PS-00275-2024

1/24 Expediente N.º: EXP202404056  RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27/02/2024 interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la CONSELLERÍA DE EMPLEO, COMERCIO Y EMIGRACIÓN de la Xunta de Galicia, con NIF S1511001H (en adelante, CONSELLERÍA). La parte reclamante manifiesta literalmente lo siguiente: “Recibo citación para una selección de un curso impartido por el SEPE y gestionado por la consejería de promoción del empleo e igualdad de la Xunta de Galicia, donde me dicen que tengo que llevar la documentación requerida en cuanto a que dispongo de la titulación necesaria para acceder a dicha formación. Al llegar a la academia ***CENTRO.1, entidad que da la formación, me piden el DNI para fotocopiarlo y ante mi negativa a que lo hagan me dicen que entonces renuncio al curso y seré sancionado con la retirada de la prestación por desempleo al negarme. Al final y visto que tengo todas las de perder, pido que me den al menos un documento donde se exija y quede constancia que es necesario la fotocopia del DNI, documento en el que no consta esa obligación. La situación fue muy violenta y creo que se abusó y vulnero mis derechos y me preocupa que va a pasar con esa fotocopia por ambas caras de mi DNI.” Junto con su reclamación aporta la siguiente documentación: - Copia del escrito facilitado por la Academia donde se expone que la petición del documento de identidad tiene la única finalidad de tramitar su candidatura al curso al que se presentó como candidato. - Comunicación dirigida por la CONSELLERÍA al reclamante de 13 de febrero de 2024 donde se le indica que deberá presentarse en la Academia ***CENTRO.1 el 27 de febrero de 2024 al objeto de presentar la documentación que le permita realizar la prueba de selección para participar en el curso selectivo solicitado. - Anexo de la comunicación anterior indicando los requisitos para la selección de las personas demandantes de cursos expedido por el Servicio Público de Empleo Estatal (en adelante, SEPE). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la ACADEMIA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 03/04/2024, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 04/04/2024 se recibe en esta Agencia escrito de respuesta de la ACADEMIA ***CENTRO.1, indicando, en síntesis, lo siguiente: - Los participantes en los procesos de selección para la realización de las acciones formativas de formación para el empleo son citados por las oficinas del SEPE en las instalaciones de los centros que las van a impartir. - La solicitud de copia del DNI por ambas caras, se solicita en virtud de lo establecido en el artículo 19.4.b de la ORDEN de 11 de mayo de 2023 por la que se establecen las bases reguladoras para las acciones formativas del Plan formativo para el empleo (personas trabajadoras desempleadas) de la Comunidad Autónoma de Galicia para el período 2023-2025, y se realiza su primera convocatoria para los ejercicios 2023-2024 (código de procedimiento TR301K). Según dicho artículo, la documentación de los alumnos que los centros han de remitir a la administración a través del Sistema Informático de Formación Ocupacional (SIFO) de la Xunta de Galicia: "4. En el momento de la incorporación del alumnado a la acción formativa, deberá requerir a las personas participantes la siguiente documentación a registrar en la aplicación SIFO: (…)

1. b)Asociados a cada participante deberán incorporarse al expediente electrónico de SIFO: (…) • Copia del DNI de la persona alumna. [...] • Autorización firmada por las personas participantes para la utilización de sus datos personales para el control y seguimiento de la acción formativa en el marco de la normativa de protección de datos. La autorización deberá contener la declaración responsable de la persona trabajadora de que los documentos que aporta son auténticos." [...] - Respecto al procedimiento habitual aplicado en los procesos de selección y formación de la academia, se señala que: (
2. i)La documentación indicada por la referida Orden ha de subirse a la aplicación SIFO antes de iniciar el curso, para que la Administración competente la valide y autorice el inicio del mismo, motivo por el cual, el día de la entrevista, se pide a los participantes el DNI. (
3. i)Una vez finalizadas las entrevistas y recopilada la información, es cuando se realiza el proceso de selección, tras el cual se comunica por SIFO el listado final de seleccionados y se envía su documentación, el resto se destruye al mes de inicio de la acción formativa (se guarda este tiempo por si se produce alguna baja en plazo y puede sustituirse el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 alumno). (
4. ii)Efectivamente, a la llegada de los participantes se les pide el DNI para su fotocopiado (y la titulación si se requiere para la formación), y se van pasando a la persona que realiza las entrevistas para que los vaya llamando por orden de llegada y los adjunte al resto de documentación que deben firmar. - El tratamiento de los datos de los participantes en los procesos de selección por parte de la ACADEMIA está legitimado por la normativa ya mencionada en el presente escrito, al tener que conocer la situación de los aspirantes para su evaluación y posterior envío de documentación como requisito para el inicio de las distintas acciones formativas, por lo que no se han realizado cambios en el procedimiento. - Asimismo, se observan las medidas de seguridad necesarias durante todo el proceso para garantizar la integridad y confidencialidad de la información. - Respecto a los hechos que se describen en la reclamación, se señala, literalmente: (
5. i)(
6. ii)(iii) (
7. iv)(
8. v)C/ Jorge Juan, 6 28001 – Madrid En el caso que nos ocupa, el afectado manifiesta su negativa a facilitarlo, y la persona que le atiende le explica nuestra obligación de presentarlo para la realización del curso, por lo que, salvo que no quiera hacerlo, tendrá que entregar su DNI. El afectado dice estar interesado en la formación, y que no tiene inconveniente en entregar su DNI a la Xunta, pero sí a nuestro centro, puesto que no hace mucho había sido víctima de una estafa bancaria por entregar su DNI y que no se fiaba. Se le vuelve a explicar que no es requisito del centro, sino de la Administración, que tenemos que presentar esa documentación para iniciar el curso, y que, de hecho, no entregar la documentación solicitada es uno de los motivos de exclusión de la formación (art. 22.7 de la Orden citada). Pregunta las consecuencias que puede tener, y se le explica que negarse a participar, salvo causa justificada, en actividades para la mejora de la empleabilidad se considera una falta grave (Art. 17 del Real Decreto Legislativo 5/2000), y que las oficinas de empleo son las que deciden en cada caso, pudiendo producirse la pérdida de la prestación del usuario, pero las posibles sanciones no dependen de nuestro centro. Finalmente solicita un justificante firmado por el centro conforme su DNI no se utilizará con ninguna otra finalidad que no sea la gestión administrativa de la acción formativa, se le entrega y accede a permitir el fotocopiado. Realiza la entrevista, es seleccionado y actualmente está realizando el curso con normalidad. Es posible que la desconfianza personal mostrada contra el centro y, por ende, contra la persona encargada de la recogida de documentación, propiciase la tensión a la que el afectado hace referencia en su reclamación, pero en ningún caso se vulneraron sus derechos y se le proporcionó toda la información que solicitó, si bien es www.aepd.es sedeaepd.gob.es 4/24 cierto que en el documento entregado no se mencionaba explícitamente la normativa de referencia, puesto que ya se indicaba en la carta de citación. Se adjunta la siguiente documentación firmada por el reclamante durante la entrevista personal: - - Ficha individual. Documento informativo sobre derechos y deberes. Documento informativo sobre los requisitos formativos para participar en la acción formativa. Autorización para el uso de su huella digital como método de identificación en el proceso de seguimiento y control de asistencia a la parte presencial de la acción formativa motivo de la selección, y para otras futuras impartidas por la misma entidad y reguladas por la CONSELLERÍA. Autorización informada para la incorporación de sus datos personales en el Sistema Informático de Formación Ocupacional de la Xunta de Galicia (SIFO). TERCERO: Con fecha 24 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 15 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la CONSELLERIA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
9. a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó dos escritos de alegaciones, con fechas 02/12/2024 y 06/02/2025, en los que, en síntesis, manifiesta lo siguiente: 1. En primer lugar, señala que ha recabado información relativa a la reclamación, constatando lo siguiente: En relación con la solicitud del DNI por parte de la ACADEMIA, que la CONSELLERÍA en ningún momento dio instrucciones en este sentido ni a la ACADEMIA ni a ninguna otra entidad beneficiaria. Señala que tal como se especifica en artículo 19 de la Orden reguladora, el DNI del alumnado debía solicitarse en el momento de su incorporación, en su caso, a la correspondiente acción formativa. Afirma que la ACADEMIA no comunicó a la CONSELLERÍA, en su momento, la incidencia ni que se le hubiera dado traslado, por parte de la Agencia, de una reclamación. Señala que sí le consta, sin embargo, que el reclamante presentó en fecha 27/02/2024 una queja expresada en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24 “Solicité un curso de formación para desempleados en mi oficina de empleo, ORGANIZACION E XESTION DE ALMACENS, recibí notificación para presentarme a la selección el día 27/02/2024 a las 9:30 horas en ACADEMIA ***CENTRO.1 sita en ***LOCALIDAD.1. Al llegar a la cita me exigen que entrege mi DNI para fotocopiarlo por ambas caras y ante mi negativa me dicen que entonces no me interesa y que renuncio a la formación, con la consiguiente sanción y perdida de prestación. En la carta de citación solo me piden que acredite y aporte la titulación requerida para poder optar a la formación. Ante esta situación y para no ser sancionado con la perdida de la prestación me veo obligado a dejar que hagan la fotocopia de mi DNI por ambas caras, algo que considero totalmente innecesario y que creo vulnera la ley de protección de datos, ya que no me dan ninguna garantía de como van a custodiar esa información y quien va tener acceso a ella y quiero recalcar lo vulnerable de dicha información. Considero que para identificar que soy yo la persona citada, con mostrarlo es mas que suficiente, no veo que datos contenidos en el DNI son necesarios para la selección. Ruego tomen las medidas oportunas para soluccionar esta reclamación y que al menos esta práctica deje de usarse en un futuro”. Como respuesta a esta queja, desde la Dirección General de Simplificación Administrativa y del Patrimonio de la Consellería de Haciencia y Administración Pública, se pidió informe a la entonces denominada Dirección General de Formación para el Empleo y Orientación de esta Consellería, que a su vez dio trámite de alegaciones a la ACADEMIA. Del contenido de dicho informe se dio traslado al reclamante aunque, afirma que erróneamente, se analizó en dicho informe la necesidad de recabar la copia del DNI como requisito general de la documentación del alumnado, sin entrar a ver en detalle el momento del proceso en que se le estaba requiriendo la documentación y que no era, conforme a lo dispuesto en la Orden de 11 de mayo de 2023, en el momento de la incorporación del alumnado a la acción formativa, sino en el momento de realizar la selección. En el informe elaborado se le indicaba lo siguiente: (...) En este sentido, le indican que vistas las alegaciones, la actuación de la entidad se ajusta a lo que recoge la Orden de 11 de mayo de 2023, por la que se establecen las bases reguladoras para las acciones formativas del Plan formativo para el empleo (personas trabajadoras desempleadas) de la Comunidad Autónoma de Galicia para el período 2023- 2025, y se realiza su primera convocatoria para los ejercicios 2023-2024 (DOG núm.95, de 22 de mayo de 2023) al amparo de la cual se programa el curso al que usted hace referencia, que establece en su artículo 19.4.
10. b)que en el momento de la incorporación del alumnado a la acción formativa, asociado a cada participantes deberán incorporarse al expediente electrónico de SIFO (aplicativo a través del cual se gestionan los cursos) copia del DNI de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 persona alumna. En este caso la entidad le pide esa documentación porque va a ser seleccionado. (…) Respecto a la citación dirigida por la CONSELLERÍA al reclamante en fecha 13/02/2024, señala que se trata de un modelo de comunicación general remitido a todas las personas candidatas para participar en acciones formativas para el empleo. En ella se advertía de la necesidad de presentarse en el centro correspondiente para realizar la prueba de selección con la documentación acreditativa de los requisitos, que podría incluir la titulación académica necesaria. En dicha comunicación no se hace referencia al DNI. En cuanto al tratamiento de datos de las personas candidatas a las acciones formativas, señala lo siguiente: “En cuanto a la posibilidad de que esta Consellería pueda estar llevando a cabo un tratamiento de datos personales de las personas candidatas a las acciones formativas sin que concurra base de licitud para ello, conforme a lo exigido en el artículo 6 del RGPD, cabe indicar que consultado este extremo con las unidades técnicas administrativas competentes, se ha confirmado que la aplicación SIFO no permite técnicamente en esta fase del proceso, es decir, mientras la persona candidata no conste como seleccionada previamente y por lo tanto, se la considere ya alumna, adjuntar documentación. Por ello, no se recogerían en la aplicación SIFO imágenes/copias de documentos de identidad de personas candidatas. Como evidencia de lo anterior, se incluye como DOCUMENTO UNO, captura de pantalla de la aplicación SIFO correspondiente al momento de la fase de selección, en la que se evidencia que no incluye ninguna funcionalidad que permita adjuntar documentación en este momento de los candidatos en este momento, sino que la única información disponible sería el listado de las personas preseleccionadas, previamente a la generación del acta, conforme a lo dispuesto en la Orden reguladora.” La evidencia mencionada que aporta es una captura de una pantalla de consulta de la aplicación, en la que figura lo siguiente: - - Un apartado de fechas de consulta, que incluye fecha de la solicitud, fecha de validación de la solicitud y fecha de presentación del acta. Una línea con los candidatos consultados, indicando los valores “candidatos”, “seleccionados”, “rechazados”, “suplentes” Un apartado con datos de las personas candidatas, con los campos “documento2, “nombre”, “apellido 1”, “apellido 2”, “estado”, “observación”, tres casillas para marcar qué requisitos cumple el alumno (“cumple todos los requisitos”, “está en proceso de homologación de estudios extranjeros” y “cursará en este curso la competencia clave para cumplir los requisitos de acceso”). En la parte de abajo figura un listado de candidatos, con varias columnas en las que figuran los datos “NIF/DNI”, “nombre”, “vía de acceso”, “situación administrativa”, “situación laboral”, “estado entidad” (en la captura enviada, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 - valor que aparece para todos los candidatos en esta columna es “convocado”), “estado oficina empleo”. Más abajo aparece una línea en la que figuran un documento adjunto pdf con el título “solicitud de candidatos”. 2. En relación con el tratamiento de la copia del DNI y los riesgos asociados, señala que en el mes de mayo de 2024 remitió “a todas las personas usuarias del sistema de información de la Xunta, una píldora informativa en la que se hace referencia, entre otros aspectos, a que: • La mera consulta del DNI es suficiente para verificar la identidad de una persona. • En el caso de que sea necesario que la identificación quede incorporada a la documentación de un trámite o expediente, se recomienda recurrir al Nodo de interoperabilidad de Galicia. • Archivar y mantener la copia de un DNI, tanto en papel como en formato electrónico tiene que ser algo excepcional. Adjunta copia de dicha comunicación, en la que se lee el siguiente texto (traducción del gallego con la herramienta https://tradutorgaio.xunta.gal/TradutorPublico/traducir/index): “La mera consulta del DNI es suficiente para verificar la identidad de una persona y puede solicitarse en cualquier proceso que requiera la identificación “in situ de la persona solicitante. En el caso de que sea preciso que la identificación quede incorporada a la documentación de un trámite o expediente, se puede recurrir al Nodo de Interoperabilidad de Galicia – pasaXe! (las condiciones para poder acceder al servicio están descritas en el enlace. Archivar o mantener la copia de un DNI, tanto en papel como en formato electrónico, tiene que ser algo excepcional que, según la legislación vigente desde 2006, debe estar claramente justificado desde el punto de vista de la protección de datos personales. El responsable del tratamiento debe avalar la necesidad de disponer y de conservar dicha copia, solicitando el asesoramiento del Delegado de Protección de Datos de la entidad. También deberán quedar claras las medidas de protección para esas copias que se van a guardar y cuándo y cómo serán borradas o destruidas”. 3. Señala que, como medida tras la investigación de los hechos, la Consellería remitió una comunicación a sus departamentos y entes adscritos recordando la conveniencia de remitir al DPD, indicando la dirección del mismo, cualquier queja relativa a una posible vulneración de la normativa de protección de datos. 4. en relación con la normativa reguladora de las acciones formativas, señala que se ha modificado en los últimos meses, de modo que la nueva Orden de 1 de julio de 2024, aplicable a las acciones formativas del Plan para el periodo 2024-2026 establece en su artículo 19.4 lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 “4. En el momento de la incorporación del alumnado a la acción formativa, deberá requerir a las personas participantes la siguiente documentación para incluir en el expediente electrónico de la aplicación SIFO:
11. a)Ficha individual que, a efectos de posibles notificaciones, envío de diplomas o remisión de certificados emitidos a solicitud de la persona interesada, deberá incluir su dirección de correo electrónico. Para aquellas acciones formativas que impartan parte de sus contenidos mediante aula virtual, el usuario de acceso del alumnado al campus se realizará utilizando la cuenta de correo electrónico incluida en la ficha individual que se dio de alta en el sistema informático SIFO. Si posteriormente la persona alumna modifica dicha cuenta de correo, la entidad deberá comunicar dicho cambio, en el plazo de tres días desde que este tenga lugar, al equipo de soporte del campus virtual (soportecampusvirtual.emprego@xunta.gal), para facilitarle dichos datos de conexión. Si la cuenta de correo que emplea la persona alumna no estuviese actualizada, será preciso que la entidad haga el cambio correspondiente en el sistema informático SIFO y, además, verifique que dicho cambio conste en la matriculación del campus virtual.
12. b)Asociada a cada participante, deberá incorporarse al expediente electrónico de SIFO la siguiente documentación: • En el marco de la normativa vigente en materia de protección de datos personales, documento firmado por el alumnado participante de que ha sido informado, conforme a lo exigido en los artículos 13 y 14 del Reglamento (UE) 216/179, general de protección de datos, del tratamiento de sus datos personales para la gestión, control y seguimiento de las acciones formativas. En la aplicación informática SIFO estará disponible para su descarga el modelo normalizado que deberán facilitar las entidades al alumnado. • Para el seguimiento de la acción formativa, la Consellería de Empleo, Comercio y Emigración consultará automáticamente los datos del DNI/NIE del alumnado en poder de la Administración actuante o elaborados por las administraciones públicas, excepto que la persona interesada se oponga a su consulta. En caso de oponerse a la consulta, que deberá manifestarse por escrito, las personas alumnas deberán facilitar una copia de su DNI/NIE a la entidad de formación para su incorporación al expediente. (...)” En base a lo anterior, con carácter general, señala que ya no se recogen las copias de los DNI de las personas participantes en las acciones formativas salvo en aquellos supuestos en los que aquéllas manifiesten su oposición a la referida consulta. Manifiesta además que se ha recogido en la propia Orden reguladora la prohibición de que las entidades beneficiarias de la subvención traten los datos personales que les C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 puedan ser facilitados por la CONSELLERÍA para fines propios fuera del ámbito de gestión de las actividades formativas subvencionadas, en particular, publicitarios o de mercadotecnia, o los comuniquen a terceros fuera de los supuestos legalmente previstos. 5. Manifiesta que, como medida adicional, se ha acordado remitir a todas las entidades beneficiarias de las subvenciones una comunicación por escrito indicando que, en su condición de encargados, una vez gestionada la documentación necesaria a través la aplicación SIFO, deberán eliminar las copias de la documentación proporcionadas por el alumnado. 6. Señala asimismo que se ha acordado remitir a las entidades beneficiarias de las subvenciones unas instrucciones por escrito para que se abstengan de requerir al alumnado cualquier documentación relacionada en el artículo 19.4 de la orden antes de la incorporación del alumnado a la acción formativa, junto con una referencia a sus obligaciones como encargados del tratamiento. 7. Por último, señala que se ha acordado revisar, a fin de incorporar en ellos las mejoras que puedan entenderse necesarias, los siguientes documentos: “• Los textos de las citaciones de las oficinas de empleo de tal modo que no quepa inferir de su contenido de ningún modo que debe aportarse copia, de la información requerida en la Orden reguladora, antes de la incorporación efectiva del alumnado a la acción formativa. • Cláusulas informativas en materia de protección de datos personales dirigidas a los participantes en dichas acciones formativas. En cualquier caso, esta Consellería manifiesta su total colaboración a la hora de establecer cualesquiera otras medidas o actuaciones que la Agencia Española de Protección de Datos estime conveniente implementar.” En su segundo escrito, de fecha 06/02/2025, la CONSELLERÍA aporta la instrucción emitida por la Dirección General de Formación y Cualificación para el Empleo, dirigida a las entidades homologadas para impartir acciones formativas gestionadas a través del sistema informático SIFO en lo que respecta al tratamiento de datos personales del alumnado participante. SEXTO: Con fecha 18/09/2025, por la Presidencia de la Agencia, se acordó nombrar Instructor del citado procedimiento a S.S.S., en sustitución de R.R.R., indicando que podrá ser recusado, en su caso, en cualquier momento de la tramitación del procedimiento, conforme a lo establecido en el artículo 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). SÉPTIMO: Con fecha 21/10/2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se archivara el procedimiento sancionador iniciado contra la CONSELLERÍA. Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada no ha presentado alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Que con fecha 13/02/2024, el reclamante recibió comunicación de la CONSELLERÍA en la que se le indicaba que debía presentarse en la ACADEMIA, para realizar la prueba de selección de una acción formativa. SEGUNDO: Que la organización de dicha acción formativa está regulada por la Orden de 11 de mayo de 2023 por la que se establecen las bases reguladoras para las acciones formativas del Plan formativo para el empleo (personas trabajadoras desempleadas) de la Comunidad Autónoma de Galicia para el período 2023-2025 (código de procedimiento TR301K), publicada en el Diario Oficial de Galicia (DOG) de lunes 22 de mayo de 2023. Dicha Orden tiene por objeto establecer las bases reguladoras y las condiciones por las que se rige la acción formativa para la cual fue citado el reclamante. La Orden regulan las subvenciones destinadas a dirigir las acciones formativas, establece los requisitos que deben cumplir las entidades beneficiarias de dichas subvenciones y regulan el procedimiento y las obligaciones de las entidades. En relación con las obligaciones de las entidades beneficiarias, el 19.4
13. b)dicha Orden se establece lo siguiente: "4. En el momento de la incorporación del alumnado a la acción formativa, deberá requerir a las personas participantes la siguiente documentación a registrar en la aplicación SIFO: (…)
14. b)Asociados a cada participante deberán incorporarse al expediente electrónico de SIFO: (…) • Copia del DNI de la persona alumna. [...] • Autorización firmada por las personas participantes para la utilización de sus datos personales para el control y seguimiento de la acción formativa en el marco de la normativa de protección de datos. La autorización deberá contener la declaración responsable de la persona trabajadora de que los documentos que aporta son auténticos." TERCERO: Que en la aplicación informática SIFO de la CONSELLERÍA no figura la funcionalidad de recoger documentación adjunta cuando la persona candidata no consta como seleccionada. CUARTO: Que en mayo de 2024 la CONSELLERÍA remitió a las entidades beneficiarias una comunicación relativa a la identificación del DNI en la que consta el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 “La mera consulta del DNI es suficiente para verificar la identidad de una persona y puede solicitarse en cualquier proceso que requiera la identificación “in situ de la persona solicitante. En el caso de que sea preciso que la identificación quede incorporada a la documentación de un trámite o expediente, se puede recurrir al Nodo de Interoperabilidad de Galicia – pasaXe! (las condiciones para poder acceder al servicio están descritas en el enlace). Archivar o mantener la copia de un DNI, tanto en papel como en formato electrónico, tiene que ser algo excepcional que, según la legislación vigente desde 2006, debe estar claramente justificado desde el punto de vista de la protección de datos personales. El responsable del tratamiento debe avalar la necesidad de disponer y de conservar dicha copia, solicitando el asesoramiento del Delegado de Protección de Datos de la entidad. También deberán quedar claras las medidas de protección para esas copias que se van a guardar y cuándo y cómo serán borradas o destruidas”. QUINTO: Que la ACADEMIA era entidad beneficiaria de las subvenciones reguladas por la citada Orden de 11 de mayo de 2023. SEXTO: Que cuando el reclamante se personó en la sede de la ACADEMIA para realizar la entrevista del proceso de selección para la acción formativa, se le requirió copia del DNI con carácter previo a la realización de la entrevista. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Los datos e imagen contenidos en el documento nacional de identidad (en adelante, DNI) de una persona física se consideran datos personales cuyo tratamiento se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” Requerir la entrega de una copia del DNI como requisito previo a realizar el proceso de selección de un curso formativo supone realizar diversas operaciones de tratamiento de datos personales de acuerdo con la definición del artículo 4.2 del RGPD, dado que ello implica el registro, almacenamiento y utilización de los datos personales que constan en la copia del DNI. Por ello, su tratamiento está sometido a los principios y requisitos regulados por el RGPD. En el presente supuesto, de la documentación obrante en el expediente se desprende que: - La CONSELLERÍA aprobó una Orden con fecha de 11 mayo de 2023, que tiene por objeto o establecer las bases reguladoras y las condiciones por las que se rigen en el ámbito de la Comunidad Autónoma, tanto las convocatorias públicas como la ejecución de las acciones formativas del Plan formativo para el empleo (personas trabajadoras desempleadas), gestionadas por la CONSELLERÍA, o realizar la primera convocatoria de estas subvenciones para el periodo 2023-2024 y o regular las normas de ejecución de las acciones formativas del Plan formativo. - Cabe aclarar que, según el artículo 5 de la Orden, los beneficiarios de dichas subvenciones no son los desempleados sino los centros de formación que están encargados de impartir los cursos y ejecutarlos conforme a los requisitos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 que fija dicha Orden en sus artículos 19 y siguientes. Por otra parte, el artículo 26 de la Orden señala cuáles serán las personas destinatarias de la formación en los cursos que se impartan por los centros de formación beneficiarios de la subvención, y define cuales se considerarán “alumnos”, entre los que se encuentran los desempleados y otros colectivos. - De acuerdo con el artículo 27 de la Orden “Las entidades beneficiarias podrán emplear para la selección de las personas trabajadoras desempleadas el método de selección directa o el método de selección a través de oficina de empleo”. En caso de que el método de selección sea a través de la oficina de empleo, se señala que “La oficina de empleo, mediante sondeo entre las personas demandantes inscritas en el Servicio Público de Empleo de Galicia, seleccionará a dos personas por plaza vacante en cada acción formativa y convocará, mediante cualquier medio que acredite su recepción de conformidad con la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas, a las personas demandantes preseleccionadas para que asistan a la prueba de selección, que deberá realizar la entidad de formación”. - A la vista de la documentación aportada, consta que la ACADEMIA fue beneficiaria de la subvención para la selección, organización e impartición del curso de formación profesional sobre “organización y gestión de almacenes”, para el que fue preseleccionado el reclamante a través de la oficina de empleo de ***LOCALIDAD.1, según consta en la citación de 13/02/2024, aportada junto a la reclamación. - En consecuencia, de ello se deduce que el método de selección fue a través de la oficina de empleo de ***LOCALIDAD.1, que preseleccionó al reclamante para participar en el proceso de selección y, con este objeto, le envió una citación en la que se indicaba lo siguiente: (TRADUCCIÓN NO OFICIAL) “Con el objeto de mejorar sus posibilidades de inserción laboral, le comunicamos que debe presentarse para la selección de la acción formativa para el empleo: “Organización y Gestión de Almacenes. Deberá personarse el día 27/02/24 a las 9:30H en la siguiente dirección: ACADEMIA ***CENTRO.1 (…) ante la ENCARGADA DE SELECCIÓN. Para poder realizar la prueba de selección, deberá aportar en el lugar y hora señalados la documentación acreditativa de que reúne los requisitos exigidos para poder realizar la acción formativa. En aquellos casos en que se requiera titulación académica deberá aportarse el ultimo titulo académico obtenido (…)”. - Con fecha de 27/02/2024, a la hora indicada en la citación, el reclamante se personó ante la encargada de selección de la ACADEMIA y la misma le requirió la entrega de una copia del DNI por ambas caras como requisito para poder realizar la entrevista y, tras la entrevista previa, el posterior proceso de selección que era necesario para adquirir la condición de alumno del curso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 - La ACADEMIA reconoce que los hechos sucedieron tal y como los relata el reclamante. En concreto, que se le indicó que la administración gallega requería esa documentación “para poder iniciar el curso”. Y pone de manifiesto que finalmente éste accedió a entregarle dicha copia para poder realizar dicho proceso de selección, siendo seleccionado y alumno del curso. - Manifiesta la academia que solicita la copia del DNI en cumplimiento del requisito que le impone el artículo 19.4 de la Orden, que dispone que: “En el momento de la incorporación del alumnado a la acción formativa, deberá requerir a las personas participantes la siguiente documentación a registrar en la aplicación SIFO: (…) -copia DNI (…)”. Toda vez que de acuerdo con el artículo 19.1 de la Orden, los centros de formación beneficiarios están obligados a introducir todos datos correspondientes a la gestión de las acciones formativas en línea a través de la aplicación informática SIFO que la Dirección General de Formación para el Empleo y Orientación pone a disposición de las entidades y centros de formación. - En la documentación aportada por la academia, consta una autorización firmada por el reclamante -que se debe cumplimentar y firmar por todos los alumnos- en la que éste consiente el tratamiento de los datos personales que se realiza a través de la aplicación SIFO, donde la Conselleria de Promoción de Empleo e igualdad de la Xunta consta como responsable del tratamiento. Por otra parte, en el artículo 19.1 de la Orden se hace constar que la aplicación SIFO se pone a disposición por la Dirección General de Formación y Orientación de la citada Conselleria. De la documentación aportada se desprende que la presunta responsable del tratamiento de los datos personales que constan en dicha copia del DNI sería la CONSELLERÍA, pues quien determina los fines y medios del tratamiento. Por su parte, la ACADEMIA actúa en calidad de encargada del tratamiento respecto de los datos personales que recopila respecto de los cursos que tiene asignados. En relación con dicho tratamiento, el artículo 19 de la Orden citada fija con detalle tanto los documentos e información que los centros formativos deben requerir a los alumnos en las diversas fases de ejecución de la acción formativa. Decide, asimismo, sobre los medios del tratamiento, puesto que dispone que la documentación señalada deberá aportarse a la academia por el alumno y ésta encargarse de adjuntarla en línea a la aplicación SIFO, de la que la CONSELLERÍA es gestora -a través de la D.G de Formación antes citada- de acuerdo con lo previsto en el artículo 19.1 de la Orden. Dicha condición se reflejaría, además de lo previsto en la orden reguladora, en diversas evidencias que constan en la documentación aportada al procedimiento, como son: (
15. i)C/ Jorge Juan, 6 28001 – Madrid Las autorizaciones de tratamiento de datos personales (consentimientos) que se firman por los alumnos/candidatos, que han sido aportados al procedimiento por la propia academia, en donde consta la CONSELLERÍA www.aepd.es sedeaepd.gob.es 15/24 como responsable del tratamiento de los datos personales que estos proporcionan. (
16. i)La propia citación que se dirige el 13/02/2024 por la oficina de empleo al reclamante, en la que se le está indicando literalmente que se deberá personar ante la academia y que “Para poder realizar la prueba de selección, deberá aportar en el lugar y hora señalados la documentación acreditativa de que reúne los requisitos exigidos para poder realizar la acción formativa”. (
17. i)Y las manifestaciones realizadas por la ACADEMIA encargada del tratamiento, que informa en su escrito de contestación al traslado que: “Esta documentación ha de subirse a la aplicación SIFO antes de iniciar el curso, para que la Administración competente la valide y autorice el inicio del mismo, motivo por el cual, el día de la entrevista, se pide a los participantes el DNI, acreditación formativa (si es necesaria) y que cubran y firmen la ficha individual y las distintas autorizaciones mencionadas en la normativa”. De acuerdo con el Decreto 49/2024, de 22 de abril, por el que se fija la estructura orgánica de las Consellerías de la Xunta de Galicia, la anteriormente denominada “Consellería de Promoción de Empleo e Igualdad” se ha extinguido, siendo su Dirección General de Promoción de Empleo y Orientación (encargada de las funciones a las que se refiere este procedimiento) integrada en la actualmente denominada “Consellería de Empleo, Comercio y Emigración” (en este escrito, CONSELLERÍA). III Contestación a las alegaciones al acuerdo de inicio En relación con las alegaciones formuladas por al acuerdo de inicio, cabe contestar lo siguiente: Las evidencias y argumentos presentados por la CONSELLERÍA se dirigen a justificar que la solicitud del DNI al candidato seleccionado para realizar una entrevista no se corresponden con la regulación del proceso (establecido en la Orden de 11 de mayo de 2023) y que la CONSELLERÍA, como responsable, había adoptado medidas para que el tratamiento fuera realizado en el marco de dicha Orden. En este sentido son relevantes tres circunstancias señaladas por la CONSELLERÍA en su escrito de alegaciones: - En primer lugar, el hecho de que la aplicación informática SIFO no contenga una funcionalidad para recoger, con anterioridad a la selección de los candidatos como alumnos, el DNI. La Orden de 11 de mayo de 2023 prevé que la información y documentación requerida a las entidades para la gestión de las acciones formativas se realice sobre una aplicación informática (SIFO). Dicha aplicación es el medio que el responsable (la CONSELLERÍA) ha puesto a disposición de las entidades beneficiarias (encargadas de tratamiento, entre ellas la ACADEMIA) para remitir los datos personales de los alumnos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 participan en los cursos. El hecho de que la aplicación no recoja la copia del DNI en el momento en el que la ACADEMIA se lo ha solicitado al reclamante pone de manifiesto que el diseño del tratamiento realizado por la CONSELLERÍA no lo permite. - En segundo lugar, la CONSELLERÍA había facilitado instrucciones a las entidades en las que se indicaba lo siguiente: “(…) la mera consulta del DNI es suficiente para verificar la identidad de una persona y puede solicitarse en cualquier proceso que requiera la identificación “in situ” de la persona solicitante. (…) Archivar o mantener la copia de un DNI, tanto en papel como en formato electrónico, tiene que ser algo excepcional que, según la legislación vigente desde 2006, debe estar claramente justificado desde el punto de vista de la protección de datos personales. El responsable del tratamiento debe avalar la necesidad de disponer y de conservar dicha copia, solicitando el asesoramiento del Delegado de Protección de Datos de la entidad” Dichas instrucciones se refieren expresamente a la situación objeto de este procedimiento, por lo que no cabe considerar que hubiera una falta de instrucciones por parte de la CONSELLERÍA como responsable del tratamiento. - En tercer lugar, cabe tener en cuenta que, además de las medidas desplegadas con anterioridad, tras el incidente la CONSELLERÍA ha adoptado medidas adicionales para evitar incidentes similares en el futuro (comunicación a sus departamentos y entes adscritos, comunicación a las entidades beneficiarias de subvenciones, elaboración de instrucciones por escrito a las entidades beneficiarias y modificación de los textos de citaciones y cláusulas informativas en materia de protección de datos). Cabe señalar, además, que dicha información no se conocía en el momento de inicio del presente procedimiento sancionador. Por todo lo anterior, se aceptan las alegaciones presentadas por la CONSELLERÍA. IV Obligación del artículo 6.1 del RGPD. Base de licitud para el tratamiento El tratamiento de los datos personales de las personas que conlleva la gestión de los procedimientos de selección de alumnos e impartición de cursos de formación al que se refiere el presente expediente debe estar presidido por los principios que relaciona el artículo 5 del RGPD. Cabe destacar, por su relación con el supuesto presente, los denominados “Principio de licitud y transparencia” y “Principio de minimización de datos” previstos en el apartado primero del mismo, letras
18. a)y c), respectivamente, que disponen: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 “Artículo 5 Principios relativos al tratamiento 1.Los datos personales serán:
19. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»(…)
20. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Además, el artículo 5.2 del RGPD indica que: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. El artículo 6 del RGPD, relativo a la “Licitud del tratamiento”, determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
21. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
22. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
23. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
24. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
25. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
26. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
27. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Procede examinar si en el presente caso, para la exigencia de la copia del DNI por ambas caras al reclamante, se contaba con una base de legitimación. En su escrito de respuesta al traslado de la reclamación, la ACADEMIA alega que la base para solicitar el DNI y hacer una copia por ambas caras del mismo es la obligación establecida en el artículo 19.4 de la Orden de 11 de mayo de 2023. Dicho artículo, como se ha visto, establece lo siguiente: "4. En el momento de la incorporación del alumnado a la acción formativa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 deberá requerir a las personas participantes la siguiente documentación a registrar en la aplicación SIFO: (…)
28. b)Asociados a cada participante deberán incorporarse al expediente electrónico de SIFO: (…) • Copia del DNI de la persona alumna. [...] • Autorización firmada por las personas participantes para la utilización de sus datos personales para el control y seguimiento de la acción formativa en el marco de la normativa de protección de datos. La autorización deberá contener la declaración responsable de la persona trabajadora de que los documentos que aporta son auténticos." Dicha Orden, se dicta al amparo del Decreto 69/1993, de 10 de marzo, por la que la C.A de Galicia asume las funciones y los servicios transferidos por la Administración del Estado en materia de formación profesional para el empleo. También cabe enmarcarla en la Ley 9/2007, de 13 de junio, de subvenciones de Galicia, así como de las leyes de ámbito estatal en materia de formación profesional para el empleo, como son la Ley 30/2015, de 9 de septiembre, por la que se regula el Sistema de formación profesional para el empleo en el ámbito laboral, y la Ley Orgánica 3/2022, de 31 de marzo, de ordenación e integración de la formación profesional, tiene por objeto y finalidad la constitución y ordenación de un sistema único e integrado de formación profesional. Cabe analizar, por tanto, si concurre como base de licitud la prevista en el artículo 6.1
29. c)del RGPD: “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”, por ser necesario requerir la copia del DNI a los candidatos que acuden al proceso de selección del curso para cumplir con las obligaciones de “Información y documentación requerida a las entidades para la gestión de la ejecución de las acciones formativas” prevista en el artículo 19 de la Orden de 11 de mayo de 2023. En este sentido, es determinante tener en cuenta que el proceso de selección de alumnos tiene varias fases y la obligación de aportar el DNI que establece el artículo 19.4 citado se refiere, en concreto, a una de ellas. El artículo 19 de la Orden de 11 de mayo de 2023 prevé la “Información y documentación requerida a las entidades para la gestión de la ejecución de las acciones formativas” y prevé la remisión de diferente información en diferentes fases del proceso. Se reproduce a continuación el texto de dicho artículo relevante para el presente procedimiento: “1. Los datos correspondientes a la gestión de las acciones formativas deberán introducirse en línea a través de la aplicación informática SIFO que la Dirección General de Formación para el Empleo y Orientación pone a disposición de las entidades y centros de formación.” 2. Como mínimo cinco