1/8
Procedimiento Nº: PS/00134/2019
938-300320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF (en
adelante, el reclamante) con fecha 23/10/2018 interpuso reclamación ante la Agencia Española
de Protección de Datos porque en una dirección url que señala, de ***URL.1, “ha estado
publicada información personal de trabajadores interinos que prestan sus servicios para el
Principado de Asturias”, “al menos durante una semana con acceso libre”.
Se podía acceder al pdf cuya copia adjunta. Se trata de hojas tipo Excel “LISTA DE
EMPLEO ATS, resolución ***RESOLUCIÓN.1 BOPA ***BOPA.1 entra en funcionamiento
1/11/15”. El listado contiene número de orden, hasta el 140, número de ejercicios aprobados,
algunos uno, otros dos o cero, nota, NIF, apellidos y nombre, teléfono, móvil y fijo, casillas
marcadas en los números 1 a 6 y observaciones sobre la vacante. En hoja que continua se
contienen “Zonas”, “día de llamada, hora, resultado llamada”.
SEGUNDO: Tras la recepción de la reclamación, el 14/12/2018, la Subdirección General de
Inspección de Datos procedió, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018,
de 5/12, de Protección de Datos Personales y garantía de los derechos digitales, se traslada la
reclamación a Consejería de Presidencia y participación ciudadana del Principado de Asturias,
Secretaria General Técnica, instando que diera respuesta al reclamante y que detallara lo
sucedido y las medidas implementadas para que no se reiteraran hechos como los objeto de la
reclamación.
TERCERO: Con fecha 4/01/2019, se recibe escrito en el que manifiesta que es delegado de
protección de datos, desempeñando sus atribuciones exclusivamente en el ámbito de la
Consejería de Presidencia y participación ciudadana y que no ejerce sus funciones para el
responsable del tratamiento que da lugar a la citada reclamación.
Aporta un escrito de “comunicación interna”, remitiendo la reclamación desde la
Secretaria General Técnica a la “Dirección Gerencia” de ESTABLECIMIENTOS
RESIDENCIALES PARA ANCIANOS DE ASTURIAS con fecha 26/12/2018. En la remisión se le
añade que se le acompaña informe del Jefe de Servicio de Publicaciones, archivos
administrativos, documentación y participación ciudadana. Según copia de la misma, “informe
sobre publicación de bolsa de trabajo de ATS del ERA”, indica que se alude a una dirección
electrónica que corresponde a la sede electrónica del Principado de Asturias. “Se entiende que
la reclamación no se refiere a lo publicado en el BOPA sino a una publicación realizada en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
sede electrónica”. “El anuncio publicado en el BOPA que se corresponde con esos datos no
muestra información personal”. “El anuncio publica la resolución de ***RESOLUCIÓN.1 de la
Directora Gerente del Organismo Autónomo Establecimientos Residenciales para ancianos de
Asturias, por la que se dispone la contratación laboral por tiempo indefinido de 10 plazas de
titulado grado medio ATS-convocatoria publicada en el BO Principado de Asturias ***BOPA.2.”
“La URL se corresponde a la sede electrónica del Principado de Asturias, en la que hay
un apartado de “ofertas de empleo público” que se gestiona directamente por los respectivos
órganos responsables mediante una aplicación informatica que realiza la publicación de forma
autónoma. El responsable de la mayoría de las publicaciones es el servicio de administración
de personal a través de la sección de personal temporal. Sin embargo, en este caso, al tratarse
de una bolsa del ERA, el órgano responsable es el área de gestión de RRHH a través de la
sección de contratación y gestión de personal.”
Efectúa una búsqueda en el buscador de la sede electrónica con el término “ats” y entre
otros resultados, señala un pdf “ATS LISTA EMPLEO ATS ERA 2015 personal laboral proceso
selectivo disponible SI-bolsa de trabajo ERA-Lista de empleo ATS ERA 2015”. Se muestra el
documento al que alude en la reclamación “en estos momentos informa de que la lista no está
disponible actualmente”.
Se realiza otra búsqueda con el término “auxiliar enfermería”, resultando un listado pdf
“personal laboral proceso selectivo lista empleo ERA Aux enfermería 2015 PDF” con un listado
de 10 empleados con apellidos y nombre, NIF, nota, número en bolsa, zonas, resultado
llamada. “Pero en esa misma pantalla hay otras bolsas como por ejemplo la de AUXILIAR
Educador, que muestra datos similares, aludiendo a la “lista empleo auxiliar educador, OEP
2016, resolución ***RESOLUCIÓN.2, BOPA ***BOPA.3, toma posesión 10/09/2018 y un listado
tipo Excel con datos de cuatro personas, con nombres y apellidos, nif, nota , fecha llamada
10/09/2018.”
“Actualmente se encuentran publicados muchos documentos que no son conformes con
la normativa de protección de datos, además del reclamado en este caso”.
Propuesta: “Se propone el envío a todas las Secretarias Generales Técnicas para que
lo hagan llegar a los órganos de sus respectivas consejerías que publican directamente en
sede electrónica o aquellos que remiten información para su publicación bien en el portal
Asturias o bien el de transparencia un texto similar al siguiente (Se refiere a la nueva Ley
Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos
digitales-en lo sucesivo LOPDGDD-, su disposición adicional séptima).
CUARTO: El Organismo Autónomo ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS
DE ASTURIAS, (ERA) (reclamado) adscrito a la Consejería de Servicios y Derechos Sociales
presenta escrito el 24/01/2019. Aporta la misma copia del listado que adjuntó el reclamante,
con los NIF no completos y el nombre y apellidos.
Manifiesta que “la lista fue inmediatamente bloqueada, dejando mensaje informativo de
lista no disponible actualmente” y se pasa a elaborar la lista conforme a lo dispuesto en la
LOPDGDD.
QUINTO Con fecha 20/03/2019, la Directora de la AEPD admite a trámite la reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
SEXTO: Se accede al BOPA de ***BOPA.1, y se visiona la resolución de la Consejería de
Servicios y Derechos Sociales, ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE
ASTURIAS (ERA) de ***RESOLUCIÓN.1, de la Directora Gerente del ORGANISMO
AUTÓNOMO “ESTABLECIMIENTOS RESIDENCIALES PARA ANCIANOS DE ASTURIAS”
(ERA), por la que se dispone la contratación laboral por tiempo indefinido de 10 plazas de
Titulado Grado Medio (ATS) (convocatoria publicada en el Boletín Oficial del Principado de
Asturias de 13/11/2009. En su punto primero se indica:
Primero.—Concertar contrato de trabajo de carácter laboral fijo con los trabajadores que
figuran en el anexo que acompaña a esta Resolución y adjudicar los destinos, que tendrán el
carácter de definitivos en los Concejos y Centros de trabajo que se citan en el mismo.
El anexo contiene solo 10 nombres y apellidos de los que han superado la prueba.
SÉPTIMO: Con fecha 30/10/2019, la Directora de la Agencia Española de Protección de Datos
acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo
6.1 del RGPD, de conformidad con el artículo 83.5 del RGPD.
No se reciben alegaciones.
OCTAVO: Con fecha 17/03/2020 se formuló propuesta de resolución enviada telemáticamente,
con el resultado de expirada al no ser abierta por el reclamado. Un segundo envío se produce
por correo ordinario, advirtiendo de los efectos de la notificación telemática y siendo recogido.
En el mismo se significaba: ”Que por la Directora de la Agencia Española de Protección
de Datos se sancione con apercibimiento a ORGANISMO AUTÓNOMO ESTABLECIMIENTOS
RESIDENCIALES PARA ANCIANOS DE ASTURIAS, por una infracción del artículo 5.1 a) del
RGPD, de conformidad con el Artículo 83.5 a) del RGPD,
Informe de las medidas implantadas para que listados con datos personales de ofertas
de empleo o bolsas de trabajo no sean visibles cuando se haya cumplido su finalidad, plazo de
exposición y bloqueo de datos.”
Manifiesta en alegaciones que la lista aludida en la reclamación fue inmediatamente
bloqueada dejando mensaje informativo de “Lista no disponible actualmente. En breve
subsanaremos el problema”. Posteriormente, elaboraron dicha lista conforme a la disposición
adicional séptima de la LOPDGDD, publicando nombre y apellidos y añadiendo cuatro cifras
numéricas aleatorias del DNI. Indican que la dirección electrónica del acceso a la aludida lista
era: ***URL.2, a la que se accede el 27/07/2020 y figura que no existe, no obstante, se accede
a ***URL.1, y se halla publicado un listado ordenado, con 140, con datos de apellidos y
nombre, NIF solo cuatro cifras, conteniendo día de llamada, hora y resultado de llamada,
acepta, la localidad, o trabaja ERA. Se trata de resolución ***RESOLUCIÓN.1 BOPA
***BOPA.1, “entrara en funcionamiento 1/11/15”. Es el mismo listado objeto de la reclamación.
Supuestamente, este listado de 2015 habrá cumplido su función, por lo que en aplicación del
principio de “limitación de plazo de conservación”, permanecen datos más tiempo del necesario
para los fines del tratamiento, salvo acreditación en contra. Se ignora si existen más listados
similares pero les sería aplicable el mismo principio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
1) El reclamante manifiesta que varias hojas tipo listado excel tituladas “LISTA DE
EMPLEO ATS, resolución ***RESOLUCIÓN.1 BOPA ***BOPA.1 entra en funcionamiento
1/11/15”, conteniendo número de orden, hasta el 140, número de ejercicios aprobados ( 1 o
2) , nota, NIF, apellidos y nombre, teléfono, móvil y fijo con las casillas marcadas en los
números 1 a 6 y observaciones sobre la vacante, han estado expuestas en la sede electrónica
del Principado de Asturias. En hoja que continua, se contienen “Zonas”, día de llamada, hora,
resultado llamada. En observaciones figuran fechas de referencia como anteriores a 4/11/2015
y anotaciones sobre cada persona, cese, vacante previa, trabaja etc., acepta RIAÑO, no acepta
exclusión, fechas llamada 4/10/2018 como más cercana.
2) Con fecha 4/01/2019 se acredita que existe en la sede electrónica del Principado una
opción en ofertas de empleo público, con “buscar oposiciones” o “bolsa de trabajo”. Efectuada
búsqueda por ATS, figura la lista empleo ATS ERA 2015, personal laboral, bolsa de trabajo
ERA. Al pinchar en el pdf figura la anotación “ LISTA DE EMPLEO ATS, Resolución
***RESOLUCIÓN.1 BOPA ***BOPA.1 entra en funcionamiento 1/11/15” “listado no disponible
actualmente, en breve subsanaremos el problema.” El reclamado confirma en escrito de
24/01/219 que el listado fue bloqueado, sin embargo , a 27/07/2020, si estaba disponible en la
sede en la url ***URL.1, el mismo listado objeto de la reclamación con apellidos y nombre, NIF
solo cuatro cifras, conteniendo día de llamada, hora y resultado de llamada, acepta, la
localidad, o trabaja ERA . Además de contenerse datos que no se prevén en norma o
disposición alguna, día de llamada, hora y resultado de llamada, acepta, la localidad, o trabaja
ERA propios de la gestión de la bolsa de trabajo, supuestamente, este listado de 2015 habrá
cumplido su función, por lo que en aplicación del principio de “limitación de plazo de
conservación”, no se acredita su vigencia.
3) Como señaló la delegada de protección de datos de la Consejería de Presidencia y
participación, se puede efectuar en la sede electrónica una búsqueda con el término “ “auxiliar
enfermería”, resultando un listado pdf “personal laboral proceso selectivo lista empleo era Aux
enfermería 2015 PDF” entrará en funcionamiento 13/05/2015 resolución ***RESOLUCIÓN.3,
BOPA ***BOPA.4 con días llamada “12/01/2016” con un listado de 10 empleados con apellidos
y nombre, NIF, nota, número en bolsa, zonas, resultado llamada. En esa misma pantalla hay
otras bolsas como por ejemplo la de AUXILIAR Educador que muestra datos similares,
aludiendo a la “lista empleo auxiliar educador, OEP 2016, resolución ***RESOLUCIÓN.2, BOPA
***BOPA.3, toma posesión 10/09/2018” y un listado tipo Excel con datos de cuatro personas,
con nombres y apellidos, nif, nota , fecha llamada 10/09/2018. También se verifica en el curso
de este expediente, que accediendo el 9/03/2020 a la sede electrónica del Principado de
Asturias, en el apartado oferta de empleo Público y se aprecia que existen datos personales:
DNI completo, nombre y apellidos y si trabajó o no, y si acepta la propuesta de trabajo, en
listados de convocatorias de 2005 que presumiblemente han cumplido su función. A título de
ejemplo, figura Listado empleo de diplomado en enfermería resolución ***RESOLUCIÓN.4
BOPA ***BOPA.5 que presumiblemente ya ha cumplido su función.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
4) El reclamado no ha informado “de las medidas implantadas para que listados con datos
personales de ofertas de empleo o bolsas de trabajo no sean visibles cuando se haya cumplido
su finalidad, plazo de exposición y bloqueo de datos.” que se contenía en la propuesta.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la
Agencia Española de Protección de Datos es competente para iniciar y para resolver este
procedimiento.
II
Se plantea una primera cuestión que el listado del BOE es de 10 personas, el que
aparece objeto de la denuncia es de 140. No se ha dado razón del tipo, finalidad y legitimación
de la exposición de los 140 integrantes del listado, pues no aparece relacionado con el BOPA.
No existe base legitimadora para la citada exposición por lo que se imputó a reclamado la
infracción del artículo 6.1 del RGPD que señala: ”Licitud del tratamiento””1. El tratamiento solo
será lícito si se cumple al menos una de las siguientes condiciones:” enumerando distintas, no
concurriendo ninguna de ellas para el tratamiento llevado a cabo en la página señalada tal
como se ha efectuado.
Si bien se imputaba una infracción del artículo 6.1 del RGPD, en la propuesta de
resolución se cambia la calificación de la infracción, pues se considera más adecuado tipificar
los hechos objeto de la denuncia como incardinados en el artículo 5.1 a). Así, la exposición y
publicación de los listados con los datos: DNI, nombre y apellidos, y números de teléfonos fijos
y/o móviles, y resultados de las llamadas con anotaciones, en la sede electrónica del
Principado de Asturias con acceso para cualquier persona, supone una infracción del citado
artículo, al no haber legitimación para el conjunto de elementos que están publicados,
añadiéndose además que podría tratarse de un proceso ya finalizado desde 2015 y
permanece expuesto.
El artículo 5.1.a) del RGPD indica: “Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
El documento expuesto más bien podría calificarse de un documento interno de
gestión, al contenerse como bloque, datos que no han de exponerse para darles la publicidad
que busca la concurrencia de los procesos, si se trata de bolsas de empleo o cualquier otro
proceso selectivo. Tras el desarrollo de las pruebas parece que se confecciona un listado sobre
el que se producen anotaciones, y en ningún caso existe habilitación legal para exponer en una
web, en sede electrónica dicho listado a conocimiento de terceros. Pudo deberse a un error que
denota falta de diligencia. No existe pues, causa alguna legitimadora que habilite la exposición
de los datos en sede electrónica abierta tal como se dio, una especie de documento de gestión
del proceso que no guarda relación ni con calificaciones ni con trasparencia al sobrepasar
dichos elementos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
Además, como principio básico del RGPD, a la hora de tratar los datos, siempre se ha
de optar por los datos mínimos necesarios para el grupo de afectados para alcanzar su fin. Se
acredita pues la comisión de la infracción del artículo 5.1. a) del RGPD.
Asimismo, se ha de entender que los listados no deberían permanecer en la página al haber
cumplido su finalidad y el reclamado no justifica motivos de que en la tramitación de este
procedimiento pervivían esos listados, aunque fuera con el DNI incompleto.
III
El artículo 83.5 del RGPD
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento
a tenor de los artículos 5, 6, 7 y 9;”
IV
El artículo 72 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y
garantía de los derechos digitales (en lo sucesivo LOPDGDD) señala:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías establecidos
en el artículo 5 del Reglamento (UE) 2016/679.”
V
El artículo 83.7 del RGPD indica:
“Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del
artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en
qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos
en dicho Estado miembro”
El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los
siguientes poderes correctivos indicados a continuación:
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado”.
El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades
públicas, tal como se indica en el artículo 77.1. c) y 2. 4. 5. y 6. de la LOPDDGG: “1. El
régimen establecido en este artículo será de aplicación a los tratamientos de los que sean
responsables o encargados:
c) La Administración General del Estado, las Administraciones de las comunidades
autónomas y las entidades que integran la Administración Local.
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna
de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad
de protección de datos que resulte competente dictará resolución sancionando a las mismas
con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para
que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al órgano del que
dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de
interesado, en su caso.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan
en relación con las medidas y actuaciones a que se refieren los apartados anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las
comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de
este artículo.
6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta
publicará en su página web con la debida separación las resoluciones referidas a las entidades
del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o
encargado del tratamiento que hubiera cometido la infracción.”
Por lo tanto, de acuerdo con la legislación aplicable,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a ESTABLECIMIENTOS RESIDENCIALES DE ANCIANOS DE
ASTURIAS, con NIF Q8350062I, por una infracción del artículo 5.1 a) del RGPD, de
conformidad con el artículo 83.5 del RGPD, una multa de APERCIBIMIENTO, de conformidad
con el artículo 58.2.b) del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a ESTABLECIMIENTOS RESIDENCIALES DE
ANCIANOS DE ASTURIAS.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
TERCERO: ESTABLECIMIENTOS RESIDENCIALES DE ANCIANOS DE ASTURIAS deberá
acreditar en cumplimiento del artículo 58.2.d) del RGPD las medidas implantadas para que
listados los datos personales de ofertas de empleo o bolsas de trabajo no sean visibles cuando
se haya cumplido su finalidad, plazo de exposición y bloqueo de datos.”.
CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad
con lo establecido en el artículo 77.5 de la LOPDGDD.
QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados
podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la
notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala
de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el
artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07,
reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar
desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a
la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de
la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es