1/14 Expediente N.º: EXP202405335 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 16 y 18 de marzo de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO DE SALUD DE CASTILLA-LA MANCHA (SESCAM) con NIF Q4500146H (en adelante, SESCAM). Los motivos en que basa la reclamación son los siguientes: A.A.A. expresa haber participado en el concurso de traslados externos convocado por el SESCAM, llevándose a cabo el proceso en una plataforma electrónica, en la que cada candidato introduce sus datos y méritos, sin que otros candidatos puedan ver los datos de los demás. A.A.A. detalla cómo debe ser el procedimiento del concurso exponiendo que toda vez que SESCAM resuelva, el resultado debe publicarse en la plataforma en la que se introdujeron los datos, en cada perfil de usuario de los candidatos, comunicándoles si han obtenido o no el destino solicitado. A.A.A. indica que, aunque, el SESCAM no ha publicado el resultado, el ***PUESTO.1 de RRHH del SESCAM ha publicado en su perfil de la red social “X” el listado con sus datos, sin su autorización, manifestando desconocer si la práctica es ajustada a derecho, dado que no cuenta con legitimidad para publicar tales datos, que entiende le han sido cedidos por el SESCAM. A.A.A. manifiesta que ha tenido conocimiento de lo sucedido por un sindicato, que le envió un texto acerca de los hechos, adjuntándole el listado en el que aparecen la relación de personas presentadas al concurso con sus datos y destinos adjudicados, sin que el SESCAM haya publicado nada, manifestando sus dudas sobre el envío del sindicato a sus afiliados, sin contar con el consentimiento de los trabajadores (sean o no afiliados al sindicato). Junto a su reclamación aporta:
- a)escrito de reclamación ante la AEPD, con fecha de 16 y 18 de marzo de 2024, subsanando este último el nombre de uno de los reclamados;
- b)listado con la adjudicación provisional de puestos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 adelante, LOPDGDD), se dio traslado de dicha reclamación al SESCAM, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado en fecha 10 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. Con fecha 14 de mayo de 2024 se recibe en esta Agencia escrito de respuesta del SESCAM indicando lo siguiente: 1.- Por Resolución del 21 de junio de 2023 de la Dirección General de Recursos Humanos (Diario Oficial de Castilla-La Mancha, DOCM, de 28/06/2023) se convocó concurso de traslados para la provisión de plazas de personal estatutario en el SESCAM. 2.- Por Resolución de 14 de marzo de 2024 de la Dirección General de Recursos Humanos y Transformación, se aprueba y publica la relación definitiva de personas concursantes admitidas y excluidas, y la adjudicación provisional de destinos del concurso de traslados. 3.- A.A.A. ha manifestado haber participado en este concurso general de traslados a través de la plataforma electrónica, en la que cada candidato introduce sus datos y méritos, sin que otros candidatos puedan ver los datos de los demás. Asimismo, también indica que el resultado de dicho procedimiento debe publicarse en la plataforma en la que se introdujeron los datos, en cada perfil de usuario de los candidatos, y que, en este caso, el listado con sus datos había sido publicado en la red social “X” sin su autorización, y antes de que se publicara por el SESCAM. 4.- El SESCAM informa que el procedimiento seguido para la gestión y resolución de dicho concurso se realiza a través de una plataforma informática que tiene las lógicas limitaciones y no dispone de la herramienta necesaria para comunicar en cada perfil de usuario de cada uno de los candidatos si han obtenido el destino deseado. Añade el SESCAM que los procesos de provisión de puestos de trabajo se realizan por el procedimiento de concurrencia competitiva, y la información se difunde a través de los medios habilitados que faciliten la mayor accesibilidad, al objeto de llegar a un óptimo grado de información y transparencia. En cuanto a los motivos por los cuales se ha realizado esta publicación en la red social “X”, el SESCAM manifiesta que:
- a)cualquier publicación en el DOCM tiene que estar en poder de ese departamento como mínimo con una semana de antelación.
- b)la información avanzada por el ***PUESTO.1 es exactamente la misma que se publica en el DOCM, tanto en contenido como en formato, sin ningún tipo de modificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 El SESCAM añade que toda la información que se publica en la página web del SESCAM tiene el mismo recorrido, y aclara que el día en que la información que señala A.A.A. se publicó en la red social “X”, esta información ya se encontraba en poder del DOCM. Por ello, y a la vista del lógico interés de los participantes en contar con la información lo antes posible, se determinó difundirlo de manera complementaria y adicional a la oficial, y señalando en la publicación que se hacía en la red social “X” la fecha en la que se publicaría en el DOCM. TERCERO: Con fecha 30 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por A.A.A.. CUARTO: Con fecha 6 de agosto de 2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP), por la presunta infracción del artículo 6.1 del del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante, RGPD), tipificada en el artículo 83.5.
- a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: -Se reitera en lo ya comunicado en el escrito de contestación al traslado, de fecha 14 de mayo de 2024. -De conformidad con lo dispuesto en el artículo 46 de la Ley 39/2015, adicionalmente y de manera facultativa, las Administraciones podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar en el correspondiente Diario Oficial. -Que las resoluciones publicadas en el DOCM, en cuanto a la protección de datos personales, se ajustan a lo dispuesto en la disposición adicional séptima de la LOPDGDD. -Que el único objetivo perseguido con la decisión adoptada fue el de favorecer a los participantes del concurso de traslados, de suerte que como medida para procesos futuros esta Dirección General se limitará a informar por los distintos medios de difusión de la publicación en el DOCM, reservándose a este último la publicación íntegra de la resolución. SEXTO: Con fecha 8 de abril de 2025 se formuló propuesta de resolución, proponiendo -Que por la Presidencia de la Agencia Española de Protección de Datos se declare que SERVICIO DE SALUD DE CASTILLA-LA MANCHA (SESCAM), con NIF Q4500146H, ha infringido lo dispuesto en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. -Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a SERVICIO DE SALUD DE CASTILLA-LA MANCHA (SESCAM), con NIF Q4500146H, que en virtud del artículo 77 de la LOPDGDD, en el plazo de 15 días a contar desde la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 ejecutividad de la resolución que se dicte, acredite haber procedido al cumplimiento de las medidas indicadas en el Fundamento de Derecho VIII. SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que se reiteraba en los motivos por los que publicó la resolución de 14 de marzo de 2024 en la red social “X” días antes de su publicación en el DOCM. Asimismo, indica que la Dirección General de Recursos Humanos y Transformación del SESCAM ha adoptado como medida en los procesos de selección y provisión que se convoquen la de informar por los distintos medios de difusión de la publicación de los mismos en el DOCM, reservándose a este último la publicación íntegra de la resolución. Por último, informa que ha retirado con carácter definitivo y de forma completa de la red social “X” la citada publicación, aportando capturas de pantalla de la mencionada red social de los días 15 a 19 de marzo para acreditarlo. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 21 de junio de 2023 se convocó concurso de traslados para la provisión de plazas en el SESCAM en las categorías de Facultativo/a Especialista de Área y de Atención Primaria, mediante Resolución de la Dirección General de Recursos Humanos. En esta convocatoria se dispone lo siguiente: “6.3. Transcurrido el plazo para subsanar los defectos, se publicará en la página web del Sescam y en el Tablón de Anuncios Electrónico de la Administración de la Junta de Comunidades de Castilla-La Mancha, la relación definitiva de personas concursantes admitidas y excluidas. Las reclamaciones a la resolución a la que se refiere el primer punto de la presente base se resolverán por aquella que apruebe con carácter definitivo los listados de admitidos y excluidos”. “7.4. A la vista de las plazas solicitadas por los concursantes, así como de los méritos acreditados por los mismos, la Dirección General de Recursos Humanos del Servicio de Salud de Castilla-La Mancha, aprobará y publicará en el DOCM y en la Web del Sescam la Resolución de adjudicación provisional del concurso de traslados”. SEGUNDO: Mediante Resolución de 14 de marzo de 2024 de la Dirección General de Recursos Humanos y Transformación, se aprueba y publica la relación definitiva de personas concursantes admitida y excluidas, y la adjudicación provisional de destinos del concurso de traslados para la provisión de plazas de personal estatutario en el SESCAM, en las categorías de Facultativo Especialista de Área y de Atención Primaria, convocado por Resolución de 21/06/2023, reseñada en el Hecho Probado Primero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 La publicación de esta Resolución en el DOCM tuvo lugar el 21/03/2024, acompañada de varios anexos correspondientes a los listados que se indican TERCERO: Consta que, en fecha (…), en la red social “X” se ha publicado el siguiente contenido: “El próximo día 19 de marzo se publican en el DOCM los nombramientos correspondientes a la OPE de enfermería de sanidad CLM. Son los siguientes (…) y a continuación el listado con los nombres y apellidos y destinos de los participantes. CUARTO: SESCAM ha manifestado que la publicación integra de la resolución por la que se resuelven los procesos selectivos se producirá únicamente en el DOCM, En relación con la publicación a la que se refiere el expediente sancionador, informa que ha retirado con carácter definitivo y de forma completa de la red social “X” la citada publicación, aportando capturas de pantalla de la mencionada red social de los días 15 a 19 de marzo para acreditarlo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, a tenor del artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el SESCAM realiza la recogida de, entre otros, los siguientes datos personales de personas físicas: el nombre y apellidos, DNI, categoría profesional y centro de trabajo. El SESCAM realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Contestación a las alegaciones aducidas al acuerdo de inicio SESCAM se reitera en lo ya comunicado en el escrito de contestación al traslado, de fecha 14 de mayo de 2024, y, además, pone de manifiesto que el artículo 46 de la Ley 39/2015, establece que, adicionalmente y de manera facultativa, las Administraciones podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar en el correspondiente Diario Oficial. En este sentido, el artículo 46 de la Ley 39/2015, establece: “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 Adicionalmente y de manera facultativa, las Administraciones podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión que no excluirán la obligación de publicar en el correspondiente Diario oficial.” A su vez, el artículo 45 referido a la publicación, establece: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
- a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.
- b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. 2. La publicación de un acto deberá contener los mismos elementos que el artículo 40.2 exige respecto de las notificaciones. Será también aplicable a la publicación lo establecido en el apartado 3 del mismo artículo. En los supuestos de publicaciones de actos que contengan elementos comunes, podrán publicarse de forma conjunta los aspectos coincidentes, especificándose solamente los aspectos individuales de cada acto. 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. 4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente.” En el presente supuesto, ha quedado constatada la publicación de los datos de la parte reclamante y del resto de participantes en la convocatoria a la que se refieren las presentes actuaciones, en la red social “X” con anterioridad a la publicación en el DOCM. De acuerdo con el artículo 45 de la Ley 39/2015, la publicación de actos referidos a procedimientos selectivos o de concurrencia competitiva van a requerir siempre de la publicación en el Diario Oficial correspondiente, admitiéndose en el artículo 46 de la misma norma, de manera facultativa, otras formas de notificación complementaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 La parte reclamada se refiere a esta última norma para justificar aquella publicación en la red social “X” de los listados reseñados en el Hecho Probado Segundo. Sin embargo, el hecho de que se requiera la publicación en un Diario Oficial no implica que se pueda publicar en la red social “X”, ni la publicación en esta red social tiene naturaleza de notificación administrativa, por lo que no puede entenderse amparada en el citado artículo 46 de la LPACAP. En el caso que nos ocupa, no existe ninguna base legítima que permita la publicación de la resolución en la red social “X”, con anterioridad o posterioridad a su publicación en el DOCM, por lo que se desestima la presente alegación. SESCAM también hacía referencia a que las publicaciones que realiza en el diario oficial correspondiente son acordes a la disposición adicional 7ª de la LOPDGDD. En este sentido, esta disposición adicional séptima de la LOPDGDD relativa a la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos establece: “1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” En este sentido, el objeto de este expediente no ha sido si la publicación en el DOCM cumple con la normativa de protección de datos, sino que dicha publicación se ha realizado en la red social “X”, por lo tanto, no puede ser tenida en cuenta. Hay que tener en cuenta que el tratamiento consistente en la publicación en una red social del listado de los participantes en un concurso, amén de no tener legitimación y ser distinto del de la publicación en el diario oficial correspondiente, constituye un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 riesgo adicional. Y ello porque la publicación en el diario oficial es obligatoria y se produce en un medio con difusión restringida, puesto que ordinariamente meten un robot txt (bien motu proprio o bien a instancia de algún afectado que pide la supresión) lo que hace que no se indexe en los buscadores de internet; indexación que sí se produce si metes los nombres en una red social Por último, SESCAM manifiesta que el único objetivo perseguido con la decisión adoptada fue el de favorecer a los participantes del concurso de traslados, de suerte que como medida para procesos futuros esta Dirección General se limitará a informar por los distintos medios de difusión de la publicación en el DOCM, reservándose a este último la publicación íntegra de la resolución. Con respecto a esta manifestación señalar que será objeto de valoración en lo que a cumplimiento de medidas se refiere. Cabe añadir, no obstante, que la indicada finalidad de favorecer a los participantes en la convocatoria tampoco justifica la publicación realizada en una red social. V Contestación a las alegaciones aducidas a la propuesta de resolución SESCAM se reiteraba en lo ya recogido en sus anteriores escritos presentados ante esta Agencia para explicar los motivos por los que publicó la resolución de 14 de marzo de 2024 en la red social “X” días antes de su publicación en el DOCM. En lo que respecta a esta cuestión, nos remitimos a lo ya señalado en el apartado IV de contestación a las alegaciones al acuerdo de inicio. Asimismo, en relación con las medidas correctivas impuestas, indica que la Dirección General de Recursos Humanos y Transformación del SESCAM ha adoptado como medida en los procesos de selección y provisión que se convoquen la de informar por los distintos medios de difusión de la publicación de los mismos en el DOCM, reservándose a este último la publicación íntegra de la resolución. Además, en relación con la publicación a la que se refiere el expediente sancionador, informa que ha retirado con carácter definitivo y de forma completa de la red social “X” la citada publicación, aportando capturas de pantalla de la mencionada red social de los días 15 a 19 de marzo para acreditarlo. En lo que respecta a estas dos manifestaciones, se procede a estimar la alegación, no considerándose necesario imponer más medidas. VI Obligación incumplida. Licitud del tratamiento El artículo 6.1 del RGPD, establece que “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En el caso que nos ocupa, A.A.A. ponía de manifiesto que se había publicado en la red social “X” el resultado del concurso de traslados, con los datos personales de los participantes, entre los que se encuentran sus datos. El SESCAM ha contestado al escrito de traslado enviado desde esta Agencia y ha puesto de manifiesto que el procedimiento seguido para la gestión y resolución del concurso general de traslados se realiza a través de una plataforma informática que tiene limitaciones y no dispone de la herramienta necesaria para comunicar en cada perfil de usuario si han obtenido el destino solicitado. Añade que los procesos de provisión de puestos de trabajo se realizan por el procedimiento de concurrencia competitiva y la correspondiente información se difunde a través de los medios habilitados que faciliten la mayor accesibilidad, al objeto de llegar a un óptimo grado de información y transparencia. Además, añade que la información publicada en la red social “X” es la misma que la publicada en el DOCM. Por último, manifiesta que cuando la información se publicó en la red social “X” dicha información ya se encontraba en poder del DOCM, y que, en vista del interés de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 participantes en contar con la información, se determinó difundirlo de manera complementaria y adicional a la oficial, aunque en la red social “X” se concretaba la fecha de la publicación en el DOCM. Según ha quedado expuesto en el Fundamento de Derecho de respuesta a las alegaciones realizadas por SESCAM, ninguna de estas circunstancias justifica la publicación de los listados en cuestión en una red social. Por otra parte, se da la circunstancia de que la Resolución de 14 de marzo de 2024 de la Dirección General de Recursos Humanos y Transformación, reseñada en el Hecho Probado Segundo, fue publicada en el DOCM en fecha 21/03/2024, y esa publicación incluía las relaciones definitivas de personas concursantes admitida y excluidas en el proceso de traslados, a pesar de que las bases que regían la convocatoria únicamente disponía su publicación en la página web del SESCAM y en el Tablón de Anuncios Electrónico de la Administración de la Junta de Comunidades de Castilla-La Mancha (Base 6.3 de la convocatoria, aprobada mediante la Resolución de 21/06/2023 de la Dirección General de Recursos Humanos del SESCAM (BOCAM de 28/06/2023). Por tanto, se considera que el SESCAM ha vulnerado lo establecido en el artículo 6.1 del RGPD. VII Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 VIII Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el SERVICIO DE SALUD DE CASTILLA-LA MANCHA (SESCAM), con NIF Q4500146H, ha infringido lo dispuesto en el Artículo 6.1 del RGPD, infracción tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO DE SALUD DE CASTILLA-LA MANCHA (SESCAM). TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es