1/7 Procedimiento nº.: E/00110/2019 ASUNTO: Recurso de Reposición Nº RR/00525/2019 Examinado el recurso de reposición interpuesto por A.A.A (recurrente) contra la resolución dictada por la directora de la Agencia Española de Protección de Datos en el expediente E/00110/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 13/06/2019, se dictó resolución por la directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00110/2019, procediéndose al archivo de actuaciones. Dicha resolución, que fue notificada al recurrente en fecha 14/06/2019 según aviso de recibo que figura en el expediente. SEGUNDO: La recurrente ha presentado en esta Agencia, en fecha 14/07/2019, recurso de reposición, fundamentándolo básicamente en: 1) Reitera la exposición por parte del Colegio ***COLEGIO.1 de los datos de su hija Manifiesta que se han mantenido durante más de un año y que se solicitó la eliminación de las listas provisionales del blog del centro educativo Colegio ***COLEGIO.1 el 11/06/2018. Entre los datos que se expusieron figuraban los de nivel de renta y de salud de la menor. 2) Explica las circunstancias acontecidas con el secretario y directora del Centro sobre su solicitud. Indica que el 28/05/2018 a las 10:33 mantuvo una discusión telefónica con el secretario del Centro, siendo acusada de haber falseado la solicitud. Indica que: “Según se deduce de la resolución del Secretario General de Educación de 13/03/2019, a las 11:13 del mismo 28/05”, “por el secretario del Centro se procedió a modificar la solicitud, es decir 31 minutos después de finalizar la discusión entre ella y el secretario”. Exige que dicha actuación debe analizarse con la “rigurosidad debida”. La recurrente señala que recibió un trato degradante y hostigamiento por parte de la directora y del secretario del Centro, añadiendo acontecimientos del momento de formalizar la matrícula. Aporta en doc. 2 una copia de llamada telefónica entrante de CP ***COLEGIO.1 de 28/05/2018 a 10:33. Como documento 4 aporta copia de escrito dirigido a la Dirección Provincial de Educación referido al proceso de matriculación que llevó a cabo el 5 y 13/07/2018 en el que entre otras circunstancias, refiere el trato recibido. Indica que “debe procederse a la investigación de la inacción de la Inspección de Educación” ante las reiteradas denuncias de la reclamante, “que ha mostrado un absoluto desprecio por los derechos de esta parte.” 3) La reclamante interpuso un recurso contra el escrito de la Secretaria General de Educación de 13/03/2019 que le daba respuesta a su reclamación formulada ante esta AEPD, y en dicho proceso no se le dio audiencia, y no se analizan los hechos y el derecho aplicable. 4) Manifiesta que “como consecuencia de la denuncia admitida ante esa AEPD”, a requerimiento de esta, la Consejería procedió a eliminar del blog la publicación, no obstante, en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 actualidad aunque se ha eliminado el listado que interesa a esta parte, se mantiene la publicación del resto de listados en los servidores de la Consejería de Educación. Señala que las medidas adoptas para que la infracción no se repita no se han adoptado, indicando en doc 3, dos direcciones URL del Centro ***COLEGIO.1 que permanecen. Doc 3 consiste en una hoja de “Listado definitivo de admisión procedimiento general de admisión Año 2012/2013. Curso tres años. vía ordinaria del CEIP ***COLEGIO.1”, con el logo de Consejería. En dicho listado de tres páginas, ordenado por orden de puntuación figuran los alumnos solicitantes por apellidos y nombres, con los puntos asignados “por aplicación de baremo”, del 1 al 7, el total y la nota de admitidos “SI”. Las páginas son: ***URL.1 ***URL.2 Introduciendo la dirección entera en el buscador, en el primer caso aparece directamente en pdf un listado de admitidos 2012/2013 con 59 personas y sus baremaciones detalladas. Del CEIP ***COLEGIO.1. En la segunda dirección no se obtiene resultado alguno introduciéndola en el buscador. También aporta sin indicar el link un tercer documento, en pdf con el listado de admisión del mismo centro del curso 2017-2018, tres hojas, de igual contenido que del curso 2012-2013. Sobre estas páginas, nada se indicó en la reclamación, por lo que no se puede valorar su aportación excepto el posible traslado a la reclamada. 5) Reitera que se denunció ante la AEPD que “por el resto de los interesados en el procedimiento administrativo el acceso a datos que no eran objeto de valoración en el procedimiento. Concretamente se permitió el acceso a las declaraciones de IRPF completas a determinadas personas, cuando solo se evaluaban dos casillas”. Indica que “la Agencia no se ha pronunciado sobre el acceso por interesados al contenido íntegro de las declaraciones de IRPF presentadas por los Administrados, cuando solo era objeto de valoración de dos de las casillas de la renta de la unidad familiar” 6) Señala que en base al artículo 19 de la LOPD, “La administración tiene la obligación de iniciar un procedimiento de responsabilidad patrimonial de oficio que debe limitarse a la cuantificación del daño causado a esta parte” por los causados a ella y a su hija, pues se han “vulnerado su derecho a la intimidad, sobreexponiendo los datos de una menor de edad”. 7) Añade que la “Administración no ha corregido disciplinariamente a los dos empleados públicos autores de los hechos lesivos”, “El secretario del Centro que modificó la solicitud”, y la “directora del Centro que publicitó las listas en el blog del centro”. 8) Sobre los términos de la resolución de que “La reclamada ha adoptado las medidas para que la infracción no se repita… y que se atiende a la reclamante con lo sucedido y medidas adoptadas”, “esta parte no se siente atendida, pues no se han adoptado”. “no se ha disciplinado a los responsables, ni se ha indemnizado a esta parte por los daños sufridos” “y aun entendida cometida la infracción, no se ha declarado como violación de seguridad” al responsable del tratamiento y los empleados a su cargo permanecen indemnes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 9) Deduce que de la admisión a trámite de la reclamación, era conocedora la reclamada, y que “no carece manifiestamente de fundamento” Solicita que se inicie procedimiento sancionador, indemnizar por estar un año expuestos sus datos y los de su hija en internet , datos sobre renta y salud. Adjunta en doc. 1, copia de escrito firmado por Presidenta de Comisión de escolarización de 17/09/2018 dirigido a la AEAT solicitando certificado de ingresos del año 2016 de la reclamante y el padre de la hija de ambos para la tramitación de la solicitud de procedimiento de admisión de alumnado. Del curso 2018-19, “por ser preceptivo para resolver un recurso de alzada”. Como respuesta un escrito de la AEAT de 19/09/2018. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En el archivo que se recurre se contenía como más destacable y relacionado con las alegaciones: “Manifiesta la reclamante que con fecha 18/05/2018, se hace pública la lista provisional que se publica en los tablones oficiales del centro donde presentó su solicitud, CEIP ***COLEGIO.1, que lo publica también, “sin su consentimiento en Internet” ***URL.3 Aporta: 1-Un escrito sellado de entrada el 11/06/2018 “dirigido a la presidenta de la Comisión de escolarización de la consejería de Educación y Empleo de la Junta de Extremadura”, que solo contiene una página de 4, en el que refiere distintos documentos que le han pedido en más de una ocasión para completar su solicitud, y que subsanó e indica que el 18/05/2018 se ha publicado el listado provisional con la puntuación total de su hija (sin desglosar). “Manifiesta finalmente:
- a)La Consejería de Educación no atendió su solicitud de cancelación y rectificación de datos que cursó el 11/06.
- b)Utilizó los datos personales obrantes en su solicitud y en su expediente para publicarlos en Internet, añadiendo que introduciendo el nombre y los apellidos de su hija, automáticamente te dirigen a estos contenidos. No aporta acreditación de este hecho. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7
- c)No han seguido los principios y garantías de la ley orgánica de protección de datos al publicar en internet datos de carácter personal de menores haciendo referencia a puntuaciones por intolerancias alimentarias, renta familiar, discapacidad e incluso la situación escolar de sus hermanos, también menores.
- d)En el procedimiento administrativo todos los participantes han tenido acceso a los de otros solicitantes, accediendo a datos sensibles como sanitarios o de intolerancias. “ III Se debe recordar que en el escrito de 11/06/2018 dirigido a la Comisión de escolarización se pedía que “Se tenga por informado el Centro de su obligación de retirar la publicación de la lista de admitidos y excluidos de su blog, de conformidad con lo establecido en materia de protección de datos vigente”, referida entonces a la publicación provisional en la que todavía figuraba exclusivamente la relación total de puntos sin desglosar, ya que el cambio se produjo a partir de 28/05/2018 y la publicación del listado provisional fue el 18/05/2018, en los tablones oficiales del centro donde presentó su solicitud, CEIP ***COLEGIO.1. Es decir, se produce una publicación en blog del centro mencionado con los mismos datos que los del tablón, esto es, sin desglosar puntuación, con nombre y apellidos, cuando solo se preveía la exposición en el tablón del centro como modo de anunciar los listados. En dicho blog, se exponía nombre y apellidos. Como regla general, para el mismo tipo de procedimiento no suele ser inhabitual que en boletines oficiales se ordene la publicación del proceso, debiendo figurar como identificación de los menores, al menos su nombre y apellidos. Como primer aspecto se debe indicar que en el recurso que ahora se resuelve solo se pueden revisar los hechos en base a la documentación que se aportaba junto a la denuncia referido al caso de la hija de la reclamante, no todo el proceso de admisión para todos los alumnos como expresa la reclamación. En cuanto a las manifestaciones sin soporte documental que sobre las que no se pronuncia el acuerdo de archivo no pueden ser en fase de recurso objeto de subsanación, ampliación con documentación nueva o distinta, ya que en la reclamación nada se ha presentado al respecto. En este sentido, la reclamante en su reclamación: - En cuanto a datos de salud en el impreso de solicitud no figuraba ninguna especificidad de la hija de la reclamante, figurando en la solicitud la equis en el apartado de proximidad familiar y en el de que no otorgaba la consulta a la AEAT a efectos de verificación de rentas. El acuerdo no se pronuncia sobre vulneración del deber de secreto de datos de salud porque no se acredita con la documentación aportada que se produjera dicha circunstancia. - Sobre la manifestación de que en el procedimiento administrativo de la admisión todos los participantes han tenido acceso a los datos de otros solicitantes, accediendo a datos sensibles como sanitarios o de intolerancias, o de la renta, sin aportar concreción de dicho extremos, el acuerdo al final del fundamento de derecho segundo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “Se debe señalar que al sistema de petición de solicitud de admisión de plaza escolar en centros sostenidos con fondos públicos se somete al principio de concurrencia competitiva. Este sistema se caracteriza porque al existir un número determinado de vacantes a ocupar y un número de peticiones que supera al de vacantes, la prelación en las vacantes a asignar viene por un lado predeterminada por la puntuación que se obtenga en valoración de los méritos que regula el proceso. Ello supone que todo el proceso para los peticionarios ha de estar sometido a los principios de igualdad, transparencia, y publicidad, estableciéndose mecanismos de información y publicidad mediante diferentes canales, en especial a través de internet cuando así se contemple en la convocatoria y protegiendo que los accesos lo sean solo a los interesados, pero también si se desea, con acceso físico a documentos para el exclusivo fin de acreditar que se ha valorado correctamente y según lo preestablecido y siempre que esté en discusión el presunto mejor derecho de otro peticionario.” -En el acuerdo de archivo se indica “Sobre la manifestación de que los datos de su hija en relación con su solicitud aparecen indexados en motores de búsqueda de internet, dicha manifestación no queda acreditada.” Ello es consecuencia de que no se aporta acreditación de dicha circunstancia. IV En cuanto a la manifestación de que los datos del listado sin desglosar de la solicitud de su hija han figurado en el tablón oficial del Centro y en el blog del mismo más de un año, además de no ser alegado en la reclamación ni haberse aportado documento que apunte en ese sentido, se ha de tener en cuenta la cronología del proceso y el contenido de lo expuesto en el blog. La reclamada manifestó y así consta en el archivo, sobre sobre el listado provisional de admisión que no llevaba datos desglosados: “Sobre la cancelación pedida en escrito de 11/06/2018 la publicación de listados de admisión de alumnos se realiza de manera habitual como cauce de información a la comunidad educativa, la comisión entendiendo que esta actuación como correcta y conforme a la legalidad, no ordenó la retirada del portal web del centro”. Si bien esta Admón. habida cuenta de que esta publicación realizada desde el centro en su portal web tiene carácter extraoficial, y dado el interés en la aportación de los datos de los menores, se ha procedido a la retirada de la publicación de dicha información en la red, por lo que ya no se pude acceder a dichos listados”. En el resuelve del acuerdo que lleva fecha de 4/11/2018, se comunica a la reclamada. “. En otro apartado se recoge que “Menciona que desde el 23/11/2018 no existe información alguna en el portal web del CEIP ***COLEGIO.1.” La publicación del listado provisional fue el 18/05/2018, en los tablones oficiales del centro donde presentó su solicitud, CEIP ***COLEGIO.1, y la publicación en blog del centro mencionado con los mismos datos que los del tablón, esto es, sin desglosar puntuación, se extendió hasta noviembre en su caso. Cuando se resuelve la reclamación por la AEPD ya no figuraba la exposición en el blog del Colegio. V En cuanto a la apertura de un procedimiento de responsabilidad patrimonial de oficio o señalamiento de responsabilidades disciplinarias, se debe indicar que a efectos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 protección de datos, el secretario actúa en el seno de la organización del responsable del tratamiento y no sería posible dirigir un eventual procedimiento sancionador si fuera el caso contra el por esta AEPD. En cuanto a la exigencia de algún tipo de responsabilidad, sea patrimonial o disciplinaria, la AEPD no es competente para esa cuestión, debiendo ser exigida en la vía que corresponda. En todo caso, se ha de tener en cuenta que se deberían de acreditar los daños y perjuicios, ser evaluables económicamente, y esta AEPD no ha declarado la infracción indicando el artículo 82 del RGPD: “1. Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.” Considerando que la convocatoria del proceso de admisión de alumnos se publicó antes del RGPD y en el desarrollo de la misma se produjeron tratamientos de datos, algunos después del 25/05/2018, en el acuerdo de archivo se dieron las pautas para el tratamiento de estos procesos que hubieran sido los mismos que a la postre en una declaración de infracción se hubieran dictado. No se aportan elementos que deban tenerse en cuenta para variar la resolución de archivo dictada. Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A contra la resolución de esta Agencia dictada con fecha 13/06/2019, en el expediente de actuaciones previas de inspección E/00110/2019. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es