← España

AAPP-00044-2017

1/13 Procedimiento Nº AP/00044/2017 RESOLUCIÓN: R/02897/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00044/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOCALIDAD.1, O.A.GERENCIA MUNICIPAL DE URBANISMO, vista la denuncia presentada y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 29 de abril de 2016, tuvo entrada en esta Agencia un escrito remitido por D. B.B.B. (en lo sucesivo el denunciante) en el que declara que en una resolución pública de empleo, de la Sra. Consejera Directora de la Gerencia Municipal de Urbanismo del Ayuntamiento de ***LOCALIDAD.1, donde se informa de los admitidos y excluidos al procedimiento, se hace la siguiente mención: “Hay un aspirante, Don A.A.A., que presenta una titulación de Ingeniero Técnico en Informática, aportando un certificado del Ministerio de Educación, según el cual, en base al art. 27.2 del Real Decreto 967/2014, a dicho título le corresponde el nivel 2 (Grado) del Marco Español de Calificaciones para la Educación Superior (MECES). No obstante, la Disposición Adicional Octava de dicho Decreto, establece que lo previsto en este Real Decreto no resulta de aplicación al régimen de titulaciones exigibles para el ingreso en las Administraciones Públicas, que se regirá, en todo caso, por el previsto en la Ley 7/2007, de 12 de abril, del Estatuto Básico del Empleado Público y el resto de la normativa que resulte de aplicación. Por tanto, sin el título de grado exigido en las Bases no es posible acceder al proceso selectivo. Este mismo aspirante también presenta un título de Ingeniero en Automática y electrónica Industrial, el cual no se encuentra entre los títulos exigidos para participar en el proceso, conforme a la Base Tercera”. Junto al escrito de denuncia aporta la siguiente documentación:  Copia de las Bases de la Convocatoria.  Copia de la Resolución donde aparece la Lista de excluidos, con la mención realizada al denunciante. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 13 de enero de 2017, se realiza una búsqueda a través de Internet en el enlace: ***URL.1. TERCERO: Con fecha 27 de septiembre de 2017, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento de declaración de infracción de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Administraciones Públicas al AYUNTAMIENTO DE ***LOCALIDAD.1, O.A. GERENCIA MUNICIPAL DE URBANISMO por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.d) de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el AYUNTAMIENTO DE ***LOCALIDAD.1, O.A. GERENCIA MUNICIPAL DE URBANISMO presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “…esta Gerencia ha actuado en el marco de la legalidad vigente, explicando de forma motivada y debidamente fundamentada su decisión de exclusión con mención somera a los datos de titulación que aporta el propio denunciante en el marco de dicha convocatoria pública. (…) El denunciante no ha impugnado ni la resolución de convocatoria, ni las bases reguladoras de la misma, ni tampoco la resolución de aprobación de la lista provisional de aspirantes admitidos y excluidos. (…) Que, como complemento a lo manifestado, se ha realizado por parte de los servicios de informática de esta Gerencia un informe técnico interno de investigación sobre lo acontecido en este caso, que se adjunta a la presente como Anexo III a este escrito, En este informe técnico se pone claramente de manifiesto lo que sigue: Que, a pesar de la concurrencia de los fundamentos legales que permiten la publicidad de tales datos del denunciante por parte de la Gerencia, en el marco del indicado proceso selectivo, -según lo descrito con anterioridad-, lo cierto es que, además, desde el pasado 4 de enero de 2017 esta entidad pública, a petición escrita del propio denunciante de fecha 29 de diciembre de 2016, adoptó las medidas pertinentes a fin de anonimizar los datos relativos a la titulación académica del mismo, por relación a los fundamentos de la resolución de aprobación de admitidos y excluidos adoptada. De tal forma que, desde dicha fecha, desde la página web de la Gerencia, únicamente es visible y resulta accesible al público el siguiente enlace por relación al caso y anuncio en cuestión: ***URL.2 Es decir, que, a pesar de lo indicado con anterioridad, esta Gerencia ha atendido la petición del denunciante, transcurridos tan sólo cuatro

(4)días hábiles después de su petición formal en lo que concierne a la anonimización de sus datos personales, por relación a la titulación académica aportada por el mismo en el marco el procedimiento selectivo en el que voluntariamente concurre. (…) QUINTO: Con fecha 30 de noviembre de 2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE ***LOCALIDAD.1, O.A.GERENCIA MUNICIPAL DE URBANISMO ha infringido lo dispuesto en el artículo 6.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
  1. b)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 6.1 de la mencionada Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 SEXTO: Notificada la Propuesta de Resolución, el AYUNTAMIENTO DE ***LOCALIDAD.1, O.A.GERENCIA MUNICIPAL DE URBANISMO solicitó ampliación del plazo concedido para formular alegaciones y el envío de copia del expediente. Se concedió la ampliación y se remitió la copia solicitada. SÉPTIMO: El AYUNTAMIENTO DE ***LOCALIDAD.1, O.A.GERENCIA MUNICIPAL DE URBANISMO realizó alegaciones frente a la citada propuesta de resolución en las que, en resumen, comunica: “…En primer término, de forma motivada y debidamente fundamentada su decisión de exclusión con mención somera a los datos de titulación que aporta el propio denunciante en el marco de dicha convocatoria pública, y de acuerdo con los principios de publicidad que impregnan este tipo de procedimientos. En segundo término, que de acuerdo al artículo 6,2 de la LOPD no será preciso el consentimiento del afectado cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias. Por otra parte, dejando acreditado que el dato relativo a la titulación del denunciante forma parte de una fuente accesible al público, conforme a la argumentación jurídica esbozada con carácter previo. Que, además de lo anterior, y de acuerdo con el derecho de acceso reconocido en la Ley 19/2013, no se requiere el consentimiento del afectado para ejercitar el citado derecho, cuando dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso, como ha quedado corroborado, primando los principios de transparencia y de acceso a la información por parte de terceros en coherencia con esta legislación. Aclarando que, a pesar de la concurrencia de los fundamentos legales que permiten la publicidad de tales datos del denunciante por parte de la Gerencia, lo cierto es que, para evitar mayores inconvenientes y atender a las peticiones específicas del interesado en este sentido, la Gerencia optó finalmente por modificar el Anuncio, anonimizando los datos relativos a la titulación académica del mismo, tan sólo 4 días después de su publicación, lo cual es falso que haya sido rebatido por el informe de la Inspección de Datos.” Concluye sus alegaciones solicitando que según lo aportado y expuesto, se declare el archivo de las actuaciones. HECHOS PROBADOS PRIMERO: La Consejera Directora del Organismo Autónomo Gerencia Municipal de Urbanismo del Excmo. Ayuntamiento de ***LOCALIDAD.1, aprobó mediante Resolución de fecha 25 de noviembre de 2016, una convocatoria pública para la configuración de una Lista de Reserva para Técnicos Superiores de Sistemas de Información. SEGUNDO: Con fecha 27 de diciembre de 2016, la Consejera Directora del Organismo Autónomo Gerencia Municipal de Urbanismo del Excmo. Ayuntamiento de ***LOCALIDAD.1, dictó Resolución aprobando la relación provisional de aspirantes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 admitidos y excluidos, conforme a lo dispuesto en la base sexta de la anterior convocatoria pública. TERCERO: Esta Resolución de 27 de diciembre de 2016, aprobando la relación provisional de aspirantes admitidos y excluidos, incluye la “lista provisional de aspirantes admitidos” donde se relacionan un total de 33, identificados con sus nombres y apellidos, y en la “lista provisional de excluidos” se incluye el nombre y apellidos del denunciante de este procedimiento y como causa de exclusión figura: “falta de titulación” con un asterisco que dice, “Ver Fundamento Jco. 1º de esta Resolución”. CUARTO: En el Fundamento Jurídico Primero de la Resolución de 27 de diciembre de 2016, se expone cuáles son las titulaciones que el aspirante excluido presenta para participar en la convocatoria pública de 25 de noviembre y que son causa de su exclusión del proceso selectivo, por no resultar conformes con las titulaciones exigidas en la base tercera de dicha convocatoria. QUINTO: No consta acreditado que se contara con el consentimiento del denunciante para el tratamiento de datos realizado al publicar en internet en abierto, la información de los títulos académicos que aporta para participar en una convocatoria pública. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II Los hechos enjuiciados fueron calificados en el Acuerdo de Inicio de este procedimiento como constitutivos de infracción del artículo 10 de la LOPD, tipificada en el artículo 44.3.
  3. d)de la citada Ley Orgánica. No obstante, en esta fase del procedimiento, se considera conveniente modificar la calificación jurídica efectuada e imputar al Ayuntamiento de ***LOCALIDAD.1 una infracción del artículo 6.1 de la Ley Orgánica 15/1999, tipificada en el artículo 44.3.
  4. b)de la LOPD. Respecto a si es o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la denuncia que se realizó en el Acuerdo de Inicio y a la incidencia que tal cambio puede tener en el derecho de defensa de la entidad denunciada, conviene señalar que nada impide efectuar esta modificación siempre y cuando, como ahora sucede, permanezcan invariables los hechos en los que se funda la acusación formulada. El artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, relativo al acuerdo de iniciación en los procedimientos de naturaleza sancionadora, expone en su punto 2,
  5. b)que el acuerdo de iniciación deberá contener al menos: “Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 El Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). III Se imputa al Ayuntamiento de ***LOCALIDAD.1, el tratamiento de los datos del denunciante sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos del denunciante realizado por el Ayuntamiento de ***LOCALIDAD.1 resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que el denunciante hubiera prestado el consentimiento para el tratamiento de sus datos, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
  6. h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El concepto de dato de carácter personal se define en el apartado
  7. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
  8. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
  9. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que los datos de la titulación académica de una persona física identificada o identificable constituye un dato de carácter personal. La publicación, en una página web, de los datos de la titulación académica de una persona identificada o identificable constituye un tratamiento de datos de carácter personal que tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Asimismo, el artículo 3 de la LOPD define en su apartado
  10. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En el presente caso, ha quedado acreditado que se publicaron datos de la concreta titulación académica del denunciante en la página web del Ayuntamiento de ***LOCALIDAD.1, sin su consentimiento. La Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004 señala en su Fundamento de Derecho Cuarto que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento…si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 9 3, apartado 1 de la Directiva 95/46.” Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con los datos personales del denunciante, al incluir los datos relativos a la concreta titulación académica aportada para concurrir en una convocatoria, en los medios digitales del Ayuntamiento de ***LOCALIDAD.1, sin ninguna limitación de acceso y sin que se haya acreditado que se contara con el consentimiento del denunciante para ello, infringiendo así el artículo 6.1 de la LOPD. Esta interpretación coincide con la mantenida por el Tribunal de Justicia de las Comunidades Europeas en sentencia de 6 de noviembre de 2003, dictada en el asunto C-101/01, Caso Lindqvist, en el que se examina la aplicación de la Directiva 95/46/CE a un tratamiento consistente en publicar datos personales en Internet. Esta Sentencia, en sus apartados 24 y siguientes, señala: “24. El concepto de “datos personales” que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva “toda información sobre una persona física identificada o identificable”. Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. 25. En cuanto al concepto de “tratamiento” de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, “cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales”. Esta última disposición enumera varios ejemplos de tales operaciones, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. 26. Queda por determinar si dicho tratamiento está “parcial o totalmente automatizado”. A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. 27. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46”. IV La LOPD, además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que en el presente procedimiento se discute, en lo relativo a la publicación en la página web del Ayuntamiento, en abierto, de una resolución con la relación provisional de aspirantes admitidos y excluidos en una convocatoria pública. En esta resolución aparece el denunciante en la lista provisional de excluidos, y como causa de exclusión la falta de titulación. Con esta información se entiende cumplido lo previsto por la base sexta de la convocatoria de 25 de noviembre de 2016 que expone entre otras cosas, respecto de la admisión de los aspirantes, que: “…Concluido el plazo de presentación de solicitudes de participación, el órgano competente en materia de personal dictará Resolución, en el plazo máximo de UN MES aprobando la relación provisional de aspirantes admitidos y excluidos, especificando respecto de estos últimos la causa de inadmisión a fin de que puedan subsanarla, sí fuera susceptible de ello, dentro del plazo de cinco días hábiles a contar a partir del día siguiente a la publicación de la referida Resolución en el Tablón de Anuncios y página web de la Gerencia. Esta publicación contendrá, la relación nominal de aspirantes excluidos, con indicación de la/s causa/s de exclusión - En caso de no haber aspirantes excluidos, la lista publicada se entenderá definitiva”. Sin embargo, en el Fundamento Jurídico primero de la resolución de 27 de diciembre de 2016, se describe cuáles son los títulos académicos presentados por el aspirante excluido, y se justifica la razón por la que se considera que esa titulación no resulta válida para su participación en el proceso selectivo. El artículo 4.1 de la LOPD, garantiza el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales, cuando señala que: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El artículo 4 de la LOPD, con la denominación “Calidad de datos” es el primer precepto del título II dedicado a los “Principios de calidad de datos”, que derivan del derecho fundamental a la protección de datos. En el apartado 1 del artículo 4 de la LOPD se establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, sino asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
  11. c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. Por todo ello, se considera que el tratamiento de datos efectuado supera los juicios de idoneidad, necesidad y proporcionalidad. Así, para conseguir el fin perseguido, indicar la causa de exclusión, no resulta idóneo en esta ocasión, la descripción de los títulos académicos presentados por el aspirante excluido. A la vista de lo anterior, en el caso analizado se ha producido un tratamiento excesivo, no pertinente e inadecuado de datos de carácter personal en relación con la finalidad de indicar la causa de exclusión del proceso selectivo en que participaba el denunciante de este procedimiento. Por todo ello no es posible aceptar lo alegado por el Ayuntamiento de ***LOCALIDAD.1, tanto al acuerdo de inicio como a la propuesta de resolución, de que se ha hecho una “mención somera a los datos de titulación que aporta el propio denunciante en el marco de dicha convocatoria pública”. Amplía el Ayuntamiento sus alegaciones a la propuesta de resolución diciendo que la base primera de la convocatoria recoge que “tanto la convocatoria, sus bases reguladoras, cuanto las resoluciones y actos del Tribunal calificador asociados a este proceso selectivo se publicarán íntegramente en el Boletín Oficial de la Provincia y en la página web de esta Gerencia” y se resalta en negrilla “se publicarán íntegramente”. En las Bases de la convocatoria pública objeto del presente procedimiento se expone literalmente: “La presente convocatoria y sus bases se publicarán íntegramente en el Boletín Oficial de la Provincia. Asimismo se publicará en la página web de la Gerencia de Urbanismo tanto la convocatoria y sus bases, como las resoluciones y los actos del Tribunal Calificador que sean integrantes del proceso selectivo enunciados en las presentes bases”. De manera que, sin que ello cambiara el hecho de la desproporción de lo publicado, lo cierto es que la redacción de las bases de la convocatoria no es la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 alegada por el Ayuntamiento, sino que plantea una publicación íntegra en el BOP, tan solo de la convocatoria y de las bases reguladoras. Se alega al acuerdo de inicio de este procedimiento que los servicios de informática de esta Gerencia han realizado un informe técnico interno de investigación sobre lo acontecido en el que se expone: “Que, a pesar de la concurrencia de los fundamentos legales que permiten la publicidad de tales datos del denunciante por parte de la Gerencia, en el marco del indicado proceso selectivo, -según lo descrito con anterioridad-, lo cierto es que, además, desde el pasado 4 de enero de 2017 esta entidad pública, a petición escrita del propio denunciante de fecha 29 de diciembre de 2016, adoptó las medidas pertinentes a fin de anonimizar los datos relativos a la titulación académica del mismo, por relación a los fundamentos de la resolución de aprobación de admitidos y excluidos adoptada. De tal forma que, desde dicha fecha, desde la página web de la Gerencia, únicamente es visible y resulta accesible al público el siguiente enlace por relación al caso y anuncio en cuestión: ***URL.2 Es decir, que, a pesar de lo indicado con anterioridad, esta Gerencia ha atendido la petición del denunciante, transcurridos tan sólo cuatro
(4)días hábiles después de su petición formal en lo que concierne a la anonimización de sus datos personales, por relación a la titulación académica aportada por el mismo en el marco el procedimiento selectivo en el que voluntariamente concurre”. La voluntaria participación de los interesados en el proceso selectivo y la aportación de los requisitos exigidos en la convocatoria no constituye un consentimiento genérico que faculte para realizar un tratamiento de los datos personales que aportan, ilimitado. Los tratamientos de los datos aportados habrán de ser con la única finalidad de que se valore la adecuación entre lo aportado por los interesados y lo exigido en la convocatoria. En todo caso, la justificación de la valoración de la titulación aportada, que se realiza en el fundamento jurídico primero, resulta de interés para el denunciante sin que sea posible una publicación en abierto, sin limitaciones, en internet. Se expone por otra parte, que se anonimizaron los datos de la titulación desde el día 4 de enero. Sin embargo la Inspección de Datos comprobó el 13 de enero que la resolución continuaba publicada en los mismos términos en los que se denunció, por lo que no es posible estimar lo alegado. No obstante se ha comprobado que ya se encuentran anonimizados los datos relativos a la titulación del denunciante en la resolución. Se alega a la propuesta de resolución que los datos relativos a la titulación del denunciante contenidos en la resolución, son datos que él ha hecho manifiestamente públicos a través de internet de forma voluntaria. A este respecto cabe exponer lo siguiente: La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, en su Fundamento Jurídico Sexto, último párrafo, se recoge expresamente: “El derecho a la protección de datos... atribuye a su titular un haz de facultades consistente en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos, que no se contienen en el derecho fundamental a la intimidad, y que sirven a la capital función que desempeña este derecho fundamental: garantizar a la persona un poder de control sobre sus datos personales, lo que sólo es posible y efectivo imponiendo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 terceros los mencionados deberes de hacer. A saber: el derecho a que se requiera el previo consentimiento para la recogida y uso de los datos personales, el derecho a saber y ser informado sobre el destino y uso de esos datos y el derecho a acceder, rectificar y cancelar dichos datos. En definitiva, el poder de disposición sobre los datos personales (STC 254/1993, FJ7)”. La alegación del Ayuntamiento de que no puede ser merecedora de reproche administrativo alguno su conducta al publicar en Internet la concreta titulación que aporta el afectado para su participación en una convocatoria pública, porque ésta ya estaba incluida por el propio denunciante en una red social, debe ser rechazada. La inclusión voluntaria de sus datos personales no legitima la utilización de los mismos por terceros para fines distintos de los expresamente señalados por el denunciante en cualquiera de las páginas en las que éste hubiera reflejado sus datos, pues sólo el denunciante, como titular de los mismos, está legitimado, en los términos y con las excepciones establecidas en la LOPD, para decidir sobre el destino y uso de sus datos personales. Tampoco es posible aceptar lo alegado respecto a que una concreta red social de internet sea una fuente accesible al público y ello porque como puede comprobarse, de la mera lectura del precepto se desprende que internet no se encuentra recogido en la enumeración taxativa efectuada por el artículo 3
  1. j)de la LOPD. En consecuencia, no resultan de aplicación a Internet las previsiones efectuadas por la Ley respecto de las fuentes accesibles al público, no siendo, en consecuencia, de aplicación lo establecido en el artículo 6.2) de la Ley Orgánica 15/1999. Así como tampoco es de aplicación la excepción alegada de que el tratamiento realizado lo fue para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias. Por tanto, resulta acreditado que la entidad denunciada no disponía del consentimiento del afectado para el tratamiento de datos realizado, resultando, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida en los hechos analizados plenamente imputable al denunciado, que trató los datos del afectado sin su consentimiento, procediendo considerar infringido el artículo 6.1 de la LOPD por parte del denunciado, que es responsable de dicha infracción. V El artículo 44.3.
  2. b)de la LOPD, dispone que es infracción grave: “
  3. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, la descripción de conductas que establece el artículo 44.3.
  4. b)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El tipo aplicable considera infracción grave “
  5. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, por tanto, se está describiendo una conducta, el tratamiento de datos personales o su uso posterior, que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 que establece la LOPD. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se recoge en la doctrina y jurisprudencia de los Tribunales Ordinarios como del Tribunal Constitucional (STC 292/2002). Concretamente, por lo que ahora interesa, el artículo 6 de la LOPD recoge el citado principio que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la entidad denunciada vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de los datos personales del denunciante sin su consentimiento, al publicar los datos de su titulación académica en la página web del Ayuntamiento, sin su consentimiento. VI Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOCALIDAD.1, O.A.GERENCIA MUNICIPAL DE URBANISMO ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  6. b)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR la adopción de medidas correctoras, toda vez que se ha acreditado la retirada de los datos personales publicados en internet. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO ***LOCALIDAD.1, O.A.GERENCIA MUNICIPAL DE URBANISMO. C/ Jorge Juan, 6 28001 – Madrid DE www.agpd.es sedeagpd.gob.es 13/13 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.