1/5 Expediente N.º: EXP202304481 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por el COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE (en lo sucesivo también, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos, de fecha 18/03/2025, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18/03/2025, se dictó resolución por el Presidente de la Agencia Española de Protección de Datos en el expediente EXP202304481, en virtud de la cual se imponía al COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE por una infracción de los artículos 32 y 34 del RGPD, tipificadas en el artículo 83.4 del RGPD, una multa de 3.000 y 2.000 euros (TRES MIL y DOS MIL euros), respectivamente, y DOS MIL euros), respectivamente, lo que hace un total de 5.000 euros (CINCO MIL euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 19/03/2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/460/2023, quedó constancia de los siguientes: procedimiento sancionador, “HECHOS PROBADOS PRIMERO: Con fecha 24/03/2023 se notificó a la División de Innovación Tecnológica de esta Agencia una brecha de seguridad de los datos personales remitido por COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE. SEGUNDO: El día 21 de marzo de 2023 le fue sustraído a la Directora pedagógica de la Escuela su ordenador portátil, con información sobre datos identificativos de padres/madres y/o tutores legales y datos correspondientes al expediente académico de los alumnos que incluyen datos de salud. TERCERO: El número de afectados por la brecha está estimado en 450 personas, de los cuales unos 150 son menores de edad. CUARTO: Los datos contenidos en el portátil no estaban cifrados. El ordenador portátil disponía de un bloqueo de pantalla y en aquel momento la sesión estaba cerrada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 QUINTO: La comunicación a los afectados se hizo el 03/05/2023, después de haber sido firmada por la Directora de la Agencia resolución ordenando la comunicación de la brecha a los interesados el 04/04/2023”. TERCERO: La parte recurrente ha presentado, en fecha 18/04/2025, recurso de reposición, en el que adjunta un certificado de la empresa SIMPLE SOLUCIONES INFORMATICAS, S.L., de fecha 15/04/2024, donde se enumeran las medidas de seguridad adoptadas por el COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE, tanto antes como con posterioridad a la brecha, y que, contrariamente a lo alegado en el expediente, afirma que los datos estaban cifrados; presenta también diversas facturas; escrito de la Asociación de Madres y Padres de Alumnos (AMPA), en el que afirman haber sido informados de la brecha; diligencias de la Vicepresidencia, Consejería de Educación y Universidades, acerca de la modalidad de concierto educativo y rendición anual de cuentas del curso 2021-2022. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones y documentación presentada En primer lugar, en relación con la certificación aportada de la empresa SIMPLE SOLUCIONES INFORMÁTICAS, S.L., en el que ahora manifiesta que los datos contenidos en el equipo sustraído estaban cifrados. Esta certificación no había sido presentada en ningún momento anterior de este procedimiento, a pesar de estar fechada a 15/04/2024. Según queda recogido en el certificado aclaratorio de SIMPLE SOLUCIONES INFORMÁTICAS presentado por la parte reclamada, el equipo sustraído contaba con cifrado activo mediante BitLocker. Resulta significativo que el COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE no hubiese aportado este escrito en las alegaciones presentadas, el 24/02/2025, a la propuesta de resolución del procedimiento sancionador. Por su parte, en el escrito de respuesta al requerimiento de información de fecha 16/05/2023, la parte recurrente aportó contrato de servicios de consultoría con la empresa ***EMPRESA.1, informe de auditoría elaborado por la misma empresa y documento de nombramiento de responsable de privacidad, pero no aportó documento alguno en el que quedara constado el cifrado de datos. En el escrito de alegaciones, de fecha 8/04/2024, la parte reclamada manifestaba en la “Alegación 1ª,
- d)efectividad de las medidas” que “Nuevamente, esto evidencia que las medidas adoptadas por el Colegio, aún sin implicar el cifrado de los datos personales, eran adecuadas para el riesgo del tratamiento” y “Por todo lo anterior consideramos que el Colegio ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 cumplido con las obligaciones contempladas en el art. 32 del RGPD, adoptando una serie de medidas técnicas y organizativas adecuadas para el riesgo del tratamiento, evidenciándose que no era necesario el cifrado de la información, toda vez que ya se disponía de medidas suficientes”, siendo este reconocimiento de la parte reclamada más que suficiente para considerar, en la fecha de la resolución del procedimiento sancionador, que no existía cifrado de datos. Debe señalarse, en primer lugar, que el artículo 118.1 de la LPACAP establece que “No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo haya hecho”. En este sentido, la documentación que se aporta ahora junto al recurso podía haber sido aportada junto a la reclamación original, y hubiera servido para poder determinar con absoluta precisión cuáles fueron los términos y alcance de la reclamación inicial. No cabe valorar en la presente fase de recurso, por tanto, las informaciones y los documentos que, pudiendo haberse acompañado a la reclamación, no fueron aportados en esa fase para que la Agencia pudiera determinar si constituían verdaderos indicios racionales de infracción. Por tanto, procede confirmar la infracción del art. 32 del RGPD En segundo lugar, en cuanto a la infracción del art. 34 del RGPD, se ha de indicar que, revisada la documentación obrante en el expediente, se considera que, en el caso que nos ocupa, la infracción del artículo 34 del RGPD debió calificarse como leve, a efectos de prescripción, tal y como se recoge en el art. 74 de la LPDGDD: “Artículo 74. Infracciones consideradas leves”. Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…/…) “ñ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo para los derechos y libertades de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE) 2016/679, salvo que resulte de aplicación lo previsto en el artículo 73
- s)de esta ley orgánica”. (…/…) Habida cuenta que la fecha de la brecha es de 21/03/2023 y el acuerdo de inicio del procedimiento sancionador se produjo el 22/03/2024, ha de concluirse que se ha producido la prescripción de la infracción del art. 34 del RGPD, al haber transcurrido un plazo superior al previsto para la prescripción de estas infracciones, procediendo, en consecuencia, su archivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 III Conclusión Por tanto, en relación con la infracción del art. 32 del RGPD, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, y dado que la finalidad del recurso es revisar la legalidad de la actuación administrativa, procede acordar la desestimación, en relación a la infracción del art. 32 del RGPD, tipificada en el art. 83.4 del RGPD. Sin embargo, ha de acordarse el archivo por prescripción de la infracción del art. 34 del RGPD IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por el COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE contra la Resolución de esta Agencia Española de Protección de Datos dictada en fecha 18 de marzo de 2025, en el expediente EXP202304481, en relación con la infracción del art. 32 del RGPD, tipificada en el artículo 83.4 del RGPD, y que se sanciona con una multa de TRES MIL euros (3.000 €). SEGUNDO: PROCEDER AL ARCHIVO de la infracción del artículo 34 del RGPD. TERCERO: NOTIFICAR la presente resolución a COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. 868-021025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es