PS-00189-2023

1/18  Expediente N.º: EXP202213770 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante el reclamante) con fecha 19/11/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la UNIVERSIDAD DE VALLADOLID con NIF Q4718001C (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que participó en una convocatoria de plazas ofertadas por el reclamado, aportando para ello extensa documentación con sus datos personales, si bien tuvo noticia de que existió una impugnación de un participante en la convocatoria, que solicitó documentación presentada al proceso por el resto de candidatos, siendo facilitada esta por el reclamado sin acometer las debidas medidas de seguridad que garantizaran la confidencialidad de datos sobre los que el recurrente de la convocatoria no cuenta con interés legítimo. Señala que el reclamado le remitió copia de la solicitud realizada por el recurrente, incluyendo el Código de Verificación del Documento (C.V.D.), además de códigos de barras y QRS que permiten el pleno acceso a los documentos originales sin censurar. Aporta copia de su solicitud de participación en la convocatoria, extracto de la reclamación presentada por el recurrente en la convocatoria, reclamación planteada por el reclamante ante el reclamado y copia de la solicitud del recurrente en el proceso selectivo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 30/12/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/01/2023 como consta en el acuse de recibo que obra en el expediente. El DPD mediante escrito de 31/01/2023 respondía que analizada la incidencia había solicitado información y que vista la información aportada se habían constatado una serie de riesgos. En su Guía de Privacidad desde el Diseño la Agencia Española de Protección de Datos recomendaba disponer de estrategias de diseño de la privacidad, una de las cuales “ocultar” sin duda debió haberse aplicado correctamente. Se había oficiado instrucciones a los Órganos de gobierno y Servicios administrativos correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 En lo que respecta a la petición de la AEPD de identificar nominalmente a la autoridad o directivo responsable del tratamiento en el momento de la emisión de los informes técnicos y recomendaciones, la opinión del delegado es que debe diferenciarse entre la responsabilidad jurídica y la relativa a la gestión. En cuanto a la primera, la Secretaria General tiene delegadas las competencias en dirección de la política de protección de datos en la Universidad. Sin embargo, las tareas de tratamiento de la información objeto de la reclamación han sido efectuadas por el Servicio de Profesorado. TERCERO: Con fecha 19/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por el reclamante. CUARTO: Con fecha 10/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por las presuntas infracciones de los artículos 5.1.

1. f)y 32.1 del RGPD, tipificadas en el artículo 83.5.
2. a)y 83.4.
3. a)del RGPD. QUINTO: Notificado el acuerdo de inicio en fecha 24/07/2023, la parte reclamada presentó escrito de alegaciones formulando en síntesis lo siguiente: que como consecuencia del requerimiento de la AEPD de 30/12/2022, analizada y comprobada la incidencia producida, se emitió informe de 28/01/2023 analizando los riesgos existentes en el proceso de anonimización y se proponía una estrategia de diseño incorporando medidas para evitas situaciones como la producida. Entre estas medidas destacaba la Propuesta de instrucciones para la gestión de procesos selectivos en los que se trate documentación curricular que contenga datos personales. El 31/01/2023 el reclamado dio respuesta al citado requerimiento dando traslado de los informes del DPD e informes técnicos y propuestas de actuación; como medida de remedio se contemplaba que el documento anterior fuera puesto en conocimiento del Servicio correspondiente. Se realizaron reuniones de trabajo y el documento fue mejorado y completado resultando el documento Instrucciones para la gestión de procesos selectivos en los que se trate documentación curricular que contenga datos personales de 07/02/2023. El DPD señalaba que el uso de los sistemas de verificación de los documentos administrativos basados en códigos que se utilizan en las Administraciones públicas españolas suponen un riesgo para la privacidad de los interesados al proporcionar estos sistemas la descarga del documento original y que para ofrecer una copia anonimizada a quienes soliciten el acceso al expediente, se requeriría la eliminación, precisamente, del único elemento que permite verificar su autenticidad, así el acceso a la documentación presentada, encontraría una barrera para quien solicita ese acceso a la información pública, al no poder verificar la autenticidad del documento. Que para dar cumplimiento al derecho a acceder y obtener copia de los documentos contenidos en el procedimiento selectivo de referencia, se facilitó la documentación pedida por el solicitante en el convencimiento de que esta comunicación quedaba amparada por la LPACAP y que, no obstante, con el fin de mitigar el riesgo y salvaguardar el derecho fundamental a la protección de datos el reclamado ha optado por exigir el enmascaramiento del número de validación de cada documento emitido electrónicamente. Asimismo, alerta que el riesgo detectado por el reclamado en lo relativo al uso de los sistemas de verificación documental se esté produciendo en el conjunto de las Administraciones Publicas por lo que solicita a la AEPD una Auditoría de Oficio y dicte instrucciones para que se pueda adoptar en el conjunto de las Administraciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 SEXTO: Con fecha 27/09/2023 se acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado, y la documentación que a ellas acompaña. SEPTIMO: Con fecha 24/05/2024 fue emitida Propuesta de Resolución en el sentido de que por la Directoria de la AEPD se declarara que la parte reclamada había infringido los artículos 5.1.
4. f)y 32.1 del RGPD, infracciones tipificadas en los artículos 83.5.
5. a)y 83.4.
6. a)del citado RGPD. Con fecha 06/06/2024 la parte reclamada presento escrito de alegaciones manifestando, en síntesis: que, de acuerdo con la documentación que fue facilitada, en la ofuscación de los campos se había evidenciado una mala aplicación de la medida de seguridad debido a un error material y que se han adoptado una serie de medidas dirigidas a la reparación del daño y a la mejora de los procedimientos para evitar e incidencias similares. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. Con fecha 19/11/2022 tiene entrada en la AEPD escrito de la parte reclamante en la que manifiesta que concurrió a una oferta de empleo público convocada mediante Concurso nº XXXX/XX, plazas ofertadas por la parte reclamada, aportando documentación conteniendo datos de carácter personal; posteriormente tuvo noticias de que existió impugnación por uno de los participantes en la convocatoria, solicitando la documentación presentada al proceso por el resto de candidatos, siendo facilitada por la parte reclamada sin acometer las debidas medidas de seguridad que garantizaran la confidencialidad de los datos; asimismo, señala que la parte reclamada le remitió copia de la solicitud llevada a cabo por el tercero impugnante, incluyendo el Código de Verificación del Documento (C.V.D.), además de los códigos de barras y QRS que permiten el pleno acceso a los documentos originales sin censurar. SEGUNDO. Consta aportado Extracto de la Resolución del Rectorado de la Universidad, de ***FECHA.1, por la que se convoca Concurso Nº XXXX/XX para la Provisión de plazas de Cuerpos Docentes Universitarios, en régimen de interinidad y de personal docente investigador contratado en régimen de Derecho Laboral, en la que participa del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 TERCERO. Consta aportada por el reclamante su solicitud de participación en el Concurso Nº XXXX/XX para la provisión de plazas de cuerpos docenes universitarios. CUARTO. Consta aportado el escrito dirigido por la parte reclamante a la parte reclamada en relación con el recurso presentado por el participante impugnante en el concurso contra la Propuesta de Provisión realizada por la Comisión de Selección del Concurso nº XXXX/XX, señalando la posible infracción de la legislación en materia de protección de datos y solicitando el acceso a la información solicitada por el impugnante, la documentación aportada por él, la documentación que le fue remitida, detalle del procedimiento, modo de tratamiento y condiciones en las que se produjo dicha cesión de datos. QUINTO. Consta copia de la reclamación presentada por el participante impugnante contra la Propuesta de Provisión realizada por la Comisión de Selección del Concurso nº XXXX/XX, que motivo que la parte reclamada le proporcionara el acceso a la documentación presentada al concurso por el resto de los candidatos. SEXTO. Consta aportado el formulario donde figuran los datos personales de la parte reclamante, enviado al resto de candidatos a la plaza a concurso y los formularios con los datos personales del resto de candidatos de las plazas a concurso, remitidos al reclamante con los datos personales de sus firmantes. SEPTIMO. Consta aportado formato de remisión de reclamaciones en procesos selectivos de la parte reclamada, con datos personales censurados, manteniendo los códigos seguros de verificación sin censurar y formato de remisión de reclamaciones en procesos selectivos del reclamado al que se accede a través del CVD, con los datos personales sin censurar. OCTAVO. La parte reclamada en escrito de 24/07/2023 señalaba: “(…) A partir de la información obtenida, el DPD verificó que, si bien se habían ocultado los datos personales en el expediente del reclamante con carácter previo a su cesión, esta ofuscación no había alcanzado a los códigos seguros de verificación y QR que permiten comprobar la autenticidad de los documentos administrativos en las plataformas habilitadas al efecto por las Administraciones públicas. (…)” NOVENO. La parte reclamada su escrito de 31/01/2023 ha manifestado: “(…) Segundo. - Vista la información aportada por los correspondientes servicios de la UVa, el delegado constató los siguientes riesgos: (…)
7. b)En el expediente facilitado al concursante se han ocultado la mayoría de los datos personales, aunque alguno de ellos ha permanecido visible. No se han suprimido los códigos QR o códigos seguros de verificación que permiten asegurar la autenticidad de los documentos emitidos por las Administraciones públicas. Se observa un posible error humano a la hora de censurar la información de manera manual debido al elevado volumen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18
8. c)Existiría un riesgo de acceso a datos personales debido a la obligación de publicidad de los códigos seguros de verificación prevista en el art. 27.3 Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Este riesgo afectaría no solo a la UVa, sino a todas las Administraciones públicas. Se proponen una serie de medidas mitigadoras para estos riesgos. (…) Cuarto. - En su Guía de Privacidad desde el Diseño la Agencia Española de Protección de Datos recomienda disponer de estrategias de diseño de la privacidad, una de las cuales “ocultar” sin duda debió haberse aplicado correctamente. La ejecución de esta estrategia requiere de un “patrón de diseño”, cuya propuesta se adjunta a este documento para la consideración del responsable del tratamiento como “PROPUESTA DE INSTRUCCIONES PARA LA GESTIÓN DE PROCESOS SELECTIVOS EN LOS QUE SE TRATE DOCUMENTACIÓN CURRICULAR QUE CONTENGA DATOS PERSONALES”. Este protocolo de actuación aborda una gestión integral de la información desde el diseño de su recogida, hasta su eventual entrega en el marco del ejercicio de un derecho de acceso a la información pública. Se recomienda su implantación a mayor brevedad. Del mismo modo, se propone que desde las unidades administrativas encargadas de los procesos selectivos se haga un seguimiento de su despliegue para comprobar su efectividad” (…)”. DECIMO. Consta aportada “Propuesta de instrucciones para la gestión de procesos selectivos en los que se trate documentación curricular que contenga datos personales” para una gestión integral de la información objeto de tratamiento. UNDECIMO. Consta aportado Informe Análisis de Riesgos, considerándolos adecuados y proporcionados a la actividad, naturaleza y recursos disponibles de la parte reclamada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 II Primera obligación incumplida: infracción del artículo 5.1.
9. f)del RGPD Hay que señalar que la parte reclamada lleva a cabo el tratamiento de datos de carácter personal, toda vez que realiza, de conformidad con lo señalado en el artículo 4.2 del RGPD, entre otros, la recogida, el registro, la conservación, de datos personales, preferentemente de alumnos, exalumnos, personal docente, investigadores, etc. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y los medios relacionados con el tratamiento de los datos de carácter personal, en virtud del artículo 4.7 del RGPD. Además, el responsable del tratamiento se debe encargar también de aplicar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales al llevar a cabo el tratamiento. Y ser capaz de demostrar el cumplimiento RGPD y de la LOPDGDD. Los hechos denunciados se materializan en el acceso a los datos de carácter personal por un tercero que impugnó la convocatoria de un proceso selectivo en el que también participaba la parte reclamada, que había solicitado se le aportara la documentación presentada por el resto de los candidatos a dicho proceso, siendo facilitada por la parte reclamada con ausencia de medidas técnicas y organizativas apropiadas que garantizaran un nivel de seguridad y confidencialidad de datos, lo que vulneraria la normativa en materia de protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, establece en su apartado 2: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
10. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)” El tratamiento llevado a cabo podría ser constitutivo de una infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
11. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al permitir el acceso a los datos de carácter personal del reclamante (y del resto de participantes), al ser facilitados a uno de los participantes que impugnó la convocatoria donde participaba, infringiendo la confidencialidad e integridad de los mismos. En este sentido, el citado art. 5.1.
12. f)del RGPD, prevé que los datos personales serán tratados de tal manera que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. También el considerando 39 del RGPD, en clara referencia al principio recogido en el artículo 5.1.
13. f)del RGPD, dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Y es que la pérdida de confidencialidad supone un riesgo, que puede conllevar daños y perjuicios, materiales o inmateriales para las personas físicas (considerando 85 del RGPD). En tal sentido, el considerando 75 del RGPD establece que: “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; …” Por tanto, el acceso no autorizado a los datos de carácter personal supone que éstos puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una pérdida total y absoluta de control sobre los mismos. Debe tenerse en cuenta además que la mayoría de los datos personales filtrados son datos que no pueden ser modificados o cambiados por otros (nombre, apellidos, DNI, domicilio…). En este mismo sentido, el artículo 28 de la LOPDGDD, y respecto de las obligaciones del responsable del tratamiento en el marco de los artículos 24 y 25 del RGPD para garantizar y acreditar que el tratamiento es conforme al RGPD respecto de diversos riesgos, dispone que, “(…) 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
14. a)Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados. …”. Y la Sentencia del Tribunal Constitucional (STC) 292/2000 en el FD séptimo, señala: “… resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” Hay que señalar que la propia parte reclamada en escrito de fecha 31/01/2023 ha manifestado que: “(…)
15. a)El sistema de acceso a ficheros no permite la trazabilidad del acceso a la información y el acuse de recibo.
16. b)En el expediente facilitado al concursante se han ocultado la mayoría de los datos personales, aunque alguno de ellos ha permanecido visible. No se han suprimido los códigos QR o códigos seguros de verificación que permiten asegurar la autenticidad de los documentos emitidos por las Administraciones públicas. Se observa un posible error humano a la hora de censurar la información de manera manual debido al elevado volumen.
17. c)Existiría un riesgo de acceso a datos personales debido a la obligación de publicidad de los códigos seguros de verificación prevista en el art. 27.3 Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Este riesgo afectaría no solo a la UVa, sino a todas las Administraciones públicas. (…)” (El subrayado corresponde a la AEPD). Y también en escrito de 24/07/2023 ha manifestado que: “Segundo. - A partir de la información obtenida, el DPD verificó que, si bien se habían ocultado los datos personales en el expediente del reclamante con carácter previo a su cesión, esta ofuscación no había alcanzado a los códigos seguros de verificación y QR que permiten comprobar la autenticidad de los documentos administrativos en las plataformas habilitadas al efecto por las Administraciones públicas. Una vez comprobada la existencia del error material debido a la falta de la ocultación de los códigos seguros de verificación y QR, el DPD emitió el informe N. REF. UVA/01/2023