PS-00009-2019

1/26  Procedimiento Nº: PS/00009/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 27/07/2018 interpuso reclamación ante la AEPD contra el SERVICIO MURCIANO DE SALUD (CONSEJERÍA DE SALUD) con NIF Q8050008E (en adelante, el reclamado). Los motivos en que basa la reclamación son que ha publicado un acuerdo de listas de admitidos/no admitidos en el seno de un proceso selectivo en el Servicio Murciano de Salud (SMS) de la Comunidad Autónoma de la Región de Murcia (CARM) en varias categorías cómo Celador/Subalterno, Auxiliar Administrativo, en acceso universal, conteniendo los datos de nombre y apellidos completo junto a categoría profesional y “discapacidad” si ese era el turno al que optaba. SEGUNDO: A la vista de los hechos denunciados en la reclamación se trasladó reclamada para que informara: a la 1. “Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. 3. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser informado sobre el curso y el resultado de la presente reclamación.” De la remisión de la petición de información se dio cuenta al reclamante. La reclamada recibe el envío el 2/10/2018, sin responder, reiterándose la petición electrónica el 6/11/2018, dando como resultado: “rechazo automático” por transcurrir diez días sin acceder a su contenido. TERCERO: Con fecha 13/06/2019, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR al SERVICIO MURCIANO DE SALUD (CONSEJERÍA DE SALUD), por la presunta infracción del artículo 5.1.

1. c)del RGPD, de conformidad con el artículo 83.5
2. a)del RGPD.” No se recibieron alegaciones. CUARTO: Con fecha 9/01/2020, se inicia el periodo de practica de pruebas, dando por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, además: 1. Se accede a la web de Servicio Murciano de Salud, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 -***WEB.1, apreciando que existen diversos apartados susceptibles de albergar listados con datos, relativos a bolsa de trabajo, oposiciones etc. -Se accede a bolsa de trabajo , “Diplomados sanitarios no especialistas, ATS/DUEconvocatoria ordinaria-listados publicados”, dirección ***URL.1, conteniéndose el literal “En esta resolución se han resuelto las solicitudes presentadas dentro del plazo de dos meses abierto por la Resolución de 23 de junio de 2014 (BORM 10.7.2014), y que finalizó el 10 de septiembre de 2014, por los aspirantes admitidos en la convocatoria de 2013 de las bolsas ordinarias. El plazo para recurrir en alzada es de un mes, y finaliza el 2 de marzo de 2015”. Se contiene:  Texto de la resolución, que firma el Director Gerente del Servicio Murciano de Salud el 21/01/2015, por la que se aprueba el listado definitivo de los aspirantes que figuran admitidos en las distintas bolsas de trabajo del citado organismo respecto de los plazos de presentación de solicitudes que finalizaron el 31/07 y el 31/10/2013, y han acreditado su condición de persona con discapacidad conforme a los dispuesto en la resolución del mismo órgano de 23/06/2014,  Anexo I. Relación definitiva de aspirantes que han acreditado su condición de persona con discapacidad. Se contienen el DNI integro y nombre y apellidos en 35 folios, tipo pdf, ordenados o clasificados por categorías de puestos, grupos u oficios Se incorporan al procedimiento con el nombre, bolsa trabajo 35 folios, pag 1 y pag 2 -En el mismo sentido figuran hasta la convocatoria de 2005. Se clica sobre 2005 y figuran datos de nombre y apellidos y DNIS completos, no hay datos de discapacitados, figura Bolsa de Celador / Subalterno (Convocatoria ordinaria) Listado definitivo de admitidos y excluidos a 31/10/2005, url ***URL.2, se guarda al expediente con el nombre listado 2005 404 folios . Lo mismo para los años 2006, 7, 8, 9, 10, 11, 12, 13, 14, 15, 17 y 18. Como ejemplo además en “personal servicios-celador-subalterno, convocatoria ordinaria bolsa vigente a 31/10/2016”, dirección ***URL.3.Hay un apartado de listados de datos de admitidos definitivos discapacitados, apareciendo en el listado la S en la letra D, figurando 12 folios en ***URL.4, guardado en expediente como 2016 12 folios. -también figura un listado con 3 folios con datos de personas con su DNI completo y nombre y apellidos dentro del turno de discapacitados, se incorpora como listado 2015, ***URL.5, Bolsa: ENFERMERÍA Convocatoria: ORD-31 DE OCTUBRE DE 2015, guardado en expediente con nombre : enfermería bolsa 2015. -En ***URL.6, listado Bolsa de A.T.S. / D.U.E. (Convocatoria ordinaria) Listado definitivo de puntuación a 31/10/2018 de siete folios, con DNI no completo, nombre y apellidos completo y una cruz en el apartado DIS en todos ellos, que podría ser de la condición de discapacitado y puntuación, identificado: como listado 2018. -En ***URL.7, identificado como listado 2017, lo mismo que en el punto anterior, 6 folios guardado como “listado 2017”. -En el apartado de OPOSICIONES, ***URL.8 -Adminitrativo_Libre.pdf, PRUEBAS SELECTIVAS PARA CUBRIR 18 PLAZAS DE LA CATEGORÍA DE TÉCNICO ESPECIALISTA NO SANITARIO/OPCIÓN ADMINISTRATIVO TURNO DE ACCESO LIBRE - OFERTA 20172018 y PEET LISTADO PROVISIONAL DE ADMITIDOS, Resolución de 7/11/2019) identificado como advo 2019, 64 folios pdf conteniendo DNI no completo, nombre y apellidos y en algunos el literal cupo discapacidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 2) Al reclamante que aporte las denominaciones de los procesos selectivos o bolsas de trabajo de que trate su reclamación, las fechas y categorías específicas de las convocatorias del proceso selectivo o los links en los que se contenían sus datos, y la página web en la que figuraban para además, verificar si continúan figurando. No se recibió respuesta. CUARTO: Con fecha 27/01/2020 se formuló propuesta de resolución, que fue notificada el 28/01/2020, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con APERCIBIMIENTO al SERVICIO MURCIANO DE SALUD (CONSEJERÍA DE SALUD), con NIF Q8050008E, por una infracción del Artículo 5.1.
3. c)del RGPD, conforme al artículo 83.5
4. a)del RGPD. Deberá informar de las medidas adoptadas para ajustarse a lo prevenido en esta propuesta.” Con fecha 12/02/2020 se reciben alegaciones en las que indica: 1) Expone las razones para que publicar el dato discapacidad junto a nombre, apellidos y DNI completo (uno de los motivos de este expediente), pueda y deba ser conocido por terceros. A su juicio, los principios de publicidad y transparencia derivados de la Constitución Española, articulo 103 “acceso a la función pública de acuerdo con principios de mérito y capacidad” y de Ley 55/2003 de 16/12, estatuto marco del personal estatutario de salud, prevén como criterio general de provisión el de publicidad en la selección, promoción y movilidad del personal de los servicios de salud. Su artículo 30.6 sobre personas con discapacidad dispone el cupo de reserva. Las bases de las convocatorias completan la normativa que rige el proceso selectivo y el conocimiento de la puntuación obtenida en los concursos-oposición, pues si alguno presentado por dicho cupo de discapacitado obtuviera una puntuación total sumada la de fase concurso y fase oposición que no le permita obtener plaza por dicho cupo y fuera superior a la obtenida por otros aspirantes del sistema de acceso general, será incluido por su orden de puntuación en el sistema de acceso general. Por otro lado, la Ley 39/2015, establece que los actos integrantes de un procedimiento selectivo o de concurrencia competitiva deben publicarse en el medio que se prevea en la convocatoria y normas concordantes. 2) La AEPD emitió el informe 178/2014 en el que considerando las garantías de transparencia de los procesos competitivos, se han de ponderar los intereses en conflicto para poder determinar cuál debe prevalecer, y en este caso debe prevalecer la publicidad y transparencia del proceso competitivo sobre el derecho de protección de datos. Existe además un interés público que subyace bajo los principios rectores del acceso y provisión de puestos de trabajo que hace que prevalezca la relevancia constitucional que justifica la limitación sobre el derecho. Los participantes deben ejercitar la opción de participar en un turno u otro y desde ese momento quedan fijadas las condiciones de participación en el proceso selectivo. Al haberse reservado un cierto número de puestos para discapacitados, estamos ante un único proceso selectivo y el resto de los participantes tendrá derecho a conocer quienes acceden al turno de personas con discapacidad y en su caso hacer valer sus derechos, pues esas plazas se acumulan al turno libre si quedaran desiertas. Indica que sobre los aspirantes concurre el principio de publicidad activa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 3) Añaden que es difícil asignar un ámbito reservado con, por ejemplo clave y contraseña de publicación de listas de admitidos y excluidos de las ofertas de empleo público, teniendo en cuenta que se contienen un número de solicitantes muy extenso, como por ejemplo en la última convocatoria en la que participaron unos 98 mil interesados. No existen otras medidas menos gravosas que puedan ser igualmente aptas para conseguir el fin pretendido. 4) Manifiestan que han retirado los listados que aparecían expuestos cuya finalidad fue cumplida, los de los años 2005 a 2008. Sobre la referencia la convocatoria de la Oferta de empleo de 2014, 15 y 16, se sigue el proceso de tramitación pues las plazas provenientes de esos años fueron convocadas a lo largo de 2017,18 y hay procesos que no han finalizado a día de hoy. Ese es el motivo por el que figuran expuestos íntegramente los DNIs, al ser anteriores a la nueva LOPDDGG. En las convocatorias de 2019 no se publican actos de tramite con el doble dato: DNI completo/nombre y apellidos, indica un enlace en el que se acredita. En las listas de bolsas de trabajo se han retirado las anteriores a la convocatoria de 2018, añaden un enlace como modo de acreditación. 5) Se ha publicado el decreto 293/2019 de 5/12 sobre obligatoriedad de relacionarse a través de medios electrónicos a participantes en procesos selectivos BORM 12/12/2019, que afectará a las notificaciones electrónicas. 6) Señala en su descargo que coincidiendo con el tiempo anterior a la entrada en vigor de dicha LOPDGDD, la Agencia Estatal de Administración Tributaria también publicó listados de ofertas de empleo público en los que se contienen publicadas relaciones de aspirantes admitidos y excluidos al proceso selectivo convocado, cuyos participantes confluían en el cupo especial de discapacidad al que van asociados nombre y apellidos, DNI. Aporta documentos 8 a 10. En la copia, se puede ver publicada la resolución de admitidos de la AEAT con DNI integro, nombre y apellidos, todos ellos del cupo discapacitados. 7) Como conclusión finaliza indicando que los datos del reclamante se expusieron con el contenido puesto de manifiesto cuando aún no se había publicado la LOPDGDD ni el Decreto 293/2019 de 5/12 por lo que no se puede apreciar infracción. SÉPTIMO: Se incorpora el informe del Gabinete Jurídico 178/2014, con el literal: “La consulta plantea diversas cuestiones relacionadas con la interacción entre lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, y la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la infor mación pública y buen gobierno. I En primer lugar, en lo referente a las normas reguladoras de la publicidad activa de las Administraciones Públicas, la consultante plantea el modo en que la información debería hacerse pública, refiriéndose a si dicha publicidad debería llevarse a cabo a través de “tablo nes de anuncios y en abierto en Internet”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 En este punto, el artículo 5.4 de la Ley 19/2013, en su párrafo primero señala claramente que “la información sujeta a las obligaciones de transparencia será publicada en las correspondientes sedes electrónicas o páginas web y de una manera clara, estructurada y entendible para los interesados y, preferiblemente, en formatos reutilizables. Se establecerán los mecanismos adecuados para facilitar la accesibilidad, la interoperabilidad, la calidad y la reutilización de la información publicada así como su identificación y localización”. Añade el artículo 5.5 que “toda la información será comprensible, de acceso fácil y gratuito y estará a disposición de las personas con discapacidad en una modalidad suministrada por medios o en formatos adecuados de manera que resulten accesibles y comprensibles, conforme al principio de accesibilidad universal y diseño para todos”. De este modo, la Ley 19/2013 no sólo legitima la cesión de los datos derivada de la aplicación de los principios de publicidad activa, en conexión con el artículo 11.2
5. a)de la Ley Orgánica 15/1999, sino que igualmente establece los criterios que deben regir esa publicidad que serán esencialmente electrónicos y tendentes a la consecución de la máxima difusión de la información. Dicho esto, la consulta se refiere en particular al supuesto de publicidad activa relacionada con el otorgamiento de subvenciones públicas, teniendo en cuenta que el artículo 8.1
6. c)de la Ley 19/2013 ordena la publicación de la “información relativa a los actos de gestión administrativa con repercusión económica o presupuestaria”, entre los que se encontrarán “las subvenciones ayudas públicas concedidas con indicación de su importe, objetivo o finalidad y beneficiarios”. En particular, se plantea si procedería la publicación de los datos de los beneficiarios en caso de ayudas a personas con discapacidad, aunque sea sin espe cificar el tipo de discapacidad de que se trate. En relación con este punto resulta relevante indicar que el artículo 4.1 de la Ley Orgánica 15/1999 dispone que “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. De este modo, la aplicación de este principio al ámbito de la Ley 19/2013 debe interpretarse en el sentido de que la publicación deberá encon trarse sometida al adecuado cumplimiento de esta regla de proporcionalidad. La propia Ley 19/2013 se pronuncia en este sentido, al determinar en su artículo 5.3 que “serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15”, señalando expresamente que “a este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos”. Pues bien, como es sabido, los datos relacionados con la salud de las personas aparecen recogidos entre las categorías de datos especialmente protegidos contenidas en el artículo 7 de la Ley Orgánica 15/1999, concretamente en su apartado tercero, que limita los supuestos de cesión de los datos a aquellos casos en que se cuente con el consentimiento expreso del interesado o la cesión se encuentre amparada por una norma con rango de Ley. A su vez, el artículo 5.1 del Reglamento de desarrollo de la Ley Orgánica 15/1999 define en su apartado
7. g)los datos relacionados con la salud, indicando que tienen tal naturaleza “las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un indivi C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 duo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética”. De este modo, siendo el dato de discapacidad inequívocamente un dato especialmente protegido relacionado con la salud no cabe duda de que será de aplicación al mismo la re gla específica contenida en el último inciso del artículo 5.3 de la Ley 19/2013, por lo que en el caso planteado en la consulta debería procederse a la disociación de los datos de carácter personal relacionados con las subvenciones otorgadas, de forma que no fuera identificable el beneficiario. Debe en este punto recalcarse que el carácter de especialmente protegido no es predicable del tipo de discapacidad, sino de la mera existencia de la misma, lo que afecta expresamente a esta obligación de disociación en todo caso. II A continuación, la consulta plantea diversos supuestos en los que se solicita la opinión de esta Agencia en relación con el acceso a determinados datos contenidos en expedientes administrativos ya no sobre la base del principio de publicidad activa sino sobre la del derecho de acceso a la información pública. En estos casos, dado que ninguno de ellos parece incluir datos especialmente protegidos, debería tomarse en consideración lo dispuesto en el artículo 15.3 de la Ley 19/2013, según el cual “cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal”. En cuanto a los criterios de pondera ción, el precepto establece como tales “el menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español”, “la justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos”, “el menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carác ter meramente identificativo de aquéllos” y “la mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad”. Puesto que, en principio, ninguno de los casos planteados puede resolverse a la mera luz de los criterios citados por la Ley 19/2013 debería plantearse si existirían en los supuestos planteados otros criterios a tomar en consideración para determinar la procedencia o im procedencia del otorgamiento del acceso, siendo así que dichos criterios de ponderación podrían incluso traer su causa de otras leyes. Pues bien, en relación con los supuestos planteados cabe indicar que en relación a varios de ellos esta Agencia ya se ha pronunciado, incluso con anterioridad a la aprobación de la Ley 19/2013 acerca de la procedencia o improcedencia de las cesiones planteadas, con arreglo a los criterios contenidos en la Ley Orgánica 15/1999, pudiendo asimismo considerarse esos criterios aplicables a la luz de las disposiciones de la nueva Ley. III Así, en relación con los procesos de concurrencia competitiva, y aun no siendo similar al supuesto ahora planteado, podría tenerse en cuenta la doctrina de la Audiencia Nacional C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 en relación con las cesiones de datos de las calificaciones otorgadas en el marco de proce sos selectivos, en que el tribunal ha considerado que el principio de publicidad y transparencia se torna en esencial, como garantizador del principio de igualdad. Así, la Audiencia Nacional ha ponderado el principio de publicidad con la protección de datos de carácter personal, llegando a la conclusión que durante la tramitación del proceso selectivo ha de prevalecer el primero en la sentencia de 26 de abril de 2012 de la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, que cita a su vez la recaí da en el recurso 215/2010, señaló lo siguiente: “Por lo tanto, una de las excepciones a la exigencia de consentimiento para el tratamiento de datos es el de la colisión con intereses generales ó con otros derechos de superior valor que hagan decaer la protección de datos por la preferencia que deba concederse a ese otro interés. En el caso presente, al tratarse de un procedimiento de concurrencia competitiva debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los princi pios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que "La Ley regulará el estatuto de los funcionarios públicos, el acceso a la función pública de acuerdo con los principios de mérito y capacidad ..." (todo ello en relación con lo previsto en el artí culo 23 C.E . al que nos referiremos más adelante. Obviamente, las garantías que exige el tratamiento de datos personales no puede servir para empañar ó anular estas exigencias generales que obligan a que los procesos se conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La superiori dad de estos otros valores aconseja que en este caso se entienda que no era exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente en su comunicación por el sindicato ahora recurrente. Desde este punto de vista, debemos concluir que no es exigible el consentimiento de aque llas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exi gencia de los demás participantes para asegurar la limpieza e imparcialidad del procedi miento en el que concurren. (...) Es cierto que la Ley Orgánica 15/1999 no recoge expresamente exenciones o excepciones al régimen de tratamiento de datos personales en ella contenida con fundamento en las garantías de transparencia de los procesos competitivos por lo que será preciso ponderar los intereses en conflicto para poder determinar cuál de ellos debe prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos.” Aplicando esta doctrina al supuesto planteado, relacionado con el acceso por un estudiante al expediente académico de otro, a fin de conocer sus calificaciones en relación con las matrículas de honor concedidas, sería preciso conocer si, a la luz de la Ley 30/1992, el solicitante puede ser calificado como interesado; es decir, si del contenido del citado expediente puede deducirse a su favor un determinado beneficio o perjuicio, lo que dependerá de las circunstancias relacionadas con el supuesto concreto o las deducciones que sobre las tasas universitarias deban realizarse en caso de haber obtenido las calificaciones planteadas. En todo caso, el acceso debería realizarse a los datos respecto de los que pueda predicarse la citada condición de interesado; es decir, respecto de los que el solicitante se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 encontrase en una situación de concurrencia competitiva respecto del afectado al que se refirieran los datos. “ El resto de los puntos, IV sobre acceso a datos relacionados con productividad de compañeros, l V acceso a datos de electores en un proceso electoral, VI acceso de padres a datos de expedientes académicos, por no guardar relación con el asunto no se mencionan. No obstante, se reproduce íntegramente el fundamento de derecho segundo a cuarto de la citada sentencia de 26/04/2012 recurso 225/2010: “SEGUNDO: Esta sala se ha pronunciado en el recurso 215/2010 en relación a estos hechos con ocasión de la sanción impuesta al sindicato que supuestamente filtró la información relativa al resultado de la oposición y en relación al que la Agencia consideró que se había cometido una infracción relativa al tratamiento de datos sin consentimiento. Entendió la sala en dicha sentencia que nos encontrábamos ante un supuesto en el que no era exigible el consentimiento para el tratamiento de los datos personales sobre la base del siguiente razonamiento: <<Por lo tanto, una de las excepciones a la exigencia de consentimiento para el tratamiento de datos es el de la colisión con intereses generales ó con otros derechos de superior valor que hagan decaer la protección de datos por la preferencia que deba concederse a ese otro interés. En el caso presente, al tratarse de un procedimiento de concurrencia competitiva debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que “La Ley regulará el estatuto de los funcionarios públicos, el acceso a la función pública de acuerdo con los principios de mérito y capacidad …” (todo ello en relación con lo previsto en el artículo 23 C.E. al que nos referiremos más adelante) Obviamente, las garantías que exige el tratamiento de datos personales no puede servir para empañar ó anular estas exigencias generales que obligan a que los procesos se conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La superioridad de estos otros valores aconseja que en este caso se entienda que no era exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente en su comunicación por el sindicato ahora recurrente. Desde este punto de vista, debemos concluir que no es exigible el consentimiento de aquellas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exigencia de los demás participantes para asegurar la limpieza e imparcialidad del procedimiento en el que concurren. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 Es cierto que la Ley Orgánica 15/1999 no recoge expresamente exenciones o excepciones al régimen de tratamiento de datos personales en ella contenida con fundamento en las garantías de transparencia de los procesos competitivos por lo que será preciso ponderar los intereses en conflicto para poder determinar cual de ellos debe prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos. (No es infrecuente que esta Sala debe realizar este tipo de ponderaciones ó valoraciones; basta remitirse a la sentencia del recurso 331/205; DF 2/2010 o 862/2009). Por lo tanto, será procedente la estimación del recuso y la anulación de la resolución recurrida sobre la base de la prevalencia del interés general tomando en consideración que, como es natural, solo se amparará dicho uso dentro de los fines relativos al mismo procedimiento de concurrencia competitiva en aplicación de los límites que señala el artículo 4 de la LOPD (…)>> Si el tratamiento de datos en cuestión (el que realizó el Sindicato al permitir la publicidad de las calificaciones de uno de los ejercicios del proceso selectivo) se ha considerado conforme a las exigencias de la LOPD, resulta evidente que no puede exigirse el cumplimiento de medidas de seguridad en relación a datos cuya divulgación se ha declarado como legitima por no estar vinculada a las garantías de la protección de datos personales. La prelación de derechos a la que se hizo mención en el razonamiento jurídico de la sentencia dictada en el recurso 215/2010 obliga a entender que no son aplicables las medidas de seguridad que pretende la resolución recurrida y que habrían evitado la divulgación que, ya en esa sentencia, se afirmaba que no era contraria a la LOPD. TERCERO: En el caso presente la Agencia considera que JUNTA DE EXTREMADURA ha infringido lo que señala el artículo 44.3.
8. h)de la LOPD que considera infracción grave mantener los ficheros que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. Debemos compartir el criterio expuesto por la entidad recurrente: la divulgación producida no tienen ninguna relación con la custodia de los ficheros relativos a la oposición en cuestión; se trata, sencillamente, de que alguna persona relacionada con un determinado sindicato ha tomado notas mientras que se producía la deliberación del órgano correspondiente y ha procedido a dar publicidad a esas notas de modo completamente ajeno al órgano de selección y a la administración pública convocante de las pruebas en cuestión. Como ya hemos señalado, si en la sentencia citada más arriba (recurso 215/2010) llegábamos a la conclusión de la prevalencia del interés general (publicidad y transparencia en los procesos selectivos) sobre el derecho a la protección de datos; ese mismo argumento debería ser útil para entender que no se ha producido infracción alguna por el hecho de que se divulguen las calificaciones ya que no sería exigible la implantación de medidas de seguridad para evitar dicha divulgación que hemos considerado conforme con el ordenamiento jurídico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 CUARTO: La infracción que se imputa a la recurrente es la relativa a la omisión de medidas de seguridad; esta Sala se ha pronunciado en diversas ocasiones entendiendo que se trata de una infracción de resultado y que no basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca la normativa especifica precepto. Y, por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva por esta razón (Rec. 352/2009) de nada sirve que se aprueben unas instrucciones detalladas sobre el modo de proceder si después estas no se llevan a la práctica de modo efectivo. Esta Sala ha señalado en múltiples sentencias (como las que cita la resolución de la Agencia), entre otras la 28 de junio de 2006, que la obligación de implantar medidas de seguridad no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, en concreto recoge "Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva y como manifiesta el Abogado del Estado en la contestación, la recurrente es, por disposición legal, una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de como los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor. En definitiva toda responsable de un fichero (o encargada del tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica sin que, bajo ningún concepto, datos bancarios o cualquier otro datos de carácter personal pueda llegar a manos de terceras personas." Esta exigencia de resultado no debe interpretarse de modo maximalista (tal como pretende la resolución impugnada) sino acomodado a la realidad de cada caso y las concretas circunstancias detalladas en el relato de hechos incorporado a esta sentencia nos permite afirmar, como se hizo en la sentencia correspondiente al recurso 82/209 que la propia conducta activa de aquella persona del sindicato que llevo a efecto la divulgación, hizo ineficaces las barreras de seguridad implantadas por recurrente y justifica que se deje sin efecto la sanción frente a la que se recurre y ello pues no se ha acreditado que hubiera omisión de medidas para impedir la divulgación de los datos de los participantes en el proceso selectivo. A juicio de esta sala no se puede compartir el criterio del Abogado del Estado que considera que era responsabilidad de la Comunidad Autónoma convocante impedir que se tomen datos y ello pues es evidente que la mayor transparencia, a la que alude el propio Abogado del Estado en su contestación, haría inadmisible limitaciones como la que se pretende mientras que no aparezcan así amparadas en los términos literales de la convocatoria. Por último debe tomarse en consideración que la confirmación del criterio expuesto por la resolución objeto de recurso haría responsable a la Junta de Extremadura de la conducta personal de un miembro ó representante del sindicato que fue el responsable de la divulgación producida.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 HECHOS PROBADOS 1) El reclamante reclama contra el SERVICIO MURCIANO DE SALUD (CONSEJERÍA DE SALUD) porque ha publicado un acuerdo de listas de admitidos/no admitidos en el seno de un proceso selectivo en el Servicio Murciano de Salud (SMS) en varias categorías cómo Celador/Subalterno, Auxiliar Administrativo publicándose en acceso universal, revelando los datos de nombre y apellidos completos y “discapacidad” si ese era el turno al que optaba. No concretaba a que procedimiento se refería. 2) En el periodo de practica de pruebas, se accedió a la web de Servicio Murciano de Salud, www.murciasalud.es, figurando diversos apartados susceptibles de albergar listados con datos de carácter personal, relativos a bolsa de trabajo y oposiciones. -Se accede el 9/01/2020 a bolsa de trabajo: “Diplomados sanitarios no especialistas, ATS/DUEconvocatoria ordinaria-listados publicados”, dirección ***URL.1, conteniéndose En ***URL.1, Anexo I. Relación definitiva de aspirantes que han acreditado su condición de persona con discapacidad. Se contienen el DNI integro y nombre y apellidos en 35 folios, tipo pdf, ordenados o clasificados por categorías de puestos, grupos u oficios Se incorporan al procedimiento con el nombre, bolsa trabajo 35 folios, pag 1 y pag 2 que es la que tiene los datos personales -En el mismo sentido figuran hasta la convocatoria de 2005. Se clica sobre 2005 y figuran datos de nombre y apellidos y DNIS completos, no hay datos de discapacitados, figura Bolsa de Celador / Subalterno (Convocatoria ordinaria) Listado definitivo de admitidos y excluidos a 31/10/2005, url ***URL.2, se guarda al expediente con el nombre listado 2005 404 folios . Lo mismo para los años 2006, 7, 8, 9, 10, 11, 12, 13, 14, 15, 17 y 18. Como ejemplo además en “personal servicios-celador-subalterno, convocatoria ordinaria bolsa vigente a 31/10/2016, dirección ***URL.3. Hay un apartado de listados de datos de admitidos definitivos discapacitados, apareciendo en el listado la S en la letra D, figurando 12 folios en ***URL.4, guardado en expediente como 2016 12 folios. -también figura un listado con 3 folios con datos de personas con su DNI completo y nombre y apellidos dentro del turno de discapacitados, se incorpora como listado 2015, ***URL.5, Bolsa: ENFERMERÍA Convocatoria: ORD-31 DE OCTUBRE DE 2015, guardado en expediente con nombre : enfermería bolsa 2015. -En ***URL.6, listado Bolsa de A.T.S. / D.U.E. (Convocatoria ordinaria) Listado definitivo de puntuación a 31/10/2018 de siete folios, con DNI no completo, nombre y apellidos completo y una cruz en el apartado DIS en todos ellos, que podría ser de la condición de discapacitado y puntuación, identificado: como listado 2018. -En ***URL.7, identificado como listado 2017, lo mismo que en el punto anterior, guardado como “listado 2017”. -en el apartado de OPOSICIONES, ***URL.8 -Adminitrativo_Libre.pdf, PRUEBAS SELECTIVAS PARA CUBRIR 18 PLAZAS DE LA CATEGORÍA DE TÉCNICO ESPECIALISTA NO SANITARIO/OPCIÓN ADMINISTRATIVO TURNO DE ACCESO LIBRE - OFERTA 2017C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 2018 y PEET LISTADO PROVISIONAL DE ADMITIDOS, Resolución de 7/11/2019 identificado como advo 2019, 64 folios pdf conteniendo DNI no completo, nombre y apellidos y en algunos el literal “cupo discapacidad.” En alegaciones a la propuesta, la reclamada manifiesta que ha excluido de internet los listados de procesos que han finalizado, y que han aprobado una normativa que regula la relación electrónica en los procesos selectivos de los participantes, lo que incidirá en la publicación de listados de los procesos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Referidos a los siguientes datos que se contemplaban en hechos probados: 1) En ***URL.1, Anexo I. Relación definitiva de aspirantes que han acreditado su condición de persona con discapacidad. Se contienen el DNI integro y nombre y apellidos en 35 folios, tipo pdf, ordenados o clasificados por categorías de puestos, grupos u oficios Se incorporan al procedimiento con el nombre, bolsa trabajo 35 folios, pag 1 y pag 2, que es la que tiene los datos personales ANEXO I (Res 21/01/2015) LISTADOS DEFINITIVOS DE ASPIRANTES ADMITIDOS EN DIFERENTES BOLSAS DE TRABAJO ORDINARIAS DEL SERVICIO MURCIANO DE SALUD QUE HAN ACREDITADO SU CONDICIÓN DE PERSONA CON DISCAPACIDAD DENTRO DEL PLAZO ABIERTO POR RESOLUCIÓN DE 23 DE JUNIO DE 2014. No figuran puntuaciones por cada participante. 2) Listado con 3 folios con datos de personas con su DNI completo y nombre y apellidos dentro del turno de discapacitados, se incorpora como listado 2015, ***URL.5, Bolsa: ENFERMERÍA Convocatoria: ORD-31 DE OCTUBRE DE 2015, guardado en expediente con nombre : enfermería bolsa 2015. Puntos totales y numero de orden figuran en el listado 3) En ***URL.6, listado Bolsa de A.T.S. / D.U.E. (Convocatoria ordinaria) Listado definitivo de puntuación a 31/10/2018 de 7 folios, con DNI no completo, nombre y apellidos completo y una cruz en el apartado DIS en todos ellos, que podría ser de la condición de discapacitado y puntuación, identificado: como listado 2018. 4) en el apartado de OPOSICIONES, ***URL.8, PRUEBAS SELECTIVAS PARA CUBRIR 18 PLAZAS DE LA CATEGORÍA DE TÉCNICO ESPECIALISTA NO SANITARIO/OPCIÓN ADMINISTRATIVO TURNO DE ACCESO LIBRE - OFERTA 2017-2018 y PEET LISTADO PROVISIONAL DE ADMITIDOS, Resolución de 7/11/2019 identificado como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 advo 2019, 64 folios pdf conteniendo DNI no completo, nombre y apellidos y en algunos el literal “cupo discapacidad.” No aparecen puntuaciones Los hechos consistentes en la exposición y publicación de todos los datos conjuntos, DNI, nombre y apellidos, y dato de discapacidad, o de datos de nombre y apellidos y discapacitado en listados de “provisionales admitidos”, entendiendo este un trámite ya cumplido y superado por el listado definitivo, o en bolsas de empleo de 2015 en la web de la reclamada, con acceso para cualquier persona suponen una infracción del artículo 5.1.
9. c)del RGPD que dispone: “Los datos personales serán:
10. b)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Este principio no es nuevo, pues en la LOPD se contenía con redacción similar señalando: Artículo 4.1: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En los procedimientos selectivos, los principios de publicidad y transparencia son esenciales. La norma refiere la publicidad sobre procedimientos y desarrollo de los ejercicios. Publicidad quiere decir, en primer lugar, la de la convocatoria, que se publique en el BOE, Diario Oficial o sede electrónica que corresponda, para conocimiento general y acceso público a su contenido y bases. En cuanto al objeto de la materia propiamente denunciada, una vez publicada la convocatoria y recibidas las solicitudes de participación en la misma, comenzaría el proceso de concurrencia competitiva, que como dice la palabra, debe predicarse de y para todos los integrantes del grupo que aspiran a superar las pruebas convocadas, que compiten en méritos y en capacidad unos contra otros. En el desarrollo de ese proceso, cualquier participante podría acceder a datos relacionados con el proceso con el objeto de por ejemplo impugnar cualquier aspecto. En la convocatoria y en las bases no se refleja en detalle del contenido concreto de lo que se va a exponer en la web en cuanto a los listados de admitidos, excluidos etc., si va a ser solo el NIF, este con el nombre y apellidos etc., o si se producirá la publicación solo para los afectados, ya que solo se indica que se va a publicar. En este sentido, en primer lugar, el tratamiento de datos se ha de realizar si no hay otra vía posible, si la finalidad no se puede obtener por otro medio, en segundo lugar, hay que valorar si dicho tratamiento necesita ser conocido por terceros no participantes en el proceso o no es necesario ese conocimiento por personas que no son interesados en el proceso. Además, se debe tener en cuenta que se trata en todos los casos de listados de admitidos, con puntos o sin ellos, o de listados provisionales. Al menos en dos de los casos además concurre que son datos que supuestamente ya han cumplido su finalidad, por lo que la supresión de los mismos para que no deban ser visualizadas habría de haberse cumplido hace tiempo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 El principio básico con el nuevo RGPD además señala que a la hora de tratar los datos, siempre se ha de optar por los datos mínimos necesarios para alcanzar su fin, y para el grupo de afectados. Teniendo en cuenta que una vez publicada la convocatoria y las bases, los trámites siguientes van a afectar a un círculo específico, determinado y cualificado que son los solicitantes, siendo actos de gestión, la exposición de datos dentro y para los integrantes de dicho círculo sería adecuada, proporcionada y concorde con su finalidad, pero deviene en desproporcionado, no adecuada para la finalidad, cuando dichos datos, que no hay que olvidar son el de nombre y apellidos, dni completo y el adjetivo de discapacitado resultan visibles para todo el mundo, pues no es necesario para la finalidad de publicidad y transparencia de los participantes que no participantes los conozcan. Si bien los datos se obtienen de acuerdo con lo previsto en la convocatoria, para la gestión del proceso, entre los que resulta aplicable el principio de transparencia y el derecho para sus participantes de acceso a los méritos alegados, hay que valorar que la convocatoria aunque no señale la forma y manera en que se publicaran los datos, tendrían en todo caso a afectar solo a los participantes en el proceso y publicarse, excepcionalmente en abierto, los menos datos posibles y necesarios. . En tal sentido, no porque la convocatoria establezca la publicación en tablones o web, se autoriza a cualquier extensión de exposición de datos y en cualquier condición de acceso generalizado. Además, las expectativas de los participantes en el proceso es confiar en la transparencia entre los mismos que participan, exponer datos a terceros no participantes puede quebrar expectativas razonables de los que concurren La exposición de los datos objeto de la denuncia se inicia en junio 2018 y a partir de esa fecha durante el transcurso del proceso no se tuvo noticia de la fecha acreditada en que los listados se quitan de la web y de los espacios físicos, pudiendo permanecer la infracción durante todo ese periodo. Por otro lado, aunque los datos expuestos por la reclamada fueran anteriores a la entrada en vigor de la LOPDDGG que introduce un especifico régimen de publicación de anuncios en diarios oficiales, lo cierto es que han permanecido bajo la vigencia de los principios del RGPD, que ya existían con la LOPD. En todo caso, sería ajustado a la normativa que la exposición se produjera en el limitado ámbito de los afectados, no existiendo interesados fuera de dicho circulo. La ley no prevé expresamente la exposición de datos discapacidad, DNI completo y nombre y apellidos en abierto para cualquier persona que queda plenamente identificada, siendo además un dato de salud, consiguiendo poner en conocimiento de terceros que no participan en el proceso, un dato sensible de salud en un formato electrónico que se puede no solo visualizar, sino conservar y guardar. La exposición exclusiva del dato cupo discapacidad con el DNI podría ser más acorde con la finalidad en el tratamiento sea de admitidos, por no identificar directamente a la persona sea en casos de bolsas de empleo o procesos selectivos, circunstancia que no se da en ninguno de los 4 listados que aparecen en el encabezamiento de fundamentos de derecho I. III En cuanto a la sentencia de la Audiencia Nacional aludida en el informe (Sala de lo Contencioso-Administrativo, Sección 1ª) de 26/04/2012 que trata: antecedente de hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 primero: “Con fecha de 15/09/2008 se formula denuncia por Pablo sobre la base de que el Tribunal Calificador de las Pruebas Selectivas para Educadores Sociales del Grupo II de Personal Laboral, publicada en ORDEN 22-12-2006 convocadas por la Consejería de Presidencia de la Junta de Extremadura ha facilitado a la FSP-UGT los datos personales con las notas (del segundo ejercicio) de los opositores (tanto de los aprobados como de los suspendidos). La FSP-UGT utiliza dichos datos para informar telefónicamente a los opositores acerca de la nota obtenida, facilitándola a quien lo solicite, con solo dar el nombre de la persona”, reproduciéndose por considerarlo de interés el fundamento jurídico segundo que indica: El supuesto analizado es distinto, pue se trata de listados de trámite de cara a efectuar las pruebas, que contienen exceso de datos, no adecuados para el fin, y que son ex puestos en web en abierto para cualquier persona, siendo además datos de salud, pudiéndose si se decidiese publicar dichos datos, hacerlo con otro contenido y otras variantes La sentencia comentada indica que “ no es exigible el consentimiento de aquellas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exigencia de los demás participantes para asegurar la limpieza e imparcialidad del procedimiento en el que concurren. (...) lo que se está salvaguardando es para un círculo bien predefinido de participantes, los afectados por esas cuestiones, por lo que no cualquier forma de publicar los datos como ha sucedido en esta reclamación puede darse por adecuada a los principios de la regulación del principio de minimización de datos. No resulta de interés público conocer los listados en los que no hay puntuaciones, sino solo una relación de admitidos sea provisional o definitiva y si hay puntuaciones, se deben adecuar el tipo de datos que se van a exoner. Se observa como la exposición de los actos tramite como puntuaciones definitivas o provisionales de procedimientos de bolsa de empleo del año 2015, habrían cumplido su finaliad, por lo que se pueden cancelar los mismos. Ademas, se contenían datos excesivos, no adecuados para su finalidad desde el momento en que se identificaban dni completo, nombre y apellidos y dato de discapacidad, circunstancia que ya se contemplaba en la anterior LOPD y en el nuevo RGPD se concreta en el principio del artículo 5.1.
11. c)del RGPD que aquí se imputa. Se debe indicar que el consentimiento no juega una baza decisiva en el tratamiento de datos cuando es la administración pública, la que actúa en la gestión de intereses generales, como esta de gestión de procesos selectivos. A mayor abundamiento, el propio RGPD pone de manifiesto que el consentimiento del afectado no debe constituir la base legal del tratamiento en determinados supuestos. Así, el considerando 42 señala en su última frase que “El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno” y el considerando 43 añade que “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular”. Ello porque las notas del consentimiento difícilmente se van a dar en una relación en la que no existe paridad de poder, sino que las potestades de la AdminisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 tración son superiores a las del administrado, y no se reunirían las notas del consentimiento que se define el ar artículo 4 del RGPD: «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; En este caso concreto, no se explican las consecuencias de la no prestación del consentimiento, sobre todo las consecuencias negativas significativas para los interesados Tampoco se detallan los elementos de especificad e informado que ha de tener el consentimiento pues solo se indica que se publicaran actos, sin referencia a los datos en cuanto a los que han de publicarse y su alcance, no han de ser excesivos o no necesarios o desproporcionados para la finalidad, no el tipo de consulta que se podría hacer, si a nivel de participantes o en un ámbito universal de acceso, que en este caso, tiene que ver con los interesados en cuanto se trata de listados de admitidos o excluidos, no de las calificaciones definitivas lo que se analiza. Así pues, la base legitima del tratamiento de las calificaciones no sería el consentimiento. En cuanto a la transparencia, tiene sus límites y uno de ellos es la de los datos especialmente protegidos, y el dato discapacidad es considerado como tal un dato de salud, al que se refiere la misma Ley 19/2013 señalando que se aplicarían los límites de la normativa de protección de datos en cuanto al acceso a los mismos. En todo caso no hay que perder de vista el principio básico, que es que el acto con sus datos, alcance su objetivo sin desnaturalizar su naturaleza/finalidad, y sin que suponga sacrificios de derechos con los que pueda concurrir de forma no justificada. Teniendo en cuenta que dichos datos de personas sobre los que se predica que son. DISCAPACITADOS, con su NOMBRE YAPELLIDO COMPLETO Y DNI COMPLETO es un extra que no solo no se aviene con lo previsto en el RGPD y la LOPDGDD, ni con la previa LOPD, resulta que dichos tratamientos no se adecuarían al principio de calidad del tratamiento que establecía el artículo 4.1, que señalaba: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.”, que se puede entender hoy día en el artículo 5.1.c imputado como: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” En cuanto a la justificación de que los datos son de un proceso selectivo de concurrencia competitiva, a los que se aplica el principio de transparencia, pudiendo deducirse un conflicto con protección de datos de sus titulares, por la superioridad del principio constitucional de transparencia y objetividad, se ha de indicar: -Dada la situación y evolución de la técnica en que se están tratando los datos, se podría deducir que la exigencia de reproducir todos esos datos en cualquier fase del proceso a los demás participantes en el que concurren para asegurar su limpieza e imparcialidad, no se da solo para estos, sino que se comunican a cualquier persona ajena al procedimiento que quiera entrar en dicha web o circular por el espacio de los anuncios y realizar un completo seguimiento de identificación, pruebas y calificaciones obtenidas. Si a ello se suma que cada año se ha repetido el proceso, se podrían estar obteniendo datos que realmente no son necesarios para los no participantes en el proceso de concurrencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 - Si bien sería deseable la transparencia para el grupo de participantes en el proceso, en todo caso, especialmente admitidos provisionales, también los listados deberían quitarse cuando hayan surtido sus efectos, pues son puros actos tramite que no han de continuar figurando por tiempo indefinido como sucede al conservarse listados desde 2005. -Otra posibilidad es que si va a ser para conocimiento de cualquier persona, en abierto, se reduzcan los datos, no poniendo el DNI completo. La garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos no se consigue por la publicación de modo general de todos los datos en cada tramite en abierto, pues además, la tecnología puede permitir que solo los afectados sean los que en todo momento puedan conocer la identidad, con los datos adecuados y necesarios para la finalidad que se trate. Si además un no interesado por no participar en el proceso, quisiera acceder a algún aspecto del procedimiento, estaría amparado por el derecho de acceso, previa acreditación de que ostenta un interés digno de protección. El conocimiento en cada ejercicio que forma el proceso, de todos los datos con el DNI y las notas de las fases que componen el procedimiento, a cualquier persona, es excesivo y desproporcionado, cuando la transparencia se relaciona con los participantes en el proceso, con el proceso mismo y con el resultado de la fase final. No se está valorando la publicación de los resultados finales, es el proceso interno del desarrollo de los ejercicios, en el que aparecen en todas y cada una de las fases para todo el público los datos completos de nombre y apellidos y NIF y dato de discapacidad. IV Siendo lícita la publicación de las notas obtenidas, es preciso hallar una forma que minimice los datos guardando proporcionalidad y adecuándose a la finalidad conforme a lo indicado. Se podría pensar en un acceso electrónico de los participantes, o un espacio virtual solo accesible a ellos, no con acceso a todos los datos sino a los necesarios. Deberá, por otro lado, respetarse en todo caso los principios recogidos en el artículo 5 del RGPD, especialmente los de limitación de la finalidad, minimización de datos, limitación del plazo de conservación, integridad y confidencialidad, realizando la publicación de modo que suponga la menor injerencia en los derechos y libertades de los interesados, lo que excluye la posibilidad de un conocimiento generalizado de las calificaciones de personas, y especialmente de personas discapacitadas. En tal sentido, como se ha indicado, para calificaciones definitivas o los actos de tramite , si se decide publicarlos, podría servir algún sistema que no identifique de primeras plenamente a la persona y que sirva al resto de participantes, para conocer sus datos básicos, como podría ser parte del NIf con nombre y apellidos. En cuanto a la exposición en los tablones de anuncios del centro, con el contenido limitado, puede efectuarse siempre que no se encuentren en zonas comunes de los centros, que se garantice que el acceso a los mismos queda restringido a dichas personas y se adopten las medidas necesarias para evitar su público conocimiento por quienes carecen de interés en el mismo. Esta exposición tiende a sustituirse por el tablón electrónico. V Si bien la obligatoriedad de cumplir el principio de calidad de datos a través de su proporcionalidad y adecuación ya figuraba vigente con la LOPD, tras la aprobación de la nueva LOPDGDD añade un modo de exponer los datos en publicaciones de actos de concurrencia competitiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 Como marco de referencia al uso de datos, la Ley 39/2015 Ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas indica: artículo 13: “Quienes de conformidad con el artículo 3, tienen capacidad de obrar ante las Administraciones Públicas, son titulares, en sus relaciones con ellas, de los siguientes derechos:
12. h)A la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas.” artículo 40.5 Notificación: “Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado.” El artículo 45 de la misma norma destaca: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
13. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. 4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente.” Artículo 46. Indicación de notificaciones y publicaciones “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento. Adicionalmente y de manera facultativa, las Administraciones podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión que no excluirán la obligación de publicar en el correspondiente Diario oficial.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 También la Ley 39/2015 regula en su preámbulo los accesos a las comunicaciones a los afectados a través del Punto de Acceso General electrónico de la Administración, indicando: “Merecen una mención especial las novedades introducidas en materia de notificaciones electrónicas, que serán preferentes y se realizarán en la sede electrónica o en la dirección electrónica habilitada única, según corresponda. Asimismo, se incrementa la seguridad jurídica de los interesados estableciendo nuevas medidas que garanticen el conocimiento de la puesta a disposición de las notificaciones como: el envío de avisos de notificación, siempre que esto sea posible, a los dispositivos electrónicos y/o a la dirección de correo electrónico que el interesado haya comunicado, así como el acceso a sus notificaciones a través del Punto de Acceso General Electrónico de la Administración que funcionará como un portal de entrada.” El artículo 43.4. 4. de la citada ley señala: “Los interesados podrán acceder a las notificaciones desde el Punto de Acceso General electrónico de la Administración, que funcionará como un portal de acceso.” Como contenido de las sedes electrónicas, el artículo 6.2.
14. g)del Real Decreto 1671/2009, de 6/11 que desarrolla parcialmente la Ley 11/2007 de acceso electrónico de los ciudadanos a los servicios públicos, indica: “2. Las sedes electrónicas dispondrán de los siguientes servicios a disposición de los ciudadanos:
15. g)En su caso, publicación electrónica de actos y comunicaciones que deban publicarse en tablón de anuncios o edictos, indicando el carácter sustitutivo o complementario de la publicación electrónica.” En consonancia con el principio de la limitación de datos en el tratamiento a los meramente indispensables, es posible en primer lugar, que la publicación de cada resultado de los ejercicios que se vayan celebrando, se circunscriba a los afectados con por ejemplo, el acceso a través del punto de acceso general electrónico, o con consultas especificas con atribución de claves y contraseñas que se pueden generar con la presentación de la solicitud, o a través de confirmación en envíos por correo electrónico, entre otras posibles. De este modo, la publicación, que atañe a los que participan, sirve de notificación, cumple realmente la función de ir destinada a la concreta persona/participante en el proceso, únicos interesados en su desarrollo transparente. Solo los participantes podrían visualizar los datos suyos y los del resto de participantes para la finalidad del proceso en el que participan. El acceso puede ser individual, pero nada obsta a que por motivos de seguridad jurídica o transparencia del proceso si así lo considera un participante, pueda visualizar el resto de los datos de otro/s participantes. En segundo lugar, caso de que se publicara en la web en abierto para cualquier persona, no sería preciso que en listados de tramite como los listados provisionales o definitivos figurase el doble identificador DNI completo/nombre y apellidos. Adicionalmente, el dato nombre y apellidos y el dato discapacidad pueden por sí solos identificar a la persona sin demasiadas dificultades. Naturalmente, los datos que se hubieran publicado en el pasado relacionados con procesos selectivos ya finalizados como sucede aquí, hablando de listados provisionales, o definitivos, de procesos de 2015, 2016 no son, pasados ya varios años, necesarios, y violarían el principio de plazo de conservación, del artículo 5. 1.
16. e)del RGPD, que también se contenía en el artículo 4.5 de la anterior LOPD. La LOPDGDD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 artículo 32: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior” El diseño de la minimización de datos se ha plasmado en la LOPDGDD, (BOE 6/12/2018) que en su “Disposición adicional séptima: sobre Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” indica: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1/10 , del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. (El caso de publicación relacionados con procesos selectivos se enmarcaría en este párrafo, siendo por tanto lo procedente la exposición de DNI, que usualmente es necesario en procesos selectivos). Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” El precepto ha sido objeto de una recomendación de carácter provisional hasta el momento en el que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la mencionada Disposición Adicional séptima. Su objetivo es tratar de evitar que la adopción de fórmulas distintas en aplicación de la citada disposición pueda dar lugar a la publicación de cifras numéricas de los documentos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 identificativos en posiciones distintas en cada caso, posibilitando la recomposición íntegra de dichos documentos. Por su interés se transcribe la citada recomendación de 4/03/2019, titulada: “ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN ADICIONAL SÉPTIMA DE LA LOPDGDD” “En la Agencia Española de Protección de Datos, la Autoridad Catalana de Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía se han recibido múltiples consultas sobre la aplicación de lo establecido en el primer párrafo del apartado primero de la disposición adicional séptima “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales. Esta circunstancia ha aconsejado que, con el fin de facilitar un criterio práctico, dichas autoridades propongan una orientación para la aplicación provisional de garantías de protección de la divulgación del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente de los interesados. Para ello, han seleccionado aleatoriamente el grupo de cuatro cifras numéricas que se van a publicar para la identificación de los interesados en las publicaciones de actos administrativos. El procedimiento para la determinación de forma aleatoria de las cuatro cifras numéricas a publicar del código de identificación de un interesado se realizó mediante el proceso de selección aleatoria en una bolsa opaca de una bola de entre cinco bolas numeradas del 1 al 5, realizado el 27/02/2019 en la AEPD. La bola resultante fue la número 4, por lo tanto: La publicación de documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente podrá realizarse de la siguiente forma: • Dado un DNI con formato 12345678X, se publicarán los dígitos que en el formato ocupen las posiciones cuarta, quinta, sexta y séptima. En el ejemplo: ***4567**. • Dado un NIE con formato L1234567X, se publicarán los dígitos que en el formato ocupen las posiciones, evitando el primer carácter alfabético, cuarta, quinta, sexta y séptima. En el ejemplo: ****4567*. • Dado un pasaporte con formato ABC123456, al tener solo seis cifras, se publicarán los dígitos que en el formato ocupen las posiciones, evitando los tres caracteres alfabéticos, tercera, cuarta, quinta y sexta. En el ejemplo: *****3456. • Dado otro tipo de identificación, siempre que esa identificación contenga al menos 7 dígitos numéricos, se numerarán dichos dígitos de izquierda a derecha, evitando todos los caracteres alfabéticos, y se seguirá el procedimiento de publicar aquellos caracteres numéricos que ocupen las posiciones cuarta, quinta, sexta y séptima. Por ejemplo, en el caso de una identificación como XY12345678AB, la publicación sería: *****4567***. • Si ese tipo de identificación es distinto de un pasaporte y tiene menos de 7 dígitos numéricos, se numerarán todos los caracteres, alfabéticos incluidos, con el mismo procedimiento anterior y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 se seleccionarán aquellos que ocupen las cuatro últimas posiciones. Por ejemplo, en el caso de una identificación como ABCD123XY, la publicación sería: *****23XY. • Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación, se sustituirán por un asterisco por cada posición.” Por tanto, además de introducir en general las mencionadas medidas, en función de si debe afectar la publicación o no, solo a un colectivo, si se ha de publicar o notificar algún acto, y si se considera que ha de afectar solo a un grupo cerrado del colectivo, se ha de tener en cuenta además de estas referencias, una diligencia especial por la posible identificación o identificabilidad a través de otras referencias directas o indirectas que no sean nombre y apellidos o NIF. Pretender como manifiesta la reclamada, que deben prevalecer la transparencia y publicidad general exponiendo en abierto con plena identificabilidad listados de admitidos/excluidos, definitivos o provisionales con dato de discapacidad a lo largo de todos y cada uno de los sucesivas partes del proceso según los resultados de partes de las pruebas o ejercicios que se van acometiendo, en todo momento y fase en abierto no es admisible. Resulta desproporcionado y choca con el principio de minimización de datos, dada la finalidad que se pretende, que es básicamente que sirva de sistema de notificación a los afectados que participan en el procedimiento, y contribuya entre ellos a la transparencia en el desarrollo de los ejercicios. Que el acceso se pueda producir por cualquier persona ajena a los solicitantes es una sobreexposición de datos a terceros que carece de justificación y excede de la finalidad propia del tratamiento de datos de los afectados. Por consiguiente, el resto del público, los que no se participan en dichas pruebas, carecen de una base legitima para el acceso a los datos de apellidos y nombre junto al NIF completo de cada aspirante y de cada uno de los resultados de cada prueba que forma el proceso selectivo, y del dato de discapacitado, por haber transcurrido ya su periodo de conservación, y de los procesos todavía vigentes, por no considerarse necesaria ni conveniente la exposición indiferenciada en la sede electrónica del dato discapacitado. VI En cuanto a la publicación del dato discapacitado junto al nombre y apellidos, se reitera que es un dato referente a la salud que de afectar a la transparencia y concurrencia seria solo a los que participan en el proceso selectivo. Sobre el dato de discapacidad, dato de salud, indica el considerando 35 del RGPD: “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 diagnóstica in vitro.” A tal efecto, sería posible la publicación de la resolución que aprueba las calificaciones, pero siendo el acceso restringido a los participantes, o exponer a terceros el NIF, pero no juntos nombre y apellidos y discapacitado, pudiendo exponerse NIF y discapacitado, asegurándose que dicho NIF no se relaciona con el nombre y apellidos. El modo de proceder de la denunciada debería ser modificar en el sentido expuesto en próximas actuaciones junto a la retirada de los datos si es que se publican en abierto/universal de los listados que ya cumplieron su función, para que no permanezcan más que un plazo adecuado y razonable a la finalidad prevista que era en relación con procesos de 2018. La forma en que se ha dado publicidad y transparencia del proceso competitivo, publicando nombres y apellidos, dnis y discapacidad es excesiva para la finalidad del conocimiento del mismo, al ser accesible por cualquier persona y contenerse identidad completa y discapacitado, circunstancia que solo atañe a los propios admitidos/excluidos. Lo correcto en su caso podría ser bien publicarse solo para los afectados, bien DNI junto con discapacitado en su caso. Por otro lado, en este caso perviven listados de años pasados (2015 en los que se contempla dicho dato, con procesos ya cerrados, que deberían cancelarse) La reclamada deberá bloquear los listados que contengan datos de convocatorias ya cerradas, de modo que los datos de años desde 2005 no sea posible su visualización, debiendo establecer un periodo de conservación de datos VII El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
17. a)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
18. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; El artículo 72.1.
19. a)de la LOPDGDD indica: “Infracciones consideradas muy graves “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26
20. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. En tal sentido, el artículo 77. 2 de la LOPGDD, indica: 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Por tanto, deberá certificar que en la página web de la reclamada se bloquea la visión de los datos contenidos en: 1) En ***URL.1, Anexo I. Relación definitiva de aspirantes que han acreditado su condición de persona con discapacidad. Se contienen el DNI integro y nombre y apellidos en 35 folios, tipo pdf, ordenados o clasificados por categorías de puestos, grupos u oficios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 Se incorporan al procedimiento con el nombre, bolsa trabajo 35 folios, pag 1 y pag 2 que es la que tiene los datos personales, conteniéndose ANEXO I (Res 21/01/2015) LISTADOS DEFINITIVOS DE ASPIRANTES ADMITIDOS EN DIFERENTES BOLSAS DE TRABAJO ORDINARIAS DEL SERVICIO MURCIANO DE SALUD QUE HAN ACREDITADO SU CONDICIÓN DE PERSONA CON DISCAPACIDAD DENTRO DEL PLAZO ABIERTO POR RESOLUCIÓN DE 23 DE JUNIO DE 2014. 2) Listado con 3 folios con datos de personas con su DNI completo y nombre y apellidos dentro del turno de discapacitados, se incorpora como listado 2015, ***URL.5, Bolsa: ENFERMERÍA Convocatoria: ORD-31 DE OCTUBRE DE 2015, guardado en expediente con nombre : enfermería bolsa 2015. Puntos totales y numero de orden figuran en el listado En cuanto a: 3) En ***URL.6, listado Bolsa de A.T.S. / D.U.E. (Convocatoria ordinaria) Listado definitivo de puntuación a 31/10/2018 de 7 folios, con DNI no completo, nombre y apellidos completo y una cruz en el apartado DIS en todos ellos, que podría ser de la condición de discapacitado y puntuación, identificado: como listado 2018. Deberán aclarar si el dato DIS , S es de discapacidad, y deberían posibilitar el acceso exclusivamente a los participantes en el proceso. 4) En cuanto al listado: en el apartado de OPOSICIONES, ***URL.8 -Adminitrativo_Libre.pdf, PRUEBAS SELECTIVAS PARA CUBRIR 18 PLAZAS DE LA CATEGORÍA DE TÉCNICO ESPECIALISTA NO SANITARIO/OPCIÓN ADMINISTRATIVO TURNO DE ACCESO LIBRE - OFERTA 2017-2018 y PEET LISTADO PROVISIONAL DE ADMITIDOS, Resolución de 7/11/2019 identificado como advo 2019, 64 folios pdf conteniendo DNI no completo, nombre y apellidos y en algunos el literal “cupo discapacidad.” No aparecen puntuaciones. Se trata de un listado “provisional”, por tanto se entiende que habrá otro definitivo, no siendo aquel sino un trámite ya finalizado que afectaría a los participantes, por lo que se podría prescindir de que siguiera expuesto. la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER una sanción de APERCIBIMIENTO al SERVICIO MURCIANO DE SALUD (CONSEJERÍA DE SALUD), con NIF Q8050008E, por una infracción del Artículo 5.1.
21. c)del RGPD, conforme al artículo 83.5 del RGPD. SEGUNDO: Conforme determina el artículo 58.2.
22. d)la reclamada deberá adoptar medidas correctoras para que los listados que figuran en hechos probados, cuya finalidad fue cumplida o fueran de tipo provisional, no puedan ser visualizados en su web y para que el dato discapacidad no permanezca unido al DNI y nombre y apellidos. Se le solicita que notifique en el plazo de un mes las medidas adoptadas con dicha finalidad. TERCERO: NOTIFICAR la presente resolución al SERVICIO MURCIANO DE SALUD (CONSEJERÍA DE SALUD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13707, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
23. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es