Junta de Andalucía sancionada por ceder datos de 525.000 menores a Microsoft

El Gobierno andaluz (PP) ha vulnerado durante los últimos seis años la protección de datos de 525.000 alumnos menores de edad, 74.000 profesores y un millar de centros escolares al entregarle sus datos al gigante tecnológico Microsoft a cambio del uso de una plataforma virtual, según el Consejo de Transparencia y Protección de Datos de esa comunidad.

Este organismo acaba de imponer al Ejecutivo autonómico seis sanciones ―dos muy graves, tres graves y una leve―, aunque sin multa económica. Llueve sobre mojado porque Andalucía también quebró la protección de datos de otros 738.502 alumnos menores, 43.202 profesores y 2.676 centros escolares, por un convenio similar cerrado con Google en 2020 y censurado por Protección de Datos hace año y medio. Ambas multinacionales copan las plataformas virtuales de 1,2 millones de estudiantes, las dos terceras partes de la mayor comunidad educativa del país, con 1,8 millones entre primaria y secundaria.

La enorme brecha de datos en la que ha incurrido Andalucía ―hoy vigente a la espera del nuevo convenio― ha roto la privacidad y el derecho a la intimidad de miles de estudiantes, además de incumplir varios artículos del Reglamento General de Protección de Datos europeo (RGPD).

Las dos sanciones muy graves critican “las transferencias de datos personales a terceros países u organizaciones internacionales” sin garantías hacia países como Emiratos Árabes Unidos, Sudáfrica o India; así como haber omitido informar a los estudiantes y docentes del uso de sus datos personales. “La Comisión Europea considera que muchos de estos países no tienen un nivel de protección de datos adecuado”, resalta el Consejo.

Las tres sanciones graves impuestas censuran que la Junta no tomó “medidas para minimizar el riesgo” de una fuga de datos con categorías especiales ―muy sensibles y protegidos, como los referentes a la salud―, así como imágenes y vídeos “inapropiados” en la nube de Microsoft, ni llevó a cabo la obligatoria evaluación de impacto que impone la ley. Por último, la sanción leve condena que la Junta no registrara las transferencias internacionales de datos de los menores andaluces. La Junta cedió los datos de sus estudiantes y profesores sin su consentimiento previo, a cambio de que estos usaran gratis la plataforma virtual de la compañía de Bill Gates.

La Junta no adoptó “medidas técnicas y organizativas” para limitar “el elevado riesgo” en el que incurren profesores y alumnos al volcar en la nube sus datos de categorías especiales como los relativos a la salud, religión, ideología, creencias, vida sexual u origen racial, según el Consejo.

La profesora que denunció el convenio pone un ejemplo claro: “Una redacción para la asignatura de Historia en la que se pida la opinión sobre ideologías políticas, o el muy común documento compartido para aportar información a los tutores antes de la evaluación, o al crear una carpeta compartida con los informes psicopedagógicos de una alumna en el Drive; se facilitan datos de categoría especial bajo la ignorancia y sin el consentimiento del alumnado y sus familias. De hecho, son procedimientos que se hacen de manera ya rutinaria”. Los datos de salud están especialmente protegidos en el Reglamento europeo por ser una categoría especial de datos sensibles cuyo mal uso puede atentar contra la intimidad y derechos fundamentales de las personas.

El Consejo de Transparencia ha tardado tres años en amonestar a la Consejería andaluza de Desarrollo Educativo y Formación Profesional desde que una profesora denunció las irregularidades del acuerdo con Microsoft por traficar con millones de datos sensibles. Y lo ha hecho sin multa económica porque considera que en este espinoso asunto prima el derecho a la educación de los menores, y los servicios integrados en la nube de la compañía estadounidense no deben interrumpirse. Entre ellos están todas las aplicaciones de Microsoft Office, como los procesadores de texto y las hojas de cálculo, así como el almacenamiento en la nube OneDrive y el sistema de comunicación Teams.

El Gobierno andaluz minimiza el alcance de la condena de Protección de Datos y alega que ya tiene un plan de acción “calcado al de Google, que ya quedó resuelto y avalado [por el Consejo de Transparencia]”. El Ejecutivo tiene un mes para presentar al organismo de control su nuevo plan de actuación, consensuado con Microsoft, que corrija todos los fallos que han permitido la fuga masiva de datos de los alumnos andaluces, hasta el próximo 31 de julio. El convenio Junta-Microsoft se firmó en 2020 y se prorrogó en 2022 y 2024. Antes de que caduque la última prórroga el próximo 20 de noviembre, ambos firmarán un nuevo convenio, según dicho portavoz.

El gigante tecnológico, que no ha sido sancionado por el Consejo andaluz, ha rechazado aclarar por qué ha incumplido varios artículos del Reglamento europeo, y si lo hizo a sabiendas. “Microsoft no realiza comentarios sobre procedimientos específicos ni sobre relaciones contractuales concretas con clientes. En términos generales, Microsoft se compromete a cumplir con la normativa aplicable en materia de protección de datos”, se ha limitado a responder por escrito la compañía.

Rafael Rodríguez, catedrático de Filosofía del Derecho de la Universidad Pablo de Olavide de Sevilla, censura: “Los derechos vinculados a la privacidad de los niños se ven conculcados. Hay una cierta fe en esas empresas tecnológicas que han demostrado que su fin primario es el beneficio de los accionistas y eso es muy difícil de conciliar con el bien común. El esfuerzo de lo público termina produciendo beneficios a un sector muy reducido. No entiendo esta obsesión de la Junta por empresas extranjeras con fuertes beneficios y por qué busca acostumbrar a estudiantes y profesores a un ecosistema tan privativo, a que su vida en internet tenga que estar ligada a empresas como Microsoft”.

El Consejo Andaluz aclara en su resolución que evita imponer una sanción económica y solo apercibe a la Junta porque su objetivo es salvaguardar el derecho a la educación de los menores y busca “minimizar las posibles alteraciones” en el sistema educativo. El organismo aduce que si se interrumpiera el servicio de Microsoft, “podría afectar negativamente” al derecho a la educación y el principio de primacía del interés del menor, y se da por satisfecho con la evaluación de riesgos en protección de datos (EIPD) que lleva a cabo la Consejería. Esta entregará este verano al organismo de control un plan de acción para corregir los incumplimientos detectados y así “limitar el elevado riesgo” que implica para los niños, adolescentes y profesores el uso de la nube de Microsoft.

El primer profesor andaluz que denunció el convenio de la Consejería con Google exigió por Transparencia que le facilitaran el plan de acción para saber cómo estaba previsto proteger la privacidad de la comunidad educativa, pero el Gobierno autonómico se lo denegó. Y cuando recurrió ante el Consejo de Transparencia, este eludió pronunciarse y le pidió una prórroga de tres meses “por la escasez de recursos personales”. “El Consejo fue atrasándola en el tiempo hasta darme la prórroga de tres meses antes de las elecciones; no querría que yo lo tuviera antes de votar”, critica. “La sensación es de impunidad, porque el Consejo podría haber parado todo esto por el artículo 69 de la Ley de protección de datos. Microsoft dice que no usan los datos, pero ¿quién nos dice que no lo usan para la inteligencia artificial si tienen una cláusula que les deja hacerlo?”, plantea.