1 00:00:02,799 --> 00:00:06,660 Os voy a contar un caso que parece de ciencia ficción y que es 100% real. 2 00:00:06,960 --> 00:00:10,419 Vamos a seguir ese famoso dicho de se dice el pecado pero no el pecador. 3 00:00:10,660 --> 00:00:15,679 O dicho de otra manera, el protagonista es un colegio concertado de algún lugar de España fuera de Madrid 4 00:00:15,679 --> 00:00:19,859 y cuando os digo que es 100% real es porque lo llevamos nosotros en el despacho. 5 00:00:20,239 --> 00:00:23,620 Os voy a dar todos los detalles y de verdad que el caso no tiene desperdicio. 6 00:00:24,160 --> 00:00:25,379 Los hechos son los siguientes. 7 00:00:25,620 --> 00:00:29,219 La tutora de Primera Vela ESO envía un mensaje a través de la plataforma educativa 8 00:00:29,219 --> 00:00:31,539 con un mensaje que decía algo parecido a esto. 9 00:00:32,079 --> 00:00:38,020 Estimadas familias, como sabéis, una de las actividades voluntarias que organizamos es un viaje a Madrid para ver un musical. 10 00:00:38,439 --> 00:00:40,880 En concreto este año iremos a Aladín, ¿vale? Por ejemplo. 11 00:00:40,880 --> 00:00:47,780 Os adjunto el folleto del musical en el que podréis ver argumento, fecha, precio y demás información del desplazamiento. 12 00:00:48,960 --> 00:00:56,100 Y bueno, pues si os interesa, me contestáis a este mensaje manifestando vuestro interés y os envío el formulario para inscribir a vuestros hijos. 13 00:00:56,399 --> 00:00:57,719 Muchas gracias y un saludo. 14 00:00:57,719 --> 00:01:01,560 Una vez enviado, la tutora se fue a impartir la clase tan pancha 15 00:01:01,560 --> 00:01:06,799 Y cuando acabó la clase, entró en la plataforma educativa 16 00:01:06,799 --> 00:01:10,620 Y vio que uno de los padres de su tutoría había contestado al mensaje 17 00:01:10,620 --> 00:01:12,439 Diciendo algo similar a 18 00:01:12,439 --> 00:01:16,439 No has enviado información del musical, por favor ten más cuidado la próxima vez 19 00:01:16,439 --> 00:01:18,200 Y envía el folleto del musical 20 00:01:18,200 --> 00:01:21,519 De inmediato la tutora fue a comprobar lo que le decía este padre 21 00:01:21,519 --> 00:01:25,140 Y se dio cuenta de que había juntado un documento de 37 páginas 22 00:01:25,900 --> 00:01:29,280 En el documento venía información detallada de los 28 alumnos de la clase. 23 00:01:29,680 --> 00:01:31,200 ¿Y por qué tenía 37 páginas? 24 00:01:31,299 --> 00:01:34,099 Porque había alumnos cuya información ocupaba más de una página. 25 00:01:34,459 --> 00:01:36,599 ¿Y qué información venía? Te cuento, te cuento. 26 00:01:36,799 --> 00:01:40,560 Era un documento en el que en la esquina superior derecha venía nombre y apellidos del alumno 27 00:01:40,560 --> 00:01:45,379 y justo debajo había una tabla con dos alumnos, con dos columnas, por cada alumno. 28 00:01:45,780 --> 00:01:49,799 En la columna de la izquierda venía el nombre de la asignatura, lengua, mates, inglés, tal. 29 00:01:49,799 --> 00:01:55,579 y en la columna de la derecha venía con todo lujo de detalles información sobre si le iba bien, mal, 30 00:01:55,900 --> 00:01:59,400 si le había afectado que sus padres se hubieran divorciado, si tenía altas capacidades, 31 00:01:59,819 --> 00:02:04,420 si era víctima de bullying, si tenía alguna dificultad en pronunciar un determinado idioma, 32 00:02:04,659 --> 00:02:06,060 por ponerte solo algunos ejemplos. 33 00:02:06,519 --> 00:02:11,300 Y por si fuera poco, en la última fila, las observaciones no eran sobre una asignatura, 34 00:02:11,740 --> 00:02:14,180 era sobre los padres, o dicho de otra manera, 35 00:02:14,180 --> 00:02:19,520 eran observaciones que se derivaban de las tutorías que se habían tenido con las familias de los menores. 36 00:02:19,800 --> 00:02:25,639 En la diapositiva puedes ver un ejemplo absolutamente ficticio de una de las hojas. 37 00:02:26,319 --> 00:02:35,520 Te vuelvo a recordar que el documento, por llamarlo de alguna manera, fue enviado por error en lugar de un simple folleto informativo sobre un musical a todos los padres de la clase. 38 00:02:36,139 --> 00:02:39,599 Y te pregunto, ¿qué hubieras hecho si ese envío por error lo hubieras hecho tú? 39 00:02:40,139 --> 00:02:48,120 Como es un vídeo y no te puedo escuchar, te voy a adelantar las respuestas que me han ido dando en diferentes formaciones a lo largo de toda España cuando he hecho esta misma pregunta. 40 00:02:48,740 --> 00:02:53,280 Las respuestas han ido desde pedir perdón a intentar eliminarlo a distancia 41 00:02:53,280 --> 00:02:57,800 contratando un cierre criminal, pasando por rezar, decirse a mi director, 42 00:02:58,120 --> 00:03:00,719 llamar a uno de los padres de mi tutoría y pedir que lo eliminen 43 00:03:00,719 --> 00:03:02,719 o morirme, por decir solo a algunos. 44 00:03:03,259 --> 00:03:06,500 Te voy a contar lo que hizo la tutora, porque os recuerdo que es un caso real. 45 00:03:06,860 --> 00:03:10,259 Y luego os cuento lo que debería haber hecho y, por supuesto, cómo acabó la cosa. 46 00:03:10,780 --> 00:03:13,259 Lo que hizo la tutora al comprobar el error que había cometido 47 00:03:13,259 --> 00:03:17,599 fue contestar a todos los padres adjuntando un escueto mensaje 48 00:03:17,599 --> 00:03:19,120 de adjunto de información del musical. 49 00:03:19,539 --> 00:03:21,419 Y ni pidió perdón, ni se lo dijo a la dirección, 50 00:03:21,599 --> 00:03:23,460 ni informó al delegado, ni instó a los padres 51 00:03:23,460 --> 00:03:25,240 a eliminar el archivo. Nada. 52 00:03:25,939 --> 00:03:27,360 Pasaron los días y las semanas 53 00:03:27,360 --> 00:03:29,379 y la tutora se quedó muy tranquila, porque 54 00:03:29,379 --> 00:03:31,800 ni un solo padre más dijo nada 55 00:03:31,800 --> 00:03:33,699 ni mandó mensaje a alguno sobre el error. 56 00:03:34,120 --> 00:03:35,360 Pero varios meses después 57 00:03:35,360 --> 00:03:37,099 llegó una denuncia presentada 58 00:03:37,099 --> 00:03:39,240 ante la Agencia Española de Protección de Datos. 59 00:03:39,599 --> 00:03:41,080 Cuando el director abrió la notificación, 60 00:03:41,080 --> 00:03:43,180 lo primero que pensó es, ¿se trata de un error? 61 00:03:43,400 --> 00:03:44,919 En el cole no había ningún caso, 62 00:03:45,099 --> 00:03:47,020 porque de haberlo sabido, me hubiese enterado. 63 00:03:47,479 --> 00:03:49,599 Y es así como llega la denuncia a nuestro despacho. 64 00:03:50,080 --> 00:03:53,699 Nos llama la tutora, que había sido alumna nueva de nuestros cursos, 65 00:03:53,759 --> 00:03:56,419 y nos dice, por favor, ayúdame a devolver la denuncia, 66 00:03:56,539 --> 00:03:58,580 porque claramente se han confundido de centro. 67 00:03:59,039 --> 00:04:02,860 Cuando leo la denuncia, denuncia en la que se explica con todo lujo de detalles lo ocurrido, 68 00:04:03,180 --> 00:04:06,460 le digo a la directora que si puede hablar con la tutora y me la pone en manos libres, 69 00:04:06,460 --> 00:04:11,060 y le pregunto, ¿usted envió hace varios meses un archivo por error a las familias de su tutoría 70 00:04:11,060 --> 00:04:13,879 cuando estaba organizando un viaje a Madrid para un musical? 71 00:04:14,139 --> 00:04:16,579 Y ella me contestó, sí, sí, pero hace varios meses. 72 00:04:17,019 --> 00:04:21,660 Con la confirmación de la tutora, le expliqué a la directora la única buena noticia de la denuncia. 73 00:04:22,139 --> 00:04:26,279 Pero Laura, pensarás, ¿puede haber una buena noticia en una denuncia de la EPD? 74 00:04:26,500 --> 00:04:32,339 Pues sí, y es que la ciencia optó por lo dispuesto en el artículo 37.2 de la LPDGED que puedes ver en la imagen. 75 00:04:32,980 --> 00:04:37,360 O dicho de otra manera, la EPD le dijo al colegio, por explicarte de manera muy coloquial, 76 00:04:37,519 --> 00:04:40,519 si en el plazo de un mes me demuestras que tu delegado de protección de datos 77 00:04:40,519 --> 00:04:46,060 ha dado respuesta a la persona que ha interpuesto la reclamación, yo no entro a investigar ni a sancionar. 78 00:04:46,060 --> 00:04:55,899 Sin duda era una muy buena noticia. Así que yo me limité a dar la buena noticia a la directora y a decirle que se pusiera las pilas porque el plazo empezaba a correr y tenía tarea por delante. 79 00:04:56,319 --> 00:04:59,360 En ese momento la directora me lo agradeció y ahí quedó el asunto. 80 00:05:00,019 --> 00:05:09,139 Tres días más tarde de nuevo me llamó la directora y me dijo literalmente que el chiquito que le llevaba la protección de datos no sabía gestionar este tipo de tema y me pidió un presupuesto. 81 00:05:09,139 --> 00:05:18,199 La verdad es que me sorprendió porque, como sabes, entre las tareas del delegado, una de ellas es actuar de punto de contacto. 82 00:05:18,339 --> 00:05:21,279 Te pongo aquí en la imagen todas las tareas del delegado. 83 00:05:21,800 --> 00:05:27,519 Por supuesto, le di presupuesto, la directora lo aceptó y cuando le dije que necesitaba ponerme en contacto con el delegado de protección de datos 84 00:05:27,519 --> 00:05:32,240 para ver qué había hecho de cara al cumplimiento del centro de las exigencias de la normativa, 85 00:05:32,620 --> 00:05:37,040 su respuesta fue a hija, si ya me decían en otros colegios que mi chiquito era muy barato. 86 00:05:37,040 --> 00:05:41,100 La verdad es que no ha hecho mucho, pero bueno, yo os pongo en contacto y a ver si te puede ayudar en algo. 87 00:05:41,620 --> 00:05:46,660 Antes de que el delegado de protección de datos contestara al correo que le enviamos, hice dos cosas. 88 00:05:47,240 --> 00:05:54,300 Uno, lo primero que hice fue comprobar que su nombramiento no estaba registrado en el registro de delegados de protección de datos de la agencia. 89 00:05:54,839 --> 00:06:02,259 Registro obligatorio y que por ayudarte te explico en la siguiente imagen cómo puedes comprobar si tu colegio, en el supuesto de ser concertado, 90 00:06:02,259 --> 00:06:07,000 tiene notificado el nombramiento en el registro de delegados de protección de datos de la agencia. 91 00:06:07,579 --> 00:06:11,759 Si no aparecen los datos del de la protección de datos de tu centro, puede ser por dos cosas. 92 00:06:12,220 --> 00:06:19,060 Bien porque no se ha notificado el nombramiento a la agencia o bien porque se haya hecho muy recientemente y el registro pueda no estar actualizado. 93 00:06:19,620 --> 00:06:22,980 Lo segundo que hice fue buscar el nombre del chiquito tan barato en Google. 94 00:06:23,459 --> 00:06:29,579 Y cuál fue mi sorpresa cuando me enteré que el chiquito en cuestión hasta hacía tres meses se había dedicado al mundo de la ortodoncia. 95 00:06:29,579 --> 00:06:35,920 Sí, sí, no es un chistera dentista. Y de repente, tachán, cambio radical de vocación y viva la protección de datos. 96 00:06:35,920 --> 00:06:44,980 Como te podrás imaginar, ni tenía la formación necesaria, ni había hecho absolutamente nada para el cumplimiento de la normatividad de protección de datos. 97 00:06:45,160 --> 00:06:56,939 Y cuando os digo nada, es nada. Bueno, les había generado un plano de incendios, que fue literalmente lo único que nos envió cuando le pedimos toda la documentación que acreditaba su labor como delegado de protección de datos. 98 00:06:57,500 --> 00:06:59,680 Así que de nuevo, lo barato sale caro. 99 00:07:00,480 --> 00:07:07,100 Cuando se lo conté a la directora se quedó sin palabras y en ese momento restringió el contrato con su delegado y nos contrató a nosotros. 100 00:07:07,620 --> 00:07:14,660 Así que manos a la obra. Antes de decirte cómo se solucionó el caso, queremos hacer un breve inciso para recordarte dos cuestiones fundamentales. 101 00:07:15,160 --> 00:07:21,680 La primera cuestión sobre la que queremos llamar la atención es que además del incumplimiento objetivo y ramísimo que todos estáis viendo, 102 00:07:21,680 --> 00:07:27,339 que supone que 28 padres accedan a información sobre menores que no son sus hijos con todo el 103 00:07:27,339 --> 00:07:33,660 daño que supone en el caso que nos ocupa, existe otro incumplimiento. ¿Sabes cuál? La no notificación 104 00:07:33,660 --> 00:07:38,199 de la brecha de seguridad, porque a todas luces es una brecha de seguridad en la que se vieron 105 00:07:38,199 --> 00:07:43,079 afectados datos personales y por tanto el colegio debería haberlo notificado en un plazo máximo de 106 00:07:43,079 --> 00:07:49,180 72 horas, pero como te he dicho, como la tutora no dijo nada, pasaron varios meses. La segunda 107 00:07:49,180 --> 00:07:53,240 cuestión sobre la que te quiero llamar la atención es que la madre que denunció no tenía ninguna 108 00:07:53,240 --> 00:07:58,160 relación con el padre que se limitó a decir ten más cuidado la próxima vez y envíanos la información 109 00:07:58,160 --> 00:08:02,920 del musical. La madre que denunció era madre de tres niños que están en el colegio y tanto de su 110 00:08:02,920 --> 00:08:08,819 hija pequeña como de su marido se decían cosas por así decirlo no muy agradables. Cuando hablamos 111 00:08:08,819 --> 00:08:13,339 con la madre que denunció lo primero que nos dijo fue ni siquiera había una disculpa por parte ni de 112 00:08:13,339 --> 00:08:18,240 la tutora ni de la directora ni del colegio en general. Además nos dijo que todo lo que se decía 113 00:08:18,240 --> 00:08:22,540 tanto de su hija como de su marido era falso. Y nos pidió que nos pusiéramos en su lugar 114 00:08:22,540 --> 00:08:27,300 mientras nos decía, imagínese, esto es un sitio muy pequeño, está todo el pueblo comentando 115 00:08:27,300 --> 00:08:32,100 las barbaridades que se dicen de mi hija y de mi marido. Después de varias conversaciones 116 00:08:32,100 --> 00:08:35,960 con ella nos llevó a decir, yo no quiero hacerle ningún daño al colegio, pero sí 117 00:08:35,960 --> 00:08:40,200 que quiero que se elimine toda esa información falsa de mi hija y de mi marido y que haya 118 00:08:40,200 --> 00:08:45,080 una disculpa por parte del colegio. Como te puedes imaginar, estábamos en constantes 119 00:08:45,080 --> 00:08:49,759 conversaciones con la directora del colegio y con la tutora y en un momento dado le preguntamos a 120 00:08:49,759 --> 00:08:54,759 la tutora el por qué no había avisado a nadie el error cometido y su respuesta fue porque mi novio 121 00:08:54,759 --> 00:09:00,440 que estudia derecho me dijo que no era grave qué errores cometemos todos y de nuevo aquí se ve la 122 00:09:00,440 --> 00:09:05,480 importancia de la formación en protección de datos muchos de los problemas problemas que muchas veces 123 00:09:05,480 --> 00:09:10,259 acaban en multa se hubieran evitado con la debida formación porque aunque puedas pensar que es de 124 00:09:10,259 --> 00:09:15,179 sentido común, lo que ocurrió aquí. Aquí también se cumple ese famoso dicho de el sentido común es 125 00:09:15,179 --> 00:09:20,720 el menos común de los sentidos. Te adelanto ya que el caso tuvo final feliz o dicho con otras 126 00:09:20,720 --> 00:09:25,220 palabras, logramos demostrar el acuerdo al que llevamos con la persona que denunció y la agencia 127 00:09:25,220 --> 00:09:31,159 no entró a investigar. ¿Y cómo lo logramos? En primer lugar, enviamos una carta firmada por la 128 00:09:31,159 --> 00:09:35,899 madre que denunció y por el colegio indicando que el colegio había atendido todas las peticiones de 129 00:09:35,899 --> 00:09:40,320 la denunciante y que, por tanto, la denunciante solicitaba que no se sancionara el colegio. 130 00:09:40,360 --> 00:09:44,759 En segundo lugar, adjuntamos la formación impartida a todos los trabajadores con cuestiones 131 00:09:44,759 --> 00:09:48,440 básicas y prácticas para cumplir la normativa en su día a día del centro. 132 00:09:48,919 --> 00:09:53,519 Tercero, notificamos y la adjuntamos la brecha de seguridad poniendo en manifiesto que lo 133 00:09:53,519 --> 00:09:57,659 hicimos dentro de las 72 horas desde que tuvimos conocimiento, puesto que hasta que llegó 134 00:09:57,659 --> 00:10:01,159 la denuncia el colegio no tenía conocimiento alguno sobre lo acontecido. 135 00:10:01,639 --> 00:10:06,080 Cuarto, incluimos carta de la tutora escribiendo los hechos con todo lujo de detalle y asumiendo 136 00:10:06,080 --> 00:10:09,740 su responsabilidad, haciendo hincapié en que nunca dijo nada a nadie. 137 00:10:10,299 --> 00:10:14,340 Quinto, atendíamos el ejercicio del derecho de supresión solicitado por la madre y lo 138 00:10:14,340 --> 00:10:15,399 hicimos en tiempo y forma. 139 00:10:15,960 --> 00:10:20,559 Sexto, incorporamos al escrito la restricción del contrato con el chiquito barato de protección 140 00:10:20,559 --> 00:10:24,960 de datos, poniendo en manifiesto que el colegio creyó estar cumpliendo la normativa y fue 141 00:10:24,960 --> 00:10:27,740 víctima de un timador que solo quería sacarles el dinero. 142 00:10:28,379 --> 00:10:30,840 Séptimo, demostramos la adopción de nuevas medidas de seguridad, 143 00:10:31,100 --> 00:10:34,639 tanto de los datos en soporte papel como de los datos en soporte automatizado. 144 00:10:35,279 --> 00:10:39,080 Ocho, se adjuntaron la formación que se le dio a la tutora 145 00:10:39,080 --> 00:10:44,539 y que se le envió a todas las familias pidiendo perdón e instando a que se eliminase. 146 00:10:44,919 --> 00:10:46,379 Espero que el caso te haya llamado la atención. 147 00:10:46,740 --> 00:10:50,779 Si solo me pudiera quedar con una enseñanza, te diría formación, formación y formación. 148 00:10:51,240 --> 00:10:53,059 Nada de teoría, todo con ejemplos prácticos. 149 00:10:53,059 --> 00:10:57,460 Y si me permites, como se suele decir a modo de bonus track, quédate con el siguiente consejo. 150 00:10:57,460 --> 00:11:05,679 Revisa mil veces antes de enviar y ten separada la información, vamos a decir, sobre folletos o pura antinformatía y los documentos con datos personales.