E-07196-2019

1/8 Procedimiento Nº: E/07196/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 7/08/2018 en la Agencia Española de Protección de Datos y se dirige contra EMPRESA MUNICIPAL DE SANEAMIENTOS DE CORDOBA S.A., con NIF A14087126 (en adelante, el reclamado) por haber expuesto sus datos personales relacionados con un proceso selectivo en un tablón de anuncios y en una web. En concreto figura en la lista provisional de excluidos por no poseer el titulo solicitado Junto a la reclamación aporta como evidencias. -Copia de escrito de respuesta de SADECO al reclamante de 25/06/2018, sobre “la discrepancia por la comunicación de datos personales en tablones de anuncios y pagina web”, indica que las bases de la convocatoria prevén la exposición pública en el tablón de anuncios y en la web de SADECO del listado provisional de admitidos y excluidos constando nombre y apellidos, DNI, y que es el cauce de comunicación y publicación de las distintas comunicaciones. . También se informaba de la finalidad de la recogida de los datos, aceptando explícitamente la publicación, En la misma clausula se informa que “da su consentimiento para el posible uso de la información para el fin de mejora de servicios”, si bien no figura posibilidad de negarse a ello. -Copia de queja ante la Junta de Consumo de la CCAA de Andalucía, de 29/06/2018. -Fotografiáis de un espacio público en el que se hallan expuestos listados con datos aparentemente de la convocatoria mencionada. SEGUNDO: Con fecha 3/10/2018 La Subdirección General de Inspección de Datos remitió escrito a la reclamada del siguiente tenor: “De conformidad con art. 9.4 del Real Decreto-ley 5/2018 (BOE 30 de julio de 2018) le traslado la reclamación presentada por A.A.A. para que analice dicha reclamación y le comunique al reclamante la decisión que adopte al respecto. Asimismo, en el plazo de un mes desde la recepción de este escrito deberá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 remitir a esta Agencia la siguiente información: 1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. 4. Cualquier otra que considere relevante.” Con fecha 16/10/2018 , SADECO, empresa municipal aporta escrito en el que manifiesta: -Como entidad pública, está obligada a publicar los actos relacionados con las convocatorias públicas, y sujeta a la ley de transparencia. -Aportan copia parcia de anexo 1 de convocatoria para la provisión de 6 plazas de Oficina de primera mecánico, sistema concurso oposición, promoción externa de 1/02/2018. En su base sexta se informa que los listados de admitidos-excluidos se expondrán en la web de la entidad y en los tablones o paneles informativos de la citada entidad. También se detalla en el impreso de participación en el proceso. Como la convocatoria aún no está cerrada se mantiene dicha información en la web. En la convocatoria se indica: -Base primera 3.- La convocatoria del proceso selectivo y sus bases se expondrán en la Web de SADECO (www.sadeco.

1. es)y en los Diarios Oficiales (BOP). El resto de información relativa al proceso de selección (listados, pruebas, notificaciones, etc.) se expondrán en la página web y en el tablón de anuncios de la sede principal de la Empresa, sita en Avenida Medina Azahara, nº 4 (entrada por C/ Le Corbusier s/n). BASE CUARTA.- ADMISIÓN DE ASPIRANTES 1.- Transcurrido el plazo de presentación de solicitudes, el Director-Gerente de SADECO, dictará comunicación declarando aprobada la Lista Provisional de Candidatos/as Admitidos/as y Excluidos/as, en la que constará el nombre, apellidos, DNI o NIE, autobaremación, así como la composición del Tribunal. Dicha resolución será publicada en el Tablón de Anuncios y WEB de SADECO. A partir de ese momento las distintas comunicaciones y publicación de listados se realizarán a través del mencionado Tablón y la WEB de SADECO. -La prueba teórica de la fase de la oposición se corrige por el tribunal calificador y se publicaran los listados provisionales en la que constara el nombre, apellidos, DNI y puntuación obtenida. Una vez finalizado el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 reclamaciones se publicarán los resultados definitivos de la fase teórica. La segunda fase de la oposición es la parte practica en la que también se publicaran del mismo modo los listados provisionales y definitivos. También se indica la ordenación de los aspirantes si se produjeran empates. --En el punto 7 se significa que “Una vez terminada la calificación de los aspirantes, el Tribunal hará público en el tablón de anuncios y web de SADECO, la relación provisional de aprobados-as con indicación de la puntuación obtenida tanto en la base de oposición como en la de concurso.” -Aportan copia de la solicitud del reclamante de participación en el proceso. Entendiendo que su firma supone aceptación de las condiciones y requisitos de la convocatoria. En titulo indica que posee el de ·Técnico especialista segundo grado” -Aporta copia de reclamación del reclamante de 27/03/2018 por haber sido excluido, señala que tiene a titulación de TECNICO ESPECIALISTA MECANICA INDUSTRIAL, y de montaje y mantenimiento de instalaciones solares fotovoltaicas, y copia de respuesta de la entidad de 21/05/2018, explicando que no cumple los requisitos, como motivo de su exclusión de la base segunda apartado 1.
2. b), a saber: Poseer alguno de los siguientes títulos: - Título de Formación Profesional de Grado Medio “Técnico en Electromecánica de Vehículos” o equivalentes. - Título de Formación Profesional Grado Superior “Automoción” o equivalentes. -Aportan copia de escrito que la reclamada dirigió a reclamante el 25/06/2018 de su queja presentada en Consumo (con copia de acuse de recibo de 28/06/2018) En el escrito significa que en la base de la convocatoria cuyo texto transcribe si indica que “Transcurrido el plazo de presentación de solicitudes, se dictará comunicación declarando aprobada la lista provisional del candidatosadmitidos excluidos en la que constará el nombre , apellidos, DNI, NIF, auto baremación así como la composición del Tribunal. Dicha resolución será publicada en el tablón de anuncios y web de SADECO”, se indica también que dicho medio será el medio de comunicación y publicación. -Aportan copia de listado resultado definitivo de prueba teórica, de 17/02/2019 en el que no figuran los datos del reclamante pues esa exclusión en listado provisional fue de antes. El listado contiene apellidos y nombre, DNI completo la calificación en la prueba o si no se ha presentado. TERCERO: Con fecha 20/03/2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO Con fecha 26/08/2019 se accede a la web de la reclamada y no consta el listado provisional de excluidos en el que figura el reclamante. Tampoco aparece directamente en el buscador GOOGLE con su nombre y apellidos el listado objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 la reclamación. Si que figura la relación de aprobados definitivos con fecha 29/04/2019 con los apellidos, nota en las dos fases, DNI completo y que “Realizado el Reconcomiendo Médico de Aptitud” todos han sido declarados aptos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El hecho de que se produzca una convocatoria pública y un proceso relacionado con su desarrollo y se opte por publicar sus actos a efectos de notificar a los participantes en el mismo debe tener en cuenta la finalidad del acto, la proporcionalidad de los datos a exponer y el tiempo en el que deberán permanecer, con la transparencia del procedimiento para los participantes en el mismo. En primer lugar, al ser una actuación pública, la base del tratamiento del consentimiento pierde razón de ser, al ser este art 4.11 del RGPD “consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” no siendo prestado libremente pues es impuesto en las condiciones. En el mismo sentido, que se considere por la reclamada la base del tratamiento la del consentimiento no es acertada, suponiendo además que el consentimiento puede ser retirado. El considerando 43 del RGPD estipula que: «Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular” Usualmente, no suele ser el consentimiento la base legitimadora del tratamiento de datos en las convocatorias de empleo público, pudiendo primar que el tratamiento de datos sea obedezca a que el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; extremo a partir del cual debe desplegarse los principios básicos de dicho tipo de oferta: publicidad, uno de ellos, distinta de la publicación indiscriminada y con todos los datos, la normativa administrativa y de protección de datos, entre cuyos principios figuran los de finalidad adecuada entre la recogida de datos y uso a que se destina y adecuación y no excesivos en la recogida y tratamiento de los mismos. En el momento en sucederse los hechos se puede entender vigente el artículo (art C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 4 LOPD) que señala: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” El principio sentado por el nuevo RGPD Protección de datos desde el diseño y por defecto se recoge en el artículo 25 del RGPD que indica: 1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. En cuanto a la exposición en una página web de acceso público de datos de carácter personal, ligado a la transparencia del proceso, se debe indicar que el listado provisional es un acto trámite instrumental, que afecta solo al colectivo que presenta la solicitud para la convocatoria, no es de interés general sino de los interesados que optan al mismo. Existiendo medios de notificar menos intrusivo con los datos personales que el de la exposición en una web con el DNI completo y nombre y apellidos completo, hacia ellos se debe encaminar la misma. El hecho de que quede previsto en las bases de la convocatoria la difusión en boletín de los excluidos provisionales, su notificación en la web no cubre todo, pues no detalla la forma en que se va a difundir, colocándolo con DNI y nombre y apellidos, si es en abierto para todo el personal pudiendo entonces ser desproporcionado, existiendo otros medios menos intrusivos, adecuados al fin. Así, la asignación de clave de usuario y contraseña y la publicación y acceso en una intranet a los afectados sería una de ellas. IV La aprobación en la nueva LOPDGDD del diseño de minimización de datos se ha plasmado en su “Disposición adicional séptima: sobre Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 administrativos”, que indica: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre , del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” El precepto ha sido objeto de una recomendación de carácter provisional hasta el momento en el que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la mencionada Disposición Adicional séptima. So objetivo es tratar de evitar que la adopción de fórmulas distintas en aplicación de la citada disposición pueda dar lugar a la publicación de cifras numéricas de los documentos identificativos en posiciones distintas en cada caso, posibilitando la recomposición íntegra de dichos documentos. Por su interés se transcribe la citada recomendación de 4/03/2019, titulada: “ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN ADICIONAL SÉPTIMA DE LA LOPDGDD” “En la Agencia Española de Protección de Datos, la Autoridad Catalana de Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía se han recibido múltiples consultas sobre la aplicación de lo establecido en el primer párrafo del apartado primero de la disposición adicional séptima “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Esta circunstancia ha aconsejado que, con el fin de facilitar un criterio práctico, dichas autoridades propongan una orientación para la aplicación provisional de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 garantías de protección de la divulgación del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente de los interesados. Para ello, han seleccionado aleatoriamente el grupo de cuatro cifras numéricas que se van a publicar para la identificación de los interesados en las publicaciones de actos administrativos. El procedimiento para la determinación de forma aleatoria de las cuatro cifras numéricas a publicar del código de identificación de un interesado se realizó mediante el proceso de selección aleatoria en una bolsa opaca de una bola de entre cinco bolas numeradas del 1 al 5, realizado el 27/02/2019 en la AEPD. La bola resultante fue la número 4, por lo tanto: La publicación de documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente podrá realizarse de la siguiente forma: • Dado un DNI con formato 12345678X, se publicarán los dígitos que en el formato ocupen las posiciones cuarta, quinta, sexta y séptima. En el ejemplo: ***4567**. • Dado un NIE con formato L1234567X, se publicarán los dígitos que en el formato ocupen las posiciones, evitando el primer carácter alfabético, cuarta, quinta, sexta y séptima. En el ejemplo: ****4567*. • Dado un pasaporte con formato ABC123456, al tener solo seis cifras, se publicarán los dígitos que en el formato ocupen las posiciones, evitando los tres caracteres alfabéticos, tercera, cuarta, quinta y sexta. En el ejemplo: *****3456. • Dado otro tipo de identificación, siempre que esa identificación contenga al menos 7 dígitos numéricos, se numerarán dichos dígitos de izquierda a derecha, evitando todos los caracteres alfabéticos, y se seguirá el procedimiento de publicar aquellos caracteres numéricos que ocupen las posiciones cuarta, quinta, sexta y séptima. Por ejemplo, en el caso de una identificación como XY12345678AB, la publicación sería: *****4567***. • Si ese tipo de identificación es distinto de un pasaporte y tiene menos de 7 dígitos numéricos, se numerarán todos los caracteres, alfabéticos incluidos, con el mismo procedimiento anterior y se seleccionarán aquellos que ocupen las cuatro últimas posiciones. Por ejemplo, en el caso de una identificación como ABCD123XY, la publicación sería: *****23XY. • Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación, se sustituirán por un asterisco por cada posición.” Por tanto, además de introducir en general las mencionadas medidas, si se ha de publicar o notificar algún acto, se ha de tener en cuenta estas referencias, una diligencia especial por la posible identificación o identificabilidad a través de otras referencias directas o indirectas que no sean nombre y apellidos o NIF y que permitan identificar a la persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 A las anteriores premisas debe ajustar la reclamada sus actuaciones en cuanto a publicación de datos personales en procesos selectivos Considerando que ya no figuraban los listados provisionales en la web, desconociéndose la fecha en que dejaron de estar, corrección que es el objetivo final de los apercibimientos previstos como sanción en el nuevo RGPD, y que la implementación de los elementos para tener en cuenta en el diseño del tratamiento ha variado con el nuevo RGPD, creando también la figura del Delegado de Protección de Datos con competencias en la materia. SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1/10, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es