← España

PS-00106-2025

1/24 Expediente N.º: EXP202406805 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a la COMUNIDAD AUTÓNOMA DE CASTILLA LA MANCHA, con NIF S1911001D (en adelante, CLM), en relación con los datos que constan en la firma electrónica que utilizan los funcionarios de la Junta de Comunidades de Castilla-La Mancha (en adelante, JCCM) en el ejercicio de sus funciones públicas. Se ha puesto en conocimiento de esta Autoridad que el programa de la firma electrónica incluye los datos correspondientes al nombre y apellidos del funcionario firmante y su número de DNI, por lo que la persona a la que va dirigido el documento electrónico tiene un acceso fácil a los datos personales del funcionario que firma el documento, lo que podría vulnerar los principios relativos al tratamiento de datos. El proveedor de firma electrónica de confianza para los funcionarios de la JCCM es la empresa CAMERFIRMA. SEGUNDO: Como consecuencia de los hechos conocidos, en fecha 6 de mayo de 2024 la Presidencia de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD). TERCERO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. Se ha solicitado a la CLM información detallada sobre el procedimiento o procedimientos de firma electrónica de documentos por parte de los funcionarios, incluyendo: - Información de los datos de los funcionarios mostrados en los documentos firmados electrónicamente por los mismos, y que se envían a los administrados. - Información sobre si se muestra el número de DNI del funcionario firmante o si es posible su averiguación por parte del administrado accediendo al documento de algún modo. Información sobre si se muestra el número de DNI parcialmente o de forma completa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 - Información sobre los tipos de documentos que se firman por los funcionarios y en los que se incluye su número de DNI. Manifiestan que actualmente se dispone de dos portafirmas corporativos que permiten a los empleados de esa administración la firma de documentos en formato pdf. Indican que cuando un empleado va a firmar un documento en el portafirmas le aparece una pantalla para que configure la apariencia de la firma, pudiendo seleccionar los datos que desea que sean directamente visibles en el documento. Indican que, por tanto, el empleado es el que decide qué datos quiere que se vean directamente en la firma de los documentos. Aportan impresión de la pantalla donde se puede configurar la apariencia, pudiendo elegir el funcionario mostrar o no entre otros el nombre, apellidos, DNI y puesto. Así, indican que queda a criterio del empleado que firma el que su DNI sea visible en el documento o no. En cualquier caso, dado que el DNI es una propiedad almacenada en el certificado de empleado público emitido, manifiestan que siempre será accesible a través de la visualización de las propiedades de dicho certificado, funcionalidad de la que disponen todos los lectores de pdf. Indican también que en la organización se dispone del servicio de emisión de certificado de empleado público desde 2017. En el momento en que se definieron las propiedades que dichos certificados debían incluir, la relativa al DNI era obligatoria. Conforme a la información proporcionada por las diferentes consejerías los documentos que se firman por los empleados públicos son principalmente: - Informes - Oficios de remisión - Requerimientos de subsanación - Actas de reuniones de órganos colegiados (comisión de formación, entre otros) - Cartas informativas - Certificados de estado de tramitación - Informes técnicos - Memorias técnicas y económicas - Planos y proyectos - Certificaciones - Notificaciones - Carnés de operadores de las diferentes materias - Planes de operaciones, informes de dirección las diferentes materias - Documentos de conformidad de gastos - Actas de replanteo, de recepción - Propuestas de encargos/contratos. Se ha solicitado información a la CLM sobre si existe otra opción distinta de firma electrónica de documentos (sin mostrar el número de DNI) para los colectivos de funcionarios que, por cuestiones de seguridad, tengan asignadas tarjetas de identificación con números personales con los que identificarse, como puedan ser Inspectores o Agentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 A este respecto han manifestado lo siguiente: “Hay varios colectivos de empleados públicos que, previa aprobación de la correspondiente normativa en la que se justifica la necesidad por razones de seguridad se identifica en sus relaciones con los ciudadanos mediante un código de identificación profesional. De esta forma se garantiza que en las actas o denuncias no aparecen los datos personales, como nombre apellidos y DNI, de los empleados sino el código asignado. Para que puedan firmar los documentos con este código de identificación profesional existe un proyecto en un alto grado de avance para la emisión de certificados de seudónimo conforme se explicará en el apartado de las medidas adoptadas (punto 5). Además, según la información proporcionada por las consejerías de las que dependen estos colectivos, hasta que no se termine la modificación de la aplicación de portafirmas para incorporar el requisito de firma con seudónimo, queda a potestad de cada uno de estos colectivos el firmar los documentos de manera electrónica. Debe tenerse en cuenta que por la situación de movilidad y la dependencia del acceso a datos móviles en muchos casos no resultaría operativo estos sistemas de firma.” Sobre la base legal (legitimación) para la comunicación al administrado del número de DNI completo del funcionario manifiestan al respecto que: «En el ámbito de las relaciones laborales en las administraciones públicas, la base jurídica principal es la ejecución del contrato de trabajo para el personal laboral o la obligación legal y el cumplimiento de la misión en interés público en el caso de los empleados públicos. Estas bases jurídicas se apoyan en las siguientes normas: - Ley 4/2011, de 10 de marzo, del empleo público de Castilla-la mancha Estatuto básico de los trabajadores - VIII Convenio Colectivo para el personal laboral al servicio de la Administración de la Junta de Comunidades de Castilla La Mancha - Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba la Ley del Estatuto Básico del Empleado Público - Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico de los Trabajadores La firma electrónica de documentos es una de las tareas que los empleados pueden realizar cuando sea preciso para el ejercicio de sus funciones y para el cumplimiento de esta tarea la administración proporciona a los empleados públicos las herramientas precisas. La firma electrónica mediante certificado electrónico de empleado público es uno de los sistemas que se consideran válidos a los efectos de firma electrónica y que permite identificar telemáticamente a un empleado de un determinado organismo en el ejercicio de sus competencias, permitiendo, por tanto, acreditar la identidad del firmante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 A su vez estos certificados tienen una regulación específica. En el caso de esta administración se desarrollaron de acuerdo con la legislación vigente en el momento la Ley 59/2003, de 19 de diciembre, de firma electrónica que establecía en su artículo 11.2: “2. Los certificados reconocidos incluirán, al menos, los siguientes datos:

  1. a)La indicación de que se expiden como tales.
  2. b)El código identificativo único del certificado.
  3. c)La identificación del prestador de servicios de certificación que expide el certificado y su domicilio.
  4. d)La firma electrónica avanzada del prestador de servicios de certificación que expide el certificado.
  5. e)La identificación del firmante, en el supuesto de personas físicas, por su nombre y apellidos y su número de documento nacional de identidad o a través de un seudónimo que conste como tal de manera inequívoca y, en el supuesto de personas jurídicas, por su denominación o razón social y su código de identificación fiscal.
  6. f)Los datos de verificación de firma que correspondan a los datos de creación de firma que se encuentren bajo el control del firmante.
  7. g)El comienzo y el fin del período de validez del certificado.
  8. h)Los límites de uso del certificado, si se establecen.
  9. i)Los límites del valor de las transacciones para las que puede utilizarse el certificado, si se establecen. 3. Los certificados reconocidos podrán asimismo contener cualquier otra circunstancia o atributo específico del firmante en caso de que sea significativo en función del fin propio del certificado y siempre que aquél lo solicite.” Por tanto, la legislación obligaba al uso del DNI para identificar al firmante. Con posterioridad, se aprobó a nivel europeo el Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (Reglamento eIDAS). En el artículo 32 de este reglamento se establecen los requisitos de la validación de las firmas electrónicas cualificadas: “1. El proceso de validación de una firma electrónica cualificada confirmará la validez de una firma electrónica cualificada siempre que:
  10. a)el certificado que respalda la firma fuera, en el momento de la firma, un certificado cualificado de firma electrónica que se ajusta al anexo I;
  11. b)el certificado cualificado fuera emitido por un prestador de servicios de confianza y fuera válido en el momento de la firma;
  12. c)los datos de validación de la firma corresponden a los datos proporcionados a la parte usuaria;
  13. d)el conjunto único de datos que representa al firmante en el certificado se facilite correctamente a la parte usuaria; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24
  14. e)en caso de que se utilice un seudónimo, la utilización del mismo se indique claramente a la parte usuaria en el momento de la firma;
  15. f)la firma electrónica se haya creado mediante un dispositivo cualificado de creación de firmas electrónicas;
  16. g)la integridad de los datos firmados no se haya visto comprometida;
  17. h)se hayan cumplido los requisitos previstos en el artículo 26, en el momento de la firma. 2. El sistema utilizado para validar la firma electrónica cualificada ofrecerá a la parte usuaria el resultado correcto del proceso de validación y le permitirá detectar cualquier problema que afecte a la seguridad. Además, en el anexo I de dicha normativa se establecen los requisitos de los certificados cualificados de firma electrónica “Los certificados cualificados de firma electrónica contendrán:
  18. a)una indicación, al menos en un formato adecuado para el procesamiento automático, de que el certificado ha sido expedido como certificado cualificado de firma electrónica;
  19. b)un conjunto de datos que represente inequívocamente al prestador cualificado de servicios de confianza que expide los certificados cualificados, incluyendo como mínimo el Estado miembro en el que dicho prestador está establecido, y para personas jurídicas: el nombre y, cuando proceda, el número de registro según consten en los registros oficiales, para personas físicas, el nombre de la persona;
  20. c)al menos el nombre del firmante o un seudónimo; si se usara un seudónimo, se indicará claramente; Si bien el reglamento es directamente debe ser especificado por el derecho de los estados miembros y por ello se aprobó Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, que deroga la Ley 59/2003, de 19 de diciembre, de firma electrónica. En el artículo 6 de esta ley se estable respecto a la identidad y los atributos de los titulares de certificados cualificados lo siguiente: “1. La identidad del titular en los certificados cualificados se consignará de la siguiente forma:
  21. a)En el supuesto de certificados de firma electrónica y de autenticación de sitio web expedidos a personas físicas, por su nombre y apellidos y su número de Documento Nacional de Identidad, número de identidad de extranjero o número de identificación fiscal, o a través de un pseudónimo que conste como tal de manera inequívoca. Los números anteriores podrán sustituirse por otro código o número identificativo únicamente en caso de que el titular carezca de todos ellos por causa lícita, siempre que le identifique de forma unívoca y permanente en el tiempo.
  22. b)En el supuesto de certificados de sello electrónico y de autenticación de sitio web expedidos a personas jurídicas, por su denominación o razón social y su número de identificación fiscal. En defecto de este, deberá indicarse otro código identificativo que le identifique de forma unívoca y permanente en el tiempo, tal como se recoja en los registros oficiales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 2. Si los certificados admiten una relación de representación incluirán la identidad de la persona física o jurídica representada en las formas previstas en el apartado anterior, así como una indicación del documento, público si resulta exigible, que acredite de forma fehaciente las facultades del firmante para actuar en nombre de la persona o entidad a la que represente y, en caso de ser obligatoria la inscripción, de los datos registrales.” Asimismo, en Castilla-La Mancha existe esta regulación para respaldar el uso de los certificados en la firma electrónica: Decreto 12/2010, de 16 de marzo, por el que se regula la utilización de medios electrónicos en la actividad de la Administración de la Junta de Comunidades de Castilla-La Mancha. “Artículo 15. Sistemas de firma electrónica de las autoridades y empleados públicos. 1. Las autoridades y empleados públicos de la Administración de la Junta de Comunidades de Castilla-La Mancha podrán utilizar los sistemas de firma electrónica siguientes:
  23. a)Firma basada en el Documento Nacional de Identidad electrónico.
  24. b)Firma basada en certificado de empleado público.
  25. c)Firma basada en los sistemas de firma electrónica emitidos por la Fábrica Nacional de La Moneda y Timbre-Real Casa de la Moneda. 2. Los sistemas de firma electrónica basados en certificado electrónico de empleado público sólo podrán ser utilizados para relacionarse con la Administración de la Junta de Comunidades de Castilla-La Mancha cuando ésta lo admita expresamente y en el desempeño de las funciones propias del puesto que ocupen.” Y la Orden 111/2018, de 20 de junio, de la Consejería de Hacienda y Administraciones Públicas, por la que se regula la obtención y utilización de la firma electrónica, basada en el certificado de empleada y empleado público, del personal al servicio de la Administración de la Junta de Comunidades de Castilla-La Mancha: “Artículo 2. Certificado de empleada y empleado público. 1. El certificado de empleada y empleado público es un certificado electrónico de firma reconocida, válido para la realización de firma electrónica por parte de las autoridades y personal de la Administración de la Junta de Comunidades, que vincula a su titular con unos datos de verificación de firma, al confirmar de forma conjunta:
  26. a)La identidad de su titular y la condición de empleada y empleado público.
  27. b)La Administración donde ejerce sus competencias, presta sus servicios o desarrolla su actividad”». Se ha requerido la aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 Indican que la delegada de protección de datos ha participado en varias evaluaciones de impacto y análisis de riesgos de tratamientos relacionados con las funciones de colectivos de empleados como los agentes medioambientales o los inspectores de bienestar social, etc. En dichas evaluaciones y análisis se ha recomendado al responsable del tratamiento la regulación de los códigos de identificación profesional como medida para garantizar la seguridad de los empleados o la puesta en conocimiento de la necesidad de extender esta garantía de la seguridad de los empleados públicos en los casos de la firma de documentos. Sobre las medidas adoptadas para evitar que se produzcan hechos similares, fechas de implantación y controles efectuados para comprobar su eficacia, los representantes de la CLM han manifestado lo siguiente: “Desde esta administración y con el objetivo de proteger siempre los derechos y libertades de los empleados públicos y una vez identificado el riesgo del tratamiento del dato personal del DNI en la firma electrónica de los empleados públicos se están adoptando las siguientes medidas: Actualmente, esta Administración se encuentra en fase de estudio de las alternativas tecnológicas con nuestro proveedor de servicios de firma electrónica de los empleados públicos, tanto para la eliminación del DNI de las propiedades que se muestran al verificar los documentos y sustitución por otro identificador, como de cara a la emisión de certificados de seudónimo, todo ello garantizando el cumplimiento de la legislación vigente. Asimismo, hemos consultado a otros organismos públicos con el fin de estudiar las soluciones por las que se están optando y encontrar la mejor solución. Por otro lado, se está analizando esta cuestión con todos los órganos gestores afectados, tanto los competentes en materia de personal, de calidad de los servicios, las distintas consejerías, etc.; para definir una solución que realmente garantice los derechos de todos los empleados públicos y cumpla con la legalidad, sin menoscabar la validez de los documentos firmados por los empleados ni la capacidad de firma electrónica. Hay que ser consciente que el desarrollo de estos proyectos no exige únicamente un cambio tecnológico -circunstancia que se podría realizar de una forma más ágil siempre condicionados a las modificaciones presupuestarias- sino que debe ir acompañada de una gestión del cambio que va a afectar a todos los empleados de esta Administración y que precisa del correspondiente respaldo normativo. En este sentido, y para que la autoridad pueda hacerse una idea del alcance de este proyecto, se informa que actualmente esta Administración cuenta con más de 150.000 certificados de empleados públicos emitidos desde el año 2017. Además, se desarrolló una aplicación interna que permite a los empleados públicos obtener estos certificados de manera ágil (menos de 10 minutos), aprovechando la integración de distintos sistemas corporativos que permiten verificar de manera robusta la identidad del empleado: sistema de nóminas, sistema de registro de personal, proveedor de identidad corporativo, […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 Estos componentes indicados forman parte de toda una Plataforma de Administración Digital corporativa y con un alto grado de madurez que compendia distintas aplicaciones con el fin de ofrecer a los empleados, de manera centralizada, todas las funcionalidades necesarias en su día a día. Por lo tanto, se considera que por parte de esta Administración se está trabajando para la adopción de las medidas organizativas y técnicas apropiadas para garantizar que el tratamiento sea conforme con la legislación sobre protección de datos, teniendo en cuenta la naturaleza, el ámbito, el contexto, los fines y posibles riesgos del tratamiento al que se refiere la reclamación. Por todo ello, se solicita que se tenga en cuenta lo anteriormente expuesto en relación con la reclamación presentada.” CUARTO: En fecha 4 de noviembre de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
  28. c)del RGPD, tipificada en el artículo 83.5 del RGPD y por la presunta infracción del artículo 25 del RGPD, tipificada en el artículo 83.4 del RGPD. El acuerdo de inicio fue notificado conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación postal, siendo recibido en fecha 10 de noviembre de 2025, como consta en la prueba de entrega que obra en el expediente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  29. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  30. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En contestación al requerimiento de la AEPD realizado en el transcurso de las actuaciones de investigación, la CLM informa lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 “Actualmente se dispone de dos portafirmas corporativos que permiten a los empleados de esta administración la firma de documentos en formato pdf. Cuando un empleado va a firmar un documento en el portafirmas le aparece una pantalla para que configure la apariencia de la firma, pudiendo seleccionar los datos que desea que sean directamente visibles en el documento:(aportan impresión de la pantalla donde se puede configurar la apariencia, pudiendo elegir el funcionario mostrar o no entre otros el nombre, apellidos, DNI y puesto). Por tanto, el empleado es el que decide qué datos quiere que se vean directamente en la firma de los documentos. Tal como se ha indicado anteriormente, queda a criterio del empleado que firma el que su DNI sea visible en el documento o no. En cualquier caso, dado que el DNI es una propiedad almacenada en el certificado de empleado público emitido, siempre será accesible a través de la visualización de las propiedades de dicho certificado, funcionalidad de la que disponen todos los lectores de pdf. En la JCCM se dispone del servicio de emisión de certificado de empleado público desde 2017. En el momento en que se definieron las propiedades que dichos certificados debían incluir, la relativa al DNI era obligatoria.” SEGUNDO: Ha quedado constatado que los documentos que se firman por los empleados públicos son principalmente: - Informes - Oficios de remisión - Requerimientos de subsanación - Actas de reuniones de órganos colegiados (comisión de formación, entre otros) - Cartas informativas - Certificados de estado de tramitación - Informes técnicos - Memorias técnicas y económicas - Planos y proyectos - Certificaciones - Notificaciones - Carnés de operadores de las diferentes materias - Planes de operaciones, informes de dirección las diferentes materias - Documentos de conformidad de gastos - Actas de replanteo, de recepción - Propuestas de encargos/contratos. TERCERO: Consta que la delegada de protección de datos ha participado en varias evaluaciones de impacto y análisis de riesgos de tratamientos relacionados con las funciones de colectivos de empleados como los agentes medioambientales o los inspectores de bienestar social, etc. En las evaluaciones de impacto y análisis se ha recomendado al responsable del tratamiento la regulación de los códigos de identificación profesional como medida para garantizar la seguridad de los empleados o la puesta en conocimiento de la necesidad de extender esta garantía de la seguridad de los empleados públicos en los casos de la firma de documentos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 CUARTO: En el transcurso de las actuaciones de investigación, los representantes de la CLM han manifestado lo siguiente: “Desde esta administración y con el objetivo de proteger siempre los derechos y libertades de los empleados públicos y una vez identificado el riesgo del tratamiento del dato personal del DNI en la firma electrónica de los empleados públicos se están adoptando las siguientes medidas: Actualmente, esta Administración se encuentra en fase de estudio de las alternativas tecnológicas con nuestro proveedor de servicios de firma electrónica de los empleados públicos, tanto para la eliminación del DNI de las propiedades que se muestran al verificar los documentos y sustitución por otro identificador, como de cara a la emisión de certificados de seudónimo, todo ello garantizando el cumplimiento de la legislación vigente. Asimismo, hemos consultado a otros organismos públicos con el fin de estudiar las soluciones por las que se están optando y encontrar la mejor solución. Por otro lado, se está analizando esta cuestión con todos los órganos gestores afectados, tanto los competentes en materia de personal, de calidad de los servicios, las distintas consejerías, etc.; para definir una solución que realmente garantice los derechos de todos los empleados públicos y cumpla con la legalidad, sin menoscabar la validez de los documentos firmados por los empleados ni la capacidad de firma electrónica. Hay que ser consciente que el desarrollo de estos proyectos no exige únicamente un cambio tecnológico -circunstancia que se podría realizar de una forma más ágil siempre condicionados a las modificaciones presupuestarias- sino que debe ir acompañada de una gestión del cambio que va a afectar a todos los empleados de esta Administración y que precisa del correspondiente respaldo normativo. En este sentido, y para que la autoridad pueda hacerse una idea del alcance de este proyecto, se informa que actualmente esta Administración cuenta con más de 150.000 certificados de empleados públicos emitidos desde el año 2017. Además, se desarrolló una aplicación interna que permite a los empleados públicos obtener estos certificados de manera ágil (menos de 10 minutos), aprovechando la integración de distintos sistemas corporativos que permiten verificar de manera robusta la identidad del empleado: sistema de nóminas, sistema de registro de personal, proveedor de identidad corporativo, […] Estos componentes indicados forman parte de toda una Plataforma de Administración Digital corporativa y con un alto grado de madurez que compendia distintas aplicaciones con el fin de ofrecer a los empleados, de manera centralizada, todas las funcionalidades necesarias en su día a día. Por lo tanto, se considera que por parte de esta Administración se está trabajando para la adopción de las medidas organizativas y técnicas apropiadas para garantizar que el tratamiento sea conforme con la legislación sobre protección de datos, teniendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 en cuenta la naturaleza, el ámbito, el contexto, los fines y posibles riesgos del tratamiento al que se refiere la reclamación. Por todo ello, se solicita que se tenga en cuenta lo anteriormente expuesto en relación con la reclamación presentada.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Trasladando estos preceptos al caso concreto que se examina, el tratamiento del número del DNI/NIF/NIE constituye un tratamiento sobre un dato personal de especial sensibilidad, pues permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 255/2025, de 1 de abril, por el que se regula el Documento Nacional de Identidad, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento de especial sensibilidad dentro del ecosistema de datos personales. Además, su utilización indebida conlleva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del RGPD —conforme a los considerandos 51 y 75— permite considerar el número del DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado. En este sentido, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado, tal y como permite el precepto. Por otra parte, el artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la CLM realiza, entre otros tratamientos, la recogida y comunicación de datos personales de sus empleados públicos: número del documento de identidad, tipo de documento, fecha expedición del documento, primer apellido, segundo apellido, nombre, sexo, fecha de nacimiento, domicilio, imagen, entre otros. Este tipo de datos, así como cualquier otra información que se encuentre referida a personas físicas, tienen la consideración de dato de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. La CLM realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Determinada, por lo tanto, la existencia de un tratamiento de datos resulta prioritario analizar la actuación de la CLM desde la perspectiva de la normativa aplicable. III Régimen jurídico aplicable El artículo 87 del RGPD indica: “Tratamiento del número nacional de identificación” “Los Estados miembros podrán determinar adicionalmente las condiciones específicas para el tratamiento de un número nacional de identificación o cualquier otro medio de identificación de carácter general. En ese caso, el número nacional de identificación o cualquier otro medio de identificación de carácter general se utilizará únicamente con las garantías adecuadas para los derechos y las libertades del interesado con arreglo al presente Reglamento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 Por su parte, la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, en lo que respecta a la identidad y atributos de los titulares de los certificados cualificados, señala en su artículo 6: “1. La identidad del titular en los certificados cualificados se consignará de la siguiente forma:
  31. a)En el supuesto de certificados de firma electrónica y de autenticación de sitio web expedidos a personas físicas, por su nombre y apellidos y su número de Documento Nacional de Identidad, número de identidad de extranjero o número de identificación fiscal, o a través de un pseudónimo que conste como tal de manera inequívoca. Los números anteriores podrán sustituirse por otro código o número identificativo únicamente en caso de que el titular carezca de todos ellos por causa lícita, siempre que le identifique de forma unívoca y permanente en el tiempo.
  32. b)En el supuesto de certificados de sello electrónico y de autenticación de sitio web expedidos a personas jurídicas, por su denominación o razón social y su número de identificación fiscal. En defecto de este, deberá indicarse otro código identificativo que le identifique de forma unívoca y permanente en el tiempo, tal como se recoja en los registros oficiales. 2. Si los certificados admiten una relación de representación incluirán la identidad de la persona física o jurídica representada en las formas previstas en el apartado anterior, así como una indicación del documento, público si resulta exigible, que acredite de forma fehaciente las facultades del firmante para actuar en nombre de la persona o entidad a la que represente y, en caso de ser obligatoria la inscripción, de los datos registrales.” En el caso de empleados públicos de la CLM, el Decreto 12/2010, de 16 de marzo, por el que se regula la utilización de medios electrónicos en la actividad de la Administración de la Junta de Comunidades de Castilla-La Mancha, establece: “Artículo 15. Sistemas de firma electrónica de las autoridades y empleados públicos. 1. Las autoridades y empleados públicos de la Administración de la Junta de Comunidades de Castilla-La Mancha podrán utilizar los sistemas de firma electrónica siguientes:
  33. a)Firma basada en el Documento Nacional de Identidad electrónico.
  34. b)Firma basada en certificado de empleado público.
  35. c)Firma basada en los sistemas de firma electrónica emitidos por la Fábrica Nacional de La Moneda y Timbre-Real Casa de la Moneda. 2. Los sistemas de firma electrónica basados en certificado electrónico de empleado público sólo podrán ser utilizados para relacionarse con la Administración de la Junta de Comunidades de Castilla-La Mancha cuando ésta lo admita expresamente y en el desempeño de las funciones propias del puesto que ocupen.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 Y la Orden 111/2018, de 20 de junio, de la Consejería de Hacienda y Administraciones Públicas, por la que se regula la obtención y utilización de la firma electrónica, basada en el certificado de empleada y empleado público, del personal al servicio de la Administración de la Junta de Comunidades de Castilla-La Mancha establece que: “Artículo 2. Certificado de empleada y empleado público. 1. El certificado de empleada y empleado público es un certificado electrónico de firma reconocida, válido para la realización de firma electrónica por parte de las autoridades y personal de la Administración de la Junta de Comunidades, que vincula a su titular con unos datos de verificación de firma, al confirmar de forma conjunta:
  36. a)La identidad de su titular y la condición de empleada y empleado público.
  37. b)La Administración donde ejerce sus competencias, presta sus servicios o desarrolla su actividad”». Por lo tanto, el tratamiento de datos está sometido a una serie de principios y normativa que buscan proteger la privacidad de las personas. Esto incluye que a fin de cumplir con la finalidad de identificar al autor del acto y de procurar la protección eficaz de las personas físicas, no deban incluirse datos adicionales que, tratándose de datos de carácter personal, serían contrarios al principio de minimización de datos recogido en el artículo 5.1.
  38. c)del RGPD, según el cual los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Por consiguiente, la incorporación, tanto en la firma de los documentos electrónicos o en papel como en la marca de agua, del dato relativo al DNI del funcionario firmante, podría constituir un tratamiento excesivo. IV Obligación incumplida. Minimización de datos. La letra
  39. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  40. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En el presente caso, en el transcurso de las actuaciones de investigación llevadas a cabo, la CLM ha manifestado y ha aportado evidencias, sobre la posibilidad, por parte del funcionario firmante, de optar por no hacer visible su número de DNI en el texto del documento firmado electrónicamente. No obstante, muchos visores de documentos pdf permiten visualizar y verificar las firmas digitales de un documento pdf, y, en concreto, la identidad del firmante, mediante su nombre y apellidos, así como su número del DNI, por lo que estos datos siempre podrán consultarse, aunque no se muestren directamente en el documento. En el caso de los funcionarios de la CLM, cuyos certificados fueron emitidos con el nombre y apellidos, así como el número de DNI del titular, estos datos son consultables mediante un visor de documentos pdf que incorpore la opción de visualización del detalle del certificado electrónico utilizado para la firma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 A este respecto, el Informe 0088/2020 del Gabinete Jurídico de esta Agencia concluye afirmando que: “Por consiguiente, tratándose del uso de sistemas de firma electrónica por parte de los empleados públicos, no siendo el DNI/NIE/NIF un dato que deba legalmente figurar en los actos administrativos, el mismo no debería figurar ni en los certificados electrónicos ni en la firma electrónica, garantizándose en todo caso que no se tiene conocimiento del mismo a través de los sistemas de código seguro de verificación, pudiendo optarse, entre otros posibles sistemas de identificación adicionales, por otros números de identificación, por el reflejo del cargo/departamento en que se encuadra el empleado público o, incluso, por la ampliación de los supuestos de uso de seudónimo, atendiendo a la actividad pública desarrollada, posibilidad que ahora abre la reciente Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza en el apartado 1 de su artículo 6. De este modo se estaría dando cumplimiento al principio de minimización de datos, estableciéndose las garantías adecuadas por el legislador conforme al citado artículo 87 del RGPD, debiendo modificarse en este sentido la normativa nacional reguladora del uso de la firma electrónica en el ámbito de los certificados emitidos para el personal al servicio de la Administración General del Estado y de sus organismos públicos vinculados o dependientes. En este contexto, sería igualmente deseable la adopción de un perfil de certificado con seudónimo común que, cumpliendo los requisitos exigidos para los certificados cualificados, establezca como identificador un número de identificación profesional construido en base a una misma regla de codificación aplicable a toda la Administración General del Estado y sus organismos públicos dependientes”. En consecuencia, se considera que los hechos acreditados son constitutivos de una infracción, imputable a la CLM, por vulneración del artículo 5.1.
  41. c)del RGPD transcrito anteriormente, en la medida en que la incorporación, en la firma de los documentos electrónicos, del dato relativo al DNI del funcionario firmante constituye un tratamiento excesivo. V Tipificación de la infracción del artículo 5.1.
  42. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  43. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  44. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Obligación incumplida. Artículo 25 RGPD. Protección de datos desde el diseño y por defecto (PDDD) El artículo 25 del RGPD establece lo siguiente: "1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. 3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo." Este artículo tiene como antecedente el 24 que indica: “Responsabilidad del responsable del tratamiento. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y se actualizarán cuando sea necesario.” El artículo 25, apartado 1, estipula que los responsables del tratamiento deben tener C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 en cuenta la PDDD desde el momento en que comienzan a planificar una nueva operación de tratamiento. Los responsables del tratamiento aplicarán la PDDD antes del tratamiento, y también de forma continuada en el momento del tratamiento, revisando regularmente la efectividad de las medidas y garantías elegidas. La PDDD también se aplica a los sistemas ya existentes que tratan datos personales. La obligación esencial es la aplicación de medidas adecuadas y las garantías necesarias para la aplicación efectiva de los principios de protección de datos y, en consecuencia, proteger los derechos y libertades de los interesados desde el diseño y por defecto. Se busca que se lleve a la practica la aplicación de medidas y procedimientos internos que pongan en funcionamiento real la garantía y eficacia de los principios de protección de datos y de los derechos de los afectados, con unos mínimos básicos o comunes y unos añadidos modulables específicos en función del riesgo y naturaleza de los datos. Se traduce en estrategias y procedimientos concretos definidos al nivel del responsable del tratamiento de datos, así como en garantizar igualmente la eficacia de dichas medidas (seguimiento, auditorías internas y externas, etc.). El resultado pretendido es que el haber llevado a cabo medidas eficaces desde el diseño tendentes a observar los principios materiales de la Protección de Datos sería menos probable una infracción de la normativa. La idoneidad de las medidas técnicas y organizativas deberá decidirse caso por caso. Corresponde a los responsables del tratamiento de datos adoptar dichas decisiones siguiendo, en su caso, las directrices publicadas por las autoridades de Protección de Datos nacional y del grupo de trabajo del artículo 29 ahora el Comité Europeo de Protección de Datos. En cuanto a las medidas específicas aplicables, deben determinar si en función de los hechos y circunstancias de cada caso particular, con atención especial al riesgo del tratamiento y a los tipos de datos. El principio de privacidad desde el diseño es una muestra del paso de la reactividad a la proactividad y manifestación directa del enfoque de riesgos que impone el RGPD. Parte de la responsabilidad proactiva, impone que, desde los estadios más iniciales de planificación de un tratamiento debe de ser considerado este principio: el responsable del tratamiento desde el momento en que se diseña y planifica un eventual tratamiento de datos personales deberá determinar todos los elementos que conforman el tratamiento, a los efectos de aplicar de forma efectiva los principios de protección de datos, integrando las garantías necesarias en el tratamiento con la finalidad última de, cumpliendo con las previsiones del RGPD, proteger los derechos de los interesados. Así, y respecto de los riesgos que pueden estar presentes en el tratamiento, el responsable del tratamiento llevará a cabo un ejercicio de análisis y detección de los riesgos durante todo el ciclo de tratamiento de los datos, con la finalidad primera y última de proteger los derechos y libertades de los interesados, y no solo cuando efectivamente se produce el tratamiento. Así se expresa en las Directrices 4/2019 del CEPD relativas al artículo 25 Protección de datos desde el diseño y por defecto, adoptadas el 20/10/2020. En las citadas Directrices se indica al respecto que: “35. El «momento de determinar los medios de tratamiento» hace referencia al período de tiempo en que el responsable está decidiendo de qué forma llevará a cabo el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 tratamiento y cómo se producirá este, así como los mecanismos que se utilizarán para llevar a cabo dicho tratamiento. En el proceso de adopción de tales decisiones, el responsable del tratamiento debe evaluar las medidas y garantías adecuadas para aplicar de forma efectiva los principios y derechos de los interesados en el tratamiento, y tener en cuenta elementos como los riesgos, el estado de la técnica y el coste de aplicación, así como la naturaleza, el ámbito, el contexto y los fines. Esto incluye el momento de la adquisición y la implementación del software y hardware y los servicios de tratamiento de datos. 36. Tomar en consideración la PDDD desde un principio es crucial para la correcta aplicación de los principios y para la protección de los derechos de los interesados. Además, desde el punto de vista de la rentabilidad, también interesa a los responsables del tratamiento tomar la PDDD en consideración cuanto antes, ya que más tarde podría resultar difícil y costoso introducir cambios en planes ya formulados y operaciones de tratamiento ya diseñadas”. Para ello debe recurrir al diseñar el tratamiento a los principios recogidos en el artículo 5 del RGPD, que servirán para aquilatar el efectivo cumplimiento del RGPD. Así, las citadas Directrices 4/2019 del CEPD disponen que “61. Para hacer efectiva la PDDD, los responsables del tratamiento han de aplicar los principios de transparencia, licitud, lealtad, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva. Estos principios están recogidos en el artículo 5 y el considerando 39 del RGPD”. La Guía de Privacidad desde el Diseño de la AEPD afirma que “La privacidad desde el diseño (en adelante, PbD) implica utilizar un enfoque orientado a la gestión del riesgo y de responsabilidad proactiva para establecer estrategias que incorporen la protección de la privacidad a lo largo de todo el ciclo de vida del objeto (ya sea este un sistema, un producto hardware o software, un servicio o un proceso). Por ciclo de vida del objeto se entiende todas las etapas por las que atraviesa este, desde su concepción hasta su retirada, pasando por las fases de desarrollo, puesta en producción, operación, mantenimiento y retirada”. La Guía dispone que “La privacidad debe formar parte integral e indisoluble de los sistemas, aplicaciones, productos y servicios, así como de las prácticas de negocio y procesos de la organización. No es una capa adicional o módulo que se añade a algo preexistente, sino que debe estar integrada en el conjunto de requisitos no funcionales desde el mismo momento en el que se concibe y diseña (…) La privacidad nace en el diseño, antes de que el sistema esté en funcionamiento y debe garantizarse a lo largo de todo el ciclo de vida de los datos”. Por ello, la privacidad desde el diseño, obligación del responsable del tratamiento que nace antes de que el sistema esté en funcionamiento, no son meros añadidos que se van asentando sobre un sistema construido de espaldas al RGPD. Ligado a la edificación de una verdadera cultura de protección de datos en la organización, implica también por mor de la responsabilidad proactiva la capacidad de documentar todas las decisiones que se adopten con un enfoque “privacy design thinking”, demostrando el cumplimiento del RGPD también en este aspecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24 El enfoque de riesgos hace referencia directa e inmediata a un sistema preventivo tendente a visualizar, respecto de un tratamiento de datos personales, los riesgos en los derechos y libertades de las personas físicas. En relación con los riesgos en esos derechos y libertades, han de identificarse los riesgos, evaluar su impacto y valorar la probabilidad de que aquellos se materialicen. Se protegen pues, no los datos, sino a las personas que están detrás de ellos. Los riesgos para los derechos y libertades de las personas físicas, derivados del tratamiento de datos personales, pueden ser de gravedad y probabilidad variables y provocar daños y perjuicios físicos, materiales o inmateriales, consecuencias tangibles o intangibles, en los derechos y las libertades de las personas físicas. El considerando 75 del RGPD y el artículo 28.2 de la LOPDGDD recopilan ejemplificativamente algunos de los considerados por el legislador, mas no son los únicos. Dependerá del tratamiento y el contexto en el que este se realiza, de los datos personales tratados, de las personas involucradas, de los medios utilizados, etc. En el presente caso, no se ha acreditado que se protejan debidamente los derechos y libertades de los intervinientes, que es la finalidad última que persigue el RGPD a través de la protección de datos desde el diseño. La responsabilidad proactiva impone que, desde los estadios más iniciales de planificación de un tratamiento debe de ser considerado este principio: el responsable del tratamiento desde el momento en que se diseña y planifica un eventual tratamiento de datos personales deberá determinar todos los elementos que conforman el tratamiento, a los efectos de aplicar de forma efectiva los principios de protección de datos, integrando las garantías necesarias en el tratamiento con la finalidad última de, cumpliendo con las previsiones del RGPD, proteger los derechos de los interesados. En este sentido, se debería suprimir, del certificado electrónico del empleado público, el DNI/NIE para proteger los datos personales de los empleados públicos y dar cumplimiento así al principio de minimización de datos del RGPD y por otra parte, no dejar dicha elección al empleado, pudiendo optarse, entre otros posibles sistemas de identificación, por otros menos intrusivos, tratando de introducir garantías en el tratamiento del DNI/NIE o equivalente, partiendo de la base de la injerencia que puede suponer en el derecho fundamental a la protección de datos personales que se conozcan conjuntamente el nombre y apellidos y el DNI/NIE de una persona, además del importante riesgo de usurpación de identidad que puede producirse. La CLM no cuenta con un procedimiento para el cumplimiento del principio de responsabilidad proactiva, ya que tal y como ha afirmado en el transcurso de las actuaciones de investigación, se encuentra en fase de estudio de las alternativas tecnológicas con el proveedor de servicios de firma electrónica de los empleados públicos para la eliminación del DNI de las propiedades que se muestran al verificar los documentos y sustitución por otro identificador, como de cara a la emisión de certificados de seudónimo. Así entiende la CLM que el desarrollo de estos proyectos no exige únicamente un cambio tecnológico -circunstancia que se podría realizar de una forma más ágil siempre condicionados a las modificaciones presupuestarias- sino que debe ir acompañada de una gestión del cambio que va a afectar a todos los empleados de esta Administración y que precisa del correspondiente respaldo normativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 Se observa por todo ello que la CLM no tiene previsto un procedimiento desde el diseño para la garantía de la aplicación de la normativa de protección de datos. En virtud del principio de responsabilidad proactiva (artículo 5.2 del RGPD), el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 del artículo 5 y ha de ser capaz de demostrarlo. Así las cosas, esta Agencia considera que la CLM ha vulnerado el artículo 25 del RGPD, que regula la protección de datos desde el diseño y por defecto, donde se exige al responsable del tratamiento la obligación de aplicar, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, concebidas para aplicar de forma efectiva los principios de protección de datos, e integrar las garantías adecuadas en el uso de la firma electrónica en el ámbito de los certificados emitidos para el personal al servicio de la misma, a fin de cumplir los requisitos del RGPD y proteger los derechos de los interesados. En consecuencia, se considera que los hechos acreditados son constitutivos de una infracción, imputable a la CLM, por vulneración del artículo 25 del RGPD transcrito anteriormente. VII Tipificación de la infracción del artículo 25 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  45. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  46. d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679." VIII Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  47. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  48. b)Los órganos jurisdiccionales.
  49. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  50. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  51. e)Las autoridades administrativas independientes.
  52. f)El Banco de España.
  53. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  54. h)Las fundaciones del sector público.
  55. i)Las Universidades Públicas.
  56. j)Los consorcios.
  57. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción, siendo éste el caso de la CLM. IX Medidas correctivas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por tanto, se requiere a CLM para que, en el plazo máximo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas necesarias para la eliminación del DNI de las propiedades que se muestran al verificar los documentos, todo ello garantizando el cumplimiento de la legislación vigente, de tal modo que su diseño y configuración se realice minimizando los datos personales que deban ser objeto de tratamiento, limitando el acceso a dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 datos al imprescindible para el cumplimiento de su finalidad y acredite las alternativas tecnológicas adoptadas con el proveedor de servicios de firma electrónica. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por otra parte, se recuerda que el reconocimiento de la infracción cometida no exime de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar el cumplimiento de esa obligación. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la COMUNIDAD AUTÓNOMA DE CASTILLA LA MANCHA, con NIF S1911001D, ha infringido lo dispuesto en el artículo 5.1.
  58. c)del RGPD y lo dispuesto en el artículo 25 del RGPD, infracciones tipificadas en los artículos 83.5 del RGPD y 83.4 del RGPD, respectivamente. SEGUNDO: ORDENAR a la COMUNIDAD AUTÓNOMA DE CASTILLA LA MANCHA, con NIF S1911001D, que en virtud del artículo 58.2.
  59. d)del RGPD, en el plazo máximo de 6 meses desde que la presente resolución sea firme y ejecutiva, adopte las medidas necesarias para la eliminación del DNI de las propiedades que se muestran al verificar los documentos, todo ello garantizando el cumplimiento de la legislación vigente, de tal modo que su diseño y configuración se realice minimizando los datos personales que deban ser objeto de tratamiento, limitando el acceso a dichos datos al imprescindible para el cumplimiento de su finalidad y acredite las alternativas tecnológicas adoptadas con el proveedor de servicios de firma electrónica. TERCERO: NOTIFICAR la presente resolución a la COMUNIDAD AUTÓNOMA DE CASTILLA LA MANCHA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3.
  60. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.