← España

PS-00460-2023

1/19  Expediente N.º: EXP202304481 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 24/03/2023 se notificó a la División de Innovación Tecnológica de esta Agencia una brecha de seguridad de los datos personales remitido por COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE con NIF R2800702I como responsable del tratamiento. Como consecuencia de los hechos conocidos, con fecha 04/04/2023 la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos (SGID) realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), teniendo conocimiento de los siguientes extremos: Fecha de inicio de la brecha: 21/03/2023. Fecha de detección de la brecha: 21/03/2023. Brecha de confidencialidad Resumen de la notificación: (…) ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: COLEGIO NTRA. SRA. DE LA CARIDAD DEL COBRE con NIF R2800702I (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Respecto de la entidad  En la web de la Escuela figura que es un Centro Concertado perteneciente a la Congregación de Religiosas de Jesús María y que cubre las etapas de Educación Infantil y Educación Primaria.  En Axesor consta con la actividad de “actividades de cuidado diurno de niños”.  La plataforma pedagógica EDUCAMOS es propiedad de ***EMPRESA.1 y (…) ofrece un conjunto de soluciones para la gestión centralizada de los centros educativos, entre ellos la comunicación con las familias. Con fecha 26/04/2023 se remitió escrito de requerimiento de información a la parte reclamada, y de la respuesta recibida de la misma, en fecha 16/05/2023 se desprende: Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final (…) Respecto de las causas que hicieron posible la brecha (…) Respecto de los datos afectados (…) Respecto de las medidas de seguridad implantadas La entidad ha aportado los siguientes documentos:  Análisis de Riesgo (documento 1 denominado Informe Auditoría de acuerdo con lo establecido en el RGPD). En este documento se reflejan las medidas que se deben adoptar. (…)  Medidas de seguridad (documento 2). (…)  Comunicado interno de medidas y procedimientos para el personal. (…)  Anexo de entrega de dispositivos y de comunicaciones internas.  Cláusula de Confidencialidad para trabajadores.  Protocolo de comunicación de las incidencias por violaciones de seguridad de datos personales para los trabajadores.  Protocolo de actuación en caso de violaciones de seguridad y Modelos de comunicación de incidencias por violación de seguridad.  Formación para los trabajadores de un centro educativo. En él se especifica que todo el personal del Escuela con acceso a datos a participado, en fecha 26 de enero de 2022, a un curso sobre “Cumplimiento del RGPD en las Escuelas”. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo La entidad manifiesta que nunca han tenido este tipo de incidentes CONCLUSIONES (…) TERCERO: Con fecha 22 de marzo de 2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por las presuntas infracciones de los artículos 32 y 34 del RGPD, tipificadas en el artículo 83.4 del RGPD. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: Sobre la sanción por incumplimiento del art. 32 del RGPD: - Medidas destinadas a evitar los accesos no autorizados en los dispositivos: el Colegio dispone de un procedimiento que implica que los empleados que trabajan con dispositivos electrónicos se bloquean automáticamente pasados 10 minutos sin que se detecte actividad. Por otra parte, la conservación de datos de representantes y de alumnos se ha centralizado en la plataforma Educamos y se han adoptado medidas para evitar que el personal del Colegio conserve información en otros soportes. Adicionalmente, se ha configurado la plataforma para que transcurridos unos minutos sin que se haya detectado actividad ésta se bloquee, exigiendo que se tenga que volver a introducir las credenciales para acceder a Educamos y, por tanto, a la información con datos personales del Colegio. - Medidas de control de accesos: Se ha adecuado un sistema de control de accesos que garantiza que únicamente accederán al centro educativo aquellas personas que tengan autorización para ello, al mismo tiempo que aquellos espacios en los que se almacena información más sensible (con un mayor riesgo en cuanto al impacto) cuenten con medidas adicionales de control. Por otra parte, el trabajador se obligará a “cerrar con llave las puertas de los despachos al final de la jornada laboral o cuando se tenga que ausentar temporalmente de esta ubicación, con objeto de evitar accesos no autorizados”. - Medidas adoptadas una vez conocido el incidente: la primera medida reactiva fue modificar las contraseñas de la cuenta de correo y de acceso a la plataforma Educamos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 - Efectividad de las medidas: a partir del incidente y con ánimo de llevar a cabo procedimientos de mejora continua, se han adoptado una serie de medidas adicionales para robustecer el sistema control de acceso. En este sentido, manifiestan que el incidente tuvo lugar debido a que la Directora Pedagoga se tuvo que ausentar de su despacho dejando la puerta cerrada, pero sin llave, como causa de un descuido, relacionado con un error humano o un relajamiento en cuanto a sus obligaciones, pero nunca con la falta de un procedimiento establecido por el Colegio. Sobre el bloqueo de los ordenadores y aplicaciones con clave, así como el bloqueo automático tras 10 minutos sin actividad, han evitado que el tercero sustractor del ordenador haya podido acceder a los datos personales desde el ordenador de la Directora Pedagoga, como se ha comprobado en la auditoría realizada por el Colegio. Sobre la sanción por incumplimiento del art. 34 del RGPD: - El Colegio ha adoptado una serie de medidas de seguridad, tanto preventivas como reactivas, para evitar que el incidente implicara el acceso a datos personales por parte del tercero no autorizado que sustrajo el ordenador. Además, se ha efectuado una auditoría en la que no se ha podido comprobar que se haya utilizado la información que se alojaba en el ordenador de la Directora Pedagoga. - El Colegio cumplió con su obligación de evaluar la brecha, e incluso decidió notificarla ante la AEPD como prueba de su buena voluntad en cumplir con la normativa. Lo que existe por tanto es un desacuerdo en torno al nivel de riesgo de la brecha (que para el Colegio es bajo y para la Agencia es alto), pero en ningún caso mala fe por parte del Colegio en ocultar el incidente, ya que de lo contrario no hubiese notificado a la Agencia en un primer lugar. - Considera que en el presente procedimiento se ha evidenciado una serie de actuaciones por parte del Colegio que podrían calificar de atenuantes, pero que no han sido valoradas en el Acuerdo; como la colaboración mostrada por el Colegio, la notificación ante esta Agencia a pesar de que se había valorado la brecha con un riesgo bajo, que la brecha de seguridad no se produce por falta de procedimientos del Colegio, sino por errores humanos de sus empleados. Sobre las medidas correctivas: Se procede a notificar la adopción de las siguientes medidas adoptadas a partir del incidente: -

  1. a)Adopción de una serie de medidas específicas para impedir por parte de terceros la visualización de datos personales por parte de terceros enviando un recordatorio al personal de dichas medidas. -
  2. b)Revisión informática de medidas de seguridad en dispositivos: contraseña para el acceso al ordenador, bloqueo de ordenador después de 10 minutos sin actividad y bloqueo tras 3 intentos fallidos de iniciar sesión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 -
  3. c)Lanzamiento de formación E-learning obligatoria para todo el personal del Colegio. El curso E-learning emite un certificado de realización, por lo que se hará un seguimiento comprobar que todos los empleados la hayan realizado. -
  4. d)Envío de circular a empleados Se ha enviado una circular a los empleados recalcando el procedimiento de control de accesos y el procedimiento para ausentarse de las aulas y despachos. -
  5. e)Comunicación ampliada brechas de seguridad: Se ha realizado una comunicación ampliada de la brecha de seguridad a los presuntos afectados, ya que desde la última comunicación se ha recabado información adicional, comentada en el presente escrito, que se considera puede ser de interés para los afectados. -
  6. f)Infografía sobre brechas de seguridad: Se ha enviado asimismo una infografía sobre brechas de seguridad a todo el personal, para garantizar que se siga cumpliendo con las obligaciones contempladas en la normativa. QUINTO: Con fecha 13 de enero de 2025 se formuló propuesta de resolución, notificándose ese mismo día, tal y como consta en el acuse de recibo que obra en el expediente, en la que se dio respuesta a las alegaciones presentadas por la entidad reclamada: - Con respecto a la sanción por el artículo 32: El COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE basa su justificación en que el incidente tuvo lugar debido un error humano pero las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. Los hechos probados en el procedimiento evidencian la sustracción de un equipo portátil en el que se almacenaban datos identificativos de padres/madres y/o tutores legales y datos correspondientes al expediente académico de los alumnos que incluyen datos de salud produciéndose un quebrantamiento de las medidas técnicas y organizativas y poniendo en riesgo la confidencialidad de los datos. En base a estos hechos probados, la Agencia considera que las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. - Con respecto a la sanción por el artículo 34: El COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE manifiesta que existen suficientes elementos que hacen razonable considerar que la misma implicaba un riesgo bajo para los derechos y libertades de los interesados y que por tanto se consideró que no era necesario informar a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 Por parte de esta Agencia, se considera que haber puesto en riesgo la confidencialidad, disponibilidad o integridad de los datos referidos a padres/madres y/o tutores legales, datos que corresponden al expediente académico de los alumnos y sobre todo, datos tan importantes como los de la salud, no puede considerarse en ningún momento como riesgo bajo, ya que son datos personales que afectan directamente a los derechos y libertades de las personas físicas y es el responsable del tratamiento quien debe comunicar al interesado sin dilación indebida la incidencia. Sin embargo, no es hasta el día 03/05/2023 cuando se remite la comunicación a los afectados y tras haber recibido la resolución firmada por la Directora de la Agencia, de fecha 04/04/2023, ordenando dicha comunicación. SEXTO: El 25 de enero de 2025 se recibe escrito de alegaciones a la propuesta de resolución en el que se manifiesta, en síntesis, los siguiente: - La parte reclamada sostiene que la AEPD se limita a describir los hechos y la aplicación de las disposiciones del RGPD si bien, en ningún momento ha valorado las medidas que el Colegio tenía implementadas con carácter previo a la brecha de datos personales y las que se implementaron con posterioridad. - La parte reclamada reitera las medidas enumeradas en el escrito de alegaciones al acuerdo de inicio del procedimiento sancionador destinadas a evitar los accesos no autorizados en los dispositivos, medidas de control de accesos, medidas adoptadas una vez conocido el incidente y efectividad de las medidas. - También alega que la AEPD no aclara ni motiva por qué considera que cuando el Colegio realizó el análisis de riesgos para llevar a cabo las medidas de seguridad descritas no se tuvo en cuenta “el factor humano”. - Falta de infracción del artículo 34 del RGPD: el Colegio notificó la brecha a las personas afectadas dando cumplimiento al requerimiento dado por la AEPD en este sentido. - Reitera la falta de vulneración de los principios de igualdad, seguridad jurídica y confianza legítima: trae a colación la Resolución del procedimiento con archivo de actuaciones de la AEPD Nº E/09388/2019 como consecuencia de una brecha de seguridad relativa al robo de un ordenador desde el que se almacenaba en servicios cloud datos de menores de un centro de educación. - Obligación de medios: las obligaciones que recaen en el responsable del tratamiento, derivadas del art. 32 del RGPD, son obligaciones de medios y no obligaciones de resultados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 - Falta de acreditación de la existencia de una vulneración de la confidencialidad integridad o disponibilidad de los datos: el Colegio ha adoptado una serie de medidas de seguridad, tanto preventivas como reactivas, para evitar que el incidente implicara el acceso a datos personales por parte del tercero no autorizado que sustrajo el ordenador. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 24/03/2023 se notificó a la División de Innovación Tecnológica de esta Agencia una brecha de seguridad de los datos personales remitido por COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE. SEGUNDO: El día 21 de marzo de 2023 le fue sustraído a la Directora pedagógica de la Escuela su ordenador portátil, con información sobre datos identificativos de padres/madres y/o tutores legales y datos correspondientes al expediente académico de los alumnos que incluyen datos de salud. TERCERO: El número de afectados por la brecha está estimado en 450 personas, de los cuales unos 150 son menores de edad. CUARTO: Los datos contenidos en el portátil no estaban cifrados. El ordenador portátil disponía de un bloqueo de pantalla y en aquel momento la sesión estaba cerrada. QUINTO: La comunicación a los afectados se hizo el 03/05/2023, después de haber sido firmada por la Directora de la Agencia resolución ordenando la comunicación de la brecha a los interesados el 04/04/2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de LOPDGDD, es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones a la propuesta de resolución En contestación a las alegaciones presentadas a la propuesta de resolución: En cuanto a la alegación relativa a que no hemos tenido en consideración las medidas implementadas con anterioridad a la brecha y las adoptadas con posterioridad, cabe indicar que sí se han valorado debidamente, si bien estas medidas han resultado insuficientes y han dado como resultado la comisión de la infracción. Y es que el Colegio no ha tenido en cuenta circunstancias que pudieran tener consecuencias negativas o adversas y que podrían haberse evitado adoptando medidas de seguridad física y mecanismos de protección necesarios como controles de acceso que fueran capaces de evitar que terceros ajenos al centro pudieran acceder al mismo y bloqueo de puertas de despachos donde se alojen equipos informáticos que los hicieran inaccesibles a personas de la comunidad educativa que no tuvieran que acceder a ellos si no es para realizar el desempeño de su trabajo. Pero además de la seguridad física, otra fuente importante de cara a detectar incidentes proviene del personal de la organización. En cualquier tratamiento siempre existe un riesgo inherente relacionado con el factor humano. Esto significa que, a pesar de las medidas técnicas y organizativas adoptadas e implementadas, las personas pueden no cumplir con estas medidas, ya sea de forma consciente o por error y, por lo tanto, es necesario identificar, evaluar y valorar cuándo esto se produce para adoptar las medidas técnicas y organizativas apropiadas que funcionen como factor corrector y que fueran capaces de corregir y mitigar los riesgos si una persona no cumple con estas medidas. Y, con respecto a las medidas adoptadas con posterioridad a la comisión de la brecha, se han tenido en cuenta a la hora de determinar que no se impongan otras medidas correctivas que las ya establecidas. Por otra parte, el hecho de que se adopten medidas a posteriori no elimina la responsabilidad por una infracción cometida con anterioridad. Las medidas adoptadas después de la infracción no anulan el hecho de que se haya cometido y aunque no se haya demostrado una vulneración de los datos, la obligación de proteger la información sigue siendo crucial y no exime de su responsabilidad inicial. Por consiguiente, no pueden considerarse estimadas las alegaciones de la parte reclamada en este aspecto ya que las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 En cuanto a la falta de infracción del artículo 34 del RGPD que alega la parte reclamada, hay que señalar que, una vez producida la brecha de datos personales, para demostrar la no vulneración de este artículo, que se refiere a la comunicación de violaciones de seguridad de los datos personales a los interesados, es importante destacar que la comunicación debe realizarse sin dilación indebida. En este caso concreto, el Colegio no procedió a informar a los interesados en el momento de la comisión de la infracción, sino que hubo de ser la Directora de la Agencia quien firmó, el 04/04/2023, la resolución ordenando la comunicación de la brecha a los interesados, y la confirmación del cumplimiento de la orden de comunicación a los afectados, enviando copia a esta Agencia, en el plazo de 30 días. Y, a pesar de que es crucial actuar con rapidez y transparencia para mitigar los riesgos y cumplir con las obligaciones del RGPD, el Colegio no procedió a realizar la comunicación a los interesados hasta el 03/05/2023 y la confirmación de dicha comunicación a esta Agencia fue presentada el 16/05/2023. Por otra parte, entre las condiciones que el artículo 34 exige para eximir de la comunicación de la brecha al interesado estaría la adopción de medidas de protección técnicas y organizativas apropiadas como el cifrado, que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos o bien, que el responsable del tratamiento hubiera tomado estas medidas con carácter ulterior, no quedando acreditado que la parte reclamada haya adoptado ninguna de estas medidas. Por lo tanto, no pueden considerarse estimadas estas alegaciones. También alega la parte reclamada, la vulneración de los principios de igualdad, seguridad jurídica y confianza legítima al hacer una comparación entre este procedimiento y la Resolución con archivo de actuaciones de la AEPD en el expediente Nº E/09388/2019. a través del cual la AEPD resuelve archivar un procedimiento que se sustancia como consecuencia de una brecha de seguridad relativa al robo de un ordenador de una docente desde el que se almacenaba en servicios cloud datos de menores de un centro de educación. Sin embargo, no existe identidad entre los hechos que originan la resolución de archivo de actuaciones en el expediente Nº E/09388/2019, teniendo en cuenta que la sustracción del ordenador de la docente tuvo lugar en su domicilio, el cual se encontraba cerrado con llave, que la información no se encontraba almacenada en el disco duro del equipo objeto de la sustracción y aporta copia de la denuncia realizada ante la policía, correspondiendo a ésta realizar la oportuna investigación de la infracción delictiva y al Juzgado de Instrucción determinar si hay indicios para la apertura de un procedimiento penal. En el supuesto que nos ocupa, es el entorno del COLEGIO NTRA. SRA. DE LA CARIDAD DEL COBRE en el que el tratamiento tiene lugar y donde tienen que existir medidas de control de acceso físico, medidas que garanticen que al lugar donde los datos personales son tratados, únicamente acceden aquellas personas que lo precisen en función del desarrollo de su trabajo y que deben de encontrarse cerrados si no existe supervisión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Otra de las alegaciones de la parte reclamada se refiere a la obligación de medios. Las obligaciones que recaen en el responsable del tratamiento, derivadas del art. 32 del RGPD, se configuran como una obligación de medios, que se concreta en la obligación de diseñar los medios técnicos y organizativos adecuados, siendo también necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. La Audiencia Nacional señaló en diversas sentencias (13 de junio de 2002 -recurso nº. 1.517/2001 -, 7 de febrero de 2003 -recurso nº. 1.182/2001 -, 25 de enero de 2006 recuso nº. 227/2004 -, 28 de marzo de 2006 recurso 478/2004, 28 de junio de 2006 -recurso nº. 290/2004 -, 24 de marzo de 2015 -recurso nº. 269/2013 - y 25 de junio de 2015 -recurso nº. 90/2014) que la obligación que dimana de la implantación de medidas de seguridad en lo concerniente a los datos de carácter personal se refiere a las medidas necesarias y apropiadas, haciendo mención a su determinación e implantación efectiva: “no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, y por supuesto, no basta con la aprobación formal de las medidas de seguridad, ya que resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva”. Además, no solo debe vigilarse su establecimiento e implantación, sino también la corrección de su uso y su correcta aplicación. En este sentido, la STS de 15 de febrero de 2022, en el recurso de casación número 7359/2020, afirma que: “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso. Esta distinción también tiene su reflejo tanto en el Reglamento de la Unión Europea 2016/679, del Parlamento y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, como en la LOPD 3/2018 de 5 de diciembre, (aun cuando son normas posteriores a los hechos enjuiciados y que, por lo tanto, no resultan de aplicación), al diferenciar como obligaciones e infracciones autónomas entre la falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento (art. 73apartados d, e y
  7. f)y la falta de la debida diligencia en la utilización de las medidas técnicas y organizativas implantadas (art. 73. g)”. Para que no se produzca una vulneración del art. 32 del RGPD, conforme a lo antedicho, el responsable del tratamiento debe de haber establecido medidas de seguridad adecuadas al nivel de riesgo en relación con un tratamiento concreto, incluyendo, no sólo supuestos de la falta de implementación de medidas sino también aquellos supuestos en que las medidas de seguridad son superadas (quiebra de las medidas de seguridad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 Como precisa la STS de 15/02/2022 (rec. de casación 7359/2020) “En las obligaciones de medios el compromiso que se adquiere es el de adoptar los medios técnicos y organizativos, así como desplegar una actividad diligente en su implantación y utilización que tienda a conseguir el resultado esperado con medios que razonablemente puedan calificarse de idóneos y suficientes para su consecución, por ello se las denomina obligaciones "de diligencia" o "de comportamiento". (El subrayado es nuestro) Por consiguiente, no pueden considerarse estimadas las alegaciones de la parte reclamada en este aspecto. Y, con respecto a la alegación de la no existencia de una vulneración de la confidencialidad, integridad o disponibilidad de los datos, la infracción del art. 32 se centra en la ausencia o insuficiencia de medidas, independientemente de si se ha producido la pérdida de confidencialidad, integridad o disponibilidad. Esta pérdida es un indicador de que las medidas son inadecuadas o insuficientes pero no es un elemento necesario para que se considere infringido el artículo 32 RGPD. Por lo tanto, la Agencia considera que las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación. III Obligación incumplida Los hechos conocidos son constitutivos de las infracciones recogidas en los artículos 32 y 34 del RGPD. En primer lugar, el artículo 32 del RGPD regula la seguridad del tratamiento y, en segundo lugar, el artículo 34 del RGPD las comunicaciones de las violaciones de seguridad de los datos personales a los interesados. IV Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  8. a)la seudonimización y el cifrado de datos personales;
  9. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencias permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o accesos no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En este caso, no estaban implementadas medidas técnicas y organizativas que garantizaran la seguridad y el cumplimiento de la normativa. Los datos contenidos en el ordenador portátil sustraído no estaban cifrados ni se le habían aplicado medidas que los hicieran ininteligibles para cualquier persona que no esté autorizada a acceder a ellos, a pesar de su tipología, conteniendo datos identificativos de padres/madres y/o tutores legales y datos correspondientes al expediente académico de los alumnos que incluyen datos de salud. Además, en el momento de la brecha de seguridad no existían medidas tales como un control de acceso que asegurara que un tercero ajeno al centro pudiera acceder a las instalaciones o que un miembro de la comunidad educativa tuviera acceso a los equipos informáticos de los despachos sin ser personal autorizado para acceder a los datos, ya que no estaba implementada como medida de seguridad la obligación de cerrarlos si la persona responsable estuviera ausente, aunque no fuera el término de la jornada laboral. De conformidad con los hechos probados recogidos en esta resolución del procedimiento sancionador, se considera que, en el presente caso, el COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE no dispuso de medidas técnicas y organizativas apropiadas y que pudieran garantizar el nivel de seguridad adecuado al riesgo y, por tanto, los hechos conocidos son constitutivos de una infracción, por vulneración del artículo 32 del RGPD. V Tipificación y calificación de la infracción del artículo 32 del RGPD El artículo 83.4.
  10. a)del RGPD tipifica como infracción administrativa cualquier vulneración de “las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43”. A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. VI Artículo 34 del RGPD El artículo 34 “Comunicación de una violación de la seguridad de los datos personales al interesado” del RGPD establece: “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. 2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b),
  12. c)y d). 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes:
  13. a)el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
  14. b)el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1;
  15. c)suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 Con fecha 24/03/2023, el COLEGIO NTRA. SRA. DE LA CARIDAD DEL COBRE realiza una notificación completa de brecha de datos personales a esta Agencia en la que manifiesta, entre otros aspectos, que se valora el riesgo como bajo y no serán informados los afectados. Sin embargo, como consecuencia de la brecha puede verse afectada la confidencialidad de datos identificativos y datos de salud de los alumnos, menores de edad, lo que puede suponer un riesgo alto para sus derechos y libertades. Tras el análisis de la notificación de brecha de datos personales, la Directora de la Agencia, el 04/04/2023, firmó resolución ordenando al responsable que lleve a cabo la comunicación de la brecha de datos personales a los interesados conforme al artículo 34 del RGPD, sin dilación indebida, para que, una vez tengan conocimiento de ésta, puedan adoptar las medidas que consideren oportunas para evitar aquellos riesgos que pudieran afectar a su persona. Así mismo, se le requiere que confirme el cumplimiento de la orden de comunicación a los afectados en el plazo de 30 días incluyendo copia de la misma y no es hasta el 16/05/2023, cuando confirma a esta Agencia que había procedido a realizar la comunicación a los interesados el 3/05/2023, a través de la plataforma educativa EDUCAMOS. Esta confirmación fue presentada con ocasión de dar respuesta al requerimiento de información realizado el 28/04/2023, con objeto de aclarar los términos de la notificación de Brecha de seguridad de datos personales Por las razones expuestas, se considera que se ha producido una vulneración de la normativa en materia de protección de datos personales por la parte reclamada por vulneración del artículo 34 del RGPD. VII Tipificación y calificación de la infracción del artículo 34 del RGPD El artículo 83.4.
  16. a)del RGPD tipifica como infracción administrativa cualquier vulneración de “las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43”. El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 4 establece: 4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  17. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  18. s)El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos de conformidad con lo previsto en el artículo 34 del Reglamento (UE) 2016/679 si el responsable del tratamiento hubiera sido requerido por la autoridad de protección de datos para llevar a cabo dicha notificación. VIII Sanción por la infracción de los artículos 32 y 34 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  19. a)a
  20. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  21. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  22. b)la intencionalidad o negligencia en la infracción;
  23. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  24. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  25. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  26. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  27. g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19
  28. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  29. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  30. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  31. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  32. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  33. a)El carácter continuado de la infracción.
  34. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  35. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  36. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  37. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  38. f)La afectación a los derechos de los menores.
  39. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  40. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por las infracciones de los artículos 32 y 34 del RGPD a la entidad investigada como responsable de las citadas infracciones, procede graduar las multas teniendo en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 Como agravantes: Artículo 83.2.
  41. a)RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”: se estima que el número de afectados por la brecha es de unas 450 personas, de los cuales unos 150 son menores de edad. Artículo 83.2
  42. g)RGPD: “las categorías de los datos de carácter personal afectados por la infracción”; toda vez que se han visto afectadas categorías especiales de datos personales: la tipología de datos son datos identificativos de padres/madres y/o tutores legales y datos correspondientes al expediente académico de los alumnos que incluyen datos de salud. Artículo 76.2
  43. b)LOPDGDD:” La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad investigada exige un continuo tratamiento de datos de carácter personal tanto de padres/madres y/o tutores como de alumnos. Por todo ello, se considera que la sanción que corresponde imponer es de TRES MIL euros (3.000 €) por la infracción del artículo 32 del RGPD y DOS MIL euros (2.000 €) por la infracción del artículo 34 del RGPD, lo que hace un total de CINCO MIL euros (5.000 €). IX Adopción de medidas En este caso, se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  44. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente supuesto, por lo que respecta a la presunta vulneración del artículo 32 se procede a requerir al responsable para que en el plazo de seis meses notifique a esta Agencia la adopción de las siguientes medidas: - C/ Jorge Juan, 6 28001 – Madrid Acreditar la implementación de medidas de protección técnicas y organizativas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado. www.aepd.es sedeagpd.gob.es 18/19 - Acreditar la implementación de medidas de seguridad de índole técnico en el control de accesos que impidan que personas no autorizadas accedan y sustraigan datos personales. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE, con NIF R2800702I, por una infracción de los artículos 32 y 34 del RGPD, tipificadas en el artículo 83.4 del RGPD, una multa de 3.000 y 2.000 euros (TRES MIL y DOS MIL euros), respectivamente. Lo anterior hace un total de 5.000 euros (CINCO MIL euros). SEGUNDO: ORDENAR a COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE, con NIF R2800702I, que en virtud del artículo 58.2.
  45. d)del RGPD, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de: - Acreditar la implementación de medidas de protección técnicas y organizativas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado. - Acreditar la implementación de medidas de seguridad de índole técnico en el control de accesos que impidan que personas no autorizadas accedan y sustraigan datos personales. TERCERO: NOTIFICAR la presente resolución a COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  46. b)de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-00000000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  47. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.