1/7 Expediente N.º: EXP202209380 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 21 de julio de 2022, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a SERVICIO NAVARRO DE SALUD - OSASUNBIDEA con NIF Q3150004D en relación con los siguientes hechos: En el proceso de la oposición para los Servicios Generales del Gobierno de Navarra se publican listas provisionales, definitivas de admitidos y listas de aprobados. En las listas de la oposición de 2021 se vulneran sistemáticamente datos especialmente protegidos referidos a mujeres víctimas de violencia de género, publicando sus nombre y apellidos, identificándose fácilmente, en algunos casos, como en el llamamiento al examen en el que se pudo conocer la ubicación exacta de estas mujeres. La parte reclamante manifiesta que, hasta la fecha del 21 de julio de 2022, fecha en que se ha interpuesto la reclamación ante la Agencia, se siguen produciendo las citadas publicaciones. Documentación relevante aportada por la parte reclamante: Listado denominado “Lista de Contratación temporal. Servicios Generales. Gerencia de Atención Primaria. Servicio Navarro de Salud” publicado por la entidad reclamada en el que figura los datos de nombre y apellidos de 4041 personas junto con los datos de: orden, puntos, situación, prioridad disposición adicional 7ª, prioridades mayores de 55, fecha de inicio y de fin, causa, puesto, centro y disp. Al final de la relación figura textualmente “Listado actualizado con las solicitudes de listas abiertas recepcionados en el Servicio de Gestión de la Contratación, Ingreso y Promoción hasta el día 20/06/2022”. En el pie de página consta fecha de última actualización 20/07/2022. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 26 de septiembre de 2022, desde la Inspección de Datos, se accede a la web del Servicio Navarro de Salud navarra.es verificando que ofrece una consulta a los listados de contratación temporal. Utilizando como criterios de búsqueda “Servicios Generales” Gerencia de Atención Primaria” se obtiene un listado de 4035 personas actualizado a Fecha última actualización: 25/09/2022 19:35:54 que coincide en su mayor parte con el aportado en la denuncia. Constan, asimismo, los datos de nombre y apellidos, orden, puntos, situación, prioridad disposición adicional 7ª, prioridades mayores de 55, fecha de inicio y de fin, causa, puesto, centro y disp. Con fechas 7 de octubre de 2022 y 26 de abril de 2023 se recibe contestación a los requerimientos de información, remitidos desde la Inspección de Datos, de los que se desprende lo siguiente: El Servicio Navarro de Salud manifiesta que la publicación de las listas de contratación se produce con base en lo dispuesto en el artículo 17 de la Orden Foral 347E/2017, de 23 de marzo, del Consejero de Salud, por la que se aprueban las normas de gestión de las listas de aspirantes a la contratación temporal en los centros y establecimientos de los organismos autónomos adscritos al Departamento de Salud. El articulo 17 sobre Publicidad establece: “Todas las listas de contratación temporal de personal serán públicas, pudiendo accederse a las mismas a través de la página web del Gobierno de Navarra. Estas listas contendrán la información que permita a cada persona conocer el puesto que ocupa en cada momento de acuerdo con lo previsto en la Ley Foral 11/2012, de 21 de junio, de la Transparencia y del Gobierno Abierto”. En relación con este artículo, la parte reclamada manifiesta que al ser un acceso al empleo público se debe respetar los principios de igualdad, mérito y capacidad. Por ello, los aspirantes deben poder conocer la situación del resto de aspirantes, así como ciertas circunstancias, de cara a poder detectar una posible irregularidad y reclamar en consecuencia. Las listas se publican en https://empleosalud.navarra.es/es/, en el apartado “contratación”, seleccionando “Categorías no sanitarias”, “Servicio Navarro de SaludOsasunbidea” y “Servicios Generales”. A este respecto, con fecha 13 de diciembre de 2022, desde la Inspección de Datos se accede a la dirección web aportada por el SERVICIO NAVARRO DE SALUD donde se publican las diferentes relaciones correspondientes a los aspirantes a empleo, verificando que figuran distintos tipos de listados uno de los cuales coincide en su mayor parte con el aportado en la denuncia y en el que constan los datos de 5142 personas y fecha de última actualización 13/12/2022 0:13:15. La parte reclamada manifiesta que además del mencionado artículo de la Orden Foral 347E/2017, la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas en su artículo 45.1
- b)establece que “Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente….
- b)Cuando se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. A este respecto la parte reclamada manifiesta que “el llamamiento para un empleo público constituye un procedimiento de concurrencia en el que los aspirantes siguen un orden de prelación”. Esto constituye una causa de licitud del tratamiento en el sentido del artículo 6.1
- c)RGPD que establece: “El tratamiento será licito si se cumple al menos una de las siguientes condiciones…
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento” en relación con el artículo 8.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales relativa al “Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos” En relación con el origen de los datos que figuran en los listados, la parte reclamada manifiesta que puede ser de dos tipos: la instancia de participación en una convocatoria de empleo público o listas abiertas de contratación para un puesto de trabajo (artículo 2.3, puntos 1, 2, 3 y 5, de la Foral 347E/2017) En relación con los datos que aparecen en las listas manifiestan que para la contratación hay ciertas preferencias relacionadas con el grado de discapacidad. El apartado 4 de la Disposición Adicional Séptima del Texto Refundido del Estatuto del Personal al servicio de las Administraciones Públicas de Navarra, aprobado por Decreto Foral Legislativo 251/1993, de 30 de agosto, establece que: “En las ofertas de empleo público de las Administraciones Públicas de Navarra se reservará un cupo no inferior al 3 por 100 de las vacantes para ser cubiertas entre personas con incapacidad de grado igual o superior al 33 por 100, siempre que superen las pruebas selectivas y que, en su momento, acrediten el indicado grado de incapacidad y la compatibilidad con el desempeño de las tareas y funciones correspondientes”. En los listados expuestos se hace referencia a esta circunstancia con un asterisco y su leyenda. También se publica la preferencia de un aspirante por ser mayor de 55 años (artículo 8.4 de la Orden Foral 347E/2017). Respecto a las personas víctimas de violencia de género, la parte reclamante manifiesta que en la Ley Orgánica 3/2018, de 5 de Diciembre, de Protección de datos y Garantía de los Derechos Digitales, en su Disposición Adicional séptima sobre identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, se indica lo siguiente: A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia. Manifiestan que “Con objeto de preservar la identidad y la seguridad de las personas víctimas de violencia de género, desde el Servicio Navarro de Salud se han implementado medidas organizativas y técnicas hasta que se unifiquen los criterios para establecer un protocolo común, pudiendo las personas víctimas de violencia de género solicitar que sus datos de nombre y apellidos sean modificados para no ser identificadas por parte del agresor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Informan que han establecidos las siguientes medidas: En caso de que en el concurso-oposición se contemple la reserva para Víctimas de Violencia de Género, las personas que lo deseen pueden indicar en la instancia de inscripción su voluntad de participar por el turno de reserva, en cuyo caso se realiza automáticamente el cambio de nombre asignando la propia aplicación un nombre ficticio que queda reflejado en su copia resguardo de inscripción junto con su nombre verdadero. Así la persona tiene constancia de ambos nombres juntos en un mismo documento. Durante todo el desarrollo del proceso figurará el nombre ficticio. Si no hubiera reserva para Víctimas de Violencia de Género la persona puede solicitar el cambio de nombre en una instancia presentada a través de Registro Oficial previa justificación e identificación. A partir de este momento figurará con el nombre ficticio. En las listas de contratación temporal que vengan derivadas de un proceso de concurso-oposición donde se encontraba con nombre ficticio permanecerá así durante la vigencia de la lista. En las listas de contratación abiertas que no deriven de un proceso concursooposición puede solicitar el cambio de nombre a través de instancia presentada en un Registro Oficial. En este caso se requiere identificación de la persona solicitante, así como documentación acreditativa de la justificación. A partir de este momento figurará con el nombre ficticio en todas las listas de contratación temporal en las que se encuentre inscrita. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Principios relativos al tratamiento La letra
- f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Se denuncia la publicación por parte del Servicio Navarro de Salud de los datos personales de las mujeres víctimas de violencia de género en los listados de oposiciones. El Servicio Navarro de Salud ha informado que la publicación de las listas de contratación se produce con base en lo dispuesto en: Orden Foral 347E/2017, de 23 de marzo, del Consejero de Salud, por la que se aprueban las normas de gestión de las listas de aspirantes a la contratación temporal en los centros y establecimientos de los organismos autónomos adscritos al Departamento de Salud. (artículos 17 y 2.3, puntos 1, 2, 3 y 5). Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (artículo 45.1 b). RGPD (artículo 6.1
- c)en relación con el artículo 8.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. Disposición Adicional Séptima, apartado 4, del Texto Refundido del Estatuto del Personal al servicio de las Administraciones Públicas de Navarra, aprobado por Decreto Foral Legislativo 251/1993, de 30 de agosto. Respecto a las personas víctimas de violencia de género y con objeto de adecuarse a lo estipulado en la Ley Orgánica 3/2018, de 5 de Diciembre, de Protección de datos y Garantía de los Derechos Digitales, en su Disposición Adicional séptima han implementado medidas organizativas y técnicas hasta que se unifiquen los criterios para establecer un protocolo común, pudiendo las personas víctimas de violencia de género solicitar que sus datos de nombre y apellidos sean modificados para no ser identificadas por parte del agresor. En el caso de que en el concurso-oposición contemple la reserva para Víctimas de Violencia de Género, las personas que lo deseen pueden indicar en la instancia de inscripción su voluntad de participar por el turno de reserva, en cuyo caso se realiza automáticamente el cambio de nombre asignando la propia aplicación un nombre ficticio que queda reflejado en su copia resguardo de inscripción junto con su nombre verdadero. Así la persona tiene constancia de ambos nombres juntos en un mismo documento. Durante todo el desarrollo del proceso figurará el nombre ficticio. Si no hubiera reserva para Víctimas de Violencia de Género la persona puede solicitar el cambio de nombre en una instancia presentada a través de Registro Oficial previa justificación e identificación. A partir de este momento figurará con el nombre ficticio. En las listas de contratación temporal que vengan derivadas de un proceso de concurso-oposición donde se encontraba con nombre ficticio permanecerá así durante la vigencia de la lista. En las listas de contratación abiertas que no deriven de un proceso concursooposición puede solicitar el cambio de nombre a través de instancia presentada en un Registro Oficial. En este caso se requiere identificación de la persona solicitante, así como documentación acreditativa de la justificación. A partir de este momento figurará con el nombre ficticio en todas las listas de contratación temporal en las que se encuentre inscrita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, al no haberse acreditado ningún caso en que no se haya atendido el protocolo de cambio de nombre en las personas que lo soliciten por encontrarse en el grupo de Víctimas de Violencia de Género. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO NAVARRO DE SALUD OSASUNBIDEA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es