1/24
Procedimiento Nº: PS/00374/2018
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en
base a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 1/08/2018 interpuso reclamación
ante la Agencia Española de Protección de Datos contra la JUNTA DE ANDALUCIA
(CONSEJERÍA DE EDUCACIÓN) (en adelante, el reclamado).
Los motivos en que basa la reclamación son que “Tras realizar las pruebas de
acceso al cuerpo de profesores de educación secundaria en la convocatoria efectuada en la
Orden de 5/04/2018. La publicación de las correspondientes calificaciones obtenidas por los
aspirantes, en ambas partes de la oposición, se realizaron de forma física en las sedes de
las especialidades y en el portal de la Consejería de forma digital.
En la publicación física de las calificaciones se detallaba el nombre, apellidos y DNI
completos de cada uno de los aspirantes. Y en la consulta digital también eran visibles los
mismos datos de cada uno de los aspirantes.
Además tanto en la fase de oposición como la de concurso, las consultas
individualizadas que se podían realizar ya, fuera, de las calificaciones o expediente del
aspirante no requerían de ninguna seguridad ni verificación de persona, mostrando esa
información méritos y datos privados y personales sobre la vida laboral y formación de cada
uno de los aspirantes.”
Acompaña;
-En un tablón de corcho aparece fijada una hoja de la Junta de Andalucía/Consejería
de Educación, con listado de aspirantes que no han superado la primera prueba, en las
pruebas de profesores de enseñanza secundaria, técnicos de formación profesional, EOI…,
de 3/07/2018, pág. 2 de 2, constando DNI, apellidos y nombre y calificaciones de la parte A
y parte B.
-Otra hoja con la publicación, según manifiesta, física, de la segunda prueba en la
que aparecen los datos del reclamante en el” listado de aspirantes que han superado la
segunda prueba.”
-Una tercera hoja de 20/07/2018, con los mismos datos, referidos a los que han
superado la fase de oposición, en un tablón de corcho, constando el reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/24
-Copia de la impresión de la publicación digital de las calificaciones obtenidas,
extraída de:
***URL.1, de calificaciones de la primera y segunda fase, especialidad sistemas
electrónicos, con la calificación de la prueba 1 en su parte práctica y tema, y de la dos, y la
nota de oposición con los dato sede nif, nombre y apellidos y numero de aspirante.
-Copia el menú que permite la opción de consulta individualizada existente en la web de la
Junta, extraída de:
***URL.2, en la que figura el título “consulta individualizada”, y expresamente en la casilla
pone “NIF”, como medio de introducir los datos para la consulta. Introduciendo el mismo, y
habiéndose expuesto en las distintas fases los DNIS completos de los participantes, se
puede visionar la consulta individualizada de los méritos.
SEGUNDO: La Orden de 5/04/2018, por la que se efectúa la convocatoria de
procedimientos selectivos para el ingreso en los Cuerpos de Profesores de Enseñanza
Secundaria, Profesores Técnicos de Formación Profesional, Profesores de Escuelas
Oficiales de Idiomas, Profesores de Artes Plásticas y Diseño, Maestros de Taller de Artes
Plásticas y Diseño y acceso al Cuerpo de Profesores de Enseñanza Secundaria y al Cuerpo
de Profesores de Artes Plásticas y Diseño aparece en el BOJA 13-04).
En el punto 8.1.1 se indica:
“Por resolución de cada tribunal se publicarán las calificaciones de la primera prueba en el
tablón de anuncios de la sede del mismo, en el de la Delegación Territorial de Educación en
cuyo ámbito se ubique el tribunal y, a efectos meramente informativos, en el portal web de la
Consejería de Educación, debiendo remitirse una copia de dichas calificaciones a la
correspondiente comisión de selección.”
Y en el 8.1.3.” Calificación final de la fase de oposición.”
“La calificación de la fase de oposición será la media aritmética de las puntuaciones
obtenidas en las dos pruebas superadas, ambas valoradas de 0 a 10 puntos.
Por resolución de cada tribunal se publicarán en el tablón de anuncios de la sede del mismo,
en el de la Delegación Territorial de Educación en cuyo ámbito se ubique el tribunal y, a
efectos meramente informativos, en el portal web de la Consejería de Educación, las
calificaciones de las distintas partes de la prueba, remitiendo una copia a la correspondiente
comisión de selección.”
TERCERO: Con fecha 6/11/2018, por la directora de la AEPD admitió a trámite la
reclamación.
CUARTO: Con fecha 23/05/2019, la directora de la AEPD acordó
“INICIAR PROCEDIMIENTO SANCIONADOR de APERCIBIMIENTO a
CONSEJERÍA DE EDUCACIÓN (JUNTA DE ANDALUCIA), , por la presunta
infracción del artículo 5.1.c) y del artículo 5.1.f) del RGPD de conformidad con el
artículo 83.5 del mismo.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/24
QUINTO Con fecha 24/06/2019 la reclamada efectúa alegaciones, indicando:
1) En la fecha en que se publicaron los datos no estaba vigente la LOPDDGD.
2) Se trata de un proceso de concurrencia competitiva en el que se ha de asegurar la
publicidad de la convocatoria y de sus bases, y transparencia del mismo, conforme señalan
los principios básicos de acceso a la función pública y se contienen en la Constitución
Española y en el Estatuto básico de la función Pública.
Como ejemplo de prevalencia de estos principios de transparencia y publicidad sobre el de
protección de datos, alude al informe del Gabinete Jurídico de la AEPD 358/2015 y a la
sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de
26/04/2012 que trata: antecedente de hecho primero: “Con fecha de 15/09/2008 se formula
denuncia por Pablo sobre la base de que el Tribunal Calificador de las Pruebas Selectivas
para Educadores Sociales del Grupo II de Personal Laboral, publicada en ORDEN 22-12-
2006 convocadas por la Consejería de Presidencia de la Junta de Extremadura ha facilitado
a la FSP-UGT los datos personales con las notas (del segundo ejercicio) de los opositores
(tanto de los aprobados como de los suspendidos). La FSP-UGT utiliza dichos datos para
informar telefónicamente a los opositores acerca de la nota obtenida, facilitándola a quien lo
solicite, con solo dar el nombre de la persona”, reproduciéndose por considerarlo de interés
el fundamento jurídico segundo que indica:
SEGUNDO
“ Esta sala se ha pronunciado en el recurso 215/2010 en relación con estos hechos con
ocasión de la sanción impuesta al sindicato que supuestamente filtró la información relativa
al resultado de la oposición y con relación al que la Agencia consideró que se había
cometido una infracción relativa al tratamiento de datos sin consentimiento.
Entendió la sala en dicha sentencia que nos encontrábamos ante un supuesto en el que
no era exigible el consentimiento para el tratamiento de los datos personales sobre la base
del siguiente razonamiento:
<<Por lo tanto, una de las excepciones a la exigencia de consentimiento para el
tratamiento de datos es el de la colisión con intereses generales ó con otros derechos de
superior valor que hagan decaer la protección de datos por la preferencia que deba
concederse a ese otro interés.
En el caso presente, al tratarse de un procedimiento de concurrencia competitiva
debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la
Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con
los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con
sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que
"La Ley regulará el estatuto de los funcionarios públicos, el acceso a la función pública de
acuerdo con los principios de mérito y capacidad ..." (todo ello en relación con lo previsto en
el artículo 23 C.E . al que nos referiremos más adelante)
Obviamente, las garantías que exige el tratamiento de datos personales no pueden servir
para empañar ó anular estas exigencias generales que obligan a que los procesos se
conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La
superioridad de estos otros valores aconseja que en este caso se entienda que no era
exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente
en su comunicación por el sindicato ahora recurrente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/24
Desde este punto de vista, debemos concluir que no es exigible el consentimiento de
aquellas personas que participen en un procedimiento de concurrencia competitiva para el
tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y
exigencia de los demás participantes para asegurar la limpieza e imparcialidad del
procedimiento en el que concurren. (...)
Es cierto que la Ley Orgánica 15/1999 no recoge expresamente exenciones o
excepciones al régimen de tratamiento de datos personales en ella contenida con
fundamento en las garantías de transparencia de los procesos competitivos por lo que será
preciso ponderar los intereses en conflicto para poder determinar cuál de ellos debe
prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí
concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de
publicidad y transparencia del proceso competitivo sobre el derecho a la protección de
datos. (No es infrecuente que esta Sala debe realizar este tipo de ponderaciones ó
valoraciones; basta remitirse a la sentencia del recurso 331/205; DF 2/2010 o 862/2009).
Por lo tanto, será procedente la estimación del recuso y la anulación de la resolución
recurrida sobre la base de la prevalencia del interés general tomando en consideración que,
como es natural, solo se amparará dicho uso dentro de los fines relativos al mismo
procedimiento de concurrencia competitiva en aplicación de los límites que señala el artículo
4 de la LOPD (...)>>
Si el tratamiento de datos en cuestión (el que realizó el Sindicato al permitir la publicidad
de las calificaciones de uno de los ejercicios del proceso selectivo) se ha considerado
conforme a las exigencias de la LOPD, resulta evidente que no puede exigirse el
cumplimiento de medidas de seguridad en relación con datos cuya divulgación se ha
declarado como legitima por no estar vinculada a las garantías de la protección de datos
personales.
La prelación de derechos a la que se hizo mención en el razonamiento jurídico de la
sentencia dictada obliga a entender que no son aplicables las medidas de seguridad y que
habrían evitado la divulgación que, ya en esa sentencia, se afirmaba que no era contraria a
la LOPD.
SEXTO: Se incorpora al procedimiento el contenido del informe 358/2015 que se transcribe:
N/REF: 359710/2015
Examinada su solicitud de informe, remitida a este Gabinete Jurídico, referente a la consulta
planteada por la SUBDIRECCIÓN GENERAL DE PLANIFICACIÓN DE RECURSOS
HUMANOS Y RETRIBUCIONES DEL MINISTERIO DE HACIENDA Y ADMINISTRACIONES
PUBLICAS, cúmpleme informarle lo siguiente:
Se consulta si, de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de
diciembre, de Protección de datos de Carácter Personal, puede ejercitarse el derecho de
oposición reconocido en el artículo 17 de dicha norma a la publicación del nombre y
apellidos de candidatos en el desarrollo de un proceso selectivo para ingreso en un Cuerpo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/24
de la Administración Pública, fundamentado en que la participación en el mismo puede dar
lugar a represalias por parte del empleador actual de los solicitantes.
La cuestión planteada ha sido objeto de estudio en informe de esta Agencia de 21 de julio
de 2012, cuyas conclusiones pueden resultar de aplicación al presente caso, por lo que a
continuación se transcribe el mismo:
“Se plantea en la presente consulta cuál es el criterio de esta Agencia sobre la solicitud de
un candidato de un procedimiento selectivo de que su nombre sea excluido de los listados
de admitidos y excluidos, y de valoración de méritos de dicho procedimiento, publicado en la
sede electrónica del organismo consultante.
La consulta se refiere a los datos de carácter personal en el marco de un
“procedimiento de empleo público”. No específica, por tanto, si se trata de procedimientos
que afectan a funcionarios o a personal laboral, ni determina si se está cuestionando sobre
procedimientos de acceso al empleo público o de promoción interna. En cualquier caso, sí
se indica que “la información incluye listados de admitidos, excluidos y valoraciones de
méritos con identificación de los candidatos”. Entendemos, por tanto, que en los listados de
admitidos, de excluidos y de valoración de méritos aparecen los nombres y apellidos de los
candidatos, desconociendo si aparece otra información.
Consideramos así, en primer lugar, que los listados a que se refiere la consulta incluyen
indudablemente datos de carácter personal, por cuanto se refieren al nombre y apellidos,
pudiera ser que el DNI o el número de registro personal, así como la circunstancia de
participar en un procedimiento selectivo de empleo público, el ser o no admitido, así como
los resultados de las distintas fases del proceso selectivo incluyendo la valoración de
méritos de la fase de concurso si ha hubiera. Previsiblemente se referirán también a los
resultados definitivos del procedimiento selectivo. Se trata, por tanto, de datos que caen
dentro de la definición de datos de carácter personal consagrada en el art. 3.a) LOPD como
“cualquier información concerniente a personas físicas identificadas o identificables”.
Se plantea si cabe atender el derecho de oposición del afectado. El derecho de
oposición resulta del artículo 6.4 LOPD que establece: “En los casos en los que no sea
necesario el consentimiento del afectado para el tratamiento de los datos de carácter
personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su
tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación
personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos
relativos al afectado”.
El artículo 6.4 LOPD aparece desarrollado por los artículos 34 a 36 RDLOPD. El art. 34
RDLOPD define el derecho de oposición en los siguientes términos:
“El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento
de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
a) Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de
la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal,
que lo justifique, siempre que una Ley no disponga lo contrario.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/24
b) Cuando se trate de ficheros que tengan por finalidad la realización de actividades de
publicidad y prospección comercial, en los términos previstos en el artículo 51 de este
Reglamento, cualquiera que sea la empresa responsable de su creación.
c) Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado
y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en
los términos previstos en el artículo 36 de este Reglamento”.
Considerando que los apartados b) y c) de este artículo son totalmente ajenos al supuesto
planteado, ahondaremos en el estudio del primer supuesto.
Además, queremos especificar que el derecho de oposición deberá ejercitarse en los
términos del artículo 35 RDLOPD, mediante solicitud dirigida al responsable del tratamiento,
haciendo constar los motivos fundados y legítimos relativos a la concreta situación personal,
debiendo resolverse la solicitud en el plazo de diez días; transcurrido dicho plazo sin que de
forma expresa se responda a la petición, podrá interesarse la tutela ante esta Agencia en los
términos del art. 18 LOPD.
II
En este sentido, procede estudiar si concurren todos los requisitos para atender el ejercicio
del derecho de oposición al tratamiento de datos. En primer lugar, comenzaremos indicando
que la publicación de listados de admitidos y excluidos y la valoración de méritos constituye
una verdadera cesión, de conformidad con la definición del artículo 3.i) LOPD como “toda
revelación de datos realizada a una persona distinta del interesado”. Y la cesión queda
englobada dentro del concepto de tratamiento de datos de conformidad con el artículo 3.c)
LOPD y art. 5.1.t) del Reglamento de desarrollo de la LOPD aprobado por Real Decreto
1720/2007 de 21 de diciembre (RDLOPD).
Para que el art. 6.4 LOPD y el art. 34.a) RDLOPD sean de aplicación es necesario,
primero, que concurra un motivo legítimo y fundado, referido a la concreta situación personal
del afectado. Se trata, por tanto, de un elemento eminentemente casuístico, tal y como viene
manteniendo esta Agencia, como en informe de 18 de septiembre de 2006, que debe ser
estudiado en cada supuesto de hecho concreto, sin que pueda ofrecerse una respuesta
abstracta. En la consulta se menciona que el interesado pudiera ver dañado su futuro
profesional mediante las publicaciones en cuestión. Pues bien, habrá de analizarse cuál es
su profesión, y si en la misma pueden producirse los perjuicios invocados. En este sentido,
esta Agencia no dispone de datos suficientes para ponderar la concreta situación enjuiciada.
Pero es que, en segundo lugar, se exige que una ley no disponga lo contrario. La
materia de los procedimientos selectivos aparece presidida por los principios de
transparencia y publicidad. Partiendo del artículo 103 de la Constitución Española, el artículo
55 del Estatuto Básico del Empleado Público aprobado por Ley 7/2007 de 12 de abril señala
en su apartado segundo: “2. Las Administraciones Públicas, entidades y organismos a que
se refiere el artículo 2 del presente Estatuto seleccionarán a su personal funcionario y
laboral mediante procedimientos en los que se garanticen los principios constitucionales
antes expresados, así como los establecidos a continuación:
a) Publicidad de las convocatorias y de sus bases.
b) Transparencia.
c) Imparcialidad y profesionalidad de los miembros de los órganos de selección.
d) Independencia y discrecionalidad técnica en la actuación de los órganos de selección.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/24
e) Adecuación entre el contenido de los procesos selectivos y las funciones o tareas a
desarrollar.
f) Agilidad, sin perjuicio de la objetividad, en los procesos de selección”.
En materia de provisión de puestos de trabajo, el artículo 78 del EBEP también
consagra el principio de publicidad en los siguientes términos: “1. Las Administraciones
Públicas proveerán los puestos de trabajo mediante procedimientos basados en los
principios de igualdad, mérito, capacidad y publicidad”.
En su desarrollo, el Real Decreto 364/1995 de 10 de abril, de Ingreso del personal al
servicio de la AGE, provisión de puestos de trabajo y promoción profesional, señala en su
artículo 5 la aplicación del principio de publicidad; y así lo aplica a lo largo de su articulado,
como el art. 15 relativo a la publicación de las convocatorias de ingreso de funcionarios y
sus bases en el BOE, así como el art. 20 respecto de la publicación en el BOE de la
resolución aprobando la lista de admitidos y excluidos e indicando el lugar donde estarán
expuestas las listas oficiales. En este sentido, el art. 20.2 preceptúa: “2. Cuando el
procedimiento selectivo lo permita, no será preceptiva la exposición al público de las listas
de aspirantes admitidos, debiendo especificarse así en la correspondiente convocatoria. En
estos casos, la resolución, que debe publicarse en el «Boletín Oficial del Estado», deberá
recoger el lugar y la fecha de comienzo de los ejercicios, así como la relación de los
aspirantes excluidos con indicación de las causas y del plazo de subsanación de defectos”.
El artículo 22 también se refiere a la publicación de la lista de aprobados.
En lo que atañe a los procedimientos de promoción profesional, también se consagra
el principio de publicidad, tanto de la convocatoria como de la resolución, en el artículo 38
del RD 364/1995, así como particularizado en los artículos 42 y 52 del mismo Reglamento.
Además, al ser la consulta planteada por una Agencia Estatal, queremos destacar
que estos principios, incluyendo el de publicidad, son plenamente aplicables a los
procedimientos de provisión de puestos de trabajo de dichas agencias, de conformidad con
el artículo 20 de la Ley 28/2006 de 18 de julio de Agencias Estatales. Además, el artículo 19
de la misma dispone en su apartado 1: “La selección del personal al que se refiere el
artículo 18.1.c) se realiza mediante convocatoria pública y de acuerdo con los principios de
igualdad, mérito y capacidad, así como de acceso al empleo público de las personas con
discapacidad”. Principios también aplicables al personal laboral según el art. 19.2 de la
misma Ley.
Por su parte, el artículo 33 del Real Decreto 1403/2007, de 26 de octubre por el que
se aprueba el Estatuto de la AECID determina la aplicabilidad a dicha Agencia del artículo
55 EBEP antes citado, y por tanto los tan repetidos principios de publicidad y transparencia.
Vemos así que en los procedimientos selectivos, el principio de publicidad y
transparencia se torna en esencial, como garantizador del principio de igualdad. La
Audiencia Nacional ha ponderado el principio de publicidad con la protección de datos de
carácter personal, llegando a la conclusión que durante la tramitación del proceso selectivo
ha de prevalecer el primero. Así, en la reciente sentencia de 26 de abril de 2012 de la
Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, que
cita a su vez la recaída en el recurso 215/2010, señaló (el subrayado es nuestro): “Por lo
tanto, una de las excepciones a la exigencia de consentimiento para el tratamiento de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/24
es el de la colisión con intereses generales ó con otros derechos de superior valor que
hagan decaer la protección de datos por la preferencia que deba concederse a ese otro
interés.
En el caso presente, al tratarse de un procedimiento de concurrencia competitiva
debemos atender a lo que señala el artículo 103 de la Constitución cuando afirma que la
Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con
los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con
sometimiento pleno a la Ley y al Derecho. (párrafo 1) y cuando afirma en el párrafo 3 que
"La Ley regulará el estatuto de los funcionarios públicos, el acceso a la función pública de
acuerdo con los principios de mérito y capacidad ..." (todo ello en relación con lo previsto en
el artículo 23 C.E . al que nos referiremos más adelante.
Obviamente, las garantías que exige el tratamiento de datos personales no pueden
servir para empañar ó anular estas exigencias generales que obligan a que los procesos se
conduzcan cumpliendo unas mínimas exigencias de transparencia y publicidad. La
superioridad de estos otros valores aconseja que en este caso se entienda que no era
exigible el consentimiento del interesado para el tratamiento del dato de la nota consistente
en su comunicación por el sindicato ahora recurrente.
Desde este punto de vista, debemos concluir que no es exigible el consentimiento de
aquellas personas que participen en un procedimiento de concurrencia competitiva para el
tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y
exigencia de los demás participantes para asegurar la limpieza e imparcialidad del
procedimiento en el que concurren. (...)
Es cierto que la Ley Orgánica 15/1999 no recogía expresamente exenciones o
excepciones al régimen de tratamiento de datos personales en ella contenida con
fundamento en las garantías de transparencia de los procesos competitivos por lo que será
preciso ponderar los intereses en conflicto para poder determinar cuál de ellos debe
prevalecer. Efectuada dicha ponderación, y valorando las circunstancias que aquí
concurren, es claro para este Tribunal que debe prevalecer en este caso la garantía de
publicidad y transparencia del proceso competitivo sobre el derecho a la protección de
datos. (No es infrecuente que esta Sala debe realizar este tipo de ponderaciones ó
valoraciones; basta remitirse a la sentencia del recurso 331/205; DF 2/2010 o 862/2009).
Por lo tanto, será procedente la estimación del recuso y la anulación de la resolución
recurrida sobre la base de la prevalencia del interés general tomando en consideración que,
como es natural, solo se amparará dicho uso dentro de los fines relativos al mismo
procedimiento de concurrencia competitiva en aplicación de los límites que señala el artículo
4 de la LOPD (...)”.
Todo ello, claro está, siempre que se estén publicando datos cuyo tratamiento no sea
excesivo, puesto que el art. 4 LOPD señala en su primer apartado que: “los datos de
carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho
tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y
las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. En este
sentido, no cabría nunca ejercitar el derecho de oposición respecto de aquellos datos de
carácter personal que sean necesarios para el cumplimiento del principio de publicidad y
transparencia del proceso selectivo. Para ello habrían de examinarse por la entidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/24
consultante qué datos se están publicando y hasta qué punto los mismos son necesarios
para el cumplimiento de dichos principios. Puesto que esta Agencia desconoce en este
punto datos concretos, no puede pronunciarse. Pero en cualquier caso consideramos que
para cumplir el principio de publicidad deberá identificarse al interesado, así como la
circunstancia de ser o no admitido en la convocatoria; en su caso la causa de exclusión; así
como ofrecerse el dato de la valoración de los méritos. En cuanto a la valoración
individualizada de cada mérito, también es una materia sometida a una amplia casuística.
Pero es que, en tercer lugar, pudiera ser que tampoco se cumpliera la premisa básica del
derecho de oposición de que no sea necesario el consentimiento para el tratamiento de los
datos de carácter personal. Habrían de examinarse las bases de la convocatoria del
procedimiento selectivo en cuestión, pero si las mismas contienen la forma en que se
llevará a cabo la publicación de las diferentes fases de la convocatoria – indicando, por
ejemplo, la publicación de todas ellas en la sede electrónica, sin perjuicio de que, cuando la
normativa lo prevea, también deban ser publicadas en el BOE – puede entenderse que el
interesado está otorgando implícitamente su consentimiento para dicha publicación, y por
tanto para dicha cesión.
Es decir, el tratamiento de estos datos personales está basado en el consentimiento del
afectado, que ha suscrito una instancia para participar en el procedimiento selectivo de que
se trate, incluyendo sus datos personales; y la participación supone la aceptación de las
bases de la convocatoria, que se tornan en ley para el procedimiento selectivo. Por tanto, la
cesión que supone la publicación de los datos puede estar amparada por las propias bases
de la convocatoria del procedimiento selectivo en relación con el artículo 59.6.b) de la Ley
30/1992. Así se ha venido pronunciando esta Agencia, como en informes de 18 de abril de
2011 que cita a su vez el de 9 de abril de 2008. En este segundo afirmamos:
“No obstante, la comunicación de datos planteada, contenida en la notificación de la
resolución del procedimiento de admitidos, deberá considerarse como cesión de datos de
carácter personal, toda vez que el artículo 3 i) de la Ley Orgánica define aquélla como “toda
revelación de datos realizada a una persona distinta del interesado”. Si lo que pretenden es
la publicación de las mencionadas listas en tablones de anuncios de las dependencias del
…, la misma supone una cesión de datos de carácter personal, definida en el artículo 3 i ) de
la Ley Orgánica 15/1999, como “Toda revelación de datos realizada a una persona distinta
del interesado”.
En relación con la cesión de datos, el artículo 11.1 de la Ley dispone que “los datos
de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para
el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente
y del cesionario con el previo consentimiento del interesado”. Este consentimiento sólo se
verá exceptuado en los supuestos contemplados en el artículo 11.2, cuyo apartado a) prevé
la posible cesión inconsentida de los datos cuando una norma con rango de Ley así lo
disponga.
En el supuesto que se plantea, si las bases de la convocatoria para la admisión en la
…, prevén la publicación de las listas de admitidos y excluidos, incluidas las causas de la
exclusión, los participantes en las mismas habrán dado su consentimiento previo a la citada
cesión de sus datos cuando aceptaron las bases y efectuaron su solicitud de participación
en las mismas. En ese caso, podría entenderse implícitamente prestado el consentimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/24
con la aceptación de las bases de la convocatoria y sería correcta la publicación de los
referidos datos tal y como haya quedado reflejado en la misma convocatoria.
No obstante, lo dispuesto anteriormente debe ponerse en conexión con la obligación
de notificar a los interesados las resoluciones administrativas que afecten a sus derechos e
intereses, que establece el artículo 58 de la Ley 30/1992, de 26 de noviembre, de Régimen
Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.
En dicho precepto y en el artículo siguiente (artículo 59) se regulan taxativamente los
supuestos en que tal notificación se producirá de forma distinta a la notificación personal,
bien mediante la publicación de las resoluciones, bien mediante su publicación en el tablón
de edictos o de anuncios. Por tanto, procede analizar si, de acuerdo con la Ley Orgánica
15/1999, la previsión contenida en el artículo 59.- 6 de la Ley 30/1992, de 26 de noviembre,
puede considerarse norma habilitadora de la cesión, mediante publicación, de los datos
personales a que se refiere la Corporación consultante en su escrito.
De acuerdo con el mencionado precepto, referido a la “Práctica de la notificación”:
“Artículo 59. Práctica de la notificación. (...)6. La publicación, en los términos del artículo
siguiente, sustituirá a la notificación surtiendo sus mismos efectos en los siguientes casos:
a) Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o
cuando la Administración estime que la notificación efectuada a un solo interesado es
insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la
notificación efectuada. b) Cuando se trate de actos integrantes de un procedimiento
selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del
procedimiento deberá indicar el tablón de anuncios o medios de comunicación donde se
efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en
lugares distintos”.
Sin embargo, la propia Ley 30/1992, de 26 de noviembre, en su artículo 61, relativo a
la “Indicación de notificaciones y publicaciones”, dispone que: “Si el órgano competente
apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona
derechos o intereses legítimos, se limitará a publicar en el diario oficial que corresponda una
somera indicación del contenido del acto y del lugar donde los interesados podrán
comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del
mencionado acto y constancia de tal conocimiento”.
En conclusión, la publicación de las causas de exclusión será adecuada a la Ley
Orgánica 15/1999, sí en las bases de la convocatoria se hubiese establecido como se haría
pública los admitidos y excluidos, haciendo referencia a las causas de exclusión. No
obstante, sí el órgano consultante considera que la publicación de las causas de exclusión
lesiona derechos e intereses legítimos podrá optar por aplicar lo dispuesto en el artículo 61
de la Ley 30/1992, antes trascrito”
Por tanto, si en los procedimientos selectivos entendemos que se ha prestado, aunque sea
implícitamente, el consentimiento para el tratamiento de datos de carácter personal no cabrá
la aplicación del artículo 6.4 LOPD.
III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/24
Del apartado anterior de presente informe se desprende que mientras la publicidad sea
necesaria para el correcto desarrollo del proceso selectivo, habrá de mantenerse la misma,
sin que quepa atender el ejercicio del derecho de oposición con base en el artículo 6.4
LOPD, por las causas antes expresadas. Es decir, en este punto existe una ley que, al
consagrar el principio de publicidad, expresamente prevé el tratamiento de datos de carácter
personal, sin que pueda cesarse en el tratamiento para lograr el buen fin del proceso
selectivo. Y se entiende implícitamente otorgado el consentimiento para el tratamiento de
datos por la publicación en el procedimiento selectivo.
Ahora bien, la ley no especifica, para asegurar el cumplimiento del principio de publicidad,
ningún medio concreto, limitándose a señalar casos en que la publicación se realizará en el
BOE (fundamentalmente, convocatoria con las bases, lista de excluidos y la causa de
exclusión, relación de aprobados y nombramiento en el procedimiento selectivo de ingreso;
y convocatoria y resolución para los procedimientos de provisión de puestos de trabajo). Por
tanto, podrán existir casos en los que la forma de publicación por la que se ha optado pueda
considerarse excesiva. Así, podemos distinguir dos supuestos:
a) Fases de la convocatoria en los que la legislación prevea alguna forma de
publicación concreta. Ya hemos indicado supuestos concretos en los que la normativa prevé
la publicación en el Boletín Oficial del Estado. Es decir, en estos casos, la propia normativa
prevé fases de los procedimientos selectivos que obligatoriamente deberán estar publicados
en determinado medio. Si, por ejemplo, la convocatoria, las bases, la relación de excluidos
y la relación de aprobados son publicadas en el BOE, no existirá obstáculo para su
publicación en la página web del órgano convocante, puesto que ya gozan de una
publicidad superior.
b) Fases de la convocatoria en que la legislación no prevé expresamente la publicación
en algún medio concreto. Por ejemplo, la valoración de los méritos. En este caso, será de
aplicación el artículo 59.6 de la Ley 30/1992 de 26 de noviembre de Régimen Jurídico de
las Administraciones Públicas y del Procedimiento Administrativo Común que establece: “La
publicación, en los términos del artículo siguiente, sustituirá a la notificación surtiendo sus
mismos efectos en los siguientes casos: (…) b) Cuando se trata de actos integrantes de un
procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la
convocatoria del procedimiento deberá indicar el tablón de anuncios o medios de
comunicación donde se efectuarán las sucesivas publicaciones, careciendo de validez las
que se lleven a cabo en lugares distintos”.
Es decir, se prevé expresamente que sea la convocatoria del procedimiento la que
indique el medio de comunicación que se utilizará. Además, en este supuesto cabrá la
publicación en la sede electrónica, bien sustituyendo, bien complementando la publicación
en tablones de anuncios, por cuanto el artículo 12 de la Ley 11/2007 de 22 de junio de
Acceso Electrónico de los Ciudadanos a los Servicios Públicos señala: “La publicación de
actos y comunicaciones que, por disposición legal o reglamentaria deban publicarse en
tablón de anuncios o edictos podrá ser sustituida o complementada por su publicación en la
sede electrónica del organismo correspondiente”.
Ahora bien, la disponibilidad y accesibilidad de la sede electrónica a que se refiere el artículo
10.3 de la Ley 11/2007 citada no implica que quepa admitir de forma universal la indexación
de todo dato personal por parte de los motores de búsqueda.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/24
En su Informe de 4/04/2008, el Grupo de Trabajo del Artículo 29 de la Directiva 95/46/CE, de
25 de octubre de 1995, del Parlamento Europeo y del Consejo, relativa a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de éstos, ha analizado la situación legal en relación con la protección de datos
personales y los buscadores de Internet, llegando a la conclusión de que el período de
conservación de datos personales por parte de dichos buscadores no debería sobrepasar,
con carácter general, los seis meses de plazo.
Pero es que, más aún, en informe de esta Agencia de 5 de noviembre de 2010 ya se indicó
que cabía la posibilidad de limitar la indexación por parte de los motores de búsqueda de
datos de carácter personal, puesto que la publicidad “no es óbice para que el sistema [no]
deba establecer mecanismos que eviten o dificulten el acceso indiscriminado a la
información con fines distintos al conocimiento por el interesado de la notificación que se le
practica a través del tablón edictal”.
Podría plantearse así la posibilidad de prohibir la indexación de la información
contenida en la sede electrónica relativa a datos de carácter personal por parte de motores
de búsqueda. De este modo, sólo quienes accedan directamente al tablón edictal o a la
sede electrónica tendrán conocimiento de la información contenida en ellos, sin que una
simple búsqueda de los datos a través de un motor de búsqueda pueda ser suficiente para
el acceso al contenido de los datos personales de los afectados. Y ello no implica que la
sede electrónica no sea disponible o accesible, puesto que nos estamos limitando a indicar
que puede plantearse la no indexación por parte de los buscadores, con independencia de
que los datos sí aparezcan publicados en la sede electrónica que actuará como tablón de
anuncios. Es decir, nos estamos refiriendo a la utilización de herramientas técnicas e
informáticas del tipo «no robot» o cualquier otro tipo de medidas técnicas e informáticas que
resulten adecuadas dirigidas a evitar dicha indexación de contenidos con datos de carácter
personal. En este sentido ya se ha pronunciado esta Agencia, como en los informes de 28
de octubre y 5 de noviembre de 2010 y 17 de febrero de 2011. En el segundo de ellos
indicamos: “Por consiguiente, el ejercicio del derecho de oposición obliga a la
Administración actuante a realizar una valoración de la situación personal del afectado,
considerando si procede exceptuar dicho tratamiento. Si bien, con carácter general el
derecho de oposición no excluirá la publicación del acto si esta viene legalmente exigida,
esta Agencia ha venido apuntando, como solución en aquéllos supuestos en que se ejerce
el derecho de oposición frente a la publicación de un acto en el Boletín Oficial del Estado, la
adopción de medidas tecnológicas para evitar la indexación por servicios de búsqueda”.
IV
En tercer lugar, la consulta plantea si la eventual estimación del derecho de oposición
podría resolverse mediante la publicación del DNI de los candidatos. Por un lado, ya hemos
afirmado que no cabe estimar el derecho de oposición en aras de la publicidad y
transparencia de los procesos selectivos y de haberse prestado, aunque sea
implícitamente, el consentimiento para el tratamiento. Pero es que además lo que se
pretendería mediante al estimación del derecho de oposición sería la supresión del dato de
la identidad. El dato de la identidad sea mediante el nombre y apellidos, sea mediante el
DNI, será siempre esencial para determinar a qué candidato se están refiriendo
determinados parámetros (admisión o no en el procedimiento, resultados…), por lo que
nunca podrá considerarse como dato excesivo. Y si se hubiera elegido mal la forma de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/24
publicar los datos, deberían suprimirse todos los datos mal publicados, no sólo la
identificación del interesado.
Por otro lado, nos planteamos si con carácter general cabe la sustitución, en las diferentes
fases del procedimiento selectivo que vayan a ser publicadas, del nombre y apellidos por el
DNI.
Con carácter general, podrá sustituirse el nombre y apellidos por el DIN puesto que
el mismo tiene suficiente valor, por sí solo, para acreditar la identidad de las personas. La
cuestión ahora planteada ya fue resuelta en informe de 30 de junio de 2009 en los
siguientes términos: ““…resulta especialmente relevante el [principio] de proporcionalidad,
previsto en el artículo 4.1 de la Ley Orgánica, a cuyo tenor “Los datos de carácter personal
sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento,
cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las
finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”.
De la aplicación de este principio se desprende la necesidad de que la publicidad de
la información a la que se acaba de hacer referencia se extienda únicamente a los datos
necesarios para garantizar la transparencia en el proceso selectivo, sin incorporar los que
pudieran resultar excesivos para el logro de tal finalidad.
El artículo 1 del Real Decreto 1553/2005, de 23 diciembre, tras indicar en su
apartado 1 que “el Documento Nacional de Identidad es un documento personal e
intransferible emitido por el Ministerio del Interior que goza de la protección que a los
documentos públicos y oficiales otorgan las leyes. Su titular estará obligado a la custodia y
conservación del mismo”, añade en su apartado 2 que “dicho Documento tiene suficiente
valor, por sí solo, para acreditar la identidad y los datos personales de su titular que en él se
consignen, así como la nacionalidad española del mismo”.
En consecuencia, la indicación del número del documento nacional de identidad por
sí sola identifica suficientemente a su titular, sin que sea precisa la indicación de los datos
de carácter personal contenidos en el mismo, tales como su nombre y apellidos, por lo que
la utilización de dicho número en la publicación efectuada por la consultante en su página
web resultaría respetuosa con lo establecido en la Ley Orgánica 15/1999, a la que se remite
el Real decreto 248/2009.
En todo caso, debe indicarse, siguiendo lo sentado en esta materia por la Sala de lo
Contencioso-Administrativo de la Audiencia Nacional, que no quiere decirse que dicha
publicación no contenga datos de carácter personal, dado que el número del documento,
dado su carácter de identificador único del interesado, tiene tal carácter, sino que al incluirse
dicho número sin indicación del nombre y apellidos de su titular se está dando adecuado
cumplimiento al principio de proporcionalidad y al sometimiento a la Ley Orgánica 15/1999
de la publicidad realizada, que se encuentra amparada en el artículo 11.2 a) de la Ley
Orgánica 15/1999, en conexión con el artículo 55.2 del Estatuto Básico del Empleado
público y las normas reglamentarias reguladoras de los procesos de selección.
Por consiguiente, sí sería posible atender la petición del candidato que solamente quiere ver
publicado el número de su DNI”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/24
SÉPTIMO: Con fecha 10/12/2019 se emite propuesta de resolución con el literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione
con APERCIBIMIENTO a la JUNTA DE ANDALUCIA (CONSEJERÍA DE EDUCACIÓN), con
NIF S4111001F, por una infracción del artículo 5.1.c) y 5.1.f) del RGPD, de conformidad con
el artículo 83.5 y 58.2.b) del RGPD.
INFORMEN de las medidas adoptadas para adecuar el tratamiento de datos en los
procesos selectivos internos con el fin de no volver a infringir el artículo 5.1.c) y 5.1.f) del
RGPD.”
OCTAVO: Con fecha 3/01/2019 se reciben alegaciones de la reclamada que indica:
- Se van a ajustar cuando publiquen datos personales en procesos selectivos a lo
dispuesto en la disposición adicional séptima de la LOPDGDD y las instrucciones de
aplicación provisional para las notificaciones por medio de anuncios y publicaciones de
actos administrativos. “Los procesos desarrollados en 2019 ya se han sometido a esas
orientaciones.”. Además, van a implementar medidas para el acceso a la información de
datos en el tratamiento para que solo el personal participante acceda a la información de
cada proceso selectivo.
HECHOS PROBADOS
1) El reclamante participó en la convocatoria pública del procedimiento selectivo
convocado por la Junta de Andalucía por Orden de 5/04/2018 para ingreso en los Cuerpos
de Profesores de Enseñanza Secundaria, Profesores Técnicos de Formación Profesional,
Profesores de Escuelas Oficiales de Idiomas, Profesores de Artes Plásticas y Diseño,
Maestros de Taller de Artes Plásticas y Diseño y acceso al Cuerpo de Profesores de
Enseñanza Secundaria y al Cuerpo de Profesores de Artes Plásticas y Diseño, publicado en
el BOJA de 13-04-2018. En la misma se indicaba en el punto 8.1.1 que “Por resolución de
cada tribunal se publicarán las calificaciones de la primera prueba en el tablón de anuncios
de la sede del mismo, en el de la Delegación Territorial de Educación en cuyo ámbito se
ubique el tribunal y, a efectos meramente informativos, en el portal web de la Consejería de
Educación, debiendo remitirse una copia de dichas calificaciones a la correspondiente
comisión de selección.” , y en el 8.1.3 que en los mismos espacios y sujetos, se publicaran
las calificaciones de las distintas partes de la prueba.
2) La forma de llevarlo a efecto, en cuanto a la publicación, se instrumenta mediante
la publicación de DNI completo y nombre y apellidos (figurando entre otros los del
reclamante) y las calificaciones de las distintas partes de los ejercicios.
Así, se acredita la exposición de la sede física del Tribunal 1 de Sevilla:
En papel (3/07/2018 aspirantes que no han superado la primera prueba, con las notas de
la parte A y de la parte B
En papel, listado de los que “han superado la segunda prueba” con las notas de la parte A
y parte B, y
Listado en papel de “aspirantes que han superado la fase de oposición de 20/07/2018”
con notas de prueba 1, prueba 2 y FASE OPOSICION.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/24
Los mismos listados se expusieron en la web de la Consejería de Educación de la Junta
de Andalucía.
Se ignora si los listados en papel se hallaban en alguna habitación con acceso especifico
para su consulta o en otro lugar de posible acceso para cualquier persona.
3) La página ***URL.2 ofrecía, a 1/08/2018, la posibilidad por estar así configurada, de
introducir el NIF, pulsar enviar y tener acceso por cualquier persona a la consulta
individualizada de baremo de méritos, en este caso para oposiciones 2018, “Enseñanza
secundaria, formación profesional, escuelas oficiales de idiomas y escuelas de arte,
resolución baremo provisional”. Figurando publicados previamente listados con los números
de DNis completos, se pueden consultar todos los méritos alegados y valorados por su
titular, pero también por cualquier persona que no sea el afectado, al conocerse a través de
la propia web de la reclamada los datos del DNI a través de los listados de las calificaciones
de los participantes.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la
Agencia Española de Protección de Datos es competente para resolver este procedimiento.
II
La Ley 39/2015 establece en el artículo 40.5
“Las Administraciones Públicas podrán adoptar las medidas que consideren
necesarias para la protección de los datos personales que consten en las resoluciones y
actos administrativos, cuando éstos tengan por destinatarios a más de un interesado.”
El artículo 45 de la misma norma destaca:
“1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las
normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés
público apreciadas por el órgano competente.
En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los
efectos de la notificación, en los siguientes casos:
b) Cuando se trate de actos integrantes de un procedimiento selectivo o de
concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento
deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de
validez las que se lleven a cabo en lugares distintos.
3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual
sea la Administración de la que proceda el acto a notificar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/24
4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones
que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o
edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente.”
En consonancia con el principio de la limitación de datos en el tratamiento a los
meramente indispensables, es posible en primer lugar, que la publicación de cada
resultado de los ejercicios que se vayan celebrando, se circunscriba a los afectados con
por ejemplo, consultas especificas con atribución de claves y contraseñas que se pueden
generar con la presentación de la solicitud, o a través de confirmación en envíos por correo
electrónico, entre otras posibles. De este modo, la publicación, que atañe a los que
participan y sirve de notificación, cumple realmente la función de ir destinada a la concreta
persona/participante en el proceso, únicos interesados en el desarrollo transparente del
proceso.
En segundo lugar, caso de que se publicara en la web en abierto para cualquier
persona, no sería preciso que figurase el doble identificador DNI completo/nombre y
apellidos.
El diseño de la minimización de datos se ha plasmado en la LOPDGDD, (BOE
6/12/2018) que en su “Disposición adicional séptima: sobre Identificación de los
interesados en las notificaciones por medio de anuncios y publicaciones de actos
administrativos” indica:
1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos
personales del afectado, se identificará al mismo mediante su nombre y apellidos,
añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad,
número de identidad de extranjero, pasaporte o documento equivalente. Cuando la
publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán
alternarse.
Cuando se trate de la notificación por medio de anuncios, particularmente en los
supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1/10 , del
Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al
afectado exclusivamente mediante el número completo de su documento nacional de
identidad, número de identidad de extranjero, pasaporte o documento equivalente.
Cuando el afectado careciera de cualquiera de los documentos mencionados en los
dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y
apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con
el número completo del documento nacional de identidad, número de identidad de
extranjero, pasaporte o documento equivalente.
2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará
la elaboración de un protocolo de colaboración que defina procedimientos seguros de
publicación y notificación de actos administrativos, con la participación de los órganos
con competencia en la materia.”
El precepto ha sido objeto de una recomendación de carácter provisional hasta el
momento en el que los órganos de gobierno y las administraciones públicas competentes
aprueben disposiciones para la aplicación de la mencionada Disposición Adicional
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/24
séptima. Su objetivo es tratar de evitar que la adopción de fórmulas distintas en
aplicación de la citada disposición pueda dar lugar a la publicación de cifras numéricas de
los documentos identificativos en posiciones distintas en cada caso, posibilitando la
recomposición íntegra de dichos documentos.
Por su interés se transcribe la citada recomendación de 4/03/2019, titulada:
“ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN
ADICIONAL SÉPTIMA DE LA LOPDGDD”
“En la Agencia Española de Protección de Datos, la Autoridad Catalana de
Protección de Datos, la Agencia Vasca de Protección de Datos y el Consejo de
Transparencia y Protección de Datos de Andalucía se han recibido múltiples consultas
sobre la aplicación de lo establecido en el primer párrafo del apartado primero de la
disposición adicional séptima “Identificación de los interesados en las notificaciones por
medio de anuncios y publicaciones de actos administrativos” de la Ley Orgánica 3/2018,
de 5/12, de Protección de Datos Personales y garantía de los derechos digitales.
Esta circunstancia ha aconsejado que, con el fin de facilitar un criterio práctico,
dichas autoridades propongan una orientación para la aplicación provisional de garantías
de protección de la divulgación del documento nacional de identidad, número de
identidad de extranjero, pasaporte o documento equivalente de los interesados.
Para ello, han seleccionado aleatoriamente el grupo de cuatro cifras numéricas
que se van a publicar para la identificación de los interesados en las publicaciones de
actos administrativos. El procedimiento para la determinación de forma aleatoria de las
cuatro cifras numéricas a publicar del código de identificación de un interesado se realizó
mediante el proceso de selección aleatoria en una bolsa opaca de una bola de entre
cinco bolas numeradas del 1 al 5, realizado el 27/02/2019 en la AEPD.
La bola resultante fue la número 4, por lo tanto:
La publicación de documento nacional de identidad, número de identidad de
extranjero, pasaporte o documento equivalente podrá realizarse de la siguiente forma:
• Dado un DNI con formato 12345678X, se publicarán los dígitos que en el formato
ocupen las posiciones cuarta, quinta, sexta y séptima. En el ejemplo: ***4567**.
• Dado un NIE con formato L1234567X, se publicarán los dígitos que en el formato
ocupen las posiciones, evitando el primer carácter alfabético, cuarta, quinta, sexta y
séptima. En el ejemplo: ****4567*.
• Dado un pasaporte con formato ABC123456, al tener solo seis cifras, se publicarán los
dígitos que en el formato ocupen las posiciones, evitando los tres caracteres alfabéticos,
tercera, cuarta, quinta y sexta. En el ejemplo: *****3456.
• Dado otro tipo de identificación, siempre que esa identificación contenga al menos 7
dígitos numéricos, se numerarán dichos dígitos de izquierda a derecha, evitando todos
los caracteres alfabéticos, y se seguirá el procedimiento de publicar aquellos caracteres
numéricos que ocupen las posiciones cuarta, quinta, sexta y séptima.
Por ejemplo, en el caso de una identificación como XY12345678AB, la publicación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/24
sería: *****4567***.
• Si ese tipo de identificación es distinto de un pasaporte y tiene menos de 7 dígitos
numéricos, se numerarán todos los caracteres, alfabéticos incluidos, con el mismo
procedimiento anterior y se seleccionarán aquellos que ocupen las cuatro últimas
posiciones. Por ejemplo, en el caso de una identificación como ABCD123XY, la
publicación sería: *****23XY.
• Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación,
se sustituirán por un asterisco por cada posición.”
Por tanto, además de introducir en general las mencionadas medidas, en función
de si debe afectar solo a un colectivo, si se ha de publicar o notificar algún acto, y si se
considera que ha de afectar solo a un grupo cerrado del colectivo, se ha de tener en
cuenta además de estas referencias, una diligencia especial por la posible identificación o
identificabilidad a través de otras referencias directas o indirectas que no sean nombre y
apellidos o NIF y que permitan identificar a la persona.
Pretender como manifiesta la reclamada, que deben prevalecer la transparencia y
publicidad general exponiendo en abierto con plena identificabilidad de listados de
admitidos/excluidos, o resultados de partes de las pruebas o ejercicios que se van
acometiendo, en todo momento y fase en abierto no es admisible. Resulta
desproporcionado y choca con el principio de minimización de datos, dada la finalidad que
se pretende, que es básicamente que sirva de sistema de notificación a los afectados que
participan en el procedimiento, y contribuya entre ellos a la transparencia en el desarrollo
de los ejercicios. Que el acceso se pueda producir por cualquier persona ajena a los
solicitantes es una sobreexposición de datos a terceros que carece de justificación y
excede de la finalidad propia de la finalidad del tratamiento de datos de los afectados.
Por consiguiente, el resto del público, los que no se participan en dichas pruebas,
carecen de una base legitima para el acceso a los datos de apellidos y nombre junto al NIF
completo de cada aspirante y de cada uno de los resultados de cada prueba que forma el
proceso selectivo.
El modo de proceder de la denunciada debería ser modificado en el sentido expuesto
en próximas actuaciones junto a la retirada de los datos si es que se publican en
abierto/universal de los listados para que no permanezcan más que un plazo adecuado y
razonable a la finalidad prevista que era en relación con procesos de 2018.
Los hechos consistentes en la exposición y publicación de todos los datos conjuntos,
DNI, nombre y apellidos y todas las calificaciones en los tablones físicos de las sedes y en la
web de la Junta, por parte del responsable del tratamiento, CONSEJERÍA DE EDUCACIÓN
(JUNTA DE ANDALUCIA), suponen una infracción del artículo 5.1.c) del RGPD que dispone:
“Los datos personales serán:
b) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados («minimización de datos»);
Este principio no es nuevo, pues en la LOPD se contenía con redacción similar
señalando:
Artículo 4.1: “Los datos de carácter personal sólo se podrán recoger para su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/24
tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes
y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y
legítimas para las que se hayan obtenido.”
En los procedimientos selectivos, los principios de publicidad y transparencia son
esenciales porque son la base de la igualdad, mérito y capacidad en el acceso a los
puestos. La norma refiere la publicidad sobre procedimientos y desarrollo de los ejercicios.
Publicidad quiere decir, en primer lugar, la de la convocatoria, que se publique en el
BOE, Diario Oficial o sede electrónica que corresponda, para conocimiento general y acceso
público a su contenido y sus bases.
En cuanto al objeto de la materia propiamente denunciada, una vez publicada la
convocatoria y recibidas las solicitudes de participación en la misma, comenzaría el proceso
de concurrencia competitiva, que como dice la palabra, debe predicarse de y para todos los
integrantes del grupo que aspiran a superar las pruebas convocadas, que compiten en
méritos y en capacidad unos contra otros.
En la convocatoria y en las bases no se refleja el detalle de lo que se va a exponer
en la web en cuanto a los listados de admitidos, excluidos etc., si va a ser solo el NIF, este
con el nombre y apellidos etc., o si se producirá la publicación solo para los afectados, solo
se indica que se va a publicar. En este sentido, siempre se ha de optar por los datos
mínimos necesarios para alcanzar su fin, y para el grupo de afectados.
Teniendo en cuenta que una vez publicada la convocatoria y las bases, los trámites
siguientes van a afectar a un círculo específico, determinado y cualificado que son los
solicitantes, siendo la exposición de datos dentro y para los integrantes de dicho círculo
adecuada, proporcionada y concorde con su finalidad, deviene en desproporcionada
cuando dichos datos resultan visibles para todo el mundo, pues no es necesario para la
finalidad de publicidad y transparencia que estos lo conozcan. Si bien se obtienen de
acuerdo con lo previsto en la convocatoria, para la gestión del proceso, entre los que resulta
aplicable la transparencia para los participantes o el derecho de acceso a los datos para los
interesados, hay que valorar que la convocatoria aunque no señale la forma y manera en
que se publicaran los datos, habría que ir en todo caso a afectar solo a los participantes en
el proceso y a publicar los menos datos posibles necesarios. No porque la convocatoria
establezca la publicación en tablones o web se autoriza a cualquier extensión de exposición
de datos y en cualquier condición de acceso generalizado.
La exposición de los datos se inicia en junio 2018 y a partir de esa fecha durante el
transcurso del proceso no se tuvo noticia de la fecha acreditada en que los listados se quitan
de la web y de los espacios físicos, pudiendo permanecer la infracción durante todo ese
periodo. Aunque los datos expuestos por la reclamada fueron anteriores a la entrada en
vigor que modifica el régimen de publicación de anuncios en diarios oficiales por la
LOPDDGG, lo cierto
Si bien la sentencia comentada indica que “ no es exigible el consentimiento de
aquellas personas que participen en un procedimiento de concurrencia competitiva para el
tratamiento de las calificaciones obtenidas en dicho procedimiento y ello como garantía y
exigencia de los demás participantes para asegurar la limpieza e imparcialidad del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/24
procedimiento en el que concurren. (...) lo que se está salvaguardando es para un círculo
bien predefinido de participantes, por lo que no cualquier forma de publicar los datos como
ha sucedido en esta reclamación puede darse por adecuada a los principios de la regulación
del principio de minimización de datos. No resulta de interés público conocer las
calificaciones de cada prueba que forma el proceso selectivo relacionando nombre y
apellidos y DNI completo. Si resultase proporcionado que solo los afectados tuvieran dicho
acceso, dado además que no es la calificación final, sino tramites del proceso.
Se debe indicar que el consentimiento no juega una baza decisiva en el tratamiento
de datos cuando es la administración pública, la que ostentando la gestión de intereses
generales, convoca procesos selectivos. A mayor abundamiento, el propio Reglamento
general de protección de datos pone de manifiesto que el consentimiento del afectado no
debe constituir la base legal del tratamiento en determinados supuestos. Así, el
considerando 42 señala en su última frase que “El consentimiento no debe considerarse
libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede
denegar o retirar su consentimiento sin sufrir perjuicio alguno” y el considerando 43 añade
que “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir
un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso
concreto en el que exista un desequilibro claro entre el interesado y el responsable del
tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo
tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias
de dicha situación particular”. La base legitima del tratamiento de las calificaciones no sería
el consentimiento.
En cuanto a la justificación de que los datos son de un proceso selectivo de
concurrencia competitiva, a los que se aplica el principio de transparencia, pudiendo
deducirse un conflicto con protección de datos de sus titulares, por la superioridad del
principio constitucional de transparencia y objetividad, se ha de indicar:
-Dada la situación técnica en que se están tratando los datos, se podría deducir que la
exigencia de reproducir todos esos datos en cualquier fase del proceso a los demás
participantes para asegurar la limpieza e imparcialidad del procedimiento en el que
concurren no se da solo para estos, sino que se comunican a cualquier persona ajena al
procedimiento que quiera entrar en dicha web o circular por el espacio de los anuncios y
realizar un completo seguimiento de identificación y pruebas y calificaciones obtenidas. Si a
ello se suma que cada año se ha repetido el proceso, se podrían estar obteniendo datos que
realmente no son necesarios para no participantes en el proceso de concurrencia.
- Si bien sería deseable la transparencia para el grupo de participantes en el proceso, en
todo caso, especialmente admitidos provisionales, también los listados deberían quitarse
cuando hayan surtido sus efectos, relacionándose que son puros actos tramite no han de
continuar figurando por tiempo indefinido
-Otra posibilidad es que si va a ser para conocimiento de cualquier persona se reduzcan
los datos, no poniendo el DNI completo.
La garantía de publicidad y transparencia del proceso competitivo sobre el derecho a
la protección de datos no se consigue por la publicación de modo general de todos los datos
en cada tramite en abierto, pues además la tecnología puede permitir que solo los afectados
sean los que en todo caso puedan conocer la identidad, con los datos adecuados y
necesarios para la finalidad que se trate.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/24
Si además un no interesado por no participar en el proceso quisiera acceder a algún
aspecto del procedimiento, estaría amparado por el derecho de acceso, previa acreditación
de que ostenta un interés digno de protección.
El conocimiento en cada ejercicio que forma el proceso de todos los datos con el DNI
entero y las notas de las fases que componen el procedimiento a cualquier persona es
excesivo y desproporcionado, cuando la transparencia se relaciona con los participantes en
el proceso, con el proceso mismo y con el resultado de la fase final. No se está valorando la
publicación de los resultados finales, es el proceso interno del desarrollo de los ejercicios,
en el que aparecen en todas y cada una de las fases para todo el público los datos
completos de nombre y apellidos y NIF.
Siendo lícita la publicación de las notas obtenidas, es preciso hallar una forma que
minimice los datos según la proporcionalidad y necesidad de la finalidad conforme a lo
indicado. Se podría pensar en un aula virtual solo accesible a los participantes en el
proceso, no con acceso a todos los datos sino a los necesarios. Deberá, por otro lado,
respetarse en todo caso los principios recogidos en el artículo 5 del RGPD, especialmente
los de limitación de la finalidad, minimización de datos, limitación del plazo de conservación,
integridad y confidencialidad, realizando la publicación de modo que suponga la menor
injerencia en los derechos y libertades de los interesados, lo que excluye la posibilidad de un
conocimiento generalizado de las calificaciones, como podría ocurrir en el caso de que se
procediera a su publicación en internet.
En cuanto a la exposición en los tablones de anuncios del centro, puede efectuarse
siempre que no se encuentren en zonas comunes de los centros, que se garantice que el
acceso a los mismos queda restringido a dichas personas y se adopten las medidas
necesarias para evitar su público conocimiento por quienes carecen de interés en el mismo.
III
Los hechos consistentes en la configuración en la página web de la reclamada de la
consulta de los méritos a través del DNI, por parte del responsable del tratamiento,
CONSEJERÍA DE EDUCACIÓN (JUNTA DE ANDALUCIA), suponen una infracción del
artículo 5.1.f) del RGPD que dispone:
“Los datos personales serán:
“tratados de tal manera que se garantice una seguridad adecuada de los datos personales,
incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida,
destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas
apropiadas («integridad y confidencialidad»).
Partiendo de la exposición de los datos de los participantes en el proceso selectivo
con el NIF integro, no parece conveniente que se cree en la web de la reclamada una
casilla para la consulta del baremo de méritos basada en la introducción del dato NIF.
La configuración del menú de acceso a la casilla “baremo méritos” era así. Al
conocerse el NIF, cualquier persona puede averiguar y acceder a la baremación de los
puntos del participante. No se trata de que los afectados o participantes en el proceso
puedan ver la baremación, que sería licito, sino cualquier persona, que como se ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/24
observado pueden previamente acceder a consultar en los listados de admitidos y
calificaciones los DNIS completos.
Desde el acuerdo de inicio se desconoce si la reclamada ha variado esa
configuración para adaptarse al tratamiento confidencial que requiere que solo los por los
titulares de su DNI consulten sus propios datos, y no se pueda producir acopio de
información sobre personas.
La información no aparece segura si se impone como criterio de consulta el DNI,
cuando previamente se han publicado los mismos, posibilitando la consulta por terceros al
ser el dato DNI un medio de acceso débil, considerando además que la reclamada lo ha
estado publicando en distintos procesos selectivos.
El dato de consulta NIF en dicha casilla no ofrece seguridad al poder ser un dato
que hoy por hoy puede ser conocido con no mucha dificultad.
IV
El artículo 83.7 del RGPD indica:
“Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del
artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede,
y en qué medida, imponer multas administrativas a autoridades y organismos públicos
establecidos en dicho Estado miembro”
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación:
a) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado;
En tal sentido, se cuenta con el cambio en la forma de publicar los datos por parte
de la reclamada y que la casilla consulta de baremos no permite consultar por DNI los
datos.
El artículo 72.1.a) de la LOPDGDD indica: “Infracciones consideradas muy graves
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/24
En tal sentido, el artículo 77. 2 de la LOPGDD, indica:
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica,
la autoridad de protección de datos que resulte competente dictará resolución sancionando
a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que
proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se
hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al órgano del que
dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de
interesado, en su caso.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de
datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios
suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las
establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de
aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se
acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no
hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se
incluirá una amonestación con denominación del cargo responsable y se ordenará la
publicación en el Boletín Oficial del Estado o autonómico que corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que
recaigan en relación con las medidas y actuaciones a que se refieren los apartados
anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de
las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al
amparo de este artículo.
6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos,
esta publicará en su página web con la debida separación las resoluciones referidas a las
entidades del apartado 1 de este artículo, con expresa indicación de la identidad del
responsable o encargado del tratamiento que hubiera cometido la infracción.
Cuando la competencia corresponda a una autoridad autonómica de protección de datos
se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa
específica.”
Por lo tanto, de acuerdo con la legislación aplicable y acreditadas la
existencia de las infracciones,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER una sanción de APERCIBIMIENTO a la JUNTA DE ANDALUCIA
(CONSEJERÍA DE EDUCACIÓN), con NIF S4111001F, por una infracción del artículo 5.1.c )
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/24
del RGPD, y otra infracción del artículo 5.1.f) del RGPD, de conformidad con el artículo
83.5 a) del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a JUNTA DE ANDALUCIA (CONSEJERÍA
DE EDUCACIÓN).
TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el
caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la
Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico
de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es