← España

PS-00374-2018

1/24 Procedimiento Nº: PS/00374/2018 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 1/08/2018 interpuso reclamación ante la Agencia Española de Protección de Datos contra la JUNTA DE ANDALUCIA (CONSEJERÍA DE EDUCACIÓN) (en adelante, el reclamado). Los motivos en que basa la reclamación son que “Tras realizar las pruebas de acceso al cuerpo de profesores de educación secundaria en la convocatoria efectuada en la Orden de 5/04/2018. La publicación de las correspondientes calificaciones obtenidas por los aspirantes, en ambas partes de la oposición, se realizaron de forma física en las sedes de las especialidades y en el portal de la Consejería de forma digital. En la publicación física de las calificaciones se detallaba el nombre, apellidos y DNI completos de cada uno de los aspirantes. Y en la consulta digital también eran visibles los mismos datos de cada uno de los aspirantes. Además tanto en la fase de oposición como la de concurso, las consultas individualizadas que se podían realizar ya, fuera, de las calificaciones o expediente del aspirante no requerían de ninguna seguridad ni verificación de persona, mostrando esa información méritos y datos privados y personales sobre la vida laboral y formación de cada uno de los aspirantes.” Acompaña; -En un tablón de corcho aparece fijada una hoja de la Junta de Andalucía/Consejería de Educación, con listado de aspirantes que no han superado la primera prueba, en las pruebas de profesores de enseñanza secundaria, técnicos de formación profesional, EOI…, de 3/07/2018, pág. 2 de 2, constando DNI, apellidos y nombre y calificaciones de la parte A y parte B. -Otra hoja con la publicación, según manifiesta, física, de la segunda prueba en la que aparecen los datos del reclamante en el” listado de aspirantes que han superado la segunda prueba.” -Una tercera hoja de 20/07/2018, con los mismos datos, referidos a los que han superado la fase de oposición, en un tablón de corcho, constando el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 -Copia de la impresión de la publicación digital de las calificaciones obtenidas, extraída de: ***URL.1, de calificaciones de la primera y segunda fase, especialidad sistemas electrónicos, con la calificación de la prueba 1 en su parte práctica y tema, y de la dos, y la nota de oposición con los dato sede nif, nombre y apellidos y numero de aspirante. -Copia el menú que permite la opción de consulta individualizada existente en la web de la Junta, extraída de: ***URL.2, en la que figura el título “consulta individualizada”, y expresamente en la casilla pone “NIF”, como medio de introducir los datos para la consulta. Introduciendo el mismo, y habiéndose expuesto en las distintas fases los DNIS completos de los participantes, se puede visionar la consulta individualizada de los méritos. SEGUNDO: La Orden de 5/04/2018, por la que se efectúa la convocatoria de procedimientos selectivos para el ingreso en los Cuerpos de Profesores de Enseñanza Secundaria, Profesores Técnicos de Formación Profesional, Profesores de Escuelas Oficiales de Idiomas, Profesores de Artes Plásticas y Diseño, Maestros de Taller de Artes Plásticas y Diseño y acceso al Cuerpo de Profesores de Enseñanza Secundaria y al Cuerpo de Profesores de Artes Plásticas y Diseño aparece en el BOJA 13-04). En el punto 8.1.1 se indica: “Por resolución de cada tribunal se publicarán las calificaciones de la primera prueba en el tablón de anuncios de la sede del mismo, en el de la Delegación Territorial de Educación en cuyo ámbito se ubique el tribunal y, a efectos meramente informativos, en el portal web de la Consejería de Educación, debiendo remitirse una copia de dichas calificaciones a la correspondiente comisión de selección.” Y en el 8.1.3.” Calificación final de la fase de oposición.” “La calificación de la fase de oposición será la media aritmética de las puntuaciones obtenidas en las dos pruebas superadas, ambas valoradas de 0 a 10 puntos. Por resolución de cada tribunal se publicarán en el tablón de anuncios de la sede del mismo, en el de la Delegación Territorial de Educación en cuyo ámbito se ubique el tribunal y, a efectos meramente informativos, en el portal web de la Consejería de Educación, las calificaciones de las distintas partes de la prueba, remitiendo una copia a la correspondiente comisión de selección.” TERCERO: Con fecha 6/11/2018, por la directora de la AEPD admitió a trámite la reclamación. CUARTO: Con fecha 23/05/2019, la directora de la AEPD acordó “INICIAR PROCEDIMIENTO SANCIONADOR de APERCIBIMIENTO a CONSEJERÍA DE EDUCACIÓN (JUNTA DE ANDALUCIA), , por la presunta infracción del artículo 5.1.

  1. c)y del artículo 5.1.
  2. f)del RGPD de conformidad con el artículo 83.5 del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 QUINTO Con fecha 24/06/2019 la reclamada efectúa alegaciones, indicando: 1) En la fecha en que se publicaron los datos no estaba vigente la LOPDDGD. 2) Se trata de un proceso de concurrencia competitiva en el que se ha de asegurar la publicidad de la convocatoria y de sus bases, y transparencia del mismo, conforme señalan los principios básicos de acceso a la función pública y se contienen en la Constitución Española y en el Estatuto básico de la función Pública. Como ejemplo de prevalencia de estos principios de transparencia y publicidad sobre el de protección de datos, alude al informe del Gabinete Jurídico de la AEPD 358/2015 y a la sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de 26/04/2012 que trata: antecedente de hecho primero: “Con fecha de 15/09/2008 se formula denuncia por Pablo sobre la base de que el Tribunal Calificador de las Pruebas Selectivas para Educadores Sociales del Grupo II de Personal Laboral, publicada en ORDEN 22-122006 convocadas por la Consejería de Presidencia de la Junta de Extremadura ha facilitado a la FSP-UGT los datos personales con las notas (del segundo ejercicio) de los opositores (tanto de los aprobados como de los suspendidos). La FSP-UGT utiliza dichos datos para informar telefónicamente a los opositores acerca de la nota obtenida, facilitándola a quien lo solicite, con solo dar el nombre de la persona”, reproduciéndose por considerarlo de interés el fundamento jurídico segundo que indica: SEGUNDO “ Esta sala se ha pronunciado en el recurso 215/2010 en relación con estos hechos con ocasión de la sanción impuesta al sindicato que supuestamente filtró la información relativa al resultado de la oposición y con relación al que la Agencia consideró que se había cometido una infracción relativa al tratamiento de datos sin consentimiento. Entendió la sala en dicha sentencia que nos encontrábamos ante un supuesto en el que no era exigible el consentimiento para el tratamiento de los datos personales sobre la base del siguiente razonamiento: <<Por lo tanto, una de las excepciones a la exigencia de consentimiento para el tratamiento de datos es el de la colisión con intereses generales ó con otros derechos de superior valor que hagan decaer la protección de datos por la preferencia que deba concederse a ese otro interés. En el caso presente, al tratarse de un procedimiento de concurrencia competitiva debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que "La Ley regulará el estatuto de los funcionarios públicos, el acceso a la función pública de acuerdo con los principios de mérito y capacidad ..." (todo ello en relación con lo previsto en el artículo 23 C.E . al que nos referiremos más adelante) Obviamente, las garantías que exige el tratamiento de datos personales no pueden servir para empañar ó anular estas exigencias generales que obligan a que los procesos se conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La superioridad de estos otros valores aconseja que en este caso se entienda que no era exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente en su comunicación por el sindicato ahora recurrente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 Desde este punto de vista, debemos concluir que no es exigible el consentimiento de aquellas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exigencia de los demás participantes para asegurar la limpieza e imparcialidad del procedimiento en el que concurren. (...) Es cierto que la Ley Orgánica 15/1999 no recoge expresamente exenciones o excepciones al régimen de tratamiento de datos personales en ella contenida con fundamento en las garantías de transparencia de los procesos competitivos por lo que será preciso ponderar los intereses en conflicto para poder determinar cuál de ellos debe prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos. (No es infrecuente que esta Sala debe realizar este tipo de ponderaciones ó valoraciones; basta remitirse a la sentencia del recurso 331/205; DF 2/2010 o 862/2009). Por lo tanto, será procedente la estimación del recuso y la anulación de la resolución recurrida sobre la base de la prevalencia del interés general tomando en consideración que, como es natural, solo se amparará dicho uso dentro de los fines relativos al mismo procedimiento de concurrencia competitiva en aplicación de los límites que señala el artículo 4 de la LOPD (...)>> Si el tratamiento de datos en cuestión (el que realizó el Sindicato al permitir la publicidad de las calificaciones de uno de los ejercicios del proceso selectivo) se ha considerado conforme a las exigencias de la LOPD, resulta evidente que no puede exigirse el cumplimiento de medidas de seguridad en relación con datos cuya divulgación se ha declarado como legitima por no estar vinculada a las garantías de la protección de datos personales. La prelación de derechos a la que se hizo mención en el razonamiento jurídico de la sentencia dictada obliga a entender que no son aplicables las medidas de seguridad y que habrían evitado la divulgación que, ya en esa sentencia, se afirmaba que no era contraria a la LOPD. SEXTO: Se incorpora al procedimiento el contenido del informe 358/2015 que se transcribe: N/REF: 359710/2015 Examinada su solicitud de informe, remitida a este Gabinete Jurídico, referente a la consulta planteada por la SUBDIRECCIÓN GENERAL DE PLANIFICACIÓN DE RECURSOS HUMANOS Y RETRIBUCIONES DEL MINISTERIO DE HACIENDA Y ADMINISTRACIONES PUBLICAS, cúmpleme informarle lo siguiente: Se consulta si, de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, puede ejercitarse el derecho de oposición reconocido en el artículo 17 de dicha norma a la publicación del nombre y apellidos de candidatos en el desarrollo de un proceso selectivo para ingreso en un Cuerpo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 de la Administración Pública, fundamentado en que la participación en el mismo puede dar lugar a represalias por parte del empleador actual de los solicitantes. La cuestión planteada ha sido objeto de estudio en informe de esta Agencia de 21 de julio de 2012, cuyas conclusiones pueden resultar de aplicación al presente caso, por lo que a continuación se transcribe el mismo: “Se plantea en la presente consulta cuál es el criterio de esta Agencia sobre la solicitud de un candidato de un procedimiento selectivo de que su nombre sea excluido de los listados de admitidos y excluidos, y de valoración de méritos de dicho procedimiento, publicado en la sede electrónica del organismo consultante. La consulta se refiere a los datos de carácter personal en el marco de un “procedimiento de empleo público”. No específica, por tanto, si se trata de procedimientos que afectan a funcionarios o a personal laboral, ni determina si se está cuestionando sobre procedimientos de acceso al empleo público o de promoción interna. En cualquier caso, sí se indica que “la información incluye listados de admitidos, excluidos y valoraciones de méritos con identificación de los candidatos”. Entendemos, por tanto, que en los listados de admitidos, de excluidos y de valoración de méritos aparecen los nombres y apellidos de los candidatos, desconociendo si aparece otra información. Consideramos así, en primer lugar, que los listados a que se refiere la consulta incluyen indudablemente datos de carácter personal, por cuanto se refieren al nombre y apellidos, pudiera ser que el DNI o el número de registro personal, así como la circunstancia de participar en un procedimiento selectivo de empleo público, el ser o no admitido, así como los resultados de las distintas fases del proceso selectivo incluyendo la valoración de méritos de la fase de concurso si ha hubiera. Previsiblemente se referirán también a los resultados definitivos del procedimiento selectivo. Se trata, por tanto, de datos que caen dentro de la definición de datos de carácter personal consagrada en el art. 3.
  3. a)LOPD como “cualquier información concerniente a personas físicas identificadas o identificables”. Se plantea si cabe atender el derecho de oposición del afectado. El derecho de oposición resulta del artículo 6.4 LOPD que establece: “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El artículo 6.4 LOPD aparece desarrollado por los artículos 34 a 36 RDLOPD. El art. 34 RDLOPD define el derecho de oposición en los siguientes términos: “El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
  4. a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24
  5. b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este Reglamento, cualquiera que sea la empresa responsable de su creación.
  6. c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este Reglamento”. Considerando que los apartados
  7. b)y
  8. c)de este artículo son totalmente ajenos al supuesto planteado, ahondaremos en el estudio del primer supuesto. Además, queremos especificar que el derecho de oposición deberá ejercitarse en los términos del artículo 35 RDLOPD, mediante solicitud dirigida al responsable del tratamiento, haciendo constar los motivos fundados y legítimos relativos a la concreta situación personal, debiendo resolverse la solicitud en el plazo de diez días; transcurrido dicho plazo sin que de forma expresa se responda a la petición, podrá interesarse la tutela ante esta Agencia en los términos del art. 18 LOPD. II En este sentido, procede estudiar si concurren todos los requisitos para atender el ejercicio del derecho de oposición al tratamiento de datos. En primer lugar, comenzaremos indicando que la publicación de listados de admitidos y excluidos y la valoración de méritos constituye una verdadera cesión, de conformidad con la definición del artículo 3.
  9. i)LOPD como “toda revelación de datos realizada a una persona distinta del interesado”. Y la cesión queda englobada dentro del concepto de tratamiento de datos de conformidad con el artículo 3.
  10. c)LOPD y art. 5.1.
  11. t)del Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007 de 21 de diciembre (RDLOPD). Para que el art. 6.4 LOPD y el art. 34.
  12. a)RDLOPD sean de aplicación es necesario, primero, que concurra un motivo legítimo y fundado, referido a la concreta situación personal del afectado. Se trata, por tanto, de un elemento eminentemente casuístico, tal y como viene manteniendo esta Agencia, como en informe de 18 de septiembre de 2006, que debe ser estudiado en cada supuesto de hecho concreto, sin que pueda ofrecerse una respuesta abstracta. En la consulta se menciona que el interesado pudiera ver dañado su futuro profesional mediante las publicaciones en cuestión. Pues bien, habrá de analizarse cuál es su profesión, y si en la misma pueden producirse los perjuicios invocados. En este sentido, esta Agencia no dispone de datos suficientes para ponderar la concreta situación enjuiciada. Pero es que, en segundo lugar, se exige que una ley no disponga lo contrario. La materia de los procedimientos selectivos aparece presidida por los principios de transparencia y publicidad. Partiendo del artículo 103 de la Constitución Española, el artículo 55 del Estatuto Básico del Empleado Público aprobado por Ley 7/2007 de 12 de abril señala en su apartado segundo: “2. Las Administraciones Públicas, entidades y organismos a que se refiere el artículo 2 del presente Estatuto seleccionarán a su personal funcionario y laboral mediante procedimientos en los que se garanticen los principios constitucionales antes expresados, así como los establecidos a continuación:
  13. a)Publicidad de las convocatorias y de sus bases.
  14. b)Transparencia.
  15. c)Imparcialidad y profesionalidad de los miembros de los órganos de selección.
  16. d)Independencia y discrecionalidad técnica en la actuación de los órganos de selección. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24
  17. e)Adecuación entre el contenido de los procesos selectivos y las funciones o tareas a desarrollar.
  18. f)Agilidad, sin perjuicio de la objetividad, en los procesos de selección”. En materia de provisión de puestos de trabajo, el artículo 78 del EBEP también consagra el principio de publicidad en los siguientes términos: “1. Las Administraciones Públicas proveerán los puestos de trabajo mediante procedimientos basados en los principios de igualdad, mérito, capacidad y publicidad”. En su desarrollo, el Real Decreto 364/1995 de 10 de abril, de Ingreso del personal al servicio de la AGE, provisión de puestos de trabajo y promoción profesional, señala en su artículo 5 la aplicación del principio de publicidad; y así lo aplica a lo largo de su articulado, como el art. 15 relativo a la publicación de las convocatorias de ingreso de funcionarios y sus bases en el BOE, así como el art. 20 respecto de la publicación en el BOE de la resolución aprobando la lista de admitidos y excluidos e indicando el lugar donde estarán expuestas las listas oficiales. En este sentido, el art. 20.2 preceptúa: “2. Cuando el procedimiento selectivo lo permita, no será preceptiva la exposición al público de las listas de aspirantes admitidos, debiendo especificarse así en la correspondiente convocatoria. En estos casos, la resolución, que debe publicarse en el «Boletín Oficial del Estado», deberá recoger el lugar y la fecha de comienzo de los ejercicios, así como la relación de los aspirantes excluidos con indicación de las causas y del plazo de subsanación de defectos”. El artículo 22 también se refiere a la publicación de la lista de aprobados. En lo que atañe a los procedimientos de promoción profesional, también se consagra el principio de publicidad, tanto de la convocatoria como de la resolución, en el artículo 38 del RD 364/1995, así como particularizado en los artículos 42 y 52 del mismo Reglamento. Además, al ser la consulta planteada por una Agencia Estatal, queremos destacar que estos principios, incluyendo el de publicidad, son plenamente aplicables a los procedimientos de provisión de puestos de trabajo de dichas agencias, de conformidad con el artículo 20 de la Ley 28/2006 de 18 de julio de Agencias Estatales. Además, el artículo 19 de la misma dispone en su apartado 1: “La selección del personal al que se refiere el artículo 18.1.
  19. c)se realiza mediante convocatoria pública y de acuerdo con los principios de igualdad, mérito y capacidad, así como de acceso al empleo público de las personas con discapacidad”. Principios también aplicables al personal laboral según el art. 19.2 de la misma Ley. Por su parte, el artículo 33 del Real Decreto 1403/2007, de 26 de octubre por el que se aprueba el Estatuto de la AECID determina la aplicabilidad a dicha Agencia del artículo 55 EBEP antes citado, y por tanto los tan repetidos principios de publicidad y transparencia. Vemos así que en los procedimientos selectivos, el principio de publicidad y transparencia se torna en esencial, como garantizador del principio de igualdad. La Audiencia Nacional ha ponderado el principio de publicidad con la protección de datos de carácter personal, llegando a la conclusión que durante la tramitación del proceso selectivo ha de prevalecer el primero. Así, en la reciente sentencia de 26 de abril de 2012 de la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, que cita a su vez la recaída en el recurso 215/2010, señaló (el subrayado es nuestro): “Por lo tanto, una de las excepciones a la exigencia de consentimiento para el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 es el de la colisión con intereses generales ó con otros derechos de superior valor que hagan decaer la protección de datos por la preferencia que deba concederse a ese otro interés. En el caso presente, al tratarse de un procedimiento de concurrencia competitiva debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que "La Ley regulará el estatuto de los funcionarios públicos, el acceso a la función pública de acuerdo con los principios de mérito y capacidad ..." (todo ello en relación con lo previsto en el artículo 23 C.E . al que nos referiremos más adelante. Obviamente, las garantías que exige el tratamiento de datos personales no pueden servir para empañar ó anular estas exigencias generales que obligan a que los procesos se conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La superioridad de estos otros valores aconseja que en este caso se entienda que no era exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente en su comunicación por el sindicato ahora recurrente. Desde este punto de vista, debemos concluir que no es exigible el consentimiento de aquellas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exigencia de los demás participantes para asegurar la limpieza e imparcialidad del procedimiento en el que concurren. (...) Es cierto que la Ley Orgánica 15/1999 no recogía expresamente exenciones o excepciones al régimen de tratamiento de datos personales en ella contenida con fundamento en las garantías de transparencia de los procesos competitivos por lo que será preciso ponderar los intereses en conflicto para poder determinar cuál de ellos debe prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos. (No es infrecuente que esta Sala debe realizar este tipo de ponderaciones ó valoraciones; basta remitirse a la sentencia del recurso 331/205; DF 2/2010 o 862/2009). Por lo tanto, será procedente la estimación del recuso y la anulación de la resolución recurrida sobre la base de la prevalencia del interés general tomando en consideración que, como es natural, solo se amparará dicho uso dentro de los fines relativos al mismo procedimiento de concurrencia competitiva en aplicación de los límites que señala el artículo 4 de la LOPD (...)”. Todo ello, claro está, siempre que se estén publicando datos cuyo tratamiento no sea excesivo, puesto que el art. 4 LOPD señala en su primer apartado que: “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. En este sentido, no cabría nunca ejercitar el derecho de oposición respecto de aquellos datos de carácter personal que sean necesarios para el cumplimiento del principio de publicidad y transparencia del proceso selectivo. Para ello habrían de examinarse por la entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 consultante qué datos se están publicando y hasta qué punto los mismos son necesarios para el cumplimiento de dichos principios. Puesto que esta Agencia desconoce en este punto datos concretos, no puede pronunciarse. Pero en cualquier caso consideramos que para cumplir el principio de publicidad deberá identificarse al interesado, así como la circunstancia de ser o no admitido en la convocatoria; en su caso la causa de exclusión; así como ofrecerse el dato de la valoración de los méritos. En cuanto a la valoración individualizada de cada mérito, también es una materia sometida a una amplia casuística. Pero es que, en tercer lugar, pudiera ser que tampoco se cumpliera la premisa básica del derecho de oposición de que no sea necesario el consentimiento para el tratamiento de los datos de carácter personal. Habrían de examinarse las bases de la convocatoria del procedimiento selectivo en cuestión, pero si las mismas contienen la forma en que se llevará a cabo la publicación de las diferentes fases de la convocatoria – indicando, por ejemplo, la publicación de todas ellas en la sede electrónica, sin perjuicio de que, cuando la normativa lo prevea, también deban ser publicadas en el BOE – puede entenderse que el interesado está otorgando implícitamente su consentimiento para dicha publicación, y por tanto para dicha cesión. Es decir, el tratamiento de estos datos personales está basado en el consentimiento del afectado, que ha suscrito una instancia para participar en el procedimiento selectivo de que se trate, incluyendo sus datos personales; y la participación supone la aceptación de las bases de la convocatoria, que se tornan en ley para el procedimiento selectivo. Por tanto, la cesión que supone la publicación de los datos puede estar amparada por las propias bases de la convocatoria del procedimiento selectivo en relación con el artículo 59.6.
  20. b)de la Ley 30/1992. Así se ha venido pronunciando esta Agencia, como en informes de 18 de abril de 2011 que cita a su vez el de 9 de abril de 2008. En este segundo afirmamos: “No obstante, la comunicación de datos planteada, contenida en la notificación de la resolución del procedimiento de admitidos, deberá considerarse como cesión de datos de carácter personal, toda vez que el artículo 3
  21. i)de la Ley Orgánica define aquélla como “toda revelación de datos realizada a una persona distinta del interesado”. Si lo que pretenden es la publicación de las mencionadas listas en tablones de anuncios de las dependencias del …, la misma supone una cesión de datos de carácter personal, definida en el artículo 3 i ) de la Ley Orgánica 15/1999, como “Toda revelación de datos realizada a una persona distinta del interesado”. En relación con la cesión de datos, el artículo 11.1 de la Ley dispone que “los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. Este consentimiento sólo se verá exceptuado en los supuestos contemplados en el artículo 11.2, cuyo apartado
  22. a)prevé la posible cesión inconsentida de los datos cuando una norma con rango de Ley así lo disponga. En el supuesto que se plantea, si las bases de la convocatoria para la admisión en la …, prevén la publicación de las listas de admitidos y excluidos, incluidas las causas de la exclusión, los participantes en las mismas habrán dado su consentimiento previo a la citada cesión de sus datos cuando aceptaron las bases y efectuaron su solicitud de participación en las mismas. En ese caso, podría entenderse implícitamente prestado el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 con la aceptación de las bases de la convocatoria y sería correcta la publicación de los referidos datos tal y como haya quedado reflejado en la misma convocatoria. No obstante, lo dispuesto anteriormente debe ponerse en conexión con la obligación de notificar a los interesados las resoluciones administrativas que afecten a sus derechos e intereses, que establece el artículo 58 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. En dicho precepto y en el artículo siguiente (artículo 59) se regulan taxativamente los supuestos en que tal notificación se producirá de forma distinta a la notificación personal, bien mediante la publicación de las resoluciones, bien mediante su publicación en el tablón de edictos o de anuncios. Por tanto, procede analizar si, de acuerdo con la Ley Orgánica 15/1999, la previsión contenida en el artículo 59.- 6 de la Ley 30/1992, de 26 de noviembre, puede considerarse norma habilitadora de la cesión, mediante publicación, de los datos personales a que se refiere la Corporación consultante en su escrito. De acuerdo con el mencionado precepto, referido a la “Práctica de la notificación”: “Artículo 59. Práctica de la notificación. (...)6. La publicación, en los términos del artículo siguiente, sustituirá a la notificación surtiendo sus mismos efectos en los siguientes casos:
  23. a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la notificación efectuada.
  24. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el tablón de anuncios o medios de comunicación donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos”. Sin embargo, la propia Ley 30/1992, de 26 de noviembre, en su artículo 61, relativo a la “Indicación de notificaciones y publicaciones”, dispone que: “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento”. En conclusión, la publicación de las causas de exclusión será adecuada a la Ley Orgánica 15/1999, sí en las bases de la convocatoria se hubiese establecido como se haría pública los admitidos y excluidos, haciendo referencia a las causas de exclusión. No obstante, sí el órgano consultante considera que la publicación de las causas de exclusión lesiona derechos e intereses legítimos podrá optar por aplicar lo dispuesto en el artículo 61 de la Ley 30/1992, antes trascrito” Por tanto, si en los procedimientos selectivos entendemos que se ha prestado, aunque sea implícitamente, el consentimiento para el tratamiento de datos de carácter personal no cabrá la aplicación del artículo 6.4 LOPD. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 Del apartado anterior de presente informe se desprende que mientras la publicidad sea necesaria para el correcto desarrollo del proceso selectivo, habrá de mantenerse la misma, sin que quepa atender el ejercicio del derecho de oposición con base en el artículo 6.4 LOPD, por las causas antes expresadas. Es decir, en este punto existe una ley que, al consagrar el principio de publicidad, expresamente prevé el tratamiento de datos de carácter personal, sin que pueda cesarse en el tratamiento para lograr el buen fin del proceso selectivo. Y se entiende implícitamente otorgado el consentimiento para el tratamiento de datos por la publicación en el procedimiento selectivo. Ahora bien, la ley no especifica, para asegurar el cumplimiento del principio de publicidad, ningún medio concreto, limitándose a señalar casos en que la publicación se realizará en el BOE (fundamentalmente, convocatoria con las bases, lista de excluidos y la causa de exclusión, relación de aprobados y nombramiento en el procedimiento selectivo de ingreso; y convocatoria y resolución para los procedimientos de provisión de puestos de trabajo). Por tanto, podrán existir casos en los que la forma de publicación por la que se ha optado pueda considerarse excesiva. Así, podemos distinguir dos supuestos:
  25. a)Fases de la convocatoria en los que la legislación prevea alguna forma de publicación concreta. Ya hemos indicado supuestos concretos en los que la normativa prevé la publicación en el Boletín Oficial del Estado. Es decir, en estos casos, la propia normativa prevé fases de los procedimientos selectivos que obligatoriamente deberán estar publicados en determinado medio. Si, por ejemplo, la convocatoria, las bases, la relación de excluidos y la relación de aprobados son publicadas en el BOE, no existirá obstáculo para su publicación en la página web del órgano convocante, puesto que ya gozan de una publicidad superior.
  26. b)Fases de la convocatoria en que la legislación no prevé expresamente la publicación en algún medio concreto. Por ejemplo, la valoración de los méritos. En este caso, será de aplicación el artículo 59.6 de la Ley 30/1992 de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común que establece: “La publicación, en los términos del artículo siguiente, sustituirá a la notificación surtiendo sus mismos efectos en los siguientes casos: (…)
  27. b)Cuando se trata de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el tablón de anuncios o medios de comunicación donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos”. Es decir, se prevé expresamente que sea la convocatoria del procedimiento la que indique el medio de comunicación que se utilizará. Además, en este supuesto cabrá la publicación en la sede electrónica, bien sustituyendo, bien complementando la publicación en tablones de anuncios, por cuanto el artículo 12 de la Ley 11/2007 de 22 de junio de Acceso Electrónico de los Ciudadanos a los Servicios Públicos señala: “La publicación de actos y comunicaciones que, por disposición legal o reglamentaria deban publicarse en tablón de anuncios o edictos podrá ser sustituida o complementada por su publicación en la sede electrónica del organismo correspondiente”. Ahora bien, la disponibilidad y accesibilidad de la sede electrónica a que se refiere el artículo 10.3 de la Ley 11/2007 citada no implica que quepa admitir de forma universal la indexación de todo dato personal por parte de los motores de búsqueda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 En su Informe de 4/04/2008, el Grupo de Trabajo del Artículo 29 de la Directiva 95/46/CE, de 25 de octubre de 1995, del Parlamento Europeo y del Consejo, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de éstos, ha analizado la situación legal en relación con la protección de datos personales y los buscadores de Internet, llegando a la conclusión de que el período de conservación de datos personales por parte de dichos buscadores no debería sobrepasar, con carácter general, los seis meses de plazo. Pero es que, más aún, en informe de esta Agencia de 5 de noviembre de 2010 ya se indicó que cabía la posibilidad de limitar la indexación por parte de los motores de búsqueda de datos de carácter personal, puesto que la publicidad “no es óbice para que el sistema [no] deba establecer mecanismos que eviten o dificulten el acceso indiscriminado a la información con fines distintos al conocimiento por el interesado de la notificación que se le practica a través del tablón edictal”. Podría plantearse así la posibilidad de prohibir la indexación de la información contenida en la sede electrónica relativa a datos de carácter personal por parte de motores de búsqueda. De este modo, sólo quienes accedan directamente al tablón edictal o a la sede electrónica tendrán conocimiento de la información contenida en ellos, sin que una simple búsqueda de los datos a través de un motor de búsqueda pueda ser suficiente para el acceso al contenido de los datos personales de los afectados. Y ello no implica que la sede electrónica no sea disponible o accesible, puesto que nos estamos limitando a indicar que puede plantearse la no indexación por parte de los buscadores, con independencia de que los datos sí aparezcan publicados en la sede electrónica que actuará como tablón de anuncios. Es decir, nos estamos refiriendo a la utilización de herramientas técnicas e informáticas del tipo «no robot» o cualquier otro tipo de medidas técnicas e informáticas que resulten adecuadas dirigidas a evitar dicha indexación de contenidos con datos de carácter personal. En este sentido ya se ha pronunciado esta Agencia, como en los informes de 28 de octubre y 5 de noviembre de 2010 y 17 de febrero de 2011. En el segundo de ellos indicamos: “Por consiguiente, el ejercicio del derecho de oposición obliga a la Administración actuante a realizar una valoración de la situación personal del afectado, considerando si procede exceptuar dicho tratamiento. Si bien, con carácter general el derecho de oposición no excluirá la publicación del acto si esta viene legalmente exigida, esta Agencia ha venido apuntando, como solución en aquéllos supuestos en que se ejerce el derecho de oposición frente a la publicación de un acto en el Boletín Oficial del Estado, la adopción de medidas tecnológicas para evitar la indexación por servicios de búsqueda”. IV En tercer lugar, la consulta plantea si la eventual estimación del derecho de oposición podría resolverse mediante la publicación del DNI de los candidatos. Por un lado, ya hemos afirmado que no cabe estimar el derecho de oposición en aras de la publicidad y transparencia de los procesos selectivos y de haberse prestado, aunque sea implícitamente, el consentimiento para el tratamiento. Pero es que además lo que se pretendería mediante al estimación del derecho de oposición sería la supresión del dato de la identidad. El dato de la identidad sea mediante el nombre y apellidos, sea mediante el DNI, será siempre esencial para determinar a qué candidato se están refiriendo determinados parámetros (admisión o no en el procedimiento, resultados…), por lo que nunca podrá considerarse como dato excesivo. Y si se hubiera elegido mal la forma de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 publicar los datos, deberían suprimirse todos los datos mal publicados, no sólo la identificación del interesado. Por otro lado, nos planteamos si con carácter general cabe la sustitución, en las diferentes fases del procedimiento selectivo que vayan a ser publicadas, del nombre y apellidos por el DNI. Con carácter general, podrá sustituirse el nombre y apellidos por el DIN puesto que el mismo tiene suficiente valor, por sí solo, para acreditar la identidad de las personas. La cuestión ahora planteada ya fue resuelta en informe de 30 de junio de 2009 en los siguientes términos: ““…resulta especialmente relevante el [principio] de proporcionalidad, previsto en el artículo 4.1 de la Ley Orgánica, a cuyo tenor “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. De la aplicación de este principio se desprende la necesidad de que la publicidad de la información a la que se acaba de hacer referencia se extienda únicamente a los datos necesarios para garantizar la transparencia en el proceso selectivo, sin incorporar los que pudieran resultar excesivos para el logro de tal finalidad. El artículo 1 del Real Decreto 1553/2005, de 23 diciembre, tras indicar en su apartado 1 que “el Documento Nacional de Identidad es un documento personal e intransferible emitido por el Ministerio del Interior que goza de la protección que a los documentos públicos y oficiales otorgan las leyes. Su titular estará obligado a la custodia y conservación del mismo”, añade en su apartado 2 que “dicho Documento tiene suficiente valor, por sí solo, para acreditar la identidad y los datos personales de su titular que en él se consignen, así como la nacionalidad española del mismo”. En consecuencia, la indicación del número del documento nacional de identidad por sí sola identifica suficientemente a su titular, sin que sea precisa la indicación de los datos de carácter personal contenidos en el mismo, tales como su nombre y apellidos, por lo que la utilización de dicho número en la publicación efectuada por la consultante en su página web resultaría respetuosa con lo establecido en la Ley Orgánica 15/1999, a la que se remite el Real decreto 248/2009. En todo caso, debe indicarse, siguiendo lo sentado en esta materia por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, que no quiere decirse que dicha publicación no contenga datos de carácter personal, dado que el número del documento, dado su carácter de identificador único del interesado, tiene tal carácter, sino que al incluirse dicho número sin indicación del nombre y apellidos de su titular se está dando adecuado cumplimiento al principio de proporcionalidad y al sometimiento a la Ley Orgánica 15/1999 de la publicidad realizada, que se encuentra amparada en el artículo 11.2
  28. a)de la Ley Orgánica 15/1999, en conexión con el artículo 55.2 del Estatuto Básico del Empleado público y las normas reglamentarias reguladoras de los procesos de selección. Por consiguiente, sí sería posible atender la petición del candidato que solamente quiere ver publicado el número de su DNI”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 SÉPTIMO: Con fecha 10/12/2019 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con APERCIBIMIENTO a la JUNTA DE ANDALUCIA (CONSEJERÍA DE EDUCACIÓN), con NIF S4111001F, por una infracción del artículo 5.1.
  29. c)y 5.1.
  30. f)del RGPD, de conformidad con el artículo 83.5 y 58.2.
  31. b)del RGPD. INFORMEN de las medidas adoptadas para adecuar el tratamiento de datos en los procesos selectivos internos con el fin de no volver a infringir el artículo 5.1.
  32. c)y 5.1.
  33. f)del RGPD.” OCTAVO: Con fecha 3/01/2019 se reciben alegaciones de la reclamada que indica: Se van a ajustar cuando publiquen datos personales en procesos selectivos a lo dispuesto en la disposición adicional séptima de la LOPDGDD y las instrucciones de aplicación provisional para las notificaciones por medio de anuncios y publicaciones de actos administrativos. “Los procesos desarrollados en 2019 ya se han sometido a esas orientaciones.”. Además, van a implementar medidas para el acceso a la información de datos en el tratamiento para que solo el personal participante acceda a la información de cada proceso selectivo. HECHOS PROBADOS 1) El reclamante participó en la convocatoria pública del procedimiento selectivo convocado por la Junta de Andalucía por Orden de 5/04/2018 para ingreso en los Cuerpos de Profesores de Enseñanza Secundaria, Profesores Técnicos de Formación Profesional, Profesores de Escuelas Oficiales de Idiomas, Profesores de Artes Plásticas y Diseño, Maestros de Taller de Artes Plásticas y Diseño y acceso al Cuerpo de Profesores de Enseñanza Secundaria y al Cuerpo de Profesores de Artes Plásticas y Diseño, publicado en el BOJA de 13-04-2018. En la misma se indicaba en el punto 8.1.1 que “Por resolución de cada tribunal se publicarán las calificaciones de la primera prueba en el tablón de anuncios de la sede del mismo, en el de la Delegación Territorial de Educación en cuyo ámbito se ubique el tribunal y, a efectos meramente informativos, en el portal web de la Consejería de Educación, debiendo remitirse una copia de dichas calificaciones a la correspondiente comisión de selección.” , y en el 8.1.3 que en los mismos espacios y sujetos, se publicaran las calificaciones de las distintas partes de la prueba. 2) La forma de llevarlo a efecto, en cuanto a la publicación, se instrumenta mediante la publicación de DNI completo y nombre y apellidos (figurando entre otros los del reclamante) y las calificaciones de las distintas partes de los ejercicios. Así, se acredita la exposición de la sede física del Tribunal 1 de Sevilla: En papel (3/07/2018 aspirantes que no han superado la primera prueba, con las notas de la parte A y de la parte B En papel, listado de los que “han superado la segunda prueba” con las notas de la parte A y parte B, y Listado en papel de “aspirantes que han superado la fase de oposición de 20/07/2018” con notas de prueba 1, prueba 2 y FASE OPOSICION. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 Los mismos listados se expusieron en la web de la Consejería de Educación de la Junta de Andalucía. Se ignora si los listados en papel se hallaban en alguna habitación con acceso especifico para su consulta o en otro lugar de posible acceso para cualquier persona. 3) La página ***URL.2 ofrecía, a 1/08/2018, la posibilidad por estar así configurada, de introducir el NIF, pulsar enviar y tener acceso por cualquier persona a la consulta individualizada de baremo de méritos, en este caso para oposiciones 2018, “Enseñanza secundaria, formación profesional, escuelas oficiales de idiomas y escuelas de arte, resolución baremo provisional”. Figurando publicados previamente listados con los números de DNis completos, se pueden consultar todos los méritos alegados y valorados por su titular, pero también por cualquier persona que no sea el afectado, al conocerse a través de la propia web de la reclamada los datos del DNI a través de los listados de las calificaciones de los participantes. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La Ley 39/2015 establece en el artículo 40.5 “Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado.” El artículo 45 de la misma norma destaca: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
  34. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente.” En consonancia con el principio de la limitación de datos en el tratamiento a los meramente indispensables, es posible en primer lugar, que la publicación de cada resultado de los ejercicios que se vayan celebrando, se circunscriba a los afectados con por ejemplo, consultas especificas con atribución de claves y contraseñas que se pueden generar con la presentación de la solicitud, o a través de confirmación en envíos por correo electrónico, entre otras posibles. De este modo, la publicación, que atañe a los que participan y sirve de notificación, cumple realmente la función de ir destinada a la concreta persona/participante en el proceso, únicos interesados en el desarrollo transparente del proceso. En segundo lugar, caso de que se publicara en la web en abierto para cualquier persona, no sería preciso que figurase el doble identificador DNI completo/nombre y apellidos. El diseño de la minimización de datos se ha plasmado en la LOPDGDD, (BOE 6/12/2018) que en su “Disposición adicional séptima: sobre Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” indica: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1/10 , del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” El precepto ha sido objeto de una recomendación de carácter provisional hasta el momento en el que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la mencionada Disposición Adicional C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 séptima. Su objetivo es tratar de evitar que la adopción de fórmulas distintas en aplicación de la citada disposición pueda dar lugar a la publicación de cifras numéricas de los documentos identificativos en posiciones distintas en cada caso, posibilitando la recomposición íntegra de dichos documentos. Por su interés se transcribe la citada recomendación de 4/03/2019, titulada: “ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN ADICIONAL SÉPTIMA DE LA LOPDGDD” “En la Agencia Española de Protección de Datos, la Autoridad Catalana de Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía se han recibido múltiples consultas sobre la aplicación de lo establecido en el primer párrafo del apartado primero de la disposición adicional séptima “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales. Esta circunstancia ha aconsejado que, con el fin de facilitar un criterio práctico, dichas autoridades propongan una orientación para la aplicación provisional de garantías de protección de la divulgación del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente de los interesados. Para ello, han seleccionado aleatoriamente el grupo de cuatro cifras numéricas que se van a publicar para la identificación de los interesados en las publicaciones de actos administrativos. El procedimiento para la determinación de forma aleatoria de las cuatro cifras numéricas a publicar del código de identificación de un interesado se realizó mediante el proceso de selección aleatoria en una bolsa opaca de una bola de entre cinco bolas numeradas del 1 al 5, realizado el 27/02/2019 en la AEPD. La bola resultante fue la número 4, por lo tanto: La publicación de documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente podrá realizarse de la siguiente forma: • Dado un DNI con formato 12345678X, se publicarán los dígitos que en el formato ocupen las posiciones cuarta, quinta, sexta y séptima. En el ejemplo: ***4567**. • Dado un NIE con formato L1234567X, se publicarán los dígitos que en el formato ocupen las posiciones, evitando el primer carácter alfabético, cuarta, quinta, sexta y séptima. En el ejemplo: ****4567*. • Dado un pasaporte con formato ABC123456, al tener solo seis cifras, se publicarán los dígitos que en el formato ocupen las posiciones, evitando los tres caracteres alfabéticos, tercera, cuarta, quinta y sexta. En el ejemplo: *****3456. • Dado otro tipo de identificación, siempre que esa identificación contenga al menos 7 dígitos numéricos, se numerarán dichos dígitos de izquierda a derecha, evitando todos los caracteres alfabéticos, y se seguirá el procedimiento de publicar aquellos caracteres numéricos que ocupen las posiciones cuarta, quinta, sexta y séptima. Por ejemplo, en el caso de una identificación como XY12345678AB, la publicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 sería: *****4567***. • Si ese tipo de identificación es distinto de un pasaporte y tiene menos de 7 dígitos numéricos, se numerarán todos los caracteres, alfabéticos incluidos, con el mismo procedimiento anterior y se seleccionarán aquellos que ocupen las cuatro últimas posiciones. Por ejemplo, en el caso de una identificación como ABCD123XY, la publicación sería: *****23XY. • Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación, se sustituirán por un asterisco por cada posición.” Por tanto, además de introducir en general las mencionadas medidas, en función de si debe afectar solo a un colectivo, si se ha de publicar o notificar algún acto, y si se considera que ha de afectar solo a un grupo cerrado del colectivo, se ha de tener en cuenta además de estas referencias, una diligencia especial por la posible identificación o identificabilidad a través de otras referencias directas o indirectas que no sean nombre y apellidos o NIF y que permitan identificar a la persona. Pretender como manifiesta la reclamada, que deben prevalecer la transparencia y publicidad general exponiendo en abierto con plena identificabilidad de listados de admitidos/excluidos, o resultados de partes de las pruebas o ejercicios que se van acometiendo, en todo momento y fase en abierto no es admisible. Resulta desproporcionado y choca con el principio de minimización de datos, dada la finalidad que se pretende, que es básicamente que sirva de sistema de notificación a los afectados que participan en el procedimiento, y contribuya entre ellos a la transparencia en el desarrollo de los ejercicios. Que el acceso se pueda producir por cualquier persona ajena a los solicitantes es una sobreexposición de datos a terceros que carece de justificación y excede de la finalidad propia de la finalidad del tratamiento de datos de los afectados. Por consiguiente, el resto del público, los que no se participan en dichas pruebas, carecen de una base legitima para el acceso a los datos de apellidos y nombre junto al NIF completo de cada aspirante y de cada uno de los resultados de cada prueba que forma el proceso selectivo. El modo de proceder de la denunciada debería ser modificado en el sentido expuesto en próximas actuaciones junto a la retirada de los datos si es que se publican en abierto/universal de los listados para que no permanezcan más que un plazo adecuado y razonable a la finalidad prevista que era en relación con procesos de 2018. Los hechos consistentes en la exposición y publicación de todos los datos conjuntos, DNI, nombre y apellidos y todas las calificaciones en los tablones físicos de las sedes y en la web de la Junta, por parte del responsable del tratamiento, CONSEJERÍA DE EDUCACIÓN (JUNTA DE ANDALUCIA), suponen una infracción del artículo 5.1.
  35. c)del RGPD que dispone: “Los datos personales serán:
  36. b)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Este principio no es nuevo, pues en la LOPD se contenía con redacción similar señalando: Artículo 4.1: “Los datos de carácter personal sólo se podrán recoger para su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En los procedimientos selectivos, los principios de publicidad y transparencia son esenciales porque son la base de la igualdad, mérito y capacidad en el acceso a los puestos. La norma refiere la publicidad sobre procedimientos y desarrollo de los ejercicios. Publicidad quiere decir, en primer lugar, la de la convocatoria, que se publique en el BOE, Diario Oficial o sede electrónica que corresponda, para conocimiento general y acceso público a su contenido y sus bases. En cuanto al objeto de la materia propiamente denunciada, una vez publicada la convocatoria y recibidas las solicitudes de participación en la misma, comenzaría el proceso de concurrencia competitiva, que como dice la palabra, debe predicarse de y para todos los integrantes del grupo que aspiran a superar las pruebas convocadas, que compiten en méritos y en capacidad unos contra otros. En la convocatoria y en las bases no se refleja el detalle de lo que se va a exponer en la web en cuanto a los listados de admitidos, excluidos etc., si va a ser solo el NIF, este con el nombre y apellidos etc., o si se producirá la publicación solo para los afectados, solo se indica que se va a publicar. En este sentido, siempre se ha de optar por los datos mínimos necesarios para alcanzar su fin, y para el grupo de afectados. Teniendo en cuenta que una vez publicada la convocatoria y las bases, los trámites siguientes van a afectar a un círculo específico, determinado y cualificado que son los solicitantes, siendo la exposición de datos dentro y para los integrantes de dicho círculo adecuada, proporcionada y concorde con su finalidad, deviene en desproporcionada cuando dichos datos resultan visibles para todo el mundo, pues no es necesario para la finalidad de publicidad y transparencia que estos lo conozcan. Si bien se obtienen de acuerdo con lo previsto en la convocatoria, para la gestión del proceso, entre los que resulta aplicable la transparencia para los participantes o el derecho de acceso a los datos para los interesados, hay que valorar que la convocatoria aunque no señale la forma y manera en que se publicaran los datos, habría que ir en todo caso a afectar solo a los participantes en el proceso y a publicar los menos datos posibles necesarios. No porque la convocatoria establezca la publicación en tablones o web se autoriza a cualquier extensión de exposición de datos y en cualquier condición de acceso generalizado. La exposición de los datos se inicia en junio 2018 y a partir de esa fecha durante el transcurso del proceso no se tuvo noticia de la fecha acreditada en que los listados se quitan de la web y de los espacios físicos, pudiendo permanecer la infracción durante todo ese periodo. Aunque los datos expuestos por la reclamada fueron anteriores a la entrada en vigor que modifica el régimen de publicación de anuncios en diarios oficiales por la LOPDDGG, lo cierto Si bien la sentencia comentada indica que “ no es exigible el consentimiento de aquellas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exigencia de los demás participantes para asegurar la limpieza e imparcialidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 procedimiento en el que concurren. (...) lo que se está salvaguardando es para un círculo bien predefinido de participantes, por lo que no cualquier forma de publicar los datos como ha sucedido en esta reclamación puede darse por adecuada a los principios de la regulación del principio de minimización de datos. No resulta de interés público conocer las calificaciones de cada prueba que forma el proceso selectivo relacionando nombre y apellidos y DNI completo. Si resultase proporcionado que solo los afectados tuvieran dicho acceso, dado además que no es la calificación final, sino tramites del proceso. Se debe indicar que el consentimiento no juega una baza decisiva en el tratamiento de datos cuando es la administración pública, la que ostentando la gestión de intereses generales, convoca procesos selectivos. A mayor abundamiento, el propio Reglamento general de protección de datos pone de manifiesto que el consentimiento del afectado no debe constituir la base legal del tratamiento en determinados supuestos. Así, el considerando 42 señala en su última frase que “El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno” y el considerando 43 añade que “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular”. La base legitima del tratamiento de las calificaciones no sería el consentimiento. En cuanto a la justificación de que los datos son de un proceso selectivo de concurrencia competitiva, a los que se aplica el principio de transparencia, pudiendo deducirse un conflicto con protección de datos de sus titulares, por la superioridad del principio constitucional de transparencia y objetividad, se ha de indicar: -Dada la situación técnica en que se están tratando los datos, se podría deducir que la exigencia de reproducir todos esos datos en cualquier fase del proceso a los demás participantes para asegurar la limpieza e imparcialidad del procedimiento en el que concurren no se da solo para estos, sino que se comunican a cualquier persona ajena al procedimiento que quiera entrar en dicha web o circular por el espacio de los anuncios y realizar un completo seguimiento de identificación y pruebas y calificaciones obtenidas. Si a ello se suma que cada año se ha repetido el proceso, se podrían estar obteniendo datos que realmente no son necesarios para no participantes en el proceso de concurrencia. - Si bien sería deseable la transparencia para el grupo de participantes en el proceso, en todo caso, especialmente admitidos provisionales, también los listados deberían quitarse cuando hayan surtido sus efectos, relacionándose que son puros actos tramite no han de continuar figurando por tiempo indefinido -Otra posibilidad es que si va a ser para conocimiento de cualquier persona se reduzcan los datos, no poniendo el DNI completo. La garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos no se consigue por la publicación de modo general de todos los datos en cada tramite en abierto, pues además la tecnología puede permitir que solo los afectados sean los que en todo caso puedan conocer la identidad, con los datos adecuados y necesarios para la finalidad que se trate. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 Si además un no interesado por no participar en el proceso quisiera acceder a algún aspecto del procedimiento, estaría amparado por el derecho de acceso, previa acreditación de que ostenta un interés digno de protección. El conocimiento en cada ejercicio que forma el proceso de todos los datos con el DNI entero y las notas de las fases que componen el procedimiento a cualquier persona es excesivo y desproporcionado, cuando la transparencia se relaciona con los participantes en el proceso, con el proceso mismo y con el resultado de la fase final. No se está valorando la publicación de los resultados finales, es el proceso interno del desarrollo de los ejercicios, en el que aparecen en todas y cada una de las fases para todo el público los datos completos de nombre y apellidos y NIF. Siendo lícita la publicación de las notas obtenidas, es preciso hallar una forma que minimice los datos según la proporcionalidad y necesidad de la finalidad conforme a lo indicado. Se podría pensar en un aula virtual solo accesible a los participantes en el proceso, no con acceso a todos los datos sino a los necesarios. Deberá, por otro lado, respetarse en todo caso los principios recogidos en el artículo 5 del RGPD, especialmente los de limitación de la finalidad, minimización de datos, limitación del plazo de conservación, integridad y confidencialidad, realizando la publicación de modo que suponga la menor injerencia en los derechos y libertades de los interesados, lo que excluye la posibilidad de un conocimiento generalizado de las calificaciones, como podría ocurrir en el caso de que se procediera a su publicación en internet. En cuanto a la exposición en los tablones de anuncios del centro, puede efectuarse siempre que no se encuentren en zonas comunes de los centros, que se garantice que el acceso a los mismos queda restringido a dichas personas y se adopten las medidas necesarias para evitar su público conocimiento por quienes carecen de interés en el mismo. III Los hechos consistentes en la configuración en la página web de la reclamada de la consulta de los méritos a través del DNI, por parte del responsable del tratamiento, CONSEJERÍA DE EDUCACIÓN (JUNTA DE ANDALUCIA), suponen una infracción del artículo 5.1.
  37. f)del RGPD que dispone: “Los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Partiendo de la exposición de los datos de los participantes en el proceso selectivo con el NIF integro, no parece conveniente que se cree en la web de la reclamada una casilla para la consulta del baremo de méritos basada en la introducción del dato NIF. La configuración del menú de acceso a la casilla “baremo méritos” era así. Al conocerse el NIF, cualquier persona puede averiguar y acceder a la baremación de los puntos del participante. No se trata de que los afectados o participantes en el proceso puedan ver la baremación, que sería licito, sino cualquier persona, que como se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 observado pueden previamente acceder a consultar en los listados de admitidos y calificaciones los DNIS completos. Desde el acuerdo de inicio se desconoce si la reclamada ha variado esa configuración para adaptarse al tratamiento confidencial que requiere que solo los por los titulares de su DNI consulten sus propios datos, y no se pueda producir acopio de información sobre personas. La información no aparece segura si se impone como criterio de consulta el DNI, cuando previamente se han publicado los mismos, posibilitando la consulta por terceros al ser el dato DNI un medio de acceso débil, considerando además que la reclamada lo ha estado publicando en distintos procesos selectivos. El dato de consulta NIF en dicha casilla no ofrece seguridad al poder ser un dato que hoy por hoy puede ser conocido con no mucha dificultad. IV El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  38. a)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  39. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; En tal sentido, se cuenta con el cambio en la forma de publicar los datos por parte de la reclamada y que la casilla consulta de baremos no permite consultar por DNI los datos. El artículo 72.1.
  40. a)de la LOPDGDD indica: “Infracciones consideradas muy graves “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  41. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 En tal sentido, el artículo 77. 2 de la LOPGDD, indica: 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Por lo tanto, de acuerdo con la legislación aplicable y acreditadas la existencia de las infracciones, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER una sanción de APERCIBIMIENTO a la JUNTA DE ANDALUCIA (CONSEJERÍA DE EDUCACIÓN), con NIF S4111001F, por una infracción del artículo 5.1.c ) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 del RGPD, y otra infracción del artículo 5.1.
  42. f)del RGPD, de conformidad con el artículo 83.5
  43. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a JUNTA DE ANDALUCIA (CONSEJERÍA DE EDUCACIÓN). TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  44. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.