← España

PS-00134-2019

1/8  Procedimiento Nº: PS/00134/2019 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF (en adelante, el reclamante) con fecha 23/10/2018 interpuso reclamación ante la Agencia Española de Protección de Datos porque en una dirección url que señala, de ***URL.1, “ha estado publicada información personal de trabajadores interinos que prestan sus servicios para el Principado de Asturias”, “al menos durante una semana con acceso libre”. Se podía acceder al pdf cuya copia adjunta. Se trata de hojas tipo Excel “LISTA DE EMPLEO ATS, resolución ***RESOLUCIÓN.1 BOPA ***BOPA.1 entra en funcionamiento 1/11/15”. El listado contiene número de orden, hasta el 140, número de ejercicios aprobados, algunos uno, otros dos o cero, nota, NIF, apellidos y nombre, teléfono, móvil y fijo, casillas marcadas en los números 1 a 6 y observaciones sobre la vacante. En hoja que continua se contienen “Zonas”, “día de llamada, hora, resultado llamada”. SEGUNDO: Tras la recepción de la reclamación, el 14/12/2018, la Subdirección General de Inspección de Datos procedió, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales, se traslada la reclamación a Consejería de Presidencia y participación ciudadana del Principado de Asturias, Secretaria General Técnica, instando que diera respuesta al reclamante y que detallara lo sucedido y las medidas implementadas para que no se reiteraran hechos como los objeto de la reclamación. TERCERO: Con fecha 4/01/2019, se recibe escrito en el que manifiesta que es delegado de protección de datos, desempeñando sus atribuciones exclusivamente en el ámbito de la Consejería de Presidencia y participación ciudadana y que no ejerce sus funciones para el responsable del tratamiento que da lugar a la citada reclamación. Aporta un escrito de “comunicación interna”, remitiendo la reclamación desde la Secretaria General Técnica a la “Dirección Gerencia” de ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS con fecha 26/12/2018. En la remisión se le añade que se le acompaña informe del Jefe de Servicio de Publicaciones, archivos administrativos, documentación y participación ciudadana. Según copia de la misma, “informe sobre publicación de bolsa de trabajo de ATS del ERA”, indica que se alude a una dirección electrónica que corresponde a la sede electrónica del Principado de Asturias. “Se entiende que la reclamación no se refiere a lo publicado en el BOPA sino a una publicación realizada en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 sede electrónica”. “El anuncio publicado en el BOPA que se corresponde con esos datos no muestra información personal”. “El anuncio publica la resolución de ***RESOLUCIÓN.1 de la Directora Gerente del Organismo Autónomo Establecimientos Residenciales para ancianos de Asturias, por la que se dispone la contratación laboral por tiempo indefinido de 10 plazas de titulado grado medio ATS-convocatoria publicada en el BO Principado de Asturias ***BOPA.2.” “La URL se corresponde a la sede electrónica del Principado de Asturias, en la que hay un apartado de “ofertas de empleo público” que se gestiona directamente por los respectivos órganos responsables mediante una aplicación informatica que realiza la publicación de forma autónoma. El responsable de la mayoría de las publicaciones es el servicio de administración de personal a través de la sección de personal temporal. Sin embargo, en este caso, al tratarse de una bolsa del ERA, el órgano responsable es el área de gestión de RRHH a través de la sección de contratación y gestión de personal.” Efectúa una búsqueda en el buscador de la sede electrónica con el término “ats” y entre otros resultados, señala un pdf “ATS LISTA EMPLEO ATS ERA 2015 personal laboral proceso selectivo disponible SI-bolsa de trabajo ERA-Lista de empleo ATS ERA 2015”. Se muestra el documento al que alude en la reclamación “en estos momentos informa de que la lista no está disponible actualmente”. Se realiza otra búsqueda con el término “auxiliar enfermería”, resultando un listado pdf “personal laboral proceso selectivo lista empleo ERA Aux enfermería 2015 PDF” con un listado de 10 empleados con apellidos y nombre, NIF, nota, número en bolsa, zonas, resultado llamada. “Pero en esa misma pantalla hay otras bolsas como por ejemplo la de AUXILIAR Educador, que muestra datos similares, aludiendo a la “lista empleo auxiliar educador, OEP 2016, resolución ***RESOLUCIÓN.2, BOPA ***BOPA.3, toma posesión 10/09/2018 y un listado tipo Excel con datos de cuatro personas, con nombres y apellidos, nif, nota , fecha llamada 10/09/2018.” “Actualmente se encuentran publicados muchos documentos que no son conformes con la normativa de protección de datos, además del reclamado en este caso”. Propuesta: “Se propone el envío a todas las Secretarias Generales Técnicas para que lo hagan llegar a los órganos de sus respectivas consejerías que publican directamente en sede electrónica o aquellos que remiten información para su publicación bien en el portal Asturias o bien el de transparencia un texto similar al siguiente (Se refiere a la nueva Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales-en lo sucesivo LOPDGDD-, su disposición adicional séptima). CUARTO: El Organismo Autónomo ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS, (ERA) (reclamado) adscrito a la Consejería de Servicios y Derechos Sociales presenta escrito el 24/01/2019. Aporta la misma copia del listado que adjuntó el reclamante, con los NIF no completos y el nombre y apellidos. Manifiesta que “la lista fue inmediatamente bloqueada, dejando mensaje informativo de lista no disponible actualmente” y se pasa a elaborar la lista conforme a lo dispuesto en la LOPDGDD. QUINTO Con fecha 20/03/2019, la Directora de la AEPD admite a trámite la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 SEXTO: Se accede al BOPA de ***BOPA.1, y se visiona la resolución de la Consejería de Servicios y Derechos Sociales, ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS (ERA) de ***RESOLUCIÓN.1, de la Directora Gerente del ORGANISMO AUTÓNOMO “ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS” (ERA), por la que se dispone la contratación laboral por tiempo indefinido de 10 plazas de Titulado Grado Medio (ATS) (convocatoria publicada en el Boletín Oficial del Principado de Asturias de 13/11/2009. En su punto primero se indica: Primero.—Concertar contrato de trabajo de carácter laboral fijo con los trabajadores que figuran en el anexo que acompaña a esta Resolución y adjudicar los destinos, que tendrán el carácter de definitivos en los Concejos y Centros de trabajo que se citan en el mismo. El anexo contiene solo 10 nombres y apellidos de los que han superado la prueba. SÉPTIMO: Con fecha 30/10/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5 del RGPD. No se reciben alegaciones. OCTAVO: Con fecha 17/03/2020 se formuló propuesta de resolución enviada telemáticamente, con el resultado de expirada al no ser abierta por el reclamado. Un segundo envío se produce por correo ordinario, advirtiendo de los efectos de la notificación telemática y siendo recogido. En el mismo se significaba: ”Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a ORGANISMO AUTÓNOMO ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS, por una infracción del artículo 5.1

  1. a)del RGPD, de conformidad con el Artículo 83.5
  2. a)del RGPD, Informe de las medidas implantadas para que listados con datos personales de ofertas de empleo o bolsas de trabajo no sean visibles cuando se haya cumplido su finalidad, plazo de exposición y bloqueo de datos.” Manifiesta en alegaciones que la lista aludida en la reclamación fue inmediatamente bloqueada dejando mensaje informativo de “Lista no disponible actualmente. En breve subsanaremos el problema”. Posteriormente, elaboraron dicha lista conforme a la disposición adicional séptima de la LOPDGDD, publicando nombre y apellidos y añadiendo cuatro cifras numéricas aleatorias del DNI. Indican que la dirección electrónica del acceso a la aludida lista era: ***URL.2, a la que se accede el 27/07/2020 y figura que no existe, no obstante, se accede a ***URL.1, y se halla publicado un listado ordenado, con 140, con datos de apellidos y nombre, NIF solo cuatro cifras, conteniendo día de llamada, hora y resultado de llamada, acepta, la localidad, o trabaja ERA. Se trata de resolución ***RESOLUCIÓN.1 BOPA ***BOPA.1, “entrara en funcionamiento 1/11/15”. Es el mismo listado objeto de la reclamación. Supuestamente, este listado de 2015 habrá cumplido su función, por lo que en aplicación del principio de “limitación de plazo de conservación”, permanecen datos más tiempo del necesario para los fines del tratamiento, salvo acreditación en contra. Se ignora si existen más listados similares pero les sería aplicable el mismo principio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1) El reclamante manifiesta que varias hojas tipo listado excel tituladas “LISTA DE EMPLEO ATS, resolución ***RESOLUCIÓN.1 BOPA ***BOPA.1 entra en funcionamiento 1/11/15”, conteniendo número de orden, hasta el 140, número de ejercicios aprobados ( 1 o 2) , nota, NIF, apellidos y nombre, teléfono, móvil y fijo con las casillas marcadas en los números 1 a 6 y observaciones sobre la vacante, han estado expuestas en la sede electrónica del Principado de Asturias. En hoja que continua, se contienen “Zonas”, día de llamada, hora, resultado llamada. En observaciones figuran fechas de referencia como anteriores a 4/11/2015 y anotaciones sobre cada persona, cese, vacante previa, trabaja etc., acepta RIAÑO, no acepta exclusión, fechas llamada 4/10/2018 como más cercana. 2) Con fecha 4/01/2019 se acredita que existe en la sede electrónica del Principado una opción en ofertas de empleo público, con “buscar oposiciones” o “bolsa de trabajo”. Efectuada búsqueda por ATS, figura la lista empleo ATS ERA 2015, personal laboral, bolsa de trabajo ERA. Al pinchar en el pdf figura la anotación “ LISTA DE EMPLEO ATS, Resolución ***RESOLUCIÓN.1 BOPA ***BOPA.1 entra en funcionamiento 1/11/15” “listado no disponible actualmente, en breve subsanaremos el problema.” El reclamado confirma en escrito de 24/01/219 que el listado fue bloqueado, sin embargo , a 27/07/2020, si estaba disponible en la sede en la url ***URL.1, el mismo listado objeto de la reclamación con apellidos y nombre, NIF solo cuatro cifras, conteniendo día de llamada, hora y resultado de llamada, acepta, la localidad, o trabaja ERA . Además de contenerse datos que no se prevén en norma o disposición alguna, día de llamada, hora y resultado de llamada, acepta, la localidad, o trabaja ERA propios de la gestión de la bolsa de trabajo, supuestamente, este listado de 2015 habrá cumplido su función, por lo que en aplicación del principio de “limitación de plazo de conservación”, no se acredita su vigencia. 3) Como señaló la delegada de protección de datos de la Consejería de Presidencia y participación, se puede efectuar en la sede electrónica una búsqueda con el término “ “auxiliar enfermería”, resultando un listado pdf “personal laboral proceso selectivo lista empleo era Aux enfermería 2015 PDF” entrará en funcionamiento 13/05/2015 resolución ***RESOLUCIÓN.3, BOPA ***BOPA.4 con días llamada “12/01/2016” con un listado de 10 empleados con apellidos y nombre, NIF, nota, número en bolsa, zonas, resultado llamada. En esa misma pantalla hay otras bolsas como por ejemplo la de AUXILIAR Educador que muestra datos similares, aludiendo a la “lista empleo auxiliar educador, OEP 2016, resolución ***RESOLUCIÓN.2, BOPA ***BOPA.3, toma posesión 10/09/2018” y un listado tipo Excel con datos de cuatro personas, con nombres y apellidos, nif, nota , fecha llamada 10/09/2018. También se verifica en el curso de este expediente, que accediendo el 9/03/2020 a la sede electrónica del Principado de Asturias, en el apartado oferta de empleo Público y se aprecia que existen datos personales: DNI completo, nombre y apellidos y si trabajó o no, y si acepta la propuesta de trabajo, en listados de convocatorias de 2005 que presumiblemente han cumplido su función. A título de ejemplo, figura Listado empleo de diplomado en enfermería resolución ***RESOLUCIÓN.4 BOPA ***BOPA.5 que presumiblemente ya ha cumplido su función. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 4) El reclamado no ha informado “de las medidas implantadas para que listados con datos personales de ofertas de empleo o bolsas de trabajo no sean visibles cuando se haya cumplido su finalidad, plazo de exposición y bloqueo de datos.” que se contenía en la propuesta. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se plantea una primera cuestión que el listado del BOE es de 10 personas, el que aparece objeto de la denuncia es de 140. No se ha dado razón del tipo, finalidad y legitimación de la exposición de los 140 integrantes del listado, pues no aparece relacionado con el BOPA. No existe base legitimadora para la citada exposición por lo que se imputó a reclamado la infracción del artículo 6.1 del RGPD que señala: ”Licitud del tratamiento””1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:” enumerando distintas, no concurriendo ninguna de ellas para el tratamiento llevado a cabo en la página señalada tal como se ha efectuado. Si bien se imputaba una infracción del artículo 6.1 del RGPD, en la propuesta de resolución se cambia la calificación de la infracción, pues se considera más adecuado tipificar los hechos objeto de la denuncia como incardinados en el artículo 5.1 a). Así, la exposición y publicación de los listados con los datos: DNI, nombre y apellidos, y números de teléfonos fijos y/o móviles, y resultados de las llamadas con anotaciones, en la sede electrónica del Principado de Asturias con acceso para cualquier persona, supone una infracción del citado artículo, al no haber legitimación para el conjunto de elementos que están publicados, añadiéndose además que podría tratarse de un proceso ya finalizado desde 2015 y permanece expuesto. El artículo 5.1.
  3. a)del RGPD indica: “Los datos personales serán:
  4. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); El documento expuesto más bien podría calificarse de un documento interno de gestión, al contenerse como bloque, datos que no han de exponerse para darles la publicidad que busca la concurrencia de los procesos, si se trata de bolsas de empleo o cualquier otro proceso selectivo. Tras el desarrollo de las pruebas parece que se confecciona un listado sobre el que se producen anotaciones, y en ningún caso existe habilitación legal para exponer en una web, en sede electrónica dicho listado a conocimiento de terceros. Pudo deberse a un error que denota falta de diligencia. No existe pues, causa alguna legitimadora que habilite la exposición de los datos en sede electrónica abierta tal como se dio, una especie de documento de gestión del proceso que no guarda relación ni con calificaciones ni con trasparencia al sobrepasar dichos elementos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Además, como principio básico del RGPD, a la hora de tratar los datos, siempre se ha de optar por los datos mínimos necesarios para el grupo de afectados para alcanzar su fin. Se acredita pues la comisión de la infracción del artículo 5.1.
  5. a)del RGPD. Asimismo, se ha de entender que los listados no deberían permanecer en la página al haber cumplido su finalidad y el reclamado no justifica motivos de que en la tramitación de este procedimiento pervivían esos listados, aunque fuera con el DNI incompleto. III El artículo 83.5 del RGPD “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  6. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” IV El artículo 72 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) señala: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  8. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8
  9. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1.
  10. c)y 2. 4. 5. y 6. de la LOPDDGG: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  11. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.” Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ESTABLECIMIENTOS RESIDENCIALES DE ANCIANOS DE ASTURIAS, con NIF Q8350062I, por una infracción del artículo 5.1
  12. a)del RGPD, de conformidad con el artículo 83.5 del RGPD, una multa de APERCIBIMIENTO, de conformidad con el artículo 58.2.
  13. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a ESTABLECIMIENTOS RESIDENCIALES DE ANCIANOS DE ASTURIAS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 TERCERO: ESTABLECIMIENTOS RESIDENCIALES DE ANCIANOS DE ASTURIAS deberá acreditar en cumplimiento del artículo 58.2.
  14. d)del RGPD las medidas implantadas para que listados los datos personales de ofertas de empleo o bolsas de trabajo no sean visibles cuando se haya cumplido su finalidad, plazo de exposición y bloqueo de datos.”. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.