1/16 Expediente N.º: EXP202505981 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 24 de febrero de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 24 de febrero de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra las CORTES DE CASTILLA Y LEÓN (en adelante, la parte reclamada o las Cortes) por no haber sido debidamente atendido el derecho de supresión. La parte reclamante manifiesta que el día 6/11/24 solicitó al delegado y al responsable de protección de datos de la parte reclamada aclaraciones sobre la utilización, a su juicio, ilícita de los datos contenidos en el auto de un proceso judicial por parte del Tribunal Calificador de un Concurso convocado por las Cortes. A su vez, solicitaba que sus datos fueran suprimidos del escrito que presentó para pedir el acceso a la documentación obrante en el proceso selectivo. La parte reclamante manifiesta que no ha recibido respuesta. El 20/11/24 la parte reclamante presentó un nuevo escrito para solicitar la supresión de los datos personales publicados en un medio de comunicación (periódico El Norte de Castilla) y para dirimir las responsabilidades en que hubiera incurrido al filtrar a la prensa un informe de la Junta de Personal de las Cortes en el que constan sus datos personales (…). Junto a la reclamación aporta, entre otros: - Acuerdo de fecha 30/10/2024 del Tribunal Calificador respecto de la solicitud efectuada por la parte reclamante, no accediendo a la suspensión solicitada por considerar que llevar a término el concurso convocado es una necesidad prioritaria para las Cortes de Castilla y León, y acordando conceder a la parte reclamante la oportunidad de acceder a aquella documentación que no tenga la consideración o contenga datos de carácter personal, citándola para atender su petición. - Escrito de fecha 6/11/2024 de la parte reclamante dirigido a la parte reclamada solicitando: “I. Realice las actuaciones oportunas para la eliminación de los datos personales de la documentación a la que la abajo firmante ha solicitado acceder al Tribunal Calificador del Concurso para la provisión de (…) mediante escrito de 26 de octubre pasado, y para cuyo acceso se le ha citado (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/16 Tal solicitud de acceso a documentación se ha producido en aras al correcto ejercicio de la defensa de los derechos de la abajo firmante, tal y como reconoce el Reglamento [VE] 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de los personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directivo 95/46/CE en su artículo 9.2.
- b)y como también reconoce el artículo 3 del reciente Acuerdo de lo Mesa de las Cortes de Castilla y León, de 5 de septiembre de 2024, por el que se creó el registro de actividades de tratamiento y se hace pública, en la página web de las cortes de castilla y león, como inventario de actividades de tratamiento, lo información o que se refiere el registro de actividades de tratamiento, en relación con los apartados 11 y 14 del Anexo de dicho Acuerdo. II. Se me informe y aclare cómo se ha producido el acceso del Tribunal Calificador, al ***AUTO.1 de la Sala ***JUZGADO.1 relativo al procedimiento (...) ***REFERENCIA.1, con finalidad distinta a la propia de las actuaciones de dicho procedimiento, con qué base jurídica o legitimación se ha dado traslado de dicha documentación al Tribunal Calificador y, si dicho acceso vulnera la intimidad de la reclamante, así como si para dicho acceso se ha realizado el oportuno tratamiento del documento en el sentido de eliminar los datos personales que contiene.” - Escrito dirigido a la parte reclamada con fecha 21/11/2024 indicando que sus datos han sido filtrados a los medios de comunicación y solicita “que determine la persona responsable de la filtración a los medios de comunicación, sin anonimizar mi nombre, del informe de la Junta de Personal, y que impulse, a su vez, las actuaciones del órgano de gobierno de las Cortes de Castilla y León competentes para que elimine de los medios mis datos personales” y además, recuerda que se encuentra pendiente de respuesta respecto de lo solicitado con fecha 6 de noviembre de 2024. - Noticia del “Norte de Castilla” Digital de fecha ***FECHA.1: “(…)” Por parte de esta Agencia se ha comprobado que en el “Norte de Castilla” Digital de fecha ***FECHA.2 está publicada una noticia titulada “***NOTICIA.1”, y ha sido incorporada al presente procedimiento. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 30/04/2025 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/16 No se ha recibido respuesta a este escrito de traslado. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 24 de mayo de 2025 se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 5 de junio de 2025 se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada presentó un escrito ante esta Agencia con fecha 30/06/2025 solicitando la ampliación del plazo para la presentación de alegaciones. Mediante escrito de fecha 09/07/2025 esta Agencia respondió a la parte reclamada concediendo la ampliación solicitada. Con fecha 15/07/2025 tuvo entrada en esta Agencia un escrito de la parte reclamada indicando: “(…) Respecto de las aclaraciones sobre la utilización, que califica de ilícita, de los datos contenidos en el auto de un proceso judicial por parte del Tribunal Calificador del Concurso para la provisión de (…) (turnos libre y restringido), el anterior Secretario General, que era a su vez tanto el Letrado que asistía jurídicamente al Tribunal del Concurso como el Letrado al que se le había encomendado la representación y defensa en juicio en ese procedimiento judicial ***REFERENCIA.1, ha señalado, en el informe que evacuó el 26 de junio para su remisión a la AEPD, que "se decide facilitar un auto de fecha reciente, en particular, el auto número ***AUTO.1 (…). Se valoró la posibilidad de anonimizar el documento para garantizar una mayor preservación de la intimidad de la reclamante, pero como el único dato que aparecía era el nombre y apellidos, que son de conocimiento de las partes implicadas, no fue preciso realizarla. Se entendía (y se sigue entendiendo a día de hoy) que el Tribunal, para poder adoptar una decisión motivada, debía conocer la información mínima al respecto. Y dado que la Sala ya se había pronunciado sobre una cuestión similar -la solicitud de suspensión del concurso en lo que se tramitaba el procedimiento- era positivo y necesario que el Tribunal accediera a una información que la propia reclamante había aludido y sobre la que había aportado información y documentos. Más si cabe, como puede comprobarse de la mera lectura del propio auto, la única referencia a datos personales de la reclamante eran su nombre y sus apellidos. Datos que, como es obvio, eran conocidos por todos los miembros del Tribunal Calificador. Se entiende, por tanto, que no ha habido transferencia de datos personales alguna y que existía una legitimación clara para aportar el documento". La parte reclamada hace un relato de diferentes cuestiones sobre la aceptación o no de la suspensión del procedimiento selectivo instada por la parte reclamante y de la anonimización del auto citado, concluyendo que “(…) entendiendo dato personal como toda información sobre una persona física identificada o identificable, cabe preguntarse qué dato personal es el que considera la reclamante que se ha visto desvelado de forma ilícita al poner el Letrado del Tribunal en conocimiento de este una resolución judicial dentro del procedimiento en el que ella misma se ha identificado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/16 como reclamante y cuyo recurso ha puesto a disposición del Tribunal calificador. Parece evidente que su propia identidad, nombre, apellidos, dni u otro dato identificativo, no pueden ser, pues son datos personales utilizados por el Tribunal calificador con su consentimiento pues los pone ella misma en conocimiento del Tribunal, tampoco el de ser parte en el procedimiento judicial ***REFERENCIA.1 ni el propio recurso que ha presentado con toda la información concerniente al mismo, pues la reclamante misma es la que lo adjunta a su reclamación. Además la recurrente también da la información de que se ha solicitado en ese procedimiento (…) al señalar en la reclamación que realiza al Tribunal calificador lo siguiente: "En consonancia con el criterio establecido por Sentencia de la Sala Contencioso Administrativa del ***JUZGADO.2 en el sentido de la exigencia al recurrente de impugnar los actos derivados de un primer acto impugnado (dos actos en el caso de la reclamante) y de los cuales, por ende, se ha solicitado la suspensión cautelar, la reclamante solicita de dicho Tribunal la suspensión de la Resolución por la que se hace pública la lista provisional de admitidos en el concurso convocado en tanto se resuelven los recursos administrativo y contencioso administrativo precitados." Por consiguiente, al poner a disposición del Tribunal calificador el ***AUTO.1 dictado dentro de ese mismo procedimiento ***REFERENCIA.1, la única información que se está facilitando a este Tribunal realmente es el razonamiento jurídico y el fallo que ha dado la Sala de lo Contencioso administrativo dentro del citado procedimiento judicial para la resolución de una medida cautelar en la que se pedía la suspensión de la convocatoria del procedimiento selectivo, asunto análogo a la medida cautelar de suspensión de la lista provisional en ese procedimiento selectivo solicitado al Tribunal calificador. Aunque sea un auto dictado en el curso de ese mismo procedimiento, realmente no se trata de un uso inadecuado de un dato personal, sino de la aplicación del razonamiento jurídico que hace la Sala para un caso similar del mismo modo que hubiera podido ser utilizada otra jurisprudencia de este Tribunal o de otro distinto que fuera aplicable al caso para poder resolver de una manera jurídicamente fundada la solicitud de suspensión que A.A.A. había realizado. (…) Para finalizar este apartado, solo nos queda poner de manifiesto que la solicitud que realiza A.A.A. en este escrito de 6 de noviembre sobre que se realicen las actuaciones oportunas para la eliminación de los datos personales de la documentación a la que la reclamante ha solicitado acceder, no se refiere a sus propios datos personales, sino a los de la aspirante en el concurso ya que la documentación que solicita es la documentación acreditativa del cumplimiento de los requisitos establecidos en la convocatoria para la admisión de candidatos. “ TERCERA.- Respecto de la segunda queja o reclamación que realiza A.A.A., en la que solicitaba a las Cortes de Castilla y León "que se determine la persona responsable de la filtración a los medios de comunicación, sin anonimizar mi nombre, del informe de la Junta de Personal, y que impulse, a su vez, las actuaciones del órgano de gobierno de las Cortes de Castilla y León competente para que elimine de los medios mis datos personales", ha quedado claro por las actuaciones realizadas por el Delegado de Protección de Datos Personales de Castilla y León que ha sido imposible determinar quién ha sido la persona responsable de la filtración del Informe de la Junta de Personal en donde aparecía su nombre y que no ha sido debida por negligencia de las Cortes de Castilla y León en el tratamiento de sus datos personales ni ha sido como consecuencia de la actuación de las Cortes de Castilla y León ni de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/16 ninguno de sus funcionarios en el ejercicio de sus funciones. Por ello, no se consideró, más allá de las actuaciones realizadas, que las Cortes de Castilla y León fueran las que tuvieran que proceder a impulsar la supresión de los datos aparecidos en los medios de comunicación por haber tenido estos acceso al citado Informe de un modo completamente ajeno al actuar de las Cortes de Castilla y León. Nos remitimos al informe y a las actuaciones facilitadas por el DPD de las Cortes de Castilla y León”. CUARTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de quince días hábiles formulase las alegaciones que considerase oportunas. La parte reclamante presentó un escrito ante esta Agencia con fecha 13/08/2025 indicando, en síntesis, y por lo que al presente procedimiento interesa, lo siguiente: “ALEGACIONES EN RELACIÓN CON LA RECLAMACIÓN de Protección de Datos personales vulnerada por entregar al Tribunal Calificador del concurso para la provisión (…), un documento judicial perteneciente a un procedimiento en el que la reclamante (A.A.A.) es la recurrente, sin su consentimiento ni anonimización. Los antecedentes de hecho fundamentales son los siguientes: A.A.A. realizó el 25 de octubre de 2024 reclamación, al Tribunal Calificador del procedimiento selectivo para la provisióń de (…), solicitando, entre otras cuestiones, la suspensión del procedimiento selectivo hasta la resolución de la reclamación efectuada (documento 1). El secretario general de las Cortes de Castilla y León, miembro del Tribunal Calificador de dicho procedimiento selectivo, que era a su vez el letrado al que se había encomendado la representación de las Cortes de Castilla y León en un recurso interpuesto por A.A.A. ante la Sala ***JUZGADO.1 (procedimiento con número ***REFERENCIA.1), proporcionó a los miembros de dicho Tribunal Calificador el Auto ***AUTO.1 (documento 2) dictado por la Sala de lo Contencioso Administrativo dentro de dicho procedimiento judicial sin consentimiento de A.A.A. ni anonimización de sus datos personales (documento 3). El Tribunal Calificador utilizó el argumento jurídico del ***AUTO.1, para denegar la suspensión solicitada y remitió a A.A.A. resolución denegatoria mencionando tanto los argumentos jurídicos como el conocimiento del Auto judicial (documento 4). A.A.A. presentó el 6 de octubre de 2024 escrito dirigido al Delegado y al Responsable de Protección de Datos de las Cortes de Castilla y León (documento 5), por entender vulnerada la protección de sus datos personales al haber proporcionado el secretario general al Tribunal Calificador, el ***AUTO.1 dictado por la Sala de lo Contencioso Administrativo dentro del procedimiento judicial ***REFERENCIA.1 (petición recogida en el segundo párrafo del escrito dirigido al Delegado y al Responsable de Protección de Datos de las Cortes de Castilla y León). Añadir como dato para contextualizar el presente procedimiento de Protección de Datos personales que, la sentencia recaída en el precitado procedimiento de ***REFERENCIA.1 seguido ante la sala ***JUZGADO.1, ha resultado estimatoria para la reclamante, considerando vulnerados (…) y habiendo declarado nulos de pleno derecho los actos recurridos (documento 6). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/16 A fecha de presentación del presente escrito, no se ha recibido respuesta ninguna por el Delegado de Protección de Datos ni por ningún otro órgano de las Cortes de Castilla y León, más alláá́ de los alegatos realizados por la letrada de las Cortes de Castilla y León el 15 de julio de 2025 a la AEPD en el seno de la presente reclamación. Justifica la letrada, en su escrito de 15 de julio, la entrega de documentación judicial al Tribunal Calificador del proceso selectivo, en que el ***AUTO.1 de la Sala de lo contencioso Administrativo, por el que se deniega a A.A.A. la suspensión del proceso selectivo solicitada judicialmente como medida cautelar dentro del procedimiento ***REFERENCIA.1, contiene razonamientos jurídicos que podrían resultar válidos para la denegación de la medida cautelar solicitada también a dicho Tribunal Calificador. La letrado en su escrito de alegaciones añade como justificacióń, que A.A.A. menciona la existencia de tal procedimiento Contencioso Administrativo en la reclamación al Tribunal Calificador proporcionándole, además, el escrito de recurso presentado ante dicho órgano judicial. Lo cual, según la letrado, habilita al Tribunal a poder acceder a otros documentos del expediente judicial. Por último, argumenta la letrado de las Cortes de Castilla y León que, el ***AUTO.1 no contiene más datos personales que los que identifican a A.A.A., que han sido proporcionados al Tribunal Calificador por ella misma al realizar la reclamacióń. Las alegaciones en relación con los anteriores hechos y ante los argumentos proporcionados por la letrada de las Cortes de Castilla y León en su escrito de 15 de julio de 2025 son las siguientes: Los datos personales y los documentos proporcionados por A.A.A. al Tribunal Calificador del proceso selectivo son los relativos a su identidad personal que se hacen constar en la reclamación y los contenidos en el Recurso ante la Sala de lo contencioso Administrativo del Tribunal Superior de Justicia de Castilla y León para la defensa de sus derechos fundamentales (con número de expediente ***REFERENCIA.1) frente a la Convocatoria del proceso selectivo. La finalidad por la que A.A.A. proporcionó el Recurso que había presentado ante la Sala ***JUZGADO.1 (con número de expediente ***REFERENCIA.1) era, tal y como se expresaba en la reclamación al Tribunal Calificador, la de dar conocimiento de que se estaba solicitando la suspensión del proceso selectivo que también se había solicitado en la vía Contencioso Administrativa. Por lo tanto, los datos y documentos proporcionados por A.A.A. son evidentemente utilizables por el Tribunal Calificador en el contexto de la reclamación presentada ante él pero, al contrario, esto no le da derecho a utilizar otra documentación relativa al procedimiento judicial ***REFERENCIA.1 sin su consentimiento y sin la previa disociación de los datos de carácter personal. Tanto el Reglamento (UE) 679/2016 sobre el tratamiento de datos personales (artículos 5.1 y 6.1 entre otros) como la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales (artículo 28, entre otros) protegen que los datos personales proporcionados con una finalidad no sean utilizados para cualquier otra. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/16 La protección de los datos personales vulnerada, en esta ocasión, no son exclusivamente el nombre y dos apellidos de la reclamante, sino los relacionados en el ***AUTO.1 dictado dentro del procedimiento judicial ***REFERENCIA.1, que se desvelan a personas que no son interesadas en tal procedimiento (a los miembros del Tribunal Calificador). La vulneración de la protección de datos personales no reside en proporcionar a los miembros de un Tribunal Calificador los datos que identifican a la reclamante sino en proporcionarles documentos judiciales de la reclamante sin borrar sus datos. El mencionado ***AUTO.1 (documento 2) contiene, en su párrafo final, la siguiente leyenda: “la difusión del texto de esta resolución a partes no interesadas en el proceso en el que ha sido dictada solo podrá llevarse a cabo previa disociación de los datos de carácter personal que los mismos contuvieran y con un pleno respeto al derecho a la intimidad a los derechos de las personas que requieran un especial deber 4 de tutelar o a la garantía del anonimato de las víctimas o perjudicados cuando proceda.” El Tribunal Calificador no es parte interesada en el procedimiento seguido ante la Sala de lo Contencioso y no se han disociado los datos personales de la reclamante cuando se ha proporcionado al Tribunal Calificador. Si lo que se pretendía era que el Tribunal Calificador pudiera utilizar los argumentos jurídicos proporcionados por la Sala de lo contencioso Administrativo para denegar la suspensión solicitada, se podría perfectamente haberlos explicado verbalmente o por escrito o disociando los datos personales de A.A.A. del documento que contuviese tal razonamiento, y no proporcionando el expediente judicial completo y sin disociación ninguna. El Reglamento (UE) 679/2016 (Reglamento General de Protección de Datos) dispone en su Artículo 5.1.
- a)que “los datos personales serán tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)”, y en su apartado
- f)que serán “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)” y en ello incide la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales cuando en su artículo 5 titulado “Deber de confidencialidad” establece en su apartado 1 que “los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679 en consonancia con los deberes de secreto profesional de conformidad con su normativa aplicable”. En este sentido, el Estatuto de Personal de las Cortes de Castilla y Leó n (documento 7) regula en su artículo 64.
- d)Que “los funcionarios en situación de servicio activo estarán obligados a guardar estricta reserva respecto de los asuntos que conozcan por razón de su cargo.” Considerando en su artículo 66.4 como falta muy grave “la violación del secreto profesional”. Todas las citadas normas se han visto vulneradas en los hechos relativos a la presente reclamación al proporcionar el Secretario General al Tribunal Calificador de un proceso selectivo documentación judicial a la que tenía acceso por ser el letrado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/16 que ejercía la representación y defensa de las Cortes en tal procedimiento, que afectaba directamente a la reclamante por tratarse de un procedimiento seguido por ella ante la Sala ***JUZGADO.1 para la defensa de sus derechos fundamentales . Por otra parte, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales establece en su artículo 37.1. que “Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame. En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación.” La reclamante acudióá́ al Delegado y al Responsable de la Protección de Datos de las Cortes de Castilla y León el 25 de octubre de 2024, de forma previa a efectuar la reclamación ante la AEPD, y a fecha actual no ha recibido respuesta alguna. (…) II. ALEGACIONES EN RELACIÓN CON LA RECLAMACIÓN de Protección de Datos personales vulnerada por Las Cortes de Castilla y León ante la filtración a la prensa de un informe de carácter interno de la Junta de Personal en el que constan los datos personales e información sensible que afecta a la reclamante. (…) Las alegaciones ante los argumentos proporcionados por la letrada de las Cortes de Castilla y León en su escrito de 15 de julio de 2025 son las siguientes: La protección de los datos personales vulnerada, en esta ocasión, no son exclusivamente el nombre y dos apellidos de la reclamante, sino todos los hechos que se desvelan relacionados con la vida laboral de la reclamante y los juicios de valor emitidos por la Junta de Personal, asíá́ como con un asunto judicializado (…). (…) El desconocimiento de quien ha sido la persona que ha realizado tal filtración por parte del Delegado de Protección de datos que manifiesta la letrado de las Cortes en su escrito de alegaciones, no puede suponer la ausencia de responsabilidad en tal brecha en el tratamiento de datos tan sensibles y prolijos como los publicados y mucho menos implicar la absoluta falta de acciones, máxime cuando han sido objeto de reclamación por A.A.A.. (…) Hay que tener en cuenta, por otra parte, que tras dicha nota, no se ha vuelto a recibir más explicaciones o actuaciones ni por el Responsable ni por el Delegado de Protección de Datos de las Cortes de Castilla y León y que todo razonamiento recibido al respecto ha sido la nota de alegaciones realizada por la letrada de las Cortes de Castilla y León (no por el Delegado de Protección de Datos) a la AEPD, por la que la reclamante se ha enterado que el Delegado de protección de Datos no ha podido determinar quién es el responsable de la filtración del informe de la Junta de Personal”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/16 QUINTO: Otorgada audiencia a la parte reclamada, ésta ha presentado un escrito ante esta Agencia, con fecha 6/10/2025, indicando, por lo que al presente procedimiento interesa, que: “PRIMERA.- Alegaciones a las presentadas por A.A.A. en relación con su reclamación de Protección de Datos personales presentada por entregar al Tribunal Calificador del concurso para la provisión de (…) el ***AUTO.1, documento judicial dictado dentro del procedimiento judicial ***REFERENCIA.1, cuya existencia pone en conocimiento del Tribunal Calificador la propia reclamante. (…) - La reclamante señala que puso en conocimiento del Tribunal Calificador este procedimiento judicial y puso a su disposición el recurso que había presentado ante la Sala del TSJ de Castilla y León con la finalidad "de dar conocimiento de que se estaba solicitando la suspensión del proceso selectivo que también se había solicitado en la vía Contencioso Administrativa" y, por ello, dice que "los datos y documentos proporcionados por ella son evidentemente utilizables por el Tribunal Calificador en el contexto de la reclamación presentada ante él pero, al contrario, esto no le da derecho a utilizar otra documentación relativa al procedimiento judicial ***REFERENCIA.1 sin su consentimiento y sin la previa disociación de los datos de carácter personal." Ante esta alegación, tenemos que señalar, como ya dijimos en nuestro primer escrito, que es la propia recurrente la que desvela al Tribunal Calificador la existencia de un proceso que la atañe, mostrando al Tribunal, al poner a su disposición el recurso y decirlo en la reclamación presentada, que ha pedido la suspensión del procedimiento selectivo y quiere que el Tribunal Calificador decida sobre la suspensión del procedimiento selectivo teniendo en cuenta estos hechos. Por esta razón, nos preguntamos de nuevo ¿qué datos personales de la recurrente se están utilizando de manera ilícita por el Tribunal Calificador si ha sido la propia interesada la que ha facilitado todos esos datos personales salvo el fallo y el razonamiento sobre la suspensión del procedimiento selectivo, el ***AUTO.1, el cual no desvela ningún dato personal de la recurrente que ella ya no hubiese facilitado? No parece de recibo, evidentemente, que en la reclamación por la que la recurrente interesa al Tribunal Calificador que suspenda el procedimiento selectivo, estime que este solo puede utilizar los argumentos que ella desea que utilice y no otros recogidos también en ese mismo procedimiento, cuya existencia, con todos sus datos personales y con la información de que ha pedido la misma suspensión del proceso selectivo al TSJ que en esos momentos solicita al Tribunal Calificador, han sido desvelados por la propia interesada. Lo único claramente que no ha sido desvelado por la interesada al respecto, pero que no es un dato personal, es que la medida suspensión del procedimiento selectivo solicitada ante el TSJ de Castilla y León ha sido denegada y los razonamientos jurídicos por los que lo ha hecho, y que eso haya sido puesto en conocimiento del Tribunal Calificador por el representante de las Cortes de Castilla y León, al que se le está pidiendo por la recurrente que decida sobre la suspensión del procedimiento, no puede considerarse en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/16 ningún caso una vulneración del artículo 5.1 y 6.1 del Reglamento (UE) 679/2016, sobre el tratamiento de datos personales, ni del artículo 28 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales, porque se está utilizando precisamente para la finalidad solicitada por la interesada, esto es, adoptar una decisión basada en derecho de la medida cautelar de suspensión del procedimiento selectivo pedida por la reclamante. (…) SEGUNDA.- Alegaciones a las presentadas por A.A.A. en relación con su reclamación de Protección de Datos personales presentada por la difusión en la prensa de un informe de la Junta de Personal de las Cortes de Castilla y León en la que se contenían datos personales e información sensible de la reclamante, volvemos a reiterar las alegaciones que hemos hecho al respecto en nuestro primer escrito de alegaciones. Una vez producida la filtración de ese documento que remitió la Junta de Personal a la Secretaria General para su posterior remisión a la Mesa, que era el órgano peticionario del mismo, con la finalidad de conocer la situación (…) denunciado por la reclamante, las Cortes de Castilla y León, y, en concreto, su Delegado de Protección de Datos Personales, intentó con sus actuaciones determinar el origen de esa filtración a la prensa y si era debido a un fallo del sistema, y de sus actuaciones se deriva que era imposible determinar quién ha sido la persona responsable de la filtración del Informe de la Junta de Personal en donde aparecía el nombre e informaciones de la reclamante y que no ha sido debida a una negligencia de las Cortes de Castilla y León en el tratamiento de sus datos personales ni ha sido como consecuencia de la actuación de las Cortes de Castilla y León ni de ninguno de sus funcionarios en el ejercicio de sus funciones. Por ello, no se consideró, en ese momento, más allá de las actuaciones realizadas, que las Cortes de Castilla y León fueran las que tuvieran que proceder a impulsar la supresión de los datos aparecidos en los medios de comunicación por haber tenido estos acceso al citado Informe de un modo completamente ajeno al actuar de las Cortes de Castilla y León. Nos remitimos al informe y a las actuaciones facilitadas por el DPD de las Cortes de Castilla y León y que han sido comunicadas en dos ocasiones a la AEPD, la última de las veces el 29 de septiembre de 2025.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/16 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 24 de mayo de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/16 atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/16
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones". V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En el presente caso, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada: “I. Realice las actuaciones oportunas para la eliminación de los datos personales de la documentación a la que la abajo firmante ha solicitado acceder al Tribunal Calificador del Concurso para la provisión de (…) mediante escrito de 26 de octubre pasado, y para cuyo acceso se le ha citado (…).. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/16 II. Se me informe y aclare cómo se ha producido el acceso del Tribunal Calificador, al ***AUTO.1 de la Sala ***JUZGADO.1 relativo al procedimiento (...) ***REFERENCIA.1, con finalidad distinta a la propia de las actuaciones de dicho procedimiento, con qué base jurídica o legitimación se ha dado traslado de dicha documentación al Tribunal Calificador y, si dicho acceso vulnera la intimidad de la reclamante, así como si para dicho acceso se ha realizado el oportuno tratamiento del documento en el sentido de eliminar los datos personales que contiene.” “(…) que determine la persona responsable de la filtración a los medios de comunicación, sin anonimizar mi nombre, del informe de la Junta de Personal, y que impulse, a su vez, las actuaciones del órgano de gobierno de las Cortes de Castilla y León competentes para que elimine de los medios mis datos personales”. En este caso, por lo que al presente procedimiento interesa, respecto a la petición de eliminación de los datos personales de la parte reclamante, durante la instrucción del presente procedimiento, la parte reclamada ha manifestado que “Se valoró la posibilidad de anonimizar el documento para garantizar una mayor preservación de la intimidad de la reclamante, pero como el único dato que aparecía era el nombre y apellidos, que son de conocimiento de las partes implicadas, no fue preciso realizarla. Se entendía (y se sigue entendiendo a día de hoy) que el Tribunal, para poder adoptar una decisión motivada, debía conocer la información mínima al respecto. Y dado que la Sala ya se había pronunciado sobre una cuestión similar -la solicitud de suspensión del concurso en lo que se tramitaba el procedimiento- era positivo y necesario que el Tribunal accediera a una información que la propia reclamante había aludido y sobre la que había aportado información y documentos. Más si cabe, como puede comprobarse de la mera lectura del propio auto, la única referencia a datos personales de la reclamante eran su nombre y sus apellidos. Datos que, como es obvio, eran conocidos por todos los miembros del Tribunal Calificador. Se entiende, por tanto, que no ha habido transferencia de datos personales alguna y que existía una legitimación clara para aportar el documento". “Para finalizar este apartado, solo nos queda poner de manifiesto que la solicitud que realiza A.A.A. en este escrito de 6 de noviembre sobre que se realicen las actuaciones oportunas para la eliminación de los datos personales de la documentación a la que la reclamante ha solicitado acceder, no se refiere a sus propios datos personales, sino a los de la aspirante en el concurso ya que la documentación que solicita es la documentación acreditativa del cumplimiento de los requisitos establecidos en la convocatoria para la admisión de candidatos.” En cuanto a la petición de eliminación de sus datos, hay que tener en cuenta que los derechos reconocidos en la normativa de protección de datos son derechos personalísimos, debiendo ser ejercitados por la persona afectada, directamente o por medio de representante legal o voluntario frente al responsable del tratamiento. En este caso el responsable del tratamiento no es el reclamado, sino el medio de comunicación online o los buscadores de internet. Independientemente de la legitimación que pueda tener el medio de comunicación para tratar los datos de la parte reclamante, ésta puede dirigirse a los motores de búsqueda para que el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/16 periodístico que contiene sus datos personales no se haga visible por los buscadores en las búsquedas que se realicen por su nombre. Del examen de la documentación aportada, y por lo que al presente procedimiento interesa, no consta que se haya remitido a la parte reclamante contestación expresa atendiendo o denegando motivadamente la supresión solicitada, tal como establece el artículo 12.4 de la LOPDGDD: “La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. Así, no cabe aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 17 del RGPD e instar a CORTES DE CASTILLA Y LEÓN con NIF S4733001D, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a CORTES DE CASTILLA Y LEÓN. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/16 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es