratación de una empresa consultora de Protección de Datos. Realización de una auditoría externa de Protección de Datos con el objetivo de reforzar los puntos detectados como mejorables. Aporta “evidencia 4”, solo la primera página de la que se deduce se realiza el 13/08/2021, titulado “informe auditoría RGPD-LOPDGDD”, indicando su disposición a aportar el resto.
18. d)Se efectuó una redacción de un “nuevo formulario informativo y de consentimiento de recogida de datos personales”. Aporta “evidencia 5”, “Cláusula informativa actualizada” “cláusula informativa sobre Protección de Datos y consentimiento”, que reúne “la información sobre el tratamiento de datos personales que el Colegio realizará para la gestión de la actividad educativa”, de la que destaca; - “le informamos que los datos de carácter personal que nos proporciona serán tratados por el MINISTERIO DE DEFENSA-EJÉRCITO DEL AIRE como Responsable del Tratamiento a quien se adscribe el COLEGIO MENOR N. ª SEÑORA DE LORETO e incorporados a sus actividades de tratamiento con las siguientes finalidades: Formalizar y gestionar la matrícula en el centro escolar. Tramitar el expediente escolar. En este caso, se tratará toda la información estrictamente necesaria para cumplir dicha finalidad, incluyéndose imágenes del menor para la identificación de su expediente. Gestionar la solicitud de becas y ayudas al estudio. Gestionar los posibles tratamientos médicos que sea necesario llevar a cabo en el botiquín del centro, así como el tratamiento de datos médicos relevantes para garantizar el estado de la salud del alumno en el centro educativo y orientarle en su actividad escolar de acuerdo a la LOE. Realizar la función orientadora y educativa, para lo cual deberán conocerse las circunstancias personales y sociales necesarias, así como las circunstancias sociales y personales de sus padres o tutores legales o cualquier otra circunstancia relevante a estas funciones. El centro podrá realizar cuantos cuestionarios, encuestas y entrevistas considere necesarias, a los meros efectos de cumplir con esta finalidad y garantizando en todo caso la proporcionalidad de las mismas. Gestionar el servicio de comedor. En este caso entre los datos personales tratados habrá datos de salud (alergias y/o intolerancias alimentarias) para garantizar la salud del menor. Gestionar las actividades extraescolares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/56 Autorizo el tratamiento de los datos para gestionar las actividades extraescolares en las que se inscriba el alumno, así como la posible cesión de datos al AMPA o centros organizadores de las actividades como museos, exposiciones, etc. Grabar imagen/voz en actividades o eventos organizados por el centro. Autorizo la utilización de imagen/voz con fines de difusión en la web y otros medios.” -Se informa de la base de legitimación, haciendo constar en cuanto a “gestionar tratamientos médicos y el expediente psicológico”, “gestionar el servicio de comedor” como el cumplimiento de una obligación legal, artículo 6.1.
19. c)del RGPD, y las consideradas como función educativa que identifica entre otras, con: “(
20. i)formalizar y gestionar la matrícula en el centro, (
21. ii)tramitar el expediente escolar, (iii) gestionar la solicitud de becas y ayudas al estudio; (
22. iv)gestionar tratamientos médicos y el expediente psicológico, (
23. v)Realizar la función orientadora y educativa. Otra base legitimadora es el “consentimiento expreso” “6.1.a)” para (vii) gestionar las actividades extraescolares, y (viii) utilización de imagen/voz en actividades y eventos “Los alumnos o sus tutores legales pueden ejercer sus derechos de acceso…”.
24. e)Revisión y realización de protocolos, como los de “ejercicio de derechos”, “violaciones de seguridad”, “funciones obligaciones del personal con acceso a datos “política de contraseñas”, “protección de datos de equipos informáticos de las aulas”, señalando que figura en las copias de las evidencias 6 a 11.
25. f)“Se han revisado y corregido los textos legales obligatorios en la página web del colegio: “Aviso Legal”, “Política de Privacidad”, y “política de cookies”. Indica la url que dirige a la misma en: https://ejércitodelaire.defensa.gob.es/EA/Loreto/NotaLegal/ en la que, entrando, figura “destinatario y condiciones de utilización del portal ejércitodelaire.mde.es”, e informa sobre la titularidad del dominio: Ministerio de Defensa y las condiciones generales del portal y de acceso y uso. En “Privacidad”, consta: “El Ejército del Aire (Ministerio de Defensa) es la entidad responsable del tratamiento de datos generado con los datos de carácter personal suministrados por los usuarios bien a través del formulario de contacto de su Sede electrónica” ” La recogida y tratamiento automatizado de los datos personales tiene como finalidad la gestión, prestación, ampliación y mejora de los servicios solicitados en cada momento por el usuario y el seguimiento de consultas planteadas por los usuarios.” En la misma página, en el margen superior derecha figura: Colegio Menor Sra. de Loreto y debajo varias pestañas informativas desplegables sobre el mismo. g)-Se identificaron tratamientos para los que se requería una evaluación de impacto y se concretó que sería cuando fueran tratamientos que implicasen dos elementos: un uso de categorías especiales de datos a los que se refiere el artículo 9.1 del RGPD (datos de salud del Colegio) y “de sujetos vulnerables o en riesgo de exclusión social, incluyendo datos de (...)”. Adjuntan como evidencia 12, solo la primera página, de 13/10/2021, indicando que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/56 puede requerir. h)-Se realizó un “análisis de riesgo e implementación de las medidas de seguridad adecuadas” para el tratamiento “E.A. Gestión de Centros Docentes” del EA, aporta evidencia 13, solo la primera, pagina, 20/07/2021, “informe de actividades”, indicando que se puede requerir.
26. ii)Han llevado a cabo dos jornadas formativas desde noviembre de 2021, evidencia 14. QUINTO: Con fecha 17/12/2021, la Consejería de Educación, Universidades, ciencia y Portavocía de la CCAA de Madrid, responde al traslado de la reclamación, indicando que recibió consulta del reclamante sobre el uso de GOOGLE W en el CMNSL. Aporta anexo 3 con la respuesta dada al reclamante de 3/12/2021, en el que se precisa que el “uso de los servicios en virtud del presente acuerdo está reservado a los centros educativos públicos sin ánimo de lucro de la Comunidad de Madrid y que al centro acuden los hijos del reclamante. Colegio menor nuestra señora de Loreto es un centro privado de educación infantil primaria y secundaria cuya titularidad pertenece al Patronato de Huérfanos del Ejército del Aire por tanto el convenio firmado por la Consejería de educación con Google no es de aplicación a este centro” En anexo 4, la Delegación de Protección de Datos manifiesta que se respondió a la consulta del reclamante manifestándole que el uso de los servicios de Google for Education al amparo del convenio suscrito es para centros educativos públicos de la Comunidad de Madrid, por lo tanto, el convenio no se aplica a los centros docentes de naturaleza privada como es el caso del Colegio de Nuestra Señora de Loreto. SEXTO: Con fecha 19/01/2022, se resuelve por la Directora de la AEPD el archivo de actuaciones y se notifica a ambas partes. SÉPTIMO: Se formula por el reclamante recurso de reposición, asignado como RR/00107/2022, en el que indicaba: 1.El Colegio le ha remitido un correo electrónico y un escrito adjunto el 21/01/2022, del que se desprende que se creó la cuenta GOOGLE de sus hijos, “antes incluso de haber recabado el consentimiento de sus padres o tutores.” Aporta copia de documento 2, correo titulado: “información sobre cuentas Google” con nota adjunta sobre GOOGLE WORKSPACE, cuyo tenor literal es el que sigue:” familias: Desde el colegio nos disponemos a implementar la plataforma Google Workspace. Todas las familias que firmaron las autorizaciones de la plataforma pueden disponer ya de forma operativa del correo electrónico institucional que se creó para cada alumno. Esta cuenta de correo tendrá una duración de toda la vida académica de los alumnos en el centro. En su caso, al no haber firmado el consentimiento para el uso de la plataforma de GW, se procederá a dar de baja la cuenta de sus hijos, no pudiendo utilizar las herramientas de videoconferencia ni de almacenamiento de la plataforma. Si no desean que esto ocurra deben remitir la documentación adjunta firmada cuanto antes a la dirección ***EMAIL.1.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/56 2. Se colige que el Convenio no ampara el uso que el Colegio ya estaba haciendo de las herramientas de GOOGLE (en 12/07/2021, que fue cuando el Colegio informó de la creación de cuentas, “y remite las claves a los padres y tutores”) y “las cesiones que ya había realizado de los datos de los menores”. Alude a los efectos de la denegación del derecho de oposición al tratamiento presentado junto con el de acceso en respuesta de 2/08/2021 cuando se estaban tratando sus datos. Aporta como documento 4, copia de la cláusula informativa que firmó el reclamante el 19/11/2021, más la información que se refería en la misma. Se trata de una información del Colegio, que el reclamante manifiesta se le envió en octubre 2021, en la que indica: “En el Colegio Menor Nuestra Señora de Loreto, utilizamos Google Workspace for Education, por lo que le informamos de todas las cuestiones relevantes de dicha plataforma, en aras a garantizar el principio de transparencia. Desde el Colegio Menor Nuestra Señora de Loreto crearemos una cuenta a su hijo/tutelado de Google Workspace for Education y la gestionaremos en su nombre. Google Workspace for Education es un conjunto de herramientas de productividad de Google destinadas a la enseñanza, que utilizan decenas de millones de alumnos y profesores de todo el mundo, y entre las que se incluyen Gmail, Calendar, Documentos, Classroom, etc. En el Colegio Menor Ntra. Sra. de Loreto los alumnos utilizarán sus cuentas de Google Workspace for Education para completar tareas, comunicarse con sus profesores, iniciar sesión en sus Chromebooks y adquirir destrezas propias de la ciudadanía digital del siglo XXI. En este mensaje se responde a preguntas habituales sobre lo que Google puede y no puede hacer con la información personal de su hijo, entre las que se incluyen: • ¿Qué información personal recoge Google? • ¿Cómo utiliza Google esa información? • ¿Divulgará Google la información personal de mi hijo? • ¿Utiliza Google información personal de los alumnos de centros educativos de enseñanza primaria y secundaria para segmentar publicidad? • ¿Puede mi hijo compartir información con otros usuarios a través de la cuenta de Google Workspace for Education? Lee detenidamente esta información, consúltanos las dudas que tengas y, después, firma más abajo para indicar que has leído esta notificación y que has comprendido la información. Este proveedor, como cualquier otro de los contratados por el Colegio, será necesario para un correcto seguimiento escolar y una correcta prestación de los servicios educativos, por lo que esta notificación es meramente informativa. Este proveedor es seguro y dicha contratación se ha realizado en base a un convenio firmado por la Comunidad de Madrid, que garantiza la seguridad del mismo. Le sigue un “He leído y comprendo la información ...” para ser firmado por el padre el 19/11/2021, según ya se ha mencionado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/56 Debajo del espacio de firma, figura más información sobre el uso de cuentas, remite a “Aviso de privacidad de GW” para información sobre los datos que recoge de las cuentas de GW y sobre “cómo utiliza y divulga esos datos”. En otro apartado: ¿Qué información recoge GOOGLE? y ¿Cómo utiliza GOOGLE esa información”? indicando además que “podrá realizar transferencias internacionales de datos, las cuales se encuentran securizadas mediante Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y garantizando un nivel de seguridad similar al establecido en el Reglamento Europeo de Protección de Datos”. En el apartado final, figura: “Si tienes alguna pregunta sobre cómo utilizamos las cuentas de Google Workspace for Education de Google o las opciones de las que dispones, ponte en contacto con el Coordinador de Protección de Datos del centro a través de la siguiente cuenta de correo: (...)@cnsloreto.com”, y acaba indicando que los “servicios principales de Google Workspace for Education se nos proporcionan de conformidad con el contrato de Google workspace for Education” remitiendo a la url y “la adenda sobre el tratamiento de datos” disponible en otra remisión del url” Aporta, además, un correo electrónico de 12/07/2021 del Colegio al reclamante (doc 5), título: “Usuario y contraseña plataforma Workspace for Education, “, “como se explicó en el e mail anterior, se adjunta en archivo pdf, usuario y contraseña para acceder a la plataforma WORKSPACE” Aporta las notas de bienvenida de GOOGLE INC a (...), fecha 8/07/2021, avisando de que “tienes una nueva cuenta de Google en la organización colegiomenorloreto. es. Inicia sesión en tu cuenta de Google para acceder a los servicios que se ofrecen en tu organización. Si la organización tiene Google Workspace los servicios de Google pueden incluir versiones para empresas de Google drive, Gmail y otros servicios de Google que puedes utilizar para colaborar con tu equipo”. Le indica el nombre de usuario que es el nombre. primer apellido con @colegiomenorloreto.es y la contraseña, junto al enlace de inicio de sesión en workspace.google com, firmado: “el equipo de GOOGLE Cloud”. Indicando el reclamante que se efectuó una “transferencia internacional”, “no informada ni consentida” sin las garantías que preceptúa el RGPD. Añade incongruencia omisiva al no haberse pronunciado la resolución sobre todos los asuntos. OCTAVO: Con fecha 26/05/2022, se da traslado del recurso al reclamado, que en fecha 7/06/2022, manifiesta: 1) “Las cuentas (...) no fueron ni han sido en ningún momento activadas. Por lo que en ningún momento los datos de los menores representados por el reclamante se han visto expuestos. 2) De la respuesta a la consulta dada por la AEPD, sobre viabilidad de uso de GW se dio traslado al ***CARGO.2, del que depende el Colegio Menor Nuestra Señora de Loreto, a traC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/56 vés de escrito de 18/11/2021 (evidencias 1, 2, 3) “y quedó cautelarmente en suspenso el uso de dicha plataforma hasta encontrar una solución definitiva”. “En fecha 02/12/2021, el Director del Centro traslada a la Oficina LOPD del Ejército del Aire escrito en el que pone de manifiesto la problemática que se podría originar al no disponer de una plataforma para impartir las clases telemáticamente, en el caso de que se produjese un confinamiento del alumnado como consecuencia de la pandemia originada por el COVID-19 (evidencia 4)”. Con fecha 13/01/2022, el Director del centro traslada a la oficina LOPD del EA, un escrito (evidencia 5) relativo a la situación del Colegio y la herramienta GW, indicando que a través de una “consultora contratada”, se verifica que se realizan transferencias internacionales, y que se produce un análisis de dichas transferencias y se analizan las cláusulas contractuales tipo. Se toma en consideración la resolución de la AEPD TI/153 2017 en la que se concluyen como adecuadas las garantías establecidas en los modelos de contratos aportados por Google para la transferencia internacional de datos con destino a dicha entidad establecida en Estados Unidos y actuando como encargado de tratamiento, “a pesar de ser conscientes de que dichas circunstancias han variado desde la fecha objeto de resolución.” “Este colegio va a proceder a la utilización de la citada plataforma a partir de la semana que viene”. “El colegio ha recibido información sobre la normal utilización de la aplicación por los colegios públicos de la Comunidad de Madrid”. La Oficina LOPD del EA, en escrito de 17/01/2022 (evidencia 6) entre otras cuestiones “recomendó al Director del Centro llevar a cabo la elaboración de un contrato de encargo de tratamiento con Google Ireland Limited para el uso de la plataforma Google Workspace for Education, el cual debería incluir las cláusulas contractuales tipo elaboradas por la Comisión Europea, anteriormente mencionadas.” Alude a la realización de un informe jurídico encargado a la asesoría Jurídica del EA que concluiría que el Convenio de colaboración firmado entre la Comunidad de Madrid y Google Ireland Limited no es aplicable al Colegio Menor Nuestra Señora de Loreto. Se respondió por el Colegio el 19/01/2022, que la empresa consultora que contrataron en agosto 2021 para el asesoramiento y apoyo en dicho ámbito, elaboró un informe que se envió a ese EMA y que “señalaba que el encargo de tratamiento se realiza con la empresa GOOGLE LIMITED IRELAND, ubicada en Irlanda, no siendo consideradas transferencias internacionales a efectos de aplicación del RGPD, que actúa como encargado, nunca como destinatario de cesiones de datos”, y que “aunque este centro no participa en el Convenio de la Comunidad de Madrid con GOOGLE, su aplicación a los colegios públicos puede ser trasladable a los colegios no públicos”, pues la plataforma es la misma, de carácter genérico.” Manifiesta la oficina LOPD del EA que el informe de la consultora es aportado como evidencia 8, copia de un “informe jurídico sobre análisis de proporcionalidad del uso de Google Workspace y resolución de la AEPD”, que lleva fecha de 1/01/2022. A modo de conclusión el informe señala: “GRUPO ADAPTALIA, actuando como consultor externo e independiente del Centro, determina que la utilización de Google, debería valorarse de cara al curso siguiente, en vistas de la prohibición de algunas autoridades de control de la utilización de algunas plataformas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/56 Google, valorando una plataforma que no realice transferencias fuera del EEE. Así mismo, … podría considerarse que el uso de la plataforma se entiende lícito de manera temporal, al menos hasta que la propia AEPD saque sus conclusiones definitivas con respecto a las transferencias internacionales a EEUU. De igual manera, por el trastorno operativo que podría afectar a la formación de los alumnos, se determina que durante el presente curso la utilización de la plataforma será proporcional y adecuada, cumpliendo además en materia de seguridad y en el resto de las obligaciones formales como son el contrato de encargo de tratamiento, conservación de información, etc, ya regulado a través de sus Condiciones Generales de Uso, que actúan a su vez como contrato regulador de la relación entre las partes.” En fecha 24/01/2022, se recibe en la Oficina LOPD del Ejército del Aire y del Espacio escrito nº ***ESCRITO.1 procedente del Director del Centro (evidencia 10) en la que se comunica que se va a proponer un contrato de encargo de tratamiento con Google, pero que mientras se lleva a cabo, el Centro continuará usando la citada plataforma. Según manifiesta el reclamado, de diversos cruces de escritos entre la oficina LOPD EA, Director del Centro en 25/02 y 2/03/2022, se indica que el Director del centro estaba utilizando la aplicación. Con fecha 7/03/2022, la oficina LOPD del EA, eleva escrito al ***CARGO.1, comunicando el resumen de actuaciones llevadas a cabo desde la fecha, que se inició el 18/11/2021 (evidencia 13). Aporta copia de evidencia 17 en la que la oficina LOPD EA ha instado el 27/05/2022 el cese del uso de GW. Finaliza indicando que la oficina LOPD del Ejército del Aire, como órgano de trabajo del responsable del tratamiento del Ejército del Aire y del Espacio, ha recomendado en todo momento al Colegio, la aplicación de las diferentes directrices marcadas por la AEPD. Si bien el Colegio manifestó en uno de sus escritos la intención de proceder a elaborar un contrato de encargo de tratamiento, es cierto que el mismo no ha llegado aún a llevarse a cabo. “En cualquier caso, el centro siempre ha tenido como objeto garantizar el derecho a la educación de los alumnos ante un posible confinamiento”. Considera que los datos de los hijos del reclamante no se han visto nunca expuestos NOVENO: Con fecha 15/06/2022, se acuerda: “ESTIMAR el recurso de reposición interpuesto contra la resolución de esta Agencia dictada en fecha 19/01/2022, por la que se acordaba el archivo de la reclamación referida a MINISTERIO DE DEFENSA.” DÉCIMO: Con fecha 5/12/2022, la Directora de la AEPD, acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a MINISTERIO DE DEFENSA, (EJERCITO DEL AIRE Y DEL ESPACIO- ***CARGO.1) con NIF S2801407D, por la presunta infracción del RGPD, artículos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/56 -28, de conformidad con el articulo 83.4
27. a)del RGPD, tipificada como grave a efectos de prescripción en el artículo 73.
28. k)de la LOPDGDD. -13, de conformidad con el articulo 83.5
29. b)del RGPD, tipificada como leve a efectos de prescripción en el artículo 74.
30. a)de la LOPDGDD.” “a los efectos previstos en el art. 64.2
31. b)de la LPACAP, la sanción que pudiera corresponder seria de un apercibimiento por cada una de las infracciones imputadas, sin perjuicio de lo que resulte de la instrucción.” DECIMOPRIMERO: Con fecha 22/12/2022, se reciben alegaciones del reclamado, en las que manifiesta: 1- En cuanto a la no identificación del responsable del tratamiento en los formularios, se significa que en todos ellos se informa de la dirección web corporativa de la sede electrónica del Ministerio de Defensa, a la que se puede dirigir el interesado para ejercer sus derechos. En dicha dirección se puede acceder al Registro de Actividades de Tratamiento del EA, en la que figuran los datos del responsable de tratamiento ((...)), con lo que el responsable de tratamiento sí que está identificado. Manifiesta que se comunicó al Colegio que debía añadir dicho responsable, y aporta evidencia 1, en Anexo 1, en la que figura el documento “cláusula informativa sobre protección de datos y consentimiento “, del que destaca, entre otros extremos, y siendo el mismo contenido que el que aportó en el traslado, en evidencia 5: -Se informa del “***CARGO.1” como responsable del tratamiento -En finalidades, figuran referencias en distintos apartados, a la gestión de la matricula, el expediente escolar, becas, tratamientos con datos médicos para garantizar el estado de salud del alumno conectándolos con otra finalidad especifica de: “gestión del comedor”, “videovigilancia de instalaciones” y la “función orientadora y educativa” en la que, además, se refiere a que deberán conocerse circunstancias personales y sociales y que el centro podrá realizar cuestionarios encuestas y entrevistas. -En cuanto a las bases de legitimación para el tratamiento, destacan: Para la videovigilancia de las instalaciones, el interés público, art 6.1.
32. e)del RGPD. Dentro del cumplimiento de una obligación legal, art 6.1.
33. c)del RGPD, aplica: Para todas aquellas finalidades entendidas como función educativa entre las que incluye: -gestión y tramitación de la matrícula y el expediente escolar, -ayudas al estudio, -Gestionar tratamientos médicos e información médica relevante. Gestionar el servicio del comedor, -Realizar la función orientadora y educativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/56 2-Sobre la infracción del artículo 28 del RGPD, señala que “existe un acuerdo de adhesión” de carácter genérico, disponible para los usuarios de la plataforma GW, configurado por una serie de cláusulas contractuales cerradas en las que se fijan las condiciones para las partes. Se trata de un contrato tipo, igual para todos sus clientes, en el que los usuarios no tienen ninguna posibilidad de negociar los términos, entendiéndose que la aceptación del citado acuerdo de adhesión constituiría título suficiente para cumplimentar lo dispuesto en el artículo 28 del RGPD. Aporta como evidencia 2, en ANEXO 2, “TRATAMIENTO DE DATOS en la nube-Adendum” en inglés. Se indica: A) Este Apéndice de tratamiento de datos en la nube, incluidos sus apéndices (" Anexo "), en virtud de los cuales Google acordó proporcionar Google Cloud Platform, Google Workspace o Cloud Identity (cada uno como se define a continuación), según corresponda (el " Servicios”), al Cliente. Este Anexo se conocía anteriormente como los "Términos de seguridad y procesamiento de datos" en virtud de un Acuerdo para Google Cloud Platform y la "Enmienda de tratamiento de datos" en virtud de un Acuerdo para Google Workspace o Cloud Identity. Este Anexo entrará en vigor y reemplazará cualquier término anteriormente aplicable al tratamiento de Datos del Cliente, incluidos los Términos de seguridad y tratamiento de datos o la Enmienda de tratamiento de datos, a partir de la Fecha de vigencia del Anexo (como se define a continuación). En el punto 2, se contienen “definiciones” y los supuestos que se pueden dar por ejemplo del “país adecuado”, según a los datos tratados procedan, “sujetos al RGPD de la UE”, “del Reino Unido”, “Suiza” y las soluciones de las transferencias de datos. Para la descripción de los servicios como GW, GOOGLE CLOUD PLATFORM, remite a diferente enlace. Igualmente, explica los diversos roles y cumplimientos normativos que se pueden dar, remitiendo a un Apéndice 1, si se aplica la ley europea de protección de datos al tratamiento de datos del cliente, siendo GOOGLE un encargado de tratamiento y que cada parte cumplirá las obligaciones que le son aplicables en virtud de la Ley europea de protección de datos con respecto al tratamiento de datos del cliente. 5.2 Alcance del tratamiento 5.2.1 Cumplimiento de las Instrucciones del Cliente. El Cliente le indica a Google que trate los Datos del Cliente de acuerdo con el Acuerdo aplicable (incluido este Anexo) y la ley aplicable únicamente: (
34. a)para proporcionar, asegurar y monitorear los Servicios y TSS; y (
35. b)como se especifica más a través de (
36. i)el uso de los Servicios por parte del Cliente (incluida la Consola de administración y otras funciones de los Servicios) y TSS, y (
37. ii)cualquier otra instrucción escrita proporcionada por el Cliente y reconocida por Google como instrucciones constitutivas en virtud de este Anexo (colectivamente, las “ Instrucciones”). Google cumplirá con las Instrucciones a menos que lo prohíba la legislación europea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/56 5.2.2 Notificaciones de instrucción. Sin perjuicio de las obligaciones de Google en virtud de la Sección 5.2.1 (Cumplimiento de las Instrucciones del Cliente) o cualquier otro dere cho u obligación de cualquiera de las partes en virtud del Acuerdo aplicable, Google notifi cará de inmediato al Cliente si, en opinión de Google: (
38. a)la legislación europea prohíbe a Google cumplir con una Instrucción; (
39. b)una Instrucción no cumple con la Ley Europea de Protección de Datos; o (
40. c)Google no puede cumplir con una Instrucción, en cada caso a menos que dicha notificación esté prohibida por la Ley Europea. 5.3 Productos adicionales. Si Google, a su elección, pone productos adicionales a disposición del Cliente para su uso con Google Workspace o Cloud Identity de acuerdo con los Términos de Productos Adicionales aplicables: a. El Cliente puede habilitar o deshabilitar productos adicionales a través de la Consola de administración y no necesitará usar productos adicionales para usar Google Workspace o Cloud Identity; y b. Si el Cliente opta por instalar Productos Adicionales o usarlos con Google Workspace o Cloud Identity, los Productos Adicionales pueden acceder a los Datos del Cliente según sea necesario para interoperar con Google Workspace o Cloud Identity (según correspon da). Para mayor claridad, este Anexo no se aplica al tratamiento de datos personales en relación con el suministro de cualquier Producto Adicional instalado o utilizado por el Cliente, incluidos los datos personales transmitidos hacia o desde dichos Productos Adicionales. “Medidas de seguridad de Google. Google implementará y mantendrá medidas técnicas, organizativas y físicas para proteger los Datos del cliente contra la destrucción, pérdida, alteración, divulgación o acceso no autorizados o accidentales o ilegales, tal como se des cribe en el Apéndice 2 (las "Medidas de seguridad"). Las Medidas de Seguridad incluyen medidas para cifrar los Datos del Cliente; para ayudar a garantizar la confidencialidad, la integridad, la disponibilidad y la resiliencia continuas de los sistemas y servicios de Google; para ayudar a restaurar el acceso oportuno a los Datos del Cliente después de un incidente; y para pruebas periódicas de eficacia. Google puede actualizar las Medidas de seguridad de vez en cuando, siempre que dichas actualizaciones no resulten en una re ducción sustancial de la seguridad de los Servicios.” 10. Transferencias de datos 10.1 Instalaciones de almacenamiento y procesamiento de datos. Sujeto a los compromisos de ubicación de datos de Google en virtud de los Términos específicos del servicio y el resto de esta Sección 10 (Transferencias de datos), los Datos del cliente pueden tratar se en cualquier país en el que Google o sus encargados tengan instalaciones No figura la fecha de la última versión de la información. “La oficina LOPD del EA solicitó al Colegio la realización de un contrato de prestación de servicios u otro similar para adecuar la normativa vigente de protección de datos de la plataforma GW. El Colegio se puso en contacto con GOOGLE que respondió que no contemplan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/56 suscribir contratos específicos con cada usuario. Aporta en evidencia 3, de anexo 3, un escrito del Director del Colegio de 27/03/2022, asunto informe análisis de la proporcionalidad plataforma Google workspace for Education, solo la primera página, dirigido a (…). Indica que “tras recibir la comunicación sobre la recomendación de suscribir un contrato de encargo de tratamiento realizado por el delegado de Protección de Datos del Ministerio de Defensa, se puso en contacto con Google que respondió que tan solo era aplicable lo que su propia página web y que la herramienta Workspace for Education cumple con lo dispuesto en el RGPD. Además, añadieron que no contemplan la posibilidad de suscribir contratos específicos con cada usuario”. “Tras evaluar la situación, se concluyó que cualquier suscripción del acuerdo específico con este proveedor no podía ser llevado a cabo por el Colegio, ordenándose el cese inmediato de la utilización de la plataforma, en caso de estar produciéndose” En evidencia 4 se aporta un escrito asunto; notificación AEPD CMNSL, de 27/05/2022, dirigido al Mando de Personal del EA, en el que se indica que en breve recibirán oficio donde se les comunica el cese inmediato de la utilización de la plataforma GOOGLE WORKSPACE for education, y en caso de utilización de la citada plataforma educativa, la elaboración del correspondiente encargo de tratamiento entre CMNSL y GOOGLE Otro escrito de 30/05/2022, indica que se ha dado audiencia en el recurso de reposición interpuesto por el reclamante y se solicita el cese de la plataforma. DÉCIMO SEGUNDO: Con fecha 2/07/2023, se inicia un trámite de pruebas, incorporándose los documentos derivados de la reclamación y los obtenidos en el traslado. Asimismo, se dan por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado y la documentación que a ellas acompaña. Adicionalmente, se solicita al reclamado que, porte o responda a las siguientes cuestiones:
41. a)En su respuesta al traslado de la reclamación, 7/12/2021, ya iniciado el curso 21/22, manifestaron que: “El Colegio Menor Nuestra Señora de Loreto se encuadra en el Mando de Personal del Ejército del Aire (EA) y, por tanto, el responsable de tratamiento de los datos que se lleven a cabo por dicha entidad es ***CARGO.1.” A tal efecto, se le solicita que aporte copia de la norma o resolución que atribuya al citado cargo (***CARGO.1), la competencia como responsable del citado tratamiento. Facultades que en el desarrollo de esta función ha realizado sobre el tratamiento de los datos de la aplicación GOOGLE SUITE implantada durante la pandemia y en concreto en el CMNSL en los años y cursos 20/21 y siguiente. Con fecha 10/07/2023, se recibe respuesta en la que responde que como EVIDENCIA 1 del Registro de Actividades de Tratamiento del EA que aparece en la página web del Ministerio de Defensa, accesible a través del enlace: https://sede.defensa.gob/acceda/tablon/descargafichero? (...). Entrando en la sede, utilidades, tablón de anuncios, registro de actividades de tratamiento, Ejército del Aire y del EspaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/56 cio, lleva al Registro de actividades del tratamiento, junio 2022, versión pdf descargable, en el que figura “EA gestión de Centros Docentes”, y en el apartado de responsable figura (…). Se añade que “El responsable de tratamiento tuvo conocimiento del uso de la citada plataforma por parte del CMNSL cuando recibió la notificación a través de la Oficina del DPD del MINISDEF de la reclamación interpuesta por el interesado ante la AEPD.
42. b)Dado que la información de la recogida y tratamiento de datos no se produce “en línea”, y se cumplimenta en un documento manualmente por los padres de los (...), se solicita que aporten el documento en el que se informaba y autorizaba el tratamiento con fines educativos, para el curso 2021/2022 en el CMNSL e informen en que fechas fue modificado y por qué, y si este documento se ha rellenar para los alumnos en el proceso de matriculación anual, y en qué periodo se ha de cumplimentar. Aportan EVIDENCIA 2, que es un formulario que manifiesta se entregó a las familias en septiembre 2021, y ya no se exige, pues GOOGLE WORKSPACE for Education no se utiliza. El formulario según indican, ha sido el mismo desde la fecha citada, momento en el que comenzó a activarse la plataforma, hasta que dejó de utilizarse. El formulario encabeza “Dirección”, “Estimadas familias” e informa del uso de GW, las herramientas que contiene y que se va a crear una cuenta a su hijo, para completar tareas, comunicarse con sus profesores y adquirir destrezas digitales a través de GOOGLE como proveedor, necesario para un correcto seguimiento escolar y prestación de los servicios educativos. Se indica que se ha de leer la información y “firmar más abajo para indicar que has leído esta notificación y que has comprendido la información”. En una segunda página, figura el: “he leído y comprendo la información facilitada por el Colegio sobre la creación y mantenimiento de una cuenta de GW asignada a mi hijo y para que Google recoja, utilice y divulgue información sobre el solo con los fines descritos en este mensaje”. Al final de la hoja figura “notificación de GOOGLE W para la Educación dirigida a padres y tutores” y que: “En este mensaje se describe que tipo de información personal proporcionamos a GOOGLE…”. A continuación, indicar los servicios a los que puede acceder, los avisos y la política de privacidad de GW, la información personal que recoge GOOGLE y como se utiliza. También que los servicios se proporcionan de conformidad con el contrato de GW, los “términos”, y la “Adenda sobre tratamiento de datos”, indicando los enlaces, si bien se contiene antes que “la contratación se ha realizado en base a un convenio firmado por la CCAA de Madrid, que garantiza la seguridad del mismo.” Añaden que si tienen más cuestiones puede contactar con una cuenta de correo del Colegio.
43. c)En el mismo sentido, con la hoja para la recogida de datos médicos, “ficha médica”. Aportan un formulario curso 21/22 “Ficha médica”, que según manifiestan, se modificó al inicio del curso y se entregó junto al formulario “cláusula informativa sobre protección de datos y consentimiento”. La ficha médica va firmada por el padre y madre o representantes legales, conteniéndose cuestiones como “calendario vacunal al día”, si/no para marcar, en el mismo sentido “enfermedades anteriores, antecedentes médicos”, y un apartado para indicar cual, “secuelas”, “enfermedades crónicas”, tratamiento médico, adjuntar copia informe médico, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/56 igual para “alergias”. En un literal informativo “aviso legal”, figura información sobre responsabilidad en situaciones de riesgo o emergencia y en “nota informativa” señala que “El centro educativo solo recogerá aquellos formularios de las familias que hayan firmado la cláusula informativa sobre protección de datos y consentimiento”.
44. d)En desarrollo de acreditación de las medidas de cumplimiento implantadas en el RGPD (art 5.2) y en la LOPDGDD, y guardando relación con el procedimiento, se solicita que aporten: 1-Fechas en que se dio de alta y se usó en el año 2020 y 2021 la plataforma GOOGLE WORKSPACE for Education en el CMNSL y diferencias en la implantación de ambos años. Copia del reporte de haber dado los datos del colegio a GOOGLE para la aceptación de los términos de uso y fecha y contenido de dichos términos de contratación. Respondió que según el Director del Colegio, se solicitó en 2020 con alumnos o clases enteras confinadas, y se concedió por parte de GOOGLE el 6/11/2020 con la “preceptiva aceptación de los términos de uso antes del primer acceso, pero no se implementa sino hasta el curso siguiente. Durante julio 2021, previa comunicación a las familias, “se crean los correos de GW de profesores y familias, enviando un documento con usuario y contraseña”, siendo preciso activar las cuentas para ser utilizadas, no habiendo sido activada la del reclamante que nunca pudo utilizar su cuenta. “Todo el proceso descrito se realizó a través del servicio web que Google pone a disposición de los interesados en utilizar Workspace. Por tanto, el Colegio lo entendió como un acuerdo de adhesión mediante el que los usuarios aceptan los términos que Google ofrecía” “No hubo reporte de datos a Google desde el Colegio, porque cada familia aceptaba las condiciones de la cuenta de forma individual.” “Como se ha explicado anteriormente, es a partir de julio 2021 cuando se comenzó a dar de alta por parte del Colegio a los usuarios previa autorización.” En EVIDENCIA 4 que acompaña, está el “comunicado a las familias de 5/07/2021” ya visto. Manifiesta que en agosto y septiembre 21, se ajustan los formularios con la ley vigente y se emiten protocolos de uso de equipos informáticos, aporta evidencia 4-A
45. e)Copia de contrato suscrito, u otro acto jurídico por los cuales durante el curso 21/22, o a partir del mismo, se encomienda a GOOGLE la gestión del uso de la solución GOOGLE WORKSPACE para la educación en el CMNSL. Períodos en que se ha puesto en funcionamiento GOOGLE WORKSPACE. Categorías de datos que se podían utilizar e información y asignaturas tratados con los mismos (clases por video, calificaciones, trabajos etc.) en clases de (...). Si en la actualidad se sigue utilizando, y con qué frecuencia. Indica a través de lo que el Director del Colegio informa, que no se trata de un contrato sino de un acuerdo de adhesión a unos términos de uso que todo usuario suscribe a través de los “términos de uso”, considerando este como esos otros actos conforme a derecho para el encargo de tratamiento. Considera que se eligió un encargado de tratamiento que ofrece garantías suficientes y que pone a disposición del responsable toda la información necesaria que lo demuestra. Aporta un enlace: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/56 https://edu.google.com/intl/ALL_es/why-google/privacy-security/, sobre privacidad de alumnos y docentes Señala que las familias fueron informadas del diseño de las cuentas tal como se ha manifestado en EVIDENCIA 4 (5/07/2021) y “rellenaron un formulario autorizando el uso de la plataforma” (9/2021 impreso de “he leído y conforme”) EVIDENCIA 2 referida, en el que por lo demás, no se aprecia que figure autorización de la aplicación ni elemento alguno sobre información estructurada de los extremos de la recogida de datos obligada por el artículo 13 del RGPD, como por ejemplo la base legitimadora aplicable, y la finalidad no de la aplicación sino del tratamiento así como ejercicio de derechos por citar solo algunas deficiencias. Aporta en EVIDENCIA 4 B, como términos del servicio de GOOGLE de entrada en vigor 5/01/2022, sin que se aprecia de que servicio se trata. Se indica que se contrata como proveedor de servicios con GOOGLE IRELAND. En “duración”, se indica que “esta licencia tiene validez…” “Para que funcionen en algunos servicios es obligatorio tener una cuenta de GOOGLE, por ejemplo, para utilizar Gmail necesitas una cuenta de GOOGLE, porque así tendrás un lugar desde el que enviar y recibir tus correos electrónicos” Manifiesta que, en educación infantil y primaria se utilizó de manera esporádica y residual, con restricción de uso a los (...) de algunas aplicaciones como ejemplo YOUTUBE, siendo su uso en la ESO más intenso, sobre todo la herramienta CLASSROOM. “A GOOGLE no se encomendó ninguna gestión de uso”. El Director del Colegio informa que la plataforma empezó a utilizarse en julio 2021, a medida que las familias aceptaban las condiciones de uso de la misma. Al recibir a finales de mayo 2022 el escrito del EMA indicando la no utilización de la plataforma si no había contrato formal entre GOOGLE y el Colegio, se cesó en el uso de la plataforma en el Colegio. En noviembre 2021, el Colegio comunicó a SAP/MAPER que dejaba de utilizar la plataforma “mientras la AEPD no resolviera la reclamación”. En enero 2022 “se nos comunica el desistimiento de la demanda, por lo que entendimos que se podía utilizar la plataforma”, después el reclamante recurrió y luego se admitió a trámite, por lo que otra vez se dejó de utilizar esta vez a finales de mayo 2022, y desde entonces no se utiliza. Aporta copia de escrito del ***CARGO.3 al ***CARGO.2, de 30/05/2022, indicando el recurso del reclamante ante la AEPD y que mientras se sustancia, se suspenda de forma cautelar el uso de la plataforma educativa de G Workspace for Education en el CMNSL y que se lleve a cabo de forma inmediata la elaboración del encargo de tratamiento.
46. f)¿Explicar qué diferencia existía entre la implantación en el Colegio de GOOGLE WORKSPACE para la educación en el año, curso 20/21 y en el siguiente, 21/22? ¿Qué nombre de dominio se usaba en cada año para GOOGLE SUITE para la educación? Responde que en el curso 20/21 no se utiliza la plataforma y que el dominio utilizado siempre fue colegiomenorloreto.es. Google anunció en torno a febrero de 2021 un cambio en la denominación de la plataforma pasando a llamarse Google workspace for Education y que los clientes actuales de Google suite for Education y Enterprise for Education comenzaran a ver las nuevas ediciones, Google workspace Education fundamentals, y Education plus en la consola de administración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/56
47. g)Origen y copia de uno de los documentos con los que se crearon las cuentas Google para el curso 21-22 que se enviaron a las familias, rango de fechas que tenían para enviarlos (al reclamante le consta fecha creación cuentas GOOGLE de (…) y (…) el 8/07/2021). Términos previstos de la enseñanza impartida para los que no dieran el permiso para el uso de GOOGLE WORKSPACE de ese curso, en concreto cómo se dio la clase para (...) del reclamante en el periodo de uso de estas herramientas (en sus respuestas manifiestan en varias ocasiones la interrupción del uso de la herramienta durante el curso). Responde que con la intención de implementar la plataforma Google workspace para su uso durante el curso 21/22, durante el verano 21, se envió a las familias un documento que informaba de la decisión del uso como plataforma educativa para tele enseñanza, asignando una cuenta a cada alumno tal como se pone de manifiesto en la evidencia 4 ya vista Una vez creados los correos de los alumnos con el dominio colegiomenorloreto.es, a cada familia se le comunicó el nombre del correo asignado para que activasen la cuenta mediante la generación de una contraseña para que la cuenta fuese operativa. Se le proporciona una clave y se le obliga a establecer una nueva contraseña que solo el conocerá, tramite necesario para que su creación sea efectiva. Por contestar el reclamante de forma disconforme para el uso de workspace, rechazando su uso, las cuentas (...) no fueron dadas de alta ni activadas por lo que no pudieron utilizar la plataforma. Señala que las clases del curso 21/22, en principio fueron presenciales, salvo en casos concretos de alumnos confinados, nunca en el caso del reclamante, utilizándose herramientas de la plataforma, no utilizando ninguna de las herramientas de GW para impartir docencia a (...) del reclamante.
48. h)Instrucciones, de haberlas, del responsable del tratamiento, ***CARGO.1 al Director del Colegio sobre ese tratamiento o intervención si la hubo del citado responsable. Papel del responsable del tratamiento y de los Delegados de Protección de Datos en el establecimiento de los documentos de información sobre la recogida de datos y tratamiento de los datos del centro docente CMNSL y en la implantación de la herramienta en los años de los cursos 20/21 y 21/22. Responde que en fecha 25/03/2022 se dio traslado al ***CARGO.4, con copia al ***CARGO.5, de la recomendación de llevar a cabo la elaboración de un contrato de encargo de tratamiento con Google Ireland Limited para el uso de la plataforma "Google Workspace for Education", el cual debería incluir las cláusulas contractuales tipo elaboradas por la Comisión Europea, publicadas con fecha 4/06/2021 (efectuada el 17 y el 22/01/20222). Aporta (EVIDENCIA 8), que es un escrito firmado por el ***CARGO.3, en el que además se pronuncia la Asesoría Jurídica del EA sobre la no aplicación al CMNSL del Convenio colaboración GOOGLE- CCAA de Madrid, sobre uso de GW, enviándose como uno de los varios anexos al escrito. También figura que el “2/03/2022 se recibió un escrito del CMNSL comunicando que tenía previsto continuar usando la plataforma, disponiendo de un informe elaborado por una empresa del GRUPO ADAPTALIA”. En fecha 30/05/2022, se remitió la notificación de la Agencia Española de Protección de Datos y escrito del Delegado de Protección de Datos del MINISDEF por el que se comunicó el cese inmediato de la utilización de la plataforma GOOGLE WORKSPACE FOR EDUCATION por parte del Colegio Menor Nuestra Señora de Loreto (EVIDENCIA 10). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/56 Si bien el Colegio manifestó en uno de sus escritos la intención de proceder a elaborar un contrato de encargo de tratamiento, es cierto que el mismo no ha llegado aún a llevarse a cabo. El Director del Colegio, que indica siempre ha actuado con el objeto de garantizar el derecho a la educación de los alumnos ante posibles confinamientos por la pandemia COVID 19, informa: “En marzo de 2022, la Secretaría General del EMA indicó la suscripción de un contrato de encargo de tratamiento entre el colegio y Google (EVIDENCIA 8), manteniéndose conversaciones con GOOGLE indicó que no se contemplan contratos con los usuarios, sino acuerdos de adhesión on line” “Hubo una segunda ocasión que se pidió al Colegio la suscripción del contrato, pero con idéntico resultado”. Indica que “el responsable del tratamiento y el DPD del MINISDEF no tuvieron conocimiento previo ni participación en la elaboración y establecimiento de los documentos de recogida de datos e implantación de la herramienta GW”. El Director del Colegio informa: “Los documentos que elabora el colegio, dirigidos a las familias, si bien tienen en cuenta las disposiciones afectadas, se considera documentación de trámite interno a nivel funcional entre el colegio y las familias; por tanto, no se estima oportuno involucrar a organismos superiores o autoridades del Ministerio de Defensa o del Ejército del Aire y del Espacio”.
49. i)Sobre el formulario “informativo y de consentimiento de recogida de datos personales” en el CMNSL: 1-copia del actual formulario informativo y de consentimiento de recogida de datos personales” en el CMNSL y fechas en que es entregado y recogido por el Colegio a los padres de (...). Breve resumen de las modificaciones en sus versiones, añadidos, mejoras o supresión. Responde que desde el año 21/22, se utiliza el formulario que aporta, EVIDENCIA 3 A, que modificó a otro similar anterior que hacía referencia a una norma ya obsoleta. El citado documento, es el denominado “cláusula informativa sobre Protección de Datos y consentimiento”, figurando una versión en EVIDENCIA · B del mismo documento con prácticamente idéntico contenido. 2-En la información de dicho formulario, figura en base de legitimación como cumplimiento de una obligación legal, articulo 6.1.
50. c)del RGPD todas las que considera “función educativa”. Ambos elementos, considera que concurren en la recogida de datos de la gestión de tratamientos médicos y el expediente psicológico, así como la gestión del comedor. Se solicita que indiquen cual es la norma que impone específicamente estas obligaciones de tratamiento y porque se consideran ambas funciones educativas. Respondió que “Todas las funciones desarrolladas en el centro, que afectan al alumnado y que son realizadas por personal docente, se consideran docentes; sin duda ambos expedientes, médico y psicológico, tienen especial interés para la docencia”. En la propia Guía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/56 Sectorial de la AEPD, "Guía para centros educativos", en sus páginas 9 y 10 dice textualmente: ...." En el ámbito educativo es frecuente, sobre todo, el tratamiento de datos relativos a la salud física o mental de los alumnos, incluida la prestación de servicios de atención sanitaria que revelan información sobre su estado de salud. Los centros educativos recaban en muchos casos, a través de sus servicios médicos o botiquines, datos de salud relacionados con las lesiones o enfermedades que pudieran sufrir los alumnos durante su estancia en el centro. También recogen datos de salud de los alumnos para el ejercicio de la función educativa, discapacidades físicas o psíquicas, por ejemplo, del síndrome TDAH. Para prestar el servicio de comedor también es necesario recabar datos de salud que permitan conocer los alumnos que son celíacos, diabéticos o que padecen alergias alimentarias. También son datos de salud los contenidos en los informes psicopedagógicos de los alumnos." Manifiesta que “La guía no entra a analizar la función educativa de dicho tratamiento, por resultar obvia”. Indica que a expediente académico se le ha de adjuntar informes pedagógicos y médicos cuando proceda, de conformidad con la regulación que del expediente académico efectúa en su artículo cuatro la orden ECD/711/2015 de 15/04, por la que se establecen los elementos y características de los documentos oficiales de evaluación de la educación primaria para el ámbito de gestión del Ministerio de Educación Cultura y Deporte. 3-En la información del formulario en cuanto al consentimiento expreso, no se alude a la opción de la retirada del mismo, explique la razón. Responde reiterando el contenido de la cláusula existente en los formularios de “cláusula informativa sobre Protección de Datos y consentimiento”, en evidencia 3 A y 3 B. 4-Motivo por el cual en el escrito al interesado de 31/07/2021 de respuesta al ejercicio de su derecho de 12/07/2021 y siguiendo lo dispuesto en el RAT de “EA Gestión de Centros Docentes” se alude como base de legitimación al cumplimiento de una misión realizada en interés público y en el “formulario informativo y de consentimiento de recogida de datos personales” en el CMNSL se omite esta base. Se contesta por el director del Colegio que “La respuesta al interesado se considera una aclaración o un razonamiento. Sin embargo, un formulario se entiende que tiene un objetivo funcional, y así se consideró”. 5-Motivo por el que responden al anteriormente citado ejercicio de derechos considerando que el tratamiento de GOOGLE WORKSPACE para la educación instaurado en época de pandemia en el CMNSL responde a la base de legitimación del artículo 6.1.
51. e)del RGPD y sin embargo sostienen que para la creación de las cuentas de los alumnos se pidió un documento de consentimiento a los padres. Se contesta por el director del Colegio que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/56 “La respuesta al interesado fue considerada una aclaración o un razonamiento. Sin embargo, un formulario se entiende que tiene un objetivo funcional”. 6-Copia del Documento, impreso o formulario que requería a comienzo de curso 21 22 sobre cláusulas informativas acerca del uso de Google Workspace y cláusulas informativas sobre Protección de Datos y consentimiento que se debía devolver incluso si consta su negativa. Fecha en que se envió a los padres. Documentación de no aportación del consentimiento para el uso de GOOGLE WORSPACE del reclamante y fecha en que se dieron de baja las cuentas (...) del reclamante. Responde que se encuentra en EVIDENCIA 2, que recordando lo manifestado es un formulario que se entregó a las familias en septiembre 2021, encabeza “Dirección”, “Estimadas familias” e informa del uso de GW, las herramientas que contiene y que se va a crear una cuenta a su hijo, para completar tareas, comunicarse con sus profesores y adquirir destrezas digitales a través de GOOGLE como proveedor, necesario para un correcto seguimiento escolar y prestación de los servicios educativos. Se indica que se ha de leer la información y “firmar más abajo para indicar que has leído esta notificación y que has comprendido la información”. En una segunda página, figura el “he leído y comprendo la información facilitada por el Colegio sobre la creación y mantenimiento de una cuenta de GW asignada a mi hijo y para que Google recoja, utilice y divulgue información sobre el solo, con los fines descritos en este mensaje”. Al final de la hoja figura “notificación de GOOGLE W para la Educación dirigida a padres y tutores” y que: “En este mensaje se describe que tipo de información personal proporcionamos a GOOGLE…”. A continuación, indicar los servicios a los que puede acceder, los avisos y la política de privacidad de GW, la información personal que recoge GOOGLE y como se utiliza. También que los servicios se proporcionan de conformidad con el contrato de GW, los “términos”, y la “Adenda sobre tratamiento de datos”, indicando los enlaces, si bien se contiene antes que “la contratación se ha realizado en base a un convenio firmado por la CCAA de Madrid, que garantiza la seguridad del mismo.”
52. j)Se solicita que aporten la copia de la auditoría de la DPD EA, 29/09/2021, con apoyo de la Oficina Central de Proteccion de Datos del MINISDEF y de la Oficina del Delegado de Proteccion de Datos en el MINISDEF en los puntos de: -implementación de GOOGLE WORKSPACE para la educación para el curso 21-22 -situación de cláusulas de recogida de datos para el citado curso en el impreso de matriculación y en el de recogida de datos médicos. No se aporta evaluación o análisis de procedimientos o actuaciones y juicios de valor sobre las materias de protección de datos, sino que se trata de copia de los puntos que se consideraron en una reunión como más destacables: “3.1.1. Información del tratamiento de los datos personales en el Centro A los alumnos y padres se les informa del tratamiento de los datos personales en el Centro, y se les entrega un documento informativo con las cláusulas de aceptación y consentimiento, que deben devolver firmado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/56 La mayoría de ellos lo devuelve firmado, aunque hay casos en que manifiestan su disconformidad y no lo firman, y otros en los que simplemente no contestan ni lo devuelven. La cuestión que se plantea es: ¿se les puede denegar su plaza en el colegio a los alumnos si no aceptan los términos en protección de datos? El representante de la ODPD propuso que a los que no den respuesta se les puede enviar por correo certificado con acuse de recibo. También propuso que, para empezar, a los que no den respuesta se les puede enviar por correo certificado con acuse de recibo. De ese modo, al menos quedará constancia de que lo han recibido. Además de ello, propuso que se eleve consulta a la AEPD sobre si se puede denegar la plaza a los que no muestren conformidad con el tratamiento de los datos personales en el Centro. Se le indica al Colegio que debe hacer una solicitud, y elevarla por vía orgánica. Desde el EMA se debe remitir a la ODPD, con copia a la OCPD y a la Asesoría Jurídica de la De fensa.” “3.1.2. Utilización de la plataforma “Google Workspace for Education” para tele enseñanza. Durante el curso 2020-2021 en el colegio se ha utilizado la plataforma “Alexia Suite Educativa”, de la empresa Educaria Euro S.L.U., para la tele enseñanza. Esta plataforma está autorizada por la Comunidad Autónoma de Madrid para su uso en centros de enseñanza El Colegio, tras analizar la forma de abordar las Tecnologías de Información y Comunicaciones (TIC) en el proceso educativo, tomó la decisión de implantar para el curso 2021-2022 la plataforma “Workspace for Education” de la empresa Google, LLC”, exponen los motivos a favor de la elección, y las contraindicaciones expresadas por ADAPTALIA, sobre: “Aunque Google es una empresa de EEUU, el contrato se establece con Google Irlanda, su filial con sede en Europa. Los datos contenidos en los servidores de Google pueden ser replicados a otros servidores que se encontrarían en países pertenecientes a la Unión Europea. Pero en las cláusulas del contrato se indica que las copias de seguridad pueden hacerse a todos los servidores de Google, que pueden estar en cualquier parte del mundo, donde no necesariamente tienen por qué cumplirse los requisitos de seguridad exigibles a países de la UE.” “Surge la duda de si es asumible que los datos de copias de seguridad puedan ser enviados a servidores de cualquier parte del mundo.” Según el representante de la ODPD, Google y Educaria son Encargados de Tratamiento del Ejército del Aire y del Espacio (EA), debido a que manejan datos pertenecientes al EA. De cara a la AEPD, hay que realizar un contrato de Encargo de Tratamiento del EA con ambas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/56
53. k)Copia del informe elaborado por GRUPO ADAPTALIA a solicitud del CMNSL realizado el 13/08/2021, apreciándose que es distinto del informe que la misma entidad firma el 1/01/2022 con el título “Análisis proporcionalidad” En la copia aportada, titulada “informe auditoría RGPD-LOPDGDD”, se desprende: -De acuerdo con el índice se extiende a todos los aspectos del tratamiento de datos, información, principios, etc. Se detallan las actividades de tratamiento. - No figura la participación de persona alguna representante de la Delegación de Protección de Datos, si bien figura un “coordinador protección de datos” que posiblemente sea del Colegio. -Se afirma que el responsable del tratamiento del CMNSL como institución educativa es el propio Ministerio de Defensa. -Sobre las bases de legitimación, indica: “Actualmente, COLEGIO MENOR NUESTRA SEÑORA DE LORETO tiene identificada una base de legitimación para cada una de las finalidades de los tratamientos. Además, la base de legitimación identificada es correcta.” -En cuanto a encargados de tratamiento, indica que “no se han podido identificar los encargados de tratamiento empleados por el Centro” “Tampoco ha identificado que en las actividades de tratamiento del CMNSL se produzcan transferencias internacionales”, si bien se añade: “Se está evaluando por parte del centro la posibilidad de utilizar Google Workspace for education en base a un convenio firmado por la Comunidad de Madrid. En dicho tratamiento sí se producirán transferencias internacionales de datos, que en cualquier caso se encuentran securizadas mediante Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, por lo que en principio cumplirán con las garantías adecuadas marcadas por el RGPD. Acompaña para cada apartado medidas recomendadas. No se alude aspecto alguno sobre tratamiento de datos con el uso de la herramienta informática GW. A continuación, remite un informe del Colegio (parcial) de las medidas adoptadas que corrigen las deficiencias o acometen la situación explicando la situación. En algún extremo refiere que a finales de agosto se proporciona información a los alumnos, tomando como referencia esa fecha en la realización del informe en el que expresamente no figura ninguna.
54. l)Se incorpora la consulta hecha por el MINISTERIO DE DEFENSA a la AEPD, entrada 7/10/2021 (compuesta por tres archivos pdf) en la que se indica el uso de GW al amparo del convenio suscrito con GOOGGLE por la CCAA de Madrid, de 10/06/2021 publicado en el BOCM de 24/06/2021 figurando en los términos de la Consulta que “Del citado Convenio, se observa que las copias de seguridad pueden estar almacenadas en un país fuera del espacio económico europeo. Al objeto de poder dar seguridad jurídica al centro docente se ruega respuesta por parte de la AEPD.”, con respuesta de la Subdirección General de Promoción y autorizaciones de 15/11/2021 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/56
55. m)Se incorpora, obtenido de GOOGLE: - https://workspace.google.com/intl/es/terms/education_terms.html que remite a los -Términos del Servicio de GOOGLE WORKSPACE FOR EDUCATION, versión 19/04/2023. -El documento aportado por el reclamado en sus alegaciones “DATA PROCESSING ADDENDUM CUSTOMERS” que figura en la url: https://cloud.google.com/terms/dataprocessing-addendum, traducido al castellano: Apéndice de procesamiento de datos en la nube (clientes). DÉCIMO TERCERO: Con fecha 24/07/2023, se emitió propuesta de resolución, del literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se imponga a MINISTERIO DE DEFENSA, (EJÉRCITO DEL AIRE Y DEL ESPACIO ***CARGO.1-) COLEGIO MENOR NUESTRA SEÑORA DE LORETO) con NIF S2801407D, una sanción de apercibimiento por cada una de las infracciones del RGPD de los artículos: -28, de conformidad con el articulo 83.4
56. a)del RGPD, tipificada como grave a efectos de prescripción en el artículo 73.
57. k)de la LOPDGDD. -13, de conformidad con el articulo 83.5
58. b)del RGPD, tipificada como leve a efectos de prescripción en el artículo 74.
59. a)de la LOPDGDD. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se proceda a imponer a MINISTERIO DE DEFENSA, (EJÉRCITO DEL AIRE Y DEL ESPACIO***CARGO.1- COLEGIO MENOR NUESTRA SEÑORA DE LORETO) , con NIF S2801407D, en el plazo que se determine, la adopción de las medidas necesarias para adecuar a la normativa de protección de datos personales la información sobre el tratamiento de los datos de la “cláusula informativa sobre Protección de Datos y consentimiento”, con el alcance expresado en los Fundamentos de Derechos de esta propuesta de resolución.” DÉCIMO CUARTO: Con fecha 4/08/2023, el reclamado manifiesta: -Se han efectuado las variaciones indicadas por la AEPD en la “clausula informativa sobre protección de datos y consentimiento”. Aporta copia en evidencia 1 en la que se contiene la reformulación de la “cláusula informativa de protección de datos y consentimiento” en la que se relacionan específicamente las bases legitimadoras con cada una de las finalidades, figurando los artículos 6.1.a), 6.1.b), y el 6.1.
60. e)del RGPD. -Sobre la infracción del artículo 28 del RGPD, expone la situación anómala a que dio lugar la pandemia de la COVID-19, y la búsqueda de herramientas con el fin de garantizar el derecho a la educación entre los alumnos a través de la tele enseñanza, habiéndose suscrito en junio 21 un Convenio entre la Consejería de Educación de la CCAA de Madrid y GOOGLE para el uso de a herramienta, contando con un informe de valoración de la herramienta de GW efectuado el 13/08/2021 en cuanto a proporcionalidad y atendiendo a que, en primera instancia, la reclamación fue archivada el 19/01/2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/56 Se desconocía que la suscripción del acuerdo en línea del producto GW no era suficiente y se debía realizar un contrato de encargo de tratamiento. -Estima que al no haberse producido “consecuencias materiales ni daños derivados de la falta de formalización del encargo de tratamiento”, y subsanado las deficiencias, y cesado en el uso de la aplicación antes del acuerdo de inicio, es desproporcionada la imposición de una sanción. DÉCIMO QUINTO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1-El Colegio Menor Nuestra Señora de Loreto (CMNSL) se adscribe al Ministerio de Defensa a través del Patronato de Huérfanos del Ejército del Aire “Nuestra Señora de Loreto”. Según el reclamado, el responsable de tratamiento de los datos que se llevan a cabo por el Colegio es el ***CARGO.1. El CMNSL no es un Colegio Público. 2-El 5/7/2021, curso 21/22, el reclamante, con (...) hijos (...) en el CMNSL, recibió de este, una información por correo electrónico sobre la implantación a comienzos del curso de los recursos electrónicos facilitados por Google mediante la plataforma "GOOGLE WORKSPACE FOR EDUCATION" (GW), implicando la creación de una dirección de correo electrónico con el nombre de cada alumno en su cuenta Gmail, bajo el dominio colegiomenorloreto.es. El reclamado indica que para dar de alta el e mail de cada usuario/alumno, para fines educativos, instó la petición de autorización a las familias, y que recibidas estas fue cuando se crearon los correos de los alumnos bajo el dominio: @colegiomenorloreto.es. Se acredita que el reclamante firma el 19/11/2021 una nota meramente informativa del colegio sobre lo que es, e implica el uso de GW, las herramientas que lo integran, y “el uso para completar tareas, comunicarse con sus profesores, a través de un proveedor contratado por el Colegio, necesario para un correcto seguimiento escolar y una correcta prestación de los servicios educativos. El escrito se acompaña de una casilla para marcar: “He leído y comprendo la información”, a lo que el reclamante en forma manuscrita añade´: “no comprendo”, y “no conforme con la cesión de datos a GOOGLE o a cualquiera de su filiales o dependientes o vinculadas”, entendiendo el reclamado que no autorizaba el uso del sistema, y rechazaba su uso. Se acredita que el 12/07/2021, el Colegio envía al reclamante un correo electrónico bajo el título: “Usuario y contraseña plataforma GW”, en el que se aprecia que Google da la bienvenida al haberse creado dos cuentas en colegiomenorloreto.es, a (...) del reclamante, invitando a “iniciar sesión en la cuenta GOOGLE para acceder a los servicios”. Figura el usuario, que es nombre.primerapellido@colegiomenroloreto.es, así como contraseña. No se acredita que, desde esa creación, se hubiera utilizado la cuenta. El reclamado manifestó en el traslado, que las cuentas de uso de GOOGLE WORKSPACE (...) del reclamante no fueron dadas de alta y no se les dio clases con GW ni utilizó ninguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/56 de sus herramientas. Añade que, al recibir el primer correo de bienvenida, con usuario y contraseña, se obligaba a los usuarios a establecer una nueva contraseña que solo el conocerá, siendo un trámite para “que su creación sea efectiva”. Según indica el reclamado en pruebas, el documento informativo sobre uso de GW y lo que implica con el “he leído y comprendo la información”, se entregó a las familias en septiembre de 2021. 3-El reclamante ejerció el 12/07/2021 su derecho de acceso, y de oposición al tratamiento de datos mediante la herramienta GW ante la DPD del Ministerio de Defensa (anexo 2 de reclamación). Además, ha dicho escrito, añade diversas cuestiones sobre información de recogida de datos. 4- El reclamante recibió contestación en correo electrónico de 2/8/2021, indicando que se utilizaría en el curso 21/22 la solución GW para poder afrontar posibles contingencias derivadas de la COVID 19 y que previa a la inclusión de datos en dicha plataforma, se solicitará autorización expresa para ello a los padres o tutores de los alumnos (...), si bien de lo que se ha tratado fue de informar de la aplicación, sin que figure en ningún documento un consentimiento de uso de datos de la aplicación conforme al RGPD y la LOPDGDD, 5- El reclamado formuló una consulta a la AEPD el 7/10/2021, en la que se indica el uso de GW al amparo del Convenio suscrito por la Consejería de Educación de la CCAA de Madrid y GOOGLE de 10/06/2021. La AEPD responde el 15/11/2021 que la prestación del servicio de cloud computing implicaba la obligación de suscribir un contrato u otro tipo de acto jurídico con arreglo a derecho, con las previsiones del artículo 28 del RGPD. El reclamado manifiesta que, tras recibir esta respuesta, suspendió cautelarmente el uso de GW, existiendo escritos del Colegio a su mando de 2/12/2021 sobre los problemas de no disponer de plataforma para impartir las clases telemáticamente caso de que se confinara al alumnado. Mientras, en 13/01/2022, se acredita por un escrito que el Colegio manda a la oficina LOPD del EA, que el Colegio contrató una consultora para analizar las cláusulas contractuales tipo de GOOGLE y las transferencias internacionales, informando que volvería la semana que viene a utilizar GW. También manifiesta que, a finales de mayo 2022, se cesó en el uso de la plataforma en el Colegio y no se ha vuelto a usar. El reclamado manifestó que en el curso 20/21 no utilizó la plataforma GW. 7-Solicitado en pruebas copia del acuerdo suscrito con GOOGLE para la implantación del servicio GW, se respondió que el contrato se suscribe por el Colegio, on line, aceptando los términos de uso. La plataforma GW según se respondi9ó en pruebas, comenzó a utilizarse en septiembre de 2021 en el CMNSL. 8- La base legitimadora del tratamiento de datos del reclamado, según manifestó en su respuesta al reclamante el 2/08/2021 y que concurre para el tratamiento de los datos de GW, es el artículo 6.1.
61. e)del RGPD, “necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento” consolidado a través del derecho a la educación del artículo 27 de la Constitución Española y la Ley Orgánica 2/2006, de 3/05, de Educación, para facilitar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/56 digitalización de la educación y el acceso a la misma a todos los ciudadanos durante la crisis sanitaria de COVID19. 9-El Registro de las actividades de Tratamientos-RAT- del Ministerio de Defensa- en el que se contiene el referido a los centros educativos, denominado: “EA. Gestión de Centros Docentes”, versión junio 22, describe en sus FINES, (gestión de plazas, matriculas y cobros, historial académico, orientación y apoyo académico, garantía de la salud, tareas complementarias), sin mencionar expresamente la función educativa. Como Bases jurídicas, constan: “artículo 6.1b) del RGPD´: tratamiento necesario para la ejecución de un contrato en el que interesado es parte o para la aplicación a petición de éste de medidas precontractuales” y con base al servicio público esencial de la educación, en el artículo 6.1
62. e)del RGPD: “tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento” citando diversas normas legales, y el “consentimiento explícito en cuanto a temas relacionados con menores.”, igualmente sin detallar con que tratamientos se relacionaría. 10-El reclamado en respuesta al traslado de la AEPD, el 7/12/2021, aportó copia en evidencia 5 de la “cláusula informativa actualizada sobre Protección de Datos y consentimiento que se entrega en el periodo de matriculación a los alumnos, destacándose:
63. a)Como responsable del tratamiento figura el Ministerio de Defensa- Ejército del Aire y del Espacio. Sin embargo, tanto en el registro de actividades de tratamiento, como manifestaciones del reclamado, el responsable del tratamiento es el ***CARGO.1.
64. b)Menciona que sus actividades de tratamiento comprenden distintas finalidades, entre otras, la función educativa, la gestión de la matricula, la del expediente escolar y datos médicos. A efectos de base legitimadora del tratamiento, todas las finalidades quedan encuadradas como función educativa, informando que les resultaría aplicable el artículo 6.1.
65. c)del RGPD: “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”
66. c)Para las actividades de tratamiento que requieren consentimiento: (actividades extraescolares o uso de imagen/voz en eventos y actividades) no se informa de la posibilidad de su retirada del consentimiento y sus efectos. Tras el inicio del procedimiento, el reclamado ha aportado la modificación de la “clausula informativa sobre protección de datos y consentimiento”, introduciendo la especificidad de la denominación del responsable del tratamiento, siguiendo la definición de las variadas finalidades. Tras la recepción de la propuesta la reclamada ha ajustado cada base legitimadora a cada finalidad, integrando como base legitimadora la de la misión de interés público, artículo 6.1.
67. e)del RGPD respecto a la función educativa y la opción de la retirada del consentimiento en los tratamientos con esta base. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/56 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12e, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 4 del RGPD, “Definiciones”, apartado 1, entiende por “datos personales” “toda información sobre una persona física identificada o identificable (<<el interesado>>); se considerará persona física identificable toda persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” Asimismo, el artículo 4 del RGPD, ofrece en el apartado 2 un concepto legal de “tratamiento”, como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión o destrucción”. Las figuras de “responsable del tratamiento” y “encargado del tratamiento” se definen en el artículo 4.7 y 4.8 del RGPD como sigue: “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. “Encargado del tratamiento o encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. Cuando los centros educativos para cumplir sus funciones necesitan contar con la colaboración de otras personas o entidades que no forman parte de su organización, por ejemplo, para el servicio de comedor, servicio médico, transporte o para la realización de actividades extraescolares, o uso de una plataforma educativa como en este caso, estas personas y entidades para prestar sus servicios también tratan los datos de carácter personal de los alumC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/56 nos y sus profesores, pero lo hacen por encargo del responsable del tratamiento, es decir del centro o de la Administración educativa. Las empresas que realizan este tipo de servicios tienen, en relación con el tratamiento de datos personales que realizan, la consideración de encargados de tratamiento. Ello relaciona la denominación y posición jurídica de las partes que reciben los datos, que se describen en definiciones del artículo 4.9 y 10 del RGPD, distinguiendo: “9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento; 10) «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; El encargo de tratamiento que se examinará en otro punto se avanza, que no supone como resultado una cesión o comunicación de datos a un tercero, en tanto en cuanto se cumplan los requisitos que la normativa: RGPD y LOPDGDD establecen, conteniéndose las garantías para el desenvolvimiento de dicha relación. En el encargo de tratamiento, el tratamiento se realiza por cuenta de un tercero y debe constar por escrito o de otra forma que permita acreditar su celebración y contenido, sin que sea suficiente acreditar que existe una relación jurídica entre las partes (responsable y encargado). El citado contrato o acto ha de tener un contenido mínimo. Un detallado examen con ejemplos de las responsabilidades y roles de estos actores se puede encontrar en la web con el siguiente literal: -Dictamen 1/2010, sobre los conceptos de responsable del tratamiento y encargado del tratamiento adoptado el 16/02/ 2010, WP 169, y -Directrices 7/2020 sobre los conceptos de responsable del tratamiento y encargado del tratamiento en el RGPD, versión dos, adoptada el 7/07/2021. III Como punto de partida, debe señalarse que la disposición adicional vigesimotercera de la Ley Orgánica 2/2006, de 3/05, de Educación, establece de modo general, los principios básicos en relación con el tratamiento y comunicación de datos de carácter personal dentro de su ámbito de aplicación, al disponer: “1. Los centros docentes podrán recabar los datos personales de su alumnado que sean necesarios para el ejercicio de su función educativa. Dichos datos podrán hacer referencia al origen y ambiente familiar y social, a características o condiciones personales, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/56 desarrollo y resultados de su escolarización, así como a aquellas otras circunstancias cuyo conocimiento sea necesario para la educación y orientación de los alumnos. 2. Los padres o tutores y los propios alumnos deberán colaborar en la obtención de la información a la que hace referencia este artículo. La incorporación de un alumno a un centro docente supondrá el tratamiento de sus datos y, en su caso, la cesión de datos procedentes del centro en el que hubiera estado escolarizado con anterioridad, en los términos establecidos en la legislación sobre protección de datos. En todo caso, la información a la que se refiere este apartado será la estrictamente necesaria para la función docente y orientadora, no pudiendo tratarse con fines diferentes del educativo sin consentimiento expreso. 3. En el tratamiento de los datos del alumnado se aplicarán normas técnicas y organizativas que garanticen su seguridad y confidencialidad. El profesorado y el resto del personal que, en el ejercicio de sus funciones, acceda a datos personales y familiares o que afecten al honor e intimidad de los menores o sus familias quedará sujeto al deber de sigilo. 4. La cesión de los datos, incluidos los de carácter reservado, necesarios para el sistema educativo, se realizará preferentemente por vía telemática y estará sujeta a la legislación en materia de protección de datos de carácter personal. En el caso de la cesión de datos entre Comunidades Autónomas o entre éstas y el Estado, las condiciones mínimas serán acordadas por el Gobierno con las Comunidades Autónomas, en el seno de la Conferencia Sectorial de Educación.” Uno de los fines de la educación se menciona en el artículo 2.1.
68. l)de la citada Ley, que señala: “
69. l)La capacitación para garantizar la plena inserción del alumnado en la sociedad digital y el aprendizaje de un uso seguro de los medios digitales y respetuoso con la dignidad humana, los valores constitucionales, los derechos fundamentales y, particularmente, con el respeto y la garantía de la intimidad individual y colectiva.” La LOPDGDD indica. -artículo 83: “1. El sistema educativo garantizará la plena inserción del alumnado en la sociedad digital y el aprendizaje de un uso de los medios digitales que sea seguro y respetuoso con la dignidad humana, los valores constitucionales, los derechos fundamentales y, particularmente con el respeto y la garantía de la intimidad personal y familiar y la protección de datos personales. Las actuaciones realizadas en este ámbito tendrán carácter inclusivo, en particular en lo que respecta al alumnado con necesidades educativas especiales. Las Administraciones educativas deberán incluir en el diseño del bloque de asignaturas de libre configuración la competencia digital a la que se refiere el apartado anterior, así como los elementos relacionados con las situaciones de riesgo derivadas de la inadecuada utilización de las TIC, con especial atención a las situaciones de violencia en la red. 2. El profesorado recibirá las competencias digitales y la formación necesaria para la enseñanza y transmisión de los valores y derechos referidos en el apartado anterior.” Por otro lado, la comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/56 Económico y Social Europeo y al Comité de las Regiones sobre el PLAN DE ACCIÓN DE EDUCACIÓN DIGITAL, de 17/01/2018, tiene como prioridades de acción: 1 Hacer un mejor uso de la tecnología digital para la enseñanza y el aprendizaje. 2 Desarrollar competencias y capacidades digitales pertinentes para la transformación digital, y 3 Modernizar la educación mediante la previsión y un mejor análisis de los datos. “España Digital 2025”, es la Agenda para la transformación digital de España, una estrategia que recoge un conjunto de medidas articuladas en ejes estratégicos alineados a las políticas digitales marcadas por la Comisión Europea. Entre las medidas figura dotar de competencias digitales avanzadas al alumnado y fomentar vocaciones digitales, con medidas como el PLAN NACIONAL DE COMPETENCIAS DIGITALES. Las herramientas y sistemas de soportes de aprendizaje en el ámbito de los contenidos educativos digitales se contemplan en el artículo 111 bis de la citada Ley Orgánica 2/2006, titulado: “tecnologías de la información y la comunicación”, y establece por parte de las administraciones educativas y los equipos directivos de los centros, la promoción de las tecnologías de la información y la comunicación en el aula, “como medio didáctico apropiado y valioso para llevar a cabo las tareas de enseñanza y aprendizaje”. Y en su punto 6, que: “El Ministerio de Educación, Cultura y Deporte elaborará, previa consulta a las Comunidades Autónomas, un marco común de referencia de competencia digital docente que oriente la formación permanente del profesorado y facilite el desarrollo de una cultura digital en el aula.” Al iniciar actividades que impliquen el tratamiento de datos personales, el responsable del tratamiento debe tomar siempre tiempo para considerar cuál sería el motivo legal apropiado para el tratamiento previsto considerando las finalidades específicas y expresas y el contexto del tratamiento, que en este caso de educación a distancia surgió por la pandemia de COVID 19. Como regla general sobre base legitimadora del tratamiento de entidades públicas, el considerando 43 del RGPD, señala que es poco probable que las autoridades públicas puedan confiar en la base de tratamiento de datos en el consentimiento del afectado, pues como autoridad pública, se parte de la base de que existe un claro desequilibrio de poder en la relación entre dicho responsable y el interesado.También, está claro en la mayoría de los casos, que el interesado no tendrá alternativas realistas a aceptar el tratamiento (términos) de este responsable. Ello no quiere decir que el uso del consentimiento como base legal para el tratamiento de datos por parte de las autoridades quede totalmente excluido en el marco jurídico del RGPD, sino que tiene un ámbito reducido. Así, hay que buscar las raíces lícitas del tratamiento en una base legitimadora, de entre las que señala el artículo 6.1 del RGD, que son: “
70. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
71. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001