1/18
Procedimiento Nº: PS/00024/2019
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 12 de septiembre de 2018 Dña. A.A.A. (en adelante, la
reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos
contra el Centro Educativo ESCUELA EDUCACION INFANTIL DE MILLADOIRO
(AMES), (en lo sucesivo, Centro Escolar o EEI), con motivo de la exposición del
listado definitivo de alumnos admitidos para el curso 2018/2019, de fecha 14 de mayo
de 2018, en la fachada principal y acristalada del centro, de modo que resulta
accesible desde el exterior a cualquier viandante o vecino. Añadía la reclamante que
dicho listado también se publica en la página web del mencionado Centro.
El reseñado listado, del que la reclamante ha aportado una copia, contiene
detalle del número de orden, nombres, apellidos y puntuación de un total de 100
alumnos admitidos para dicho curso escolar en el mencionado Centro, dependiente de
la CONSEJERÍA DE EDUCACIÓN, UNIVERSIDAD Y FORMACIÓN PROFESIONAL
DE LA JUNTA DE GALICIA, (en adelante, la Consejería o el reclamado).
También expone la reclamante que el centro escolar hizo entrega a todas las
familias de la clase de su hija menor de una lista con los datos identificativos de los
alumnos integrantes del grupo, cuya copia adjunta.
SEGUNDO: Con fecha 11 de octubre de 2018, de conformidad con el artículo 9.4 del
Real Decreto-Ley 5/2018, se dio traslado de la reclamación presentada por la
reclamante al citado Centro escolar para que en el plazo de un mes procediese a
informar a esta Agencia sobre las causas que habían motivado los hechos expuestos
en la reclamación e informase las medidas adoptadas para evitar que se produjeran
incidencias similares.
En respuesta a dicho requerimiento de información, con fecha 28 de noviembre
de 2018, se registra de entrada en esta Agencia escrito del reclamado indicando en lo
que respecta a la exposición del listado de admitidos lo que sigue:
“Que el proceso de admisión de alumnado en centros públicos es un proceso
de concurrencia competitiva, en dichos procedimientos de concurrencia competitiva
debe regir la más absoluta transparencia de forma que los lisados de alumnado
admitido siempre se hacen públicos.
Debe señalarse además que la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones públicas prevé en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/18
artículo 45 a posibilidad de sustituir la notificación individualizada por la publicación en
determinados procedimientos. En concreto incluye en dicha previsión a los “actos
integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier
tipo. En este caso la convocatoria del procedimiento deberá indicar el medio donde se
efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo
en lugares distintos.”
Al tratarse pues de un procedimiento de concurrencia competitiva existe una
habilitación legal para proceder a la publicación de dichos listados de personas
admitidas, habilitación legal que se ha concretado en la Orden de 12 de marzo de
2013 por la que se desarrolla el procedimiento para la admisión del alumnado en
centros docentes sostenidos con fondos públicos que impartan enseñanzas de 2º
ciclo de educación infantil, de educación primaria, de educación secundaria
obligatoria y de bachillerato reguladas en la Ley Orgánica 2/2006, de 3 de mayo, de
educación (DOG 15/03/2013), recientemente modificada por la Orden de 25 de enero
de 2017 por la que se modifica la Orden de 12 de marzo de 2013 (…) (DOG
01/02/2017).
El artículo 30 de la de 12 de marzo de 2013 (…) establece lo siguiente:
“Artículo 30. Publicación de la lista provisional de personas admitidas y no admitidas y
reclamaciones
1. A la vista de las solicitudes de admisión presentadas, y una vez
determinada la puntuación resultante de aplicar los criterios de baremo, en su caso, el
centro publicará en su talón de anuncios y en su página web la relación nominal de
todo el alumnado admitido y no admitido por curso, por orden de la puntuación total
obtenida.”
Asimismo, su artículo 31 establece que:
“2. La dirección de los centros públicos y la titularidad de los centros privados
concertados publicarán en su tablón de anuncios y en su página web, antes del 15 de
mayo de cada año, las listas definitivas de personas admitidas y no admitidas (…)”
Por lo tanto, como primera premisa debe señalarse que la publicación tanto en
la página web del centro como en el tablón de anuncios está expresamente habilitada
por la normativa vigente.
Debe tenerse en cuenta además que la disposición adicional tercera de dicha
Orden de 12 de marzo de 2013, en su redacción dada por la Orden de 25 de enero de
2017, establece lo siguiente:
<< De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de
protección de datos de carácter personal, los datos personales recogidos en la
tramitación de este procedimiento cuyo tratamiento y publicación autoricen las
personas interesadas mediante la presentación de las solicitudes serán incluidos en
un fichero denominado <<“Relaciones administrativas con la ciudadanía y entidades>>
con el objeto de gestionar el presente procedimiento, así como para informar a las
personas interesadas sobre su tramitación . El órgano responsable de este fichero es
la Consellería de Cultura, Educación y Ordenación Universitaria de la Xunta de
Galicia. (…)>>
Resulta de especial relevancia que la propia orden reguladora del
procedimiento señala que el tratamiento y publicación de los datos personales son
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/18
autorizados por las propias personas interesadas mediante la presentación de la
solicitud.
Estamos por lo tanto ante un supuesto de consentimiento de los afectados
para el tratamiento y publicación de dichos datos personales, que se manifiesta con la
presentación de la solicitud, por lo que la reclamante, al firmar y presentar su solicitud,
consintió dicha publicación.
La reclamante también manifiesta su disconformidad con el hecho de que la
publicación en el tablón se realice en la cristalera del centro educativo, a este
respecto debe señalarse que consultada la situación, el centro no dispone de un
tablón de anuncios como tal, sino que se emplean las cristaleras de la escuela para
transmitir información a las familias en las que se fija la información del centro, de la
ANPA (actividades extraescolares, etc) y delas actividades didácticas y pedagógicas
del Ayuntamiento de Ames.
Durante el periodo de admisión, y puesto que se debe publicar mucha
documentación (instrucción de la consellería, datos del centro, listados provisionales,
listados definitivos, etc.) se emplea la cristalera que está al frente de la escuela, pues
es más amplia y permite un visionado correcto de toda la documentación.
Debe señalarse que como ya se ha indicado la orden que regula el
procedimiento de admisión prevé la publicación no sólo en el tablón de anuncios del
centro, sino también en su página web, incluyendo por lo tanto un medio de
publicación alternativo que implica una publicidad mucho mayor que el tablón de
anuncios del centro.
Por lo tanto, no se puede aducir por la reclamante que desconocía que la
información que se publicaría sería accesible a personas ajenas al centro educativo,
ya que la propia convocatoria señalaba que se publicarían los listados en el tablón de
anuncios y en la página web, previsión que hace irrelevante el hecho de que el tablón
de anuncios sea accesible desde la calle, pues la página web del centro es accesible
por cualquier persona desde cualquier ordenador del mundo.
En tercer lugar alega la reclamante que el centro hace entrega de una lista con
los integrantes del grupo escolar que le corresponde a la menor a todas las familias de
la clase.
Con respecto a este punto, debe señalarse que la entrega de dicha lista
responde según indica el propio centro educativa a que durante el período de
adaptación (con una duración de 10 días) se realizan agrupamientos flexibles de tal
manera que se vaya combinando el alumnado en cada sesión y la hora de asistencia.
(…)
Por lo tanto, quiere con ello explicarse que la elaboración de dichos listados y
su entrega no responde a una arbitrariedad del centro, sino a la voluntad de prestar un
mejor servicio que facilite el periodo de adaptación a las familias. No obstante, de cara
a futuros inicios de cursos escolares, desde la Secretaría General Técnica se ha
comunicado al centro que para continuar utilizando este sistema deberán recabar
autorización de los representantes legales del alumnado para la distribución del listado
a las demás familias del aula. En caso de no disponer de la oportuna autorización
deberá implantarse un sistema distinto que no conlleve dicha entrega.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/18
TERCERO: Con fecha 2 de diciembre de 2018 la reclamante presenta ampliación de
la reclamación adjuntando la siguiente documentación:
- Impresión de un documento, de fecha 30 de noviembre de 2018, a la
atención del Secretario General Técnico de la Consejería, en uno de cuyos apartados
se indica que ”Ante la elección de los miembros del Consejo Escolar, En el centro
educativo publican en la cristalera y hacia afuera la lista de padres de familia que
conforman la comunidad educativa asociando a cada nombre y apellidos su DNI
completo sin pixelar parte de él”. La reclamante no acredita el origen, autoría ni
naturaleza de dicho documento.
- Captura parcial de una hoja del listado “Censo de Responsables” del
EEI do Milladoiro, Año Académico 2018/2019, que contiene los nombres, apellidos y
DNIs de los responsables detallados en los números 288 al 311 del Censo. Este
documento no prueba, por sí mismo, el lugar exacto de colocación de dicho listado.
- Dos fotografías en las que se muestra una cristalera con documentación
expuesta, pero que no permiten conocer el contenido ni naturaleza de los documentos
expuestos en dicha cristalera.
En cuanto a la falta de pixelación del DNI contenido en el “Censo de
Responsables” supuestamente difundido en la mencionada cristalera, señalar que en
la fecha de presentación de la ampliación de la reclamación, posterior necesariamente
a la fecha de emisión del citado censo, no se encontraba en vigor la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales, y, por lo tanto, no era de aplicación la Disposición adicional
séptima contenida en dicha norma, relativa a la “Identificación de los interesados en
las notificaciones por medio de anuncios y publicaciones de actos administrativos”,
cuyo apartado 1 dispone:
“1. Cuando sea necesaria la publicación de un acto administrativo que
contuviese datos personales del afectado, se identificará al mismo mediante su
nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento
nacional de identidad, número de identidad de extranjero, pasaporte o documento
equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas
cifras aleatorias deberán alternarse.
Cuando se trate de la notificación por medio de anuncios, particularmente en
los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, se identificará
al afectado exclusivamente mediante el número completo de su documento nacional
de identidad, número de identidad de extranjero, pasaporte o documento equivalente.
Cuando el afectado careciera de cualquiera de los documentos mencionados
en los dos párrafos anteriores, se identificará al afectado únicamente mediante su
nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera
conjunta con el número completo del documento nacional de identidad, número de
identidad de extranjero, pasaporte o documento equivalente.”
CUARTO: Con fecha 10 de mayo de 2019, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, de
conformidad con lo previsto en el artículo 58.2 del RGPD, por la presunta infracción del
artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/18
En dicho acuerdo se señalaba “Que, de confirmarse la existencia de las
infracciones descritas, a los efectos previstos en el artículo 58.2 del RGPD las
medidas correctivas que podrían imponerse a la CONSEJERIA DE EDUCACIÓN,
UNIVERSIDAD Y FORMACIÓN PROFESIONAL DE LA JUNTA DE GALICIA, en la
resolución, consistirían, a la vista de los elementos de juicio disponibles en este
momento, en ORDENARLE la adopción de medidas técnicas y organizativas
adecuadas para garantizar el principio de confidencialidad en orden a evitar que
terceros no interesados accedan a la información de carácter personal obrante en
actos administrativos referidos, tanto a quienes participan en procedimientos
selectivos o de concurrencia competitiva que deban ser objeto de notificación
mediante su publicación en tablones de anuncios o páginas web, como a los datos
de carácter personal concernientes a los interesados cuya identificación deba figurar
en actos administrativos a publicar en la forma señalada, evitando, en cualquier
caso, que esos datos resulten accesibles en forma indiscriminada desde la vía pública
o en abierto desde los sitios web, amén de que los datos publicados respondan al
principio de minimización de datos respecto de los fines para los que son tratados.
Dichas medidas se habrían de adoptar, en su caso, en el plazo que se señale
computado desde la fecha en la que se le notifique la resolución sancionadora,
debiendo aportarse los medios de prueba acreditativos de su cumplimiento.”
QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que, en síntesis, se ratificaba en las manifestaciones efectuadas en
el escrito de contestación al requerimiento de información efectuado junto con el
traslado de la reclamación.
-En cuanto a la publicación de los listados de alumnos admitidos en la página
web del Centro Escolar y en la fachada acristalada del mismo, visibles desde el
exterior, se reitera que el proceso de admisión de alumnado en centros públicos
constituye un procedimiento de concurrencia competitiva, regido por el principio de
transparencia, publicándose dichos listados amparo de lo previsto en el artículo 45 de
la LPACAP y conforme a lo concretado en la Orden de 12 de marzo de 2013.
Aduce que dicha publicación se ampara en dos bases legitimadoras
contempladas en el RGPD y la LOPDGDD.
La primera base legitimadora responde a lo previsto en el artículo 6.1.e) del
RGPD, al existir una norma que habilita expresamente a la administración para realizar
dicha publicación. A este respecto, se señala que el proceso de escolarización
responde al cumplimiento de una misión de interés público atribuida a la
administración educativa por la Ley Orgánica 2/2006, de 3 de mayo, de educación.
Con respecto al modo concreto de notificación de la resolución de dicho
proceso, el artículo 45.1.b) de la LPACAP establece la obligación legal para la
administración responsable del tratamiento de sustituir la notificación individualizada
de la resolución por la publicación en los procedimientos selectivos o de concurrencia
competitiva. Además, los artículos 30 y 31 de la Orden de 12 de marzo de 2013, cuya
transcripción aparece en el Antecedente segundo anterior, habilitan expresamente la
publicación de las listas de las personas admitidas y no admitidas en la página web del
centro y en el tablón de anuncios.
La segunda base legitimadora, responde a lo previsto en el artículo 6.1.a) del
RGPD, en tanto que con arreglo a lo dispuesto en la disposición adicional tercera de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/18
mencionada Orden de 12 de marzo mediaría el consentimiento del afectado para el
tratamiento y publicación de los datos personales recogidos en la tramitación de este
procedimiento al haberlo autorizado “las personas interesadas mediante la
presentación de las solicitudes”. Por lo que al firmar y presentar las solicitudes de
admisión correspondientes a sus hijas, cuya copia aporta el reclamado, la reclamante
consintió dicha publicación.
-En cuanto a la disconformidad de la reclamante con el hecho de que la
publicación en el tablón se realice en la cristalera del centro educativo, la Consejería
reitera lo expresado en relación con que “el centro no dispone de un tablón de
anuncios como tal, empleando las cristaleras que están al frente de la escuela para
transmitir diversa información a las familias” y publicar la documentación referida al
período de admisión, dado que por su amplitud permite un visionado correcto de toda
la documentación.
- La publicación de los listados del censo resulta necesaria para el
procedimiento de celebración de las elecciones al Consejo Escolar, estableciéndose
en el artículo 44 del Decreto 92/1988, por el que se regulan los órganos de gobierno
de los centros públicos docentes, que “El censo electoral deberá exponerse en el
tablón de anuncios del centro con diez días, al menos, de antelación a la fecha fijada
para el acto electoral, para la comprobación y posible reclamación por parte de los
padres y tutores legales de los alumnos”.
Se señala que el objetivo de publicar los listados en la cristalera de forma que
sean accesibles desde el exterior responde a un intento de facilitar la consulta del
censo a los progenitores, ya que de esta forma pueden consultarlo incluso en
momentos en que la escuela se encuentre cerrada.
- Comunican la adopción de medidas tendentes a dar cumplimiento a lo
previsto en la Disposición adicional séptima de la LOPDGDD y a publicar los listados
del electoral en el tablón interno del Centro Escolar.
SEXTO: Con fecha 15 de noviembre de 2019 se formuló propuesta de resolución, en
el sentido de que por la Directora de la Agencia Española de Protección de Datos se
impusiera al reclamado, de conformidad con lo previsto en el artículo 58.2.b) del
RGPD, una sanción de apercibimiento por una infracción del artículo 5.1.f) del RGPD,
tipificada en el artículo 83.5.a) del RGPD.
Asimismo, se proponía que, de no haberse acreditado la subsanación de la
situación irregular descrita con anterioridad a la emisión de la resolución que
procediese acordar, la Directora de la Agencia Española de Protección de Datos
ordenase al reclamado, de conformidad con lo previsto en el artículo 58.2.d) del
RGPD, “la adopción de medidas técnicas y organizativas adecuadas para garantizar
el principio de confidencialidad, que en lo que se refiere al Centro Escolar estudiado
tenderán a impedir la publicación de actos administrativos que contengan datos
personales en la fachada acristalada , y hacia el exterior, del Centro Escolar que nos
ocupa. En general, dichas medidas se extenderán a evitar que la información de
carácter personal contenida en ese tipo de actos administrativos objeto de
publicación en los medios establecidos a tales efectos no resulten visibles y/o
accesibles desde el exterior de los centros escolares, debiendo también
implementarse mecanismos que garanticen que el acceso al contenido de esos
actos administrativos publicados en la página web de los Centros Escolares se
restrinja a las personas interesadas en los procedimientos (participantes).” .
Igualmente, se indicaba que tales medidas correctoras de habrían de adoptar, en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/18
caso, en el plazo de un mes computado desde el día siguiente a la fecha en la que se
notificase la resolución sancionadora, debiendo aportarse los medios de prueba
acreditativos de su cumplimiento en idéntico plazo.
SÉPTIMO: Notificada la citada propuesta de resolución, el reclamado presentó escrito
de alegaciones manifestando su discrepancia frente a la vulneración que se le
imputaba, en base a los siguientes argumentos:
- Conforme a lo mantenido en la propuesta de resolución, cualquier publicación
realizada por una administración pública al amparo de la LPACAP o con arreglo a lo
previsto en el artículo 20 de la Ley 38/2003, de 17 de noviembre, General de
Subvenciones, “resultaría contraria al principio de confidencialidad, ya que se está
categorizando como de exposición “indiscriminada” una publicación que no sólo
cuenta con una base legitimadora no controvertida, sino que además en sus
elementos formales es acorde con lo dispuesto en la LOPDGDD.” . Reitera que la
admisión de alumnado en centros públicos es un procedimiento de concurrencia
competitiva en el que resulta obligado sustituir la notificación individualizada por la
publicación en aplicación de una norma con rango de ley (artículo 45 de la LPACAP).
-Partiendo de que la disposición adicional séptima de la LOPDGDD incluye las
cautelas concretas que resultan de aplicación en las publicaciones de las
administraciones, se afirma que “a sensu contrario” cabe entender que “en los demás
aspectos relativos a la publicación, no se establece ningún otro tipo de cautela
legalmente necesaria, como evitar la publicación en abierto mediante el acceso con
clave y contraseña que sugiere la AEPD, sino, como se ha señalado, se dispone la
forma correcta de materializar la publicación obligatoria del acto administrativo, que es
respetuosa, al mismo tiempo, con los límites normativos referidos a la protección de
datos personales.”.
Añade que dichas cautelas están concebidas, entre otros, para los casos en
que la publicación ha de surtir efectos de notificación, principalmente, a través de
boletines oficiales que a la fecha de entrada en vigor de la LOPDGDD tenían, en su
mayoría, carácter electrónico, posibilitando de este modo la máxima difusión o
publicidad entre la ciudadanía de los actos publicados a través del acceso libre en
Internet. Al hilo de lo cual, el reclamado aduce que “nada impide que la conformidad
a derecho y la validez jurídica de los actos administrativos que siguen las pautas
definidas en la disposición adicional séptima de la LOPDGDD y se publiquen en
boletines oficiales electrónicos se extienda aquellos cuya publicidad se realice a través
de otros sitios electrónicos o webs que se habiliten a tal fin a través de las
convocatorias respectivas. Y si la publicación en esos términos está ajustada a
derecho cuando se realiza a través de medios electrónicos de acceso libre, con igual
motivo lo estará cuando se realice en formato papel.”
- La accesibilidad de la información por un número indeterminado de personas
físicas es consustancial a la publicación de los actos administrativos obligada por el
artículo 45 de la LPACAP.
- En el caso analizado se considera que las medidas técnicas y organizativas
adoptadas han sido las adecuadas, en tanto que la publicación ha afectado a los
datos identificativos mínimos, imprescindibles y adecuados para alcanzar, a través del
procedimiento administrativo promovido, la finalidad prevista en la normativa
educativa. Señala que no se identifica obligación legal para adoptar medidas
tendentes a que los listados provisionales y definitivos de alumnos admitidos y no
admitidos se publiquen únicamente en el tablón interno del centro escolar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/18
La Consejería considera que prima el interés público en la eficacia de la
notificación a través de la publicación y en la garantía del ejercicio del derecho de
defensa de intereses legítimos, directamente o a través de asociaciones protectoras
de intereses colectivos que puedan personarse a posteriori, frente a los derechos de
las personas implicadas, cuya privacidad se ve afectada en niveles de rango mínimo.
- Inexistencia de infracción por parte de la Consejería al haberse efectuado la
publicación en la forma legalmente prevista. Mantiene que teniendo en cuenta las
indicaciones contenidas en la LOPDGDD en cuanto a la forma de publicar actos
administrativos, la posibilidad apuntada de acceder con clave y contraseña constituye
una mera sugerencia de la AEPD, por lo que su inobservancia no constituiría un
incumplimiento de obligación legal alguna aplicable al supuesto analizado.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
Primero: Con fecha 12 de septiembre de 2018 la reclamante interpuso reclamación
ante la Agencia Española de Protección de Datos contra el Centro Educativo
ESCUELA EDUCACION INFANTIL DE MILLADOIRO (en lo sucesivo, Centro Escolar
o EEIM), con motivo de la publicación de los listados definitivos de alumnos admitidos,
para el curso 2018/2019, en la fachada principal y acristalada del Centro Escolar, de
modo que resultaban visibles desde el exterior del Centro para cualquier persona
que transitase por ese lugar. La reclamante añadía que los citados listados también se
publicaban a través de la página web del Centro Escolar.
Segundo: Consta que el listado definitivo de alumnos admitidos de 4º de Educación
infantil (jornada continua), curso 2018/2019 de la EEIM, relaciona, por orden de
puntuación, los nombres y apellidos de los 100 alumnos admitidos para ese curso en
ese Centro Escolar, dependiente de la Consejería de Educación, Universidad y
Formación Profesional de la Junta de Galicia, (en adelante, la Consejería o el
reclamado).
Tercero: Con fecha 12 de septiembre de 2018 la reclamante amplió su reclamación
extendiéndola a la publicación en la fachada principal y acristalada del Centro Escolar,
también hacia afuera, del listado del censo necesario para el procedimiento de
celebración de las elecciones al Consejo Escolar.
Cuarto: El “Censo de Responsables” del “Año académico: 2018/2019” publicado en la
cristalera de la fachada de la EEIM contiene el nombre, apellidos y DNI completo de
los padres y tutores de los alumnos.
Quinto: La Consejería ha reconocido en los escritos presentados en esta Agencia el
uso de dichas cristaleras para publicar los listados provisionales y listados definitivos
de alumnos admitidos en los siguientes términos: “Durante el período de admisión, y
puesto que debe publicar mucha documentación (instrucción de la Consejería, datos
del centro, listados provisionales, listados definitivos, etc.) se emplea la cristalera que
está al frente de la escuela, pues es más amplia y permite un visionado correcto de
toda la documentación”.
Sexto: La Consejería ha manifestado que el objetivo de publicar los listados del censo
electoral “en la cristalera de forma que sean accesibles desde exterior responde a un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/18
intento de facilitar la consulta del censo a los progenitores, ya que de esta forma
pueden consultarlo incluso en momentos en que la escuela se encuentre cerrada.”
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que los artículos 55.1 y 2, 57.1 y 58.2 del del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de
2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos, (en adelante RGPD),
reconocen a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1,
77.1.c) y 2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
II
Los artículos 1 y 2.1 del RGPD disponen lo siguiente:
“Artículo 1. Objeto
1. El presente Reglamento establece las normas relativas a la protección de las
personas físicas en lo que respecta al tratamiento de los datos personales y las
normas relativas a la libre circulación de tales datos.
2. El presente Reglamento protege los derechos y libertades fundamentales de
las personas físicas y, en particular, su derecho a la protección de los datos
personales.
3. La libre circulación de los datos personales en la Unión no podrá ser
restringida ni prohibida por motivos relacionados con la protección de las personas
físicas en lo que respecta al tratamiento de datos personales.
Artículo 2. Ámbito de aplicación material
1. El presente Reglamento se aplica al tratamiento total o parcialmente
automatizado de datos personales, así como al tratamiento no automatizado de datos
personales contenidos o destinados a ser incluidos en un fichero.”
A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica
“Definiciones”, dispone que:
“A efectos del presente Reglamento se entenderá por:
1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/18
acceso, cotejo o interconexión, limitación, supresión o destrucción;”
7)<<responsable del tratamiento>>” o <<responsable>>”:la persona física o
jurídica, autoridad pública, servicio u otro organismo que, sólo o junto con otros,
determine los fines y medios del tratamiento; si el Derecho de la Unión o de los
Estados miembros determina los fines y medios del tratamiento, el responsable del
tratamiento o los criterios específicos para su nombramiento podrá establecerlos el
Derecho de la Unión o de los estados miembros;”
De conformidad con las definiciones recogidas en los reseñados apartados 1, 2
y 7) del artículo 4 del RGPD, la difusión en la fachada acristalada, hacia el exterior, y
en la página web del Centro educativo EEIM de los datos identificativos (nombre y
apellidos) contenidos en los listados provisionales y definitivos de alumnos admitidos
y no admitidos para el curso escolar 2018/2019, así como la exposición en la
reseñada fachada acristalada del censo electoral (censo de responsables) del año
académico 2018/2019 con los datos identificativos(nombre, apellidos y DNI
completo) de los padres y tutores legales de los alumnos con motivo de la elección de
los miembros del Consejo Escolar del Centro, constituye un tratamiento de datos
personales por parte del reclamado, en su condición de responsable de dicho
tratamiento.
III
Se imputa al reclamado la comisión de una infracción al principio de
confidencialidad recogido en el artículo 5.1.f) del RGPD, que bajo la rúbrica “Principios
relativos al tratamiento”, establece que:
“1. Los datos personales serán:
(…)
“f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y
contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas
técnicas u organizativas apropiadas (<<integridad y confidencialidad>>)”
Por su parte el apartado 2 del citado artículo 5 del RGPD establece que: “2. El
responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)”, precepto éste
que ha de ponerse en relación con lo previsto en el artículo 32.2 del mismo
Reglamento, que en cuanto a la “Seguridad del tratamiento, establece que: ”Al
evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los
riesgos que presente el tratamiento de datos, en particular como consecuencia de la
destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos,
conservados o tratados de otra forma, o la comunicación o acceso no autorizados a
dichos datos”.
A su vez, el artículo 5 de la LOPDGDD, en cuanto a los “Principios de
protección de Datos”, establece:
“Artículo 5. Deber de confidencialidad.
1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/18
2. La obligación general señalada en el apartado anterior será complementaria
de los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán
aun cuando hubiese finalizado la relación del obligado con el responsable o encargado
del tratamiento.”
IV
En el presente caso, del conjunto de elementos de juicio disponibles en el
procedimiento, en particular de la documentación aportada por la reclamante y de las
manifestaciones efectuadas por el reclamado en los escritos de alegaciones
presentados durante la tramitación del mismo, se estima que la exposición en la
cristalera de la fachada exterior del centro escolar, en lugar de en el tablón de
anuncios del interior del recinto escolar, de los datos identificativos contenidos no sólo
en los listados provisionales y definitivos de alumnos admitidos y no admitidos para el
curso 2018/2019 (nombres y apellidos), sino también de los datos identificativos
(nombres, apellidos y DNIs completos) de los padres y tutores legales de los alumnos
incluidos en el censo electoral del año académico 2018/2019, así como la difusión en
abierto, y sin restricciones, en la página web del centro escolar de la información de
carácter personal recogida en los mencionados listados provisionales y definitivos,
constituye un tratamiento de datos de carácter personal por parte del reclamado, en
su condición de responsable de dicho tratamiento, que vulnera el principio de
confidencialidad previsto en el artículo 5.1.f) del citado Reglamento.
El reclamado ha justificado su conducta defendiendo que la publicación de los
reseñados listados definitivos de alumnos admitidos y no admitidos encuentra su
legitimación en el cumplimiento de una obligación legal aplicable al responsable del
tratamiento (artículo 6.1.c RGPD) al tratarse de procedimientos de concurrencia
competitiva, que concreta en lo dispuesto en el artículo 45.1.b) de la LPACAP y los
artículos 30 y 31 de la Orden de 12 de marzo de 2013, por la que se desarrolla el
procedimiento para la admisión del alumnado en centros docentes sostenidos con
fondos públicos que impartan enseñanzas de 2º ciclo de educación infantil, de
educación primaria, de educación secundaria obligatoria y de bachillerato reguladas en
la Ley orgánica 2/2006, de 3 de mayo, de educación, (en adelante, Orden de 12 de
marzo de 2013), amén del consentimiento otorgado por los interesados en el
momento de presentar las solicitudes de admisión para el tratamiento y publicación
de los datos personales recogidos en la tramitación de este tipo de procedimientos al
objeto de gestionar el procedimiento e informar a las personas interesadas sobre su
tramitación (artículo 6.1.a) del RGPD).
El citado artículo 45.1. de la LPACAP, bajo la rúbrica “Publicación”, establece:
“1. Los actos administrativos serán objeto de publicación cuando así lo
establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen
razones de interés público apreciadas por el órgano competente.
En todo caso, los actos administrativos serán objeto de publicación, surtiendo
ésta los efectos de la notificación, en los siguientes casos:
a) Cuando el acto tenga por destinatario a una pluralidad indeterminada de
personas o cuando la Administración estime que la notificación efectuada a un solo
interesado es insuficiente para garantizar la notificación a todos, siendo, en este último
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/18
caso, adicional a la individualmente realizada.
b) Cuando se trate de actos integrantes de un procedimiento selectivo o de
concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del
procedimiento deberá indicar el medio donde se efectuarán las sucesivas
publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.” (El
subrayado es de la AEPD)
Los artículos 30.1 y 31.2 y 3 de la Orden de 12 de marzo de 2013 establecen lo
siguiente: “Artículo 30. Publicación de la lista provisional de personas admitidas y no
admitidas y reclamaciones.
1.A la vista de las solicitudes de admisión presentadas, y una vez determinada
la puntuación resultante de aplicar los criterios de baremo, en su caso, el centro
publicará en su tablón de anuncios y en su página web la relación nominal de todo el
alumnado admitido y no admitido por curso, por orden de la puntuación total obtenida.”
El subrayado es de la AEPD)
“Artículo 31. Publicación de la lista definitiva de personas admitidas y no
admitidas:
1.(…)
2. La dirección de los centros públicos y la titularidad de los centros privados
concertados publicarán en su tablón de anuncios y en su página web, antes del 15 de
mayo de cada año, las listas definitivas de personas admitidas y no admitidas,
ordenadas según la puntuación total, indicando expresamente la forma concreta para
su impugnación, órgano competente y plazo, de acuerdo con el artículo siguiente.
3.Estas listas definitivas permanecerán expuestas en el tablón de anuncios y
en la página web del centro hasta el día de inicio del nuevo curso escolar.” (…)”El
subrayado es de la AEPD)
Sin embargo, en ningún momento de la tramitación del procedimiento la
conducta objeto de infracción se ha asociado a la conculcación del principio de licitud
del tratamiento de los datos personales utilizados en la publicación de los listados de
alumnos o del censo electoral, sino que desde su inicio se ha fundado en la
vulneración del principio de confidencialidad del tratamiento recogido en el artículo
5.1.f) del citado RGPD, materializado en una exposición indiscriminada de la
información de carácter personal publicada (datos identificativos) a terceros no
interesados.
No se cuestiona que los listados del alumnado estudiados deban ser objeto de
publicación conforme a lo previsto en el artículo 45.1.b) de la LPACAP. Lo que se
imputa es que el reclamado ha publicado la información de carácter personal
contenida en los listados estudiados y ha expuesto los datos identificativos contenidos
en el censo electoral reseñado sin respetar el principio de confidencialidad que resulta
de aplicación al tratamiento de esa información de carácter personal.
Así, consta probado en el procedimiento que el reclamado ha incumplido el
deber de confidencialidad que le resulta exigible al no haber tomado medidas técnicas
u organizativas previas tendentes a garantizar un nivel adecuado de seguridad que
impidiera la comunicación y/o acceso indiscriminado de esa información de carácter
personal por parte de terceros no interesados en el procedimiento de concurrencia
competitiva de admisión de alumnos o en el proceso de elección de representantes
de los padres en el Consejo Escolar .
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/18
De esta forma, la exposición de los documentos anteriormente reseñados a
través de las cristaleras de la fachada del centro escolar colocados de modo que los
datos personales contenidos en los mismos pudieran visualizarse desde el exterior,
contraviene el medio de publicación determinado por el artículo 31.2 y 3 de la
Orden de 12 de marzo de 2013 para los listados provisionales y definitivos de alumnos
admitidos y no admitidos, donde se fija como tal el tablón de anuncios del centro
escolar, que es el mismo medio que figura en el artículo 41 del Decreto 92/1988, de
28 de abril, para la publicación del listado del censo electoral.
La publicación de dichos documentos con datos identificativos de los
interesados en las cristaleras de la fachada del centro escolar en lugar de en el
tablón de anuncios del interior del recinto escolar, donde deberían haber sido
expuestos con arreglo a lo previsto en el artículo 45.1.b) de la LPACAP y los
preceptos anteriormente citados de la Orden de 12 de marzo de 2013 y del Decreto
92/1988, ha propiciado la revelación de esta información de carácter personal a
terceros ajenos a los procesos en cuestión, puesto que ha permitido su visualización y
acceso indiscriminados por terceros no interesados ajenos a los procedimientos de
admisión de alumnado o de celebración de las elecciones al consejo escolar. Téngase
en cuenta que la información de carácter personal recogida en dichos listados
resultaba accesible sin ningún tipo de restricción a cualquier persona que transitase
por la zona exterior del centro escolar a la que daba la fachada acristalada.
Por su parte, la publicación en la página web del centro escolar, en abierto y sin
ningún tipo de restricción, de los mencionados listados provisionales y definitivos de
alumnos ha supuesto un acceso indiscriminado a la información de carácter personal
contenida en esos documentos, puesto que no se había limitado su acceso a los
interesados que solicitaron participar en los procedimientos de admisión de alumnos
en cuestión, que son los participantes en los procedimientos de concurrencia
competitiva.
Por tanto, la divulgación de datos personales a terceros no interesados con
motivo de la publicación y/o difusión del contenido de los documentos objeto de
estudio anteriormente mencionados de forma indiscriminada, constituye un
incumplimiento del principio de confidencialidad relativo al tratamiento, habiéndose,
por tanto, vulnerado el artículo 5.1.f) del RGPD.
El reclamado, en su condición de responsable de dicho tratamiento, debería de
haber adoptado e implementado, en forma proactiva, las medidas técnicas y
organizativas que resultasen apropiadas para evaluar y garantizar un nivel de
seguridad adecuado a los probables riesgos de diversa naturaleza y gravedad
vinculados a los tratamientos de datos realizados que pudieran afectar, entre otros, al
principio de confidencialidad, estableciendo para ello las medidas de seguridad que
resultasen necesarias para evitar que se produjera la difusión de datos personales a
terceros no interesados en los procedimientos de concurrencia competitiva y de
elección de miembros del Consejo Escolar en cuyo marco se han producido los
hechos objeto de infracción.
A estos efectos se recuerda que el artículo 24.2 del RGPD, en línea con lo
también dispuesto en los artículos 5.2 y 32.2 transcritos en el Fundamento de Derecho
anterior, establece lo siguiente respecto de las obligaciones a cumplir por el
responsable del tratamiento en relación con la “Protección de datos desde el diseño y
por defecto”:
“2. El responsable del tratamiento aplicará las medidas técnicas y organizativas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/18
apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento
los datos personales que sean necesarios para cada uno de los fines específicos del
tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a
la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales
medidas garantizarán en particular que, por defecto, los datos personales no sean
accesibles, sin la intervención de la persona, a un número indeterminado de personas
físicas.” (El subrayado es de la AEPD)
Sentado lo anterior debe rechazarse el argumento de que la única cautela que
resulta de aplicación en relación con las publicaciones llevadas a cabo por las
administraciones públicas es la prevista en la disposición adicional séptima de la
LOPDGDD, ya que la misma se circunscribe a determinar el modo en el que deberá
producirse la “Identificación de los interesados en las notificaciones por medio de
anuncios y publicaciones de actos administrativos”, asunto que no es objeto de
análisis en este procedimiento conforme se ha justificado en el Antecedente de Hecho
Tercero de esta resolución y que, en cualquier caso, tampoco resultaría óbice para
analizar el supuesto que nos ocupa vinculado al incumplimiento del principio de
confidencialidad recogido en el artículo 5.1.f) RGPD y con fundamento en los
hechos que han resultado probados.
En cuanto al alegato relativo a que en la ponderación de los intereses
implicados primaría el interés público en la eficacia de la notificación a través de la
publicación y en la garantía del ejercicio del derecho de defensa de intereses
legítimos, directamente o a través de asociaciones protectoras de intereses colectivos
que puedan personarse a posteriori, frente a los derechos de las personas implicadas,
cuya privacidad se ve afectada en niveles de rango mínimo, además de reiterar los
argumentos expuestos respecto de la aplicabilidad al supuesto estudiado del deber
de confidencialidad, en el caso señalado por el reclamado dichas asociaciones
podrían ejercer derecho de acceso a esa información justificado su condición de
interesados .
V
Los apartados b), d) e i) del artículo 58.2 del RGPD, “Poderes”, disponen lo
siguiente:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con
apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en
el presente Reglamento;”
(...)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;”
“i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/18
A los efectos de determinar la sanción que pudieran llevar aparejada la
mencionada infracción han de tenerse en cuenta los siguientes preceptos:
El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas”, establece en su apartado 5.a) que:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de
acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
A su vez, el artículo 72.1.a) de la LOPDGDD, bajo la rúbrica “Infracciones
consideradas muy graves”, dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”
Paralelamente, el artículo 83.7 del RGPD establece que:
“Sin perjuicio de los poderes correctivos de las autoridades de control en virtud
del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se
puede, y en qué medida, imponer multas administrativas a autoridades y organismos
públicos establecidos en dicho Estado miembro”
En tal sentido, los apartados 1.c), 2, 4 y 5 del artículo 77 de la LOPDGDD, bajo
la rúbrica “Régimen aplicable a determinadas categorías de responsables o
encargados del tratamiento“, establecen lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos
de los que sean responsables o encargados:
(…)
c) La Administración General del Estado, las Administraciones de las
comunidades autónomas y las entidades que integran la Administración Local.
(…)
2. Cuando los responsables o encargados enumerados en el apartado 1
cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de
esta ley orgánica, la autoridad de protección de datos que resulte competente dictará
resolución sancionando a las mismas con apercibimiento. La resolución establecerá
asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan
los efectos de la infracción que se hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al
órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran
la condición de interesado, en su caso.”
“4. Se deberán comunicar a la autoridad de protección de datos las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/18
resoluciones que recaigan en relación con las medidas y actuaciones a que se
refieren los apartados anteriores
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones
análogas de las comunidades autónomas las actuaciones realizadas y las
resoluciones dictadas al amparo de este artículo.”
Con arreglo a lo expuesto, el reclamado resulta responsable de la comisión de
una infracción a lo dispuesto en el artículo 5.1.f) del RGPD, tipificada en el artículo
83.5.a) del citado texto legal y calificada como muy grave a efectos de prescripción en
el artículo 72.1.a) de la LOPDGDD, pudiendo ser sancionado, de acuerdo con lo
dispuesto en el artículo 58.2.b) del RGPD, con apercibimiento.
En este caso, la Consejería comunicó en su escrito de alegaciones al
acuerdo de inicio la adopción de las siguientes medidas: a) En futuras elecciones al
Consejo Escolar se adoptará el criterio de que los listados del censo únicamente se
publiquen en el tablón interno del centro; b) La puesta en marcha de las medidas
pertinentes para que cada vez que sea necesario realizar una publicación con
nombres íntegros y DNI, el propio sistema informático genere el documento
respetando lo dispuesto en la disposición adicional séptima de la LOPDGDD y,
particularmente, las orientaciones emitidas por la AEPD relativas a los dígitos del DNI
que deben eliminarse de las publicaciones. Posteriormente, en el escrito de
alegaciones a la propuesta de resolución indico que las publicaciones enmarcadas en
el proceso de concurrencia competitiva se realizarán, como medida proactiva, en una
parte de la página web de los centros educativos que no permita la indexación por
parte de los buscadores automatizados.
Sin embargo, en ninguno de los escritos de alegaciones presentados dicha
Consejería ha hecho referencia a la adopción de medidas tendentes a impedir el uso
de la fachada acristalada del centro escolar para publicitar, de forma que resultan
visibles desde el exterior del centro, los mencionados listados provisionales y
definitivos de alumnos admitidos y no admitidos por curso. Por el contrario, en las
alegaciones a la propuesta de resolución el reclamado afirmaba que “no se identifica
obligación legal” para que dichos listados hubieran de publicarse en el tablón interno
del centro al tratarse de un proceso de admisión de concurrencia competitiva,
obviando que el tablón de anuncios de los centros escolares constituye uno de los
lugares fijados por los artículos 30.1 y 31.2 y 3 de la Orden de 12 de marzo de 2013
para publicar tales listados.
Tampoco ha indicado el establecimiento de mecanismos de seguridad tendentes
a evitar accesos indiscriminados de terceros no interesados a la información de
carácter personal contenida en los listados provisionales y definitivos de alumnos
publicados, en las páginas web de los centros escolares.
Para lo cual, el reclamado debería implementar un sistema que asegurase un
acceso a esa información personal publicada en las páginas web limitado y exclusivo a
las personas interesadas en esos procedimientos. A título de sugerencia, podría
habilitarse un sistema de acceso con clave y contraseña que permitiera únicamente a
los participantes interesados en los procedimientos selectivos o de concurrencia
competitiva acceder a los actos publicados por ese medio.
Sentado lo anterior, se estima conveniente aplicar lo establecido en el artículo
58.2.d) del RGPD, ordenando al reclamado llevar a cabo una serie de actuaciones
concretas para adecuar las operaciones del tipo de tratamiento estudiado a lo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/18
dispuesto en el artículo 5.1.f) del RGPD que ha resultado conculcado, debiendo
aplicarse las medidas técnicas y organizativas necesarias para garantizar la debida
adecuación entre el principio de confidencialidad en el tratamiento de los datos
personales con la publicidad de determinados actos administrativos que contienen
datos de carácter personal.
Tales medidas habrán de adoptarse por el reclamado en el plazo de UN MES,
computado desde el día siguiente al de la notificación de esta resolución
sancionadora, debiendo acreditarse por el reclamado su cumplimiento en idéntico
plazo mediante la aportación de documentación o cualquier otro medio de prueba
válido en derecho que permita verificar su adopción e implementación en forma
fehaciente.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a LA CONSEJERIA DE EDUCACIÓN, ÚNIVERSIDAD Y
FORMACIÓN PROFESIONAL, con NIF S1511001H, de conformidad con lo previsto en
el artículo 58.2.b) del RGPD, una sanción de APERCIBIMIENTO por una infracción del
artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD.
SEGUNDO: ORDENAR a LA CONSEJERIA DE EDUCACIÓN, ÚNIVERSIDAD Y
FORMACIÓN PROFESIONAL, con NIF S1511001H, de conformidad con lo previsto en
el artículo 58.2.d) del RGPD, la adopción de medidas técnicas y organizativas
adecuadas para garantizar el principio de confidencialidad, que en lo que se refiere al
Centro Escolar estudiado se focalizarán en impedir la publicación de actos
administrativos que contengan datos personales en la fachada acristalada, y hacia el
exterior, del centro escolar que nos ocupa, utilizando para ello el tablón de anuncios
del interior del centro. En general, dichas medidas se extenderán a evitar que la
información de carácter personal contenida en actos administrativos objeto de
publicación en los medios establecidos por la normativa aplicable al supuesto no
resulten visibles y/o accesibles desde el exterior de los centros escolares, debiendo
también implementarse mecanismos que garanticen que el acceso al contenido de
esos actos administrativos publicados en la página web de los Centros Escolares se
restrinja a las personas interesadas en los procedimientos de selección o pública
concurrencia de que se trate.
Dichas medidas se habrán de adoptar, en su caso, en el plazo de un mes
computado desde el día siguiente al de la notificación de la presente resolución,
debiendo aportarse los medios de prueba acreditativos de su cumplimiento en idéntico
plazo.
TERCERO: NOTIFICAR la presente resolución a la CONSEJERIA DE EDUCACIÓN,
ÚNIVERSIDAD Y FORMACIÓN PROFESIONAL, con NIF S1511001H
CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/18
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es