La Agencia Española de Protección de Datos (“AEPD”) ha sancionado a un centro educativo por diversas deficiencias en la gestión del tratamiento de datos personales derivado del uso de herramientas digitales en el entorno escolar, en particular la plataforma Google Workspace for Education.
El procedimiento se inició tras la reclamación presentada por la madre de un alumno, quien denunciaba que el colegio utilizaba una plataforma educativa basada en servicios en la nube (Google Workspace). Según la reclamación, los alumnos de educación primaria accedían a esta plataforma mediante cuentas individuales (incluidas cuentas de Gmail) para utilizar diferentes herramientas digitales en el desarrollo de sus actividades escolares.
La reclamante señalaba que no había recibido información previa suficiente sobre el uso de dicha herramienta ni sobre el tratamiento de los datos personales de los menores.
Durante la investigación, el centro educativo explicó que efectivamente utilizaba Google Workspace como herramienta para la gestión de tareas escolares y el almacenamiento de documentos y que más de 500 alumnos disponían de cuentas nominativas para acceder a estos servicios; una parte significativa de ellos menores de 14 años.
Análisis de la AEPD
-Sobre la falta de información a los padres
La AEPD constató que, si bien el centro había facilitado cierta información a las familias en la documentación de matrícula y en reuniones informativas, no quedó acreditado que se hubiera proporcionado de forma clara, completa y conforme al artículo 13 del Reglamento General de Protección de Datos (“RGPD”) la información relativa al tratamiento de datos personales derivado del uso de la plataforma Google Workspace, utilizada por el centro educativo y prestada por Google en calidad de encargado del tratamiento.
-Sobre la falta de base legal
El centro alegó que la base jurídica del tratamiento efectuado a través de la herramienta era el cumplimiento de una obligación legal y el ejercicio de funciones educativas, de conformidad con la normativa educativa (Ley Orgánica 2/2006, de Educación). Sin embargo, la AEPD señala que la existencia de una habilitación legal en el ámbito educativo no legitima automáticamente cualquier modalidad de tratamiento ni cualquier solución tecnológica. En particular, la AEPD considera que determinados tratamientos vinculados a la plataforma de Google (como funcionalidades destinadas a mejorar o personalizar los servicios) podrían responder a finalidades que exceden el ámbito estrictamente educativo, lo que impide fundamentar todo el tratamiento en las bases jurídicas previstas en el artículo 6.1 c) o e) del RGPD.
-Sobre la realización de una deficiente evaluación de impacto
Por otra parte, la AEPD analizó la evaluación de impacto de protección de datos presentada por el colegio sobre el uso de la plataforma Workspace y concluyó que no cumplía plenamente con los requisitos del artículo 35 del RGPD, entre otros motivos,porque no incluía un análisis adecuado del impacto derivado de las posibles transferencias internacionales de datos.
Infracciones y sanción
La AEPD impuso al centro educativo una sanción total de 20.000€, reducida a 12.000€tras el reconocimiento de responsabilidad y el pago voluntario, por las siguientes infracciones del RGPD:
• Artículo 6.1 RGPD (licitud del tratamiento): 10.000€
• Artículo 5.1 a) RGPD (principio de transparencia): 6.000€
• Artículo 35 RGPD (evaluación de impacto): 4.000€
Asimismo, la AEPD tuvo en cuenta diversos factores agravantes, entre ellos, la relación directa de la actividad del centro con el tratamiento de datos personales; el hecho de que todos los afectados eran menores de edad; y la naturaleza, gravedad y duración de las infracciones.