← España

PS-00499-2021

1/15  Expediente N.º: PS/00499/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 08/01/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSEJERÍA DE EDUCACIÓN, CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con NIF S1911001D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la reclamante manifiesta que solicitó se excluyese a sus hijos de las elecciones al consejo escolar y, además de descubrir que no se ha excluido del proceso a uno de ellos, comprobó que se había publicado en redes sociales un vídeo con una entrevista a su hijo ejerciendo como candidato; que una vez retirado el consentimiento ante la Junta directiva del colegio y tras varias solicitudes para que el contenido de aquel fuera retirado de las redes sociales, la reclamante no ha recibido respuesta alguna de los responsables del centro. Se aporta comunicaciones mantenidas con el Centro en las que se solicita la exclusión de los menores del proceso electoral, así como la retirada del vídeo en el que aparece uno de los menores siendo entrevistado como candidato y la retirada del consentimiento para la publicación de imágenes del menor en redes sociales. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), en el ámbito del expediente E/01335/2021, el 24/02/2021 se dio traslado de dicha reclamación a la parte reclamada de conformidad con la LPACAP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta respuesta del reclamado. TERCERO: Con fecha 18/05/2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 08/06/2021 los representantes del CEIP ***CEIP B.B.B. manifiestan lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 1. Procedimiento por el que se informa a las familias de los menores de los tratamientos y se recaba el consentimiento Cuando los alumnos y alumnas se matriculan en el centro se informa a las familias sobre el tema de los derechos de imagen. Según consta, la familia del alumno autorizó al centro en la publicación de imágenes con fines escolares. En ningún momento la familia recurrió y dijo que no se grabara al niño con anterioridad al video. Aportan copia de la autorización firmada por la familia. Debido a la celebración de las elecciones al consejo escolar del centro y buscando siempre la participación del alumnado se entregó a todo el alumnado que iba a participar en el evento, la solicitud a las familias de la autorización en la actividad. Dicha actividad consistía en la presentación, de alumnos y alumnas de 5º y 6º, a sus compañeros y compañeras para que se informaran de las peticiones que harían para mejorar el centro. Esta retransmisión se hizo en directo por YouTube y la vieron los cursos de 4º, 5º y 6º de primaria. La familia del alumno, como pueden firmó dicha autorización y la entregó antes de realizar la actividad. Aportan copia de dicha autorización Cuando mandamos sólo un vídeo a la página solo lo pueden ver las familias de los alumnos y alumnas del centro. Cuando la familia de C.C.C. nos envió el correo para eliminar la candidatura de su hijo, borraron el enlace oculto de nuestra página y no podían acceder al video. Posteriormente, y viendo que seguía apareciendo en el canal de YouTube, lo quitaron directamente. 2. Procedimiento articulado para la atención de derechos Con fecha 1 de diciembre, la familia presentó el escrito autorizando la participación de su hijo, en la actividad cediendo los derechos de imagen al centro para su posterior emisión. Todos los alumnos y alumnas del centro, cuando hay una actividad, les pedimos autorización a las familias para las fotos y videos que podamos publicar en la página del centro. Únicamente con el fin de que las familias vean la actividad y sin ningún afán de lucro. Los representantes de la entidad no informan del procedimiento establecido para la atención de los derechos de los alumnos. 3. En relación con el ejercicio de derechos de protección de datos del afectado Cuando la familia del alumno envió el correo para que la candidatura de su hijo fuera eliminada, se borró el enlace oculto de nuestra página de modo que no podían acceder al video. Posteriormente, al ver que seguía apareciendo en el canal de YouTube, lo retiraron directamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Esta retirada se produjo con posterioridad al requerimiento de información de fecha 24/05/2021 4. Se han dado respuesta a la solicitud de ejercicio de derechos del reclamante. Acreditación de la respuesta facilitada No le han facilitado ninguna respuesta por escrito, limitándose a comunicarle que en las próximas actividades no volvería a aparecer. Los representantes del centro no acreditan cómo han informado a la familia ni el contenido de la información facilitada, a pesar de que se les ha requerido expresamente. 5. Medidas adoptadas para evitar situaciones similares en el futuro Para evitar la visualización del video se eliminó el enlace de la página del colegio. Esto no evita que se pueda acceder directamente al video si alguien conoce la dirección. Por este motivo tuvieron que eliminarlo directamente del canal. A nivel de centro se sigue el siguiente proceso: 1. La familia se registra en la página 2. Se comprueba que pertenece la familia al centro. 3. Se le autoriza y se da unas claves para que puedan acceder al contenido de imágenes. 4. Los enlaces de los videos que publicamos tienen enlace oculto y sólo lo pueden ver las familias de los alumnos y alumnas. (esto no evita que al eliminar el enlace de la página del colegio se pueda acceder al video directamente en YouTube si se conoce la dirección) 8. En relación con las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia Dentro de las normas de convivencia del centro, en el apartado derecho de los padres, queda reflejada que los padres tienen derecho a conocer el funcionamiento del centro y, por tanto, en todo lo que hace referencia a la protección de imágenes de sus hijos. Por este motivo el centro les informa si quieren o no que sus hijos e hijas salgan en las fotografías o videos elaborados en las actividades escolares. QUINTO: Con fecha 15/11/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.

  1. b)del citado RGPD. SEXTO: Notificado el acuerdo de inicio, el reclamado mediante escrito de 30/11/2021 presentó escrito de alegaciones manifestando en síntesis: la falta de recepción del requerimiento inicial de información a pesar de lo señalado en el acuerdo de inicio del procedimiento de que no se dio contestación al mismo; existió un error en la recepción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 de la primera comunicación enviada por la AEPD sobre la reclamación presentada, que no se recibió ni en la Consejería, ni tampoco por la Delegada de Protección de Datos y que impidió la contestación al requerimiento de información inicialmente efectuado; que el tratamiento en el RAT para la gestión de las elecciones del Consejo Escolar tiene como base de legitimación el artículo 6.1.
  2. c)y
  3. e)del RGPD y que en relación con dicho tratamiento, el 28-9-2021, la Viceconsejería de Educación impartió unas instrucciones para la gestión de este proceso que se dirigieron a todos los centros educativos; la inadmisibilidad de la reclamación formulada por ser presentada con anterioridad al vencimiento del plazo para responder al derecho de supresión; la ausencia de conducta sancionable y medidas adoptadas por el reclamado en el tratamiento de datos personales; que la infracción aplicable en todo caso no debería ser calificada como muy grave o grave. SEPTIMO: Con fecha 29/03/2022 se inició un período de práctica de pruebas, acordándose las siguientes; Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. OCTAVO: El 24/05/2022 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por infracción del artículo 17 del RGPD, tipificadas en los artículos 83.5.
  4. b)del RGPD, con sanción de apercibimiento. Transcurrido el plazo establecido para presentar alegaciones el reclamado, no había presentado escrito alguno. NOVENO: Las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 08/01/2021 tiene entrada en la Agencia Española de Protección de Datos escrito del reclamante manifestando que en las elecciones al consejo escolar solicitó se excluyese a sus hijos de las mismas y, además de descubrir que no se ha excluido del proceso a uno de ellos, comprobó que se había publicado en redes sociales un vídeo con una entrevista a su hijo ejerciendo como candidato; que una vez retirado el consentimiento ante la Junta directiva del colegio y tras varias solicitudes para que el contenido de aquel fuera retirado de las redes sociales, la reclamante no ha recibido respuesta alguna de los responsables del centro. SEGUNDO. Consta aportada copia del DNI de la reclamante. TERCERO. Consta aportada impresión de la imagen captada en YouTube sobre la entrevista a candidatos al Consejo Escolar para el curso 2020/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 CUARTO. Consta aportados correos electrónicos remitidos por la reclamante al centro escolar CEIP ***CEIP B.B.B. en las que se solicita la exclusión de los menores del proceso electoral, así como la retirada del vídeo en el que aparece uno de los menores siendo entrevistado como candidato y la retirada del consentimiento para la publicación de imágenes del menor en redes sociales. La reclamante: 30/11/2020; Asunto: Consejo Escolar “Inicialmente C.C.C. y D.D.D. se presentaron voluntarios para formar parte del Consejo Escolar, pero finalmente retiraron su candidatura (o eso me dijeron ellos). Pero este viernes se les requirió, se les dio a entender que se sigue contando con ellos. Agradeceré por favor les retiréis del proceso”. 03/12/2020; Asunto: Consejo Escolar “El pasado día 30 de Noviembre os remití un correo en el que os pedía excluyerais a C.C.C. y D.D.D. de las elecciones al Consejo Escolar. No es la primera vez que envío una comunicación sin recibir respuesta, pero en este caso no solamente se me ha contestado sino que se ha ignorado totalmente mi correo. Y no es solo que no se excluyó a C.C.C. de las elecciones (se le iba a entregar la papeleta como candidato, sino que se le entrevistó, publicó el video con la entrevista y en este mismo momento en el que escribo sigue apareciendo en el vídeo, a pesar de haber pedido que se le excluyera y él mismo haberos pedido que editéis el video y le eliminéis de él. De momento RETIRO MI CONSENTIMTENTO a que toméis y publiquéis imágenes suyas; mientras me informo acerca de cómo proceder después de este incidente. Espero esta vez recibir una respuesta y acción inmediata”. El reclamado: 04/12/2020; Asunto: Consejo Escolar “C.C.C. salió en el video debido a que tenemos el consentimiento entregado por el niño con sus datos y firmado por usted. En cuanto a la exclusión como candidato al consejo escolar C.C.C. fue excluido del proceso. A partir de ahora se lo comunicó a la tutora para que no salga en ninguna imagen donde aparezca con sus compañeros o que aparezca de forma individual”. La reclamante: 10/12/2020; Asunto: Consejo Escolar: “Efectivamente, concedí mi autorización para publicaciones regulares del colegio, excluyendo el proceso de elecciones al Consejo Escolar; tal y como les solicitaba en mi correo de 30 de Noviembre. Al haber desoído mi correo y ver imágenes de mi hijo como candidato al Consejo, el día 3 de Diciembre retiro mi consentimiento a que sus imágenes sean publicadas en redes sociales, comprobando que en ese momento el video sigue colgado sin editar. A día de hoy, 10 de Diciembre, el video sigue estando colgado íntegro. Le informó que el artículo 16 de la LOPD, deja muy claro que si los progenitores se acogen a su derecho a retirar su consentimiento y solicitar la cancelación de los datos, cuando las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 imágenes ya han sido publicadas; el centro deberá atender dicho derecho en el plazo de 10 días. Mi solicitud de retirada de las imágenes de mi hijo iba implícita en mi correo del 3 de Diciembre, pero por si acaso he de expresarlo de forma explícita, le comunicó hoy, 10 de Diciembre de 2020 que deseo que la imagen de mi hijo sea retirada del video de entrevista a los candidatos al consejo escolar. En la confianza con que este tema quedará totalmente resuelto tras esta comunicación, le envío un saludo”. 21/12/2020; Asunto: retirada video de YouTube: “Le informe que el plazo que estipula la AEPD para retirar el video o la parte del video en la que aparece mi hijo C.C.C. expiró ayer, 20 de Diciembre, tras pedirles explícitamente el día 10 que la parte en la que aparece mi hijo fuera eliminada. Acabo de comprobar en este momento que el vídeo sigue colgado íntegro. Ejercitando mis derechos le informo que voy a conceder al centro el día de hoy para retirarlo o editarlo. En caso contrario, mañana a primera hora comunicaré este incumplimiento a la AEPD en virtud del artículo 18 de la LOPD”. QUINTO. Consta correo electrónico remitido el 26/11/2021 desde el centro escolar para: ***EMAIL.1. Asunto: CONTESTACIÓN A LAS PREGUNTAS en el que se indica: “Fecha exacta de grabación y de publicación del vídeo. EL VIDEO SE GRABÓ EL DÍA 2 DE DICIEMBRE DE 2020 Fecha de borrado del enlace oculto de la página web. Exactamente no lo sé y no podemos recuperar la fecha exacta, pero fue en el mes de marzo o abril de 2020 Fecha de supresión en el canal de YouTube. El mismo día que se borró el enlace oculto de la página se borró de YouTube en el mes de marzo o abril de 2020 Entendemos que actualmente el vídeo mencionado no es accesible para nadie. ¿Nos lo podéis confirmar? Si. En nuestro canal de YouTube no está. Figura correo electrónico de respuesta al anterior de 26/11/2021, remitido por ***EMAIL.1 señalando: “Dos cuestiones: Buenos días, gracias por la respuesta, pero la respuesta nos plantea esta duda: 1. Se menciona como fecha de borrado del enlace oculto y de la supresión del vídeo marzo o abril de 2020. Damos por hecho que se refieren a marzo o abril de 2021 2. En el acuerdo de inicio del expediente sancionador, advertimos que la AEPD indica que la supresión o retirada del vídeo del canal de YouTube “se produjo con posterioridad al requerimiento de información (de la AEPD a ese centro) de fecha 24/05/2021”. ¿Eso es correcto, es decir, la retirada se realizó después o como consecuencia del requerimiento de la AEPD? FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos puestos de manifiesto en la reclamación aportada evidencian la ausencia de respuesta del reclamado al derecho de supresión de los datos de carácter personal ejercitado por la reclamante, lo que supondría la vulneración de la normativa en materia de protección de datos de carácter personal. El ejercicio del derecho de supresión viene regulado en el artículo 17 del RGPD, que establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  5. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  6. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  7. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  8. d)los datos personales hayan sido tratados ilícitamente;
  9. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  10. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  11. a)para ejercer el derecho a la libertad de expresión e información;
  12. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  13. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  14. h)e i), y apartado 3;
  15. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  16. e)para la formulación, el ejercicio o la defensa de reclamaciones”. Por otra parte, el artículo 15 de la LOPDGDD establece que: "1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679. 2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa". También los considerandos 59 y 66 del RGPD señalan: "59. Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. El responsable del tratamiento también debe proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un mes, y a explicar sus motivos en caso de que no fuera a atenderlas". "66. A fin de reforzar el «derecho al olvido» en el entorno en línea, el derecho de supresión debe ampliarse de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales que supriman todo enlace a ellos, o las copias o réplicas de tales datos. Al proceder así, dicho responsable debe tomar medidas razonables, teniendo en cuenta la tecnología y los medios a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 disposición, incluidas las medidas técnicas, para informar de la solicitud del interesado a los responsables que estén tratando los datos personales". III 1. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 17 del RGPD, derecho de supresión, al no ser atendido el mismo pese a que la reclamante ejercito su derecho. La normativa de protección de datos permite que puedas ejercer ante el responsable del tratamiento tus derechos de acceso, rectificación, oposición, supresión, limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas. El RGPD regula el derecho de supresión como manifestación propia del consentimiento, es decir, tendremos el derecho a revocar nuestro consentimiento prestado anteriormente y de esta forma solicitar a los responsables que eliminen los datos personales de los que somos titulares y que tengan en su poder. Es por ello que podemos exigir la eliminación de cualquier dato personal mediante petición directa al responsable y siempre que concurran las circunstancias previstas en la normativa. En el presente caso, la reclamante acredita haber ejercitado el derecho de supresión sin que se haya recibido respuesta a su solicitud por lo que se estima que se ha infringido el artículo 17 del RGPD. 2. De conformidad con lo señalado por el reclamado el 28-09-2021, a través de la Viceconsejería de Educación del reclamado se impartieron unas instrucciones para la gestión del proceso electoral escolar que se dirigieron a todos los centros educativos. En dichas instrucciones no se preveía inicialmente la realización y difusión de vídeos para presentar las candidaturas, ni instrucciones específicas para la posible gestión del consentimiento si procediese, ya que el tratamiento se basaba en las causas de licitud previstas en el artículo 6.1.
  17. c)y
  18. e)del RGPD. Por tanto, el vídeo grabado, cuya difusión se llevó a cabo a través del canal YouTube y que según el centro, estaba restringida al alumnado afectado por el proceso electoral, se trataría de una grabación con la finalidad de facilitar a los candidatos los medios para que poder dar a conocer sus propuestas electorales, fomentando la participación. Y aunque esta actividad de grabación y difusión de imágenes pueda considerarse derivada del proceso de elecciones del Consejo Escolar, se trataría según el propio reclamado de una operación de tratamiento realizada por un centro docente en el ámbito de su autonomía de organización y gestión reconocida en el artículo 120 de la Ley Orgánica 2/2006, de 3 de mayo, de Educación y sin conocimiento previo por parte de la Viceconsejería de Educación. Por lo tanto, dicha actividad de tratamiento no puede considerarse amparada en las causas de licitud señaladas, sino en el consentimiento de los interesados cuya base legar sería el artículo 6.1.
  19. a)del RGPD. 3. El reclamado ha alegado que el centro educativo no solo respondió a la solicitud de retirada del consentimiento de la interesada sino también al propio derecho de supresión al realizar la actuación material de retirada y supresión del video, c C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 Sin embargo, tal alegato no es admisible; hay que señalar que en el periodo de actuaciones previas se le preguntó a los responsables del centro por la respuesta ofrecida a la solicitud del ejercicio de los derechos de la reclamante y la acreditación de la respuesta ofrecida, señalando que “no se ha facilitado respuesta alguna por escrito, limitándose a informar a la reclamante que para las próximas actividades no volvería a figurar, aunque no han podido justificar cómo han informado a la familia ni su contenido” y que “los representantes de la entidad no informan del procedimiento establecido para la atención de los derechos de los alumnos”. En este mismo sentido, se les solicito información sobre las medidas adoptadas para evitar este tipo de situaciones, señalando que “Para evitar la visualización del video se eliminó el enlace de la página del colegio. Esto no evita que se pueda acceder directamente al video si alguien conoce la dirección. Por este motivo tuvieron que eliminarlo directamente del canal”. A mayor abundamiento, relacionado con lo anterior figura en los hechos correo de 26/11/2021 remitido desde el centro escolar al reclamado en figura: - fecha exacta de grabación y de publicación del vídeo: “02/12/2020” - fecha de borrado del enlace oculto de la página web: “Exactamente no lo sé y no podemos recuperar la fecha exacta, pero fue en el mes de marzo o abril de 2020” - fecha de supresión en el canal de YouTube: “El mismo día que se borró el enlace oculto de la página se borró de YouTube en el mes de marzo o abril de 2020” Y el propio reclamado manifestaba que si bien la fecha de supresión no ha podido ser precisada por el centro y que el representante del mismo afirmaba haber retirado y suprimido el vídeo del canal en los meses de marzo o abril de 2021 esta última actuación no se ha realizado con toda la diligencia que hubiera sido deseable. En segundo lugar, en relación con la actuación material de retirada y supresión del video la propia reclamante en correo del 30/11/2020 ya invitaba a los responsables del centro a retirar la candidatura de sus hijos en el proceso electoral escolar y así lo hace constar en el correo de 03/12/2020 en el que se quejaba de que no era la primera vez que no recibía respuesta a las comunicaciones enviadas y que, además, se continuaba omitiendo sus demandas de excluir a su hijo de las elecciones (al parecer en el video se le entrevista, se publica la misma y el vídeo sigue publicado a pesar de solicitar la exclusión del menor del proceso electoral y la eliminación del video), por lo que retiraba el consentimiento. La respuesta de 04/12/2020 es que a partir de dicho momento se le comunicara a la tutora para que no saliera en el video su imagen si figura con sus compañeros o donde apareciera de manera individual. Sin embargo, el 10/12/2020 la madre del menor vuelve a remitir correo donde a pesar de lo señalado anteriormente manifiesta que el video sigue estando colgado íntegro en YouTube. Por tanto, se considera de todo lo que antecede que el reclamado no atendió el derecho de supresión solicitado vulnerando el artículo 17 de RGPD, donde además se invita a actuar a fin de “obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales”. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 La vulneración del artículo 17 del RGPD se encuentra tipificada en el artículo 83.5.
  20. b)del citado RGPD en los siguientes términos: “5. Las infracciones de las disposiciones siguientes se sancionarán, …: (…)
  21. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, a efectos de prescripción, califica de “Infracciones consideradas muy graves”: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  22. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” V La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo se aplicará a los tratamientos de los que sean responsables o encargados:
  23. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  24. b)Los órganos jurisdiccionales.
  25. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  26. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  27. e)Las autoridades administrativas independientes.
  28. f)El Banco de España.
  29. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  30. h)Las fundaciones del sector público.
  31. i)Las Universidades Públicas.
  32. j)Los consorcios.
  33. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. En el presente caso, el presente procedimiento sancionador se iniciaba en base a la presunción de que el reclamado, había vulnerado la normativa en materia de protección de datos de carácter personal, omisión del derecho de supresión de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 De conformidad con las evidencias de las que se dispone, dicha conducta constituye por parte del reclamado la infracción a lo dispuesto en el artículo17 del RGPD. Hay que señalar que la LOPDGDD contempla en su artículo 77 la sanción de apercibimiento en relación con los tratamientos de datos personales que no se adecúen a sus previsiones. A este respecto, el artículo 83.7 del RGPD contempla que “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Asimismo, se contempla que la resolución que se dicte se podrán establecer medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que se hubiese cometido y su adecuación a las exigencias contempladas en el artículo 17 del RGPD, así como la aportación de medios acreditativos del cumplimiento de lo requerido. Ahora bien, el reclamado en alegaciones de 30/11/2021 ha manifestado haber adoptado una serie de medidas para evitar que este tipo de incidencias se produzcan, destacándose entre ellas: La elaboración y comunicación a todos los centros docentes de instrucciones específicas para la realización del proceso electoral, que se consideran apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta, como prevé el RGPD, el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas cuyo contenido se ha transcrito en la alegación primera. Con respecto al procedimiento general de ejercicio de derechos, desde el mes de abril de 2021 los centros docentes tienen disponible en el espacio del Portal de Educación destinado a la protección de datos de los centros educativos (en el que se han venido publicando diversos documentos de utilidad para los centros con posterioridad a la fecha de entrada en vigor del RGPD) la instrucción de la Dirección General de Administración Digital de la Consejería de Hacienda y Administraciones Públicas, órgano competente en esta materia, sobre Derechos en materia de protección de datos PD-GEN-INS-006, de 12/03/2021, como puede comprobarse en el enlace: https://www.educa.jccm.es/es/centros/organizacionfuncionamiento/protecciondatos-centros-educativos. Con carácter adicional o complementario de la formación en materia de protección de datos impartida desde organismos estatales como el Intef, desde el Centro Regional de Formación del Profesorado dependiente de esta misma Viceconsejería de educación, se han realizado diversas acciones formativas en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 materia de protección de datos destinadas al personal de los centros educativos y está programada la continuidad durante los próximos años de estas acciones formativas. Además, señala que la Consejería tiene previsto elaborar próximamente una instrucción dirigida a los centros docentes en la que se aclaren las normas existentes para la gestión de las solicitudes de ejercicio de derechos previstos en los artículos 15 a 22 del RGPD. Por tanto, a la luz de lo que antecede, se considera que la respuesta del reclamado ha sido razonable, no procediendo instar la adopción de medidas adicionales, al haber adoptado medidas de carácter técnico y organizativas de conformidad con la normativa en materia de protección de datos para evitar que vuelvan a producirse situaciones como la que dio lugar a la presente reclamación, que es la finalidad principal de los procedimientos respecto de aquellas entidades relacionadas en el artículo 77 de la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con NIF S1911001D, por una infracción del artículo 17 del RGPD, tipificada en el Artículo 83.5.
  34. b)del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a CONSEJERÍA DE EDUCACIÓN CULTURA Y DEPORTES DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.