1/17 Expediente N.º: EXP202413714 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 26 de septiembre de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 26 de septiembre de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra SOCIEDAD DE GESTIÓN PÚBLICA DE EXTREMADURA , S.A (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso. La parte reclamante señala que participó en el proceso de provisión de personal para cubrir un puesto de ***PUESTO.1, por reunir los requisitos de titulación y experiencia exigidos por la sociedad reclamada. El día 09 de septiembre de 2024 conoció el listado provisional de candidatos que fue publicado por la sociedad y en la que aparecía excluido pese a ocupar el primer lugar y haber obtenido la máxima puntuación. La parte reclamante fue informada por el Departamento de Recursos Humanos de la parte reclamada que la razón de la exclusión era que obraba en su poder un informe que desaconsejaba su contratación, siendo extensivo para el resto de los procesos en los que la parte reclamante participara. Expresa la parte reclamante que solicitó a la parte reclamada información sobre el contenido del informe que desaconsejaba su contratación, recibiendo una respuesta negativa de la citada sociedad, vulnerando, según la parte reclamante, su derecho a la información y a la transparencia de todos los datos personales que tienen sobre él. La parte reclamante entiende que con la contestación dada por la sociedad reclamada habría una vulneración de la normativa de protección de datos al suponer la existencia de ficheros de datos personales que la identifican como persona física y que han sido formados mediante la recogida y difusión de determinada información relativa a su persona y elaborada con unos determinados criterios selectivos que la parte reclamante desconoce, pero que le identifican para no ser contratada. Aporta: - listado provisional de candidatos al puesto de ***PUESTO.1 en el que la parte reclamante figura como “Excluido/a”; Correo Electrónico de 4 de septiembre de 2024 de seleccionconvocatoria@gpex.es dirigido a la parte reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/17 “(…) Le informamos que, el motivo por el que usted no va a poder acceder al puesto del proceso ***PUESTO.1, en el que ha participado, es que obra en nuestro poder un informe que desaconseja su contratación, siendo extensivo para el resto de los procesos en los que usted participe. - Correo electrónico de 04 de septiembre de 2024 de la parte reclamante a la parte reclamada: “(…) Lamento escuchar semejante falacia sobre mi persona y exijo por escrito una copia de ese informe y de las personas que desaconsejan mi contratación ya que estamos hablando no solamente de mi credibilidad y futuro profesional ya que ejerceré las acciones legales correspondientes, además esa coletilla que desaconseja su contratación, siendo extensivo para el resto de los procesos en los que usted participe.” - Correo electrónico de fecha 05 de septiembre de 2024 como respuesta de la parte reclamada a la parte reclamante: “(…) En relación a la petición formulada, le informamos que dichos informes pertenecen al ámbito interno de la empresa.” SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 08/10/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 06/11/2024 se recibe en esta Agencia escrito de respuesta indicando que "El reclamante no ha solicitado el ejercicio de los derechos de protección de datos". "(…) No se ha dado respuesta pues como se ha indicado anteriormente no presentado ninguna reclamación y si se encuentra en tramitación judicial". "No se ha solicitado estas medidas, y los datos no se han bloqueado pues son de ámbito interno y de acceso restringido al departamento de RRHH". La parte reclamada declara que no han dado respuesta a la parte reclamante con motivo del traslado de esta Agencia de su reclamación ya que el reclamante inició mucho antes de esta reclamación la vía judicial. Como otra cuestión que la parte reclamada considera relevante, declara que se encontraba pendiente de la resolución judicial, Juzgado ***JUZGADO.1. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 26 de diciembre de 2024, se produjo la admisión a trámite de la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/17 Mediante acuerdo de fecha 16 de enero de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamante contestó a esta Agencia con fecha 23 de enero de 2025 indicando: “(…) Primero.- Los documentos que solicita la parte demandante están en su poder desde el 02/12/2024, como consta por documentación judicial. Segundo.- Gpex ofreció a A.A.A. ocupar el puesto de trabajo para el que en un principio fue excluido y este acepto su incorporación al puesto con fecha de 25/10/2024, continuando actualmente en dicho desempeño. Tercero.- Como ya se indicó, en escrito enviado el 06/11/2024 a esta AEPD, la cuestión estaba solventándose por vía judicial ante el Juzgado ***JUZGADO.1. Y este juzgado ha dictado sentencia el ***FECHA.1 en el que decreta que "no existe una lista negra y que no se ha vulnerado su derecho al honor y a la propia imagen, así como a la protección de sus datos personales", esto lo declara en los siguientes términos: QUINTO. En cuarto lugar, alega que se ha vulnerado su derecho al honor y a la propia imagen, así como a la protección de sus datos personales, que se proclaman en el artículo 18.1 y 4 de la CE, contraviniendo el mismo. Señala en la demanda que la existencia de un informe en el seno interno de la empresa que desaconseja la contratación de este trabajador solo puede suponer la existencia de una lista negra, pues se trata de un fichero de datos personales que identifican o hacen identificable a una persona física. Estos se forman mediante la recogida y difusión de determinada información, elaborada de conformidad con unos criterios selectivos, identificando a trabajadores especialmente conflictivos o reivindicativos, y que generalmente implican efectos adversos y perjudiciales para quienes en ellas son incluidas, discriminándoles al excluirlas de la posibilidad del acceso a un determinado empleo y dañando su reputación, o de que sus condiciones a futuro, sencillamente, sean inferiores a las del resto de sus compañeros. La ilicitud de estas listas deriva esencialmente de la inexistencia de consentimiento por parte del trabajador para el tratamiento y cesión de sus datos personales, vulnerándose el derecho fundamental a la protección de los datos personales. A su vez, se ve conculcado su derecho al honor dado que los datos que constan en el mismo afectan grave y negativamente a su reputación. Sin embargo, la existencia de esta supuesta lista negra no ha quedado acreditada, deduciéndose de las pruebas practicadas que la comunicación tuvo su origen en una consulta realizada al servicio de la administración pública en el que anteriormente prestaba sus servicios, no porque la empresa demandada haya confeccionado en este procedimiento selectivo, o lo haya hecho la Junta de Extremadura, una lista de trabajadores en el que consten sus datos personales y a la que se haya dado publicidad de algún tipo, afectando así a su reputación, por lo que tampoco puede entenderse vulnerado este derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/17 Por todo lo expuesto y en base las alegaciones realizadas consideramos que debe ponerse fin a procedimiento iniciado y al archivo de las actuaciones, pues por una parte ya se ha cumplido a satisfacción del reclamante con su solicitud de entrega de la documental solicitada, y que por otro lado el magistrado en su sentencia ha decretado de forma inequívoca que NO se han vulnerado su derecho a la protección de sus datos personales.” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante ha contestado a esta Agencia con fecha 24 de febrero de 2025 indicando, en síntesis, y por lo que al presente procedimiento interesa, que: “(…) PRIMERO.- Que me reitero en lo indicado previamente en el escrito con fecha 25 de septiembre de 2024 en relación con el proceso de provisión de personal mediante la convocatoria por el procedimiento de “Gestión Interna de Bolsa” (GIB) para cubrir el puesto ***PUESTO.1, al reunir los requisitos de titulación y experiencia exigidos por GPEX y que, además, complemento dichas alegaciones con las que se efectúan seguidamente. (…) Así, GPEX ha obstaculizado injustificadamente mi derecho de acceso, conforme al artículo 15 del Reglamento General de Protección de Datos (en adelante, “RGPD”) y al artículo 13 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos 2 digitales (en adelante, “LOPDGDD”) al no facilitarme el informe referido que desaconsejaba mi contratación, y a su vez, ha vulnerado los principios relativos al tratamiento contenidos en el artículo 5.1.
- a)y 5.1.
- b)del RGPD, esto es, que los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el interesado y que además dichos datos personales deben ser recogidos con fines determinados, explícitos y legítimos, no siendo tratados ulteriormente de manera incompatible con dichos fines. En todo caso, si la información que expresan en el informe que desaconsejaba mi contratación en procedimientos selectivos presentes y futuros en GPEX fue recabada y tratada como parte de mi seguimiento y evaluación de empleado de la entidad, nunca fui informado por parte de la misma de que dicha información existiera y pudiera ser utilizada con otras finalidades diferentes y posteriores como el impedimento en el acceso al empleo a través de otros procedimientos selectivos tanto presentes como el que concurría siendo el candidato con más puntuación, como se muestra en el Documento Número 1 ya aportado, como futuros, como indicaban en su correo electrónico de fecha 04 de septiembre de 2024 que se aportó como Documento Número 2, ya mencionado. CUARTO.- Únicamente ha sido en vía judicial, a través del procedimiento judicial que insté para la defensa de mis derechos fundamentales con referencia Derechos Fundamentales ***REFERENCIA.1 del Juzgado ***JUZGADO.1, la vía por la que he podido ver atendida mi solicitud de derecho de acceso, poniéndose de manifiesto la mala fe de GPEX al respecto, y como así admite dicha entidad en su alegación primera, que se reproduce a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/17 “Primero.- Los documentos que solicita la parte demandante están en su poder desde el 02/12/2024, como consta por documentación judicial.” Es de interés en este sentido, aportar como Documento Número 1 el informe que desaconsejaba mi contratación, (…) Todo ello como una estrategia para impedir mi contratación por su preferencia respecto a otros candidatos con una puntuación inferior a la que obtuve en el proceso selectivo, lo cual contraviene los principios de igualdad, mérito y capacidad en el acceso al empleo público. A este respecto, el Tribunal Supremo ha declarado reiteradamente que la transparencia y la publicidad son condiciones necesarias para la efectividad de los principios de igualdad, mérito y capacidad en el acceso al empleo público en Sentencias del Tribunal Supremo de 18 de enero de 2012 y de 20 octubre 2014, entre otras muchas. Así, la Sentencia del Tribunal Supremo de 19 de junio de 2012, examina el derecho de un aspirante en un proceso selectivo a conocer la puntuación asignada no ya a sus méritos, sino a los méritos de otros aspirantes, y declara lo siguiente: “… lo primero que debemos reconocer es que, efectivamente, los artículos 105.
- b)de la Constitución española y 37 de la Ley 30/1992, de 26 de noviembre, amparaban la pretensión del recurrente de acceder a cualquier información del expediente, y desde luego también a la referida a los méritos de otros aspirantes en el proceso de concurrencia competitiva en el que tomó parte, así como la de que se le expidieran las copias correspondientes. Al no apreciar la Sala que concurriera ninguna de las excepciones que, por venir impuestas en las leyes, condicionan y limitan el acceso a los documentos obrantes en los archivos y registros públicos, no existía razón alguna para obstaculizar el acceso del recurrente a tal información, por lo que se estima que el rechazo administrativo a lo solicitado carecía de justificación y resultaba contrario a derecho”. La Sentencia del Tribunal Supremo de 20 octubre 2014 añade que: “ese principio de publicidad en su formulación más genérica está ligado a otros mandatos constitucionales como lo son el derecho fundamental a la tutela judicial efectiva del artículo 24 de la Constitución y el principio de objetividad que para toda actuación de la Administración pública dispone el artículo 103.1 del propio texto constitucional. Y por eso mismo conlleva, entre otras cosas, tanto la necesidad de que toda actuación administrativa sea transparente en los hechos, criterios y razones que determinen sus decisiones, pues sólo así es posible el control que demanda el derecho a la tutela judicial efectiva; como también que esos criterios estén establecidos 4 con anterioridad a su finalización cuando de procedimientos competitivos se trate, porque de esta manera es como queda conjurado con las debidas garantías el riesgo del favoritismo individual (contrario al principio de objetividad) que se producirá si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/17 los criterios de valoración de los aspirantes fuesen definidos una vez realizadas esas pruebas competitivas”. Máxime además de todo lo anteriormente expuesto, donde se posibilita que un interesado pueda obtener en el marco de un proceso selectivo de información de los candidatos por los cuales compita bajo determinadas circunstancias, que la Agencia Española de Protección de Datos, a la que me dirijo, ha señalado respecto a los solicitantes que ostentan la condición de interesado que deben poder acceder a los datos alegados para obtener una plaza por aquéllos con quien se compita y que no podrán utilizar los datos a que tengan acceso para una finalidad distinta a aquélla de la defensa de su derecho en el procedimiento de que se trate o posteriormente en vía judicial. Así mismo, la Agencia Española de Protección de Datos en su Informe Jurídico número 0002/2022 avala el criterio expuesto anteriormente: “En primer lugar, el Tribunal Supremo en Sentencia núm. 2487/2016 de 22 noviembre, parte de la siguiente premisa: La publicidad es condición necesaria para asegurar el respeto a los principios de igualdad, mérito y capacidad, no cabe afirmar que haya fases de los procesos selectivos de carácter privado, ni que los aspirantes no tengan derecho a conocer los ejercicios de aquellos con los que compiten cuando reclamen su derecho fundamental a acceder al empleo público. Por su parte, la Sentencia de 26 de abril de 2012 de la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, que cita a su vez la recaída en el recurso 215/2010, señaló (el subrayado es nuestro): “Por lo tanto, una de las excepciones a la exigencia de consentimiento para el tratamiento de datos es el de la colisión con intereses generales ó con otros derechos de superior valor que hagan decaer la protección de datos por la preferencia que deba concederse a ese otro interés. En el caso presente, al tratarse de un procedimiento de concurrencia competitiva debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que "La Ley regulará el estatuto de los funcionarios públicos, el acceso a la función pública de acuerdo con los principios de mérito y capacidad ..." (todo ello en relación con lo previsto en el artículo 23 C.E . al que nos referiremos más adelante. Obviamente, las garantías que exige el tratamiento de datos personales no pueden servir para empañar o anular estas exigencias generales que obligan a que los procesos se conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La superioridad de estos otros valores aconseja que en este caso se entienda que no era exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente en su comunicación por el sindicato ahora recurrente. Desde este punto de vista, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/17 debemos concluir que no es exigible el consentimiento de aquellas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exigencia de los demás participantes para asegurar la limpieza e imparcialidad del procedimiento en el que concurren. (...) Es cierto que la Ley Orgánica 15/1999 no recoge expresamente exenciones o excepciones al régimen de tratamiento de datos personales en ella contenida con fundamento en las garantías de transparencia de los procesos competitivos por lo que será preciso ponderar los intereses en conflicto para poder determinar cuál de ellos debe prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos. (No es infrecuente que esta Sala debe realizar este tipo de ponderaciones ó valoraciones; basta remitirse a la sentencia del recurso 331/205; DF 2/2010 o 862/2009). Por lo tanto, será procedente la estimación del recuso y la anulación de la resolución recurrida sobre la base de la prevalencia del interés general tomando en consideración que, como es natural, solo se amparará dicho uso dentro de los fines relativos al mismo procedimiento de concurrencia competitiva en aplicación de los límites que señala el artículo 4 de la LOPD (...)”. Por tanto, teniendo en consideración lo anterior, no cabe duda de que GPEX debería haber atendido mi derecho de acceso a obtener la información que desaconsejaba mi contratación -que además me generaba un perjuicio grave y una discriminación- en el momento que lo solicité, no obligándome a tener que acudir a la vía judicial para ver satisfecha mi petición, con todo lo que ello conlleva. Y, además, soportando una demora injustificada, dado que tuve que esperar para ello tres
(3)meses, pues mi primera solicitud fue cuando tuve conocimiento de ello, el 4 de septiembre de 2024 y no fue, como indica el Delegado de Protección de Datos de GPEX, hasta el 02 de diciembre de 2024 que pude conocer los motivos, arbitrarios, que había alegado la entidad. (…)” QUINTO: Otorgada audiencia a la parte reclamada, ésta presentó un escrito con fecha 21 de marzo de 2025 indicando, en síntesis, y por lo que al presente procedimiento interesa, que “(…) El trabajador en sus manifestaciones, no se refiere al tratamiento de sus datos personales aportados por este a la empresa, sino que se está refiriendo al informe interno, sin transcendencia jurídica, que la empresa dispone sobre el cumplimiento de sus obligaciones laborales dentro de la misma. En ningún momento se ha denegado a A.A.A. el acceso a sus datos personales, no se ha incumplido ninguno de los puntos de este artículo 15. Y respecto al derecho de acceso cuando los datos personales no se hayan obtenido del interesado, como recoge el punto
- g)del art. 15, procede facilitar “cualquier información disponible sobre su origen”. Algo que no ha solicitado el demandante, cumpliéndose por consiguiente plenamente con lo establecido en la ley. Solicita sanción por infracciones muy graves del 72.1k), LOPDGDD. Por obstaculizaciones, en plural, cuando no existe ninguna y menos una pluralidad o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/17 reiteración que exige este apartado. En el hipotético y remoto supuesto de que hubiera sido infracción, seria leve del art. 74.c). (…)” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 26 de diciembre de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/17 “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD, así como en los artículos 13 a 18 de la LOPDGDD. Respecto al derecho de acceso de los interesados a obtener los datos personales “que les conciernen” del responsable del tratamiento de los mismos, son de especial aplicación los artículos 12 y 15 del RGPD, así como los artículos 12 y 13 de la LOPDGDD, todo lo cual deberá interpretarse dentro del marco fijado en los Considerandos 59 a 64 del RGPD. Así pues, el contenido principal del derecho y su alcance o contenido viene establecido en el artículo 15 del RGPD, que dispone lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/17
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Por su parte, el artículo 13 de la LOPDGDD establece determinadas pautas para considerar atendido dicho derecho por el responsable del tratamiento de los datos personales en determinados supuestos, precisando lo siguiente: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/17 solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. IV Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. Hay que señalar que esta Agencia no resulta competente para analizar y valorar la existencia y contenido del informe empleado por la parte reclamada para no adjudicar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/17 a la parte reclamante la plaza convocada en el proceso selectivo, que es el objeto de este procedimiento de derechos. En el presente caso, y teniendo en cuenta lo indicado anteriormente, de la documentación aportada por las partes, ha quedado acreditado que la parte reclamante, tras ser informada por el Departamento de Recursos Humanos de la parte reclamada que la razón de la exclusión que obra en su poder un informe que desaconseja su contratación, siendo extensivo para el resto de los procesos en los que la parte reclamante participe, le solicitó que le remitiera copia del informe que obra en su poder y que desaconseja su contratación, así como de las personas que lo desaconsejan, recibiendo como respuesta que “(…) dichos informes pertenecen al ámbito interno de la empresa.” A este respecto, cabe aplicar lo dispuesto por el Consejo Europeo de Protección de Datos (en adelante, CEPD), en las Directrices 1/2022, adoptadas el 28 de marzo de 2023, por la que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el Derecho de Acceso del Interesado, que indica que “14. “Aunque el objetivo del derecho de acceso es amplio, el TJUE también ilustró los límites del ámbito de aplicación de la legislación en materia de protección de datos y el derecho de acceso. Por ejemplo, el TJUE consideró que el objetivo del derecho de acceso garantizado por la legislación de la UE en materia de protección de datos debe distinguirse del derecho de acceso a los documentos públicos establecido por la legislación nacional y de la UE, que tiene por objeto garantizar «la transparencia en el proceso de toma de decisiones de las autoridades públicas [y] promover buenas prácticas administrativas», objetivo que no persigue la legislación en materia de protección de datos. El TJUE concluyó que el derecho de acceso a los datos personales se aplica con independencia de si se aplica un tipo diferente de derecho de acceso con un objetivo diferente, como en el contexto de un procedimiento de examen.” (El subrayado es de la Agencia Española de Protección de Datos). En este caso, del examen de la documentación aportada durante el expediente, se desprende que la pretensión de la parte reclamante era que se le facilitara un informe que formaba parte de un proceso selectivo. Siguiendo con las Directrices 1/2022 anteriormente citadas, “d). ¿Está incluida la solicitud en el ámbito de aplicación del artículo 15? 50. Cabe señalar que el RGPD no introduce ningún requisito formal para las personas que soliciten acceso a los datos. Para realizar la solicitud de acceso, es suficiente que las personas solicitantes especifiquen que desean saber qué datos personales que les conciernen procesan el responsable del tratamiento. Por lo tanto, el responsable del tratamiento no puede negarse a facilitar los datos haciendo referencia a la falta de indicación de la base jurídica de la solicitud, especialmente a la falta de una referencia específica al derecho de acceso o al RGPD. Por ejemplo, para hacer una solicitud, bastaría con que la persona solicitante indicara que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/17 • desean obtener acceso a los datos personales que les conciernen; • están ejerciendo su derecho de acceso; o • desean conocer la información que les concierne que procesa el controlador. Debe tenerse en cuenta que los solicitantes pueden no estar familiarizados con las complejidades del RGPD y que es aconsejable ser indulgente con las personas que ejercen su derecho de acceso, en particular cuando es ejercido por menores de edad. Como se ha indicado anteriormente, en caso de duda, se recomienda al responsable del tratamiento que solicite al interesado que especifique el objeto de la solicitud.
- e)¿Los interesados desean acceder a la totalidad o parte de la información procesada sobre ellos? 51. Además, el responsable del tratamiento debe evaluar si las solicitudes realizadas por las personas solicitantes se refieren a la totalidad o parte de la información procesada sobre ellas. Cualquier limitación del alcance de una solicitud a una disposición específica del artículo 15 del RGPD, hecha por los interesados, debe ser clara e inequívoca. Por ejemplo, si los interesados requieren literalmente «información sobre los datos tratados en relación con ellos», el responsable del tratamiento debe asumir que los interesados tienen la intención de ejercer plenamente su derecho en virtud del artículo 15, apartados 1 a 2, del RGPD. Dicha solicitud no debe interpretarse en el sentido de que los interesados desean recibir únicamente las categorías de datos personales que se están tratando y renunciar a su derecho a recibir la información enumerada en el artículo 15, apartado 1, letras
- a)a h). Esto sería diferente, por ejemplo, cuando los interesados desean, en lo que respecta a los datos que especifican, tener acceso a la fuente u origen de los datos personales o al período de almacenamiento especificado. En tal caso, el responsable del tratamiento podrá limitar su respuesta a la información específica solicitada. (…)” Asimismo, la Sentencia del Tribunal de Justicia (Sala Tercera) de 7 de mayo de 2009 [STJUE Rijkeboer 7.5.2009 — Asunto C-553/07] indica que “51 El citado derecho de acceso es indispensable para que el interesado pueda ejercer los derechos que se contemplan en el artículo 12, letras
- b)y c), de la Directiva, a saber, en su caso, cuando el tratamiento no se ajuste a las disposiciones de la misma, obtener del responsable del tratamiento de los datos, la rectificación, la supresión o el bloqueo delos datos [letra b)], o que proceda a notificar a los terceros a quienes se hayan comunicado los datos, toda rectificación, supresión o bloqueo efectuado, si no resulta imposible o supone un esfuerzo desproporcionado [letra c)]. 52 El derecho de acceso es, igualmente, condición necesaria para el ejercicio por el interesado del derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 14 de la Directiva, como lo es para el derecho a recurrir por los daños sufridos, previsto en los artículos 22 y 23 de ésta.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/17 Por otro lado, en relación con el derecho a obtener copia, la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera) de 4 de mayo de 2023 declara: “1) El artículo 15, apartado 3, primera frase, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros. 2) El artículo 15, apartado 3, tercera frase, del Reglamento 2016/679 debe interpretarse en el sentido de que el concepto de «información» que contempla se refiere exclusivamente a los datos personales de los que el responsable del tratamiento debe facilitar una copia con arreglo a la primera frase de dicho apartado.” Por ello, según la interpretación que del derecho de acceso ha hecho el Tribunal de Justicia de la Unión Europea, así como lo que se establecen en las Directrices 1/2022 precitadas, la parte reclamante ha ejercitado el derecho de acceso respecto de los datos personales que le conciernen y la parte reclamada tendría que facilitar a la parte reclamante su derecho de acceso en los términos previstos en el RGPD. Procede entonces entrar en el fondo del asunto y analizar si fueron procedentes los motivos de desestimación esgrimidos por la parte reclamada. A este respecto, cabe aplicar lo dispuesto en las Directrices 1/2022, anteriormente citadas, cuyo punto 4.2 concreta el alcance de los datos personales que comprende el derecho de acceso, haciendo mención específica a los datos que le conciernen al interesado, advirtiendo del peligro de realizar una interpretación “demasiado restrictiva” para denegarlos automáticamente. Estas Directrices establecen lo siguiente (el subrayado es nuestro): “4.2 Los datos personales a los que se refiere el derecho de acceso De conformidad con el artículo 15, apartado 1 del RGPD, «el interesado tendrá derecho a obtener del responsable del tratamiento la confirmación de si se están C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/17 tratando o no datos personales que le conciernan y, en su caso, el acceso a los datos personales y a la siguiente información” (el subrayado es nuestro). Varios elementos se desprenden del párrafo 1 del artículo 15 del RGPD. En el apartado se refiere expressis verbis a «los datos personales que le conciernen» (4.2.1), que «están siendo tratados» (4.2.2) por el responsable del tratamiento: 4.2.1. «datos personales que le conciernen» El derecho de acceso puede ejercerse exclusivamente con respecto a los datos personales relacionados con el interesado que solicita el acceso o, en su caso, por una persona o representante autorizado (véase la sección 3.4). También hay situaciones en las que los datos no tienen un vínculo con la persona que ejerce el derecho de acceso, sino con otra persona. Sin embargo, el interesado solo tiene derecho a los datos personales relativos a sí mismos, excluyendo los datos que afecten exclusivamente a otra persona. Sin embargo, la clasificación de los datos como datos personales relativos al interesado no depende del hecho de que dichos datos personales también se refieran a otra persona. Por lo tanto, es posible que los datos personales se refieran a más de una persona al mismo tiempo. Esto no significa automáticamente que se conceda acceso a los datos personales también relacionados con otra persona, ya que el responsable del tratamiento debe cumplir con el artículo 15, apartado 4, del RGPD. Las palabras «datos personales que le conciernan» no deben ser interpretadas de manera «demasiada restrictiva» por los responsables del tratamiento, como ya ha declarado el Grupo de Trabajo del artículo 29 en lo que respecta al derecho a la portabilidad de los datos”. En consecuencia, según el CEPD, máxima autoridad europea en esta materia, el derecho de acceso del artículo 15 del RGPD va más allá de solicitar los datos personales propios -ceñidos al titular- y se extiende a aquellos que “le afecten”. Un interesado puede solicitar información sobre todos los datos personales que almacena el responsable del tratamiento en relación con su identidad. Sin embargo, como ya se ha indicado anteriormente, hay que tener en cuenta la STJUE de 4 de mayo de 2023, que declara que “(…) el derecho de acceso debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros.” El artículo 12.5 de la LOPDGDD dispone que “5. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/17 Las Directrices 1/2022, en su versión de 28 de marzo de 2023, del Comité Europeo de Protección de Datos, señalan que “14. “Aunque el objetivo del derecho de acceso es amplio, el TJUE también ilustró los límites del ámbito de aplicación de la legislación en materia de protección de datos y el derecho de acceso. Por ejemplo, el TJUE consideró que el objetivo del derecho de acceso garantizado por la legislación de la UE en materia de protección de datos debe distinguirse del derecho de acceso a los documentos públicos establecido por la legislación nacional y de la UE, que tiene por objeto garantizar «la transparencia en el proceso de toma de decisiones de las autoridades públicas [y] promover buenas prácticas administrativas», objetivo que no persigue la legislación en materia de protección de datos. El TJUE concluyó que el derecho de acceso a los datos personales se aplica con independencia de si se aplica un tipo diferente de derecho de acceso con un objetivo diferente, como en el contexto de un procedimiento de examen.” (El subrayado es de la Agencia Española de Protección de Datos). En el supuesto aquí analizado, la parte reclamante ejerció su derecho de acceso, obteniendo respuesta por la que se denegaba el derecho solicitado, sin aportar la motivación legalmente exigible. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, motivada en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se ha aportado copia de la necesaria comunicación que debe dirigir al reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos y sobre los motivos que determinaron la denegación del derecho solicitado por la parte reclamante, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a SOCIEDAD DE GESTIÓN PÚBLICA DE EXTREMADURA , S.A con NIF A06450829, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/17 actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a SOCIEDAD DE GESTIÓN PÚBLICA DE EXTREMADURA, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-100425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es