PS-00520-2021

1/23  Expediente N.º: EXP202100897 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26/07/2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SEAN SERIOS S.L. con NIF B70528989 (en adelante, la parte reclamada). La reclamante manifiesta que en la URL: https://www.cursoseficientes. (...), aparece publicado un listado con los resultados de un proceso selectivo de concurso oposición convocado por el SERGAS, en el que figuran los datos personales de las personas que accedieron por el turno de (…). Finaliza pidiendo “se elimine dicha URL”. Se accede a la url en el que en parte inferior izquierda figura elaboración ***FECHA.1, en la derecha “concurso prov (…).Sergas”. La información que aparece es, de 95 candidatos, tres folios, con el nombre y apellidos, el DNI anonimizado conforme a lo dispuesto en la D.A. 7ª de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), y las notas desglosadas en oposición, y concurso, aspecto este último que encuadra y distingue: formación, experiencia, otras actividades. Luego, le sigue la columna de “total”, y “número de orden”. Junto a cada candidato, en la columna "Acceso" se puede leer (…). La reclamante ocupa el puesto XX, y todos los candidatos figuran en el acceso DI ordenados por puntuación total. No se contiene referencia a identificación de convocatoria o proceso especifico alguno. Se accede a “política de privacidad” de la reclamada que ofrece cursos de formación, y se incorpora al procedimiento. En “finalidad del tratamiento” de datos, figura el envío de publicidad relacionada con sus servicios y productos. Los datos se conservarán mientras se mantenga la relación comercial o durante los años necesarios para cumplir con las obligaciones legales. En el apartado 7, “procedencia”, “¿cómo hemos obtenido sus datos?” Indican: “los datos personales que tratamos proceden del propio interesado. Las categorías de datos que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 tratan son datos de identificación, direcciones postales o electrónicas, datos económicos, no se tratan datos especialmente protegidos.” SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En el traslado se informaba: “HECHOS QUE MOTIVAN LA RECLAMACIÓN: La reclamante manifiesta que en el sitio web cursoseficientes.com aparece publicado un listado con los resultados de un proceso selectivo de concurso oposición convocado por el SERGAS, en el que aparecen los datos personales de las personas que accedieron por el turno (…)” Con fecha 23/08/2021, figura aceptado el envío electrónico, sin que se haya recibido respuesta. TERCERO: Con fecha 26/10/2021, de acuerdo con lo establecido en el artículo 65.5 de la LOPDGDD, prosigue la tramitación de la reclamación. CUARTO: Con fecha 13/01/2022, se acordó por la Directora de la AEPD: “INICIAR PROCEDIMIENTO SANCIONADOR a SEAN SERIOS S.L., con NIF B70528989, por la presunta infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5.

1. a)del RGPD, tipificada como muy grave a efectos de prescripción en el artículo 72.1.
2. b)del RGPD, con una sanción de multa administrativa de 12.000 euros (doce mil euros). a los efectos previstos en el art. 64.2
3. b)de la ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), la sanción que pudiera corresponder sería de multa administrativa.” QUINTO: Con fecha 28/01/2022 se reciben alegaciones de la reclamada en las que manifiesta: - Aporta copia de la publicación del Diario Oficial de Galicia de ***FECHA.1, sección oposiciones y concursos, Servicio Gallego de Salud, RESOLUCIÓN de ***FECHA.2, de la Dirección General de Recursos Humanos, por la que se hacen públicas las puntuaciones provisionales de la fase de concurso del proceso selectivo para el ingreso en la categoría de (...), convocado por la Resolución de ***FECHA.3, que señala: “La base octava de la Resolución de la Dirección General de Recursos Humanos de (…), por la que se convoca concurso-oposición para el ingreso en la categoría de (...) del Servicio Gallego de Salud, dispone que, realizada por el tribunal la baremación de los méritos aportados por los/las aspirantes, la Dirección General de Recursos Humanos publicará, en el Diario Oficial de Galicia el anuncio de su exposición con indicación de la puntuación provisional obtenida por cada aspirante en los distintos epígrafes, así como la valoración total de la fase de concurso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 Resuelve primero: Publicar en la página web del Servicio Gallego de Salud (www.sergas.es), las puntuaciones provisionales de la fase de concurso obtenidas por las personas aspirantes que superaron la fase de oposición del proceso selectivo para el ingreso en la categoría de (...), convocado por Resolución de ***FECHA.3. Cada aspirante podrá consultar, además, el detalle de la puntuación obtenida en los distintos apartados del baremo, en su expediente electrónico personal en Fides/expedient-e/ sección de procesos. Resuelve segundo, se da posibilidad de presentar reclamación contra los resultados de la baremación provisional En el anexo, que aporta con el listado publicado, figura el logo del SERGAS, baremación provisional, fase concurso (desglose en: formación, experiencia y otras actividades) y la nota de la oposición, ordenado por puntuación total de más a menos, y apellidos, y juntos todos los sistemas de acceso (DI: discapacidad, LI: libre, Pri: promoción interna), figurando la reclamada. -El motivo de la publicación, tratándose de información pública es: “dar publicidad a los resultados publicados por el SERGAS, ya que muchos de los participantes en el proceso de selección eran alumnos de nuestra Academia”, intentando facilitar el acceso a la información pública”. -Manifiesta que previamente a realizar la publicación del listado efectuaron un “análisis de cumplimiento normativo” con el fin de confirmar si dicha publicación podría suponer o no una vulneración de la normativa de Protección de Datos, alcanzando las siguientes conclusiones:  La información que se pretendía publicar era información publicada en la web de SERGAS, que forma parte de un proceso selectivo cuya publicidad y difusión está establecida por una norma con rango de Ley  Se trata de información previamente anonimizada, al haberse ocultado el número del DNI de los participantes, y el nombre y apellido solamente de una persona por sí mismo no debe ser considerados dato de carácter personal pues existen numerosas personas que coinciden en su nombre y apellidos. “No resultan ni identificadas ni identificables de forma fehaciente” Continuaron con su análisis considerando que “podría tratarse de un tratamiento de datos personales públicos”.  El siguiente planteamiento fue determinar la base jurídica aplicable concluyendo que sería el interés legítimo consistente en facilitar el acceso a los resultados provisionales del concurso oposición, tratándose de una información previamente hecha pública lo que la anterior normativa se denominaba fuentes accesibles al público, que considera aplicable al caso en una entidad que especialmente enfoca a las profesiones sanitarias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 “Al tratarse de una información pública al haberse publicado en el Diario Oficial de Galicia y en la página web del Sergas entendimos que no prevalecían los derechos y libertades de los interesados”. -Alude a la sentencia del Tribunal de Justicia de la Unión Europea de 24/11/2011 asunto acumulado C 468/2010 Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), y C 469/2010 Federación de Comercio Electrónico y Marketing Directo (FECEMD) por la que se resuelven las cuestiones prejudiciales planteadas por el Tribunal Supremo y en la que se declaraba expresamente el efecto directo del artículo 7
4. f)de la Directiva 95/46/CE. En sus considerandos 44 y 45 alude a las fuentes accesibles al público considerando que se produce un impacto menor en la vida privada del interesado ya que la información es de público conocimiento. “El tercero o terceros a quienes se comuniquen los datos no acceden a datos relativos a la vida privada del interesado, dado que la información ya es de público conocimiento”. La gravedad de la lesión de los derechos fundamentales de la persona afectada por dicho tratamiento puede variar en función de que los datos figuren ya o no en las fuentes accesibles al público. -Han eliminado la citada publicación -Consideran relevante poner de manifiesto que la información pública actualmente se encuentra publicada y disponible en la web del Sergas acompaña la dirección del Sergas en la que se encuentra disponible el citado listado, ***URL.1 y otra dirección de acceso al procedimiento “completo, de contratación.” ***URL.2 No acompaña el acceso efectuado en el momento de presentación de su escrito, ni se visiona elemento alguno. -La reclamante en ningún momento se dirigió a la reclamada por ningún medio solicitando la supresión de la información -Manifiesta que ha actuado en el convencimiento de que el tratamiento se ajustaba al RGPD, pues previamente a realizar el tratamiento objeto de la reclamación han realizado un “análisis de cumplimiento de la normativa”. -Solicita que se aplique apercibimiento en vez de sanción económica y en caso de que se aplique esta, que se reduzca la sanción a 600 euros, considerando la falta de intencionalidad y que se limitó a publicar información pública, y no existe reincidencia. SEXTO: Con fecha 24/05/2022, se abre período de pruebas, según lo dispuesto en el artículo 77 y 78 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), acordándose dar por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, así como los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la reclamada, y la documentación que a ellas acompaña. Se solicita a la reclamada que informe o aporte lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23
5. a)Motivo por el que solo publicaron el listado de opositores del turno (…), y motivo por el que solo hicieron la ordenación secuencial por orden de puntuación de estos (…) para su ordenación diferenciada. Con fecha 15/06/2022 se recibe respuesta en la que indica que su finalidad era facilitar el acceso a los interesados de forma ordenada, distinta del modo de publicación en alfabético, con el fin de que las personas, “muchos de ellos clientes de nuestra academia” puedan verificar si su puntuación le da acceso al puesto de trabajo o no. Manifiesta que, en esta ocasión, el SERGAS no publicó al mismo tiempo por orden alfabético y puntuación, sino que lo hizo primero solo por orden alfabético, retrasándose la exposición por puntuación. Aporta copia del “listado general de la baremación definitiva”, fase concurso del SERGAS, (...), en el que aparece ordenado en primer lugar por orden alfabético, seguido de la puntuación total, fecha de elaboración ***FECHA.4, se aprecia el orden decreciente de las puntuaciones en el lado derecho de los puntos, y ordenados alfabéticamente en el lado izquierdo , y copia del mismo listado de SERGAS, misma fecha y títulos, pero ordenado a partir del criterio alfabético, sin prelación por la puntuación. Añade, que en la publicación del listado provisional los listados solo se publicaron de modo u orden alfabético, ordenándose siempre por la reclamada por “puntuación y acceso” el listado ya publicado previamente por orden alfabético.
6. a)Número de personas que a través de sus cursos se preparaban para esta convocatoria, a través de sus servicios, y en que turnos. Manifiesta que “no es un centro preparador de oposiciones, por lo que no dispone de grupos cerrados que preparen una categoría concreta del SERGAS. La formación que imparte Cursos Eficientes está destinada a la fase de méritos, concretamente facilita la obtención de los puntos correspondientes al apartado de formación continua en la fase de concurso.”, referidas a materias transversales, informática, prevención de riesgos laborales etc., puntuables en cualquiera de las categorías de SERGAS en el apartado de “formación continua”, siendo difícil discernir para que categoría se ha utilizado ese curso cada alumno.
7. b)Motivo por el que sí había personas que se preparaban esta convocatoria, no se limitaron a poner en su página web solo sus datos o enviarles a ellos exclusivamente sus resultados. Se responde con la respuesta del punto anterior.
8. d)Motivo por el que no indexaron un literal informativo de la recogida de datos y derechos en su página web que fue publicada. Si actualmente han recogido datos de páginas web de empleo público de Boletines, indiquen dirección. Señala que usualmente de lo que informan es a modo de noticias las publicaciones de convocatorias que realiza el SERGAS con enlaces directos a su web. Aporta ejemplos de links que desde la web de la reclamada lleva a la sección en la que informa de la resolución en que se publican los listados. En la página figura la información de que se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 publicado en la web, a título de ejemplo, del SERGAS y figuran las categorías y “clic aquí” Pulsando lleva a extranet de SERGAS con la información “Lo que queremos poner de manifiesto es que de forma excepcional y motivado en que el Sergas no habían publicado todavía el listado por orden de puntuación consideramos que tratándose de una información ya publicada en una fuente accesible al público como es el Diario Oficial de Galicia y la web del organismo público del SERGAS, no supondría un menoscabo en los derechos de los participantes que el listado se ordenase por puntuación”. Añaden además que no se publicaba el número de DNI completo, pues estaba anonimizado. Acompaña la noticia de su web de “listado ordenado de puntuaciones de la fase de concurso de la oposición ***CATEGORIA.1 del Sergas”, refiriendo la publicación el ***FECHA.1 en la página web del Sergas de las listas provisionales de la fase de concurso de las oposiciones de distintas categorías y señala que dado que todavía no ha publicado las listas ordenadas por puntuaciones de la fase de concurso , refiriendo la convocatoria de ***FECHA.3, “aquí las tenéis en formato PDF (…), con links para cada uno de los turnos (libre, interna, discapacitado).
9. c)Copia del registro de actividades de tratamiento relacionado con la exposición en su web de datos de convocatorias públicas. Manifiesta que su registro de actividades de tratamiento no contempla como tal la publicación en la web de información relacionada con convocatorias públicas, y que no es una actividad que van a realizar en el futuro. En su web se limitan a publicar noticias sobre las publicaciones relacionadas con convocatorias o información actualizada sobre novedades publicadas por las administraciones públicas en relación con oposiciones o concursos que estén tramitando. Su web suele hacer referencia a la noticia haciendo un enlace a la web del organismo público que realiza la publicación, pero nunca publica listados directamente. La única vez y evidentemente la última ha sido la publicación que es objeto del presente procedimiento. Consideran que ha sido un hecho puntual que han corregido de forma inmediata.
10. d)En relación con su interés legítimo alegado para el tratamiento, se le solicita que aporte el documento en el que efectuó la consideración y análisis de dicha base legitimadora, y específicamente como tuvo en cuenta los derechos y libertades fundamentales de los afectados y porque no prevalecen sus derechos al interés legítimo alegado, y el ofrecimiento de la oposición al tratamiento y las causas, considerando, además que solo aparece publicada la opción discapacitado, y agrupada. Manifiesta que acompaña informe de “análisis de cumplimiento normativo”, fechado a 6/12/2019, aludiendo a la información del DOG de ***FECHA.1 y extranet de SERGAS, para ordenar el listado ya publicado en función de las puntuaciones obtenidas por los participantes en el concurso del (...). Se alude al análisis del tratamiento y conformidad a la normativa, que el número NIF esta parcialmente, con nombre y apellidos y puntuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 No alude a (…). “Indica que al no disponer el número completo del NIF no se puede considerar información de carácter personal que identifiquen a una persona en concreto.” Parece que tampoco resultaría posible que “sin realizar esfuerzos desproporcionados se identificara a las personas participantes salvo para aquellas personas que tengan un conocimiento previo de que una persona determinada se va a presentar al referido concurso pero no serán identificables para el resto de la población” Luego indica que se trata de información pública a la que se tiene que dar difusión por normas con rango de Ley, deben valorar la base legitimadora, y alude al artículo 6.1
11. f)del RGPD añadiendo ahora que se trata de información que “podemos considerar como fuentes accesibles al público, toda vez que han sido publicadas previamente en un Diario Oficial de Galicia y en la extranet del SERGAS sin que los interesados puedan oponerse a dichos tratamientos y siendo incluso su publicación una obligación legal a la que se someten los interesados por el mero hecho de participar en el proceso selectivo”. Añade que considera que no está derogado el Real Decreto 1720/2007, y en este extremo destaca su artículo 7. “por este motivo parece razonable pensar que los derechos de los interesados no pueden prevalecer frente al interés legítimo perseguido considerando que cuando los datos figuran en fuentes accesibles al público el responsable y en su caso el tercero o terceros a quienes se comunican los datos no acceden a datos relativos a la vida privada del interesado dado con la información ya es de público conocimiento según considerandos 44 y 45 de la sentencia del Tribunal de Justicia de la Unión Europea de 24/11/2011, como consecuencia hay un impacto menor en los derechos del interesado, lo que debe ser apreciado en su justo valor en la ponderación con el interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos.” “en lo que respecta a la ponderación requerida por el artículo 7 letra F de la directiva 95/46 cabe tomar en consideración el hecho de que la gravedad de la lesión de los derechos fundamentales de la persona afectada por dicho tratamiento puede variar en función de que los datos figuren ya o no en fuentes accesibles al público” “Teniendo en cuenta que la única finalidad perseguida por el tratamiento que se pretende llevar a cabo es la de facilitar el acceso a los interesados a unos listados ordenados en función de la puntuación obtenida, que muchos de los participantes en el concurso son alumnos de nuestro centro, se cumplen los requisitos que legitiman el tratamiento en base a lo dispuesto en el artículo 6.1
12. f)del RGPD.”
13. e)Si dispusiera de algún documento que acredite y verifique la fecha de su retirada puede aportarlo. Manifiesta que “como se ha indicado en nuestro escrito de alegaciones, una vez notificada la incoación del presente procedimiento sancionador y una vez que nuestros asesores pudieron revisar la información que ha sido objeto del mismo, con fecha 20 de enero de 2022, se procedió a remitir un correo electrónico, solicitando a la empresa que gestiona nuestra página web, para que procediese al borrado inmediato” acompaña en documento 3 y 4 copias del correo electrónico remitido y de la empresa que gestiona la página web que verifica la fecha del borrado, comprendiendo tanto el enlace de la noticia como los de cada uno de los turnos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 4). Se verificará por el Instructor si en la URL***URL.2 aparecen los datos de la reclamante. Si dispusiera de algún documento que acredite y verifique la fecha de su retirada puede aportarlo. A tal efecto, en fecha 7/06/2022, se accedió a internet en el buscador GOOGLE, y se introdujo la dirección URL que indica la reclamante sin encontrar información en la página. Resulta acreditado por diligencia incorporada al procedimiento. SÉPTIMO: Con fecha 13/07/2022, se emitió propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a SEAN SERIOS S.L., con NIF B70528989, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5
14. a)del RGPD, con una multa de 12.000 euros.” OCTAVO: La reclamada, con fecha 27/07/2022, manifiesta: 1-No se ha hecho por parte de la reclamada ningún tratamiento ulterior y distinto al perseguido por la publicación en el Diario Oficial de Galicia, no se ha incorporado ninguna información adicional, no se han realizado comunicaciones a los interesados. 2-Reitera que por lo dispuesto en la derogatoria única de la LOPDGDD: “quedan derogadas cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica”, considera que el Real Decreto 1720 2007 que desarrolla la LOPD resultaría aplicable y establece como fuentes accesibles al público las publicaciones de los diarios y boletines oficiales, faltando el componente antijurídico de la infracción. 3-Reitera que el impacto en los derechos del interesado es menor al ser datos que proceden de fuentes de acceso público, “lo que debe ser apreciado en su justo valor en la ponderación con el interés legítimo”. Su interpretación del interés legítimo es plausible y justificada, lo que evidencia la falta de intencionalidad, culpabilidad o negligencia legalmente exigible para la imposición de sanciones administrativas. 4-La cuantía es desproporcionada, “no es una gran empresa, es una micropyme”. La finalidad era mejorar el acceso a una información pública, accesible a través de fuentes accesibles al público, de forma ordenada por puntuación, en lugar de estar ordenada por orden alfabético. “La magnitud de la cuantía avoca a su disolución y posterior liquidación.” No se ha de considerar como infracción continuada, “pues dichos listados con la misma información continúan publicados en la página web de SERGAS”. Tampoco se acredita “el supuesto daño que haya podido ocasionar” a la reclamante. No concurre intencionalidad. No se obtuvo beneficio, “la única finalidad era que nuestros alumnos, que formaban parte de ese proceso selectivo, pudiesen verificar de forma más sencilla la puntuación alcanzada”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 5-Solicita el archivo por ser su actuación ajustada a derecho, o exoneración de responsabilidad por faltar los elementos de culpa o negligencia. Subsidiariamente, se aprecie una disminución cualificada de la culpabilidad o de la antijuridicidad, resultando suficiente un apercibimiento o en su defecto, una sanción mínima. NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1)La reclamante manifiesta que en la URL ***URL.1 aparecen publicados su datos en un listado sobre un proceso selectivo de concurso oposición convocado por el SERGAS. 2)El listado que se contiene en la URL, en pdf, es una preparación específica de la reclamada, que contiene solo de datos del turno de (…), tres páginas, el titulo indica: “(…) elaboración ***FECHA.1”. El listado aparece ordenado por total de puntos y consecuente número de orden, hasta 104 candidatos. La reclamante figura en el número XX con las tres últimas cifras del NIF y apellidos y nombre, con la clave (…), 3)La publicación oficial de esta baremación provisional de los aspirantes se hizo en la página web del SERGAS, según se habilitaba en la resolución de ***FECHA.2, de la Dirección General de Recursos Humanos, por la que se hacen públicas las puntuaciones provisionales de la fase de concurso del proceso selectivo para el ingreso en la categoría de (...), convocado por la Resolución de ***FECHA.3 (DOG de ***FECHA.1) . Como tal listado, no figura publicado en el citado Diario Oficial. La publicación oficial, se diferencia de la de la reclamada, en la copia de la oficial que aporta la reclamada en sus alegaciones, son 80 páginas, figurando mezclados los turnos, y ordenados por la puntuación total obtenida, la nota de la oposición y la de la fase de concurso (formación, experiencia, otras actividades), y por orden alfabético, figurando la reclamada en el listado tal como consta en la lista de la reclamada. 4)La página www.cursoseficientes.com está dedicada a cursos de formación como Academia, y es titular de la reclamada, figurando así en “política de privacidad”. Imparte cursos de distintos tipos y modalidades que cuentan en el apartado de formación continua de las convocatorias. 5) En política de privacidad de la web de “cursos eficientes”, se indica: 2.FINALIDAD: ¿Con qué finalidad tratamos sus datos personales? En Sean Serios S.L. tratamos la información que nos facilitan las personas interesadas para las siguientes finalidades: Gestionar el alta para permitir el acceso a nuestros sistemas Prestar el servicio solicitado, realizar la facturación del mismo. Enviar publicidad relacionada con nuestros productos y servicios 4. LEGITIMACION: ¿Cuál es la legitimación para el tratamiento de sus datos? La base legal para el tratamiento de los datos es el consentimiento obtenido del interesado, además de la contratación de los servicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 7. PROCEDENCIA: ¿Cómo hemos obtenido sus datos? Los datos personales que tratamos en Sean Serios S.L proceden del propio interesado Las categorías de datos que se tratan son: Datos de identificación. Direcciones postales o electrónicas. Datos Económicos. No se tratan datos especialmente protegido 6)Tras recibir el acuerdo de inicio, la reclamada manifestó que retiró la página de su web, hecho que se verifica en fase de pruebas. 7)La reclamada señala que publicó el listado porque da cursos que cuentan en la baremación de los concursos, en “formación”, sin identificar en concreto que la reclamante hubiese dado alguno para su puntuación, o que cursos puede ser el que en este caso contaba, y que su base de legitimación es el interés legítimo, tratándose de información pública o accesible al público a la que los interesados no pueden oponerse por ser una obligación legal por el hecho de participar en un proceso selectivo 8)La Resolución da Dirección Xeral de Recursos Humanos de ***FECHA.3 (DOG núm. XX, de XX/YY), por la que se convoca concurso-oposición para el ingreso en categoría (…) contempla como baremación el apartado de “formación”, incluyendo la valoración de cursos como prevención de riesgos laborales, gestión clínica que puede ofertar la reclamada. 9)La reclamada usualmente informa a través del apartado noticias en su web sobre las convocatorias, ofreciendo enlaces directos a las entidades para que se vean por ejemplo los listados. En el caso de la reclamación añade que publicó por puntuación obtenida, por nombre y apellidos, (…), para que los participantes pudieran ver más fácilmente el orden obtenido, constando lo mismo ( su publicación) en los otros turnos (así se deduce del correo interno enviado el 20/01/2022, tras recibir el acuerdo de inicio a una empresa para que borrara la lista , figurando también un listado de turno libre referenciada) y debido a que el listado de SERGAS tenía otro orden diferente. 10)La publicación llevada a cabo no se apoya en una actividad de tratamiento que contemple la reclamada, señalando que es la única vez que se ha expuesto en relación con oposiciones o concursos que se estén tramitando. 11)En la publicación del listado elaborado por la reclamada, no se indica o informa del origen de los datos, ni información alguna ni el derecho a oponerse, que en base a un interés legítimo en el tratamiento, se debería ofrecer. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El RGPD define 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; El dictamen 4/2007, sobre el concepto de datos personales, adoptado el 20/06 por el Grupo de trabajo 29, de la Directiva 95/46, analiza en profundidad el concepto de datos personales, indicando la referencia: “son toda información sobre una persona física identificada o identificable, considerándose identificable toda persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física fisiológica psíquica económica cultural o social”. Una persona directamente se considera identificada a través del nombre y apellidos y queda más individualizada, cuando además, se tiene otro identificador, por ejemplo el NIF, a través del cual se puede obtener más información de esa persona o cualquier información que pueda especificarlo o situarlo en un concreto ámbito. La conducta que consiste en hacer referencia en una página web, a una persona con su nombre y apellidos, y que en este caso es distintivo porque no es frecuente, constituye per se un dato de carácter personal que la identifica, y a la que se añadiría en este caso que cumple los requisitos que señale la convocatoria para poder presentarse por el turno C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 (…), con lo que se añaden elementos para poder ser identificada por un sector mayor de la población. Sobre la alegación de la reclamada de que los datos publicados son datos “personales públicos” por proceder de una web, la del SERGAS, una web no es una fuente de acceso público atendiendo incluso a lo que de ella definía el RLOPD. Si a lo que se refiere es que un dato hecho público, este no lo ha sido por su titular, sino por una entidad pública que al amparo de la normativa vigente le puede legitimar para su publicación, con una finalidad concreta. Ello además, queda claro con la definición y detalle del derecho de protección de datos que se contiene en la STCO 292/2000, de 30/11, recurso 1463/2000, fundamento jurídico sexto: “De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce solo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es solo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos que, por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que solo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo.” III Los datos que se incluyen en la URL de la reclamada corresponden a un proceso selectivo del Servicio Gallego de Salud, aunque el reclamado lo incluye en una URL propia, sobre la que efectúa una seleccionada elaboración propia para ordenar por apellidos y orden de puntuación, dentro del turno (...). El RGPD mantiene el principio de todo tratamiento de datos necesita apoyarse en una base jurídica que lo legitime puntos establecen las inversas causas legitimadoras del tratamiento como el modo el consentimiento no opera como la única posible. En todo caso, a partir de la entrada en vigor del RGPD, no puede hablarse de un concepto legal de “fuentes accesibles al público” como el que existía en la LOPD, ni tampoco podemos entender que el hecho de que los datos aparezcan en este tipo de fuentes legitime sin más el tratamiento, precisando en todo caso una base legitimadora para su tratamiento. El RGPD sólo habla de fuentes de acceso público al regular el derecho a la información, si los datos no se han recogido del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 La mención a la vigencia del RLOPD carece de efecto, al no ser en todo caso los datos contenidos en una fuente de acceso público una base legitimadora, necesitando la cobertura de alguno de las circunstancias como base legitimadora en el artículo 6.1 del RGPD. Los hechos expuestos pueden suponer por parte de la reclamada la comisión de una infracción del artículo 6.1 del RGPD que indica:
15. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
16. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
17. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
18. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
19. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
20. a)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” En contra de lo manifestado por la reclamada, los listados, no se publican en el Diario Oficial, sino que en este se indica que se publique en la web de SERGAS, a la que se ha de acudir para su visionado y en la forma que se ha indicado. Sobre la base del interés legítimo alegado, gran parte del mismo, se limita a señalar que son datos de acceso público por el hecho de que los opositores por norma legal relacionada con el empleo público y la transparencia, han de someterse a la exposición de sus datos como garantía de objetividad, reforzando su tesis de que por el hecho de estar sus datos en una web en abierto, se puede encontrar dentro de dicho esquema de tratamiento. Sin embargo, los listados no están expuestos en boletín o diario oficial alguno, sino en la web de SERGAS, no cumpliendo ya uno de los requisitos para que en el pasado pudiera ser considerada fuente de acceso público. “Establece el considerando