AAPP-00010-2018

1/12 Procedimiento Nº AP/00010/2018 RESOLUCIÓN: R/01043/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00010/2018, instruido por la Agencia Española de Protección de Datos a la entidad DIRECCIÓN GENERAL DE LA FUNCIÓN PÚBLICA (CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA), vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3/04 y 17/05/2017 tuvo entrada denuncia en la AEPD de A.A.A. (en lo sucesivo el denunciante) contra la CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA de la JUNTA DE EXTREMADURA (en lo sucesivo la denunciada). Según manifestaciones del denunciante, en el proceso selectivo que refiere, la denunciada publica en abierto para cualquier persona sea o no interesada los listados de aspirantes admitidos definitivos con nombre, apellidos y NIF completo que considera excesivos para la finalidad de que se trata, pues indica:

1. a)A través del NIF cualquier ciudadano puede consultar en el sitio web de la Junta el expediente formativo, si lo tiene, de cualquier persona de esos listados.
2. b)Modificar el estado de la solicitud que ha realizado para la participación en la formación anual.
3. c)Entrando en el portal del ciudadano de la Junta de Extremadura en la sección “Mi situación”, figura que se introduzca el DNI, y anotándolo, aparecen todas las bolsas de empleo en las que se encuentra la persona así como la posición que ocupa en cada una de ellas. Según el denunciante los hechos tuvieron lugar en mayo de 2017 Se adjunta con los escritos de denuncia la siguiente documentación:  ORDEN de H.H.H., por la que se convoca el turno de ascenso para el personal laboral al servicio de la Administración de la Comunidad Autónoma de Extremadura. Publicada en el DOE nº B.B.B./2016. En la base 1. 3 se informa que “Las bases de la presente convocatoria, así como todos sus anexos se podrán consultar a través de internet en la dirección… Además, a efectos informativos, se harán públicos en la misma dirección de internet la relación de aspirantes admitidos y excluidos, provisional y definitivamente las relaciones de aprobados de cada ejercicio y la puntuación de la fase de concurso de méritos.” En la base 4: “Admisión de aspirantes”. 2”Las listas provisionales y definitivas deberán ponerse de manifiesto, en todo caso, en la Consejería, en los Centros de Atención Administrativa de la Junta de Extremadura y en las Oficinas de Respuesta Personalizada. La publicación de la Resolución aprobatoria de las listas definitivas en el diario Oficial de Extremadura (…)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12  RELACION DE ASPIRANTES ADMITIDOS DEFINITIVAMENTE – TURNO ASCENSO 2016 de la JUNTA DE EXTREMADURA, grupo III, categoría: encargado, promoción interna en la que consta una lista de “99” personas con la siguiente información: nº de orden, NIF, apellidos y nombre. Con el nº de J.J.J. se encuentra el denunciante. No figura fecha.  Consulta realizada al “portal ciudadano” de la JUNTA DE EXTREMADURA <http://ciudadano.gobex.es> ( se visualiza la fecha de 5/05/2017 en la sección noticias) “Empleo público”/”Mi situación”: “Introduzca el DNI/NIE que desea consultar (sin puntos ni la letra final), “***DNI.1” a continuación se visualiza la siguiente información: Solicitudes de convocatoria de plazas presentadas por: A.A.A. DNI: ***DNI.1 Tipo de personal Funcionario Datos de la solicitud Categoría D.D.D. DOE Nº C.C.C. Estado Auxiliar técnico (turno libre) Publicación ORDEN Admitido Tipo de personal Laboral Datos de la solicitud Categoría Grupo IV Encargado Publicación ORDEN E.E.E. DOE Nº F.F.F. Estado de almacén (turno libre) Admitido Figura su número en listas de espera figurado el número en distintos municipios SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección se realizan las siguientes: 1. La Inspección de Datos ha verificado, con fecha de 22/05/2017, que en Internet, portal del ciudadano de la Junta de Extremadura, en pestaña “empleo público”, “MI SITUACIÓN”, figura que se introduzca el DNI, y en este caso anotando el del denunciante, aparecen sus datos referidos a su historial profesional en la Administración, solicitudes de convocatorias presentadas como funcionario, laboral y un listado de “situación en listas de espera” figurando un número de orden en cada una de las 15 localidades de la Comunidad Autónoma que le figuran. Figura una información que indica que “los contenidos de este portal son gestionados por la CONSEJERIA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA”, Secretaría General de Administración Pública. También se efectúa una consulta en la web de la Junta, en la zona de alumno, expediente formativo Escuela de Administración Pública de Extremadura-EAPverificándose que se precisa nombre de usuario y contraseña. 2. La Consejería ha informado a la Inspección de Datos, con fecha de 26/12/2017:  Con respecto a la relación definitiva de admitidos y excluidos se publicó el 13/05/2016 en la dirección de internet https://ciudadano.gobex.es, de acuerdo con las bases de la Convocatoria 1.3 y 4.2 de la Orden de H.H.H..  “Tal y como se recoge en el artículo 55 del Estatuto Básico del Empleado Público, así como en la Ley de Función Pública de Extremadura, se publican el NIF, los apellidos y nombres de los aspirantes porque sirve para determinar si existe causa de abstención o de recusación por parte de los miembros del Tribunal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 “Por otra parte, en los procedimientos de selección, el orden de prelación se resuelve, en caso de empate en la puntuación total obtenida, en último término, por la letra de los apellidos de los aspirantes de acuerdo con el resultado de un sorteo que se hace cada año. También, han seguido los criterios del Informe del Gabinete Jurídico de la AEPD referencia 359710/2015, de fecha 7/07/2016.” Este informe trata sobre si puede ejercitarse el derecho de oposición reconocido en el artículo 17 de la LOPD sobre los datos de la publicación del nombre y apellidos de candidatos en el desarrollo de un proceso selectivo para ingreso en un Cuerpo de la Administración Pública, fundamentado en que la participación en el mismo puede dar lugar a represalias por parte del empleador actual de los solicitantes. Añade que entiende que la exposición de nombre y apellidos del DNI está justificada dado el carácter público y transparente de la información contenida, no requiriéndose de identificación y autenticación para poder ver el listado de admitidos, pese a la facilidad de procesar y obtener la relación nombre y apellidos-DNI completo.  En relación con la consulta de información por medio del DNI, opción “Mi situación” en la página web de la Junta de Extremadura, informa de la posibilidad de acotar la citada consulta, para mostrar únicamente información del proceso y no de las personas de forma concreta. Por lo que tendrían que añadir medidas técnicas de control de acceso en las opciones de búsqueda de información personal como el uso de certificados digitales o claves de acceso.  En relación con la indexación de resultados por los motores de búsqueda por Internet, conocen el protocolo de exclusión “robot.txt”. “Sin embargo, cabe destacar que esta acción no implica que no aparezca en los buscadores de forma automática, ya que las paginas fueron indexadas con antelación a la acción realizada”. ”El afectado podrá ejercitar el derecho de oposición ante los buscadores, entendiendo que concurren los requisitos necesarios para que atiendan la petición.  Indican que también van a valorar los tiempos de exposición pública de los datos relacionados con procesos de empleo público. Finaliza indicando que tiene inscrito el fichero PRUEBAS SELECTIVAS Y LISTAS DE ESPERA. 3. La Inspección de Datos ha verificado que realizada una consulta en GOOGLE el 15/01/2018, por el criterio DNI del denunciante “***DNI.1”, resulta información asociada a A.A.A. en relación con procesos selectivos, dejando constancia en diligencia con la impresión de los resultados. Se aprecia que en tres de ellos tienen como responsable a la Secretaria de Estado de la Función Pública, y en uno al Gobierno de Extremadura, donde figura un listado de admitidos definitivos en la categoría de encargado de almacén turno libre con apellidos, número de orden y DNI sin letra, sin que se aprecie fecha. En otra relación que no es del Gobierno de Extremadura, figura por orden alfabético de apellidos el aula asignada, figurando también nombre y apellidos y DNI completo. TERCERO: Con fecha 14/02/2018, la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la DIRECCIÓN GENERAL DE LA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 FUNCIÓN PÚBLICA (CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA) por las presuntas infracciones de los artículos: -9.1 de la LOPD, en relación con los artículos 91.1 y .2 y 93.1.2 y .3 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD). - 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
4. c)de dicha norma. No se recibieron alegaciones al acuerdo. CUARTO: Con fecha 4/04/2018 se emite propuesta de resolución con el literal: “PRIMERO: Declarar que la DIRECCIÓN GENERAL DE LA FUNCIÓN PÚBLICA (CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA) ha infringido lo dispuesto en los artículos 9.1 y 4.1 de la LOPD, tipificadas como graves en los artículos 44.3.
5. h)y 44.3.
6. c)de dicha norma. SEGUNDO: Requerir a DIRECCIÓN GENERAL DE LA FUNCIÓN PÚBLICA (CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA), para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse nuevas infracciones de los artículos 9.1 y 4.1 de la LOPD. TERCERO: Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. CUARTO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD.” Frente a dicha propuesta se recibe escrito de la denunciada el 11/04/2018 solicitando le sea enviada copia de las actuaciones que le es remitida el mismo día. Transcurrido el tiempo, no se han recibido alegaciones. HECHOS PROBADOS 1) El denunciante pone de manifiesto que en ejecución de la convocatoria por ORDEN de H.H.H., de turno de ascenso para el personal laboral al servicio de la Administración de la Comunidad Autónoma de Extremadura. DOE nº B.B.B./2016, se publicó en la web de la denunciada una RELACION DE ASPIRANTES ADMITIDOS DEFINITIVAMENTE – TURNO ASCENSO 2016 de la JUNTA DE EXTREMADURA, grupo III, categoría: encargado, promoción interna con una lista de “99” personas con la siguiente información: nº de orden, NIF, nombre y apellidos, figurando el denunciante con el nº de J.J.J., aunque no se aprecia la fecha. La convocatoria preveía en la base 1. 3 que “Las bases de la presente convocatoria, así como todos sus anexos se podrán consultar a través de internet en la dirección gobex.es. Además, a efectos informativos, se harán públicos en la misma dirección de internet la relación de aspirantes admitidos y excluidos, provisional y definitivamente las relaciones de aprobados de cada ejercicio y la puntuación de la fase de concurso de méritos.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 En la base 4: “Admisión de aspirantes”, punto 2 se informaba que”Las listas provisionales y definitivas deberán ponerse de manifiesto, en todo caso, en la Consejería, en los Centros de Atención Administrativa de la Junta de Extremadura y en las Oficinas de Respuesta Personalizada. La publicación de la Resolución aprobatoria de las listas definitivas en el diario Oficial de Extremadura (…)”. 2) El denunciante denuncia también que en la página web de la Junta de Extremadura ciudadano.gobex.es, portal del ciudadano de la Junta de Extremadura, apartado “empleo público”, pestaña “mi situación”, introduciendo el número del DNI que ha podido ser conocido por la publicación previa de la admisión de alumnos, se accede a ver el nombre y apellidos, y las solicitudes de convocatorias de plazas que ha presentado, en este caso, para el denunciante se visiona las de funcionario, Auxiliar técnico, con la convocatoria, y como laboral lo mismo con la categoría “encargado de almacén”- turno libre, grupo IV, admitido. Al mismo tiempo aparece su titulación y el número que ocupa en listas de espera de diversas localidades. Se acredita el acceso a dicha información el 22/05/2017. 3) La Junta de Extremadura reconoció en actuaciones previas que la relación definitiva de admitidos y excluidos relacionada con la citada ORDEN de H.H.H., estuvo publicada en la dirección de internet gobex.es con el NIF y nombre y apellidos completos. 4) Se acreditó por diligencia de inspección de 15/01/2018 que consultando GOOGLE con el DNI del denunciante lleva a una página web en la que aparece indexado un documento en pdf titulado GRUPO IV, que se corresponde con la página web de ciudadano.gobex y figura la relación de aspirantes admitidos definitivamente, grupo IV encargado Almacén, turno libre, ordenado por apellidos y nombre con los datos del denunciante: apellidos y nombre y DNI excepto la letra. 5) Durante la tramitación de este expediente no se ha probado que la denunciada haya cambiado o eliminado el modo de acceder en el portal del ciudadano/empleo público/mi situación/ respecto del dato del DNI. Tampoco que la denunciada tenga y ponga en práctica unas normas para eliminar datos de participantes en convocatorias ya realizadas y finalizadas hace tiempo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. II Se imputa a la denunciada una infracción del artículo 9.1 de la LOPD que indica: “El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.” El artículo 9.3 de la LOPD indica: ”Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Los datos que la denunciada almacena en la web en el portal del ciudadano son fácilmente accesibles al instaurarse como método de acceso, simplemente el DNI, dato que además es fácil de hallar al figurar en listados de admitidos y excluidos que se suelen publicar en procesos selectivos como sucede en este caso, pero también se suelen publicar en tomas de posesiones o lista de aprobados. Para acceder a un tipo de información personal, confidencial a la que se supone solo debe acceder el interesado, la configuración como clave de acceso del número del DNI es a todas luces errónea por cuando además, figura en el recuadro antes de teclear que es el DNI el que se debe teclear, en vez de configurarlo como esquema de usuario/contraseña. Constituye pues en este caso, el DNI una clave débil de acceso a plataformas o sitios con datos relacionados con provisión de puestos de trabajo o en general configurar una contraseña en respuesta a un dato que puede ser conocido. En tal sentido, indica el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); indica Artículo 91. Control de acceso “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.” Cualquier usuario que conociera el listado de admitidos podría con el DNI acceder al apartado de mi situación y comprobar la situación del denunciante o cualquier otro peticionario. No es infrecuente que los datos de DNI de empleados públicos figuren en la web con motivo de su nombramiento por ejemplo. Artículo 93. Identificación y autenticación “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad.” En el presente supuesto queda acreditada la debilidad del sistema de acceso puesta de manifiesto en el portal del ciudadano/empleo público/mi situación con el dato del DNI, fácil de conseguir, objetivo y fijo durante toda una vida, dato que suele manejar en procesos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 selectivos, aunque no solo, y que debiera de configurarse de otro modo como a través del establecimiento de usuario/contraseña. III La infracción del artículo 9.1 aparece tipificada en el artículo 44.3.
8. h)que indica: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” IV El artículo 55 del Estatuto Básico del Empleado, (EBEP) aprobado por Ley 7/2007 de 12/04 señala en su apartado segundo: “2. Las Administraciones Públicas, entidades y organismos a que se refiere el artículo 2 del presente Estatuto seleccionarán a su personal funcionario y laboral mediante procedimientos en los que se garanticen los principios constitucionales antes expresados, así como los establecidos a continuación:
9. a)Publicidad de las convocatorias y de sus bases.
10. b)Transparencia.
11. c)Imparcialidad y profesionalidad de los miembros de los órganos de selección.
12. d)Independencia y discrecionalidad técnica en la actuación de los órganos de selección.
13. e)Adecuación entre el contenido de los procesos selectivos y las funciones o tareas a desarrollar.
14. f)Agilidad, sin perjuicio de la objetividad, en los procesos de selección”. En materia de provisión de puestos de trabajo, el artículo 78 del E.B.E.P también consagra el principio de publicidad en los siguientes términos: “1. Las Administraciones Públicas proveerán los puestos de trabajo mediante procedimientos basados en los principios de igualdad, mérito, capacidad y publicidad”. En su desarrollo, el Real Decreto 364/1995 de 10/04, de Ingreso del personal al servicio de la AGE, provisión de puestos de trabajo y promoción profesional, norma anterior a la LOPD y de carácter reglamentario, señala en su artículo 4 1:“El ingreso del personal funcionario se llevará a cabo a través de los sistemas de oposición, concursooposición o concurso libres, en los que se garanticen, en todo caso, los principios de igualdad, mérito y capacidad, así como el de publicidad”. Su artículo 15 refiere la publicación de las convocatorias de ingreso de funcionarios y sus bases en el BOE, y el artículo 20 la publicación en el BOE de la resolución aprobando la lista de admitidos y excluidos e indicando el lugar donde estarán expuestas las listas oficiales. El ámbito BOE ha sido, en algunas ocasiones sustituido según el órgano convocante, por la publicación en la correspondiente web. El art. 20.2 preceptúa: “Cuando el procedimiento selectivo lo permita, no será preceptiva la exposición al público de las listas de aspirantes admitidos, debiendo especificarse así en la correspondiente convocatoria. En estos casos, la resolución, que debe publicarse en el «Boletín Oficial del Estado», deberá recoger el lugar y la fecha de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 comienzo de los ejercicios, así como la relación de los aspirantes excluidos con indicación de las causas y del plazo de subsanación de defectos”. Este artículo y párrafo establece pues por defecto, cuando el procedimiento selectivo lo permita, la no obligatoriedad de la exposición al público de los aspirantes admitidos, lo cual contribuye a un tratamiento de datos más eficiente al no tener que mencionarse unos datos y si los más importantes que serían los excluidos con sus motivos. La publicación de ambos colectivos, admitidos y no admitidos o excluidos facilita la seguridad y verificación de su condición de admitido en las pruebas. Se debe tener en cuenta además de las referencias hechas en el Real Decreto del Reglamento de Ingreso, año 1995 sobre la publicidad en los locales, que pueden existir normas de función pública autonómicas que prevean sistemas diferenciados de publicación de sus convocatorias y actos de gestión que se publicarán en sus sedes electrónicas, debiendo considerarse en las bases de la convocatoria el tipo y el modo de acceso a la información que se va a dar. Este tipo de tratamientos debe respetar los principios de adecuación y proporcionalidad al fin, y no ser excesivos o desproporcionados, teniendo en cuenta el ámbito de exposición y la finalidad del acto. Estos principios se plasman en el artículo 4.1 de la LOPD que es la infracción que se imputa a la denunciada y que indica: “ Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Por publicar en abierto en la web juntos, el DNI completo junto al nombre y apellidos en un acto tramite consistente en la relación definitiva de admitidos es por lo que se imputa a la denunciada esta infracción. En los procedimientos selectivos, los principios de publicidad y transparencia son esenciales porque son la base de la igualdad, mérito y capacidad en el acceso a los puestos. La norma refiere la publicidad sobre procedimientos y principios. Publicidad quiere decir, en primer lugar, la de la convocatoria, que se publique en el BOE, Diario Oficial o sede electrónica que corresponda, para conocimiento general y acceso público a su contenido y sus bases. En cuanto al objeto de la materia propiamente denunciada, una vez publicada la convocatoria y recibidas las solicitudes de participación en la misma, comenzaría el proceso de concurrencia competitiva, que como dice la palabra, debe predicarse de y para todos los integrantes del grupo que aspiran a superar las pruebas convocadas, que compiten en méritos y en capacidad unos contra otros. En la convocatoria y en las bases no se refleja el detalle de lo que se va a exponer en la web en cuanto a los listados de admitidos, excluidos etc., si va a ser solo el NIF, este con el nombre y apellidos etc., solo se indica que se va a publicar. Teniendo en cuenta que una vez publicada la convocatoria y las bases, los trámites siguientes van a afectar a un círculo específico, determinado y cualificado que son los solicitantes, siendo la exposición de datos dentro y para los integrantes de dicho círculo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 adecuada, proporcionada y concorde con su finalidad, deviene en desproporcionada cuando dichos datos resultan visibles para todo el mundo, pues no es necesario para la finalidad de publicidad y transparencia que estos lo conozcan. Por otro lado, la identificación de los admitidos es excesiva al hacerse con DNI completo más nombre y apellidos completos. La infracción aparece tipificada en el artículo 44.3.
15. c)de la LOPD que indica como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” La nueva Ley 39/2015 establece en el artículo 40.5 “Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado.” El artículo 45 de la misma norma destaca: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
16. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. 4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente.” En consonancia con el principio de la limitación de datos en el tratamiento a los meramente indispensables, es posible en primer lugar, que la publicación se limite a los afectados con atribución de claves o contraseñas que se pueden generar con la presentación de la solicitud, aleatorias y alfanuméricas. En segundo lugar, caso de que se publicara en la web en abierto, no sería preciso que figurase el doble identificador DNI completo/ nombre y apellidos. A título orientativo, el borrador de la Ley de Protección de datos, en su disposición adicional novena indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos. “ “Cuando la publicación de un acto administrativo contuviese datos de carácter personal del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo las cuatro últimas cifras numéricas del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente.” Pretender que debe prevalecer la transparencia y publicidad general por el hecho de que el acceso a los datos de los admitidos/excluidos se pueda producir por cualquier persona ajena a los solicitantes carece de justificación para la exposición en abierto y excede de la finalidad propia del tratamiento de datos de los afectados. Por consiguiente, el resto del público, los que no se participan en dichas pruebas, carecen de una base legitima para el acceso a los datos de apellidos y nombre junto al NIF completo de cada aspirante. El modo de proceder de la denunciada no es proporcionado para la finalidad del proceso selectivo y debería ser modificado en el sentido expuesto en próximas actuaciones junto a la retirada de los datos si es que se publican en abierto/universal de los listados para que no permanezcan más que un plazo adecuado y razonable a la finalidad prevista. V El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Se aconseja pues, que los accesos a los listados de admitidos y excluidos, actos de la tramitación interna del proceso selectivo, se proporcionen tan solo a los aspirantes solicitantes, sea con claves y contraseñas alfanuméricas asignadas durante la presentación telemática o de otro modo similar o que no se contengan íntegros los dos tipos de datos. Para obtener los mismos resultados que la denunciada pretende con la publicación de los datos, se pueden barajar otras opciones relacionadas con la Administración electrónica como podría ser la consulta en la sede web a través de un código o PIN enviado previamente al móvil del afectado con el que podría entrar en la sede para consultar los datos de la disposición, que sería propiamente la notificación que vendría precedida de la oportuna información a los afectados. La asignación de algún número o código (no secuenciales, generados) durante la cumplimentación de algún trámite relacionado con el proceso, podría servir al afectado para la misma consulta en una operativa similar. Finalmente, la denunciada tendrá que acreditar que el listado de admitidos, DNInombre y apellidos objeto de la denuncia no figura en la web, dado además el tiempo transcurrido desde la convocatoria finalizada, así como que ha modificado la opción de acceso en el menú “mi situación “de su página web y que ha adoptado una medida temporal en su caso para la eliminación de datos de las convocatorias ya acabadas que figuran expuestas en la web. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIRECCIÓN GENERAL DE LA FUNCIÓN PÚBLICA (CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA) ha infringido lo dispuesto en los artículos 9.1 y 4.1 de la LOPD, tipificadas como graves en los artículos 44.3.
17. h)y 44.3.
18. c)de la citada Ley Orgánica. SEGUNDO: REQUERIR a la DIRECCIÓN GENERAL DE LA FUNCIÓN PÚBLICA (CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA), de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 9.1 y 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/03206/2018. TERCERO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA FUNCIÓN PÚBLICA (CONSEJERÍA DE HACIENDA Y ADMINISTRACIÓN PÚBLICA). CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es