PS-00617-2022

1/20 Expediente N.º: EXP202210292 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 1 de agosto de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE MONCADA con NIF P4617300A (en adelante, la parte reclamada o el Ayuntamiento). Los motivos en que basa la reclamación son los siguientes: La parte reclamante participó en un proceso selectivo convocado por el Ayuntamiento de Moncada. El ***FECHA.1 presentó un recurso de alzada al no estar de acuerdo con la corrección del XXX ejercicio. Manifiesta que la resolución del recurso no se le ha notificado de forma personal. No obstante, indica que la resolución ha sido publicada en la Sede Electrónica de la parte reclamada, revelándose las alegaciones que efectuó y su resolución, así como su nombre y sus apellidos. Junto a su reclamación aporta:  Recurso de alzada de fecha ***FECHA.1, presentado por el reclamante ante el Ayuntamiento de Moncada.  El acta nº ***ACTA.1  El acta nº ***ACTA.2 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Ayuntamiento de Moncada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14 de octubre de 2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 Con fecha 7 de noviembre de 2022 se recibió en esta Agencia escrito de respuesta del Ayuntamiento de Moncada indicando: El Ayuntamiento afirma que en su sede electrónica no se publicó la resolución del recurso de alzada interpuesto por el reclamante, sino el acta de una sesión celebrada por el Órgano Técnico de Selección (en adelante, OTS), donde consta la propuesta de resolución de dicho recurso de alzada, que es competencia del Alcalde. La parte reclamada destaca que la resolución del recurso de alzada le ha sido notificada al reclamante electrónicamente en tiempo y forma. Aunque en el acta de la sesión celebrada por el Órgano Técnico de Selección el 15 de julio de 2022 puede observarse el nombre y apellidos del reclamante, el Ayuntamiento destaca que dicha publicación obedece a razones de publicidad y transparencia, principios rectores de la actividad pública. En este sentido, la parte reclamada hace referencia al artículo 55 del Texto Refundido de la Ley del Estatuto Básico del Empleado Público, a los artículos 2 y 5 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y a la disposición adicional séptima de la LOPDGDD. Asimismo, el Ayuntamiento menciona en sus alegaciones el informe 178/2014 del Gabinete Jurídico de la AEPD. Para concluir, la parte reclamada hace referencia al derecho de acceso a la información relevante del proceso, que tienen los participantes concurrentes en los procesos selectivos, afirmando que dicho derecho de acceso a la información incluye el acceso a los datos personales de terceros participantes en los mismos, en aras de comprobar el cumplimiento de los principios rectores del derecho de acceso al empleo público (imparcialidad, publicidad, transparencia) y de acuerdo con los principios constitucionales de igualdad, mérito y capacidad. TERCERO: Con fecha 1 de noviembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: El día 12 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por: - Una presunta infracción del Artículo 5.1.

1. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
2. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El Ayuntamiento de Moncada ha publicado en internet (en su Sede Electrónica y en su página web), las siguientes actas, relativas al (…).  Acta nº ***ACTA.1.  Acta nº ***ACTA.2. Así lo acreditan las evidencias recabadas por personal de la AEPD con fecha 15 de septiembre de 2022 (capturas de pantalla de la Sede Electrónica del Ayuntamiento de Moncada). Así como la diligencia de fecha 1 de marzo de 2024, en la que figuran capturas de pantalla realizadas en la referida fecha, en las que se aprecia que el Acta nº ***ACTA.2 continuaba publicada en la Sede Electrónica del Ayuntamiento de Moncada. Asimismo, reflejan que, tanto el acta nº ***ACTA.1 como el acta nº ***ACTA.2, estaban publicadas en la página web del referido Ayuntamiento. SEGUNDO: El contenido de las actas era accesible a cualquier persona que consultase la Sede Electrónica y la página web del Ayuntamiento de Moncada. TERCERO: El Acta nº ***ACTA.1, de fecha 16 de junio de 2022, refleja el contenido de la reunión celebrada por el Órgano Técnico de Selección (OTS) de la convocatoria para la selección de (…), para la revisión del XXX ejercicio de oposición realizado por (…). En el acta se menciona en dos ocasiones el nombre y apellidos del reclamante, se reflejan las calificaciones obtenidas por el reclamante inicialmente, y la calificación tras la revisión y concluye afirmando que “(…)”. Asimismo, figuran las preguntas formuladas por el aspirante al Órgano Técnico de Selección y las respuestas recibidas, se va analizando detalladamente cómo el reclamante respondió a las distintas preguntas (…), destacando, en numerosas ocasiones, los aspectos en los que el OTS considera que el reclamante se ha equivocado, ha respondido de manera errónea o incompleta. A continuación, se citan algunos ejemplos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 (…). CUARTO: El Acta nº ***ACTA.2: de fecha 15 de julio de 2022, refleja el contenido de la reunión celebrada por el Órgano Técnico de Selección de la convocatoria para la selección de (…), en la que se continúa con la elaboración de la propuesta de resolución del recurso de alzada presentado por (…). En la misma figura en cinco ocasiones el nombre y apellidos del reclamante. También se reflejan las calificaciones obtenidas por el reclamante inicialmente, y la calificación tras la revisión, así como la calificación final del aspirante en el XXX ejercicio como (…). Asimismo, contiene la respuesta que el Órgano Técnico de Selección va dando respuesta a cada uno de los motivos en los que se basa el recurso de alzada interpuesto por el reclamante. Así hace referencia a circunstancias relativas al desarrollo del tercer ejercicio que afectan al reclamante (…). Asimismo, se justifican los motivos por los que el OTS considera que el reclamante no habría respondido de forma correcta a varias de las preguntas planteadas en (…). A continuación, se citan algunos ejemplos: (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El Ayuntamiento de Moncada, como cualquier otra entidad pública, está obligada al cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 -RGPD-, y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales -LOPDGDD- con respecto a los tratamientos de datos de carácter personal que realicen, entendiendo por dato de carácter personal, “toda información sobre una persona física identificada o identificable”. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Teniendo en cuenta lo anterior, el Ayuntamiento de Moncada habría tratado los datos de carácter personal de la parte reclamante. El Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: “«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.” III Infracción del artículo 5.1
4. c)del RGPD El artículo 5.1.
5. c)del RGPD, Principios relativos al tratamiento, señala lo siguiente: “1. Los datos personales serán: (…)
6. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)” En el caso examinado en este expediente sancionador, el Ayuntamiento de Moncada ha publicado en internet dos actas (números XX y XX), hecho probado primero, elaboradas por el Órgano Técnico de Selección (en adelante, OTS) de la convocatoria para la selección (…), que aporta el reclamante junto con su escrito de reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 Con fecha 15 de septiembre de 2022 la AEPD recabó evidencias de la publicación de dichas actas (nº XX y XX) en el tablón de anuncios de la Sede Electrónica del Ayuntamiento de Moncada. El 1 de marzo de 2024, se reflejó en una diligencia, que ambas actas continuaban publicadas en internet. El acta Nº XX, en la página web del Ayuntamiento, y el acta Nº XX, tanto en la Sede Electrónica como en la página web del Ayuntamiento. El contenido de las actas era accesible a cualquier persona que consultase la Sede Electrónica y la página web del Ayuntamiento de Moncada (hecho probado segundo). En la actualidad, las referidas actas siguen estando publicadas en internet. Acta Nº XX El acta nº XX, ha sido remitida a la AEPD por el reclamante junto con su reclamación. Tal y como destaca el hecho probado tercero, en la misma se refleja el contenido de una reunión celebrada por los miembros del OTS el ***FECHA.2, al objeto de revisar el XXX ejercicio de oposición realizado por el reclamante, (…). El acta menciona en dos ocasiones el nombre y apellidos del reclamante. A lo largo de la misma, se reflejan las preguntas formuladas por el aspirante al OTS y las respuestas recibidas, asimismo se va analizando detalladamente cómo el reclamante respondió a las distintas preguntas (…), destacando, en numerosas ocasiones, los aspectos en los que el OTS considera que el reclamante se ha equivocado, ha respondido de manera errónea o incompleta. En el acta se reflejan las calificaciones obtenidas por el reclamante inicialmente, y la calificación tras la revisión y concluye afirmando que “(…)”. Acta Nº XX Tal y como destaca el hecho probado cuarto, en la misma se hace referencia a una reunión celebrada por el OTS el día ***FECHA.3. En dicha reunión, se continuó con la elaboración de la propuesta de resolución del recurso de alzada presentado por el reclamante contra el XXX ejercicio de la (…). En el acta figura en cinco ocasiones el nombre y apellidos del reclamante. En este caso, se va dando respuesta a cada uno de los motivos en los que se basa el recurso de alzada interpuesto por el reclamante. Así hace referencia a circunstancias relativas al desarrollo del XXX ejercicio que afectan al reclamante (…). Asimismo, se justifican los motivos por los que el OTS considera que el reclamante no habría respondido de forma correcta a varias de las preguntas planteadas en (…). En el acta se reflejan las calificaciones obtenidas por el reclamante inicialmente, y la calificación tras la revisión, así como la calificación final del aspirante en el XXX ejercicio como (…). Con motivo del traslado de la reclamación al Ayuntamiento, la parte reclamada ha alegado que la publicación del acta nº XX “obedece a razones de publicidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 transparencia, principios rectores de la actividad pública.”, desarrollando dicha afirmación en la alegación cuarta de su escrito de 7 de noviembre de 2022. Asimismo, en la alegación quinta del escrito del Ayuntamiento de 7 de noviembre de 2022 afirma: “QUINTA.- A la vista de todo lo anteriormente manifestado, queda patente el derecho de acceso a la información relevante del proceso de los participantes concurrentes en los procesos selectivos, lo que incluye el acceso a los datos personales de terceros participantes en los mismos procesos, en aras de comprobar el cumplimiento de los principios rectores del derecho al acceso al empleo público, tales como la imparcialidad, la publicidad y la transparencia y de acuerdo con los principios constitucionales de igualdad, mérito y capacidad.” 1. Necesidad de conjugar los principios de publicidad y transparencia en el acceso a la función pública y el derecho a la protección datos En primer lugar, resulta necesario destacar que el principio de publicidad y transparencia de los procesos selectivos no excluye la aplicación de los principios de protección de datos que recoge el artículo 5 del RGPD. El principio de responsabilidad proactiva (una de las principales novedades derivadas de la entrada en vigor del RGPD) impone a los responsables y encargados del tratamiento el deber de tener en cuenta la protección de datos desde el diseño y por defecto, lo que conlleva la obligación de analizar el riesgo para los derechos y libertades de los participantes que supone la aplicación del principio de transparencia. En relación con esta cuestión, el informe del Gabinete Jurídico de la AEPD 0002/2022 analiza cuál ha sido el criterio de la AEPD con ocasión de conjugar los principios de publicidad y transparencia en el acceso a la función pública y el derecho a la protección de datos: “Dicho lo anterior procede analizar cuál ha sido el criterio de esta Agencia con ocasión de conjugar los principios de publicidad y transparencia en el acceso a la función pública y el derecho a la protección de datos. Resolución R/2593/2017 de fecha 29/09/2017 recaída en el procedimiento de declaración de Infracción AP 2_2017 en el que se denuncia la publicación en abierto a través de internet, en un proceso selectivo, de las listas de admitidos y excluidos y de los listados con las calificaciones provisionales, y de la posibilidad de descargar el correspondiente documento pdf, dónde se indica lo siguiente: En cuanto al objeto de la materia propiamente denunciada, una vez publicada la convocatoria y recibidas las solicitudes de participación en la misma, comenzaría el proceso de concurrencia competitiva, que como dice la palabra, debe predicarse de y para todos los integrantes del grupo que aspiran a superar las pruebas convocadas, que compiten C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 en méritos y en capacidad unos contra otros. Una vez publicada la convocatoria y las bases, los trámites siguientes van a afectar a un círculo específico y cualificado. La exposición de datos dentro de dicho círculo es adecuada, proporcionada y obedece a sus finalidades. Estas finalidades son las de los afectados por el procedimiento, para por ejemplo impugnar los actos que consideren son arbitrarios o lesionen sus intereses, así como para computar plazos de subsanaciones y/o reclamaciones. Pretender que debe prevalecer la transparencia y publicidad por el hecho de que el acceso a los datos de los admitidos/excluidos provisionales o de los calificados provisionalmente se da con carácter general y en concreto en este caso, carece de justificación y excede por mucho de la finalidad propia del tratamiento de datos de los afectados. Por consiguiente, el resto del público, los que no se someten a dichas pruebas, carecen de una base legitima para que puedan acceder a los datos de apellidos y nombre junto al NIF de cada aspirante o a sus calificaciones. Ello no es proporcionado con la finalidad del proceso, y no afecta a la transparencia, pues terceros que no se van a examinar, no concurren. Ese acceso por cualquier persona a los datos resulta invasivo, y es contrario al principio de minimización y calidad de datos en el tratamiento de los mismos (artículo 4.1 de la LOPD). Así, terceros ajenos al procedimiento no deben tener acceso desde el principio a documentos o datos de la tramitación en el que no ostentan ninguna posición jurídica definida. La lista provisional de admitidos y excluidos provisionales es un acto referente a la tramitación interna del proceso selectivo. El derecho de un no participante en el procedimiento puede, en su caso, promoverse caso a caso, como derecho de acceso con reglas de acceso especificas relacionadas con la Ley de Transparencia (…) Sería menos intrusivo y más acorde con lo previsto con la normativa de protección de datos que su publicación afectara y pudiera ser visualizada solo por los que concurren, no al público en general. Resolución R/3081/2017 de 24/11/2017 recaída en el procedimiento de declaración de Infracción AP 12_2017 en el que se denuncia la publicación en abierto en la página web de la Junta de Comunidades de Castilla-La Mancha, de los datos de dos menores, incluyéndose la baremación para la concesión de plaza escolar, que incluía los datos de discapacidad. El modo de proceder de la denunciada no ha sido proporcionado para la finalidad del proceso, pues el acceso por cualquier persona a los datos de los solicitantes resulta invasivo, al no participar en el mismo, y también lo es el contenido de la baremación. LOPD. Se aconseja pues, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 que los accesos a los listados provisionales y a los definitivos se proporcionen tan solo a los aspirantes solicitantes, sea con claves y contraseñas asignadas durante la presentación telemática o de otro modo similar. Resolución R/2726/2017 de fecha 17/10/2017 recaída en el procedimiento de declaración de Infracción AP 17_2017 en el que se denuncia la publicación en abierto a través de internet en un proceso selectivo, de las listas de admitidos y excluidos para el Cuerpo Docente de Profesores de Enseñanza Secundaria expresando la causa de exclusión, dónde en el Hecho Probado 2, se indica que: Mediante resolución de 16/05/2016, el Director General de Personal docente y Ordenación Académica, indicaba que la relación provisional de admitidos y excluidos para formar parte de las listas de aspirantes a nombramientos interinos en el Cuerpo de especialidades convocadas se iba a publicar en el tablón de anuncios de la Consejería, y en el portal educativo de la Consejería de Educación. Para dicho acceso y visualización no se precisa ni clave ni contraseña, pudiendo acceder y visualizar el contenido cualquier persona, haya o no participado en el proceso. Y continua la Resolución en términos similares a las indicadas anteriormente: Por consiguiente, el resto del público, los que no se participan en dichas pruebas, carecen de una base legitima para el acceso a los datos de apellidos y nombre junto al NIF de cada aspirante o a las causas de exclusión. Además, en este caso se produce la desproporción consistente en explicitar en concreto el motivo de la exclusión. El motivo, en este caso, no tiene que ver con la no acreditación de la discapacidad sino a causa del grado de incapacidad que tenía reconocido por el organismo competente. Para no tener que explicitar literalmente dicho motivo, la denunciada debería prever en la convocatoria unas claves referidas a causas genéricas en los motivos de exclusión y posteriormente facilitar en su caso al afectado la información concreta para que pueda impugnar la misma si lo estimara conveniente. El modo de proceder de la denunciada no es proporcionado para la finalidad del proceso, pues el acceso por cualquier persona a los datos de los solicitantes resulta invasivo, al no participar en el mismo, y también lo es el contenido del motivo de exclusión, infringiéndose el artículo 4.1 de la LOPD. Y finalmente, la Resolución R/1600/2018 recaída en el Procedimiento de Declaración de Infracción AP_45/2018, a la que más adelante se hará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 referencia, en la que en términos similares se estima adecuado acceder a dichos listados mediante previa identificación circunscrita a los participantes. En conclusión, como puede observarse el criterio de esta Agencia ha sido que de acuerdo con el principio de proporcionalidad previsto en el artículo 4 de la hoy derogada LOPD, se establecieran medidas que impidieran que terceros ajenos a los procedimientos en cuestión pudieran acceder a la información personal de los participantes.” (el subrayado es nuestro). 2. Ponderación previa a la publicación de la información que contenga datos de carácter personal de los participantes en el proceso selectivo: Asimismo, el informe del Gabinete Jurídico de la AEPD 0002/2022 indica: “Ahora bien, respecto del cómo se debe llevar a cabo dicha publicación, o, dicho de otro modo, cómo se ha de conjugar el principio de publicidad y transparencia de los procesos selectivos con el derecho a la protección de datos, conviene en primer lugar poner de manifiesto un ejemplo de la doctrina que se ha ido sosteniendo los tribunales de justicia. En primer lugar, el Tribunal Supremo en Sentencia núm. 2487/2016 de 22 noviembre, parte de la siguiente premisa: La publicidad es condición necesaria para asegurar el respeto a los principios de igualdad, mérito y capacidad, no cabe afirmar que haya fases de los procesos selectivos de carácter privado, ni que los aspirantes no tengan derecho a conocer los ejercicios de aquellos con los que compiten cuando reclamen su derecho fundamental a acceder al empleo público. Por su parte, la Sentencia de 26 de abril de 2012 de la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, que cita a su vez la recaída en el recurso 215/2010, señaló (el subrayado es nuestro): “Por lo tanto, una de las excepciones a la exigencia de consentimiento para el tratamiento de datos es el de la colisión con intereses generales ó con otros derechos de superior valor que hagan decaer la protección de datos por la preferencia que deba concederse a ese otro interés. En el caso presente, al tratarse de un procedimiento de concurrencia competitiva debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que "La Ley regulará el estatuto de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 funcionarios públicos, el acceso a la función pública de acuerdo con los principios de mérito y capacidad ..." (todo ello en relación con lo previsto en el artículo 23 C.E . al que nos referiremos más adelante. Obviamente, las garantías que exige el tratamiento de datos personales no pueden servir para empañar o anular estas exigencias generales que obligan a que los procesos se conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La superioridad de estos otros valores aconseja que en este caso se entienda que no era exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente en su comunicación por el sindicato ahora recurrente. Desde este punto de vista, debemos concluir que no es exigible el consentimiento de aquellas personas que participen en un procedimiento de concurrencia competitiva para el tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y exigencia de los demás participantes para asegurar la limpieza e imparcialidad del procedimiento en el que concurren. (...) Es cierto que la Ley Orgánica 15/1999 no recoge expresamente exenciones o excepciones al régimen de tratamiento de datos personales en ella contenida con fundamento en las garantías de transparencia de los procesos competitivos por lo que será preciso ponderar los intereses en conflicto para poder determinar cuál de ellos debe prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de publicidad y transparencia del proceso competitivo sobre el derecho a la protección de datos. (No es infrecuente que esta Sala debe realizar este tipo de ponderaciones ó valoraciones; basta remitirse a la sentencia del recurso 331/205; DF 2/2010 o 862/2009). Por lo tanto, será procedente la estimación del recuso y la anulación de la resolución recurrida sobre la base de la prevalencia del interés general tomando en consideración que, como es natural, solo se amparará dicho uso dentro de los fines relativos al mismo procedimiento de concurrencia competitiva en aplicación de los límites que señala el artículo 4 de la LOPD (...)”. Es decir, se sostiene que hay que hacer un ejercicio de ponderación, y que la garantía de publicidad y transparencia en un procedimiento de concurrencia competitiva ha de prevalecer, teniendo en cuenta el caso concreto, sobre el derecho a la protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 Ahora bien, resulta relevante la remisión a los límites del artículo 4 de la LOPD, esto es a la proporcionalidad, que hoy debe entenderse hecha al principio de minimización.” (el subrayado es nuestro). 3. Entrada en vigor del RGPD y de la LOPDGDD: aplicación de medidas desde el punto de vista de la minimización que permitan la coexistencia del principio de publicidad y transparencia, que informa los procesos de concurrencia competitiva, con el derecho fundamental a la protección de datos de carácter personal: El Informe del Gabinete Jurídico de la AEPD 0002/2022, continúa analizando: “Teniendo en cuenta lo anterior, la entrada en vigor del RGPD y de la LOPDGDD supone, entre otras cuestiones, la aplicación por parte de los responsables y encargados del tratamiento, del principio de responsabilidad activa y fruto del mismo, el análisis del riesgo y la aplicación de principios como el de protección de datos desde el diseño y por defecto, tal como a continuación se analiza. (…) En efecto, en aplicación del principio de responsabilidad proactiva del que son acreedores los responsables del tratamiento debe tener en cuenta la “protección de datos desde el diseño y por defecto” que establece el artículo 25 del RGPD 1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. (…) En el mismo sentido, el Considerando 78 del RGPD establece que: