La Agencia Española de Protección de Datos (AEPD) ha multado con 12.000 euros a la academia de formación Sean Serios por publicar en su página web los resultados de un proceso de concurso de oposición del Servicio Gallego de Salud (SERGAS) en el que aparecían datos de los participantes.
La academia alegó que su finalidad era facilitar el listado a los alumnos con el fin de que pudiesen verificar si su puntuación les da acceso al puesto de trabajo o no.En julio de 2021, una alumna de la academia presentó una reclamación ante la AEPD tras darse cuenta de que su nombre y apellido aparecía en la página web de la empresa. En dicha URL también se encontraban los datos identificativos de 95 candidatos más, con el DNI anonimizado y las notas desglosadas en “oposición y concurso”. Este último distinguía entre formación, experiencia y otras actividades donde, además, aparecía el número de orden.
Por ello, la AEPD dio traslado a la parte reclamada para que en el plazo de un mes pudiese realizar su análisis y sus alegatos, pero no respondió hasta enero, cuando se inició el procedimiento sancionador por la presunta infracción del artículo 6.1 del Reglamento de Protección de Datos.
La academia alegó que su finalidad era facilitar el listado a los alumnos con el fin de que pudiesen verificar si su puntuación les da acceso al puesto de trabajo o no.
Asimismo, la academia añadió que al estar publicada la lista en la web del SERGAS y en el Diario Oficial de Galicia, consideraron que “podría tratarse de un tratamiento de datos personales públicos” y que, por tanto, entendían que no prevalecían los derechos y las libertades de los interesados.
El motivo de la publicación en su página web fue “dar publicidad a los resultados publicados por el SERGAS ya que muchos de los participantes en el proceso de selección eran alumnos de la academia” y la información era pública.
Asimismo, la empresa manifestó que antes de publicar el listado efectuaron un “análisis de cumplimiento normativo” con el fin de confirmar si dicha publicación podría suponer o no una vulneración de la normativa de Protección de Datos.
Llegaron a la conclusión de que la información ya estaba publicada en la web de SERGAS y “se trataba de información previamente anonimizada» al haberse ocultado el DNI de los alumnos. Pues “el nombre y apellido solamente de una persona no debe estar considerado dato de carácter personal porque existen numerosas personas que coinciden en nombre y apellidos».
«SANCIÓN DESPROPORCIONADA»
Pero la AEPD les recriminó que la política de privacidad de la web no reflejaba ese tratamiento y que, en la publicación del listado elaborado no se indica de dónde proceden los datos, ni el derecho a oponerse y que, en base a un interés legítimo del tratamiento, se debería ofrecer.
Finalmente, añadieron que era la única vez que lo habían hecho y que corrigieron el error borrando la web, por lo que solicitaron un apercibimiento de 600 euros en vez de una sanción administrativa de 12.000 al considerar que era desproporcionada al ser una micropyme.
Pero Protección de Datos ha desoído su petición y finalmente ha decido multarle con 12.000 euros por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 a) del RGPD.
