Subdirección General Inspección de Datos 1/7 Procedimiento nº.:AP/00046/2018 Mediante Acuerdo de fecha 22/05/2018 se inició procedimiento de declaración de Infracción de Administraciones Públicas nº AP/00046/2018 instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE JIMENA DE LA FRONTERA por presuntas infracciones a la Ley Orgánica 15/1999, de 13712, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 24/04/2018 tuvo entrada un escrito de A.A.A. (en lo sucesivo el denunciante) en la que manifiesta que el AYUNTAMIENTO DE JIMENA DE LA FRONTERA suele publicar en redes sociales sus datos de nombre y apellidos ligados a su condición de discapacitado, pues ha participado en procesos de selección de personal para distintas ofertas de empleo y por su condición entra en el cupo de discapacitados. No aporta evidencia alguna ni señala la dirección de la red social en la que podrían estar sus datos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizan las siguientes actuaciones: 1) Accediendo a la web de la denunciada, se imprime el 30/04/2018 un documento titulado “LISTA DEFINITIVA SELECCIONADOS Y SUPLENTES SELECCIÓN CONTRATACION TEMPORAL PERSONAL EN EL MARCO DEL PLAN DE COOPERACION LOCAL DE LA DIPUTACION DE CADIZ” en el que consta de las cuatro plazas de auxiliares administrativos, una para “TURNO DE DISCPACIDAD”, figurando debajo el seleccionado y el suplente, en este caso el nombre y apellido del denunciante, A.A.A.. 2) Accediendo a la web de la denunciada el 3 y 11/05/2018, en “empleo y formación”, se accede a PLAN DE COOPERACION LOCAL 2016, con referencia al Convenio de colaboración entre EL Ayuntamiento de Jimena de la Frontera y de la Diputación Provincial de Cádiz que incluye 7 proyectos de diversas áreas. Consta información completa de todo el procedimiento, desde las bases que rigen la selección del personal temporal con cargo al Plan, actas de la Comisión de valoración, listados de admitidos y excluidos tanto provisionales como definitivos. Destaca de entre la documentación que se puede ver: -Con fecha 7/07/2016 se aprueban las bases que han de regir la selección de personal temporal con cargo al PLAN DE COOPERACIÓN LOCAL DE LA DIPUTACIÓN DE CÁDIZ 2016 que se publican en la web. Para participar en el proceso, según acuerdo del Pleno del ente provincial, de 20/04/2016, los beneficiarios deben ser personas desempleadas y estar inscritas como demandantes de empleo. La selección del personal se realizará a través del Servicio Andaluz de Empleo mediante la solicitud del doble de candidatos de los que se van a contratar, siendo el objeto de las bases, establecer los criterios objetivos para la selección de un candidato de entre los dos propuestos por el SAE para cada uno de los puestos ofertados. C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 2/7 También figuran en la web las “BASES ESPECIFICAS o criterios que regirán la selección de personal para la contratación temporal de personal en el marco del plan de cooperación local de la Diputación provincial de Cádiz 2016”. En el documento se valora la discapacidad de algún miembro de la unidad familiar, pero en cuanto a los aspirantes, no figura ninguna distinción entre turnos ni expresamente se refiere en extremo alguno a cupo de reserva de estos por turno discapacitado, o aspirantes de este tipo. La cláusula SEXTA prevé en el apartado “Admisión de aspirantes” que, expirado el plazo de presentación de solicitudes, se declarará aprobada una lista provisional de aspirantes admitidos y excluidos con indicación de la causa. Tras la subsanación de solicitudes, se publicará la lista definitiva de aspirantes admitidos y excluidos. “Las listas provisionales y definitivas se publicarán en la web corporativa para general conocimiento” No se establece tampoco el régimen en el que se expondrían los listados, si solo para los participantes interesados, o de acceso general, libre e indeterminado. En la web de la denunciada está visible y accesible por cualquiera, los Decretos del Alcalde de Jimena 527 de 29/07/2016 y 532 de 5/08/2016 por los que se publican el listado provisional y definitivo de admitidos y excluidos de diversos puestos plan cooperación local 2016 constando en anexo, dentro de los 4 puestos de Auxiliar Administrativo, el Turno de discapacidad, 1 plaza, los datos de nombre y apellido del denunciante como admitido provisional y definitivo, observando que en otros puestos también figura dicho turno con el nombre de otras personas. Se adjunta su impresión 3) Accediendo a la página que la denunciada tiene en FACEBOOK no figura el 11/05/2018, referencia al PLAN DE COOPERACIÓN LOCAL DE LA DIPUTACIÓN DE CÁDIZ 2016, pero se halla un acta que contiene datos de solicitantes (apellidos y nombre y tipo de ocupación solicitada y ubicación del puesto) del proceso de selección de personal laboral temporal para ejecución del programa de ayuda para la iniciativa de cooperación social y comunitaria empleo joven. TERCERO: Con fecha 22/05/2018, por la directora de la Agencia Española de Protección de Datos, se acuerda iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE JIMENA DE LA FRONTERA, por la presunta infracción del artículo 6 de dicha norma, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. CUARTO: No figuran alegaciones recibidas. QUINTO: De las actuaciones practicadas en el procedimiento de Administraciones Públicas han quedado acreditados los siguientes hechos: Infracción de 1) A fecha 30/04/2018 en la página web de la denunciada era posible acceder a un listado definitivo de seleccionados y suplentes para contratación personal en el marco del plan de cooperación local de la Diputación de Cádiz, constando los datos de personas, entre otros el denunciante y que optaba por el turno de discapacidad. 2) Las bases que rigen la citada selección de personal temporal, de 7/07/2016 prevé que los candidatos han de figurar inscritos como demandantes de empleo y estar desempleados como desempleados personas. En el seno de dicho proceso, el C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 3/7 29/07/2016 se publica un listado provisional de admitidos y excluidos en el que figuran los nombres y apellidos del denunciante en el turno de discapacidad de Auxiliar administrativo donde figuran expuestos en la web de la denunciada los datos referidos en el punto 1, verificándose que también está la lista definitiva. Aunque no lleva fecha, se tiene en cuenta que la Comisión de selección del personal fue celebrada el 5/08/2016 celebrada según indica la misma tras haberse publicado la lista definitiva de admitidos y excluidos. 3) Ni la convocatoria ni el desarrollo de sus bases prevén un régimen de publicación de datos de admitidos/excluidos que afecte exclusivamente a los participantes y que no se visualice en la web por personas que no participan en el proceso. Las bases de la convocatoria y su desarrollo indican que se publicarán las listas de admitidos y excluidos, provisionales y definitivos en la web, pero la publicación ha de respetar la intimidad de los participantes en consonancia con los tramites de publicidad del proceso para los interesados, considerando además el largo periodo desde la celebración del proceso y que siguen los datos en la web Asimismo, se han hallado datos personales distintos de los del denunciante, en listados, de candidatos relacionados en las actas como la de 24/03/2017, ordenados por orden de prelación, aunque no figure el turno de discapacidad, FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD indica: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” La LOPD define el tratamiento en su artículo 3.
- c)como:” procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 4/7 comunicaciones, consultas, interconexiones y transferencias.” El hecho de que los listados que contienen datos figuren en una web supone el tratamiento de estos, y lo mismo cabe deducir de la constancia de los datos en la página de FACEBOOK de la denunciada. Junto a dicho principio, en este caso para el tratamiento de los candidatos a los puestos, se ha de tener en cuenta que el tratamiento de los datos debe ser para la finalidad obtenida, adecuados, pertinentes y no excesivos elementos que se contienen en el artículo 4.1 de la LOPD con el tenor: ”Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” El artículo 55 del Estatuto Básico del Empleado Público aprobado por Ley 7/2007 de 12/04 señala en su apartado segundo: “2. Las Administraciones Públicas, entidades y organismos a que se refiere el artículo 2 del presente Estatuto seleccionarán a su personal funcionario y laboral mediante procedimientos en los que se garanticen los principios constitucionales antes expresados, así como los establecidos a continuación:
- a)Publicidad de las convocatorias y de sus bases.
- b)Transparencia.
- c)Imparcialidad y profesionalidad de los miembros de los órganos de selección.
- d)Independencia y discrecionalidad técnica en la actuación de los órganos de selección.
- e)Adecuación entre el contenido de los procesos selectivos y las funciones o tareas a desarrollar.
- f)Agilidad, sin perjuicio de la objetividad, en los procesos de selección”. En los procedimientos selectivos, el principio de publicidad y transparencia se torna en esencial, como garantizador del principio de igualdad, aunque la Ley no especifica, para asegurar el cumplimiento del principio de publicidad, ningún medio concreto, pudiendo existir casos en los que la forma de publicación por la que se ha optado pueda considerarse excesiva. En este caso concreto, aunque se prevé expresamente en la convocatoria del procedimiento o medio de comunicación que se utilizará, la forma de hacerlo infringe la LOPD al exponer en abierto datos personales en vez de exponerse solo para los interesados en el procedimiento. La proporcionalidad y adecuación del tratamiento han de estar conformes con el principio de transparencia para los participantes en el proceso, y no resulta necesario para ello exponer los datos en abierto para cualquier persona no participante en el proceso. En el presente caso, un modo satisfactorio de cumplir el objetivo sería prever un sistema en el que todos los participantes puedan acceder a la información, puesto que se trata de concurrencia competitiva, pero dicha información no debe ser accesible a terceros no participantes en el proceso, afectando la trasparencia exclusivamente a los admitidos o excluidos. Por tanto, ni el turno por el que se presentan los candidatos ni el nombre y apellidos en el puesto al que optan es necesario que sea accesible por personas que no participan en el proceso. Ello constituye tratamiento de datos sin consentimiento al exponer en una página web los datos de dichos candidatos y en concreto también del denunciante. Además, en el presente caso, se trata también de listados expuestos en la página de C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 5/7 FACEBOOK de la denunciada, datos de listados que continúan siendo accesibles por cualquier persona, pasado ya un tiempo excesivo para mantenerse expuestos. No existe ninguna necesidad de que los datos se utilicen más allá de lo necesario, y en este caso no existe habilitación para que estén expuestos en dicha plataforma. Se acredita que la denunciada ha tratado datos en su web y en su página de FACEBOOK sin habilitación para ello, vulnerando el artículo 6.1 de la LOPD, al no constar consentimiento para ello y no existir causa legal que habilite dicho tratamiento. III La infracción se tipifica en el artículo 44.3.
- b)de la LOPD que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” IV El artículo 46 de la LOPD indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones que aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores.” La denunciada tiene que acreditar que no figuren datos de carácter personal de candidatos de procesos selectivos en FACEBOOK, sobre todo los que en este procedimiento se mencionan, ni en su propia web con acceso universal a cualquier persona Vistos los preceptos citados y demás de general aplicación, La directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 6/7 PRIMERO: DECLARAR que el AYUNTAMIENTO DE JIMENA DE LA FRONTERA, ha infringido lo dispuesto en el artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. SEGUNDO: Requerir al AYUNTAMIENTO DE JIMENA DE LA FRONTERA, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 6 de la LOPD. 2.1.-CUMPLA lo previsto en el artículo 6 de la LOPD. En concreto, se insta a la denunciada que acredite que no figuran datos de carácter personal de candidatos de procesos selectivos en FACEBOOK, ni en su propia web con acceso a cualquier persona. 2.1-INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando en el plazo de un mes, escrito en el que se detallen las acciones, impresiones de pantallas. o documentos en los que se ponga de manifiesto el cumplimiento de lo requerido en el apartado anterior, la fecha en que se lleve a efecto, y se contenga expresamente que se ha quitado la documentación objeto de la denuncia. Se advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre expediente de investigación E/005533/2018, podría suponer una infracción del artículo 37.1.
- a)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- a)Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE JIMENA DE LA FRONTERA. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es Subdirección General Inspección de Datos 7/7 la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Si el responsable del fichero es de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid http://www.agpd.es https://sedeagpd.gob.es