Resolución de la Agencia Española de Protección de Datos PS-00024-2019 de 10 de julio de 2020

Cuestión

1 / 18

Procedimiento Nº: PS/00024/2019

938-051119

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y

en base a los siguientes

ANTECEDENTES

PRIMERO : Con fecha 12 de septiembre de 2018 Dña. A.A.A. (en adelante...

Contestacion

1/18

Procedimiento Nº: PS/00024/2019

938-051119

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y

en base a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 12 de septiembre de 2018 Dña. A.A.A. (en adelante, la

reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos

contra el Centro Educativo ESCUELA EDUCACION INFANTIL DE MILLADOIRO

(AMES), (en lo sucesivo, Centro Escolar o EEI), con motivo de la exposición del

listado definitivo de alumnos admitidos para el curso 2018/2019, de fecha 14 de mayo

de 2018, en la fachada principal y acristalada del centro, de modo que resulta

accesible desde el exterior a cualquier viandante o vecino. Añadía la reclamante que

dicho listado también se publica en la página web del mencionado Centro.

El reseñado listado, del que la reclamante ha aportado una copia, contiene

detalle del número de orden, nombres, apellidos y puntuación de un total de 100

alumnos admitidos para dicho curso escolar en el mencionado Centro, dependiente de

la CONSEJERÍA DE EDUCACIÓN, UNIVERSIDAD Y FORMACIÓN PROFESIONAL

DE LA JUNTA DE GALICIA, (en adelante, la Consejería o el reclamado).

También expone la reclamante que el centro escolar hizo entrega a todas las

familias de la clase de su hija menor de una lista con los datos identificativos de los

alumnos integrantes del grupo, cuya copia adjunta.

SEGUNDO: Con fecha 11 de octubre de 2018, de conformidad con el artículo 9.4 del

Real Decreto-Ley 5/2018, se dio traslado de la reclamación presentada por la

reclamante al citado Centro escolar para que en el plazo de un mes procediese a

informar a esta Agencia sobre las causas que habían motivado los hechos expuestos

en la reclamación e informase las medidas adoptadas para evitar que se produjeran

incidencias similares.

En respuesta a dicho requerimiento de información, con fecha 28 de noviembre

de 2018, se registra de entrada en esta Agencia escrito del reclamado indicando en lo

que respecta a la exposición del listado de admitidos lo que sigue:

?Que el proceso de admisión de alumnado en centros públicos es un proceso

de concurrencia competitiva, en dichos procedimientos de concurrencia competitiva

debe regir la más absoluta transparencia de forma que los lisados de alumnado

admitido siempre se hacen públicos.

Debe señalarse además que la Ley 39/2015, de 1 de octubre, del

Procedimiento Administrativo Común de las Administraciones públicas prevé en su

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/18

artículo 45 a posibilidad de sustituir la notificación individualizada por la publicación en

determinados procedimientos. En concreto incluye en dicha previsión a los ?actos

integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier

tipo. En este caso la convocatoria del procedimiento deberá indicar el medio donde se

efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo

en lugares distintos.?

Al tratarse pues de un procedimiento de concurrencia competitiva existe una

habilitación legal para proceder a la publicación de dichos listados de personas

admitidas, habilitación legal que se ha concretado en la Orden de 12 de marzo de

2013 por la que se desarrolla el procedimiento para la admisión del alumnado en

centros docentes sostenidos con fondos públicos que impartan enseñanzas de 2º

ciclo de educación infantil, de educación primaria, de educación secundaria

obligatoria y de bachillerato reguladas en la Ley Orgánica 2/2006, de 3 de mayo, de

educación (DOG 15/03/2013), recientemente modificada por la Orden de 25 de enero

de 2017 por la que se modifica la Orden de 12 de marzo de 2013 (?) (DOG

01/02/2017).

El artículo 30 de la de 12 de marzo de 2013 (?) establece lo siguiente:

?Artículo 30. Publicación de la lista provisional de personas admitidas y no admitidas y

reclamaciones

1. A la vista de las solicitudes de admisión presentadas, y una vez

determinada la puntuación resultante de aplicar los criterios de baremo, en su caso, el

centro publicará en su talón de anuncios y en su página web la relación nominal de

todo el alumnado admitido y no admitido por curso, por orden de la puntuación total

obtenida.?

Asimismo, su artículo 31 establece que:

?2. La dirección de los centros públicos y la titularidad de los centros privados

concertados publicarán en su tablón de anuncios y en su página web, antes del 15 de

mayo de cada año, las listas definitivas de personas admitidas y no admitidas (?)?

Por lo tanto, como primera premisa debe señalarse que la publicación tanto en

la página web del centro como en el tablón de anuncios está expresamente habilitada

por la normativa vigente.

Debe tenerse en cuenta además que la disposición adicional tercera de dicha

Orden de 12 de marzo de 2013, en su redacción dada por la Orden de 25 de enero de

2017, establece lo siguiente:

protección de datos de carácter personal, los datos personales recogidos en la

tramitación de este procedimiento cuyo tratamiento y publicación autoricen las

personas interesadas mediante la presentación de las solicitudes serán incluidos en

un fichero denominado >

con el objeto de gestionar el presente procedimiento, así como para informar a las

personas interesadas sobre su tramitación . El órgano responsable de este fichero es

la Consellería de Cultura, Educación y Ordenación Universitaria de la Xunta de

Galicia. (?)>>

Resulta de especial relevancia que la propia orden reguladora del

procedimiento señala que el tratamiento y publicación de los datos personales son

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/18

autorizados por las propias personas interesadas mediante la presentación de la

solicitud.

Estamos por lo tanto ante un supuesto de consentimiento de los afectados

para el tratamiento y publicación de dichos datos personales, que se manifiesta con la

presentación de la solicitud, por lo que la reclamante, al firmar y presentar su solicitud,

consintió dicha publicación.

La reclamante también manifiesta su disconformidad con el hecho de que la

publicación en el tablón se realice en la cristalera del centro educativo, a este

respecto debe señalarse que consultada la situación, el centro no dispone de un

tablón de anuncios como tal, sino que se emplean las cristaleras de la escuela para

transmitir información a las familias en las que se fija la información del centro, de la

ANPA (actividades extraescolares, etc) y delas actividades didácticas y pedagógicas

del Ayuntamiento de Ames.

Durante el periodo de admisión, y puesto que se debe publicar mucha

documentación (instrucción de la consellería, datos del centro, listados provisionales,

listados definitivos, etc.) se emplea la cristalera que está al frente de la escuela, pues

es más amplia y permite un visionado correcto de toda la documentación.

Debe señalarse que como ya se ha indicado la orden que regula el

procedimiento de admisión prevé la publicación no sólo en el tablón de anuncios del

centro, sino también en su página web, incluyendo por lo tanto un medio de

publicación alternativo que implica una publicidad mucho mayor que el tablón de

anuncios del centro.

Por lo tanto, no se puede aducir por la reclamante que desconocía que la

información que se publicaría sería accesible a personas ajenas al centro educativo,

ya que la propia convocatoria señalaba que se publicarían los listados en el tablón de

anuncios y en la página web, previsión que hace irrelevante el hecho de que el tablón

de anuncios sea accesible desde la calle, pues la página web del centro es accesible

por cualquier persona desde cualquier ordenador del mundo.

En tercer lugar alega la reclamante que el centro hace entrega de una lista con

los integrantes del grupo escolar que le corresponde a la menor a todas las familias de

la clase.

Con respecto a este punto, debe señalarse que la entrega de dicha lista

responde según indica el propio centro educativa a que durante el período de

adaptación (con una duración de 10 días) se realizan agrupamientos flexibles de tal

manera que se vaya combinando el alumnado en cada sesión y la hora de asistencia.

(?)

Por lo tanto, quiere con ello explicarse que la elaboración de dichos listados y

su entrega no responde a una arbitrariedad del centro, sino a la voluntad de prestar un

mejor servicio que facilite el periodo de adaptación a las familias. No obstante, de cara

a futuros inicios de cursos escolares, desde la Secretaría General Técnica se ha

comunicado al centro que para continuar utilizando este sistema deberán recabar

autorización de los representantes legales del alumnado para la distribución del listado

a las demás familias del aula. En caso de no disponer de la oportuna autorización

deberá implantarse un sistema distinto que no conlleve dicha entrega.?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/18

TERCERO: Con fecha 2 de diciembre de 2018 la reclamante presenta ampliación de

la reclamación adjuntando la siguiente documentación:

- Impresión de un documento, de fecha 30 de noviembre de 2018, a la

atención del Secretario General Técnico de la Consejería, en uno de cuyos apartados

se indica que ?Ante la elección de los miembros del Consejo Escolar, En el centro

educativo publican en la cristalera y hacia afuera la lista de padres de familia que

conforman la comunidad educativa asociando a cada nombre y apellidos su DNI

completo sin pixelar parte de él?. La reclamante no acredita el origen, autoría ni

naturaleza de dicho documento.

- Captura parcial de una hoja del listado ?Censo de Responsables? del

EEI do Milladoiro, Año Académico 2018/2019, que contiene los nombres, apellidos y

DNIs de los responsables detallados en los números 288 al 311 del Censo. Este

documento no prueba, por sí mismo, el lugar exacto de colocación de dicho listado.

- Dos fotografías en las que se muestra una cristalera con documentación

expuesta, pero que no permiten conocer el contenido ni naturaleza de los documentos

expuestos en dicha cristalera.

En cuanto a la falta de pixelación del DNI contenido en el ?Censo de

Responsables? supuestamente difundido en la mencionada cristalera, señalar que en

la fecha de presentación de la ampliación de la reclamación, posterior necesariamente

a la fecha de emisión del citado censo, no se encontraba en vigor la Ley Orgánica

3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los

derechos digitales, y, por lo tanto, no era de aplicación la Disposición adicional

séptima contenida en dicha norma, relativa a la ?Identificación de los interesados en

las notificaciones por medio de anuncios y publicaciones de actos administrativos?,

cuyo apartado 1 dispone:

?1. Cuando sea necesaria la publicación de un acto administrativo que

contuviese datos personales del afectado, se identificará al mismo mediante su

nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento

nacional de identidad, número de identidad de extranjero, pasaporte o documento

equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas

cifras aleatorias deberán alternarse.

Cuando se trate de la notificación por medio de anuncios, particularmente en

los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del

Procedimiento Administrativo Común de las Administraciones Públicas, se identificará

al afectado exclusivamente mediante el número completo de su documento nacional

de identidad, número de identidad de extranjero, pasaporte o documento equivalente.

Cuando el afectado careciera de cualquiera de los documentos mencionados

en los dos párrafos anteriores, se identificará al afectado únicamente mediante su

nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera

conjunta con el número completo del documento nacional de identidad, número de

identidad de extranjero, pasaporte o documento equivalente.?

CUARTO: Con fecha 10 de mayo de 2019, la Directora de la Agencia Española de

Protección de Datos acordó iniciar procedimiento sancionador al reclamado, de

conformidad con lo previsto en el artículo 58.2 del RGPD, por la presunta infracción del

artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/18

En dicho acuerdo se señalaba ?Que, de confirmarse la existencia de las

infracciones descritas, a los efectos previstos en el artículo 58.2 del RGPD las

medidas correctivas que podrían imponerse a la CONSEJERIA DE EDUCACIÓN,

UNIVERSIDAD Y FORMACIÓN PROFESIONAL DE LA JUNTA DE GALICIA, en la

resolución, consistirían, a la vista de los elementos de juicio disponibles en este

momento, en ORDENARLE la adopción de medidas técnicas y organizativas

adecuadas para garantizar el principio de confidencialidad en orden a evitar que

terceros no interesados accedan a la información de carácter personal obrante en

actos administrativos referidos, tanto a quienes participan en procedimientos

selectivos o de concurrencia competitiva que deban ser objeto de notificación

mediante su publicación en tablones de anuncios o páginas web, como a los datos

de carácter personal concernientes a los interesados cuya identificación deba figurar

en actos administrativos a publicar en la forma señalada, evitando, en cualquier

caso, que esos datos resulten accesibles en forma indiscriminada desde la vía pública

o en abierto desde los sitios web, amén de que los datos publicados respondan al

principio de minimización de datos respecto de los fines para los que son tratados.

Dichas medidas se habrían de adoptar, en su caso, en el plazo que se señale

computado desde la fecha en la que se le notifique la resolución sancionadora,

debiendo aportarse los medios de prueba acreditativos de su cumplimiento.?

QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de

alegaciones en el que, en síntesis, se ratificaba en las manifestaciones efectuadas en

el escrito de contestación al requerimiento de información efectuado junto con el

traslado de la reclamación.

-En cuanto a la publicación de los listados de alumnos admitidos en la página

web del Centro Escolar y en la fachada acristalada del mismo, visibles desde el

exterior, se reitera que el proceso de admisión de alumnado en centros públicos

constituye un procedimiento de concurrencia competitiva, regido por el principio de

transparencia, publicándose dichos listados amparo de lo previsto en el artículo 45 de

la LPACAP y conforme a lo concretado en la Orden de 12 de marzo de 2013.

Aduce que dicha publicación se ampara en dos bases legitimadoras

contempladas en el RGPD y la LOPDGDD.

La primera base legitimadora responde a lo previsto en el artículo 6.1.e) del

RGPD, al existir una norma que habilita expresamente a la administración para realizar

dicha publicación. A este respecto, se señala que el proceso de escolarización

responde al cumplimiento de una misión de interés público atribuida a la

administración educativa por la Ley Orgánica 2/2006, de 3 de mayo, de educación.

Con respecto al modo concreto de notificación de la resolución de dicho

proceso, el artículo 45.1.b) de la LPACAP establece la obligación legal para la

administración responsable del tratamiento de sustituir la notificación individualizada

de la resolución por la publicación en los procedimientos selectivos o de concurrencia

competitiva. Además, los artículos 30 y 31 de la Orden de 12 de marzo de 2013, cuya

transcripción aparece en el Antecedente segundo anterior, habilitan expresamente la

publicación de las listas de las personas admitidas y no admitidas en la página web del

centro y en el tablón de anuncios.

La segunda base legitimadora, responde a lo previsto en el artículo 6.1.a) del

RGPD, en tanto que con arreglo a lo dispuesto en la disposición adicional tercera de la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/18

mencionada Orden de 12 de marzo mediaría el consentimiento del afectado para el

tratamiento y publicación de los datos personales recogidos en la tramitación de este

procedimiento al haberlo autorizado ?las personas interesadas mediante la

presentación de las solicitudes?. Por lo que al firmar y presentar las solicitudes de

admisión correspondientes a sus hijas, cuya copia aporta el reclamado, la reclamante

consintió dicha publicación.

-En cuanto a la disconformidad de la reclamante con el hecho de que la

publicación en el tablón se realice en la cristalera del centro educativo, la Consejería

reitera lo expresado en relación con que ?el centro no dispone de un tablón de

anuncios como tal, empleando las cristaleras que están al frente de la escuela para

transmitir diversa información a las familias? y publicar la documentación referida al

período de admisión, dado que por su amplitud permite un visionado correcto de toda

la documentación.

- La publicación de los listados del censo resulta necesaria para el

procedimiento de celebración de las elecciones al Consejo Escolar, estableciéndose

en el artículo 44 del Decreto 92/1988, por el que se regulan los órganos de gobierno

de los centros públicos docentes, que ?El censo electoral deberá exponerse en el

tablón de anuncios del centro con diez días, al menos, de antelación a la fecha fijada

para el acto electoral, para la comprobación y posible reclamación por parte de los

padres y tutores legales de los alumnos?.

Se señala que el objetivo de publicar los listados en la cristalera de forma que

sean accesibles desde el exterior responde a un intento de facilitar la consulta del

censo a los progenitores, ya que de esta forma pueden consultarlo incluso en

momentos en que la escuela se encuentre cerrada.

- Comunican la adopción de medidas tendentes a dar cumplimiento a lo

previsto en la Disposición adicional séptima de la LOPDGDD y a publicar los listados

del electoral en el tablón interno del Centro Escolar.

SEXTO: Con fecha 15 de noviembre de 2019 se formuló propuesta de resolución, en

el sentido de que por la Directora de la Agencia Española de Protección de Datos se

impusiera al reclamado, de conformidad con lo previsto en el artículo 58.2.b) del

RGPD, una sanción de apercibimiento por una infracción del artículo 5.1.f) del RGPD,

tipificada en el artículo 83.5.a) del RGPD.

Asimismo, se proponía que, de no haberse acreditado la subsanación de la

situación irregular descrita con anterioridad a la emisión de la resolución que

procediese acordar, la Directora de la Agencia Española de Protección de Datos

ordenase al reclamado, de conformidad con lo previsto en el artículo 58.2.d) del

RGPD, ?la adopción de medidas técnicas y organizativas adecuadas para garantizar

el principio de confidencialidad, que en lo que se refiere al Centro Escolar estudiado

tenderán a impedir la publicación de actos administrativos que contengan datos

personales en la fachada acristalada , y hacia el exterior, del Centro Escolar que nos

ocupa. En general, dichas medidas se extenderán a evitar que la información de

carácter personal contenida en ese tipo de actos administrativos objeto de

publicación en los medios establecidos a tales efectos no resulten visibles y/o

accesibles desde el exterior de los centros escolares, debiendo también

implementarse mecanismos que garanticen que el acceso al contenido de esos

actos administrativos publicados en la página web de los Centros Escolares se

restrinja a las personas interesadas en los procedimientos (participantes).? .

Igualmente, se indicaba que tales medidas correctoras de habrían de adoptar, en su

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/18

caso, en el plazo de un mes computado desde el día siguiente a la fecha en la que se

notificase la resolución sancionadora, debiendo aportarse los medios de prueba

acreditativos de su cumplimiento en idéntico plazo.

SÉPTIMO: Notificada la citada propuesta de resolución, el reclamado presentó escrito

de alegaciones manifestando su discrepancia frente a la vulneración que se le

imputaba, en base a los siguientes argumentos:

- Conforme a lo mantenido en la propuesta de resolución, cualquier publicación

realizada por una administración pública al amparo de la LPACAP o con arreglo a lo

previsto en el artículo 20 de la Ley 38/2003, de 17 de noviembre, General de

Subvenciones, ?resultaría contraria al principio de confidencialidad, ya que se está

categorizando como de exposición ?indiscriminada? una publicación que no sólo

cuenta con una base legitimadora no controvertida, sino que además en sus

elementos formales es acorde con lo dispuesto en la LOPDGDD.? . Reitera que la

admisión de alumnado en centros públicos es un procedimiento de concurrencia

competitiva en el que resulta obligado sustituir la notificación individualizada por la

publicación en aplicación de una norma con rango de ley (artículo 45 de la LPACAP).

-Partiendo de que la disposición adicional séptima de la LOPDGDD incluye las

cautelas concretas que resultan de aplicación en las publicaciones de las

administraciones, se afirma que ?a sensu contrario? cabe entender que ?en los demás

aspectos relativos a la publicación, no se establece ningún otro tipo de cautela

legalmente necesaria, como evitar la publicación en abierto mediante el acceso con

clave y contraseña que sugiere la AEPD, sino, como se ha señalado, se dispone la

forma correcta de materializar la publicación obligatoria del acto administrativo, que es

respetuosa, al mismo tiempo, con los límites normativos referidos a la protección de

datos personales.?.

Añade que dichas cautelas están concebidas, entre otros, para los casos en

que la publicación ha de surtir efectos de notificación, principalmente, a través de

boletines oficiales que a la fecha de entrada en vigor de la LOPDGDD tenían, en su

mayoría, carácter electrónico, posibilitando de este modo la máxima difusión o

publicidad entre la ciudadanía de los actos publicados a través del acceso libre en

Internet. Al hilo de lo cual, el reclamado aduce que ?nada impide que la conformidad

a derecho y la validez jurídica de los actos administrativos que siguen las pautas

definidas en la disposición adicional séptima de la LOPDGDD y se publiquen en

boletines oficiales electrónicos se extienda aquellos cuya publicidad se realice a través

de otros sitios electrónicos o webs que se habiliten a tal fin a través de las

convocatorias respectivas. Y si la publicación en esos términos está ajustada a

derecho cuando se realiza a través de medios electrónicos de acceso libre, con igual

motivo lo estará cuando se realice en formato papel.?

- La accesibilidad de la información por un número indeterminado de personas

físicas es consustancial a la publicación de los actos administrativos obligada por el

artículo 45 de la LPACAP.

- En el caso analizado se considera que las medidas técnicas y organizativas

adoptadas han sido las adecuadas, en tanto que la publicación ha afectado a los

datos identificativos mínimos, imprescindibles y adecuados para alcanzar, a través del

procedimiento administrativo promovido, la finalidad prevista en la normativa

educativa. Señala que no se identifica obligación legal para adoptar medidas

tendentes a que los listados provisionales y definitivos de alumnos admitidos y no

admitidos se publiquen únicamente en el tablón interno del centro escolar.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/18

La Consejería considera que prima el interés público en la eficacia de la

notificación a través de la publicación y en la garantía del ejercicio del derecho de

defensa de intereses legítimos, directamente o a través de asociaciones protectoras

de intereses colectivos que puedan personarse a posteriori, frente a los derechos de

las personas implicadas, cuya privacidad se ve afectada en niveles de rango mínimo.

- Inexistencia de infracción por parte de la Consejería al haberse efectuado la

publicación en la forma legalmente prevista. Mantiene que teniendo en cuenta las

indicaciones contenidas en la LOPDGDD en cuanto a la forma de publicar actos

administrativos, la posibilidad apuntada de acceder con clave y contraseña constituye

una mera sugerencia de la AEPD, por lo que su inobservancia no constituiría un

incumplimiento de obligación legal alguna aplicable al supuesto analizado.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección

de Datos en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS

Primero: Con fecha 12 de septiembre de 2018 la reclamante interpuso reclamación

ante la Agencia Española de Protección de Datos contra el Centro Educativo

ESCUELA EDUCACION INFANTIL DE MILLADOIRO (en lo sucesivo, Centro Escolar

o EEIM), con motivo de la publicación de los listados definitivos de alumnos admitidos,

para el curso 2018/2019, en la fachada principal y acristalada del Centro Escolar, de

modo que resultaban visibles desde el exterior del Centro para cualquier persona

que transitase por ese lugar. La reclamante añadía que los citados listados también se

publicaban a través de la página web del Centro Escolar.

Segundo: Consta que el listado definitivo de alumnos admitidos de 4º de Educación

infantil (jornada continua), curso 2018/2019 de la EEIM, relaciona, por orden de

puntuación, los nombres y apellidos de los 100 alumnos admitidos para ese curso en

ese Centro Escolar, dependiente de la Consejería de Educación, Universidad y

Formación Profesional de la Junta de Galicia, (en adelante, la Consejería o el

reclamado).

Tercero: Con fecha 12 de septiembre de 2018 la reclamante amplió su reclamación

extendiéndola a la publicación en la fachada principal y acristalada del Centro Escolar,

también hacia afuera, del listado del censo necesario para el procedimiento de

celebración de las elecciones al Consejo Escolar.

Cuarto: El ?Censo de Responsables? del ?Año académico: 2018/2019? publicado en la

cristalera de la fachada de la EEIM contiene el nombre, apellidos y DNI completo de

los padres y tutores de los alumnos.

Quinto: La Consejería ha reconocido en los escritos presentados en esta Agencia el

uso de dichas cristaleras para publicar los listados provisionales y listados definitivos

de alumnos admitidos en los siguientes términos: ?Durante el período de admisión, y

puesto que debe publicar mucha documentación (instrucción de la Consejería, datos

del centro, listados provisionales, listados definitivos, etc.) se emplea la cristalera que

está al frente de la escuela, pues es más amplia y permite un visionado correcto de

toda la documentación?.

Sexto: La Consejería ha manifestado que el objetivo de publicar los listados del censo

electoral ?en la cristalera de forma que sean accesibles desde exterior responde a un

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/18

intento de facilitar la consulta del censo a los progenitores, ya que de esta forma

pueden consultarlo incluso en momentos en que la escuela se encuentre cerrada.?

FUNDAMENTOS DE DERECHO

I

En virtud de los poderes que los artículos 55.1 y 2, 57.1 y 58.2 del del

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de

2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento

de datos personales y a la libre circulación de estos datos, (en adelante RGPD),

reconocen a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1,

77.1.c) y 2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos

Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la

Directora de la Agencia Española de Protección de Datos es competente para resolver

este procedimiento.

II

Los artículos 1 y 2.1 del RGPD disponen lo siguiente:

?Artículo 1. Objeto

1. El presente Reglamento establece las normas relativas a la protección de las

personas físicas en lo que respecta al tratamiento de los datos personales y las

normas relativas a la libre circulación de tales datos.

2. El presente Reglamento protege los derechos y libertades fundamentales de

las personas físicas y, en particular, su derecho a la protección de los datos

personales.

3. La libre circulación de los datos personales en la Unión no podrá ser

restringida ni prohibida por motivos relacionados con la protección de las personas

físicas en lo que respecta al tratamiento de datos personales.

Artículo 2. Ámbito de aplicación material

1. El presente Reglamento se aplica al tratamiento total o parcialmente

automatizado de datos personales, así como al tratamiento no automatizado de datos

personales contenidos o destinados a ser incluidos en un fichero.?

A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica

?Definiciones?, dispone que:

?A efectos del presente Reglamento se entenderá por:

1) «datos personales»: toda información sobre una persona física identificada o

identificable («el interesado»); se considerará persona física identificable toda persona

cuya identidad pueda determinarse, directa o indirectamente, en particular mediante

un identificador, como por ejemplo un nombre, un número de identificación, datos de

localización, un identificador en línea o uno o varios elementos propios de la identidad

física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas

sobre datos personales o conjuntos de datos personales, ya sea por procedimientos

automatizados o no, como la recogida, registro, organización, estructuración,

conservación, adaptación o modificación, extracción, consulta, utilización,

comunicación por transmisión, difusión o cualquier otra forma de habilitación de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/18

acceso, cotejo o interconexión, limitación, supresión o destrucción;?

7)>? o >?:la persona física o

jurídica, autoridad pública, servicio u otro organismo que, sólo o junto con otros,

determine los fines y medios del tratamiento; si el Derecho de la Unión o de los

Estados miembros determina los fines y medios del tratamiento, el responsable del

tratamiento o los criterios específicos para su nombramiento podrá establecerlos el

Derecho de la Unión o de los estados miembros;?

De conformidad con las definiciones recogidas en los reseñados apartados 1, 2

y 7) del artículo 4 del RGPD, la difusión en la fachada acristalada, hacia el exterior, y

en la página web del Centro educativo EEIM de los datos identificativos (nombre y

apellidos) contenidos en los listados provisionales y definitivos de alumnos admitidos

y no admitidos para el curso escolar 2018/2019, así como la exposición en la

reseñada fachada acristalada del censo electoral (censo de responsables) del año

académico 2018/2019 con los datos identificativos(nombre, apellidos y DNI

completo) de los padres y tutores legales de los alumnos con motivo de la elección de

los miembros del Consejo Escolar del Centro, constituye un tratamiento de datos

personales por parte del reclamado, en su condición de responsable de dicho

tratamiento.

III

Se imputa al reclamado la comisión de una infracción al principio de

confidencialidad recogido en el artículo 5.1.f) del RGPD, que bajo la rúbrica ?Principios

relativos al tratamiento?, establece que:

?1. Los datos personales serán:

(?)

?f) tratados de tal manera que se garantice una seguridad adecuada de los

datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y

contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas

técnicas u organizativas apropiadas (>)?

Por su parte el apartado 2 del citado artículo 5 del RGPD establece que: ?2. El

responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el

apartado 1 y capaz de demostrarlo (>)?, precepto éste

que ha de ponerse en relación con lo previsto en el artículo 32.2 del mismo

Reglamento, que en cuanto a la ?Seguridad del tratamiento, establece que: ?Al

evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los

riesgos que presente el tratamiento de datos, en particular como consecuencia de la

destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos,

conservados o tratados de otra forma, o la comunicación o acceso no autorizados a

dichos datos?.

A su vez, el artículo 5 de la LOPDGDD, en cuanto a los ?Principios de

protección de Datos?, establece:

?Artículo 5. Deber de confidencialidad.

1. Los responsables y encargados del tratamiento de datos así como todas las

personas que intervengan en cualquier fase de este estarán sujetas al deber de

confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/18

2. La obligación general señalada en el apartado anterior será complementaria

de los deberes de secreto profesional de conformidad con su normativa aplicable.

3. Las obligaciones establecidas en los apartados anteriores se mantendrán

aun cuando hubiese finalizado la relación del obligado con el responsable o encargado

del tratamiento.?

IV

En el presente caso, del conjunto de elementos de juicio disponibles en el

procedimiento, en particular de la documentación aportada por la reclamante y de las

manifestaciones efectuadas por el reclamado en los escritos de alegaciones

presentados durante la tramitación del mismo, se estima que la exposición en la

cristalera de la fachada exterior del centro escolar, en lugar de en el tablón de

anuncios del interior del recinto escolar, de los datos identificativos contenidos no sólo

en los listados provisionales y definitivos de alumnos admitidos y no admitidos para el

curso 2018/2019 (nombres y apellidos), sino también de los datos identificativos

(nombres, apellidos y DNIs completos) de los padres y tutores legales de los alumnos

incluidos en el censo electoral del año académico 2018/2019, así como la difusión en

abierto, y sin restricciones, en la página web del centro escolar de la información de

carácter personal recogida en los mencionados listados provisionales y definitivos,

constituye un tratamiento de datos de carácter personal por parte del reclamado, en

su condición de responsable de dicho tratamiento, que vulnera el principio de

confidencialidad previsto en el artículo 5.1.f) del citado Reglamento.

El reclamado ha justificado su conducta defendiendo que la publicación de los

reseñados listados definitivos de alumnos admitidos y no admitidos encuentra su

legitimación en el cumplimiento de una obligación legal aplicable al responsable del

tratamiento (artículo 6.1.c RGPD) al tratarse de procedimientos de concurrencia

competitiva, que concreta en lo dispuesto en el artículo 45.1.b) de la LPACAP y los

artículos 30 y 31 de la Orden de 12 de marzo de 2013, por la que se desarrolla el

procedimiento para la admisión del alumnado en centros docentes sostenidos con

fondos públicos que impartan enseñanzas de 2º ciclo de educación infantil, de

educación primaria, de educación secundaria obligatoria y de bachillerato reguladas en

la Ley orgánica 2/2006, de 3 de mayo, de educación, (en adelante, Orden de 12 de

marzo de 2013), amén del consentimiento otorgado por los interesados en el

momento de presentar las solicitudes de admisión para el tratamiento y publicación

de los datos personales recogidos en la tramitación de este tipo de procedimientos al

objeto de gestionar el procedimiento e informar a las personas interesadas sobre su

tramitación (artículo 6.1.a) del RGPD).

El citado artículo 45.1. de la LPACAP, bajo la rúbrica ?Publicación?, establece:

?1. Los actos administrativos serán objeto de publicación cuando así lo

establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen

razones de interés público apreciadas por el órgano competente.

En todo caso, los actos administrativos serán objeto de publicación, surtiendo

ésta los efectos de la notificación, en los siguientes casos:

a) Cuando el acto tenga por destinatario a una pluralidad indeterminada de

personas o cuando la Administración estime que la notificación efectuada a un solo

interesado es insuficiente para garantizar la notificación a todos, siendo, en este último

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/18

caso, adicional a la individualmente realizada.

b) Cuando se trate de actos integrantes de un procedimiento selectivo o de

concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del

procedimiento deberá indicar el medio donde se efectuarán las sucesivas

publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.? (El

subrayado es de la AEPD)

Los artículos 30.1 y 31.2 y 3 de la Orden de 12 de marzo de 2013 establecen lo

siguiente: ?Artículo 30. Publicación de la lista provisional de personas admitidas y no

admitidas y reclamaciones.

1.A la vista de las solicitudes de admisión presentadas, y una vez determinada

la puntuación resultante de aplicar los criterios de baremo, en su caso, el centro

publicará en su tablón de anuncios y en su página web la relación nominal de todo el

alumnado admitido y no admitido por curso, por orden de la puntuación total obtenida.?

El subrayado es de la AEPD)

?Artículo 31. Publicación de la lista definitiva de personas admitidas y no

admitidas:

1.(?)

2. La dirección de los centros públicos y la titularidad de los centros privados

concertados publicarán en su tablón de anuncios y en su página web, antes del 15 de

mayo de cada año, las listas definitivas de personas admitidas y no admitidas,

ordenadas según la puntuación total, indicando expresamente la forma concreta para

su impugnación, órgano competente y plazo, de acuerdo con el artículo siguiente.

3.Estas listas definitivas permanecerán expuestas en el tablón de anuncios y

en la página web del centro hasta el día de inicio del nuevo curso escolar.? (?)?El

subrayado es de la AEPD)

Sin embargo, en ningún momento de la tramitación del procedimiento la

conducta objeto de infracción se ha asociado a la conculcación del principio de licitud

del tratamiento de los datos personales utilizados en la publicación de los listados de

alumnos o del censo electoral, sino que desde su inicio se ha fundado en la

vulneración del principio de confidencialidad del tratamiento recogido en el artículo

5.1.f) del citado RGPD, materializado en una exposición indiscriminada de la

información de carácter personal publicada (datos identificativos) a terceros no

interesados.

No se cuestiona que los listados del alumnado estudiados deban ser objeto de

publicación conforme a lo previsto en el artículo 45.1.b) de la LPACAP. Lo que se

imputa es que el reclamado ha publicado la información de carácter personal

contenida en los listados estudiados y ha expuesto los datos identificativos contenidos

en el censo electoral reseñado sin respetar el principio de confidencialidad que resulta

de aplicación al tratamiento de esa información de carácter personal.

Así, consta probado en el procedimiento que el reclamado ha incumplido el

deber de confidencialidad que le resulta exigible al no haber tomado medidas técnicas

u organizativas previas tendentes a garantizar un nivel adecuado de seguridad que

impidiera la comunicación y/o acceso indiscriminado de esa información de carácter

personal por parte de terceros no interesados en el procedimiento de concurrencia

competitiva de admisión de alumnos o en el proceso de elección de representantes

de los padres en el Consejo Escolar .

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/18

De esta forma, la exposición de los documentos anteriormente reseñados a

través de las cristaleras de la fachada del centro escolar colocados de modo que los

datos personales contenidos en los mismos pudieran visualizarse desde el exterior,

contraviene el medio de publicación determinado por el artículo 31.2 y 3 de la

Orden de 12 de marzo de 2013 para los listados provisionales y definitivos de alumnos

admitidos y no admitidos, donde se fija como tal el tablón de anuncios del centro

escolar, que es el mismo medio que figura en el artículo 41 del Decreto 92/1988, de

28 de abril, para la publicación del listado del censo electoral.

La publicación de dichos documentos con datos identificativos de los

interesados en las cristaleras de la fachada del centro escolar en lugar de en el

tablón de anuncios del interior del recinto escolar, donde deberían haber sido

expuestos con arreglo a lo previsto en el artículo 45.1.b) de la LPACAP y los

preceptos anteriormente citados de la Orden de 12 de marzo de 2013 y del Decreto

92/1988, ha propiciado la revelación de esta información de carácter personal a

terceros ajenos a los procesos en cuestión, puesto que ha permitido su visualización y

acceso indiscriminados por terceros no interesados ajenos a los procedimientos de

admisión de alumnado o de celebración de las elecciones al consejo escolar. Téngase

en cuenta que la información de carácter personal recogida en dichos listados

resultaba accesible sin ningún tipo de restricción a cualquier persona que transitase

por la zona exterior del centro escolar a la que daba la fachada acristalada.

Por su parte, la publicación en la página web del centro escolar, en abierto y sin

ningún tipo de restricción, de los mencionados listados provisionales y definitivos de

alumnos ha supuesto un acceso indiscriminado a la información de carácter personal

contenida en esos documentos, puesto que no se había limitado su acceso a los

interesados que solicitaron participar en los procedimientos de admisión de alumnos

en cuestión, que son los participantes en los procedimientos de concurrencia

competitiva.

Por tanto, la divulgación de datos personales a terceros no interesados con

motivo de la publicación y/o difusión del contenido de los documentos objeto de

estudio anteriormente mencionados de forma indiscriminada, constituye un

incumplimiento del principio de confidencialidad relativo al tratamiento, habiéndose,

por tanto, vulnerado el artículo 5.1.f) del RGPD.

El reclamado, en su condición de responsable de dicho tratamiento, debería de

haber adoptado e implementado, en forma proactiva, las medidas técnicas y

organizativas que resultasen apropiadas para evaluar y garantizar un nivel de

seguridad adecuado a los probables riesgos de diversa naturaleza y gravedad

vinculados a los tratamientos de datos realizados que pudieran afectar, entre otros, al

principio de confidencialidad, estableciendo para ello las medidas de seguridad que

resultasen necesarias para evitar que se produjera la difusión de datos personales a

terceros no interesados en los procedimientos de concurrencia competitiva y de

elección de miembros del Consejo Escolar en cuyo marco se han producido los

hechos objeto de infracción.

A estos efectos se recuerda que el artículo 24.2 del RGPD, en línea con lo

también dispuesto en los artículos 5.2 y 32.2 transcritos en el Fundamento de Derecho

anterior, establece lo siguiente respecto de las obligaciones a cumplir por el

responsable del tratamiento en relación con la ?Protección de datos desde el diseño y

por defecto?:

?2. El responsable del tratamiento aplicará las medidas técnicas y organizativas

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/18

apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento

los datos personales que sean necesarios para cada uno de los fines específicos del

tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a

la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales

medidas garantizarán en particular que, por defecto, los datos personales no sean

accesibles, sin la intervención de la persona, a un número indeterminado de personas

físicas.? (El subrayado es de la AEPD)

Sentado lo anterior debe rechazarse el argumento de que la única cautela que

resulta de aplicación en relación con las publicaciones llevadas a cabo por las

administraciones públicas es la prevista en la disposición adicional séptima de la

LOPDGDD, ya que la misma se circunscribe a determinar el modo en el que deberá

producirse la ?Identificación de los interesados en las notificaciones por medio de

anuncios y publicaciones de actos administrativos?, asunto que no es objeto de

análisis en este procedimiento conforme se ha justificado en el Antecedente de Hecho

Tercero de esta resolución y que, en cualquier caso, tampoco resultaría óbice para

analizar el supuesto que nos ocupa vinculado al incumplimiento del principio de

confidencialidad recogido en el artículo 5.1.f) RGPD y con fundamento en los

hechos que han resultado probados.

En cuanto al alegato relativo a que en la ponderación de los intereses

implicados primaría el interés público en la eficacia de la notificación a través de la

publicación y en la garantía del ejercicio del derecho de defensa de intereses

legítimos, directamente o a través de asociaciones protectoras de intereses colectivos

que puedan personarse a posteriori, frente a los derechos de las personas implicadas,

cuya privacidad se ve afectada en niveles de rango mínimo, además de reiterar los

argumentos expuestos respecto de la aplicabilidad al supuesto estudiado del deber

de confidencialidad, en el caso señalado por el reclamado dichas asociaciones

podrían ejercer derecho de acceso a esa información justificado su condición de

interesados .

V

Los apartados b), d) e i) del artículo 58.2 del RGPD, ?Poderes?, disponen lo

siguiente:

?2 Cada autoridad de control dispondrá de todos los siguientes poderes

correctivos indicados a continuación:

(?)

b) sancionar a todo responsable o encargado del tratamiento con

apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en

el presente Reglamento;?

(...)

?d) ordenar al responsable o encargado del tratamiento que las operaciones de

tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,

de una determinada manera y dentro de un plazo especificado;?

?i) imponer una multa administrativa con arreglo al artículo 83, además o en

lugar de las medidas mencionadas en el presente apartado, según las circunstancias

de cada caso particular;?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/18

A los efectos de determinar la sanción que pudieran llevar aparejada la

mencionada infracción han de tenerse en cuenta los siguientes preceptos:

El artículo 83 del RGPD, bajo la rúbrica ?Condiciones generales para la

imposición de multas administrativas?, establece en su apartado 5.a) que:

?5. Las infracciones de las disposiciones siguientes se sancionarán, de

acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como

máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como

máximo del volumen de negocio total anual global del ejercicio financiero anterior,

optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el

consentimiento a tenor de los artículos 5, 6, 7 y 9;?

A su vez, el artículo 72.1.a) de la LOPDGDD, bajo la rúbrica ?Infracciones

consideradas muy graves?, dispone:

?1. En función de lo que establece el artículo 83.5 del Reglamento (UE)

2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que

supongan una vulneración sustancial de los artículos mencionados en aquel y, en

particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías

establecidos en el artículo 5 del Reglamento (UE) 2016/679.?

Paralelamente, el artículo 83.7 del RGPD establece que:

?Sin perjuicio de los poderes correctivos de las autoridades de control en virtud

del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se

puede, y en qué medida, imponer multas administrativas a autoridades y organismos

públicos establecidos en dicho Estado miembro?

En tal sentido, los apartados 1.c), 2, 4 y 5 del artículo 77 de la LOPDGDD, bajo

la rúbrica ?Régimen aplicable a determinadas categorías de responsables o

encargados del tratamiento?, establecen lo siguiente:

?1. El régimen establecido en este artículo será de aplicación a los tratamientos

de los que sean responsables o encargados:

(?)

c) La Administración General del Estado, las Administraciones de las

comunidades autónomas y las entidades que integran la Administración Local.

(?)

2. Cuando los responsables o encargados enumerados en el apartado 1

cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de

esta ley orgánica, la autoridad de protección de datos que resulte competente dictará

resolución sancionando a las mismas con apercibimiento. La resolución establecerá

asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan

los efectos de la infracción que se hubiese cometido.

La resolución se notificará al responsable o encargado del tratamiento, al

órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran

la condición de interesado, en su caso.?

?4. Se deberán comunicar a la autoridad de protección de datos las

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

16/18

resoluciones que recaigan en relación con las medidas y actuaciones a que se

refieren los apartados anteriores

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones

análogas de las comunidades autónomas las actuaciones realizadas y las

resoluciones dictadas al amparo de este artículo.?

Con arreglo a lo expuesto, el reclamado resulta responsable de la comisión de

una infracción a lo dispuesto en el artículo 5.1.f) del RGPD, tipificada en el artículo

83.5.a) del citado texto legal y calificada como muy grave a efectos de prescripción en

el artículo 72.1.a) de la LOPDGDD, pudiendo ser sancionado, de acuerdo con lo

dispuesto en el artículo 58.2.b) del RGPD, con apercibimiento.

En este caso, la Consejería comunicó en su escrito de alegaciones al

acuerdo de inicio la adopción de las siguientes medidas: a) En futuras elecciones al

Consejo Escolar se adoptará el criterio de que los listados del censo únicamente se

publiquen en el tablón interno del centro; b) La puesta en marcha de las medidas

pertinentes para que cada vez que sea necesario realizar una publicación con

nombres íntegros y DNI, el propio sistema informático genere el documento

respetando lo dispuesto en la disposición adicional séptima de la LOPDGDD y,

particularmente, las orientaciones emitidas por la AEPD relativas a los dígitos del DNI

que deben eliminarse de las publicaciones. Posteriormente, en el escrito de

alegaciones a la propuesta de resolución indico que las publicaciones enmarcadas en

el proceso de concurrencia competitiva se realizarán, como medida proactiva, en una

parte de la página web de los centros educativos que no permita la indexación por

parte de los buscadores automatizados.

Sin embargo, en ninguno de los escritos de alegaciones presentados dicha

Consejería ha hecho referencia a la adopción de medidas tendentes a impedir el uso

de la fachada acristalada del centro escolar para publicitar, de forma que resultan

visibles desde el exterior del centro, los mencionados listados provisionales y

definitivos de alumnos admitidos y no admitidos por curso. Por el contrario, en las

alegaciones a la propuesta de resolución el reclamado afirmaba que ?no se identifica

obligación legal? para que dichos listados hubieran de publicarse en el tablón interno

del centro al tratarse de un proceso de admisión de concurrencia competitiva,

obviando que el tablón de anuncios de los centros escolares constituye uno de los

lugares fijados por los artículos 30.1 y 31.2 y 3 de la Orden de 12 de marzo de 2013

para publicar tales listados.

Tampoco ha indicado el establecimiento de mecanismos de seguridad tendentes

a evitar accesos indiscriminados de terceros no interesados a la información de

carácter personal contenida en los listados provisionales y definitivos de alumnos

publicados, en las páginas web de los centros escolares.

Para lo cual, el reclamado debería implementar un sistema que asegurase un

acceso a esa información personal publicada en las páginas web limitado y exclusivo a

las personas interesadas en esos procedimientos. A título de sugerencia, podría

habilitarse un sistema de acceso con clave y contraseña que permitiera únicamente a

los participantes interesados en los procedimientos selectivos o de concurrencia

competitiva acceder a los actos publicados por ese medio.

Sentado lo anterior, se estima conveniente aplicar lo establecido en el artículo

58.2.d) del RGPD, ordenando al reclamado llevar a cabo una serie de actuaciones

concretas para adecuar las operaciones del tipo de tratamiento estudiado a lo

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

17/18

dispuesto en el artículo 5.1.f) del RGPD que ha resultado conculcado, debiendo

aplicarse las medidas técnicas y organizativas necesarias para garantizar la debida

adecuación entre el principio de confidencialidad en el tratamiento de los datos

personales con la publicidad de determinados actos administrativos que contienen

datos de carácter personal.

Tales medidas habrán de adoptarse por el reclamado en el plazo de UN MES,

computado desde el día siguiente al de la notificación de esta resolución

sancionadora, debiendo acreditarse por el reclamado su cumplimiento en idéntico

plazo mediante la aportación de documentación o cualquier otro medio de prueba

válido en derecho que permita verificar su adopción e implementación en forma

fehaciente.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

La Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a LA CONSEJERIA DE EDUCACIÓN, ÚNIVERSIDAD Y

FORMACIÓN PROFESIONAL, con NIF S1511001H, de conformidad con lo previsto en

el artículo 58.2.b) del RGPD, una sanción de APERCIBIMIENTO por una infracción del

artículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD.

SEGUNDO: ORDENAR a LA CONSEJERIA DE EDUCACIÓN, ÚNIVERSIDAD Y

FORMACIÓN PROFESIONAL, con NIF S1511001H, de conformidad con lo previsto en

el artículo 58.2.d) del RGPD, la adopción de medidas técnicas y organizativas

adecuadas para garantizar el principio de confidencialidad, que en lo que se refiere al

Centro Escolar estudiado se focalizarán en impedir la publicación de actos

administrativos que contengan datos personales en la fachada acristalada, y hacia el

exterior, del centro escolar que nos ocupa, utilizando para ello el tablón de anuncios

del interior del centro. En general, dichas medidas se extenderán a evitar que la

información de carácter personal contenida en actos administrativos objeto de

publicación en los medios establecidos por la normativa aplicable al supuesto no

resulten visibles y/o accesibles desde el exterior de los centros escolares, debiendo

también implementarse mecanismos que garanticen que el acceso al contenido de

esos actos administrativos publicados en la página web de los Centros Escolares se

restrinja a las personas interesadas en los procedimientos de selección o pública

concurrencia de que se trate.

Dichas medidas se habrán de adoptar, en su caso, en el plazo de un mes

computado desde el día siguiente al de la notificación de la presente resolución,

debiendo aportarse los medios de prueba acreditativos de su cumplimiento en idéntico

plazo.

TERCERO : NOTIFICAR la presente resolución a la CONSEJERIA DE EDUCACIÓN,

ÚNIVERSIDAD Y FORMACIÓN PROFESIONAL, con NIF S1511001H

CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de

conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la

presente Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art.

48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la

LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

18/18

ante la Directora de la Agencia Española de Protección de Datos en el plazo de un

mes a contar desde el día siguiente a la notificación de esta resolución o directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la

LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa

si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este

hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,

presentándolo a través del Registro Electrónico de la Agencia

[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes

registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También

deberá trasladar a la Agencia la documentación que acredite la interposición efectiva

del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la

interposición del recurso contencioso-administrativo en el plazo de dos meses desde el

día siguiente a la notificación de la presente resolución, daría por finalizada la

suspensión cautelar.

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es