Cuando ejercitamos uno de los derechos recogidos en el Reglamento Europeo de Protección de Datos (en adelante RGPD) o, al contrario, cuando somos responsables del tratamiento y un particular ejercita ante nosotros uno de esos derechos, en concreto el derecho de acceso, a veces se suscita la siguiente duda ¿qué datos personales se pueden entregar y cuáles no?
En el presente supuesto que vamos a analizar, la Agencia Española de Protección de Datos (en adelante AEPD) estima la reclamación interpuesta por un interesado contra un responsable del tratamiento, el cual da respuesta a un ejercicio de derecho de acceso y a la vez de supresión, pero no entrega todos los datos personales a la persona afectada creyendo que, determinada información, no era objeto de entrega. Puedes ver la resolución de procedimiento de derechos, con número de expediente EXP202313437, pinchando aquí.
Así las cosas, pasemos a revisar los hechos que han dado lugar a la reclamación:
- La parte reclamante, en este caso, la madre de una menor solicita mediante correo electrónico al Colegio de su hija las pruebas que han llevado a cabo para la realización de un informe psicopedagógico.
- El centro responde a la madre indicando que:
“(…) los cuadernillos de las evaluaciones no se entregan a los padres, que no se procede de esta manera, ya que se entiende que los padres depositan su confianza en el centro y en la figura de la orientadora. Los resultados de la evaluación están detallados en el informe psicopedagógico entregado y con eso debería ser suficiente”.
- Como consecuencia de ello, la madre de a menor ejercita formalmente ante el Colegio de su hija un derecho de acceso y a la vez de supresión solicitando lo siguiente:
“Deseamos acceder a la información y datos obrantes tanto en el sistema del Colegio ** como en el denominado Sistema Raíces de la Comunidad de Madrid, y que se realice la supresión, cancelación y/o eliminación de cualquier test, informe o evaluación psicopedagógica de nuestra hija tanto en sistemas o bases de datos del colegio como en el mencionado sistema Raíces de la Comunidad de Madrid.
(…) 1. Que se le facilite gratuitamente el derecho de acceso por ese responsable en el plazo de un mes a contar desde la recepción de esta solicitud,
(…)
2) Que se proceda a acordar la supresión de sus datos personales en el plazo de un mes a contar desde la recepción de esta solicitud, y que se me notifique de forma escrita el resultado de la supresión practicada.
3) Que en caso de que se acuerde que no procede practicar total o parcialmente la supresión solicitada, se me comunique motivadamente a fin de, en su caso, reclamar ante la Autoridad de control que corresponda.
(…) dicha información ya no es necesaria en relación con los fines para los que fue recogida.”
- El último contacto con el centro es una contestación por parte de este último manifestando que el Colegio no tiene potestad para retirar ningún informe de la plataforma Raíces y que deben dirigirse a Inspección educativa.
Todo lo expuesto fue presentando junto con la reclamación de la madre por la falta de atención de los derechos de acceso y supresión solicitados al Centro. La parte reclamada, una vez se le dio traslado de la reclamación por parte de la AEPD para que procediese a su análisis e informe a la Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, señalo que:
- Respecto a la solicitud de derecho de supresión, la consideran satisfecha ya que informaron a los padres de la imposibilidad de no subirlos a la plataforma Raíces debido a que dicha operación es una obligación legal.
- En cuanto al derecho de acceso, manifiestan que se respondió en tiempo y forma a los padres, los cuales estaban en posesión del informe psicopedagógico, pero no de los cuadernillos con los que se elabora dicho informe. Asimismo, argumentan que fue la Inspección de Educación el organismo que traslado al Centro la imposibilidad de remitir a los padres dichos cuadernillos.
Esta respuesta no convenció a la parte reclamante y no permitió entender satisfechas sus pretensiones. En consecuencia, a los efectos previstos en el artículo 64.1 y 65 de la Ley Orgánica de Protección de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD.
En este caso, la Agencia manifiesta que en la resolución sólo se analizarán y valorarán los hechos relativos al ejercicio de derechos. Asimismo, hace un pequeño resumen de lo acontecido y acreditado:
Durante la tramitación del procedimiento y del examen de la documentación, queda acreditado que la parte reclamante solicitó el acceso a los datos personales de su hija menor de edad, concretamente a las pruebas realizadas para la elaboración del informe de evaluación psicopedagógica de la menor, el cual había sido entregado previamente a la parte reclamante. Posteriormente, la parte reclamante formuló una nueva solicitud de acceso a los datos personales de la menor disponibles en los sistemas de información de Colegio o en el sistema Raíces. Además, consta en las actuaciones que aquellas pruebas no fueron facilitadas a la parte reclamante y que tampoco se dio respuesta al derecho de acceso. En esa misma comunicación, la parte reclamante solicitó “(…) que se realice la supresión, cancelación y/o eliminación de cualquier test, informe o evaluación psicopedagógica de nuestra hija tanto en sistemas o bases de datos del colegio como en el mencionado sistema Raíces de la Comunidad de Madrid”, señalando al respecto que “dicha información ya no es necesaria en relación con los fines para los que fue recogida”. Esta solicitud de supresión fue respondida por la parte reclamada indicando que no tiene “potestad para retirar ningún informe de la plataforma Raíces”.
Nuestra autoridad de control continua ya analizando las pretensiones de la parte reclamante, distinguiendo entre derecho de acceso y derecho de supresión.
1.- En cuanto al derecho de acceso a los datos personales de la hija de la parte reclamante:
El objeto principal del derecho de acceso ejercitado por la parte reclamante tiene que ver con la evaluación psicopedagógica realizada a su hija en el ámbito educativo. La parte reclamante solicitó al Colegio las pruebas realizadas para la elaboración del informe de evaluación psicopedagógica de la menor. En la medida en que esas pruebas incluyen datos personales de la interesada, la Agencia entiende que las mismas deben proporcionarse en atención al derecho de acceso solicitado, sin que esto suponga, con carácter general, la obligación de entregar una copia o reproducción de los documentos originales.
Corresponde a la entidad responsable del tratamiento de los datos personales elegir la forma en que ofrecerá la información, siempre que quede garantizada la obtención por el interesado de todos sus datos personales y la información completa asociada a ellos.
Para una correcta valoración de la cuestión suscitada, la AEPD considera que es preciso tener en cuenta que la información contenida en los informes psicopedagógicos tiene la consideración de datos relativos a la salud. Por ello, en la resolución se referencia el Informe Jurídico 445/2009, el cual versa sobre una evaluación psicotécnica de aptitudes, personalidad y preferencias profesionales de alumnos.
En dicho informe se manifiesta que se van a tratar pues datos psicológicos y, por ende, datos de salud: “por tanto se van a tratar datos psicológicos, el artículo 5.1 g) del Reglamento de desarrollo de la Ley Orgánica 15/1999, define los datos de salud, como “las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo”, lo que nos permite concluir que nos encontramos en presencia de datos de salud.”
Del mismo modo, hacen mención al Considerando 63 RGPD: “el derecho de los interesados a acceder a datos relativos a la salud, por ejemplo, los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas. (…)”
La AEPD también manifiesta interesa considerar lo declarado por el Tribunal de Justicia de la Unión Europea (Sala Primera) en Sentencia de 26/10/2023, asunto C-307/22, en relación con una solicitud de acceso a la historia clínica y la posibilidad de obtener copia de la misma:
“en el caso de los resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas a un paciente, que incluyen, por regla general, numerosos datos técnicos e incluso imágenes, la entrega de un mero resumen o de una compilación de estos datos por el médico, con el fin de presentarlos en forma sintética, podría crear el riesgo de que se omitan o se reproduzcan incorrectamente determinados datos pertinentes o se dificulte al paciente tanto la comprobación de su exactitud y exhaustividad como su comprensión.
(…) así el Tribunal de Justicia declara: (…)
3) El artículo 15, apartado 3, primera frase, del Reglamento 2016/679 debe interpretarse en el sentido de que, en el marco de una relación médico-paciente, el derecho a obtener una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción fiel e inteligible de todos esos datos.
Este derecho conlleva el de obtener una copia íntegra de los documentos recogidos en su historia clínica que contengan, entre otros, dichos datos, si la entrega de tal copia es necesaria para permitir al interesado verificar su exactitud y exhaustividad, así como para garantizar su inteligibilidad. Por lo que respecta a los datos relativos a la salud del interesado, este derecho incluye, en todo caso, el de obtener una copia de los datos de su historia clínica que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas.”
Como conclusión, la Agencia manifiesta que consta acreditado que el Colegio no facilitó a la parte reclamante las pruebas realizadas para la elaboración del informe de evaluación psicopedagógica de su hija, lo que constituye una infracción de lo dispuesto en el artículo 15 del RGPD. Asimismo, según quedó indicado anteriormente, consta que la parte reclamante ejerció con posterioridad nuevamente el derecho de acceso para que le fuera facilitada toda la información detallada en el apartado 1 del citado artículo 15 del RGPD, el cual tampoco obtuvo la respuesta debida.
Por tanto, de acuerdo con lo expuesto, la Agencia considera que el Colegio debe facilitar a la parte reclamante las pruebas realizadas para la evaluación psicopedagógica de su hija y la información detallada en el artículo 15.1 del RGPD.
2.- En cuanto al derecho de supresión a los datos personales de la hija de la parte reclamante:
En segundo lugar, respecto del derecho de supresión el objeto del mismo tiene que ver con la evaluación psicopedagógica realizada a su hija en el ámbito educativo. En concreto, la solicitud formulada ante Colegio se refería a la supresión de “cualquier test, informe o evaluación psicopedagógica”.
La posibilidad de realizar los tratamientos de datos personales que conllevan esa evaluación se contempla en la Ley Orgánica 2/2006, de 3 de mayo, de Educación. En el mismo sentido, la Ley 1/2022, de 10 de febrero, Maestra de la Libertad de Elección Educativa de la Comunidad de Madrid, se refiere en el artículo 20 a la identificación temprana de las necesidades de estos alumnos, su evaluación y valoración, para que pueda disponerse la correspondiente respuesta educativa. Según el artículo 21 de esta Ley 1/2022, ese es el objetivo principal de la evaluación psicopedagógica, el cual “incluye la recogida, análisis y valoración de toda la información relevante referida al alumno, a su contexto familiar, escolar y social, para determinar el tipo de necesidad educativa que posee”.
En definitiva, la evaluación psicopedagógica se concibe como un instrumento esencial que las Administraciones educativas puede emplear con el fin último de atender las diferencias individuales del alumnado y favorecer su desarrollo personal y académico, que se concibe como una obligación de dichas Administraciones. En este contexto debe analizarse la solicitud de supresión formulada por la parte reclamante, que solicitó la eliminación de todas las pruebas e informes realizados para la evaluación psicopedagógica de su hija por el Centro.
Nuestra autoridad de control entiende que es de interés del Centro poder acreditar que dio cumplimiento a sus obligaciones en orden a la atención educativa de la alumna y a su orientación en el sistema educativo, con independencia de que el plan propuesto se llevara a término o no por el rechazo de la parte reclamante. Ese hecho, dice la AEPD, conlleva la necesidad para el Colegio de conservar la información tratada con motivo de la repetida evaluación.
Continua la Agencia manifestando que esta conservación quedará restringida si los datos personales tratados han dejado de ser necesarios en relación con los fines para los que fueron recabados, como apunta la parte reclamante en su solicitud de ejercicio del derecho de supresión. Por ello, el informe psicopedagógico se podría suprimir siempre y cuando no sea necesario para el desarrollo de la función educativa o para la justificación por parte del Centro del cumplimiento de sus obligaciones.
Si bien en este caso concreto la AEPD con la información facilitada no ha podido valorar si en este caso concreto procede o no la conservación de los datos personales en cuestión.
Como conclusión, la AEPD considera que la respuesta ofrecida por el Centro al derecho de supresión no es satisfactoria por cuanto se limitó a indicar a la parte reclamante la imposibilidad de la supresión del informe psicopedagógico de la plataforma Raíces, al no ser el responsable de tal sistema. De esta forma se estima la reclamación respecto del derecho de supresión, a los efectos de que la parte reclamada suprima los datos personales de la interesada o exponga debidamente los motivos que impiden atender el derecho ejercitado.
En caso de resolverse la supresión de los datos personales, esta supresión deberá llevarse a efecto una vez atendido el derecho de acceso solicitado. Además, la supresión se practicará mediante la modalidad de bloqueo de los datos personales, a fin de que éstos se mantengan disponibles en caso de que las partes ejerciten posibles acciones legales.
Por tanto, la Agencia Española de Protección de Datos estima el ejercicio de ambos derechos, tanto el de acceso como el de supresión.
¿Qué podemos deducir del análisis de la presente resolución? Si somos una entidad y un interesado ejercita ante nosotros un derecho de “acceso, rectificación, oposición, supresión, limitación del tratamiento, portabilidad o de no ser objeto de decisiones individualizadas” estamos obligados a atenderlos con diligencia y razonando y motivando las razones en su caso por la que no procede atender al mismo.
A mayor abundamiento, es importante definir internamente los plazos de conservación de la documentación atendiendo a los fines para los cuales se recabaron los mismos, como sucede en el supuesto analizado para los test o pruebas psicopedagógicas que sirven de base para los correspondientes informes psicopedagógicos y que se incluye en el expediente escolar del alumno/a.
