1/11 938-0419 Procedimiento Nº: PS/00410/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 6/04/2018 interpuso reclamación ante la AEPD frente a la CONSELLERIA DE JUSTÍCIA, ADMINISTRACIÓ PÚBLICA, REFORMES DEMOCRÀTIQUES I LLIBERTATS PÚBLIQUES (en adelante, la reclamada) por haber expuesto en modo integro una notificación en el BOE dando a conocer todas las circunstancias del asunto, y además, publicarse sin cumplirse los requisitos legales. Los motivos en que basa la reclamación son que la Dirección General de Justicia de la Comunitat Valenciana publica en el BOE de XX/XX/2018 una notificación edicto de YY/YY/2018 en el que notifica la resolución administrativa por la que se procede a la anulación y emisión de una nueva carta de pago sobre haberes indebidamente percibidos. - Aporta: A) Copia del ejemplar del BOE “suplementos y notificaciones” de XX/XX/2018, del que destaca: 1) “Anuncio de notificación de YY/YY/2018 en procedimiento de edicto por el que se notifica la resolución administrativa por la que se procede a la anulación de la carta de pago emitida y se procede a la emisión de una nueva carta de pago”. Se identifica la carta de pago con el nombre del reclamante, su DNI, fecha de emisión y número de referencia e importa y el concepto de “devolución de abres indebidamente percibidos”. 2) “Por este edicto de notifica a A.A.A. la resolución dictada por la Directora General de Justicia de VV/VV/2017, al haberse intentado repetida e infructuosamente la notificación por correo certificado con acuse de recibo en el domicilio conocido en Alicante, u cuya parte dispositiva e información de recursos es del tenor literal siguiente…” Se reproduce la resolución de la citada D. Gral. por la que se procede a anulación de la carta de pago emitida el ZZ/ZZ/2017 citando de nuevo el nombre y apellidos y el DNI completo, se indica que es por devolución de haberes indebidamente percibidos. Se continúa explicando que se le notificó el 16/05/2017 una carta de pago, indicando que una parte correspondía a retribuciones de un periodo indebidamente percibidas en su nómina, que ceso en el Juzgado al no haber superado el periodo de practicas 3) También se informa que “se concedió el abono de la mejora voluntaria de la acción protectora de la seguridad social en los procesos de incapacidad temporal como consecuencia de la baja médica iniciada el 28/11/2016.”, y que fue el “23/12/2016 el ultimo día laboral efectivo prestado” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4) Se informa que la presente notificación se hace a efectos del artículo 44 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), 5) Finalmente, se le otorga un nuevo plazo de pago de la deuda. B) Escrito que el reclamante dirigió a la Dirección General de Justicia de la Comunidad Valenciana con fecha de salida 3/04/2018 en el que indica que ha tenido conocimiento el 2/04/2018 del anuncio de notificación de YY/YY/2018. En el mismo además de cuestiones relacionadas con la carta de pago, indica que “Se informó en escritos anteriores de que había un error en la dirección de envío de los escritos en concreto a la dirección de ***DIRECCION.1, cuando la dirección correcta es c ***DIRECCION.2. Por lo que se solicita mediante el presente escrito copia de la resolución, así como de la devolución de esta por parte del servicio de correos enviado”, añadiendo que se ha vulnerado la normativa de protección de datos. También solicita la identificación de los funcionarios que han intervenido en su expediente. SEGUNDO: A la vista de los hechos puestos de manifiesto en la reclamación y de los documentos aportados por el reclamante de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a emitir un escrito de 5/06/2018, dirigido a la reclamada con copia de la reclamación y con el siguiente contenido, “De conformidad con las funciones previstas en el Reglamento (UE) 2016/679, de 27/04/2016, General de Protección de Datos (RGPD), particularmente las que responden al respeto, por parte del responsable del tratamiento, de los principios de transparencia y responsabilidad proactiva, se da traslado de la reclamación presentada, requiriéndose que, en el plazo máximo de un mes desde su recepción, remitan a esta Agencia la documentación relevante relativa a los trámites llevados a cabo en relación con los hechos expuestos en la reclamación, incluyendo en particular la siguiente información: 1. Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. 3. Documentación acreditativa de que, de acuerdo con lo previsto en el artículo 12 del RGPD, se han tomado las medidas oportunas para facilitar al afectado el ejercicio de sus derechos en virtud de los artículos 15 a 22, incluyendo copia íntegra de las comunicaciones remitidas en respuesta a las solicitudes efectuadas. 4. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser informado sobre el curso y el resultado de la presente reclamación. 3/11 A la vista de toda la documentación aportada, por la Agencia podrán realizarse las actuaciones que resulten procedentes, en aplicación de los poderes de investigación y correctivos establecidos en el artículo 57 del RGPD.” Con fecha 2/07/2018 la reclamada contesta detallando el iter que dio lugar al procedimiento de reintegro de haberes indebidos, al haber cesado el reclamante en su puesto el 23/12/2016 y haber percibido el mes integro. Acredita que en el curso del procedimiento se efectuaron notificaciones a la dirección de ***DIRECCION.2 que fueron recogidos (27/01/2017 o 16/05/2017). Se acredita que el escrito que anulaba la carta de pago de 548,19 euros y la emisión de una nueva, de VV/VV/2017, se intenta notificar al mismo domicilio que las anteriores que si fueron recogidas, resultando devuelta por el servicio de correos. Reitera que la publicación se hizo al no poderse notificar la resolución al domicilio del reclamante, exponiéndose el texto íntegro como señala la ley. Añade la copia de una resolución de respuesta al reclamante, firmada el 1/06/2018, sobre las alegaciones que el reclamante hizo en el procedimiento de la carta de pago, y en la misma contesta porque publicó la resolución en el BOE de XX/XX/2018, con los mismos argumentos que ofrece en el escrito a esta AEPD en el escrito de 2/07/2018. También se informa de los funcionarios que intervinieron en su expediente. TERCERO: Con fecha 6/06/2018 se envió escrito al reclamante informándole de la recepción de su reclamación y traslado al responsable del tratamiento y que este le informará del curso y el resultado de la reclamación ejercicio de sus derechos. CUARTO: Con fecha 25/09/2018 se remite escrito nuevamente a la reclamada indicándole que el nuevo RDL 5/2018 de 27/07 “ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD que consiste en dar traslado a los delegados de protección de datos designados por los responsables o encargados de tratamiento, o a estos cuando no lo hubieran designado, para que se proceda al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes”. Se informa que, de la respuesta aportada por la reclamada, “no acompaña copia de la necesaria comunicación que debe dirigir al reclamante informándole sobre la decisión que haya adoptado a propósito de la reclamación”, y se reitera petición para que se “dé respuesta al afectado sobre la reclamación formulada y se remita a esta Agencia copia de dicha respuesta en el plazo de cinco días hábiles”. QUINTO: Con fecha 20/02/2019, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a CONSELLERIA DE JUSTÍCIA, ADMINISTRACIÓ PÚBLICA, REFORMES DEMOCRÀTIQUES I LLIBERTATS PÚBLIQUES, por la presunta infracción del artículo 5.1.
- c)del RGPD, de acuerdo con el artículo 83.5 del RGPD y calificada como muy grave en el artículo 72.1
- a)de la LOPDGDD.” SEXTO: La reclamada ha efectuado alegaciones el 17/05/2019, reiterando lo ya manifestado, que se expuso por completo para no producirle indefensión al reclamante con el fin de que lo publicado fuese motivado y conocido para su eventual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es impugnación. Añade que efectuado una búsqueda con su nombre y apellidos en motores de búsqueda, no sale ningún resultado. SÉPTIMO: Con fecha 24/05/2019 se emite propuesta de resolución con el literal: “Que por la directora de la Agencia Española de Protección de Datos se sancione a CONSELLERIA DE JUSTÍCIA, ADMINISTRACIÓ PÚBLICA, REFORMES DEMOCRÀTIQUES I LLIBERTATS PÚBLIQUES, con NIF S4611001A, por una infracción del Artículo 5.1.
- c)del RGPD, de acuerdo con en el Artículo 83.5 del RGPD, una sanción de apercibimiento.”. OCTAVO: Con fecha 28/05/2019 se recibe escrito de la reclamada en el que indica “ampliación alegaciones”, manifestando que cuando sucedieron los hechos no estaba implantada la normativa sobre publicación de datos con nombre y apellidos y últimas cifras del NIF. Se ha nombrado delegado de protección de datos, se están impartiendo cursos sobre la materia y se esta elaborando una circular que relaciona la minimización de datos con las notificaciones deducidas al amparo del artículo 46 de la Ley 39/2015. Indica que la somera indicación del contenido del acto del lugar donde los interesados puedan comparecer para el conocimiento integro del contenido del acto y constancia puede darse a la publicación de anuncios o publicación que pueda lesionar derechos o intereses por referirse a: -menores de edad, exclusión social, violencia de género. -conteniendo datos de especial protección, origen racial, étnico, opiniones políticas etc. Señalando la ponderación que han de efectuar razonada entre el deber de publicar y los derechos o intereses legítimos de los afectados. A este respecto, el artículo 46 de la LPCAP solo señala”: “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento.” En caso de duda se puede instar opinión del delegado de protección de datos. Se debe señalar que los aludidos interés legítimo o derechos no solo se pueden lesionar con el tipo de datos que refiere la reclamada, también con datos básicos se estaría vulnerando su derecho, porque especialmente suelen ir referidos a otras circunstancias personales adicionales que pueden completar y añadir circunstancias que si se publicaran en un diario oficial podría llegar a cualquier persona. NOVENO: Con fecha 18/06/2019 se recibe escrito de la reclamada que indica se tengan en cuenta las alegaciones hechas el 28/05/2019 que entraron tras la emisión de la propuesta. HECHOS PROBADOS 5/11 1) La CONSELLERIA DE JUSTÍCIA, ADMINISTRACIÓ PÚBLICA, REFORMES DEMOCRÀTIQUES I LLIBERTATS PÚBLIQUES expuso en el BOE “suplementos y notificaciones” de XX/XX/2018 una notificación. edicto de YY/YY/2018 en el que notifica la resolución administrativa por la que se procede a la anulación de la carta de pago emitida y se procede a la emisión de una nueva carta de pago, junto con los datos del reclamante, que cesó en el Juzgado al no haber superado el periodo de prácticas, su DNI, fecha de emisión y número de referencia e importe y el concepto de “devolución de haberes indebidamente percibidos”. En la exposición de indica como razón el “haberse intentado repetida e infructuosamente la notificación por correo certificado con acuse de recibo en el domicilio conocido en Alicante. También se informa que “se concedió el abono de la mejora voluntaria de la acción protectora de la seguridad social en los procesos de incapacidad temporal como consecuencia de la baja médica iniciada el 28/11/2016.”, y que fue el “23/12/2016 el ultimo día laboral efectivo prestado”. 2) Se informa que la notificación en Boletín se hace a efectos del artículo 44 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la directora de la AEPD es competente para iniciar y para resolver este procedimiento. II La Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), señala y diferencia el régimen de las notificaciones individuales a los interesados, de la publicación de actos administrativos que serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. El artículo 44.1 de la LPACAP indica: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado”. Por otro lado el artículo 40.2 de la misma norma, indica:” Toda notificación deberá ser cursada dentro del plazo de diez días a partir de la fecha en que el acto haya sido dictado, y deberá contener el texto íntegro de la resolución, con indicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es de si pone fin o no a la vía administrativa, la expresión de los recursos que procedan, en su caso, en vía administrativa y judicial, el órgano ante el que hubieran de presentarse y el plazo para interponerlos, sin perjuicio de que los interesados puedan ejercitar, en su caso, cualquier otro que estimen procedente.” Mientras, el artículo 45 de la misma ley, sobre publicación de actos administrativos, indica que se hará, “cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente” que no concurren en la presente reclamación, pues la publicación procedería cuando: - el acto no tiene por destinatario a una pluralidad indeterminada de personas (art 45.1.a). - no es un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. La LPCAP en los supuestos en que proceda su notificación mediante publicación sus efectos. . El artículo 46 de la LPCAP añade un común denominador aplicable tanto a notificaciones como a publicaciones, del siguiente tenor: “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento.” Sin entrar a discutir si existe o no base para acudir a notificar a través de boletín por entender bien efectuado el proceso de intento de notificación, se debe indicar que en cualquier caso, se distinguen pues anuncios a publicar en BOE, que corresponde a los interesados, de publicaciones de actos administrativos que puede ser también en el BOE. En cuanto a los efectos del acto administrativo, el artículo 39.2 de la LPACAP indica:” La eficacia quedará demorada cuando así lo exija el contenido del acto o esté supeditada a su notificación, publicación o aprobación superior.”, distinguiendo de nuevo el régimen de notificación ordinaria, o publicación. La LPCAP indica: artículo13.h):” Derechos de las personas en sus relaciones con las Administraciones Públicas. “A la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas.” El artículo 40.5 de la LOPD, dentro del título notificaciones, indica: “Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias 7/11 para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado.” Si bien se debe anotar que el artículo 40 de la Ley 39/2015 establece que la notificación de resoluciones y actos administrativos a los interesados a los que les afecte debe contener el texto íntegro de la resolución, se debe entender a la luz del artículo 46, para preservar la intimidad y dada la finalidad del anuncio, que como regla general una notificación individual a través de anuncio de edicto a un interesado no ha de contener el texto íntegro de la misma . La exposición de sus datos, el asunto sobre el que versa no es proporcional a la finalidad que se pretende excediendo el objetivo, existiendo medios para no indicar completamente tales referencias como sucede en el presente supuesto. En el presente supuesto, la reclamada procedió a notificar un acto administrativo singular ,que afecta exclusivamente al reclamante, publicándose en un diario oficial que puede consultar cualquier persona. El exceso en la publicación al contenerse la integridad del mismo, dando a conocer sus datos personales, lo acontecido con la cuestión de la devolución de ingresos indebidos o que cesó en el servicio, la fecha, o que se hallaba de baja médica supone una infracción del RGPD. III Atendiendo a los principios de proporcionalidad y necesidad se considera que se ha infringido el principio de minimización de datos que se contiene en el artículo 5.1.
- c)del RGPD con el tenor: “1. Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados” Esta infracción se halla referida en el artículo 83.5 del RGPD que indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Esta infracción se recoge en la LOPDGDD, artículo 72.1.
- a)que la califica como muy grave con el siguiente tenor: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” El artículo 83.7 del RGPD añade:” cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El artículo 77 de la LOPDGDD indica: 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. IV El diseño de la minimización de datos se ha plasmado en la LOPDGDD, que en su “Disposición adicional séptima: sobre Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” indica: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre , del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los 9/11 dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” El precepto ha sido objeto de una recomendación de carácter provisional hasta el momento en el que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la mencionada Disposición Adicional séptima. So objetivo es tratar de evitar que la adopción de fórmulas distintas en aplicación de la citada disposición pueda dar lugar a la publicación de cifras numéricas de los documentos identificativos en posiciones distintas en cada caso, posibilitando la recomposición íntegra de dichos documentos. Por su interés se transcribe la citada recomendación de 4/03/2019, titulada: “ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN ADICIONAL SÉPTIMA DE LA LOPDGDD” “En la Agencia Española de Protección de Datos, la Autoridad Catalana de Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía se han recibido múltiples consultas sobre la aplicación de lo establecido en el primer párrafo del apartado primero de la disposición adicional séptima “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Esta circunstancia ha aconsejado que, con el fin de facilitar un criterio práctico, dichas autoridades propongan una orientación para la aplicación provisional de garantías de protección de la divulgación del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente de los interesados. Para ello, han seleccionado aleatoriamente el grupo de cuatro cifras numéricas que se van a publicar para la identificación de los interesados en las publicaciones de actos administrativos. El procedimiento para la determinación de forma aleatoria de las cuatro cifras numéricas a publicar del código de identificación de un interesado se realizó mediante el proceso de selección aleatoria en una bolsa opaca de una bola de entre cinco bolas numeradas del 1 al 5, realizado el 27/02/2019 en la AEPD. La bola resultante fue la número 4, por lo tanto: La publicación de documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente podrá realizarse de la siguiente forma: • Dado un DNI con formato 12345678X, se publicarán los dígitos que en el formato ocupen las posiciones cuarta, quinta, sexta y séptima. En el ejemplo: ***4567**. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es • Dado un NIE con formato L1234567X, se publicarán los dígitos que en el formato ocupen las posiciones, evitando el primer carácter alfabético, cuarta, quinta, sexta y séptima. En el ejemplo: ****4567*. • Dado un pasaporte con formato ABC123456, al tener solo seis cifras, se publicarán los dígitos que en el formato ocupen las posiciones, evitando los tres caracteres alfabéticos, tercera, cuarta, quinta y sexta. En el ejemplo: *****3456. • Dado otro tipo de identificación, siempre que esa identificación contenga al menos 7 dígitos numéricos, se numerarán dichos dígitos de izquierda a derecha, evitando todos los caracteres alfabéticos, y se seguirá el procedimiento de publicar aquellos caracteres numéricos que ocupen las posiciones cuarta, quinta, sexta y séptima. Por ejemplo, en el caso de una identificación como XY12345678AB, la publicación sería: *****4567***. • Si ese tipo de identificación es distinto de un pasaporte y tiene menos de 7 dígitos numéricos, se numerarán todos los caracteres, alfabéticos incluidos, con el mismo procedimiento anterior y se seleccionarán aquellos que ocupen las cuatro últimas posiciones. Por ejemplo, en el caso de una identificación como ABCD123XY, la publicación sería: *****23XY. • Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación, se sustituirán por un asterisco por cada posición.” Por tanto, además de introducir en genera las mencionadas medidas, si se ha de publicar o notificar algún acto, se ha de tener en cuenta además de estas referencias, una diligencia especial por la posible identificación o identificabilidad a través de otras referencias directas o indirectas que no sean nombre y apellidos o NIF y que permitan identificar a la persona. Respecto a que esta disposición no estaba en vigor cuando acontecen los hechos, ello es cierto y su puesta en marcha es de esperar que contribuya a poder aplicar el esquema de publicación/notificación en edictos o diarios oficiales respetando la normativa de protección de datos. Por otro lado, sí que se hallaba vigente el artículo 46 que podría haber sido tenido en cuenta y el principio de minimización de datos guarda relación con los datos, que trae su origen del artículo 4.1 de la LOPD. ”Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Se estima que con las medidas que ha puesto en marcha, y las derivadas de la LOPDDG no es necesario ordenar a la reclamada que ajuste sus operaciones de tratamientos, pues los criterios expresados en esta resolución son determinantes para que no se reitere una situación similar a la denunciada. PRIMERO: IMPONER a CONSELLERIA DE JUSTÍCIA, ADMINISTRACIÓ PÚBLICA, REFORMES DEMOCRÀTIQUES I LLIBERTATS PÚBLIQUES, con NIF S4611001A, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. 11/11 SEGUNDO: NOTIFICAR la presente resolución a CONSELLERIA DE JUSTÍCIA, ADMINISTRACIÓ PÚBLICA, REFORMES DEMOCRÀTIQUES I LLIBERTATS PÚBLIQUES. TERCERO: Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es