Acceso a listas anonimizadas de admitidos y no admitidos con puntuación en centros escolares

Resolución: RDA093/2023 Nº Expediente de la Reclamación: RDACTPCM262/2022 Reclamante: Administración reclamada: Dirección de Área Territorial de Madrid-Capital Información reclamada: Listas de admitidos en centros escolares. Sentido de la resolución: Estimación. ANTECEDENTES PRIMERO. El 18 de agosto de 2022, se recibe en este Consejo reclamación Dña. dada su disconformidad con la respuesta a su solicitud de información formulada en fecha 18/08/2022 a la Dirección de Área Territorial de Madrid-Capital, relativa a las listas de admitidos de diversos centro escolares. En concreto, la interesada señaló lo siguiente: “[…] se ha inadmitido mi solicitud por solicitar datos anonimizados, al considerar que el proceso de anonimización equivale a una reelaboración. Los datos que solicito son muy sencillos de anonimizar, sólo pido la puntuación global de los solicitantes de admisión de dos centros en un curso. Según los criterios interpretativos del CTBG el proceso de convertir en anónimos los datos no puede considerarse una reelaboración. Reclamo que se me proporcionen los datos solicitados.” SEGUNDO. El 4 de octubre de 2022, este Consejo admitió a trámite la reclamación y dio traslado de esta a la directora del Área Territorial de Madrid- Capital, solicitándole la remisión de las alegaciones que considere convenientes y, en general, toda la información o antecedentes que puedan ser relevantes para resolver la citada reclamación. TERCERO. El 25 de octubre de 2022, se recibió por este Consejo el escrito de alegaciones de la citada administración. En dicho escrito, se indica lo siguiente: “Con fecha 17 de agosto se facilitó un acceso parcial de la información y no de inadmisión de la información solicitada, como la interesada señala en su reclamación ante el Consejo de Transparencia y Participación de la Comunidad de Madrid. […]Además de lo anteriormente expuesto, la interesada solicitaba: “Listas de admitidos y no admitidos con puntuación anonimizadas si es necesario de solicitantes en primera opción de estos CEIPs para infantil 3 años” Como ya se argumentó, en "La Guía de Protección de Datos en Centros Educativos" publicada por la Agencia Española de Protección de Datos (AEPD)1 , se establece, en relación a la publicación de listados de admisión, que éstos deberán estar restringidos a las personas que hayan participado en el proceso de admisión, con acceso a la página web de consulta mediante contraseña o publicando la relación de alumnos admitidos en los tablones de anuncios en el interior del centro. Esta publicación deberá recoger sólo el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible de poner de manifiesto la capacidad económica de la familia.[…] Sin embargo, para respetar la privacidad de los datos, la consulta en la página web de estos listados, que contienen información que podría afectar a la intimidad o seguridad de los participantes, siguiendo el criterio de la AEPD en su guía, debe estar restringido a las personas que hayan participado en el proceso, con acceso mediante contraseña. En la solicitud de acceso a la información pública no se menciona ni se demuestra que Dª. haya participado en el proceso y menos aún en dos centros educativos a la vez. No podemos olvidar, que las familias al participar en el proceso de admisión para el segundo ciclo de educación infantil según la Resolución Conjunta de las Viceconsejerías de Política Educativa y de Organización Educativa, de 25 de marzo de 2022, por la que se dictan Instrucciones sobre la participación en el proceso de admisión de alumnos en centros docentes sostenidos con fondos públicos que imparten segundo ciclo de Educación Infantil, Educación Primaria, Educación Especial, Educación Secundaria Obligatoria y Bachillerato en la Comunidad de Madrid para el curso 2022/2023, han tenido que facilitar datos de carácter personal, muchos de ellos muy sensible como son: ser perceptor de RMI o IMV, acogimiento familiar, discapacidades o víctimas de violencia de género entre otros. […] La interesada solicitaba los datos anonimizados, no siendo posible según lo expuesto en el anterior párrafo y más aún si son datos muy sensibles de menores. Anonimizar y Cifrar son dos conceptos diferentes. El tratamiento de anonimización genera un único y nuevo conjunto de datos, mientras que Cifrar o seudonimizar datos, supone sustituir atributos por otros en un registro, de manera que se deben de generar dos nuevos conjuntos de datos: la información seudonimizada y la información adicional que permite revertir la anonimización. Esto nos lleva a una reelaboración de la información solicitada siendo el volumen solicitado inasumible al solicitar la lista de admitidos y no admitidos con puntuación de los solicitantes en primera opción de los dos centros educativos, CEIP Nuria Espert y CEIP Alfredo Di Estéfano” CUARTO. El 28 de octubre de 2022, se remite a la reclamante el escrito de la administración, concediéndole un plazo de 10 días para que formulase las alegaciones que considerase convenientes. El 2 de noviembre de 2022, se recibió por este Consejo el escrito de alegaciones presentado por la reclamante. En dicho escrito, se indica lo siguiente: “No manejo bien la jerga jurídico-administrativa, de ahí que hablara de inadmisión en vez de acceso parcial, pero considero que mi pretensión quedaba clara. No solicito ningún “dato muy sensible de menores”, únicamente las puntuaciones agregadas del procedimiento de admisión. Es más, no solicito ningún dato personal ya que, citando a la AEPD: “El conjunto de datos anonimizados no está bajo el ámbito de aplicación del Reglamento General de Protección de Datos (RGPD) (Considerando 26)”. No es necesaria una cesión de datos personales y por tanto es indiferente lo que firmaran las familias al respecto. La anonimización no es contraria a los art. 6.3. y 6.4.e (RGPD). Al contrario, citando de nuevo a la AEPD: “El tratamiento que genera los datos anonimizados sí es un tratamiento de datos personales, que puede considerarse compatible con el fin original del tratamiento de datos personales del que proceden los datos”. Además, que se permita el cifrado o la seudonimización no es equivalente a la prohibición de la anonimización. Estas dos técnicas (cifrado y seudonimización) no tienen ninguna relación con mi solicitud por lo que su diferencia con la anomización es irrelevante y no puede basarse en ella la argumentación de que se precise una reelaboración. No puede tampoco considerarse un “volumen de información inasumible” un total de menos de 200 datos simples, todos ellos dispuestos en una misma columna de un único informe.” FUNDAMENTOS JURÍDICOS PRIMERO. La Ley 10/2019, de 10 de abril, de Transparencia y Participación de la Comunidad de Madrid (en adelante, LTPCM) reconoce en su artículo 30 que todas las personas tienen derecho a acceder a la información pública en los términos previstos en esta Ley y en el resto del ordenamiento jurídico. El artículo 5.b) de la misma entiende por información pública “los contenidos o documentos que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de esta Ley y que hayan sido elaborados, adquiridos o conservados en el ejercicio de sus funciones”. El derecho de acceso, por tanto, se ejerce sobre una información existente y en posesión del organismo que recibe la solicitud, ya sea porque él mismo la ha elaborado o bien porque la ha obtenido en el ejercicio de las funciones que tiene encomendadas. SEGUNDO. El artículo 47 y siguientes y el 77 de la LTPCM, así como el artículo 6 del Reglamento de Organización y Funcionamiento del Consejo de Transparencia y Participación de la Comunidad de Madrid, reconocen la competencia de este Consejo para resolver las reclamaciones que se presenten en el ámbito del derecho de acceso a la información. TERCERO. El artículo 2 de la LTPCM establece que las disposiciones de esa ley se aplicarán a: “a) La Administración pública de la Comunidad de Madrid.” mientras que la Disposición Adicional Octava señala que “Corresponde al Consejo de Transparencia y Participación la resolución de las reclamaciones que se interpongan contra los actos expresos o presuntos resolutorios de las solicitudes de acceso a la información de los ayuntamientos de la Comunidad, de las universidades públicas de la Comunidad de Madrid, y de las entidades vinculadas o dependientes de los mismos. CUARTO. La administración argumenta, como motivo principal para la denegación de la solicitud de la interesada, que los datos que integran las listas de admitidos y no admitidos de los solicitantes de los centro escolares indicados por la interesada, son de carácter personal, por lo tanto, la entrega de dichos datos supondría la vulneración de la intimidad de los solicitantes, dado que estos incorporan información sensible como es: “ser perceptor de RMI o IMV, acogimiento familiar, discapacidades o víctimas de violencia de género entre otros”. Asimismo, al fin de evitar la vulneración descrita, la Dirección de Área Territorial de Madrid-Capital alega que se debería emprender a una tarea de reelaboración de la información a través de tratamiento y seudonimización de los datos, siendo esta labor inasumible por la administración. Partiendo de las consideraciones extractadas, se debe manifestar que este Consejo no comparte la postura de la Dirección de Área Territorial de Madrid-Capital, dado que la interesada no ha solicitado que se proceda a la seudonimización de la información, sino que ha requerido tan solo que se le informe de la puntuación obtenida por cada admitido y no admitido, anonimizando la información personal de los solicitantes. La diferencia entre la seudonimización y la anonimización se establece en el consideración 26 del Reglamento de Protección de los Datos Personales: “Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. Por lo tanto, los principios de protección de datos no deben aplicarse a la información anónima, es decir información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo. En consecuencia, el presente Reglamento no afecta al tratamiento de dicha información anónima, inclusive con fines estadísticos o de investigación.” Es así como la información seudonimizada es aquella que, sin incluir los datos personales de un sujeto, permite su identificación mediante información adicional. No sucede con la información anonimizada, que es la que solicita la interesada. Dado que la reclamante requiere que se le entregue la información relativa, única y exclusivamente, a la puntuación obtenida por los admitidos e inadmitidos de los centros escolares que detalla, este Consejo debe estimar la reclamación planteada, dado que esta información no permite identificar los datos personales ni otra información sensible de cada uno de los sujetos que integran los listados, siempre y cuando ésta esté debidamente anonimizada. Tampoco cabe estimar que dicha acción de anonimización suponga la reelaboración de la información. Ya que, por un lado, esta circunstancia no se ha fundamentado correctamente por la administración, que no ha desarrollado los motivos por los cuales dicho proceso de anonimización podría conllevar una labor de reelaboración desproporcionada, considerando los recursos de la entidad. Y, por otro lado, según la posición mantenida por el Consejo de Transparencia y Buen Gobierno, la anonimización de información no puede subsumirse como una causa de reelaboración, tal y como se señala en la resolución CI/007/2015: “El segundo supuesto sería el que se refiere a la información que, por contener datos de carácter personal debe ser anonimizada o disociada antes de ser suministrada al interesado o bien que, por afectar a alguno de los límites previstos en la norma, el acceso solo deba proporcionarse respecto de parte de la información solicitada. Son los supuestos contemplados en los artículos 15.4 - que prevé la anonimización de la información, de modo que se impida la identificación de las personas afectadas – y 16 de la Ley 19/2013, que prevé el suministro de la información con omisión de aquella que esté afectada por algunos de los límites del artículo 14. En estos casos, y pese a poner, implícitamente, un proceso específico de trabajo para proporcionar la información, ninguno de esos dos supuestos puede entenderse como reelaboración.” Por todo ello, procede estimar la reclamación planteada por la solicitante, debiendo la administración reclamada hacer entrega de la información relativa a la lista de admitidos y no admitidos con la puntuación de los solicitantes de los centros escolares indicados por la interesada, procediendo, con carácter previo a la entrega, a la anonimización de los mismos, de acuerdo con lo regulado en la legislación básica sobre derecho de acceso a la información. RESOLUCIÓN En atención de todos los antecedentes y fundamentos jurídicos expuestos, el Consejo de Transparencia y Participación de la Comunidad Autónoma de Madrid ha decidido, PRIMERO. Estimar la Reclamación con número de expediente RDACTPCM262/2022 presentada en fecha 18 de agosto de 2022 por D. , por constituir su objeto información pública. SEGUNDO. Instar al Dirección de Área Territorial de Madrid-Capital a que en el plazo de 20 días hábiles entregue al reclamante la información solicitada relativa a las listas anonimizadas de admitidos y no admitidos indicando su puntuación, en primera opción, en los CEIP enumerados por la interesada, para el curso infantil (3 años) , remitiendo al Consejo testimonio de las actuaciones llevadas a cabo para la ejecución del contenido de la presente resolución. TERCERO. Recordar al Dirección de Área Territorial de Madrid-Capital que si no se diera cumplimiento al contenido de la presente resolución o lo hiciera de forma parcial o defectuosa, el Área a la que corresponda la tramitación de la reclamación, o el Pleno en los casos que le corresponda, remitirán los correspondientes requerimientos instándole al cumplimiento íntegro de la misma y, de no atenderlos, se podrá remitir el expediente a la Presidencia del Consejo para que inicie el procedimiento sancionador regulado en el Título VI de la Ley 10/2019, de 10 de abril. Asimismo, de todo ello se dejará constancia en el informe que el Consejo remite anualmente a la Mesa de la Asamblea de la Comunidad de Madrid. De acuerdo con el artículo 48 del Reglamento de Funcionamiento y Organización del Consejo de Transparencia y Participación, esta resolución tiene carácter ejecutivo y será vinculante para los sujetos obligados por la Ley 10/2019, de 10 de abril. Asimismo, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el artículo 47 de la Ley 10/2019, de 10 de abril y el artículo 37 del Reglamento de Organización y Funcionamiento del Consejo, esta resolución pone fin a la vía administrativa. Madrid, en la fecha que figura en la firma. Rafael Rubio Núñez. Presidente. Responsable del Área de Publicidad Activa y Control. Ricardo Buenache Moratilla. Consejero. Responsable del Área de Participación y Colaboración Ciudadana. Antonio Rovira Viñas. Consejero. Responsable del Área de Acceso a la información.