AAPP-00002-2017

1/12 Procedimiento Nº AP/00002/2017 RESOLUCIÓN: R/02593/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00002/2017, instruido por la Agencia Española de Protección de Datos a la DIPUTACIÓN DE SEVILLA (OPAEF), vista la denuncia presentada por Don B.B.B., y en virtud de los siguientes: ANTECEDENTES PRIMERO: Con fecha 25/08/2016 tuvo entrada una denuncia de D. B.B.B. (en lo sucesivo el denunciante) contra la DIPUTACIÓN DE SEVILLA (ORGANISMO PROVINCIAL DE ASISTENCIA ECONÓMICA Y FISCAL-(OPAEF) (en lo sucesivo la denunciada) por exponer en su página web con acceso sin restringir sus datos de carácter personal: nombre y apellidos. Aporta escrito firmado electrónicamente el 7/06/2016 “anuncio” que contiene el listado provisional de aspirantes admitidos y excluidos en una convocatoria de pruebas selectivas, figurando el listado ordenado por apellidos y nombre y el NIF, entre ellos sus datos. También indica el denunciante que se expuso la calificación provisional de la prueba tipo test, o primera parte, y la calificación de la segunda parte-teórica-practica, dando la puntuación final. Acompaña escrito firmado electrónicamente el 29/07/2016 y la calificación, figurando entre otros en el listado, el denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita al denunciante que amplíe información, en concreto que aportara las bases de la convocatoria. Con fecha 26/10/2016 el denunciante aporta copia de las bases, figurando firmadas el 18/04/2016. En el punto CUARTO se prevé que se dictara resolución provisional de admitidos y excluidos. En el punto SEXTO se indica que “La publicación sustituirá a la notificación individual al tratarse de actos integrantes de un procedimiento selectivo o de concurrencia competitiva por lo que se señala el tablón de edictos del OPAEF como lugar donde se efectuaran las sucesivas publicaciones. En el punto SEPTIMO se indica que: “El Tribunal calificador publicara en el tablón de edictos del OPAEF las calificaciones correspondientes a la prueba y la propuesta de formación de la lista provisional de aspirantes para nombramientos interinos. “ TERCERO: Con fecha 4/11/2016 se accede a la página web de OPAEF y en la sección de sede electrónica figura el apartado de Tablón de anuncios y edicto” en el que se contienen publicaciones relacionadas con convocatorias similares a la que ha sido objeto de denuncia, así como apartados que indican la resolución de reclamaciones y calificaciones definitivas, fecha 26/09/2016, y adjunto la palabra descargar. CUARTO: Con fecha 7/04/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas a la DIPUTACIÓN DE SEVILLA-ORGANISMO PROVINCIAL DE ASISTENCIA ECONOMICA Y FISCAL-OPAEF) por una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 25/05/2017, la denunciada alega: 1) Les consta una denuncia del denunciante de 25/08/2016 por la exposición de sus datos en una convocatoria de pruebas selectivas con posibilidad de acceso general, en concreto, la publicación de 7/06/2016 de admitidos y excluidos provisionales y de 29/07/2016 sobre calificación provisional de la prueba tipo test. 2) En la base SEXTA de la convocatoria se indicaba que “la publicación sustituirá a la notificación individual al tratarse de actos integrantes de un procedimiento selectivo o de concurrencia competitiva”, por lo que se señala el tablón de edictos del OPAEF como lugar donde se efectuaran las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. Además, la publicación debe contener los elementos recogidos “en el artículo 58.2 de la Ley 30/1992”. Los que participan en el proceso conocen la regulación del mismo. 3) Todos los actos se publicaron durante un periodo de tres meses. En la actualidad ninguno de los listados permanece expuesto. 4) Los principios informadores del sistema de acceso a la función pública son la publicidad y transparencia, y así se constata en el artículo 55.2 del Real Decreto Legislativo 5/2015 de 30/10, Texto Refundido del Estatuto Básico del Empleado Público. 5) El artículo 20 del Reglamento general de ingreso del personal al servicio de la Administración General del Estado, Real Decreto 364/1995, indica que la resolución aprobando la lista de admitidos o excluidos deberá publicarse en el BOE y en ella se indicaran los lugares en que se encuentren expuestas al público las listas certificadas completas de aspirantes admitidos y excluidos. El artículo 25 del citado R.D. dispone que “concluido el proceso selectivo, los aspirantes que lo hubieran superado serán nombrados funcionarios de carrera”, y que “los nombramientos deberán publicarse en el BOE”. 6) Consultadas diversas páginas de la Secretaria de Estado de la Función Pública y el criterio general de las publicaciones, tanto provisionales como definitivas, y en particular en las publicaciones en el BOE de nombramientos de funcionarios, lo usual es identificar a los aspirantes por sus apellidos y nombre completos junto al DNI. 7) La AEPD tiene varios informes como el 24/2007, o el 358/2015, que analizan supuestos similares, considerando ahora la denunciada la posibilidad de sustituir la publicación conjunta de NIF, apellidos y nombre por la publicación de apellidos y nombre y un extracto del NIF con los últimos tres o cuatro caracteres. SEXTO: Con fecha 21/08/2017 se accede a la página de la Diputación, sede electrónica, tablón electrónico, y no se observa que continúen expuestas los datos objeto de la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Sin embargo, se aprecia que otras convocatorias publican anexos con relaciones de admitidos y excluidos por apellidos y nombre, conteniendo el NIF, sea para cubrir puesto de personal laboral fijo de plantilla, sea para creación de bolsa de empleo. En algunas, figura el motivo de exclusión. Igualmente, figura publicada por resolución firmada el 24/10/2016, el resultado final y la composición definitiva de la bolsa de empleo extraordinaria de la categoría de TECNICO DE ADMINISTRACION GENERAL de la Diputación de Sevilla, conteniendo también apellidos nombre, NIF y calificaciones. SÉPTIMO: Con fecha 24/08/2017 el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que la DIPUTACIÓN DE SEVILLA (OPAEF) ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma, así como la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de ese tipo. OCTAVO: Con fecha 14/09/2017 se reciben alegaciones a la propuesta por parte de la denunciada en las que reitera lo manifestado, solicita que se declare la no comisión de la infracción, y añade: -No caben referencias a la Ley 39/2015, pues ésta entró en vigor después de los hechos denunciados. Menciona la disposición transitoria tercera, apartado a, si bien no detalla los efectos de no considerar aplicable dicha norma en algún aspecto concreto del procedimiento. -No se muestra de acuerdo con la interpretación efectuada sobre la publicación de los datos de los aspirantes admitidos, por cuanto la base de la convocatoria establecía que la resolución establecerá la lista provisional de admitidos y excluidos. Indica que es necesaria la publicación de los admitidos también pues su omisión puede causar indefensión poniendo como ejemplo una solicitud presentada en el Registro de entrada de otra administración para conocer de modo efectivo admisión y su exposición permitirá la subsanación de datos. - Sobre la publicación de los datos en la web, y en abierto para cualquier persona, a diferencia de la notificación individual, sea en diarios oficiales, tablones de edictos y sin restricción alguna en su acceso se opone al concepto de “publicidad restringida” que no está previsto en norma alguna y si el de transparencia y publicidad. -El principio de seguridad jurídica implica que el incumplimiento formal de los requisitos procedimentales del proceso selectivo es controlado por los órganos judiciales siendo uno de ellos el de ausencia de publicidad. -La tipificación de la infracción depende de la interpretación del término que se le dé al “principio de publicidad”. Se precisaría de una norma que contemplara los extremos que dieran cumplimiento al principio de publicidad. HECHOS PROBADOS 1. Las bases de la convocatoria de pruebas selectivas para la creación de una bolsa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 extraordinaria de funcionarios interinos en la categoría de Gestión, Inspección y recaudación tributaria Local, en el OPAEF, convocadas mediante resolución 472/2016 de 1/04 establecen en su base CUARTA que el Presidente del OPAEF dictará resolución con el listado provisional de admitidos y excluidos, indicando la causa, posibilitando la reclamación contra la misma. En la base SEPTIMA se establece que el Tribunal calificador publicará en el tablón de edictos del OPAEF las calificaciones correspondientes a la prueba y propuesta de formación de la lista provisional de aspirantes para nombramientos interinos En la base SEXTA se establece que la notificación individual se sustituirá por la publicación en el tablón de edictos del OPAEF, espacio en el que se llevarán a cabo las sucesivas publicaciones. 2. En la web de la Diputación de Sevilla aparece expuesta la resolución de la Presidencia 829/20176 de 7/06/2016 en la que se contiene con posibilidad de acceso por cualquier persona, el listado provisional de aspirantes admitidos y excluidos a la citada prueba selectiva, entre los que figuran los apellidos y nombre con el NIF del denunciante (5-6) que presentó su solicitud para la participación en el proceso selectivo. Además de la consulta, las hojas se pueden guardar por figurar en formato “pdf”. 3. También el Tribunal calificador en sesión celebrada el 26/072016 llevó a cabo la corrección de los exámenes correspondientes a la prueba tipo test y se publican por resolución de 29/07/2016 en la citada web de la Diputación, las calificaciones provisionales de los dos ejercicios, y la nota final, junto con apellidos y nombre más NIF, figurando los datos del denunciante (7-8). 4. El denunciante interpuso reclamación ante la OPAEF por la exposición de sus datos de la relación de admitidos y excluidos provisionales el 13/06/2016, y el 20/07/2016, por la relación de sus datos contenidos en los listados con las calificaciones provisionales (3-4). 5. No se acredita que los listados objeto de la denuncia continúen expuestos en la página web de la Diputación. Según la denunciada manifiesta en alegaciones al acuerdo, suprimió las mismas al transcurrir tres meses. 6. La página web de la Diputación de Sevilla, en sede electrónica, tablón electrónico de edictos, tiene la posibilidad de descargarse los documentos en pdf relacionados con listados de admitidos o relación de aprobados, figurando datos de apellidos y DNIS de otros procedimientos selectivos abiertos distintos al denunciado, como se pudo constatar el 21/08/2017. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II En cuanto al régimen procedimental, se ha de indicar que bien la denuncia se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 presenta en agosto de 2016 y se refiere a hechos acontecidos en junio-julio del mismo año. El procedimiento se ha iniciado con el acuerdo de inicio, que figura firmado el 7/04/2017, fecha en la que se ha de aplicar la nueva Ley 39/2015 de Procedimiento Administrativo común y de las Administraciones Públicas, BOE 2/10/2015, según se deriva a sensu contrario de lo dispuesto en la disposición transitoria tercera 1
4. a)“A los procedimientos ya iniciados antes de la entrada en vigor de la Ley no les será de aplicación la misma, rigiéndose por la normativa anterior.” La Ley entró en vigor “al año de su publicación en el «Boletín Oficial del Estado»” (Disposición final séptima). III El artículo 55 del Estatuto Básico del Empleado, (EBEP) aprobado por Ley 7/2007 de 12/04 señala en su apartado segundo: “2. Las Administraciones Públicas, entidades y organismos a que se refiere el artículo 2 del presente Estatuto seleccionarán a su personal funcionario y laboral mediante procedimientos en los que se garanticen los principios constitucionales antes expresados, así como los establecidos a continuación:
5. a)Publicidad de las convocatorias y de sus bases.
6. b)Transparencia.
7. c)Imparcialidad y profesionalidad de los miembros de los órganos de selección.
8. d)Independencia y discrecionalidad técnica en la actuación de los órganos de selección.
9. e)Adecuación entre el contenido de los procesos selectivos y las funciones o tareas a desarrollar.
10. f)Agilidad, sin perjuicio de la objetividad, en los procesos de selección”. En materia de provisión de puestos de trabajo, el artículo 78 del E.B.E.P también consagra el principio de publicidad en los siguientes términos: “1. Las Administraciones Públicas proveerán los puestos de trabajo mediante procedimientos basados en los principios de igualdad, mérito, capacidad y publicidad”. En su desarrollo, el Real Decreto 364/1995 de 10/04, de Ingreso del personal al servicio de la AGE, provisión de puestos de trabajo y promoción profesional, norma anterior a la LOPD y de carácter reglamentario, señala en su artículo 4 1:“El ingreso del personal funcionario se llevará a cabo a través de los sistemas de oposición, concurso-oposición o concurso libres, en los que se garanticen, en todo caso, los principios de igualdad, mérito y capacidad, así como el de publicidad”. Su artículo 15 refiere la publicación de las convocatorias de ingreso de funcionarios y sus bases en el BOE, y el artículo 20 la publicación en el BOE de la resolución aprobando la lista de admitidos y excluidos e indicando el lugar donde estarán expuestas las listas oficiales. El ámbito BOE ha sido, en algunas ocasiones sustituido según el ámbito, por la publicación en la correspondiente web. El art. 20.2 preceptúa: “Cuando el procedimiento selectivo lo permita, no será preceptiva la exposición al público de las listas de aspirantes admitidos, debiendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 especificarse así en la correspondiente convocatoria. En estos casos, la resolución, que debe publicarse en el «Boletín Oficial del Estado», deberá recoger el lugar y la fecha de comienzo de los ejercicios, así como la relación de los aspirantes excluidos con indicación de las causas y del plazo de subsanación de defectos”. Este artículo y párrafo establece pues por defecto, cuando el procedimiento selectivo lo permita, la no obligatoriedad de la exposición al público de los aspirantes admitidos, lo cual contribuye a un tratamiento de datos más eficiente al no tener que mencionarse unos datos y si los más importantes que serían los excluidos con sus motivos. En cuanto a la alegación de la denunciada, es posible como lo hizo en su convocatoria reseñar que se publicaran ambos colectivos, admitidos y no admitidos, sobre todo porque como indica, facilita la seguridad y verificación de su condición de admitido en las pruebas. El artículo 22 del Real Decreto 364/1995 de 10/04, “relación de aprobados”, precisa: 1. Una vez terminada la calificación de los aspirantes, los Tribunales o las Comisiones Permanentes de Selección HARÁN PÚBLICA LA RELACIÓN DE APROBADOS POR ORDEN DE PUNTUACIÓN en los locales en donde se haya celebrado la última prueba, siendo de aplicación, en su caso, lo dispuesto en el artículo 14.2 de este Reglamento. Dicha relación se elevará a la autoridad competente, que la publicará en el «Boletín Oficial del Estado». El artículo se refiere a la publicación de la “lista de aprobados, por orden de puntuación” que no, a la relación de los resultados provisionales de las pruebas por orden alfabético de apellidos que fue uno de los listados que aquí ha sido objeto de la denuncia Se debe tener en cuenta que las referencias hechas en el Real Decreto del Reglamento de Ingreso, año 1995, a la publicidad en los locales parece desfasada, considerando además que pueden existir normas de función pública autonómicas que prevean sistemas diferenciados de publicación de sus convocatorias y actos de gestión que se publicarán en sus sedes electrónicas, debiendo considerarse en las bases de la convocatoria el tipo y el modo de acceso a la información que se va a dar. Este tipo de accesos debe respetar en el tratamiento de los datos la adecuación y no ser excesivo o desproporcionado teniendo en cuenta el ámbito de exposición y la finalidad del acto. IV En los procedimientos selectivos, los principios de publicidad y transparencia son esenciales porque son la base de la igualdad, mérito y capacidad en el acceso a los puestos. La norma refiere la publicidad sobre procedimientos y principios. Publicidad quiere decir, en primer lugar, la de la convocatoria, que se publique en el BOE, Diario Oficial o sede electrónica que corresponda, para conocimiento general y acceso público a su contenido y sus bases. Publicidad/público es un término equivoco que no quiere decir publicación en la web de todo y de todos los trámites y que se relaciona con el principio de transparencia que tampoco debe ser publicar por defecto cualquier acto en que intervenga un sujeto público. Como ejemplo, la Constitución Española indica en el artículo 120.1 que “Las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 actuaciones judiciales serán públicas, con las excepciones que prevean las leyes de procedimiento”, pero la publicidad de las actuaciones judiciales no significa que los datos contenidos en un procedimiento judicial, en particular en su sentencia, puedan ser examinados y se encuentren a disposición del público en general de forma totalmente libre e indiscriminada, sino que dicha publicidad está restringida, a los que ostenten la condición de “interesados”, a la que apela el artículo 234 LOPJ. Resulta evidente que el principio de publicidad de las sentencias que contempla nuestra LOPJ no resulta absoluto, sino que encuentra límites, ya sea por referirse a quienes ostentan la condición de interesados o ya sea por la prevalencia de otros derechos o bienes que gocen de protección constitucional, como ocurre con el derecho a la protección de datos. En cuanto al objeto de la materia propiamente denunciada, una vez publicada la convocatoria y recibidas las solicitudes de participación en la misma, comenzaría el proceso de concurrencia competitiva, que como dice la palabra, debe predicarse de y para todos los integrantes del grupo que aspiran a superar las pruebas convocadas, que compiten en méritos y en capacidad unos contra otros. Una vez publicada la convocatoria y las bases, los trámites siguientes van a afectar a un círculo específico y cualificado. La exposición de datos dentro de dicho círculo es adecuada, proporcionada y obedece a sus finalidades. Estas finalidades son las de los afectados por el procedimiento, para por ejemplo impugnar los actos que consideren son arbitrarios o lesionen sus intereses, así como para computar plazos de subsanaciones y/o reclamaciones. Pretender que debe prevalecer la transparencia y publicidad por el hecho de que el acceso a los datos de los admitidos/excluidos provisionales o de los calificados provisionalmente se da con carácter general y en concreto en este caso, carece de justificación y excede por mucho de la finalidad propia del tratamiento de datos de los afectados. Por consiguiente, el resto del público, los que no se someten a dichas pruebas, carecen de una base legitima para que puedan acceder a los datos de apellidos y nombre junto al NIF de cada aspirante o a sus calificaciones. Ello no es proporcionado con la finalidad del proceso, y no afecta a la transparencia, pues terceros que no se van a examinar, no concurren. Ese acceso por cualquier persona a los datos resulta invasivo, y es contrario al principio de minimización y calidad de datos en el tratamiento de los mismos (artículo 4.1 de la LOPD). Así, terceros ajenos al procedimiento no deben tener acceso desde el principio a documentos o datos de la tramitación en el que no ostentan ninguna posición jurídica definida. La lista provisional de admitidos y excluidos provisionales es un acto referente a la tramitación interna del proceso selectivo. El derecho de un no participante en el procedimiento puede, en su caso, promoverse caso a caso, como derecho de acceso con reglas de acceso especificas relacionadas con la Ley de Transparencia. V La exposición en la web con acceso general para cualquier persona de los dos documentos que se califican o contienen listados de carácter provisionales, que se contemplan en la denuncia, se tipifica como infracción del artículo 10 de la LOPD que indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, El responsable del fichero, en este caso la Diputación de Sevilla ha sido la que ha decidido que en la tramitación del procedimiento figuren los datos objeto de la denuncia. Estos datos contenidos en listados provisionales, porque podrían ser recurridos, resultaban accesibles a cualquier persona en su web, para la finalidad de la gestión del procedimiento de selección de personal. La revelación de datos ha de ser posible cuando una norma con rango de ley establezca dicha revelación o cuando el afectado debidamente informado consienta en ello. En la cláusula SEXTA de la convocatoria se establece que la notificación individual se sustituirá por la publicación en el tablón de edictos del OPAEF, espacio en el que se llevarán a cabo las sucesivas publicaciones. No se identifica el tipo de tablón, ni que este sea electrónico o donde se sitúa el mismo. En tal sentido se publica la relación de admitidos y excluidos provisionales en abierto y posteriormente la calificación provisional de los ejercicios que no está ordenada por la calificación obtenida en la calificación final sino que aparecen ordenados por apellidos y nombre, actos ambos no firmes. Se debe notar que la convocatoria no prevé expresamente la publicación de la relación de admitidos y excluidos provisionales, ni la de calificación provisional por orden de apellidos, si bien se debe destacar que ambos son trámites instrumentales. Se indica en las bases que la “publicación sustituirá a la notificación individual, señalando el tablón de edictos del OPAEF”. Uno de los principios rectores del tratamiento de datos es el que se contiene en el artículo 4.1 de la LOPD que indica: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Sería menos intrusivo y más acorde con lo previsto con la normativa de protección de datos que su publicación afectara y pudiera ser visualizada solo por los que concurren, no al público en general. VI El artículo 59.6.
11. b)de la ley 30/1992 (Practica de la notificación), aplicable en el momento de la publicación de los actos denunciados indicaba: “La publicación, en los términos del artículo siguiente, sustituirá a la notificación surtiendo sus mismos efectos en los siguientes casos:
12. b)Cuando se trata de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el tablón de anuncios o medios de comunicación donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 en lugares distintos. La nueva Ley 39/2015 establece en el artículo 40.5 “5. Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado.” El artículo 45 de la misma norma destaca: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
13. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. 4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente.” Como sustituto de la notificación individual se estableció en la convocatoria la publicación en la web de la OPAEF, si bien su acceso no ha de ser en abierto para cualquier persona, dado que son actos que se refieren a los aspirantes al proceso selectivo, y la transparencia y publicidad se obtiene no con la exposición en abierto para cualquier persona sino solo a los afectados. Es asumible indicar que los actos se publicaran en la web, pero al llevar a cabo y ejecutar tal circunstancia no se hace preciso, ni la ley impone que se haya de hacer dicho acceso para el público en general. Resultaría más adecuado a la LOPD que el acceso lo sea para los participantes en el proceso. Al no haberse llevado a cabo de dicha forma, se ha producido la revelación de datos a terceros al ser posible el acceso de forma indiferenciada, acreditándose la infracción del artículo 10 de la LOPD. El conocimiento de apellidos y nombre junto al DNI y la información adicional que pueden contener los anuncios, calificaciones, o en otros supuestos causas de las exclusiones, supone una pérdida del poder de autodeterminación de los propios datos de los participantes que no se justifica de acuerdo con la LOPD. VII El artículo 44.3.
14. d)de la LOPD, considera infracción grave: La vulneración del deber de guardar secreto acerca del tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 de carácter personal al que se refiere el artículo 10 de la presente Ley. En este caso, la denunciada ha incurrido en la infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 10 de la LOPD. VIII Se observa además que la denunciada continúa en otros supuestos similares exponiendo los datos como los que se han denunciado. El artículo 46 de la LOPD indica en su título: “Infracciones de las Administraciones públicas”: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” Las recomendaciones adecuadas para el tratamiento de los datos en forma de publicación en procesos selectivos ha de considerar:
15. a)En las bases de la convocatoria se ha de contener un apartado específico al tratamiento de datos y la tramitación del proceso para los aspirantes que podrán acceder todos ellos a los tramites provisionales del mismo mediante algún tipo de asignación de claves que se podrían generar en el momento de presentación de las solicitudes o combinándolo con otro dato de autenticación.
16. b)Por afectar a todos los aspirantes, todos deberán poder visionar la totalidad del listado con el resto de los datos de los aspirantes
17. c)Información en el momento de acceder a las consultas por los afectados, que informe de las finalidades de la misma y advierta del estricto uso de las mismas, incurriendo en desvió de finalidad si el acceso a las consultas a los datos es para otra finalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12
18. d)Minimización de datos como podrían ser que los listados no contengan todos los dígitos del NIF. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIPUTACIÓN DE SEVILLA (OPAEF) ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
19. d)de la citada Ley Orgánica. SEGUNDO: Debido a la naturaleza de la infracción no se insta por parte de la Agencia la adopción de una concreta medida correctora. No obstante se solicita se comuniquen las que de forma autónoma decidan adoptar. De acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, deberán acreditar en el plazo de un mes desde este acto de notificación dichas medidas. TERCERO: NOTIFICAR la presente resolución a la DIPUTACIÓN DE SEVILLA (OPAEF). CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es