← España

PS-00528-2021

1/14  Expediente N.º: PS/00528/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte RECLAMANTE) con fecha 6 de noviembre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERIA DE EDUCACION EN MARRUECOS RABAT con NIF S2818065A (en adelante, la CONSEJERÍA). Los motivos en que basa la reclamación son los siguientes: Que el día 13 de abril de 2020, (…), remitió un correo electrónico a la dirección de la Consejera de Educación de la Embajada de España en Marruecos. El citado correo electrónico se imprimió, formalizándose registro físico al que se le dio número de entrada. El mismo se fotografió y fue difundido por la Consejería en el grupo de Whatsapp de los directores de los centros educativos de Marruecos, los que, a su vez, lo difundieron a los chats de los colegios. Asimismo, manifiesta que la misma imagen del correo electrónico fue filtrada, llegando a la periodista B.B.B., quien a través de su cuenta de twitter la publica íntegramente el 16 de abril de 2020. Considera que todo ello ha supuesto que se ha dado a conocer a terceros no autorizados información privada, como son las razones y opiniones que ella reflejó en el correo electrónico, así como su dirección de correo electrónico personal. Aporta junto con la reclamación: - Imagen del correo electrónico difundido - Captura de pantalla de la publicación en Twitter. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la CONSEJERÍA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 El traslado se remitió con fecha 28/12/2020, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada/correo certificado/ GEISER (Gestión Integrada de Servicios de Registro) y se devolvió por "expirado"; reiterándose el traslado por correo certificado, se notifica el día 8/04/2021 No se recibió respuesta a este escrito de traslado. TERCERO: Con fecha 15/04/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte RECLAMANTE. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de estas actuaciones previas de investigación, se remitió a la Consejería escrito de traslado de la reclamación y solicitud de información, de 28 de abril de 2021, el cual fue notificado electrónicamente. Obra en el expediente Certificado emitido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT-RCM, notificación de la AEPD dirigida a la Consejería a través de ese medio, siendo la fecha de puesta a disposición en la sede electrónica del organismo el 28 de abril de 2021 y la fecha de rechazo automático el 9 de mayo de 2021, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Posteriormente, se envía nuevo escrito de solicitud de información, de fecha 28 de junio de 2021, el cual fue notificado electrónicamente y que fue recepcionado por la Consejería ese mismo día, tal y como consta en el acuse de recibo que obra en el expediente. La Consejería contestó al requerimiento mediante escrito presentado en fecha 12 de julio de 2021. De las actuaciones previas de investigación practicadas, se ha tenido conocimiento de los siguientes extremos: Se ha comprobado con fecha 28 de abril de 2021 la existencia en Twitter de la publicación de la carta de dimisión de la reclamante, realizada por parte de la periodista citada en la reclamación. Se comprueba que consta como fecha de la publicación el 16 de abril de 2020. Solicitada información y documentación a la CONSEJERÍA, sus representantes manifiestan lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 - La reclamante ostentaba un cargo público (…) cuyas manifestaciones y actuaciones en el ejercicio de sus funciones producían efectos en terceros y, en consecuencia, eran objeto de publicidad para conocimiento de todos los funcionarios públicos españoles destinados en Marruecos. - El correo por el que informaba de su dimisión de sus cargos fue un acto administrativo de trascendencia notoria, al modificar la composición de los miembros y representantes de los funcionarios destinados en Marruecos, tratándose por tanto de un acto público y no privado. - Al no tratarse de un correo personal, fue registrado como entrada en la citada Consejería de educación y puesto en conocimiento de los superiores educativos y del Servicio de Inspección del Ministerio de Educación y Formación Profesional (en adelante MEFP). - De la citada Consejería dependen once centros docentes ubicados en ocho ciudades marroquíes, teniendo la Consejería las competencias de informar a todo el personal de dichos centros docentes, a través de sus directores, de cualquier publicación, circunstancia o medida que les afecte. El profesorado asciende a más de 350 docentes. - (…). - Cabe entender la difusión del correo electrónico objeto del expediente como deber de información al personal dependiente, especialmente con la complicada situación generada por la pandemia de COVID-19 y la declaración en fecha 16 de marzo de 2020 del estado de alarma en Marruecos, que obligó a adoptar medidas urgentísimas para garantizar la continuidad pedagógica y la información y comunicación con la comunidad educativa, entre otros aspectos. Para ello se creó también el grupo de Whatsapp institucional con las directoras y directores de los centros educativos. - (…) para gestionar el contexto de excepcionalidad que surge como consecuencia de la pandemia COVID-19 y los estados de emergencia sanitaria que, debido a la misma, se declaran en España y en Marruecos. - Entre las funciones de dicho Gabinete estaban las de supervisar las diversas medidas integradas en el marco de la prevención y seguimiento del virus, estableciendo los canales de comunicación con los responsables de los centros y con las autoridades competentes en el ámbito educativo y sanitario de ambos países. - Uno de los principios de la Consejería fue - y sigue siendo- la máxima transparencia y difusión para conocimiento de la comunidad educativa de las medidas tomadas en aras de la participación, construcción conjunta y respeto mutuo entre todos los miembros de esta comunidad, especialmente en momentos tan difíciles y complejos organizativamente como los primeros meses de la pandemia. En ese sentido, desde la Consejería de Educación se creó el anteriormente referido grupo de WhatsApp C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 institucional destinado a los Directores de los centros docentes, donde se enviaba tanto documentación institucional de la Consejería como del Ministerio de Educación Nacional marroquí, en cualquier día y hora. - (…). - La noticia difundida se realiza dentro de un grupo de Whatsapp constituido ad hoc desde la Consejería para promover la comunicación inmediata y la transparencia informativa de cualquier asunto que, directa o indirectamente, afectase al contexto excepcional generado por la pandemia. - El citado grupo estaba integrado por los miembros del Gabinete de Prevención, Vigilancia y Seguimiento de la Consejería y las once directoras y directores de los centros docentes de ella dependientes, no solo en cuanto máximos representantes de la Administración en los mismos, sino también como jefas y jefes de todo su personal docente. (…). - Por lo que se refiere a la publicación en Twitter por la periodista, la Consejería indica no tener conocimiento de esa circunstancia. Solicitada información sobre si los empleados suscriben un compromiso de confidencialidad para el desempeño de sus funciones en el organismo, así como copia del compromiso de confidencialidad suscrito en su caso por el asesor que realizó la difusión, o acreditación de medidas equivalentes, los representantes del reclamado han manifestado que, si bien no se suscribe como tal un compromiso de confidencialidad por parte de los empleados, el conjunto de funcionarios y resto de empleados públicos, por el mero hecho de haber sido nombrados o haber firmado un contrato laboral, acatan el deber de sigilo necesario para el desempeño de sus funciones, no teniendo conocimiento el reclamado de que haya trascendido información confidencial por parte de sus empleados públicos. Indican que la difusión de la noticia objeto de la denuncia se realiza, no sólo presuponiéndose el deber de confidencialidad y el de respeto a los principios éticos y de conducta que afecta a los empleados públicos, docentes y no docentes que integraban dicho grupo, sino teniendo en cuenta la relevancia de la misma, al ser la Junta de Personal un interlocutor fundamental entre la Consejería y el personal docente y no docente de su ámbito de gestión. Añaden que la propia Junta de Personal, (…), ha reivindicado en reiteradas ocasiones a la Consejería la máxima transparencia informativa y diálogo en todos aquellos asuntos que pudieran afectar al personal docente y no docente. A este respecto, indican que aportan copia de un correo enviado por la reclamante en fecha 22 de marzo a distintos miembros de la comunidad educativa (con destinatarios visibles y correos privados), por el que remitían el documento enviado a la Consejería y a la Embajada pidiendo contacto permanente y transparencia. No se encuentra dicho correo entre la documentación aportada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Se ha solicitado copia de la información e instrucciones giradas al personal con relación a la protección de los datos personales que manejan así como las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia en su caso, ante lo cual los representantes del reclamado han manifestado que se ha dirigido a los centros y comunidad educativa toda la información y documentación remitida por el Delegado de Protección de Datos del MEFP y se han facilitado links y datos de contacto de organismos competentes en la materia. QUINTO: Con fecha 27 de enero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la CONSEJERIA DE EDUCACION EN MARRUECOS - RABAT, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

  1. f)y del artículo 32 del RGPD, tipificadas respectivamente en el artículo 83.5 y 83.4 del RGPD. El acuerdo de inicio fue notificado electrónicamente a la CONSEJERÍA. Así lo exige el artículo 14.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) conforme al cual “En todo caso estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:
  2. a)Las personas jurídicas”. Obra en el expediente Certificado emitido por el Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM, que deja constancia del envío del acuerdo de inicio, notificación de la AEPD dirigida a la CONSEJERÍA, a través de ese medio siendo la fecha de puesta a disposición en la sede electrónica del organismo el 31 de enero de 2022 y la fecha de rechazo automático el 11 de febrero de 2022. El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” (El subrayado es de la AEPD). Añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP establecen, respectivamente, que: Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fidedigna del remitente y del destinatario de la misma. La acreditación de la notificación efectuadas se incorporará al expediente. SEXTO: El artículo 73.1 de la LPCAP determina que el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. El artículo 64.2.
  3. f)LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD). En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El día 13 de abril de 2020, (…), la reclamante remitió un correo electrónico a la dirección de la Consejera de Educación de la Embajada de España en Marruecos. SEGUNDO: El citado correo electrónico se imprimió, formalizándose registro físico al que se le dio número de entrada. TERCERO: Dicho correo se fotografió y fue difundido por la CONSEJERÍA en el grupo de Whatsapp de los directores de los centros educativos de Marruecos, los que, a su vez, lo difundieron a los chats de los colegios. CUARTO: Aparte de las razones y opiniones que ella reflejó en el correo electrónico, aparece también su dirección de correo electrónico personal. QUINTO: El 16 de abril de 2020 se publica íntegramente la imagen de dicha carta en la cuenta de twitter de la periodista B.B.B. SEXTO: La reclamada reconoce, en relación con el correo electrónico remitido por la reclamante, que se sacó una imagen del mismo, que fue registrado como entrada en la Consejería de educación y compartido en el grupo de Whatsapp de los directores de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 los centros educativos de Marruecos por entender que se trata de un acto administrativo y, por tanto, de carácter público y no privado. FUNDAMENTOS DE DERECHO I Competencia y normativa de aplicación De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en artículo 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la CONSEJERÍA realiza, entre otros tratamientos, la recogida, registro, utilización y conservación de los siguientes datos personales de personas físicas, tales como: nombre, dirección de correo electrónico, entre otros. La CONSEJERÍA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 haberse expuesto de forma indebida, a través de mensajes de Whatsapp, datos personales a un número indeterminado de personas. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
  5. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Artículo 5.1.
  6. f)del RGPD Se imputa a la CONSEJERÍA la comisión de una infracción por vulneración del Artículo 5.1.
  7. f)del RGPD, que señala que: “1. Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El artículo 5 de la LOPDGDD, Deber de confidencialidad, señala lo siguiente: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  9. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3.Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. En el presente caso, se ha vulnerado el principio de confidencialidad pues consta que se ha difundido, a través de mensajes de Whatsapp, un documento de la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 reclamante, exponiéndose de forma indebida datos personales contenidos en el mismo a un número indeterminado de personas, posibilitándose, además, su conocimiento a terceros no autorizados (periodista). IV Tipificación de la infracción del artículo 5.1.
  10. f)del RGPD La citada infracción del artículo 5.1.
  11. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  12. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” En el presente caso, concurren las circunstancias infractoras previstas en los preceptos indicados. V Sanción por la infracción del artículo 5.1.
  14. f)del RGPD El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  15. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por tanto, confirmada la infracción del artículo 5.1.
  16. f)del RGPD, corresponde sancionar con un apercibimiento a la CONSEJERÍA VI Artículo 32 del RGPD Se imputa a la CONSEJERÍA la comisión de una infracción por vulneración del Artículo 32 del RGPD, que señala que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  17. a)la seudonimización y el cifrado de datos personales;
  18. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  19. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  20. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, los datos no han sido tratados de forma que se haya garantizado su confidencialidad. Así, se procedió a convertir un correo electrónico en una imagen y su difusión tal cual, a través de whatsapp y sin anonimizar datos que no procedía comunicar, a un número indeterminado de personas -personal de la CONSEJERÍA y Centros Docentes-, con el convencimiento de que se obraba correctamente y que podían divulgarlo de esa manera, terminando por ser comunicados, además, a una persona que no pertenece a dicho personal (periodista). Ello revela una inadecuada concienciación/formación del personal sobre cómo deben tratarse los datos personales de manera que se garantice la confidencialidad de los mismos, lo que refleja una falta de medidas organizativas apropiadas para ello. VII Tipificación de la infracción del artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  21. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  22. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679 VIII Sanción por la infracción del artículo 32 del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14
  23. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por tanto, confirmada la infracción del artículo 32 del RGPD, corresponde sancionar con un apercibimiento a la CONSEJERÍA Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CONSEJERIA DE EDUCACION EN MARRUECOS - RABAT, con NIF S2818065A, por una infracción del Artículo 5.1.
  24. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. SEGUNDO: IMPONER a CONSEJERIA DE EDUCACION EN MARRUECOS RABAT, con NIF S2818065A, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de APERCIBIMIENTO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 TERCERO: NOTIFICAR la presente resolución a CONSEJERIA DE EDUCACION EN MARRUECOS - RABAT. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.