← España

E-03464-2020

1/10  Procedimiento Nº: E/03464/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 17/07/2019 interpuso reclamación ante la Agencia Española de Protección de Datos contra UNIVERSIDAD DE ZARAGOZA con NIF Q5018001G (en adelante, la reclamado). Los motivos en que basa la reclamación son que el 10/07/2019 se hicieron públicas las listas de admitidos de la Universidad de Zaragoza, Facultad de ***FACULTAD.1 de ***LOCALIDAD.1, figurando expuestos los de B.B.B., admitida por el cupo de discapacitados, haciéndose pública esta circunstancia. Señala el enlace; lista de admitidos, página 75. ***URL.1 SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante se traslada reclamación a la reclamada que explica lo acontecido en escrito de fecha 4/11/2019. El escrito del Gerente contiene un informe de la Delegada de protección de datos, que en síntesis indica: 1) El Real decreto 412/2014 es de 6/06, por el que se establece la normativa básica de los procedimientos de admisión a las enseñanzas universitarias oficiales de grado, en desarrollo del artículo 42.3 de la Ley Orgánica de universidades, prevé la obligación legal para la Universidad de establecer unos cupos legales de accesos diferentes para estudios universitarios entre los que se encuentran al menos un 5% de plazas para quienes acrediten tener grado de discapacidad igual o superior al 33%. Por otro lado los solicitantes que opten al cupo de discapacitados también concurren de manera competitiva entre ellos mismos siendo por tanto necesaria transparencia dentro de ese cupo .En cumplimiento del artículo 10. 3 se publica de forma transparente el resultado del proceso de admisión, de acuerdo con su desarrollo normativo propio. Este aspecto también ha sido desarrollado por acuerdo de 3/04/2017 del Consejo de Gobierno de la Universidad de Zaragoza por el que se aprueba normativa sobre criterios de valoración, orden de prelación adjudicación de plazas y procedimiento de admisión a estudios oficiales de grado y el artículo 12 apartado dos, sub apartado a, que indica que por cada estudio de grado será publicada la lista de admisión de solicitantes que hayan obtenido plaza con indicación del nombre y apellidos nota de admisión y cupo por el que han participado. El artículo 11.7 de este acuerdo desarrolló el cumplimiento al artículo 7 del Real decreto 412/ 2014 explicando que no se podrán dejar plazas vacantes previamente ofertadas mientras existan solicitudes que cumplan los requisitos que hayan sido formalizadas dentro de los plazos reforzando el concepto de que el proceso de admisión a la titulación de grado es un único proceso de concurrencia a pesar de que en una fase primera se otorgan cupos con exigencias diferenciadas y adaptadas, en la Universidad de Zaragoza se ha considerado históricamente que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 todos los candidatos del proceso general de admisión deben tener acceso deben tener acceso a la información sobre el universo global de participantes con el fin de maximizar la transparencia y equidad del proceso. 2) Teniendo en cuenta lo establecido en el artículo 45.b de la ley 39/2015 de 1/10 del procedimiento administrativo común, y dada la necesidad del elevado número de solicitantes, con el fin de garantizar la seguridad jurídica, el derecho de los participantes a interponer recursos se ha venido publicando en el tablón electrónico oficial los listados de admitidos y lista de esperas, surtiendo estos los efectos de notificación. Ello viene señalado en la resolución de 10 de abril del 2019 del rector de la Universidad de Zaragoza por la que se hacen públicos los plazos y el procedimiento para solicitar la admisión de cursos 2019 2020, qué tienen la consideración de bases de convocatoria y que prevé que para cada estudio de grado se publicará una lista de admisión de solicitantes que han obtenido plaza con indicación de su nombre y apellidos nota de admisión y cupo por el que se indica que la participación en el procedimiento de solicitud de admisión a estudios oficiales de grado de la Universidad de Zaragoza implica que el solicitante declara bajo su responsabilidad que conoce y acepta lo dispuesto en la citada Resolución en la que, como ya se ha indicado, viene recogido que se publicarán las listas de admiti dos por cada cupo. Esta información se informa, asimismo, antes de la grabación online de la solicitud de admisión, por lo que todos los solicitantes que participan en el proceso de admisión [incluidos los que han señalado voluntariamente su participan por el cupo de discapacidad] son conocedores de que la adjudicación de plazas se lleva a cabo mediante la publicación de las listas de admisión y, en consecuencia, aceptan el procedimiento de publicación al grabar su solicitud. 3) Considera que el dato de discapacidad se ha de desenvolver en el marco de los principios de igualdad, mérito y capacidad del proceso, de acuerdo con, entre otros artículos, el artículo 42.3 de la Ley Orgánica de universidades. Atendiendo la exigencia de transparencia en este tipo de procedimientos, y teniendo en cuenta que no se puede quedar ninguna plaza del cupo general sin cubrir, considera que concurren razones de interés público esencial ponderando la transparencia con el derecho fundamental a la Protección de Datos que resultaría proporcional, razones por las que han acordado:

  1. a)En la resolución que se dicte para regular el proceso de admisión para el curso académico 2020/2021, se va a establecer que en el tablón oficial de la Universidad se contendrá la indicación del nombre y apellidos de los solicitantes salvo en la lista de los discapacitados que en lugar de nombre y apellidos se publicará el número de solicitud de admisión, sin merma de los derechos y garantías que se deriven de la ley 39/2015.En los impresos a cumplimentar se marcará claramente el número de solicitud y se informará que es el que servirá de identificación a efectos de publicación tanto en listas de admisión como lista de esperas por el cupo de discapacidad las personas que soliciten la admisión por el citado cupo. Asimismo, los de dicho cupo, se incluirán en su caso también el cupo general a fin de facilitarles el acceso por dicho cupo, sí su nota lo permite publicándose nombre y apellidos para que no queden diferenciados del resto de solicitantes sin perjuicio de que a la hora de formalizar la matrícula ya de forma individualizada, si alegan la discapacidad puedan obtener el beneficio de matrícula gratuita. Estas mismas previsiones se trasladarán a los listados de admitidos y listas de espera en los procedimientos en materia de provisión de puestos de personal que en lo sucesivo puedan convocarse y que vayan a contar con cupos de acceso específico para personas con discapacidad.
  2. b)Manifiestan que el tablón electrónico de anuncios de la Universidad de Zaragoza se han retirado los listados de adjudicación de plazas para admisión del curso 2019/ 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10
  3. c)Indican en cuanto a la interpretación y puesta en vigor de la disposición adicional 7ª de la Ley Orgánica 3/2018 de 5/12 de Protección de Datos personales y garantía de derechos digitales, (LOPDGDD) la Universidad con carácter general en cualquier acto administrativo que publiquen, se expondrá con carácter general su nombre y apellidos, y sólo en caso de duplicidad dos o más personas con mismo nombre y apellidos añadieron las cifras numéricas Para el cupo de discapacitados, van a tomar la medida dando cumplimiento al derecho fundamental de Protección de Datos de disociar los datos, pues esos listados no se publicaran con nombres y apellidos sino sólo con el número de solicitud y esta previsión habrá de ser publicada para general conocimiento. Se aporta copia de los dos acuerdos normativos mencionados. TERCERO: Con fecha 9/03/2020 se admite a trámite la reclamación. CUARTO: Con fecha 1/04/2010 se verifica en la dirección proporcionada por el reclamante que no existe listado alguno, incorporándose como documento “objeto asociado” con nombre “acceso 1 d 4 univ zara.” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Sobre el dato de discapacidad, señala el considerando 35 del RGPD: “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” La discapacidad (grado de minusvalía reconocida) de los peticionarios de plazas en la Universidad de Zaragoza, es considerada un dato de salud. En cuanto a la recogida y tratamiento de datos de categorías especiales, para la participación en procesos selectivos, se ha de prever que en los formularios de cumplimentación o instrucciones en los que se recogen, se debe dar información sobre el tratamiento de los mismos. A este respecto, el considerando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 39 del RGPD indica: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica…” Indica el artículo 9.1, 2
  4. a)y
  5. g)del RGPD: “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  6. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; ….
  7. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;” III La habilitación en genérico de la publicación, con abstracción del tipo de datos a tratar , en procedimientos de concurrencia competitiva, se ampararía en lo dispuesto en la letra
  8. c)del artículo 6.1.del RGPD, al venir impuesta por el artículo 45.1 de la Ley 39/2015, de 1/10, de procedimiento Administrativo Común de las Administraciones Públicas: “En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
  9. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 No obstante, la propia Ley 39/2015 ya establece cautelas al respecto, añadiendo: -artículo 13. Derechos de las personas en sus relaciones con las Administraciones Públicas Quienes de conformidad con el artículo 3, tienen capacidad de obrar ante las Administraciones Públicas, son titulares, en sus relaciones con ellas, de los siguientes derechos:
  10. h)A la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas.” -artículo 40.5: “Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado.” - en su artículo 46 que “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento”. En todo caso, debe tenerse en cuenta el principio de minimización de datos, recogido en el artículo 5.1.
  11. c)RGPD, para que los datos personales sean “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”, de modo que la publicidad deberá limitarse a los datos que sean necesarios para garantizar la transparencia del correspondiente proceso de concurrencia competitiva, sin incorporar datos que pudieran resultar excesivos para el logro de tal finalidad, lo que de nuevo exige estar al caso concreto. Nos referimos aquí a la publicación en diarios oficiales o tablones electrónicos de notificación, no a la trasparencia de la Ley 19/2013. Se trata de accesos por cualquier persona, no solo los participantes que son los directamente afectados, y en el transcurso del proceso de admisión. En principio, lo lógico sería que el acceso a esos datos solo se diera entre los participantes que son los únicos interesados en el proceso, sea de convocatoria de empleo, sea de solicitud de admisión a la universidad como en este caso. La publicidad y transparencia se predica de los participantes en el mismo. El hecho de exponer en diarios oficiales con acceso a terceros todos los datos identificativos no supone más trasparencia para los afectados y ninguna para los no afectados. Por otro lado, se puede publicar en abierto para cualquier persona, salvaguardando la intimidad y el derecho de protección de datos de los interesados. IV Sobre la aceptación de las bases de la convocatoria por parte de los solicitantes de plazas en el proceso de admisión, se ha de indicar que dicha supuesta aceptación no significa consentimiento para tratar sus datos ni se considera valida dicha base jurídica para amparar el tratamiento de dato discapacitado en solicitudes de acceso a universidades. El propio Reglamento general de protección de datos pone de manifiesto que el consentimiento del afectado no debe constituir la base legal del tratamiento en determinados supuestos. Así, el considerando 42 señala en su última frase que “El consentimiento no debe considerarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno” y el considerando 43 añade que “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular”. En lo que a las bases jurídicas del tratamiento a este caso, se refiere, el apartado 1 y 3 del artículo 6 del RGPD, que indica: 1.El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  13. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  14. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  15. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  16. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  17. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  18. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades en el ejercicio de sus funciones. 3. La base del tratamiento indicado en el apartado 1, letras
  19. c)y e), deberá ser establecida por:
  20. a)el Derecho de la Unión, o
  21. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 fin legítimo perseguido. Así, el dato discapacitado puede ser tratado para el cumplimiento de obligaciones establecidas en normas legales, Estatuto Básico de la Función pública y leyes concordantes, o Ley orgánica de Universidades que mencionan la reserva de cupo de discapacitados junto a los principios de trasparencia e igualdad. El artículo 25 del RGPD indica: “Protección de datos desde el diseño y por defecto” “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.” La cuestión no es si se puede y debe tratar el dato de discapacitado que se prevé en la Ley, sino la intensidad o extensión del uso de dicho datos, y el ámbito en el que se puede extender el tratamiento. En este caso, mediatizado por la transparencia para los interesados, en cuanto a la puntuación obtenida según los dos cupos. Cupos que además pueden comunicarse uno a otro en alguna ocasión, que influyen en un proceso de concurrencia competitiva en el que se han de ordenar por puntuación los peticionarios para ajustarse a la oferta. El hecho de preverse en normas legales el tratamiento de dichos datos o de ampararse en principios constitucionales no presupone que deba ceder el derecho de sus titulares para que cualquier persona, sea o no peticionario de plazas pueda acceder y conocer dichos datos, incluyendo el dato especial de persona discapacitada. Para ello se ha de observar la finalidad del tratamiento, los sujetos a los que afecta y el marco normativo en el que se desenvuelve. Se parte de la base que la identificación plena de nombre y apellidos con el dato de discapacidad en abierto para cualquier persona va más allá de la trasparencia pues lo pueden visionar terceros no participantes en el proceso y comunica datos de carácter personal de salud de sus titulares. Se ha de tender hacia un equilibrio en el tratamiento de los datos adecuados y pertinentes en el círculo de afectados sin mermar el derecho fundamental del artículo 18.4 de la Constitución Española. Se podría asignar códigos de solicitudes que solo los peticionarios conocieran para que entraran en los listados, se podría realizar acceso a una plataforma con los datos tendiendo hacia lo ideal, que sería que la publicidad afectara exclusivamente a los solicitantes de plazas. V El diseño de la minimización de datos se ha plasmado en la LOPDGDD, (BOE 6/12/2018) que en su “Disposición adicional séptima: sobre Identificación de los interesados en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 las notificaciones por medio de anuncios y publicaciones de actos administrativos” indica: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1/10 , del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” El precepto ha sido objeto de una recomendación de carácter provisional hasta el momento en el que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la mencionada Disposición Adicional séptima. Su objetivo es tratar de evitar que la adopción de fórmulas distintas en aplicación de la citada disposición pueda dar lugar a la publicación de cifras numéricas de los documentos identificativos en posiciones distintas en cada caso, posibilitando la recomposición íntegra de dichos documentos. Por su interés se transcribe la citada recomendación de 4/03/2019, titulada: “ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN ADICIONAL SÉPTIMA DE LA LOPDGDD” “En la Agencia Española de Protección de Datos, la Autoridad Catalana de Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía se han recibido múltiples consultas sobre la aplicación de lo establecido en el primer párrafo del apartado primero de la disposición adicional séptima “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales. Esta circunstancia ha aconsejado que, con el fin de facilitar un criterio práctico, dichas autoridades propongan una orientación para la aplicación provisional de garantías de protección de la divulgación del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente de los interesados. Para ello, han seleccionado aleatoriamente el grupo de cuatro cifras numéricas que se van a publicar para la identificación de los interesados en las publicaciones de actos administrativos. El procedimiento para la determinación de forma aleatoria de las cuatro cifras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 numéricas a publicar del código de identificación de un interesado se realizó mediante el proceso de selección aleatoria en una bolsa opaca de una bola de entre cinco bolas numeradas del 1 al 5, realizado el 27/02/2019 en la AEPD. La bola resultante fue la número 4, por lo tanto: La publicación de documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente podrá realizarse de la siguiente forma: • Dado un DNI con formato 12345678X, se publicarán los dígitos que en el formato ocupen las posiciones cuarta, quinta, sexta y séptima. En el ejemplo: ***4567**. • Dado un NIE con formato L1234567X, se publicarán los dígitos que en el formato ocupen las posiciones, evitando el primer carácter alfabético, cuarta, quinta, sexta y séptima. En el ejemplo: ****4567*. • Dado un pasaporte con formato ABC123456, al tener solo seis cifras, se publicarán los dígitos que en el formato ocupen las posiciones, evitando los tres caracteres alfabéticos, tercera, cuarta, quinta y sexta. En el ejemplo: *****3456. • Dado otro tipo de identificación, siempre que esa identificación contenga al menos 7 dígitos numéricos, se numerarán dichos dígitos de izquierda a derecha, evitando todos los caracteres alfabéticos, y se seguirá el procedimiento de publicar aquellos caracteres numéricos que ocupen las posiciones cuarta, quinta, sexta y séptima. Por ejemplo, en el caso de una identificación como XY12345678AB, la publicación sería: *****4567***. • Si ese tipo de identificación es distinto de un pasaporte y tiene menos de 7 dígitos numéricos, se numerarán todos los caracteres, alfabéticos incluidos, con el mismo procedimiento anterior y se seleccionarán aquellos que ocupen las cuatro últimas posiciones. Por ejemplo, en el caso de una identificación como ABCD123XY, la publicación sería: *****23XY. • Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación, se sustituirán por un asterisco por cada posición.” VI El ordenamiento jurídico, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones. También en el artículo 37.1 de la LOPDGDD se prevé que directamente el afectado se dirija al delegado de protección de datos antes de la presentación de la reclamación, obteniendo una respuesta del mismo. Los procedimientos de infracción en administraciones públicas son de apercibimiento (art 77 LOPDDGG) y se encauzan para verificar si el modo de tratamientos que se lleva a cabo se adecua a la normativa. Si al finalizar el citado procedimiento persistiera la infracción o las medidas no fueran adecuadas, la AEPD como autoridad de control, contaría con las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 previstas en el artículo 58.2.
  22. d)del RGPD que indica: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  23. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; Manifestó la reclamada que desde la recepción de la reclamación y para próximas convocatorias de plazas, en cualquier acto administrativo que publiquen, expondrán con carácter general nombre y apellidos, y para el cupo de discapacitados, no se publicaran con nombres y apellidos sino sólo con el número de solicitud y esta previsión habrá de ser publicada para general conocimiento. Sobre ello, se debe significar que se adecuaría al principio de transparencia y minimización de datos, logrando su objetivo, siempre que los interesados, garantizando la trasparencia, tuvieran la posibilidad de conocer la persona que ostenta dicho número de solicitud. En este caso, cuando se traslada la reclamación a la reclamada, toma conocimiento de la posible inadecuación parcial a la normativa, subsanando y retirando el listado. Además, se acredita que ha añadido un protocolo para la exposición del dato “cupo de discapacidad” que no vulneraría la normativa. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  24. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1/10, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.