AEPD sanciona con 12.000 euros al colegio Holy Mary Catholic School por usar Google Workspace sin base legal ni transparencia

### **Resumen de la decisión**

Se resuelve un procedimiento sancionador contra el colegio **Holy Mary Catholic School, S.L.** por tres infracciones relacionadas con el tratamiento de datos personales de sus alumnos a través de la plataforma **Google Workspace for Education (GWE)**.

#### **1. Infracciones imputadas:**
– **Vulneración del artículo 6.1 del RGPD**: Tratamiento de datos sin una base de legitimación válida y proporcional. El colegio argumentó que el uso de GWE estaba justificado por obligaciones legales educativas, pero no acreditó que los tratamientos adicionales (como datos de uso de la plataforma) fueran necesarios para dicho fin.
– **Incumplimiento del artículo 5.1.a) del RGPD**: Falta de transparencia y lealtad en el tratamiento de datos. No se proporcionó información suficiente a los afectados (alumnos y padres) sobre:
– Todos los tipos de datos recogidos (incluyendo datos de uso, localización, etc.).
– Transferencias internacionales de datos (GWE procesa datos en servidores fuera de la UE sin opción de elegir ubicación).
– **Falta de Evaluación de Impacto (EIPD) conforme al artículo 35 del RGPD**: La evaluación presentada por el colegio no cumplió con los requisitos, ya que:
– No identificó correctamente los datos tratados (ocultó datos generados por el uso de la plataforma).
– No analizó adecuadamente los riesgos derivados de las transferencias internacionales.
– No justificó la necesidad y proporcionalidad del tratamiento con alternativas menos intrusivas.

#### **2. Sanción impuesta:**
La decisión inicial proponía multas por hasta **20.000 euros** (acumulables), pero tras el **reconocimiento de responsabilidad** y el **pago voluntario** del colegio, la sanción se redujo a **12.000 euros** (40% de descuento por pago y reconocimiento temprano).
Las infracciones se resolvieron así:
– **10.000 euros** por la vulneración del artículo 6.1 del RGPD.
– **6.000 euros** por el incumplimiento del artículo 5.1.a) RGPD.
– **4.000 euros** por no realizar una EI