1/7 Procedimiento nº.: PS/00052/2020 Recurso de reposición Nº RR/00121/2021 Examinado el recurso de reposición interpuesto por la CONSEJERÍA DE EDUCACIÓN E INNOVACIÓN DE LA COMUNIDAD DE MADRID contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00052/2020, y en base a los siguientes: HECHOS PRIMERO: Con fecha 2/02/2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00052/2020, en virtud de la cual se imponía a la CONSEJERÍA DE EDUCACIÓN E INNOVACIÓN DE LA COMUNIDAD DE MADRID una sanción de apercibimiento por una infracción del artículo 5.1.
- a)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); de conformidad con el artículo 83.5
- a)del RGPD. Dicha resolución, que fue notificada a la CONSEJERÍA DE EDUCACIÓN E INNOVACIÓN DE LA COMUNIDAD DE MADRID (en lo sucesivo la recurrente) en fecha 4/02/2021 según certificado de acceso a “carpeta ciudadana”, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00052/2020, quedó constancia de los siguientes: procedimiento sancionador, 1) “La reclamante fue informada en una reunión celebrada el 17/09/2018 en el CEIP IGNACIO ZULOAGA, DE MADRID, donde asiste su hijo menor de edad, que sus datos comenzaron a ser utilizados a través de la aplicación CLASS DOJO, perteneciente a una entidad ubicada en EE. UU. Reclama indicando que no es una aplicación segura, estando la información en inglés y no habiéndose recabado el consentimiento de los padres antes del uso de los datos para tal fin. Indica, además, que en la reunión se invitó a los padres a registrarse en la aplicación y a descargarla en el smartphone, proporcionándoles unos códigos en un papel impreso, para introducir en la aplicación, figurando el literal: “este año estoy usando CLASSDOJO para comunicarme con los padres” sirviendo también como enlace de comunicación con el profesor. De acuerdo con las manifestaciones de la reclamante, los datos que figuraban de los alumnos, porque a los padres se les mostró la aplicación, eran nombre y apellido (solo uno) junto a puntos, positivos o negativos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 2) Con fecha 19/09/2018, la reclamante envío escrito al CEIP pidiendo que se borraran los datos de su hijo de la aplicación, y con fecha 27 del mismo mes, manifiesta, pidió al colegio el acceso a los datos que “había recopilado la aplicación CLASS DOJO” “a través de la profesora” y que “desapareciera toda la información que se hubiera recopilado”. En un escrito del colegio a la reclamante de 28/09/2018, se le informó que los datos de su hijo fueron dados de baja de la aplicación y que, en cuanto al resto de alumnos, en la aplicación, iban a cambiar los datos de nombre y apellidos por otros indicadores no explícitos. 3) Se acredita el envío de la reclamante de un escrito a la Consejería de Educación del 13/11/2018, solicitando, a pesar de conocer que los datos de su hijo fueron excluidos de la aplicación, la suspensión del uso de CD en las aulas del colegio por considerarla no ajustada a protección de datos en seguridad, transferencia de datos, falta de claridad en la información de ejercicio de derechos entre otros motivos. 4) En la PROGRAMACIÓN GENERAL ANUAL que por el colegio se aprueba al principio de cada curso, recogiendo todos los aspectos relativos a la organización y funcionamiento del mismo, incluidos los proyectos, el currículo, las normas, y todos los planes de actuación acordados y aprobados, por el Consejo Escolar, no se contemplaba para el curso 2018-2019 la introducción y uso de la aplicación CLASS DOJO, ya que según su Director era una herramienta educativa no esencial. 5) El Director del CEIP, manifiesta que: “La aplicación se descargó por una profesora en el ordenador del CEIP, directamente de la web de CLASS DOJO, sin informar a la dirección, por considerarla una herramienta. La cuenta la creaba la profesora y ella era la que introducía los datos de los alumnos, sin que ellos tuvieran acceso a la cuenta, tampoco en casa. Indica que la ventaja de la aplicación era su atractivo para los niños motivándoles más, y un sistema totalizador de los puntos que se otorgaban. Solo los padres con su correo podían acceder a datos de sus hijos si se daban de alta en la aplicación Era el profesor el que proyectaba en la clase, una pantalla, y era el mismo el que manejaba la aplicación en clase. Los alumnos no interactuaban directamente con la aplicación 6) El colegio manifestó que CLASS DOJO “es un recurso metodológico que sólo se usaba en un curso, para 16 niños de la misma clase, (...),” para implicarlos, motivarlos en actividades de aula, y reforzar hábitos o actitudes, con acciones como “sentarse bien”, trabajar en silencio no para calificar asignaturas. A cada niño se le asigna un muñeco virtual (avatar) diferente, junto con su nombre.” En el aula, habitualmente se usa un momento al día (se proyecta en la PDI) de la clase, para repasar cómo ha ido la jornada, intentando destacar de cada alumno lo que mejor ha hecho para reforzarlo positivamente. Usualmente, cuando alcanzaban un determinado número de puntos, comenzaba de nuevo la posibilidad de incentivar al alumno con actitudes adecuadas, reiniciándose cada poco tiempo. Se dejó de utilizar totalmente en el curso 2019 2020. Como mensajería con los padres, se dejó de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 usar en septiembre del 2019, si bien manifiesta que la comunicación padre-tutor se hacía a través de agenda. También manifestó en pruebas que “en ningún momento ha sido obligatoria la incorporación de alumnos a la plataforma” y que los padres no visualizaban la clase, ni en directo ni en diferido. Añade que ya en el mismo curso 18/19 se comenzaron a usar sobrenombres o alias para no identificar directamente a alumnos, formados por letras y números, acabando por no usarla y que en el curso 2019-20 se recogió en la programación general anual que los docentes que deseasen usar la aplicación CD solo podrían hacerlo mediante un proceso previo de anonimización del alumnado, en el que apareciera únicamente con una o dos letras y/o números asignados, usándose solo a nivel de aula, nunca como medio de comunicación con las familias, y de ese proceso, se dio información en las reuniones generales que se mantuvieron con las familias al principio de curso La reclamada ha manifestado que los niños no tenían acceso por si mismos a la aplicación, ni la manejan ellos mismos en el aula, sino que es el profesor el que accede y valora. 7) En sus alegaciones al acuerdo de inicio, indica la Consejería que desconocía el uso de la aplicación en el CEIP y que le requirió para dejar de utilizarla, ya que consideraba entre otros, que se utilizaban datos de alumnos sin tener en cuenta la proyección de riesgos que podía entrañar su uso. 8) De acuerdo con las investigaciones previas y las pruebas practicadas, las características de la aplicación CLASS DOJO, relacionadas con el uso que realiza el profesor en clase, en la cuenta única que el crea y con la que trabaja, y el uso que los padres pueden efectuar de la misma, aplicables al caso concreto serian: -Entre otras informaciones que figuran al descargar la aplicación están los “términos generales de uso y aceptación de las condiciones”, indicando con carácter general quien puede crear las cuentas de usuarios, y se examina al detalle por cada usuario, distintas opciones. Se establece prolijamente como ha de darse de alta, y como se organizan todas las opciones que se tienen para configurar. Entre otras posibilidades que contiene la aplicación figura la de un sistema de asignación de puntos, recompensas y objetivos para alentar el desempeño del alumno, sumando o restando por el cumplimiento de objetivos y comportamiento del alumno (se mantiene atento, participa en clase, curiosidad, etc.). Los datos que se recopilan, según la información que consta en la propia aplicación, son: datos del alumno; nombre y apellido los datos que introduce el que crea la cuenta (en este caso profesores, nombre y apellido, dirección de correo electrónico) cuenta de puntos, datos de asistencia a clase, figuran también dirección y nombre del colegio, fotografías, videos, dibujos, localización aproximada, si bien en el presente caso se informó por el CEIP que no introdujeron los datos de dirección del colegio al crear la cuenta. Figura en condiciones generales de la aplicación, en el apartado “cuanto tiempo mantienen la información de los niños”, que CLASSDOJO establece límites sobre cuánto tiempo se retienen los puntos de retroalimentación de los estudiantes dados en el aula. “Para todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 estudiantes, los puntos de retroalimentación de más de 12 meses se eliminan automáticamente…. Esto significa que los puntos de retroalimentación no pueden existir a largo plazo. Los maestros también pueden eliminar puntos de comentarios en cualquier momento. “-En safety and privacy FAQS se indica: “¿Qué sucede cuando borro mi cuenta? Los maestros, padres y estudiantes pueden eliminar sus cuentas ingresando a la configuración de su cuenta o contactándonos directamente en privacy@classdojo.com.” Profesor Al eliminar una cuenta de maestro de ClassDojo, se eliminarán el nombre, la dirección de correo electrónico, la contraseña, las fotos de perfil, los tokens del dispositivo y cualquier otra información que haya proporcionado a ClassDojo. Esto incluye información recopilada a través de permisos de aplicaciones móviles”” Las clases no compartidas, los perfiles de estudiantes no reclamados y todos los puntos de comentarios también se eliminan (incluso si están conectados a las cuentas de padres y estudiantes). -En el apartado de política de privacidad de CLASSDOJO, se informa que los padres pueden acceder a CLASS DOJO utilizando un código para padres proporcionados por el maestro de su hijo y la solicitud para unirse a la clase aún debe ser aprobada por el maestro y los padres sólo pueden ver los puntos de retroalimentación de sus propios hijos y las carteras de ellos no las de otros estudiantes. -CLAS DOJO. declara que comparte los datos personales de los usuarios (profesor, tutor, alumno y padre) con proveedores de servicio (terceros) para el funcionamiento de su plataforma de acuerdo con sus instrucciones y política de privacidad, aunque cada uno de estos proveedores tiene una política de privacidad propia. En el sitio web de CD aparece una lista de 25 proveedores de servicio con enlaces a las mismas para poder ver su política de privacidad https://www.classdojo.com/es-es/third-party-service-providers/?redirect=true. Se informa: “Estas compañías solo tendrán acceso a la información que necesitan para proporcionar los Servicios de ClassDojo”. En los cuadros obtenidos figuran dos columnas por cada prestador de servicios, en una columna figura “¿cómo CD usa al proveedor? y en la otra ¿Qué información del usuario comparte o recopila este socio y /o nos la devuelve? -Se indica que los datos e información, se almacenan en la nube AWS de AMAZON.CO M.INC. refiriendo que “Toda la información personal del usuario y el contenido cargado, la ID del dispositivo, los datos de solicitud y todos los registros se almacenan en AWS. Las contraseñas se almacenan como hashes unidireccionales. Todos los datos personales se cifran “at rest”, “Cifrado at rest según google es: El cifrado de datos, que evita la visibilidad de los datos en caso de acceso no autorizado o robo, se usa comúnmente para proteger los datos en movimiento y se promueve cada vez más para proteger los datos en reposo. ... Los datos cifrados deben permanecer cifrados cuando fallan los controles de acceso, como los nombres de usuario y la contraseña.” En la cláusula informativa de política de privacidad de CD se indica que el profesor puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 introducir el nombre de los alumnos de la clase o puede referirse a ellos en abreviaturas. Asimismo, se indica que los puntos de retroalimentación de más de 12 meses se eliminan automáticamente, y que “los Maestros también pueden eliminar puntos de comentarios en cualquier momento”. 9) En junio 2019, antes de firmarse el acuerdo de inicio, la reclamada comenzó a evaluar el grado de cumplimiento del uso de aplicaciones informáticas en centros educativos elaborando un “decálogo de buenas prácticas para los centros educativos públicos de la Comunidad de Madrid”, publicado en internet: https://www.educa2.madrid.org/web/direcciones-de-area/inicio/-/visor/04-06-2019-decalogode-buenas-practicas-en-el-uso-de-aplicacioneseducativas? _visor_WAR_cms_tools_bookmarks=truerecomendando figurando como fecha 4/6/2019 partiendo de la base de recomendar como única plataforma digital educativa EDUCAMADRID, e instrucciones sobre alojamiento de datos en plataforma oficial y garantías en el tratamiento de datos como la anonimización en caso de uso de otras tecnologías, con obligación de analizar la protección de datos personales antes de utilizar cualquier aplicación informática externa a las ofrecidas por la Consejería y recomendando el uso de mensajería instantánea para comunicarse a través de dicha plataforma. 10) La Dirección General de Bilingüismo y Calidad de la Enseñanza, competente para la elaboración de directrices de uso de las plataformas informáticas de los centros docentes y sistemas informáticos vinculados al aprendizaje y actualización docente, firmó el 12/05/2020 una resolución con instrucciones y recomendaciones a los centros educativos en relación con el uso de plataformas digitales con fines educativos. Además, diversas resoluciones y comunicaciones insisten en el uso de la plataforma EDUCAMADRID para funcionalidades relacionadas con la educación en línea, creando al mismo tiempo canales de comunicación para solventar las dudas sobre la educación.” TERCERO: La recurrente ha presentado, en fecha 3/03/2021, en esta Agencia Española de Protección de Datos, recurso de reposición, considerando que la resolución no es conforme a derecho y debe anularse la sanción impuesta. Lo fundamenta en: 1) La Consejería actuó de forma diligente al requerir al CEIP que dejase de utilizar la aplicación hasta que no se realizase el preceptivo análisis de riesgos que permitiera el cumplimiento de la normativa en materia de Protección de Datos, en concreto de las medidas técnicas y organizativas que exige el artículo 24 del RGPD y si dispusiera de un contrato que garantizará las condiciones del tratamiento conforme a dicha normativa. 2) Alude a las medidas que la Consejería implantó como la plataforma educativa “Educa Madrid” y otras herramientas para evitar la infracción. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). II En relación con las manifestaciones efectuadas por la recurrente, figuraban también reproducidas y tenidas en cuenta en la resolución expuesta. La reclamada no cuestiona ningún hecho probado, sino que expone las medidas que toma, iniciándose algunas antes del acuerdo de inicio, y otras una vez conocidos los hechos a través del acuerdo de inicio, de 21/02/2020. Así, entre estas últimas, figura a título de ejemplo en alegaciones al acuerdo de inicio que la Consejería “desconocía el uso de la aplicación en el CEIP y que le requirió para dejar de utilizarla, ya que consideraba entre otros, que se utilizaban datos de alumnos sin tener en cuenta la proyección de riesgos que podía entrañar su uso.” También se reflejaron en la resolución las actuaciones producidas antes del acuerdo de inicio, relacionadas con el asunto, como la de 29/05/2019, enviando a las Direcciones de áreas Territoriales y a los centros educativos las recomendaciones que figuraban en el “decálogo de buenas prácticas en el uso de aplicaciones educativas” que luego se publicaron el 4/06/2019 en la web. Igualmente se reflejaron las actuaciones durante el periodo de situación declarada de pandemia global por la COVID-19, tras el acuerdo de inicio, como la de la Dirección General de Bilingüismo y Calidad de la Enseñanza, que firmó el 12/05/2020 una resolución con instrucciones y recomendaciones a los centros educativos en relación con el uso de plataformas digitales con fines educativos. Estas medidas son consideradas en la resolución, pero no permiten sin embargo modificar los hechos probados sobre la consumación de la infracción y su declaración con los efectos asociados. En consecuencia, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la CONSEJERÍA DE EDUCACIÓN E INNOVACIÓN DE LA COMUNIDAD DE MADRID contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 2/02/2021, en el procedimiento sancionador PS/00052/2020. SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE EDUCACIÓN E INNOVACIÓN DE LA COMUNIDAD DE MADRID. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-100519 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es