1/18 * Expediente N.º: EXP202304308 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de febrero de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable al AYUNTAMIENTO DE BLANCA con NIF P3001100A (en adelante, el AYUNTAMIENTO o la parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: Según la parte reclamante, el AYUNTAMIENTO convocó un proceso de selección al que concurrió. Señala que, para participar en el mismo, tuvo que aportar un certificado de delitos sexuales. Afirma que en fecha 03/02/2023 el AYUNTAMIENTO publicó en el tablón de edictos de su sede electrónica el citado documento emitido por el “Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos” del Ministerio de Justicia que certifica que “No constan antecedentes sexuales” en relación con la parte reclamante quien figura identificada en el documento por su nombre, dos apellidos y NIF. Junto al escrito, se aportan varias capturas de pantalla obtenidas de la sede electrónica del AYUNTAMIENTO: “sede.blanca.regiondemurcia.es. La primera captura muestra la pantalla de un terminal móvil con la fecha de “6 de febrero” seguida de esta información: “Fecha retirada:23/03/2023 10:43 Código de Expediente: ***EXPEDIENTE.1 Descarga de documentos”. A continuación, en tres líneas, cada una de ellas precedida por el símbolo de la acción de descarga, estas leyendas: “Publicación”; “Certificado de delitos sexuales (Procedente de Sol. ***CÓDIGO.1); “Acta valoración de méritos (…)”. “140 RRHH. Acta valoración méritos (...). Fecha de publicación: 03/02/2023 10:43. Fecha de retirada: 23/03/2023 10:43. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 Código de expediente: ***EXPEDIENTE.1”. Inmediatamente debajo “Descarga de documentos” y, en tres líneas, precedida cada una por el símbolo de la acción de descarga: “Publicación”; “Certificado de delitos sexuales (Procedente de Sol. ***CÓDIGO.1); “Acta valoración de méritos (…)”. La leyenda “Certificado de delitos sexuales (Procedente de Sol. ***CÓDIGO.1)” aparece remarcada, indicando así que su acceso se ha activado. Asimismo, se muestra la página anteriormente descrita y sobre ella este mensaje: “¿Quieres descargar “Certificado-de-delitos-sexuales (…)”? Otra de las capturas muestra íntegramente el citado documento. Es un certificado emitido por el “Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos” del Ministerio de Justicia y está firmado electrónicamente el 21/10/2022. Su texto es el siguiente: “Que, en el día de la fecha, consultada la Base de Datos del Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos, NO CONSTAN antecedentes sexuales relativos a: D./Dª A.A.A., con NIF ***NIF.1 (…) El presente certificado refleja la situación del titular interesado/a en la fecha de su expedición y se emite exclusivamente a efectos de Trabajo y/o contacto habitual con menores.” Este documento se incluye en dos de las capturas aportadas: en el folio 8, en el que consta al inicio la hora “12:31” y en el folio 11, en el que consta al inicio la fecha y la hora siguiente: “6 de febrero 12:33”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La entidad reclamada responde al traslado de la reclamación con fecha 29 de junio de 2023 y en dicha respuesta aporta un Informe del departamento de Recursos Humanos (RRHH) en el que, entre otras cuestiones, reconoce que por un error administrativo publicó el 3 de febrero de 2023 el certificado de delitos sexuales de la parte reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 “
- a)Con fecha 19 de Octubre de 2022 se abre periodo de presentación de instancias (con aportación de méritos profesionales y laborales), para el proceso de concurso oposición para creación de bolsa de trabajo/ lista de espera (…).
- b)Tras primera fase de oposición, se procedió por parte del tribunal calificador a la revisión y puntuación de la fase concurso. Publicándose el acta de la fase concurso más oposición con fecha 3 de Febrero de 2023.
- c)Por un error administrativo y al tiempo que se publicó el acta de fecha 3 de Febrero de 2023, también se hizo la publicación del certificado de delitos sexuales de [la parte reclamante].
- d)Al coincidir el día 3 de febrero con día de la semana viernes, y habiendo sido detectado el error durante el fin de semana (días 4 y 5 de Febrero), se procedió a la retirada del anuncio el primer día hábil (día 6 de Febrero, Lunes), se aporta certificado de retirada de publicación de la citada fecha para su comprobación, volviéndose a publicar el acta definitiva de forma correcta el día 15 de Febrero de 2023.
- e)El mismo día 6 de Febrero se recibe llamada de la parte interesada, informando del error y se le informa de que el anuncio ha sido retirado y se procede a mantener una conversación por parte del encargado del área de informática, estando presente el administrativo de la unidad de recursos humanos, donde se piden disculpas a [la parte reclamante] por el error cometido.
- f)Que por parte de este Ayuntamiento no se busca ningún enriquecimiento, ni intención de dañar públicamente a [la parte reclamante], simplemente fue un error administrativo (corregido de forma inmediata) dentro de un espacio temporal donde se estaban desarrollando varios procesos selectivos de bolsa de trabajo (bolsa de trabajo de auxiliar de guardería, bolsa de trabajo auxiliar de cocina, etc..), con mucha cantidad de información y documentos a tratar.
- g)Que se puede comprobar por parte de quien lo estime oportuno, que todas las publicaciones que se realizan en el tablón de edictos de la sede electrónica del Excmo. Ayuntamiento de Blanca, cumplen con lo exigido en la Ley orgánica de Protección de datos 3/2018 de 5 de diciembre. Aporta también: Un documento con la indicación “Oficio” en el que se deja constancia de la entrega a la parte reclamante del informe de la unidad de RRHH “con el relato de los hechos ocurridos anteriores a la demanda interpuesta por una candidata de un proceso selectivo, así como la documentación anexa al mismo. […]” El documento tiene la firma manuscrita de la parte reclamante y su NIF. No tiene fecha. Sí la referencia “(…)”. Un documento con el nombre y el escudo del AYUNTAMIENTO titulado Evidencia de retirada de Publicación que recoge esta información: Tipo de publicación: Acta Expediente ***EXPEDIENTE.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 Acta valoración de méritos (...) Origen:140 RRHH; Referencia: ***REFERENCIA.1. Referencia de publicación en el boletín: Fecha de Publicación: 03/02/2023 10:43. Fecha de Retirada: 06/02/2023 12:32. Motivo de Retirada: Error publicación documento. Relación de documentos publicados Certificado de delitos sexuales (Procedente de Sol. ***CÓDIGO.1) Acta valoración de méritos (…). TERCERO: Con fecha 14 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 20 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- c)del RGPD y del artículo 5.1.
- f)del RGPD, ambas tipificadas en el artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que manifestaba que (…) se ha solicitado a la empresa proveedora de la herramienta informática Expert@ que emita Informe o documento acreditativo de los extremos señalados por la AEPD con objeto de poder formular las oportunas alegaciones en el expediente arriba referenciado; habiéndose recibido este con fecha 27 de mayo en el que se confirma la hora de retirada comunicada en su momento y por tanto queda acreditada la misma.(…) Que los hechos ocurridos son los descritos en el Informe de RRHH de 12 de abril de 2023 ya remitido a la AEPD como ha quedado acreditado en el Informe del ***PUESTO.1 de fecha 27 de mayo, por lo que SOLICITO el archivo del procedimiento sancionador iniciado por tratarse de un error humano imposible de evitar con cualquier medida organizativa que se adopte, sin intencionalidad alguna y subsanado inmediatamente con explicación a la persona afectada. Se aporta documento firmado por el ***PUESTO.1, con el asunto comportamiento retirada bajo demanda de una publicación, fechado el 27 de mayo de 2025 en el que se da cuenta del proceso de retirada de una publicación, a petición de un usuario, circunstancia que, según se indica, hace que se genere un documento- una evidencia de retirada de la publicación) electrónicamente firmado mediante un código seguro de verificación (CSV), donde se refleja información almacenada de la publicación y de la propia retirada. También se informa de que se deja constancia del momento de la retirada, reflejando la fecha y hora obtenida del gestor de base de datos que se esté utilizando en dicha instalación (…) Asimismo, una vez generado dicho documento electrónico queda almacenado en el gestor documental de la entidad, en este caso Alfresco, donde el propio gestor deja constancia del instante en el que realiza el registro de este. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 SEXTO: Con fecha 17 de junio de 2025 se formuló propuesta de resolución en los siguientes términos: Que por la Presidencia de la Agencia Española de Protección de Datos se declare que AYUNTAMIENTO DE BLANCA, con NIF P3001100A, ha infringido lo dispuesto en el artículo 5.1.
- c)del RGPD y el artículo 5.1.
- f)del RGPD, infracciones tipificadas en el artículo 83.5 del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a AYUNTAMIENTO DE BLANCA, con NIF P3001100A, que en virtud del artículo 77.2 de la LOPDGDD, en el plazo máximo de UN MES a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber procedido al cumplimiento de las siguientes medidas: - - Aplicar al tratamiento de datos personales que realice y, en concreto, a la información personal que sea solicitada en el marco de los procesos de selección de personal, el principio de minimización de datos previsto en el artículo 5.1
- c)del RGPD. Acredite la adopción de las medidas técnicas y organizativas de todo tipo que garanticen la confidencialidad e integridad de los datos personales objeto de tratamiento de acuerdo con lo prescrito en el artículo 5.1
- f)del RGPD. Notificada debidamente la propuesta de resolución y transcurrido el plazo concedido al efecto, el AYUNTAMIENTO no ha realizado alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante participó en un proceso selectivo convocado por el AYUNTAMIENTO para el que se le requirió aportar un certificado de delitos sexuales. Dicho certificado le fue requerido en el momento de la inscripción en el procedimientopresentación de instancia- y como requisito para la participación en el mismo. SEGUNDO: En fecha 3 de febrero de 2023, el AYUNTAMIENTO publicó en el tablón de edictos de su sede electrónica el certificado de delitos sexuales aportado por la parte reclamante. Dicho documento fue emitido por el “Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos” del Ministerio de Justicia y certifica que “No constan antecedentes sexuales” en relación con la parte reclamante quien figura identificada en el documento por su nombre, dos apellidos y NIF. El documento permaneció publicado hasta el 6 de febrero de 2023. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso consta un tratamiento de datos personales del parte reclamante efectuado por el AYUNTAMIENTO que, para el cumplimiento de las funciones que tiene legalmente atribuidas, necesita tratar datos de carácter personal de los ciudadanos. Entre dichas funciones, y por lo que ahora interesa, cabe mencionar las que le competen en materia de selección de personal conforme a lo dispuesto en la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local (LRBRL), artículos 91 y 103, entre otros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 El tratamiento por parte del AYUNTAMIENTO sobre el que versa la reclamación habría consistido en la publicación en su sede electrónica datos de carácter personal de la parte reclamante sobre los que tenía, en calidad de responsable, la obligación de garantizar su confidencialidad. El AYUNTAMIENTO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones al acuerdo de inicio Como ha quedado señalado en los antecedentes de la presente resolución, el AYUNTAMIENTO presentó escrito de alegaciones al acuerdo de inicio en el que reproducían los argumentos que ya fueron transmitidos en su respuesta al traslado de la reclamación presentada ante esta AEPD. Dichos argumentos se centraban en señalar que la publicación fue debido a un error en la subida de documentos relativos al proceso selectivo en el que participaba la parte reclamante en la sede electrónica de la entidad y que, advertido el error, el certificado de delitos sexuales relativo a la parte reclamante fue retirado. Dichas alegaciones, no obstante, no desvirtúan el hecho de que se produjo la infracción imputada en el acuerdo de inicio del presente procedimiento sancionador debido a la pérdida de confidencialidad de los datos de la parte reclamante. Una confidencialidad que le correspondía salvaguardar al AYUNTAMIENTO como responsable del tratamiento y que fue quebrada por la publicación de información personal relativa a la parte reclamante. Asimismo, el escrito no aduce ninguna alegación relativa a la infracción del artículo 5.1 c), principio de minimización de datos, que también se imputa al AYUNTAMIENTO al solicitar datos personales que excederían de los necesarios, tal y como se argumenta debidamente en el acuerdo de inicio adoptado. Por lo tanto, en atención a lo señalado, procede la desestimación de las alegaciones presentadas. III Obligación incumplida. Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que sean estrictamente necesarios; que solo podrán ser recogidos cuando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 vayan a ser tratados y que solo podrán ser utilizados para la finalidad con la que fue recogida, pero con ningún otro objetivo. Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las Directrices 4/2019, “relativas al artículo 25, Protección de datos desde el diseño y por defecto”, versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente. En el apartado 74 de dichas directrices se establece que: “En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento.” Y en su apartado 76, estas Directrices 4/2019 indican que pueden ser “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos” entre otros, los siguientes: Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. Limitación de acceso: Se configurará el tratamiento de datos de manera que se minimice el número de personas que necesiten acceder a datos personales para desempeñar sus funciones, y se limitará el acceso en consecuencia. Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” Por tanto, es necesario llevar a cabo una debida ponderación de la información a requerir a los interesados, sopesando las circunstancias que rodean un determinado tratamiento y analizando las consecuencias que puede conllevar el acceso a determinados datos. Por su parte, en el Considerando 39 del RGPD se señala que: “…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados”. Asimismo, el artículo 10 del RGPD, que se refiere al tratamiento de datos personales relativos a condenas e infracciones penales, dispone: “El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.” El artículo 10 de la LOPDGDD regula el tratamiento de los datos personales de naturaleza penal en términos similares al RGPD "1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal. 2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. 3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.” El RGPD hace referencia en su Considerando 75 a la posibilidad de que determinados tratamientos de datos puedan entrañar un riesgo para los derechos y libertades de la personas, entre los que se encuentran los datos relativos a las condenas e infracciones penales y medidas de seguridad conexa, de ahí que el artículo 10 del texto legal opte por conferir la legitimidad de su tratamiento a las autoridades públicas o cuando exista una habilitación del Derecho de la Unión o una norma nacional que proporcione las garantías adecuadas, y por asignar la custodia de los registros donde se inscriben estos datos también a las autoridades públicas. Sentado lo anterior, recordemos que el certificado de antecedentes penales es el documento público que acredita la carencia o existencia de antecedentes penales que constan inscritos en el Registro Central de Penados. Los antecedentes penales se definen como las resoluciones firmes dictadas por los Jueces y Tribunales del orden penal por la comisión de un delito que imponga penas o medidas de seguridad que se encuentren en vigor atendiendo a lo que dispone el Código Penal. Con carácter general, no es posible solicitar certificados de delitos penales a candidatos que participen en un proceso de selección o que, superado este, procedan a firmar sus contratos de trabajo o a iniciar su prestación de servicios. No obstante, en determinadas profesiones o sectores sí sería admisible en base a la actividad desarrollada y siempre que exista una norma con rango de ley que lo permita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 La Sentencia de la Sala de lo Social de la Audiencia Nacional 14/2020, de 10 de febrero de 2020, señala, en lo que respecto a los antecedentes penales: “Los antecedentes penales son datos de carácter personal, que están protegidos por el derecho constitucional fundamental a la protección de datos. Los antecedentes penales están supeditados a unas reglas específicas de tratamiento porque son datos de carácter personal especialmente sensibles. La práctica empresarial consistente en solicitar a los trabajadores de nuevo ingreso un certificado negativo de antecedentes penales o una declaración jurada de carecer de antecedentes penales es un acto de tratamiento de datos personales que tiene lugar en el marco de un contrato de trabajo. El acto de tratamiento de datos personales señalado en el punto anterior será lícito si concurren los dos requisitos siguientes: El tratamiento de datos personales (solicitud de certificado o declaración de antecedentes penales) ha de ser necesario para la ejecución del contrato de trabajo. Una norma de Derecho de la Unión Europea o una norma de Derecho interno y rango legal ha de habilitar al empresario para solicitar los datos personales (antecedentes penales) al trabajador”. (El subrayado es de esta AEPD) Como consecuencia de lo anterior, una vez sentado que el certificado de antecedentes penales de naturaleza sexual que solicita la parte reclamada supone una información relativa a las condenas penales de una persona física identificada y, por ende, un dato personal sujeto a las especiales garantías que establecen los artículos 10 del RGPD y 10 de la LOPDGDD, procede examinar si existe una habilitación que permita que la parte reclamada trate dicha información. Según el artículo 13.5 de la Ley Orgánica 1/1996, de 15 de enero de Protección Jurídica del Menor, en la redacción dado por la Ley 26/2015, de 28 de julio que modifica el sistema de protección a la infancia y a la adolescencia “Será requisito para el acceso y ejercicio a las profesiones, oficios y actividades que impliquen contacto habitual con menores, el no haber sido condenado por sentencia firme por algún delito contra la libertad e indemnidad sexual, que incluye la agresión y abuso sexual, acoso sexual, exhibicionismo y provocación sexual, prostitución y explotación sexual y corrupción de menores, así como por trata de seres humanos. A tal efecto, quien pretenda el acceso a tales profesiones, oficios o actividades deberá acreditar esta circunstancia mediante la aportación de una certificación negativa del Registro Central de delincuentes sexuales”. De acuerdo con el informe del Gabinete Jurídico de esta AEPD nº 0401/2025 No parece que el espíritu y finalidad del precepto sea abarcar todo tipo de actividades económicas, sino sólo aquellas que “impliquen un contacto habitual”; es decir, según el tenor literal de la ley, no es suficiente que en determinadas profesiones exista un contacto habitual con menores, lo que sucedería en la mayoría de las profesiones destinadas hacia la prestación de servicios para el público en general, sino que la profesión en sí misma implique, por su propia naturaleza y esencia, un contacto habitual con menores. Así, no parece que el mero hecho de poder tener un contacto con menores determine, per se, una limitación para el acceso y ejercicio a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 determinadas profesiones. Es necesario que la actividad implique en sí misma un contacto habitual con menores, teniéndoles por ejemplo como destinatarios prioritarios de los servicios prestados, por ser por ejemplo servicios específicamente destinados a menores. En la actualidad se encuentra vigente el artículo 57- Requisito para el acceso a profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad- de la Ley Orgánica 8/2021, de 4 de junio, de protección integral a la infancia y la adolescencia frente a la violencia, que se pronuncia en los siguientes términos. 1. Será requisito para el acceso y ejercicio de cualesquiera profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad, el no haber sido condenado por sentencia firme por cualquier delito contra la libertad e indemnidad sexuales tipificados en el título VIII de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, así como por cualquier delito de trata de seres humanos tipificado en el título VII bis del Código Penal. A tal efecto, quien pretenda el acceso a tales profesiones, oficios o actividades deberá acreditar esta circunstancia mediante la aportación de una certificación negativa del Registro Central de delincuentes sexuales 2. A los efectos de esta ley, son profesiones, oficios y actividades que implican contacto habitual con personas menores de edad, todas aquellas, retribuidas o no, que por su propia naturaleza y esencia conllevan el trato repetido, directo y regular y no meramente ocasional con niños, niñas o adolescentes, así como, en todo caso, todas aquellas que tengan como destinatarios principales a personas menores de edad. 3. Queda prohibido que las empresas y entidades den ocupación en cualesquiera profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad a quienes tengan antecedentes en el Registro Central de Delincuentes Sexuales y de Trata de Seres Humanos Ha de tenerse en cuenta que, tanto la normativa que inicialmente introdujo la obligatoriedad de la aportación del mencionado certificado como la que lo regula en la actualidad, mencionan que dicho documento será requerido para el acceso y ejercicio. Estaríamos, por lo tanto, ante el supuesto de que, llevado a cabo un proceso de selección y al objeto de proceder por la parte seleccionada al acceso al puesto concreto y ejercerlo, será necesario aportar el certificado de carecer de antecedentes por delitos de naturaleza sexual. La petición de dicha información antes de que se confirme el acceso y, menos aún, el ejercicio, por parte de una persona a profesiones, oficios y actividades que impliquen un contacto habitual de menores- en el caso que nos ocupa, en el marco del mismo proceso de selección- supondría el tratamiento de dicha información personal de naturaleza sensible de todos aquellos participantes en un proceso selectivo en el que, habiéndosele requerido la aportación de dicho documento, finalmente no fuera seleccionado. Un tratamiento excesivo que, además, en este caso concreto, ha supuesto la pérdida de confidencialidad de los datos personales de la parte reclamante, como razonaremos posteriormente. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable al AYUNTAMIENTO por vulneración del artículo 5.1
- c)al solicitar la aportación del certificado de carecer de antecedentes penales a todos los participantes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 de un proceso de selección de personal para un puesto de trabajo en el que se desempeñe unas funciones que requieren de la aportación de dicho certificado. IV Obligación incumplida. Integridad y confidencialidad La letra
- f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." La repercusión que la vulneración del deber de confidencialidad tiene en el derecho de las personas físicas a la protección de sus datos se aprecia con nitidez en la Sentencia del Tribunal Constitucional (STC) 292/2000 que, con ocasión de analizar el contenido de este derecho fundamental, dice (Fundamento de Derecho 7): “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) Conectado con el artículo 5.1.
- f)RGPD, el artículo 5.2. del RGPD, principio de responsabilidad proactiva, dispone que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” El artículo 24 del RGPD, “Responsabilidad del responsable del tratamiento”, desarrolla la disposición del artículo 5.2. y establece: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos.” (El subrayado es nuestro) Según reconoce el propio AYUNTAMIENTO, el certificado que la parte reclamante había aportado y en el que se incluían su nombre, dos apellidos y NIF, así como la indicación de que carecía de antecedentes sexuales habría sido publicado en su sede electrónica. En efecto, consta la respuesta del departamento de RRHH del AYUNTAMIENTO que reconoce que, en el marco del “proceso de concurso (…)”, en fecha 03/02/2023 se publicó el acta de la fase de concurso más oposición y que por un error “al tiempo que se publicó el acta de fecha 3 de Febrero de 2023, también se hizo la publicación del certificado de delitos sexuales de la parte reclamante. El AYUNTAMIENTO ha manifestado, además, en el escrito enviado por su departamento de RRHH que el día 03/02/2023 era viernes que se procedió a “retirar el anuncio” el primer día hábil, el lunes 06/02/2023, “volviéndose a publicar el acta definitiva de forma correcta el día 15 de Febrero de 2023”. Que el 06/02/2023 se recibió una llamada telefónica de la parte reclamante y se le informó de que el “anuncio ha sido retirado”. El AYUNTAMIENTO ha aportado el documento que denomina” Evidencia de retirada de Publicación” en el que figura la fecha en la que se publicó el “Acta” “Expediente ***EXPEDIENTE.1”, “Acta valoración de méritos (...)” y la fecha de retirada. En relación con esta última consta: “Fecha de Retirada: 06/02/2023 12:32.” (El subrayado es nuestro). En definitiva, durante todo el tiempo en que este documento estuvo publicado, los datos personales de la parte reclamante fueron accesibles a terceros. Llegados a este punto es preciso recordar que, en virtud del principio enunciado en el artículo 5.2 del RGPD y desarrollado en su artículo 24, incumbe al AYUNTAMIENTO la carga de la prueba del cumplimiento de las obligaciones impuestas por el artículo 5.1.
- f)RGPD. Mencionamos en tal sentido la STJUE de 14/12/2023, asunto C-340/21, que dice: “49 A este respecto, procede recordar, en primer lugar, que el artículo 5, apartado 2, del RGPD establece un principio de responsabilidad en virtud del cual el responsable del tratamiento es responsable del respeto de los principios relativos al tratamiento de datos personales enunciados en el apartado 1 de ese artículo y estipula que este responsable debe ser capaz de demostrar la conformidad del tratamiento con dichos principios. 50 En particular, el responsable del tratamiento debe, de conformidad con los principios de integridad y de confidencialidad de los datos personales establecidos en el artículo 5, apartado 1, letra f), de dicho Reglamento, garantizar que estos datos son tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18 tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas y debe ser capaz de demostrar la conformidad con los referidos principios. 51 Asimismo, procede señalar que tanto el artículo 24, apartado 1, del RGPD, en relación con el considerando 74 de este, como el artículo 32, apartado 1, del mismo Reglamento obligan al responsable del tratamiento, para todo tratamiento de datos personales realizado por él mismo o por su cuenta, a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento. 52 Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C 60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 95].” (El subrayado es nuestro) En consideración a lo expuesto, y a la vista de la documentación que integra el expediente, se ha producido una pérdida de confidencialidad de los datos personales de la parte reclamante tratados por el AYUNTAMIENTO, habida cuenta de que el propio AYUNTAMIENTO reconoce que fueron publicados en el tablón de edictos de su sede electrónica y, por tanto, fueron accesibles a terceros desde el día 03/02/2022 y hasta el día 06/02/2022. Simultáneamente, pese a que incumbe al AYUNTAMIENTO reclamado la carga de la prueba, éste no ha aportado ninguna sobre las medidas técnicas u organizativas que tenía implantadas cuando se produjo la brecha de confidencialidad con la finalidad de garantizar la seguridad de los datos, teniendo en cuenta para ello la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable al AYUNTAMIENTO por vulneración del artículo 5.1 f). V Tipificación de las infracciones de los artículos 5.1.
- c)y
- f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 5.1.
- c)del RGPD y del artículo 5.1.
- f)del RGPD tipificadas en el artículo 83.5 del RGPD. La sanción que corresponde imponer es la declaración de infracción. III Medidas correctivas Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AYUNTAMIENTO DE BLANCA, con NIF P3001100A, ha infringido lo dispuesto en el artículo 5.1.
- c)del RGPD y en el artículo 5.1.
- f)del RGPD, infracciones tipificadas en el artículo 83.5 del RGPD. SEGUNDO: ORDENAR al AYUNTAMIENTO DE BLANCA, con NIF P3001100A, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de UN MES desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas: - Aplicar al tratamiento de datos personales que realice y, en concreto, a la información personal que sea solicitada en el marco de los procesos de selección de personal, el principio de minimización de datos previsto en el artículo 5.1
- c)del RGPD. - Acredite la adopción de las medidas técnicas y organizativas de todo tipo que garanticen la confidencialidad e integridad de los datos personales objeto de tratamiento de acuerdo con lo prescrito en el artículo 5.1
- f)del RGPD. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE BLANCA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es