PS-00504-2023 | Europaius

1/34  Expediente N.º: EXP202212248 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a B.B.B. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202212248 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 2 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada colegio o centro educativo). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que su hijo, menor de edad, se encuentra matriculado en el Centro reclamado y que, al iniciar el curso de X de Primaria, se establece la utilización de un dispositivo Chromebook que ha de ser adquirido por los padres, para ser utilizado en el aula. Señala que tanto el dispositivo como la licencia son adquiridos por los padres de los menores, por lo que son de su propiedad, si bien manifiesta que no han recibido información alguna sobre la recogida y tratamiento de datos en el Chromebook con motivo del enrolamiento de dicho dispositivo en el dominio del Colegio y que tampoco han firmado ninguna autorización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/34 Asimismo, destaca que permanecen activos, tanto el permiso de envío de datos opcionales a GOOGLE, como otros permisos asociados a aplicaciones preconfiguradas por el Centro (uso de la cámara, ubicación, micrófono, almacenamiento) sin poder revocar ninguno de esos permisos por los padres o tutores de los alumnos, como responsables del dispositivo. Con fecha 14 de septiembre de 2022 se dirigió a la tutora de su hijo para obtener información al respecto. El 21 de septiembre recibió un correo electrónico indicando: “[…] Las configuraciones establecidas para las APPs de uso escolar y para el perfil del alumno efectivamente están gestionadas por el Colegio para su correcto funcionamiento y que no generen problemas. No hay otra manera de hacerlo, pues hay funciones que deben estar habilitadas para que funcione la aplicación. Estas configuraciones solo funcionan desde el perfil ***PERFIL.1del alumno. Si inician sesión desde otro perfil o como invitados pueden configurar a su antojo la privacidad del perfil con el que entran.[…]” Al no estar conforme con dicha respuesta, con fecha 22 de septiembre de 2022 el reclamante remitió una comunicación al DPD del Colegio solicitando más información, sin haber obtenido respuesta. Junto con la reclamación aporta: Copia de las comunicaciones intercambiadas con el Centro. Varias capturas de pantalla mostrando:  Configuración del sistema operativo. Está activado el permiso denominado “Ayudar a mejorar las funciones y el rendimiento de ChromeOS” con la siguiente descripción “Automáticamente envía informes sobre fallos, así como datos de diagnóstico y uso a Google”.  Permisos concedidos a la aplicación “Grupo Anaya”: ubicación, cámara, micrófono, contactos y almacenamiento, sin posibilidad de ser desactivados, al estar sombreados.  Permisos concedidos a la aplicación “Kahoot!” (cámara y almacenamiento),sin posibilidad de ser desactivados, al estar sombreados. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Colegio Vera-Cruz, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/34 Públicas (en adelante, LPACAP), fue recogido en fecha 21/11/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 19/12/2022 se recibe en esta Agencia escrito de respuesta indicando, de forma resumida, lo siguiente: El Colegio destaca que, desde el 14 de septiembre de 2022 (fecha en la que el reclamante envía un correo electrónico a la tutora de su hijo manifestando una serie de inquietudes), han mantenido distintas comunicaciones con la parte reclamante, tanto personales como a través de correo electrónico, a fin de informarle de las averiguaciones y de las actividades realizadas por dicho centro educativo. 1.En relación con el dispositivo tipo Chromebook, los padres de los alumnos compran dichos dispositivos a Edelvives, habilitando personalmente tanto el dispositivo como la licencia del sistema operativo. Los referidos dispositivos tienen instalado el sistema operativo de Google basado en el navegador CHROME. El centro escolar tiene contratado con Google, para el uso de sus alumnos, Google Workspace for Education, en la versión denominada Google Workspace for Education Fundamentals, que proporciona herramientas y servicios de Google que facilitan la enseñanza y el aprendizaje, tales como Classroom, Google Meet, Documentos de Google, Formularios de Google y Google Chat. La herramienta no tiene coste económico para el centro ni para el alumnado. El Colegio actúa en calidad de responsable del tratamiento y Google como encargado del tratamiento. En relación con la configuración del sistema operativo por defecto, el Colegio afirma que no puede actuar en este ámbito, al ser parte de la configuración del sistema del propio dispositivo. Las altas de los alumnos en la plataforma Google for Education se hacen con una cuenta creada para el alumno por el colegio. Dicha cuenta permite a los alumnos acceder a la plataforma, beneficiarse de los servicios y acceder a las aplicaciones instaladas. Entienden que la información que Google puede obtener es meramente estadística. Destacan que si fuera necesario consentimiento para dicha recogida de datos, se habría solicitado y obtenido al iniciar el dispositivo o el sistema operativo por el titular de los datos. El colegio afirma que no recoge datos de la utilización de la plataforma por parte de los alumnos. 2. Junto con el dispositivo y el sistema operativo de Google, los padres de los alumnos adquieren a Edelvives una aplicación de control parental denominada IRIS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/34 Dicha aplicación permite que el profesor en el aula pueda pausar las pantallas, bloquear el acceso a Internet y desactivar el filtro de Internet de todos los dispositivos de los alumnos en tiempo real. La aplicación IRIS permite el filtrado de internet, la geolocalización del dispositivo en caso de pérdida o robo. También permite a los padres de los alumnos controlar los tiempos de uso y descanso del dispositivo y los vídeos visualizados. Dicha aplicación recoge la geolocalización, el historial de IPs desde donde se ha conectado y el historial de navegación. 3. En cuanto a las aplicaciones educativas, el Colegio informa de que adquiere las licencias digitales (libros) y las distribuye entre las familias de los alumnos, que las abonan al centro educativo. Las aplicaciones de la editorial Edelvives no funcionaban correctamente y no se han utilizado. Los alumnos del colegio se conectan a los libros digitales, licencias digitales, a través de Internet. En el curso del alumno cuyo padre ha presentado la reclamación hay dos licencias de Edelvives y una de Mac Millan. Las dos licencias de Edelvives las adquirieron los padres de los alumnos junto con el dispositivo y la aplicación IRIS a través de la página web de Edelvives y permiten descargar contenidos y acceder off line. La aplicación de Anaya no se utiliza en primaria, estaba instalada por defecto y no se ha usado. El alumno no podía acceder a la misma, ya que no tenía libros de dicha editorial. El acceso a los contenidos digitales de Edelvives o de Anaya (en el caso de alumnos de Secundaria) solo permite la visualización de contenidos digitales, sin que se usen para otras finalidades, como la comunicación con el alumnado. Dado su escaso uso, el Colegio ha desactivado la aplicación Kahoot. El Colegio ha contactado con las distintas editoriales, en un primer momento, para solicitar información y, posteriormente, para realizar cambios en las configuraciones. El centro educativo entiende que la reclamación presentada no constituye una incidencia. Consideran que no se ha producido ningún daño a la integridad, confidencialidad o disponibilidad de datos personales. Concluyen su escrito solicitando el archivo de las actuaciones iniciadas, al entender que no se ha vulnerado la normativa de protección de datos de carácter personal. TERCERO: Con fecha 2 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/34 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: A continuación, se van a reproducir diversos aspectos reflejados en el informe de actuaciones previas de investigación de fecha 3 de noviembre de 2023: 1. (…): El informe de actuaciones previas de investigación realiza diversas referencias a la adquisición del dispositivo Chromebook por los padres de los alumnos, su puesta en marcha en el colegio y que es enrolado en el dominio del centro escolar: “La parte reclamante manifiesta que su hijo, menor de edad, se encuentra matriculado en el Centro reclamado y que, al iniciar el curso de X de Primaria, se establece la utilización de un dispositivo Chromebook que ha de ser adquirido por los padres, para ser utilizado en el aula. Señala que tanto el dispositivo como la licencia son adquiridos por los padres de los menores, por lo que es de su propiedad (…)” (el subrayado es nuestro). “En el contexto del procedimiento AT/04916/2022 y como consecuencia del traslado efectuado por la Subdirección de Inspección de Datos, con fecha 23/12/2022 B.B.B.remite a esta Agencia la siguiente información y manifestaciones: 1.Que los padres de los alumnos matriculados en el centro adquieren un dispositivo tipo Chromebook a EDELVIVES junto con el sistema operativo, licencia de GOOGLE, y la aplicación de control parental IRIS. Que estos dispositivos tienen instalado el sistema operativo de GOOGLE basado en el navegador Chrome” (el subrayado es nuestro). “Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 31/07/2023, B.B.B. remite a esta agencia la siguiente información y manifestaciones: 1. Que la información a los padres se entrega a principio de curso en charlas informativas y enviada también por correo electrónico a todos ellos. Se aporta copia de correo electrónico enviado desde la dirección de correo electrónico ***EMAIL.1 en fecha 21/06/2023 con el asunto “Circular Sí constan los siguientes aspectos: a.Relativo a la compra de los dispositivos: “[…]Para facilitar la gestión de compra de los dispositivos, las familias podréis realizarla directamente a través de nuestra página web: www.colegioveracruz.com o a través de la siguiente URL[…] En caso de que alguna familia quisiera adquirir o trabajar con un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/34 Para ello, tened en cuenta que los requerimientos mínimos serían 4 GB RAM y 32 de GB Disco y que además, es posible que tengáis que adquirir a través de la plataforma Edelvives la licencia google necesaria para el funcionamiento del Chromebook bajo la estructura colegioveracruz.com. Si alguna familia decidiera trabajar con otro ordenador portátil que no fuese Chromebook sabed que no estaría enrolado a la estructura del colegio con las limitaciones que ello conlleva.[…]” b. Relativo a la gestión de los dispositivos, las licencias y al rol del colegio. “[…] Os recomendamos que, una vez recojáis el Chromebook el primer día solo lo desembaléis para comprobar que ha llegado en perfecto estado. Su puesta en marcha la realizaremos en el aula junto al profesorado.” (el subrayado es nuestro). “En relación al proceso de compra y configuración de los dispositivos 2. Que los padres pueden adquirir el dispositivo por sus propios medios, pero la mayoría opta por comprarlo a través del colegio. Que la compra del dispositivo y de las licencias de uso la realizan las propias familias en una plataforma que pertenece a Edelvives. 3. Que en el enlace ***URL.1 se encuentra información publicada, así como las condiciones de compra. 4. Que el colegio es ajeno a la relación mercantil que se establece entre las familias y Edelvives. 5. Que el dispositivo llega al domicilio de las familias que lo adquieren con una licencia de Google For Education instalada(…).” (el subrayado es nuestro). 2. (…): En el informe de actuaciones previas de investigación, partiendo de información publicada en internet por Google y según manifestaciones realizadas por el centro escolar, indica: “Google Workspace for Education es un conjunto de herramientas y servicios de Google diseñados para que las escuelas y las escuelas en el hogar colaboren, agilicen la instrucción y mantengan el aprendizaje seguro. Google Workspace for Education Fundamentals: brinda herramientas para ayudar en la enseñanza y el aprendizaje, como Classroom, Google Meet, Google Docs, Google Forms y Google Chat. Google Workspace para la Educación incluye servicios principales (Gmail, Calendar, Classroom, Assignments, Contacts, Drive, Docs, Forms, Groups, Sheets, Sites, Slides, Chat, Meet, Vault, y Chrome Sync) y servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/34 adicionales (Google Search, Maps, y YouTube), aunque los segundos se proporcionan también de forma general a todos los usuarios de Google. Google Workspace da acceso a la Consola de Administración a través de la cual se tiene acceso a diversas acciones por parte del administrador, como: a. Control sobre los dispositivos enrolados al dominio del centro escolar. (el enrolamiento supone la asociación del dispositivo con el centro escolar para poder administrarlo.). Según el centro escolar la administración ocurre solo en horario escolar. b. Gestionar el acceso a los servicios principales, adicionales o y la instalación de terceras aplicaciones desde Google Marketplace en los dispositivos de los usuarios. P.ej. se puede forzar la instalación de aplicaciones en los dispositivos de usuarios y en este caso el centro escolar tenía algunas aplicaciones configuradas como de instalación forzada. El centro escolar ha contratado Google Workspace for Education y creado cuentas de Google para los alumnos. Los progenitores adquieren los dispositivos Chromebook a EDELVIVES. (…) Al inicio de curso el centro escolar enrola los Chromebook en el dominio del colegio y se le instalan las licencias educativas correspondientes a cada alumno. El usuario puede crear cuentas adicionales en el Chromebook independientes y no administrados por el centro escolar. Es posible, para las familias, trabajar con dispositivos que no sean dominio del colegio y conllevaría unas limitaciones, las cuales no ha quedado especificadas. El colegio informó a las familias de mediante un correo electrónico enviado (carta). En la carta se incluían instrucciones y enlaces a las políticas de privacidad de algunos proveedores de las aplicaciones, así como la referencia a la política de privacidad de Edelvives.(…)” (el subrayado es nuestro). El informe de actuaciones previas de investigación de 3 de noviembre de 2023 reproduce en el apartado 4 (páginas 22 y siguientes) parte del contenido del documento denominado “Términos del servicio Google Workspace for Education” (contrato de Google Workspace for Education), al que también hace referencia en el apartado 6 (página 23). El referido documento, en su versión española, ha sido reproducido en la Diligencia de 7 de junio de 2023 y, en su versión inglesa, en la Diligencia de 13 de julio de 2023. 3. (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/34 En este sentido, en el informe de actuaciones previas de investigación, se destaca: “1. El colegio es responsable del tratamiento con motivo de la contratación de Google Workspace for Education. GOOGLE es encargado del tratamiento. Los datos tratados son Datos de cliente y Datos de servicio. 2.Según manifestaciones del centro escolar y la información publicada por GOOGLE en internet, éste último es un encargado del tratamiento en relación con Google Workspace for Education y el centro escolar es responsable del tratamiento. 3.Según manifestaciones del centro escolar, (…) manifiesta que los datos son tratados con el objeto de realizar la gestión escolar y el seguimiento académico, sin que se usen para otro tipo de fines en la plataforma educativa.” (el subrayado es nuestro). El informe de actuaciones previas de investigación de 3 de noviembre de 2023 en el apartado 3 (páginas 19 y siguientes) reproduce parte del contenido del documento denominado “Cloud Data Processing Addendum”, contrato de encargo de tratamiento, cuyo contenido en su versión inglesa, se ha reproducido en la Diligencia de 7 de junio de 2023. 4. (…): El informe de actuaciones previas de investigación contiene la siguiente información: “4.Según consta en la documentación que GOOGLE mantiene publicada en internet: a. En Google Workspace existen los “Servicios principales”, los “servicios adicionales” así como “servicios de terceros” aunque solo los principales se rigen por los términos de Google Workspace. En los servicios principales se tratan datos, entre otros, de localización, tipo de navegador y de dispositivo, identificadores únicos, sistema operativo, interacciones con aplicaciones y navegadores, dirección IP, informes de errores, actividad del sistema. En los servicios adicionales se tratan datos, entre otros, dirección IP, GPS, información de cosas cerca del usuario como puntos de acceso Wi-Fi y dispositivos bluetooth, términos de búsqueda, los videos que se visualizan, anuncios que visualiza el usuario y con los que interactúa, tipo de navegador y de dispositivo, identificadores únicos, sistema operativo, interacciones de aplicaciones y navegadores con los servicios de GOOGLE, informes de errores, actividad del sistema. b. En los “Servicios principales” no existe ningún tipo de publicidad ni ningún dato personal recogido se utiliza con fines de publicidad. c. Youtube es un servicio adicional, el cual, como tal servicio adicional, puede suponer el envío de publicidad no personalizada basada en factores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/34 “generales” como las búsquedas realizadas o el contenido de una página que se esté leyendo. d. Según consta en los “Términos del Servicio de Google Workspace for Education”, el cliente es responsable de obtener los consentimientos y de proporcionar los avisos necesarios. Y concretamente, respecto al uso de “Productos adicionales” y “Ofertas de Terceros”, el cliente debe obtener el consentimiento parental para los usuarios menores de 18 años en la medida que lo requiera la legislación aplicable. De igual manera en ***URL.2 se insiste en que los progenitores obtengan el consentimiento para el uso de los servicios adicionales para el caso de menores de 18 años.” 5.(…): En relación con esta cuestión, el informe de actuaciones previas de investigación, reflejando información obtenida de la página web de Google (diligencia de 13 de julio de 2023) así como manifestaciones realizadas por el centro escolar, indica en sus conclusiones: “ChromeOS es el sistema operativo de los dispositivos Chromebook. 1. Los informes sobre fallos, que se activan teniendo activada la opción de “Ayudar a mejorar las funciones y el rendimiento de ChromeOS”, enviados a GOOGLE, incluyen información como los datos de la memoria que estén relacionados con el bloqueo, como el contenido de las páginas, tus datos de pago y tus contraseñas, la configuración de Chrome, las extensiones que tengas instaladas, la página web que estabas visitando en el momento del fallo, el sistema operativo, el fabricante y el modelo de tu dispositivo, el país donde estás usando Chrome. 2. Las estadísticas de uso e informes sobre fallos por defecto se envían a Google para ayudarles a mejorar sus productos. 3. Aunque inicialmente el centro escolar manifestó no poder cambiar dicha configuración, posteriormente según protocolo aportado por el centro escolar y capturas de pantalla, la opción de este envío de información se ha deshabilitado. Sin embargo, no se llegado a constatar que las configuraciones implantadas por el centro escolar hayan tenido un efecto en los Chromebook tendentes a solucionar lo mostrado en la captura de pantalla aportada por el reclamante. 4. El centro escolar no han entrado a valorar, como se le ha requerido, la necesidad de tener dicha opción activada tal y como consta en la captura de pantalla aportada por el reclamante.” (el subrayado es nuestro). 6. (…): En el informe de actuaciones previas de investigación, se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/34 “En el contexto del procedimiento AT/04916/2022 y como consecuencia del traslado efectuado por la Subdirección de Inspección de Datos, con fecha 23/12/2022 B.B.B. remite a esta Agencia la siguiente información y manifestaciones: (...) 2. Respecto a las licencias educativas, el centro escolar adquiere dichas licencias y las distribuye a las familias quienes las abonan al centro. También hay 2 licencias de EDELVIVES para los alumnos de cuarto de primaria y 1 licencia de MAC MILLAN para inglés para todos los alumnos que son adquiridas online por los progenitores.” “Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 31/07/2023, B.B.B. remite a esta agencia la siguiente información y manifestaciones: 1.Que la información a los padres se entrega a principio de curso en charlas informativas y enviada también por correo electrónico a todos ellos. Se aporta copia de correo electrónico enviado desde la dirección de correo electrónico ***EMAIL.1 en fecha 21/06/2023 con el asunto “Circular Sí constan los siguientes aspectos: (…) Licencias digitales: Respecto a las licencias digitales, todas serán gestionadas por el colegio y se os girará el importe correspondiente a través de vuestra cuenta a lo largo del curso, excepto en los siguientes casos: X de primaria: las familias deberán comprar a través de la plataforma de Edelvives una licencia correspondiente a las materias de Lengua Castellana (Fanfest) X, 5º y 6º de primaria: las familias deberán comprar la licencia de Inglés de Millan (Kids can!)” (el subrayado es nuestro). 7. (…): Se analiza en varios apartados del informe de actuaciones previas de investigación, cabe destacar los siguientes: “La parte reclamante manifiesta que su hijo, menor de edad, se encuentra matriculado en el Centro reclamado y que, al iniciar el curso de X de Primaria, se establece la utilización de un dispositivo Chromebook que ha de ser adquirido por los padres, para ser utilizado en el aula. Señala que tanto el dispositivo como la licencia son adquiridos por los padres de los menores, por lo que es de su propiedad, si bien manifiesta que no han recibido información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/34 alguna sobre la recogida y tratamiento de datos en el Chromebook con motivo del enrolamiento de dicho dispositivo en el dominio del Colegio. Que tampoco han firmado ninguna autorización. Que, además, permanecen activos tanto el permiso de envío de datos opcionales a GOOGLE, como otros permisos asociados a aplicaciones preconfiguradas por el Centro, las cuales tienen activos los permisos de uso de la cámara, ubicación, micrófono sin poder revocar ninguno de esos permisos por los padres o tutores de los alumnos, como responsables del dispositivo.” (el subrayado es nuestro). “En el contexto del procedimiento AT/04916/2022 y como consecuencia del traslado efectuado por la Subdirección de Inspección de Datos, con fecha 23/12/2022 B.B.B. remite a esta Agencia la siguiente información y manifestaciones: (…) 9. Que respecto a las aplicaciones educativas el centro adquiere las licencias digitales (libros) y las distribuye a las familias que las abonan al centro. a. Respecto a la aplicación ANAYA no se ha usado en la etapa de primaria. Que la aplicación estaba instalada por defecto. Que la versión instalada no funciona correctamente y se ha procedido a desinstalarla para poder instalar una versión actualizada. b. Respecto a las aplicaciones de la editorial EDELVIVES, tampoco se ha usado por no funcionar correctamente estando pendientes de la editorial de enviar una actualización de la misma. c. Que de momento los alumnos se conectan a los libros digitales a través de internet. d. El hecho de que esas aplicaciones permitan que el alumnado active la cámara, micrófono, ubicación o el almacenamiento permitiría que el alumno abra, caso de ser requerido, esas herramientas en su dispositivo para permitir la comunicación con el centro o el envío de trabajos escolares, pero en modo alguno permite que el centro pueda activarlos a distancia. 10. Que han desactivado la aplicación KAHOOT por su escaso uso.” (el subrayado es nuestro). 8. (…): En relación con esta cuestión, en el informe de actuaciones previas de investigación se indica: “La parte reclamante manifiesta que su hijo, menor de edad, se encuentra matriculado en el Centro reclamado y que, al iniciar el curso de X de Primaria, se establece la utilización de un dispositivo Chromebook que ha de ser adquirido por los padres, para ser utilizado en el aula. Señala que tanto el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/34 dispositivo como la licencia son adquiridos por los padres de los menores, por lo que es de su propiedad, si bien manifiesta que no han recibido información alguna sobre la recogida y tratamiento de datos en el Chromebook con motivo del enrolamiento de dicho dispositivo en el dominio del Colegio. Que tampoco han firmado ninguna autorización. Que, además, permanecen activos tanto el permiso de envío de datos opcionales a GOOGLE, como otros permisos asociados a aplicaciones preconfiguradas por el Centro, las cuales tienen activos los permisos de uso de la cámara, ubicación, micrófono sin poder revocar ninguno de esos permisos por los padres o tutores de los alumnos, como responsables del dispositivo.” (el subrayado es nuestro). En las conclusiones de dicho informe, se destaca: “2. El centro escolar ha activado el servicio adicional Youtube para uso de los alumnos, aunque con acceso restringido a videos. 3. El centro escolar tiene configurada para los alumnos la instalación forzada de un listado de aplicaciones de terceros (…)” 4. El acceso a recursos del dispositivo por parte de las aplicaciones de Android (como SM Aprendizaje, Edelvives Digital Plus, Aula Virtual Santillana, CGA Visor Anaya) viene establecido en la aplicación y no se puede modificar desde la consola. Que entienden que el acceso a recursos como la cámara o el micrófono siempre es necesario.” (el subrayado es nuestro). 9. (…): En las conclusiones del informe de actuaciones previas de investigación, se indica: “6. En la política de privacidad de “Kahoot” consta que recopilan automáticamente datos de la dirección MAC del dispositivo, así como la dirección IP y datos sobre la resolución de pantalla, sistema operativo, navegador, entre otros datos, incluso si se trata de menores. En el pasado se ha usado esta aplicación, aunque ya la han desinstalado. 7. Que en el caso del uso de la aplicación “Kahoot” en el pasado el centro escolar admite no haber seguido su protocolo de validación de aplicaciones. 8. En la política de privacidad de Santillana, facilitada a las familias, consta que recogen datos que pueden permitir identificar al usuario o hacerle identificable. Asimismo, consta que los menores de 14 años no deben utilizar sus servicios sin consentimientos de los padres o tutores. Consta instalada la aplicación Aula Virtual Santillana en los Chromebook de los alumnos. 9. En la política de privacidad de “SM Aprendizaje”, facilitada a las familias, consta que recogen datos de alumnos y padres como datos identificativos, de contacto, académicos, etc. Que también realizan un tratamiento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/34 información derivada de la navegación, uso y disfrute de los contenidos SM. También se podrán tratar datos obtenidos de fuentes externas. (…) 10. En relación a la app CGA Grupo Anaya, ésta consta bloqueada para los alumnos. Aporta contrato sobre protección de datos únicamente en relación con la confidencialidad y está fechado a 06/10/2023. Según manifiesto de parte de GRUPO ANAYA remitido por el centro escolar, la aplicación CGA Grupo Anaya no trata datos personales. Sin embargo, el centro escolar no justifica el permiso que tiene dicha aplicación para el uso de la cámara y micrófono de los Chromebooks. 11. La política de privacidad de EDELVIVES, facilitada a las familias, hace referencia al sitio web ***URL.3, no a la aplicación. Se comprueba que la app “+EDELVIVES” redirige a la página web ***URL.4 cuya política de privacidad exige disponer de consentimiento de los progenitores para el uso de la plataforma por menores. También consta que tratan datos identificativos y de contacto entre otros. (…)” (el subrayado es nuestro). 10. (…): El informe de actuaciones previas de investigación en sus conclusiones, destaca: “1. En relación con el consentimiento y con la información proporcionada a los alumnos y progenitores en relación con la instalación de las app “CGA Anaya” y “Kahoot” en los Chromebook de los alumnos, el centro escolar manifiesta que no es responsabilidad del centro escolar proporcionar esta información sino de las entidades que sean responsables de esas apps. (…) 3.El centro escolar tiene configurada para los alumnos la instalación forzada de un listado de aplicaciones de terceros de las que no ha acreditado cómo ha proporcionado información sobre protección de datos a los progenitores/alumnos ni cómo ha recogido los consentimientos para su instalación o para el acceso a recursos del dispositivo de esas aplicaciones. (…) 5. No se ha obtenido la justificación, para cada aplicación, sobre los permisos de acceso a recursos del dispositivo que hayan sido otorgados por parte del centro escolar. (…) 8. En la política de privacidad de Santillana, facilitada a las familias, consta que recogen datos que pueden permitir identificar al usuario o hacerle identificable. Asimismo, consta que los menores de 14 años no deben utilizar sus servicios sin consentimientos de los padres o tutores. Consta instalada la aplicación Aula Virtual Santillana en los Chromebook de los alumnos. 9. En la política de privacidad de “SM Aprendizaje”, facilitada a las familias, consta que recogen datos de alumnos y padres como datos identificativos, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/34 contacto, académicos, etc. Que también realizan un tratamiento de la información derivada de la navegación, uso y disfrute de los contenidos SM. También se podrán tratar datos obtenidos de fuentes externas. (…) Consta con permiso de instalación por parte de los alumnos la aplicación “SM Aprendizaje” en los Chromebook. 11. La política de privacidad de EDELVIVES, facilitada a las familias, hace referencia al sitio web ***URL.3 , no a la aplicación. Se comprueba que la app “+EDELVIVES” redirige a la página web ***URL.5 cuya política de privacidad exige disponer de consentimiento de los progenitores para el uso de la plataforma por menores. También consta que tratan datos identificativos y de contacto entre otros. Sin embargo, en el aviso legal de ***URL.5 consta que no está permitido el uso de la plataforma por menores de edad.” (el subrayado es nuestro). Asimismo, en dichas conclusiones se indica: “(…). 1.En relación a Google Workspace y a la cuenta de usuario de Google abierta por el colegio, existe indicio, según consta en la documentación de Google ubicada en ***URL.6 de que se proporciona al usuario una nota con “información importante” cuando éste hace login en su cuenta de Google administrada. Se desconoce el contenido de dicha nota y no ha sido aportada por el centro escolar ni éste ha hecho referencia a ella. Dicho artículo remite a su vez a información sobre protección de datos, aunque solo relativo a datos de servicio. La información sobre protección de datos en relación a Google Workspace consta en ***URL.7 pero no consta cómo dicha información ha sido facilitada por el centro escolar a las familias. 2.La única información que consta transmitida a las familias de parte del centro escolar es la carta a la que se ha hecho referencia. En dicha carta se hace referencia a políticas de privacidad exclusivamente mediante un enlace y en la que no constan información de privacidad sobre Google Workspace ni sobre algunas aplicaciones utilizadas por el centro escolar, como Kahoot. En dichas políticas de privacidad consta que recopilan datos personales y en algunos casos dichas políticas de privacidad solo hace referencia a la página web, no a aplicaciones, como en el caso de la política de privacidad de Edelvives y como parece también en el caso de ANAYA cuando hace referencia al principio de la política a “En la web, existen formularios de contacto que requieren que cumplimente sus datos personales en los campos establecidos a tal efecto” y en la sección “¿Cómo hemos obtenido sus datos?” no consta referencia hecha a aplicaciones. En la url ***URL.7facilitada por el centro escolar tampoco consta información sobre aplicaciones ni sobre Google Workspace. Según GOOGLE manifiesta en: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/34 ***URL.6, cada centro escolar es el más indicado para personalizar la información que comparten con los progenitores basado en el uso real que realiza el centro escolar de los servicios de Google.” (el subrayado es nuestro). 11. (…): En las conclusiones del informe de actuaciones previas de investigación se hace referencia a los contratos con distintas editoriales, aportados por el centro escolar y las fechas de los mismos (en diversos días de octubre de 2023): “El contrato aportado en relación a la plataforma “SM EDUCAMOS” está fechado a 02/10/2023. 10. En relación a la app CGA Grupo Anaya, ésta consta bloqueada para los alumnos. Aporta contrato sobre protección de datos únicamente en relación con la confidencialidad y está fechado a 06/10/2023. (…) El contrato aportado con EDITORIAL LUIS VIVES está fechado a 05/10/2023.” (el subrayado es nuestro). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida del artículo 13 del RGPD El artículo 13 del RGPD, “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”, señala lo siguiente: “Artículo 13 Información que deberá facilitarse cuando los datos personales se obtengan del interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/34 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)los datos de contacto del delegado de protección de datos, en su caso;
c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d)el derecho a presentar una reclamación ante una autoridad de control;
e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/34
f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” En cuanto al caso examinado en este expediente sancionador, la información obtenida durante las actuaciones previas de investigación reflejan que la información facilitada a los padres de los alumnos del B.B.B. fue insuficiente. 1. Información relativa al uso del dispositivo Chromebook y de Google Workspace for Education: En relación con el uso de dicho dispositivo, en la reclamación presentada por el padre de uno de los alumnos del centro escolar se pone de manifiesto dicha falta de información: “(…) Han incorporado el Chromebook en el aula. El Chromebook es propiedad nuestra dado que lo hemos comprado nosotros. El dispositivo así como la licencia del SO, por tanto, son de nuestra propiedad. Hasta hoy no hemos recibido ninguna información relativa a la recogida y tratamiento de datos que hace el colegio al "enrolar" el equipo en el dominio del colegio. Tampoco hemos firmado ninguna autorización ni nada similar. (…) El 14 de septiembre me puse en contacto con la tutora de mi hijo para mostrarle nuestra preocupación y le pido una solución. La respuesta que me reenvía es la siguiente: ''Las configuraciones establecidas para las APPs de uso escolar y para el perfil del alumno efectivamente están gestionadas por el colegio para su correcto funcionamiento y que no generen problemas. No hay otra manera de hacerlo pues hay funciones que deben estar habilitadas, para que funcione la aplicación. Estas configuraciones, solo funcionan desde el perfil ***PERFIL.1 del alumno. Si inician sesión desde otro perfil o como invitados pueden configurar a su antojo la privacidad del perfil con el que entran.'' Como no estoy conforme con la respuesta, el jueves 22 de septiembre escribo al DPD del colegio registrado en la AEPD y les digo entre otras cosas lo siguiente: Me gustaría que me facilitaran la mayor información posible sobre el tema y las dudas que les planteo, en relación a cómo está planificado la recogida de datos, responsable, cesión, etc. en relación al uso de los Chromebook ya que no hemos recibido apenas información al respecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/34 (…) A fecha 2 de octubre no tengo respuesta ni por parte del Delegado ni por la dirección del centro. Considero que existe un incumplimiento por parte del DPD respecto a informarme sobre la recogida de información y su tratamiento (si lo hace, o no lo hace, o si necesita más datos para enviarme esa información) ya que no he recibido ninguna respuesta.” Por otra parte, en las conclusiones del informe de actuaciones previas de investigación se indica: “El colegio informó a las familias de mediante un correo electrónico enviado (carta). En la carta se incluían instrucciones y enlaces a las políticas de privacidad de algunos proveedores de las aplicaciones, así como la referencia a la política de privacidad de Edelvives. En relación a Google Workspace for Education. 1. El colegio es responsable del tratamiento con motivo de la contratación de Google Workspace for Education. GOOGLE es encargado del tratamiento. Los datos tratados son Datos de cliente y Datos de servicio. 2. Según manifestaciones del centro escolar y la información publicada por GOOGLE en internet, éste último es un encargado del tratamiento en relación con Google Workspace for Education y el centro escolar es responsable del tratamiento” (el subrayado es nuestro). “ d. Según consta en los “Términos del Servicio de Google Workspace for Education”, el cliente es responsable de obtener los consentimientos y de proporcionar los avisos necesarios. Y concretamente, respecto al uso de “Productos adicionales” y “Ofertas de Terceros”, el cliente debe obtener el consentimiento parental para los usuarios menores de 18 años en la medida que lo requiera la legislación aplicable. De igual manera en: ***URL.6 se insiste en que los progenitores obtengan el consentimiento para el uso de los servicios adicionales para el caso de menores de 18 años” (el subrayado es nuestro). Asimismo, en las conclusiones del informe de actuaciones previas de investigación se destaca: “En relación con la información proporcionada por el centro escolar. En relación a Google Workspace y a la cuenta de usuario de Google abierta por el colegio, existe indicio, según consta en la documentación de Google ubicada en ***URL.6 de que se proporciona al usuario una nota con “información importante” cuando éste hace login en su cuenta de Google administrada. Se desconoce el contenido de dicha nota y no ha sido aportada por el centro escolar ni éste ha hecho referencia a ella. Dicho artículo remite a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/34 su vez a información sobre protección de datos, aunque solo relativo a datos de servicio. La información sobre protección de datos en relación a Google Workspace consta en ***URL.7 pero no consta cómo dicha información ha sido facilitada por el centro escolar a las familias. 2.La única información que consta transmitida a las familias de parte del centro escolar es la carta a la que se ha hecho referencia. En dicha carta se hace referencia a políticas de privacidad exclusivamente mediante un enlace y en la que no constan información de privacidad sobre Google Workspace(…) En la url ***URL.8facilitada por el centro escolar tampoco consta información sobre aplicaciones ni sobre Google Workspace. Según GOOGLE manifiesta en: ***URL.6 , cada centro escolar es el más indicado para personalizar la información que comparten con los progenitores basado en el uso real que realiza el centro escolar de los servicios de Google.” (el subrayado es nuestro). En conclusión, no consta que el colegio facilitara a los padres de los alumnos información relativa al tratamiento de datos que realizaba Google conforme a lo dispuesto en el artículo 13 del RGPD, como consecuencia del uso de los dispositivos Chromebook por parte de sus hijos, alumnos del colegio reclamado. 2. Información relativa al uso de diversas aplicaciones educativas: En relación con dichas aplicaciones educativas, en las conclusiones del informe de actuaciones previas de investigación de 3 de noviembre de 2023 se indica: “1. En relación con el consentimiento y con la información proporcionada a los alumnos y progenitores en relación con la instalación de las app “CGA Anaya” y “Kahoot” en los Chromebook de los alumnos, el centro escolar manifiesta que no es responsabilidad del centro escolar proporcionar esta información sino de las entidades que sean responsables de esas apps. (…) 3.El centro escolar tiene configurada para los alumnos la instalación forzada de un listado de aplicaciones de terceros de las que no ha acreditado cómo ha proporcionado información sobre protección de datos a los progenitores/alumnos ni cómo ha recogido los consentimientos para su instalación o para el acceso a recursos del dispositivo de esas aplicaciones. (…) 5. No se ha obtenido la justificación, para cada aplicación, sobre los permisos de acceso a recursos del dispositivo que hayan sido otorgados por parte del centro escolar. (…) 8. En la política de privacidad de Santillana, facilitada a las familias, consta que recogen datos que pueden permitir identificar al usuario o hacerle identificable. Asimismo, consta que los menores de 14 años no deben utilizar sus servicios sin consentimientos de los padres o tutores. Consta instalada la aplicación Aula Virtual Santillana en los Chromebook de los alumnos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/34 9. En la política de privacidad de “SM Aprendizaje”, facilitada a las familias, consta que recogen datos de alumnos y padres como datos identificativos, de contacto, académicos, etc. Que también realizan un tratamiento de la información derivada de la navegación, uso y disfrute de los contenidos SM. También se podrán tratar datos obtenidos de fuentes externas. (…) Consta con permiso de instalación por parte de los alumnos la aplicación “SM Aprendizaje” en los Chromebook. 11. La política de privacidad de EDELVIVES, facilitada a las familias, hace referencia al sitio web ***URL.3 , no a la aplicación. Se comprueba que la app “+EDELVIVES” redirige a la página web ***URL.5 cuya política de privacidad exige disponer de consentimiento de los progenitores para el uso de la plataforma por menores. También consta que tratan datos identificativos y de contacto entre otros. Sin embargo, en el aviso legal de ***URL.5 consta que no está permitido el uso de la plataforma por menores de edad.” (el subrayado es nuestro). Asimismo, en el informe de actuaciones previas de investigación se destaca: “En relación con la información proporcionada por el centro escolar. (…) 2. La única información que consta transmitida a las familias de parte del centro escolar es la carta a la que se ha hecho referencia. En dicha carta se hace referencia a políticas de privacidad exclusivamente mediante un enlace y en la que no constan información de privacidad sobre Google Workspace ni sobre algunas aplicaciones utilizadas por el centro escolar, como Kahoot. En dichas políticas de privacidad consta que recopilan datos personales y en algunos casos dichas políticas de privacidad solo hace referencia a la página web, no a aplicaciones, como en el caso de la política de privacidad de Edelvives y como parece también en el caso de ANAYA cuando hace referencia al principio de la política a “En la web, existen formularios de contacto que requieren que cumplimente sus datos personales en los campos establecidos a tal efecto” y en la sección “¿Cómo hemos obtenido sus datos?” no consta referencia hecha a aplicaciones. En la url ***URL.7 facilitada por el centro escolar tampoco consta información sobre aplicaciones (…).”(el subrayado es nuestro) En consecuencia, en relación con las aplicaciones educativas, tampoco hay constancia de que el colegio aportara información suficiente y adecuada a los padres de los alumnos. No se aportó información en relación con la aplicación Kahoot y en otros casos, se facilitó un enlace de la página web de la editorial, pero no de las aplicaciones que iban a ser utilizadas por el centro escolar. De conformidad con las evidencias de las que se dispone en este acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/34 considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al B.B.B., por vulneración del artículo 13 del RGPD. III Tipificación y calificación de la infracción del artículo 13 del RGPD De confirmarse, la citada infracción del artículo 13 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.” IV Propuesta de sanción de la infracción del artículo 13 del RGPD El artículo 83. 1 del RGPD, “Condiciones generales para la imposición de multas administrativas”, prevé: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/34 Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/34 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores.
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En una valoración inicial, se estima concurrente el siguiente criterio de graduación:  Agravante: - Artículo 76.2
f)de la LOPDGDD: La afectación a los derechos de los menores: la falta de información sobre los datos tratados, a través de Google Workspace for Education y de las distintas aplicaciones educativas, afecta a datos de carácter personal de los alumnos del Colegio Vera-Cruz Ikastetxea School, que en su gran mayoría son menores de edad. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar inicialmente una sanción de 5000,00 € (cinco mil euros). V Obligación incumplida en relación con el artículo 28 del RGPD El Artículo 28, “Encargado del tratamiento,” del RGPD establece: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías sufiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/34 cientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
c)tomará todas las medidas necesarias de conformidad con el artículo 32;
d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado de tratamiento;
e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/34
h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y meC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/34 dios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.” En relación con los contratos celebrados entre el B.B.B.y varias editoriales cuyas aplicaciones educativas son utilizadas por dicho colegio y sus alumnos, las conclusiones del informe de actuaciones previas de investigación de 3 de noviembre de 2023 se hace referencia a varios contratos de encargo de tratamiento aportados por el centro escolar en contestación al requerimiento del Inspector de fecha 4 de octubre de 2023 (el contrato del Grupo Anaya hace referencia exclusivamente a la confidencialidad) : “El contrato aportado en relación a la plataforma “SM EDUCAMOS” está fechado a 02/10/2023. 10. En relación a la app CGA Grupo Anaya, ésta consta bloqueada para los alumnos. Aporta contrato sobre protección de datos únicamente en relación con la confidencialidad y está fechado a 06/10/2023. (…) El contrato aportado con EDITORIAL LUIS VIVES está fechado a 05/10/2023.” (el subrayado es nuestro). El contrato de Kluppy, S.L en calidad de encargado de tratamiento es de fecha 4 de octubre de 2023. Como puede observarse, los contratos aportados por el centro escolar tienen fecha de octubre de 2023. Por tanto, se han celebrado con posterioridad el requerimiento del Inspector de fecha 4 de octubre de 2023. Por otra parte, llama la atención que el contrato con EDITORIAL LUIS VIVES, dicha editorial figure como responsable del tratamiento y no como encargada del mismo (como sucede en los otros casos), así como el hecho de que esté firmado únicamente por la persona representante del colegio. Por todo ello, de conformidad con las evidencias de las que se dispone en este acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción consistente en la falta de un contrato entre el responsable y el encargado del tratamiento, tal y como dispone el artículo 28 del RGPD, imputable al B.B.B.del RGPD, lo que supondría una vulneración del mencionado artículo. VI Tipificación y calificación de la infracción del artículo 28 del RGPD De confirmarse, la citada infracción del artículo 28 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/34 tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679.” VII Propuesta de sanción por la infracción del artículo 28 del RGPD El artículo 83. 1,“Condiciones generales para la imposición de multas administrativas” del RGPD, prevé: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/34
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/34
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En una valoración inicial, se estima concurrente el siguiente criterio de graduación:  Agravante: - Artículo 76.2
f)de la LOPDGDD: La afectación a los derechos de los menores: teniendo en cuenta que la gran mayoría de los alumnos del B.B.B. son menores de edad, dicho Centro Educativo debería haber adoptado todas las medidas necesarias para asegurar que el tratamiento de los datos personales de dichos menores se llevaba a cabo con todas las garantías. En este sentido, eran imprescindibles los correspondientes contratos con los encargados del tratamiento, en los que se contemplaran las obligaciones de estos últimos. Sin embargo, el centro educativo únicamente procedió a la celebración apresurada de dichos contratos con las editoriales que proveen las distintas aplicaciones educativas, tras haber recibido un requerimiento del Inspector solicitando una copia de los mismos. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de 5000,00 € (cinco mil euros). VIII Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Dichas medidas, cuyo cumplimiento debería acreditarse en el plazo de seis meses, consistirían en: - Informar a los padres de los alumnos del colegio de los tratamientos de datos personales que se están realizando por parte de Google y de las distintas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/34 editoriales, recabando el consentimiento de los mismos, en aquellos casos en los que resulte necesario. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a B.B.B., con NIF ***NIF.1, por: -La presunta infracción del Artículo 13 del RGPD, tipificada en el artículo 83.5 , y calificada como muy grave a efectos de prescripción en el artículo 72.1
h)de la LOPDGDD. -La presunta infracción del Artículo 28 del RGPD, tipificada en el artículo 83.4 , y calificada como grave a efectos de prescripción en el artículo 73
k)de la LOPDGDD. SEGUNDO: NOMBRAR como instructor/a a C.C.C. y, como secretario/a, a D.D.D., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador, en particular, el informe de actuaciones previas de investigación de fecha 3 de noviembre de 2023. CUARTO: QUE a los efectos previstos en el art. 64.2
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción: - Por la supuesta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 5.000,00€ (cinco mil euros). - Por la supuesta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 5.000,00€ (cinco mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/34 QUINTO: NOTIFICAR el presente acuerdo a B.B.B., con NIF ***NIF.1, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00€ (ocho mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00€ (ocho mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000,00€ (seis mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000,00€ (ocho mil euros) y 6.000,00€ (seis mil euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/34 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 20 de diciembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/34 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202212248, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a B.B.B. para que en el plazo de seis meses notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/34 Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.