1/12 Expediente N.º: EXP202308488 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Supresión y Limitación frente a MINISTERIO DE TRANSPORTES, MOVILIDAD Y AGENDA URBANA (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante expone que participó en un proceso selectivo convocado por la parte reclamada. El 18 de abril de 2023, ejerció el derecho de supresión de sus datos ante el reclamado, indicando en su escrito los 6 links que permitían acceder a sus datos. El 10 de mayo de 2023, la parte reclamada contesta que todos los documentos sobre los que la interesada plantea el derecho de supresión se derivan de actos administrativos integrantes de procesos de selección no pudiendo atender la solicitud de supresión de conformidad a lo establecido en el art. 17.3 del RGPD. Sobre su adecuada publicación de los datos, transcribe el Informe 0178/2014 de la Agencia de Protección de Datos en el que se concluye que debe prevalecer la publicidad y transparencia del proceso competitivo sobre el derecho de protección de datos. A su vez, destaca que los datos de los opositores han sido publicados de conformidad a lo establecido en la disposición adicional séptima de la LOPDGDD. Asimismo, le comunican que aunque se podría proceder técnicamente a la supresión de los datos de la página web del departamento, no así del Boletín Oficial del Estado. La parte reclamante discrepa de la respuesta emitida, señalando que: -los links hacen referencia a procesos selectivos terminados y por tanto no es necesario tener esa información en la web, que aunque los datos sigan apareciendo en el BOE deben ser eliminados de la web de la parte reclamada, que en alguno de los links aparece su DNI sin anonimizarse parcialmente, que el derecho a publicar sus datos no impide que se borren sus datos. Asimismo, solicita que en futuros procesos selectivos, las listas no sean públicas para todo el mundo. El 5 de junio de 2023, la parte reclamante remitió un correo electrónico a la parte reclamada en el que solicitaba la limitación al tratamiento de los datos personales de los opositores, de manera que solamente puedan ser consultados por las personas que concurren al procedimiento y que no se indexen por los buscadores de internet. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 10 de agosto de 2023, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada manifiesta haber suprimido las URLs a las que hace referencia la parte reclamante en su solicitud al haberse concluido el proceso selectivo que dio lugar a la publicación. Además añade: “…se procederá progresivamente a la supresión de la página web del departamento de todos los actos constitutivos de un proceso selectivo de personal funcionario una vez cumplidos dos meses desde la publicación de la resolución de nombramiento de funcionario de carrera. Respecto a las publicaciones en el Boletín Oficial del Estado, aunque no aparecerán en la página del departamento trascurridos dos meses desde la finalización del proceso selectivo, se advierte que seguirán constando en el referido boletín y su página web. Adicionalmente y aludiendo a la petición presentada por la interesada de que “las listas no sean públicas para todo el mundo”, se indica que se considera que en aplicación del artículo 45 de la Ley 39/2015 y con el propósito de garantizar la transparencia de los procesos selectivos la publicación de los actos que integran un proceso selectivo debe realizarse, tal y como se realiza en la actualidad, esto es: a través de la página web del departamento. Así se ha considerado en coherencia con lo manifestado por la propia AEPD en su informe 0358/2015: “consideramos que para cumplir el principio de publicidad deberá identificarse al interesado, así como la circunstancia de ser o no admitido en la convocatoria; en su caso la causa de exclusión; así como ofrecerse el dato de la valoración de los méritos”. Asimismo, tal y como se hace en el citado informe, se considera que deben publicarse los actos integrantes de procedimiento selectivo mientras dure la selección en consonancia con la ponderación que la Audiencia Nacional ha hecho en la sentencia 26 de abril de 2012 de la Sección Primera de la Sala de lo Contencioso Administrativo del principio de publicidad y protección de datos de carácter personal, “llegando a la conclusión que durante la tramitación del proceso selectivo ha de prevalecer el primero”…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante en el periodo de alegaciones presenta una ampliación de las URLs que quiere que se supriman. Añade: “…Es decir, en mi petición estoy pidiendo el borrado de TODOS los existentes, no sólo de esos 6 links (que yo encontré). En las alegaciones del MITMA manifiestan haber borrado todos los datos. Sin embargo, al comprobarlo, yo llego a una conclusión diferente. Y al percatarme de ello, envié un nuevo escrito (que adjunto a estas Alegaciones como Anejo 1) el 28 de Septiembre al MITMA para que puedan corregirlo antes de que estas alegaciones sean tenidas en cuenta. En dicho escrito explico que hay 2 (de los 6 enlaces anteriores) que al escribirlos en el buscador de Google, siguen estando (no están borrados) – (desconozco el motivo técnico, y expresamente pido que lo investiguen y que realicen la desindexación de todos los buscadores (…) Es decir, en mi petición estoy pidiendo el borrado de TODOS los existentes, no sólo de esos 6 links (que yo encontré)…” La parte reclamante habla de la necesidad de que se preserve su privacidad manifestando que en su centro de trabajo no tienen porqué saber si se presenta a unas oposiciones o no. Además muestra su disconformidad con la parte organizativa respecto a la difusión de los datos en las convocatorias públicas. QUINTO: A raíz de las manifestaciones hechas por la parte reclamante, se vuelve a dar traslado a la parte reclamada que responde y acredita haber atendido lo solicitado e ir suprimiendo las URLs conforme se van terminando los procesos selectivos. La parte reclamada aporta numerosa documentación para acreditar que están actuando activamente para la supresión de las URLs solicitadas. A saber: “… Esta organización ha ido dando respuesta a las peticiones de A.A.A., procediendo a la supresión de los documentos ubicados en la página web del departamento que contienen información de la interesada y cuya publicación no resulta estrictamente necesaria. Esta supresión se ha realizado de tal manera que la documentación no pueda ser accesible directamente desde la página web https://www.mitma.gob.es/, ni a través de consultas en motores de búsqueda que aporten enlaces a dicha página web…” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 10 de agosto de 2023, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones". V Derecho de limitación del tratamiento El artículo 18 del RGPD, que regula el derecho a la limitación del tratamiento de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
- a)el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
- b)el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
- c)el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
- d)el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado. 2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro. 3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación". Hay que señalar que, el derecho a la limitación del tratamiento habilita a la parte reclamante a que se limite el tratamiento de los datos cuando se impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos; cuando el tratamiento sea ilícito y se oponga a la supresión de los datos personales; cuando el responsable ya no necesite los datos personales para los fines del tratamiento, pero sean necesarios para la formulación del ejercicio o la defensa de reclamaciones o cuando se haya opuesto al tratamiento, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los de la parte reclamante. Por tanto, el derecho a la limitación del tratamiento previsto en el artículo 18 del RGPD no tiene por objeto limitar el tratamiento de los datos de los opositores en el sentido que pretende la parte reclamante. Dicho lo anterior, se ha de señalar en relación con el principio de publicidad y transparencia de los procesos selectivos que este principio no excluye la aplicación de los principios de protección de datos que recoge el artículo 5 del RGPD En cuanto a la publicación de las listas de admitidos y excluidos en un proceso selectivo o de concurrencia competitiva, en el informe jurídico de esta Agencia 0002/2022 se recoge lo siguiente: (…) el artículo 55 del EBEP establece como uno de los principios rectores que debe informar el acceso al empleo público, además de los constitucionales de igualdad, mérito y capacidad, el de transparencia. Y en materia de provisión de puestos de trabajo, el artículo 78 también consagra el principio de publicidad en los siguientes términos: “1. Las Administraciones Públicas proveerán los puestos de trabajo mediante procedimientos basados en los principios de igualdad, mérito, capacidad y publicidad” Por su parte el Real Decreto 364/1995 de 10 de marzo, antes citado establece en su artículo 5 la aplicación del principio de publicidad; y así lo aplica a lo largo de su articulado, por ejemplo, en el artículo 20 bajo la denominación “Lista de admitidos y excluidos” lo siguiente: 1. Expirado el plazo de presentación de solicitudes, la autoridad convocante dictará resolución, en el plazo máximo de un mes, declarando aprobada la lista de admitidos y excluidos. En dicha resolución, que deberá publicarse en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 «Boletín Oficial del Estado», se indicarán los lugares en que se encuentran expuestas al público las listas certificadas completas de aspirantes admitidos y excluidos, señalándose un plazo de diez días hábiles para subsanación y determinándose el lugar y fecha de comienzo de los ejercicios y, en su caso, el orden de actuación de los aspirantes. Las citadas listas deberán ponerse de manifiesto, en todo caso, en la Dirección general de la Función Pública, en el Centro de Información Administrativa del Ministerio para las Administraciones Públicas y en las Delegaciones del Gobierno y Gobiernos Civiles. 2. Cuando el procedimiento selectivo lo permita, no será preceptiva la exposición al público de las listas de aspirantes admitidos, debiendo especificarse así en la correspondiente convocatoria. En estos casos, la resolución, que debe publicarse en el «Boletín Oficial del Estado», deberá recoger el lugar y la fecha de comienzo de los ejercicios, así como la relación de los aspirantes excluidos con indicación de las causas y del plazo de subsanación de defectos. 3. La publicación de la Resolución en el «Boletín Oficial del Estado» será determinante de los plazos a efectos de posibles impugnaciones o recursos. Y en el artículo 22 bajo la denominación “Relación de aprobados” dispone que: 1. Una vez terminada la calificación de los aspirantes, los Tribunales o las Comisiones Permanentes de Selección harán pública la relación de aprobados por orden de puntuación en los locales en donde se haya celebrado la última prueba, siendo de aplicación, en su caso, lo dispuesto en el artículo 14.2 de este Reglamento. Dicha relación se elevará a la autoridad competente, que la publicará en el «Boletín Oficial del Estado» En lo que atañe a los procedimientos de promoción profesional, también se consagra el principio de publicidad, tanto de la convocatoria como de la resolución, en el artículo 38, así como particularizado en los artículos 42 y 52 del mismo Reglamento La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LAPACP) establece en su artículo 45 lo siguiente: 1 los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos: (…)
- b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. De acuerdo con los preceptos transcritos, y con el principio de transparencia, se establece la obligación de publicar la resolución que declara la lista de admitidos y excluidos y el lugar dónde figuran expuestas; y cuando el procedimiento lo permita podrán no publicarse la lista de admitidos. También deberá publicarse la relación de aprobados del proceso selectivo, con carácter general en el BOE y en las sedes de determinados organismos relacionados con el proceso selectivo o en el Diario oficial correspondiente. Asimismo, resulta una obligación de publicación expresa cuando se trate de procedimiento de concurrencia competitiva. (Artículo 45.1
- b)LPACAP). Es decir, la legitimación sobre el tratamiento de datos concreto consistente en la publicación de las listas de participantes, y en su caso, aprobados, por el turno de discapacidad en un procedimiento de concurrencia competitiva se encontraría en el artículo 6.1
- c)RGPD.» Ahora bien, ha de tenerse en cuenta que el principio de responsabilidad proactiva impone a los responsables y encargados del tratamiento el deber de tener en cuenta la protección de datos desde el diseño y por defecto lo que conlleva la obligación de analizar el riesgo para los derechos y libertades de los participantes que supone la aplicación del principio de transparencia, y en este sentido el citado informe 0002/2022 analiza cuál ha sido el criterio de esta Agencia con ocasión de conjugar los principios de publicidad y transparencia en el acceso a la función pública y el derecho a la protección de datos. «Resolución R/2593/2017 de fecha 29/09/2017 recaída en el procedimiento de declaración de Infracción AP 2_2017 en el que se denuncia la publicación en abierto a través de internet, en un proceso selectivo, de las listas de admitidos y excluidos y de los listados con las calificaciones provisionales, y de la posibilidad de descargar el correspondiente documento pdf, dónde se indica lo siguiente: En cuanto al objeto de la materia propiamente denunciada, una vez publicada la convocatoria y recibidas las solicitudes de participación en la misma, comenzaría el proceso de concurrencia competitiva, que como dice la palabra, debe predicarse de y para todos los integrantes del grupo que aspiran a superar las pruebas convocadas, que compiten en méritos y en capacidad unos contra otros. Una vez publicada la convocatoria y las bases, los trámites siguientes van a afectar a un círculo específico y cualificado. La exposición de datos dentro de dicho círculo es adecuada, proporcionada y obedece a sus finalidades. Estas finalidades son las de los afectados por el procedimiento, para por ejemplo impugnar los actos que consideren son arbitrarios o lesionen sus intereses, así como para computar plazos de subsanaciones y/o reclamaciones. Pretender que debe prevalecer la transparencia y publicidad por el hecho de que el acceso a los datos de los admitidos/excluidos provisionales o de los calificados provisionalmente se da con carácter general y en concreto en este caso, carece de justificación y excede por mucho de la finalidad propia del tratamiento de datos de los afectados. Por consiguiente, el resto del público, los que no se someten a dichas pruebas, carecen de una base legitima para que puedan acceder a los datos de apellidos y nombre junto al NIF de cada aspirante o a sus calificaciones. Ello no es proporcionado con la finalidad del proceso, y no afecta a la transparencia, pues C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 terceros que no se van a examinar, no concurren. Ese acceso por cualquier persona a los datos resulta invasivo, y es contrario al principio de minimización y calidad de datos en el tratamiento de los mismos (artículo 4.1 de la LOPD). Así, terceros ajenos al procedimiento no deben tener acceso desde el principio a documentos o datos de la tramitación en el que no ostentan ninguna posición jurídica definida. La lista provisional de admitidos y excluidos provisionales es un acto referente a la tramitación interna del proceso selectivo. El derecho de un no participante en el procedimiento puede, en su caso, promoverse caso a caso, como derecho de acceso con reglas de acceso especificas relacionadas con la Ley de Transparencia (…) Sería menos intrusivo y más acorde con lo previsto con la normativa de protección de datos que su publicación afectara y pudiera ser visualizada solo por los que concurren, no al público en general. Resolución R/3081/2017 de 24/11/2017 recaída en el procedimiento de declaración de Infracción AP 12_2017 en el que se denuncia la publicación en abierto en la página web de la Junta de Comunidades de Castilla-La Mancha, de los datos de dos menores, incluyéndose la baremación para la concesión de plaza escolar, que incluía los datos de discapacidad. El modo de proceder de la denunciada no ha sido proporcionado para la finalidad del proceso, pues el acceso por cualquier persona a los datos de los solicitantes resulta invasivo, al no participar en el mismo, y también lo es el contenido de la baremación. LOPD. Se aconseja pues, que los accesos a los listados provisionales y a los definitivos se proporcionen tan solo a los aspirantes solicitantes, sea con claves y contraseñas asignadas durante la presentación telemática o de otro modo similar. Resolución R/2726/2017 de fecha 17/10/2017 recaída en el procedimiento de declaración de Infracción AP 17_2017 en el que se denuncia la publicación en abierto a través de internet en un proceso selectivo, de las listas de admitidos y excluidos para el Cuerpo Docente de Profesores de Enseñanza Secundaria expresando la causa de exclusión, dónde en el Hecho Probado 2, se indica que: Mediante resolución de 16/05/2016, el director general de Personal docente y Ordenación Académica, indicaba que la relación provisional de admitidos y excluidos para formar parte de las listas de aspirantes a nombramientos interinos en el Cuerpo de especialidades convocadas se iba a publicar en el tablón de anuncios de la Consejería, y en el portal educativo de la Consejería de Educación. Para dicho acceso y visualización no se precisa ni clave ni contraseña, pudiendo acceder y visualizar el contenido cualquier persona, haya o no participado en el proceso. Y continua la Resolución en términos similares a las indicadas anteriormente: Por consiguiente, el resto del público, los que no se participan en dichas pruebas, carecen de una base legitima para el acceso a los datos de apellidos y nombre junto al NIF de cada aspirante o a las causas de exclusión. Además, en este caso se produce la desproporción consistente en explicitar en concreto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 el motivo de la exclusión. El motivo, en este caso, no tiene que ver con la no acreditación de la discapacidad sino a causa del grado de incapacidad que tenía reconocido por el organismo competente. Para no tener que explicitar literalmente dicho motivo, la denunciada debería prever en la convocatoria unas claves referidas a causas genéricas en los motivos de exclusión y posteriormente facilitar en su caso al afectado la información concreta para que pueda impugnar la misma si lo estimara conveniente. El modo de proceder de la denunciada no es proporcionado para la finalidad del proceso, pues el acceso por cualquier persona a los datos de los solicitantes resulta invasivo, al no participar en el mismo, y también lo es el contenido del motivo de exclusión, infringiéndose el artículo 4.1 de la LOPD. Y finalmente, la Resolución R/1600/2018 recaída en el Procedimiento de Declaración de Infracción AP_45/2018, a la que más adelante se hará referencia, en la que en términos similares se estima adecuado acceder a dichos listados mediante previa identificación circunscrita a los participantes». Concluye el citado informe que «como puede observarse el criterio de esta Agencia ha sido que de acuerdo con el principio de proporcionalidad previsto en el artículo 4 de la hoy derogada LOPD, se establecieran medidas que impidieran que terceros ajenos a los procedimientos en cuestión pudieran acceder a la información personal de los participantes» Por ello, el responsable del tratamiento ha de respetar las exigencias de transparencia y publicidad teniendo en cuenta los principios de protección de datos y aplicar las medidas adecuadas en función de los riesgos que se deriven de la publicación. VI Conclusión Durante la tramitación del presente procedimiento la entidad reclamada ha contestado a esta Agencia y, acredita haber atendido lo solicitado por la parte reclamante remitiéndole la preceptiva respuesta a su solicitud. Si bien desde el principio de esta reclamación la parte reclamada ha justificado el derecho de limitación, que no tiene por objeto limitar el tratamiento de los datos de los participantes, no ha sido igual con el de supresión que lo ha hecho a lo largo del procedimiento. Después de la admisión a trámite por no haber atendido el derecho de supresión en su totalidad, seguían apareciendo URLs de procesos selectivos ya terminados, según afirma la parte reclamante, la parte reclamada ahora en las últimas alegaciones presentadas acredita haber contestado a la parte reclamante para atender el derecho de supresión. Respecto a la limitación del tratamiento solicitada por la reclamante, consideramos que la parte reclamada explica/justifica detalladamente como se aplica la normativa oficial al respecto, por lo que estaría denegada motivadamente. Por tanto, procede estimar por motivos formales la reclamación que originó el presente procedimiento solo respecto al derecho de supresión y, desestimar respecto al derecho de limitación ya que consideramos que con la respuesta del reclamado queda atendida la solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A., contra MINISTERIO DE TRANSPORTES, MOVILIDAD Y AGENDA URBANA, respecto al derecho de supresión. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. . SEGUNDO: DESESTIMAR la reclamación respecto al derecho de limitación. TERCERO: NOTIFICAR la presente resolución a A.A.A. y a MINISTERIO DE TRANSPORTES, MOVILIDAD Y AGENDA URBANA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es