← España

PS-00046-2022

1/16  Expediente N.º: PS/00046/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Don A.A.A. (en adelante, la parte reclamante) con fecha 31 de julio de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MINISTERIO DE JUSTICIA (D.G. PARA EL SERVICIO PÚBLICO DE JUSTICIA) con NIF S2281361I (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: - Que el Ministerio de Justicia no había atendido una solicitud formulada el 28 de mayo de 2019. Asimismo, manifestaba que la Subdirección General de Relaciones con la Administración de Justicia y el Ministerio Fiscal publicaron en el portal web del Ministerio de Justicia la lista de admitidos/no admitidos de la convocatoria al examen de acceso a la Abogacía, revelando el nombre y el DNI de los aspirantes (reconoce que algún día después el Ministerio corrigió la lista por otra con los DNI protegidos). Junto a la reclamación aportaba los escritos presentados ante la entidad reclamada ejerciendo el derecho de acceso al expediente administrativo, no desprendiéndose de la documentación aportada que hubiera solicitado el acceso a sus datos previsto en la normativa de protección de datos. En lo que respecta a la publicación del listado con los datos personales de los aspirantes no aportó documento alguno que acreditase la revelación, en particular, de sus propios datos personales. - Con fecha 18 de septiembre de 2019, se dictó Resolución de inadmisión al no apreciarse indicios documentales suficientes de infracción. . Con fecha 4 de noviembre de 2019, la parte reclamante interpuso Recurso de reposición contra la resolución de inadmisión. - Con fecha 20 de diciembre de 2019 se resolvió la inadmisión del recurso por extemporáneo (la resolución se había notificado el 30/9/2019). - Con fechas 14 y 15 de enero de 2020 se recibieron solicitud de información (identificación de autoridades y personal asignado al expediente); solicitud de acceso al expediente y solicitud de declaración de nulidad en virtud del art. 47.1a LPACAP. - Con fecha 21 de enero de 2020 se contestó a la parte reclamante señalando lo siguiente: Según lo dispuesto en el artículo 48.1 de la ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la Presidencia de la Agencia la dirige y dicta sus resoluciones. Conforme a lo establecido en los artículos 27 a 28 del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos, corresponde a la Inspección de Datos, cuyo titular es el Subdirector General de Inspección de DaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 tos, las funciones inherentes al ejercicio de la potestad de inspección y el ejercicio de los actos de instrucción relativos a los expedientes sancionadores. El código 010893/2019 es un número de referencia de un registro correspondiente a otra unidad de esta Agencia, la Unidad de Evaluación y Estudios Tecnológicos. […] por cuanto se refiere a la impugnación de las señaladas resoluciones de inadmisión y de la posterior resolución del recurso de reposición, en virtud de lo dispuesto en el artículo 48.6 de la mencionada LOPDGDD, los actos dictados por la Presidencia de la AEPD ponen fin a la vía administrativa, siendo recurribles directamente ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional. En todo caso, el régimen de recursos fue expresamente indicado en cada una de las mencionadas resoluciones. - Con fechas 28 de julio de 2021 y 25 de enero de 2022, la parte reclamante solicita reunión con la Directora de la Agencia Española de Protección de Datos, presentando Sentencia de la Audiencia Nacional de fecha 8 de abril de 2021, número de Recurso 000634/2020, sobre reclamación de cantidad por el funcionamiento de los servicios públicos contra el Ministerio de Justicia, en la que se condena a ese Ministerio al pago de 5000 euros a la parte reclamada; en los Fundamentos se indica: “El 18 de febrero de 2019 se publicó en el portal (web) del Ministerio de Justicia el listado de aspirantes admitidos y excluidos para realizar la primera prueba de evaluación de aptitud profesional para el ejercicio de la abogacía para el año 2019, cuya publicación incluyó el DNI completo de los interesados, entre ellos el aquí demandante. Advertida dicha circunstancia, el 1 de marzo de 2019 se retiró la referida publicación del portal de dicho Ministerio, se procedió a la notificación del incidente a la Agencia Española de Protección de Datos, y se sustituyó en la pági na web el listado publicado por otro sin los datos de identidad completos, publicándose también una nota informativa… En el actual proceso solo puede estudiarse o considerarse el tema de la protección de datos personales en cuanto presupuesto del anormal funcionamiento de los servicios públicos, pero las actuaciones del interesado ante la AEPD y el expediente a que dieron lugar permanecen extramuros de este proceso La Sala no puede atender a eventuales daños futuros o hipotéticos, si bien hay base para reconocer la existencia de un daño moral por la lesión sufrida por el demandante en sus derechos a la intimidad y a la protección de sus datos perso nales, cuyo daño moral es indemnizable en función de las circunstancias que concurren en el caso y en la parte actora, siendo así que en una ponderación de todas las circunstancias concurrentes la Sala fija de manera discrecional la indemnización a que tiene derecho el demandante en la cantidad de 5.000 €,…” SEGUNDO: Con fecha 14 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. TERCERO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 solicitando ampliación de plazo para presentar alegaciones al acuerdo de inicio. Concedida la ampliación solicitada, se recibió escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “Que, visto y examinado por el reclamado el expediente remitido por la AEPD, quedan acreditados los siguientes extremos: 1. Con fecha 28 de mayo de 2019 D. A.A.A. solicita al Ministerio de Justicia el acceso, de acuerdo con lo dispuesto en el artículo 53 de la LPACP, al Expediente Administrativo que la Subdirección General de Relaciones con la Administración de Justicia y el Ministerio Fiscal instruye en relación con la Orden PCI/1424/2018 de 28 de diciembre, por la que se convoca la prueba de evaluación de aptitud profesional para el ejercicio de la profesión de Abogado para el año 2019. El reclamante se identifica como participante en la mencionada prueba de acceso. Asimismo, con base en el mismo precepto legal, solicita la identificación de las autoridades y personal al servicio de las Administraciones Públicas bajo cuya responsabilidad se tramite el procedimiento referido y la identificación del Delegado de protección de Datos del Ministerio de Justicia. 2. Con fecha 17 de junio de 2019, el reclamante solicita al Ministerio de Justicia trámite de audiencia “DPD” sobre incidente en materia de protección de datos, en virtud de lo dispuesto en el artículo 37.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en adelante LOPDPGDD) y artículo 82.1 LPACP, previa a la eventual presentación de reclamación ante la AEPD, para conocer lo actuado por el Delegado de Protección de Datos del Ministerio de Justicia, así como el régimen de responsabilidad establecido. Dicha solicitud fue debidamente atendida: se adjunta contestación del DPD (documento nº 1), que no ha sido objeto de recurso ni queja por parte del interesado. 3. En fecha 31 de julio de 2019 D. A.A.A. interpone reclamación ante la AEPD por presunta vulneración la LOPDGDD por parte del Ministerio de Justicia en cuanto a la publicación en la página web de la lista de admitidos y excluidos a la prueba de aptitud para el acceso la profesión de Abogado convocada por la mencionada orden PCI/ 1424/2018 de 28 de diciembre, sin proteger los dígitos sobre los “D. N. I.” de los candidatos, y de la lista de alumnos con los nombres completos, las universidades en las que cursaron sus estudios y la notas que obtuvieron en el máster habilitante (Reg. de entrada: 038471/2019). En la exposición de los hechos, por el reclamante se hace mención de la solicitud de trámite de audiencia formulada el 17 de junio de 2019 al Delegado de Protección de datos del Ministerio de Justicia, y de la de información dirigida a la Unidad de Información y Transparencia de dicho Ministerio en fecha de 28 de mayo de 2019, cuyos escritos se adjuntan (documentos nº 2 y nº 3), y que fueron correctamente atendidos (documentos nº 1 y nº 4) y que no han sido objeto de recurso ni queja por parte del interesado. A la mencionada reclamación no se adjuntan los documentos probatorios de los hechos reclamados en materia de protección de datos personales, tan solo se aporta como anexo la nota informativa publicada en la página web del Ministerio de Justicia sobre las publicaciones provisionales y definitivas de admitidos y excluidos a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 las pruebas de aptitud profesional para el ejercicio de la profesión de abogado, procurador y abogado comunitario, y la aplicación del principio de minimización de datos del artículo 5.1.
  2. c)del Reglamento General de Protección de Datos (RGPD) (documento nº 5). 4. En fecha 18 de septiembre de 2019, por la Directora de la AEPD se dicta resolución en relación con la reclamación presentada por el reclamante el 31 de julio de 2019 sobre vulneración de la LOPDGDD sobre los hechos que se han relacionado, acordando la inadmisión por no apreciarse indicios racionales de la existencia de una infracción en el ámbito competencial de la AEPD (Resolución E/08751/2019). 5. El 27 de septiembre de 2019, por D. A.A.A. se solicita a la AEPD trámite de audiencia con relación a la reclamación presentada el 31 de julio de 2019 (Reg. de entrada: 038471/2019) al objeto de facilitar al órgano instructor el “acceso a la vulneración REITERADA en materia de protección de datos por parte de la Subdirección General de la Administración de Relaciones con la Administración de Justicia y el Ministerio Fiscal”. 6. Con fecha de 4 de noviembre de 2019, por el reclamante se presenta recurso de reposición contra la Resolución de la Directora de la AEPD E/08751/2019, por falta de motivación congruente, así como por no haber entrado en el fondo del asunto de la reclamación planteada. 7. En fecha 20 de diciembre de 2019, por la Directora de la AEPD se resuelve inadmitir el recurso de reposición interpuesto por D. A.A.A. contra la Resolución dictada con fecha de 18 de septiembre de 2019, por la que se archiva la reclamación E/ 08751/2019, basándose en que el mencionado recurso de reposición fue presentado el de 4 de noviembre de 2019, es decir, fuera del plazo legalmente establecido según lo dispuesto en el artículo 30.4 de la LPACP (RR/00753/2019). 8. Con fechas 14 y 15 de enero de 2020, por el reclamante se solicita ante la AEPD, información (identificación de autoridades y personal asignado al expediente); solicitud de acceso al expediente, conforme a lo recogido en el artículo 53
  3. a)de la LPACP, acceso al expediente instruido en base a la reclamación presentada el 31 de diciembre de 2019 contra el Ministerio de Justicia y resuelto por la resolución de inadmisión del RR/00753/2019, y solicitud de declaración de nulidad en virtud del artículo 47.1. A) de la LPACAP. 9. Con fecha 21 de enero de 2021, por la Subdirección General de Inspección de Datos de la AEPD se da contestación a los escritos remitidos por D. A.A.A. con entrada AEPD 01523/2020, 01547/2020 y 01644/2020 en el que se da respuesta a la petición de identificación de las autoridades y personal bajo cuya responsabilidad se tramitan los procedimientos referidos a los códigos “E/08751/2019”, “RR/00753/2019” y la “brecha de seguridad con número de registro 010893/2019” y se aporta copia de los expedientes solicitados; señalándose, además, por cuanto se refiere a la impugnación de las resoluciones de inadmisión y de la posterior resolución del recurso de reposición, en virtud de los dispuesto en el artículo 48.6 de la LOPDGDD los actos dictados por la AEPD ponen fin a la vía administrativa. 10. Por la parte reclamante se solicita reunión con la directora de la AEPD, preC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 sentando la Sentencia de la Audiencia Nacional de fecha 8 de abril de 2021, número de Recurso 000634/2020, sobre reclamación de cantidad por el funcionamiento de los servicios públicos contra el Ministerio de Justicia, en la que se condena a este al pago de 5000 euros a la parte reclamada, de cuyos fundamentos se señalan los siguientes párrafos: “El 18 de febrero de 2019 se publicó en el portal (web) del Ministerio de Justicia el listado de aspirantes admitidos y excluidos para realizar la primera prueba de evaluación de aptitud profesional para el ejercicio de la abogacía para el año 2019, cuya publicación incluyó el DNI completo de los interesados, entre ellos al aquí demandante. Advertida dicha circunstancia, el 1 de marzo de 2019 se retiró la referida publicación del portal de dicho Ministerio, se procedió a la notificación del incidente a la Agencia Española de Protección de Datos, y se sustituyó en la página web el listado publicado por otro sin los datos de identidad completos, publicándose también una nota informativa…”. “En el actual proceso solo puede estudiarse o considerarse el tema de la protección de datos personales en cuanto presupuesto del anormal funcionamiento de los servicios públicos, pero las actuaciones del interesado ante la AEPD y el expediente a que dieron lugar permanecen extramuros de este proceso”. - Por los antecedentes que obran en este Ministerio de Justicia, no consta que el reclamante haya ejercitado, por los canales de contacto expresamente previstos, ninguna solicitud de derechos en materia de protección datos personales (artículos 12 a 18 LOPDGDD) en relación con su participación en la prueba de aptitud para el acceso la profesión de Abogado convocada por la mencionada orden PCI/1424/2018 de 28 de diciembre. En todo caso, cabe apuntar que las fechas en que se produce la entrada de las dos solicitudes dirigidas por el reclamante, en mayo y junio de 2019, al Ministerio de Justicia como responsable del tratamiento de los datos (las cuales han motivado la presentación de la reclamación ante la AEPD) son posteriores a la fecha del cierre de la brecha de seguridad pues, como queda acreditado. – Que, aun reconociéndose por parte este Ministerio de Justicia que las medidas de seguridad aplicadas hasta la fecha en la que se produce la publicación del listado de aspirantes admitidos y excluidos para las pruebas de acceso a la abogacía cuyo examen tuvo lugar el pasado 6 de abril de 2019 conteniendo los datos de nombre, apellidos y número de documento identificativo personal (DNI) no han sido suficientes, la crisis de seguridad se ha gestionado diligentemente, procediendo a la sustitución del listado en cuestión por la nueva publicación en la que se ha omitido este último dato, además de publicar la mencionada nota de sustitución dada la imposibilidad técnica de informar individualmente a los más de 6.000 afectados; y, asimismo, se han realizado los correspondientes ensayos para comprobar la no repetición a igual casuística y, finalmente, se ha procedido a informar de la brecha de seguridad a la AEPD (documento nº 6). Además de lo anterior conviene subrayar que, con posterioridad al registro de la mencionada brecha de seguridad, por parte de la Dirección General para el Servicio Público de Justicia se han llevado a cabo de manera continuada medidas exhaustivas de revisión y de control sobre las publicaciones que figuran en el portal web del Ministerio de Justicia en relación con las convocatorias de las pruebas de evaluación de la aptitud para el ejercicio de las profesiones de la abogacía y la procura (años 2014-2021); registrándose la última de estas acciones en el mes de enero de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 2022 (documento nº 7). - Que por la propia AEPD se ha considerado en su momento que no había indicios de que los hechos ocurridos fueran sancionables (documento nº 8), atendidas todas las circunstancias concurrentes; y que, al margen de la cuestión de fondo, esta propia autoridad ha señalado la extemporaneidad (causa de inadmisión) de uno de los escritos del interesado (documento nº 9). - Debe tenerse además en cuenta que, desde que se dictaron dichas resoluciones de la AEPD hasta el presente, no ha habido ningún elemento nuevo relativo al fondo que conste en el expediente sancionador y que justifique el cambio de criterio de la AEPD. Se invoca por tanto la confianza legítima, la firmeza de las resoluciones administrativas y la ausencia de nuevos elementos justificativos de una eventual revisión, para pedir que la AEPD no vaya contra sus propios actos en ausencia de novedades relevantes. Por último, esta parte considera que la incoación del presente procedimiento sancionador, en ausencia de novedades relevantes, va contra los actos propios emitidos por la propia AEPD cuando inadmitió por falta de indicios razonables la reclamación del reclamante, habiendo resultado dicha resolución firme y sin que conste declaración previa de nulidad. SOLICITO que teniendo por presentado este escrito de alegaciones se tenga por formuladas las alegaciones que constan en el mismo, con el objeto de que sean tenidas en cuenta en el procedimiento de referencia y especialmente en la resolución del mismo con el acuerdo de cierre definitivo y archivo del expediente por la presunta infracción del artículo 5.1.
  4. f)del RGPD. CUARTO: Con fecha 15 de marzo de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento RR/00753/2019. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por MINISTERIO DE JUSTICIA (D.G. DE RELACIONES CON LA ADMINISTRACIÓN DE JUSTICIA), y la documentación que a ellas acompaña. QUINTO: Con fecha 8 de abril de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se impusiese al MINISTERIO DE JUSTICIA (D.G. DE RELACIONES CON LA ADMINISTRACIÓN DE JUSTICIA), por una infracción del artículo 5.1.
  5. f)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEXTO: Con fecha 17 de mayo de 2022, se recibe escrito de alegaciones a la propuesta de resolución en el que se indica lo siguiente: - “Este Ministerio como reclamado se reitera en todas y cada una de las alegaciones presentadas con fecha de 8 de marzo de 2022 contra el Acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 de procedimiento sancionador, de fecha 15 de febrero de 2022, dictado por la Agencia Española de Protección Datos (AEPD). - Que, a la vista de los hechos probados, por este Ministerio de Justicia como reclamado se pone de manifiesto la contradicción entre el hecho probado segundo donde se relata que la AEPD, al no tener constancia de prueba en fecha 18 de septiembre de 2019, puesto que la documentación aportada por el reclamante, en 31 de julio de 2019, “no acreditaba”, como se dice textualmente, “el ejercicio del derecho de acceso recogido en el RGPD ni la publicación referida”, inadmitió dicha reclamación, y el hecho probado tercero en donde queda acreditado que dicha autoridad ya conocía desde el 1 de marzo de 2019 el hecho objeto de reclamación, es decir, la publicación “en el portal web del Ministerio de Justicia el listado de aspirantes admitidos y excluidos para realizar la primera prueba de evaluación de aptitud profesional para el ejercicio de la abogacía para el año 2019, cuya publicación incluyó el DNI completo de los interesados”, así como la subsanación de los mismos gracias a la rápida actuación del Ministerio de Justicia comunicando el incidente de seguridad. Por tanto, en consideración con lo anteriormente expuesto y atendiendo al orden de los mencionados hechos probados, por parte de este Ministerio como reclamado se evidencia una flagrante contradicción que se revela en la acción dilatoria llevada a cabo por la AEPD, en su actuación, desde el 1 de marzo de 2019 hasta el 18 de septiembre de 2019, fecha esta última en la que por su parte se acuerda la inadmisión de dicha reclamación por no apreciarse indicios racionales de la existencia de una presunta infracción en materia de protección de datos. - Que, en relación a la sucesión cronológica de los mencionados hechos probados, por este Ministerio de Justicia como reclamado se quiere llamar la atención en cuanto a lo que parece como algo inexplicable desde el punto de vista jurídico en materia de derecho sancionador sobre la actuación llevada a cabo por la AEPD al no apreciar indicios de infracción administrativa en materia de protección de datos con fecha de 18 de septiembre de 2019 para concluir el 14 de febrero de 2022 con la apertura de procedimiento sancionador por el mismo hecho, y contando con la misma información fáctica de la que ya tenía conocimiento previo. En este sentido, conviene subrayar que en materia de procedimiento sancionador son los hechos son los que configuran la infracción correspondiente; lo cual se trata de un principio fundamental al que ahora se opone la AEPD volviendo sobre el mismo hecho que ha originado la reclamación de Don A.A.A. y que, en su momento, no constituyó infracción en materia de protección de datos. De manera que la AEPD va contra su propio criterio expresado en muchas de sus resoluciones. - Que sobre la vulneración del principio de confianza legítima al que se alude en el fundamento jurídico segundo, este Ministerio considera que existen principios y argumentos suficientes aplicables al caso en contra de la actuación de la AEPD sobre la apertura del expediente sancionador. A este respecto es válida la Sentencia del Tribunal Supremo, de 1 de febrero de 1990, que establece que el principio de la confianza legítima ha de ser aplicado “no tan solo cuando se produzca cualquier tipo de convicción psicológica en el particular beneficiado [en este caso el Ministerio de Justicia], sino más bien cuando se basa en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 signos producidos por la Administración lo suficientemente concluyentes [Resolución AEPD 18 de septiembre de 2019, de conformidad con lo establecido en el artículo 65.2 de la LOPDGDD] para que le induzcan razonablemente a confiar en la legalidad de la actuación administrativa [en este caso el Ministerio de Justicia]”. De modo que, aunque el hecho que da origen a la reclamación ante la AEPD haya constituido una “conducta antijurídica”, es evidente que, para la imposición de una sanción del tipo que fuere, deben concurrir los elementos necesarios para ello; pero en el presente caso, como ha quedado acreditado, el Ministerio de Justicia reparó y subsanó el incidente de seguridad, acción que, por otra parte, no constituyó, en septiembre de 2019, objeto de reparo para la AEPD. - Que, a mayor abundamiento, por este Ministerio de Justicia se pone de manifiesto que no puede considerarse -tal como se expresa en el fundamento jurídico primero, como “elemento nuevo” que haya justificado el cambio de criterio de la AEPD- la incorporación al expediente sancionador de la Sentencia de la Audiencia Nacional de fecha 8 de abril de 2021, número de Recurso 000634/2020, sobre reclamación de cantidad por el funcionamiento de los servicios públicos contra el Ministerio de Justica, en cuyos fundamentos se acredita que el reclamante es uno de los afectados - Por lo que se refiere al fundamento jurídico quinto, este Ministerio quiere resaltar en relación con la propuesta de resolución que la AEPD no ha tenido que analizar la diligencia del responsable del tratamiento ni de las medidas de seguridad aplicadas puesto que, como se dice textualmente, “no se solicitaría medidas correctivas ya que los listados fueron retirados de forma inmediata” ; lo que, como reconocimiento a la gestión diligente y la proactividad en el tratamiento de los datos por parte del responsable, contrasta sobremanera con la propuesta de sanción que por la Subdirección General de Inspección de Datos se solicita a la Directora de la AEPD, máxime cuando se reconoce, como ha quedado de manifiesto a lo largo del procedimiento, que no constan ante dicha autoridad otras reclamaciones de terceros relacionadas con la presente. En base a lo expuesto, solicita el archivo de las actuaciones De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: con fecha 31 de julio de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos contra el MINISTERIO DE JUSTICIA por no haber atendido una solicitud formulada el 28 de mayo de 2019. Asimismo, manifestaba que la Subdirección General de Relaciones con la Administración de Justicia y el Ministerio Fiscal publicaron en el portal web del Ministerio de Justicia la lista de admitidos/no admitidos de la convocatoria al examen de acceso a la Abogacía, revelando el nombre y el DNI de los aspirantes (reconoce que algún día después el Ministerio corrigió la lista por otra con los DNI protegidos). Junto a la reclamación aportaba los escritos presentados ante la entidad reclamada ejerciendo el derecho de acceso al expediente administrativo, no desprendiéndose de la documentación aportada que hubiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 solicitado el acceso a sus datos previsto en la normativa de protección de datos. En lo que respecta a la publicación del listado con los datos personales de los aspirantes no aportó documento alguno que acreditase la revelación, en particular, de sus propios datos personales. SEGUNDO: A la vista de la documentación aportada que no acreditaba el ejercicio del derecho de acceso recogido en el RGPD ni la publicación referida, la reclamación se inadmitió, con fecha 18 de septiembre de 2019, de conformidad con lo establecido en el artículo 65.2 de la LOPDGDD. Contra esta resolución, la parte reclamante interpuso recurso de reposición extemporáneo que fue inadmitido. TERCERO: El 18 de febrero de 2019, se publicó en el portal web del Ministerio de Justicia el listado de aspirantes admitidos y excluidos para realizar la primera prueba de evaluación de aptitud profesional para el ejercicio de la abogacía para el año 2019, cuya publicación incluyó el DNI completo de los interesados, entre ellos el del reclamante. Advertida dicha circunstancia, la parte reclamada, el 1 de marzo de 2019, retiró la referida publicación del portal de dicho Ministerio, procedió a la notificación del incidente a la Agencia Española de Protección de Datos, y se sustituyó en la página web el listado publicado por otro sin los datos de identidad completos FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Respecto a que por la propia AEPD consideró, en su momento, que no había indicios de que los hechos ocurridos fueran sancionables en la resolución de inadmisión de la reclamación interpuesta por la parte reclamante, hay que señalar que esa resolución se dictó teniendo en consideración la documentación presentada con la reclamación. En esta documentación no se aportaba la publicación en el portal web del Ministerio de Justicia de la lista de admitidos/no admitidos de la convocatoria al examen de acceso a la Abogacía, revelando el nombre y el DNI de los aspirantes, ni el ejercicio del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 derecho de acceso que reconoce el RGPD. El artículo 65.2 de la LOPDGDD indica: “La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción.” Al no aportar indicios racionales de la existencia de la infracción, ni que fuese una de las personas afectadas, se procedió a inadmitir la reclamación. Añaden en sus alegaciones que no ha habido ningún elemento nuevo relativo al fondo que conste en el expediente sancionador y que justifique el cambio de criterio de la AEPD. El elemento nuevo, es la Sentencia de la Audiencia Nacional de fecha 8 de abril de 2021, número de Recurso 000634/2020, sobre reclamación de cantidad por el funcionamiento de los servicios públicos contra el Ministerio de Justicia, en cuyos fundamentos se señala lo siguiente: “El 18 de febrero de 2019 se publicó en el portal (web) del Ministerio de Justicia el listado de aspirantes admitidos y excluidos para realizar la primera prueba de evaluación de aptitud profesional para el ejercicio de la abogacía para el año 2019, cuya publicación incluyó el DNI completo de los interesados, entre ellos al aquí demandante. Advertida dicha circunstancia, el 1 de marzo de 2019 se retiró la referida publicación del portal de dicho Ministerio, se procedió a la notificación del incidente a la Agencia Española de Protección de Datos, y se sustituyó en la página web el listado publicado por otro sin los datos de identidad completos, publicándose también una nota informativa…”. En los Fundamentos de la Sentencia reseñada, se acredita que el reclamante es uno de los afectados. Si bien la brecha de seguridad había sido comunicada, se había subsanado el incidente y se había comunicado a los interesados, no se había recibido ninguna reclamación por la afectación de los datos del reclamante. En sus alegaciones, el Ministerio de Justicia motiva por qué, en su opinión, esta sentencia no tendría la consideración de “elemento nuevo”. Argumenta que la misma fue dictada en un procedimiento de responsabilidad patrimonial de la Administración (por lo tanto con un objeto diferente al presente), y que, asimismo, la misma declara que “as actuaciones del interesado ante la AEPD y el expediente a que dieron lugar permanecen extramuros de este proceso” Esta afirmación queda matizada por dos aspectos: en primer lugar, por el hecho de que, como se ha indicado más arriba, el Tribunal considera indiscutido que la lista de admitidos y excluidos fue publicada en 18 de febrero de 2019 incluyendo el DNI completo. En segundo, porque justo ese hecho probado es el que ocasiona el derecho a la indemnización de 5.000 euros reconocido al reclamante. Y declara que “En el actual proceso solo puede estudiarse o considerarse el tema de la protección de datos personales en cuanto presupuesto del anormal funcionamiento de los servicios púC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 blicos.” Por todo ello, no es sino hasta la recepción de la mencionada sentencia cuando la AEPD tiene constatada formalmente la publicación de la lista de admitidos y excluidos con vulneración del artículo 5.1.
  6. f)del RGPD, toda vez que contenía el DNI completo de los aspirantes. De ahí que no pueda achacarse contradicción alguna a la actuación de la AEPD, habiendo actuado en cada momento procedimental en función en la acreditación disponible. En función de los argumentos expuestos, en ningún caso puede entenderse vulnerado el principio de confianza legítima. A este respecto, esta Agencia en ningún momento decretó el archivo de actuaciones por haber constatado la inexistencia de un incumplimiento de la normativa de protección de datos, sino, como ha quedado expuesto, porque en su reclamación original, el reclamante no aportaba indicios razonables de que la infracción se hubiera cometido. En relación con este aspecto, la propia entidad reclamada reconoce la existencia de la brecha de seguridad. Por una parte, la reconoce expresamente, al indicar que: “Que, aun reconociéndose por parte este Ministerio de Justicia que las medidas de seguridad aplicadas hasta la fecha en la que se produce la publicación del listado de aspirantes admitidos y excluidos para las pruebas de acceso a la abogacía cuyo examen tuvo lugar el pasado 6 de abril de 2019 conteniendo los datos de nombre, apellidos y número de documento identificativo personal (DNI) no han sido suficientes…” Por otra parte, afirma haber implementado medidas, tanto en relación con este supuesto como para otros que se puedan producir, para evitar que este tipo de vulneraciones pueda repetirse. Con ello, el único límite que tenía esta Agencia para proceder a la apertura de expediente sancionador sería la prescripción de la infracción, algo que no concurre en este supuesto, al tener la consideración de muy grave a efectos de prescripción conforme al artículo 72.1.
  7. a)de la LOPDGDD. En nada altera esta consideración la alegación de la reclamada sobre que la sentencia de la sala de lo contencioso administrativo de la Audiencia Nacional de 8 de abril de 2021 establezca una responsabilidad de carácter objetivo de la Administración. Si bien es cierto ese carácter conforme a los artículos 32 y siguientes de la Ley 40/2015, de 1 de octubre, de Régimen jurídico del sector público, no lo es menos que el artículo 34.1 de la mencionada Ley establece que “Sólo serán indemnizables las lesiones producidas al particular provenientes de daños que éste no tenga el deber jurídico de soportar de acuerdo con la Ley.”, lo que en este caso remarca el carácter antijurídico de la lesión. Por lo demás, la sentencia sobre el principio de confianza legítima aportada por el reclamado en sus alegaciones no hace sino reforzar la corrección de la imputación contenida en esta resolución. En efecto, se afirma en el fundamento jurídico citado que “el principio de la confianza legítima ha de ser aplicado “no tan solo cuando se produzC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 ca cualquier tipo de convicción psicológica en el particular beneficiado [en este caso el Ministerio de Justicia], sino más bien cuando se basa en signos producidos por la Administración lo suficientemente concluyentes” A este respecto, conviene recordar de nuevo que la resolución inicial de inadmisión de la reclamación por parte de la AEPD no se basó en absoluto en una comprobación de la legalidad de la actuación del Ministerio de Justicia, sino tan solo en la falta de aportación por parte del reclamante de la acreditación de que la publicación de las listas había tenido lugar con la inclusión completa del número del DNI. En conclusión, la AEPD no declaró que no se hubiesen producido los hechos o la infracción, sino sencillamente que no había elementos probatorios que los acreditasen. Estos elementos, como ya se ha indicado, se recibieron con posterioridad. En conclusión, la resolución inicial de inadmisión a trámite no era capaz de producir ninguna “confianza legítima”, ya que solo inadmitía por falta de pruebas. III Alega la parte reclamada en la propuesta que existe contradicción entre el Hecho probado segundo y el tercero. Como ya se ha señalado, el hecho segundo se refiere a la falta de acreditación del ejercicio del derecho de acceso por la parte reclamante y la publicación de los listados, lo cual dio lugar a la inadmisión de la reclamación. En cuanto al hecho tercero, se refiere, en concreto, a la constatación de la publicación de dichos listados de aspirantes al examen de abogacía con el nombre, apellidos y DNI concretos. Por tanto, no se trata de hechos contradictorios sino complementarios y sucesivos. En este mismo sentido se responde a su alegación referida a que los mismos hechos se inadmiten el día 18 de septiembre de 2019 y se inicia procedimiento sancionador en fecha 14 de febrero de 2022. La inadmisión se efectuó al carecer de indicios probatorios de que la parte reclamante hubiese ejercitado el derecho de acceso a sus datos; mientras que el procedimiento sancionador tiene su origen en la constatación de la publicación de los listados de aspirantes referido. En relación a la no imposición de medidas correctivas, se trata de una potestad de la autoridad de protección de datos complementaria a la sanción, si fuese necesaria. En el supuesto objeto de este procedimiento no es necesaria porque ya se había corregido la actuación infractora, lo que no exime de declarar su comisión y sancionarla. Finalmente, el hecho de que haberse corregido la vulneración del derecho del reclamante, mediante la publicación posterior de las listas con el número de DNI protegido, en nada altera la responsabilidad del reclamado, toda vez que la infracción ya había sido cometida. IV El artículo 5.1.
  8. f)del RGPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 “Artículo 5 Principios relativos al tratamiento 1. Los datos personales serán: (…)
  9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La LOPDGDD señala en su artículo 5: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  10. f)del Reglamento (UE) 2016/679”. La Disposición adicional séptima de la LOPDGDD, establece, en referencia a la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, lo siguiente en su apartado 1: “1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse…” En el supuesto presente, el Ministerio de Justicia publicó, en fecha 18 de febrero de 2019, en el portal web del Ministerio de Justicia, el listado de aspirantes admitidos y excluidos para realizar la primera prueba de evaluación de aptitud profesional para el ejercicio de la abogacía para el año 2019, cuya publicación incluyó el DNI completo de los interesados, entre ellos el de la parte reclamante. Advertida dicha circunstancia, el 1 de marzo de 2019, se retiró la referida publicación del portal de dicho Ministerio. V El artículo 83.5 del RGPD indica: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16
  12. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  13. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Aplicable en este caso por ser el presunto infractor una entidad pública, es el artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  14. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. En el presente caso consta acreditado que los datos personales del reclamante y de miles de participantes se publicaron en el portal web del Ministerio de Justicia en la lista de admitidos/no admitidos de la convocatoria al examen de acceso a la Abogacía, revelando el nombre y el DNI de los aspirantes, pudiendo ser indebidamente accedidos por terceras personas ajenas, vulnerando los principios de integridad y confidencialidad, ambos establecidos en el citado artículo 5.1.
  15. f)del RGPD. Por tanto, la citada infracción del artículo 5.1.
  16. f)del RGPD corresponde sancionar con un apercibimiento al Ministerio de Justicia. VI De conformidad con las evidencias de las que se dispone en el presente moC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 mento, se considera que la parte reclamada ha infringido el principio de confidencialidad al publicar los datos de nombre, apellidos y DNI completo de los aspirantes admitidos/no admitidos al examen de acceso a la Abogacía en su página web. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
  17. f)del RGPD. El artículo 72.1.
  18. a)establece, a efectos de prescripción, que tendrán la consideración de infracción muy grave:
  19. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. Entre los poderes correctivos que dispone el artículo 58 “Poderes” del RGPD, en el apartado 2.
  20. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En este caso, no se solicitaría medidas correctivas ya que los listados fueron retirados de forma inmediata. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al MINISTERIO DE JUSTICIA (D.G. DE RELACIONES CON LA ADMINISTRACIÓN DE JUSTICIA), por una infracción del Artículo 5.1.
  21. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento.. SEGUNDO: NOTIFICAR la presente resolución a la MINISTERIO DE JUSTICIA (D.G. DE RELACIONES CON LA ADMINISTRACIÓN DE JUSTICIA). TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.