Protección de datos

Supuesto práctico bloque 3

1. ¿Cuál es la información básica mínima que deberá facilitarse a los interesados de un
concurso escolar sobre el tratamiento de datos de Deporte 10 en la primera "capa" o nivel
informativo?

La información básica mínima incluirá los siguientes elementos:

- La identidad y los datos de contacto del responsable del tratamiento.
- Los fines del tratamiento y la base jurídica del mismo.
- Los destinatarios o categorías de destinatarios de los datos personales.
- Derechos de los interesados y la existencia del derecho a presentar una reclamación ante una
autoridad de control.
- Plazo de conservación de los datos.
- La fuente de los datos personales, si no se han obtenido directamente del interesado.
- La existencia de decisiones automatizadas, incluida la elaboración de perfiles, y, al menos en
esos casos, información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas para el interesado.

Es importante tener en cuenta que esta información debe ser proporcionada en un lenguaje claro
y sencillo, y debe ser fácilmente accesible para los interesados.

2. Califique el incidente producido en el centro A por la pérdida del vídeo e indique las
actuaciones que debería realizar al respecto el centro docente y la Viceconsejería
responsable del tratamiento.

• El incidente producido en el centro A debido a la pérdida del vídeo y posterior publicación en

Instagram sin autorización del responsable del tratamiento constituye una brecha de seguridad
de datos, se trata de una “Brecha de confidencialidad”.

La responsabilidad de un profesor que no guarda bien los datos del alumno puede variar
dependiendo de la legislación local y las políticas de la institución educativa. En general, los
profesores tienen la responsabilidad de proteger la privacidad y la seguridad de los datos
personales de los estudiantes.
• Las actuaciones que debería realizar el centro docente A y la Viceconsejería al respecto son las
siguientes:

En primer lugar, el centro docente debe:

- Elaborar un informe que describa el incidente (1) destinado al Responsable del Tratamiento.
Este informe se acompañará de toda la documentación acreditativa del incidente que, en su
caso, esté disponible, y se comunicará lo antes posible al responsable del tratamiento
correspondiente, para que este pueda cumplir dentro de plazo con la exigencia de
comunicación de las brechas de seguridad a la autoridad de control.
- Aplicar, en coordinación con el responsable, las medidas cautelares de
urgencia necesarias para limitar el impacto de la brecha de seguridad, como pueda ser la
solicitud de retirada de publicaciones indebidas, la presentación de la pertinente denuncia
ante las autoridades competentes (en caso de robos o incidentes similares), e incluso la
comunicación a los interesados si esta se considerase necesaria para que tengan cuanto
antes la oportunidad de limitar en su esfera personal los posibles daños. Dichas medidas se
incluirán en el informe inicial o en informes complementarios posteriores a este.
 - Aplicar las medidas definitivas adoptadas por parte del responsable, dejando por
escrito constancia de todas ellas y de los resultados obtenidos.

(1)
El informe se efectuará conforme a las instrucciones del responsable. Habitualmente este informe deberá
incorporar, al menos, los siguientes apartados:
- Descripción del suceso, indicando fecha, hora, lugar y cualquier otra circunstancia descriptiva
- Toda la información necesaria para poder valorar la peligrosidad y alcance del incidente
- Documentación adjunta, en su caso (denuncias a la policía, copias de pantalla o de la documentación
donde quede acreditado el incidente, informes complementarios, etc.)

- Notificar la brecha de seguridad: En caso de una violación de la seguridad que implique la

pérdida de datos personales, el centro A debe notificar inmediatamente a la autoridad de
protección de datos competente (Viceconsejería).
- Evaluar el impacto: El centro A y la Viceconsejería deberán evaluar el impacto de la brecha
en la privacidad de los interesados y considerar las medidas necesarias para mitigar dicho
impacto.
- Comunicación a los interesados: Deben informar a los interesados afectados por la brecha,
en este caso, a los participantes cuyas imágenes se publicaron sin autorización (a sus tutores
si son menores), sobre el incidente, las posibles consecuencias y las medidas adoptadas o
que están tomando para mitigar los riesgos. Se debe establecer un procedimiento de
comunicación del que debe quedar constancia fehaciente
- Tomar medidas para evitar la publicación no autorizada: El centro debe tratar de eliminar el
contenido no autorizado de la red social y tomar medidas para evitar que se vuelva a publicar.
- Investigación interna. Identificar y corregir incumplimientos internos: Se deben tomar medidas
disciplinarias o correctivas en el centro para evitar futuros incumplimientos.
- Notificación a la autoridad de control, La notificación de las brechas de seguridad a la
autoridad de control está contempladas, en los artículos 33 del RGPD.
Independientemente de las notificaciones internas que se deban producir para gestionar un
incidente de seguridad conforme al procedimiento establecido por el responsable del
tratamiento, el RGPD establece que, en caso de brecha de la seguridad de los datos
personales, el responsable del tratamiento la notificará a la autoridad de control competente
sin dilación indebida. En caso de que deba realizarse la comunicación a la autoridad de
control, esta se notificará a través del Delegado de Protección de Datos.

3. ¿Cree que la Viceconsejería de Educación debería aceptar la solicitud presentada por los
progenitores aludidos del centro B? En caso de aceptarse, ¿debería suprimirse la
publicación del vídeo? En caso de solicitarse por los interesados, ¿deberían aceptar los
prestadores de los servicios de redes sociales el derecho al olvido en este mismo caso?

• ¿Cree que la Viceconsejería de Educación debería aceptar la solicitud presentada por los
progenitores aludidos del centro B?
Sí, porque tienen derecho a retirar el consentimiento sin más, además de que se ha utilizado para
un uso distinto para el que prestaron su consentimiento.

• En caso de aceptarse, ¿debería suprimirse la publicación del vídeo?

En caso de aceptarse la solicitud de los progenitores, podría valorarse si suprimir la publicación
del vídeo completo o solo las imágenes del menor en cuestión (pixelándolas por ejemplo), porque
puede plantearse si la publicación del vídeo sin la imagen del menor sigue cumpliendo con los fines
originales del concurso.
 La Viceconsejería debe tomar las medidas necesarias para garantizar que las imágenes del
menor sean eliminadas de todas las plataformas en las que se publicaron.

• En caso de solicitarse por los interesados, ¿deberían aceptar los prestadores de los
servicios de redes sociales el derecho al olvido en este mismo caso?
El RGPD reconoce a las personas el ejercicio del derecho al olvido. El vídeo en el que aparece
el alumno, es un dato personal, los padres del menor pueden solicitar la supresión del mismo a la
red social.

La AEPD, recomienda si es posible contactar con quien subió el contenido solicitándole su

eliminación. Si no se consigue, se debe necesariamente solicitar el borrado a la plataforma que ha
proporcionado los medios para la publicación, en este caso Instagram, acreditando la identidad de
los padres e indicando qué enlaces son los que contienen los datos que se quieren cancelar.

Instagram, debe resolver sobre la solicitud de supresión en el plazo máximo de un mes a contar
desde la recepción de la misma, si transcurrido ese plazo sin que de forma expresa respondan a la
petición o si la respuesta no es satisfactoria, se puede interponer la correspondiente reclamación
ante la AEPD, acompañando la documentación acreditativa de haber solicitado la supresión ante
Instagram.

Concretamente Instagram cuenta con una página desde la que se puede reportar contenido
publicado por terceros sin tu consentimiento que incluya información personal, así como informar
de conductas abusivas o de casos de hostigamiento o acoso