FAPA: 'Robatori de dades personals GESTIB'

Comunicat FAPA Mallorca

El passat 17 de juliol es va produir un robatori de dades personals de la plataforma GESTIB de la Conselleria d’Educació, un incident que consideram molt greu per les possibles conseqüències, tant perquè afecta a pràcticament totes les dades personals com perquè inclou també dades de menors d'edat.

Davant la resposta de la Conselleria d’Educació i Universitats després de l’incident, com a federacions de les associacions de famílies d’Eivissa, Mallorca i Menorca, agrupades en COAPA Balears, que representen les famílies directament afectades, hem adreçat als delegats de protecció de dades i a la directora general de Planificació i Centres, la responsable del tractament de les dades, un escrit demanant altres actuacions i oferint la nostra col·laboració per ajudar de la millor manera a minimitzar els seus efectes.

La carta enviada a les famílies, mitjançant un comunicat GESTIB i altres a les seves adreces de correu personal, dóna resposta a les obligacions de l'Administració davant un fet així, que determina el Reglament europeu de protecció de dades 2016/679, art. 34, però degut al seu llenguatge tècnic és de poca ajuda per a les famílies, que necessiten una altra informació complementària per gestionar correctament aquesta situació.

Demanam a la Conselleria d’Educació i Universitats que expliqui a les famílies, en un llenguatge entendible per qualsevol persona i de manera didàctica, el que ha succeït, les conseqüències que pot tenir per als menors i per als adults afectats i, sobretot, què poden fer per minimitzar-les. Les possibles conseqüències detallades en el punt 4 de la carta (suplantació de la identitat, frau, pèrdua de la privadesa, danys en la reputació dels afectats, limitació dels seus drets) són molt greus i fa necessari que la Conselleria les expliqui i ajudi de manera urgent a les famílies afectades a millorar la seva seguretat per evitar conseqüències més greus.

També hem demanat altres informacions per conèixer millor l'incident i el seu abast: 1. Quin ha estat el seu abast? De quantes persones han aconseguit les dades personals?

2. Les famílies que no han rebut cap notificació, ni per GESTIB ni per correu electrònic, no han estat afectades?

3. Com varen accedir a les dades? La carta diu "van suplantar la identitat d'alguns usuaris, utilitzant els seus usuaris i contrasenyes", això vol dir que alguns usuaris amb permisos elevats d'administració no utilitzaven contrassenyes prou segures o com se varen aconseguir?

4. On estan emmagatzemades les dades personals, a servidors de l'administració o d'empreses privades? Es compta amb les normes ISO corresponents a protecció de dades?

5. Quines mesures s'estan adoptant per evitar incidents similars en el futur?