1/6 Expediente Nº: E/05037/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la UNIVERSIDAD DE LA LAGUNA en virtud de denuncia presentada por Dª. A.A.A. y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 14 de julio de 2014, tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo la denunciante) en el que expone que se ha publicado una lista de acceso libre creada por la Universidad de La Laguna, en la que se le adjudica una plaza en la Facultad de Medicina en las plazas reservadas para discapacitados, junto con el resto de sus datos personales y nota de acceso. Adjunta copia del listado donde se comprueba, que se trata de un listado bajo el titular: UNIVERSIDAD DE LA LAGUNA LISTADO DE ADJUD. DE PLAZAS (GAP), verificándose que aparecen su nombre y apellidos en el apartado de admitidos en Medicina, así como la Convocatoria (JUN) el año (2014-2015) y la puntuación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 18 de noviembre de 2014, se recibe en esta Agencia escrito de la Universidad de La Laguna, en el que pone de manifiesto que: 1.1. Los procedimientos administrativos relacionados con el acceso de los estudiantes a grados universitarios en el curso 2014/2015 se encuentran amparados a nivel nacional, básicamente por RD 1892/2008, de 14 de noviembre. 1.2. En su ámbito territorial, la Orden de 19 de mayo de la Consejería de Educación. Universidades y Sostenibilidad del Gobierno de Canarias (Boletín Oficial de Canarias, nº 101, de 27 de mayo), dispone, entre otros, la publicación de listas de admitidos. 1.3. Estas y otras Normativas se concretan en la Instrucción Reguladora del Procedimiento de Acceso para el curso 2014-2015, de la Secretaría General de la Universidad. Expresamente, en su art. 33 establece que los listados der adjudicación de plazas y listas de espera serán publicados en la página web de la Universidad y podrán ser consultados a través de la misma. Las personas que participan en el proceso de preinscripción pueden consultar estos listados de forma individual, usando identificador de usuario y contraseña, generándose, asimismo, en la página web institucional (www.ull.
- es)un listado completo por titulaciones y cupos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 de acceso, entre los que se encuentran el de personas con discapacidad, y que puede ser consultado por todas las personas interesadas en el procedimiento, en aras a respetar el principio de transparencia en este tipo de procedimientos. 1.4. Por otro lado, cabe señalar que los procedimientos de concurrencia competitiva, están sujetos a publicidad y por ello es de aplicación lo dispuesto en el artículo 59, apartado 6, letra
- b)de la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas, donde se indica que la publicación del acto sustituirá a la notificación. Se adjunta copia de la Normativa aplicable alegada. 2. Con fecha 28 de noviembre de 2014, se accede a través de Internet a la página web de la Universidad de la Laguna, comprobándose que se puede acceder a diferentes listados publicados de alumnos admitidos. En concreto se adjunta a estas Actuaciones de Investigación el listado relativo a ADMITIDOS Y EXCLUIDOS DEL PREOCEDIMIENTO DE ACCESO EXTRAORDINARIO A LOS PROGRAMAS DE INGENIERIA, INFORMATICA Y MEDIOAMBIENTAL Y BIODIVERSIDAD Y CONSERVACIÓN. Realizada una búsqueda de alumnos admitidos en la Universidad para el curso 2014-2015, aparece el literal “DESPUBLICADOS DISCULPEN LAS MOLESTIAS”. En todos los casos se verifica que el acceso es libre. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, cuya posible vulneración se imputaría a la Universidad denunciada en este caso, dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Por otra parte, el artículo 10 de la LOPD señala que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define en su artículo 5.1.
- t)el Tratamiento de datos como: “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En consecuencia, los hechos denunciados se concretarían en la publicación de los listados de adjudicación de plazas de los estudios de grado, con mención de las plazas por el turno de discapacitados, en abierto sin necesidad del usuario y contraseña para su acceso. En este caso, el deber de secreto previsto en el artículo 10 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 conlleva que el responsable del fichero, no puede revelar ni dar a conocer el dato personal de la discapacidad de sus estudiantes a terceros no interesados, por medio de su publicación en internet en abierto, sin un sistema que impida que terceros no autorizados puedan acceder a dichos datos personales, salvo con el consentimiento de los afectados o en los casos previstos en la LOPD. El objeto de la presente denuncia es la publicación de un acto administrativo en la que los destinatarios del acto son personas físicas y por ello la publicación puede incidir en el derecho a la protección de datos de carácter personal. Además si esa publicación no se lleva a cabo por los medios tradicionales, en papel, sino a través de medios electrónicos, las posibilidades de que la publicación del acto administrativo afecte al derecho a la protección de datos se multiplican. La Universidad denunciada ha manifestado que la Instrucción Reguladora del Procedimiento de Acceso para el curso 2014-2015 de la Secretaría General de esa Universidad regula y ordena el procedimiento administrativo de acceso a los estudios universitarios de grado. El artículo 33 de esta Instrucción permite la publicación de los listados de adjudicación de plazas y listas de espera en la página web de la Universidad, y dispone que cada solicitante podrá consultar su situación en cada uno de estos listados empleando su usuario y contraseña. De acuerdo con lo regulado en esta Instrucción, cada solicitante podrá consultar su propia situación por medio del sistema de usuario y contraseña. En un caso como el presente de un procedimiento selectivo, de acuerdo con el principio de transparencia, resultaría justificado el acceso por parte de los interesados a datos tan sensibles como los aquí denunciados, datos de salud de los afectados, pero siempre limitado únicamente a los interesados y minimizando los datos personales a incluir a los mínimos imprescindibles. No sería admisible que un dato tan sensible como el de salud, fuera de libre acceso en un medio tan abierto como es internet. Sin embargo, en el presente caso no ha sido posible acreditar el hecho objeto de denuncia: la publicación del turno de discapacitados en abierto en la página web de la Universidad denunciada. La Inspección de esta Agencia constató que era posible acceder a través de internet, en abierto, a diferentes listados publicados de alumnos admitidos, pero no a un listado como el denunciado con mención específica del turno de discapacitados. Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el caso que nos ocupa, sin poner en duda los hechos denunciados, no se han obtenido indicios razonables de que se hubieran producido tales hechos. De manera que, atendiendo al principio de presunción de inocencia, se procede al archivo de las actuaciones. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la UNIVERSIDAD DE LA LAGUNA y a Dª. A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es