I. Introducción
Una de las novedades que ha incorporado la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) y que no pocas dudas ha suscitado, ha sido el establecimiento, en los términos que prevé su Disposición Adicional Séptima (en adelante, DA-7), de unas reglas sobre el tratamiento de los datos personales identificativos de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos.
Esta DA-7, como señala la Autoridad Catalana de Protección de Datos (ACPD), ha venido a concretar, bajo el prisma del principio de proporcionalidad, un criterio que permita minimizar el impacto que sobre el derecho a la protección de los datos personales tenga la eventual previsión legal de publicar determinada información que contenga datos personales.
En esta breve colaboración se examinan, muy someramente, los posibles escenarios que derivan de la DA-7, con el propósito que sirvan de instrumento auxiliar al operador jurídico, y que han sido objeto de sistemático análisis por la ACPD, en recientes dictámenes (1) . Asimismo se proporciona, para quienes trabajen con tablas con multitud de identificadores directos y no estén muy familiarizados con las hojas de cálculo, fórmulas que faciliten una aplicación rápida de la orientación que la Agencia Española de Protección de Datos (AEPD), conjuntamente con la Autoridad Catalana de Protección de Datos (ACPD), la Agencia Vasca de Protección de Datos (AVPD) y el Consejo de Transparencia y Protección de Datos de Andalucía, han llevado a cabo (2) .
La adecuada aplicación de la DA-7, y por tanto, la correcta concreción de los datos identificativos de los afectados que se considerarán adecuados y pertinentes en las notificaciones por medio de anuncios y publicaciones de actos administrativos exige atender a los distintos escenarios, allí previstos, y que determinan, en cada caso, el régimen a aplicar. Este régimen se aborda, en los siguientes epígrafes, atendiendo al planteamiento y sistemática efectuada por la ACPD en los apuntados dictámenes.
II. Escenario A: la publicación de un acto administrativo, con datos personales, que cumple una finalidad de publicidad, de conocimiento general por cualquier persona
El primer párrafo del apartado 1 de la DA-7 dispone literalmente:
«1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente».
Esta previsión alude al caso de que sea «necesaria», esto es, indispensable, la publicación de un acto administrativo, por consiguiente, no nos hallamos ante supuestos de publicaciones facultativas o potestativas.
La adecuada aplicación de la DA-7 exige atender a los distintos escenarios, allí previstos, y que determinan, en cada caso, el régimen a aplicar
En este escenario, la identificación del afectado se realizará mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Y si la notificación se refiere a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Solo respecto de aquellos interesados que no tengan ningún de los reseñados documentos se les podrá identificar mediante su nombre y apellidos, pero en ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente.
Los supuestos de publicación de un acto administrativo, con carácter general, se pueden sistematizar en las siguientes situaciones que prevé el artículo 45 (3) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas:
- • Por establecerlo las normas reguladoras de cada procedimiento o lo aconsejen razones de interés público apreciadas por el órgano competente (art. 45.1).
- • En todo caso [letras a) y b) art. 45.1]:
- ∘ Cuando el acto tenga una pluralidad indeterminada de personas.
La necesidad de esta publicación deriva de la imposibilidad de efectuar la notificación.
- ∘ Cuando la Administración considere que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos.
Aquí la necesidad estará supedita a la apreciación de la citada «insuficiencia» que la Administración efectúe en cada momento. De ahí que la expresión «en todo caso» debe atemperarse a esta circunstancia valorativa.
- ∘ Cuando se trate de procedimientos selectivos o de concurrencia competitiva, de acuerdo con el que establezca la normativa aplicable y la convocatoria.
La finalidad responde al cumplimiento de garantía de los participantes en una convocatoria pública, como lo es aquel en que la normativa reguladora de un proceso selectivo o concurrencial prevea la notificación individual a las personas afectadas, pero además también la publicación para garantizar el conocimiento general de quienes han sido los ganadores del proceso.
En el marco de este escenario también tienen acogimiento, como señala la ACPD, aquellas finalidades que respondan al control de la actuación administrativa u objetivos de transparencia como los previstos en la propia Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, al imponer a las Administraciones Públicas determinadas obligaciones de «publicidad activa» de la información pública que generen.
1. Criterio para la determinación de las cuatro cifras. Ejemplos para una rápida traducción material en hojas de cálculo que facilite la aplicación práctica
La AEPD, la ACPD, la AVPD y el Consejo de Transparencia y Protección de Datos de Andalucía han dictado una orientación para la aplicación provisional de la DA-7, mientras no exista un desarrollo reglamentario de este aspecto que permita aplicar las previsiones del párrafo primero del apartado 1 de la DA-7 con plenas garantáis para el derecho a la protección de los datos.
Esta recomendación, emitida para garantizar el derecho a la protección de datos, lo es, como se ha indicado, con carácter provisional, hasta el momento en el que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para su aplicación.
Fórmula a utilizar en las eventuales hojas de cálculo para automatizar la operación de conversión cuando se traten multitud de datos, como pueden acontecer en procesos concurrenciales
El procedimiento para la determinación de forma aleatoria del grupo de cuatro cifras numéricas a publicar del código de identificación de un interesado, en las publicaciones de actos administrativos se realizó, el 27 de febrero de 2019 en la AEPD, mediante el proceso de selección aleatoria en una bolsa opaca de una bola de entre cinco bolas numeradas del 1 al 5, resultando la número 4. Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación, se sustituirán por un asterisco por cada posición.
Seguidamente reseñamos los distintos supuestos, con ejemplos e incorporando la fórmula a utilizar en las eventuales hojas de cálculo para automatizar la operación de conversión cuando se traten multitud de datos, como pueden acontecer en procesos concurrenciales.
A. Dado un DNI con formato 12345678X, se publicarán los dígitos en el formato que ocupen las posiciones cuarta, quinta, sexta y séptima
Dado el citado DNI, señalado en el ejemplo, en la celda A1 de una hoja de cálculo, si aplicamos la siguiente fórmula:
=REEMPLAZAR(REEMPLAZAR(A1;1;3;""***»);8;2;"**»)
El resultado será el requerido por la recomendación para su publicación: ***4567**
B. Dado un NIE con formato L1234567X, se publicarán los dígitos que en el formato ocupen las posiciones, evitando el primer carácter alfabético, cuarta, quinta, sexta y séptima.
Dado el citado NIE, señalado en el ejemplo, en la celda A1 de una hoja de cálculo, si aplicamos la siguiente fórmula:
=REEMPLAZAR(REEMPLAZAR(A1;1;4;"****»);9;1;"*»)
El resultado será el requerido por la recomendación para su publicación: ****4567*
C. Dado un pasaporte con formato ABC123456, al tener sólo seis cifras, se publicarán los dígitos que en el formato ocupen las posiciones, evitando los tres caracteres alfabéticos, tercera, cuarta, quinta y sexta.
Dado el citado formato de pasaporte, señalado en el ejemplo, en la celda A1 de una hoja de cálculo, si aplicamos la siguiente fórmula:
=REEMPLAZAR(A1;1;5;"*****»)
El resultado será el requerido por la recomendación para su publicación: *****3456
D. Dado otro tipo de identificación, siempre que esa identificación contenga al menos 7 dígitos numéricos, se numerarán dichos dígitos de izquierda a derecha, evitando todos los caracteres alfabéticos, y se seguirá el procedimiento de publicar aquellos caracteres numéricos que ocupen las posiciones cuarta, quinta, sexta y séptima.
Dada una identificación, en los términos reseñados, en la celda A1 de una hoja de cálculo, del tipo XY12345678AB, si aplicamos la siguiente fórmula:
=REEMPLAZAR(REEMPLAZAR(A1;1;5;"*****»);10;3;"***»)
El resultado será el requerido por la recomendación para su publicación: *****4567***
E. Si ese tipo de identificación es distinto de un pasaporte y tiene menos de 7 dígitos numéricos, se numerarán todos los caracteres, alfabéticos incluidos, con el mismo procedimiento anterior y se seleccionarán aquellos que ocupen las cuatro últimas posiciones.
Dada una identificación, en los términos reseñados, en la celda A1 de una hoja de cálculo, del tipo ABCD123XY, si aplicamos la siguiente fórmula:
=REEMPLAZAR(A1;1;5;"*****»)
El resultado será el requerido por la recomendación para su publicación: *****23XY
III. Escenario B: la publicación, mediante anuncio, de un acto administrativo, con datos personales, que cumple la única función de notificación a la persona interesada
El segundo párrafo del apartado 1 de la DA-7 refiere al supuesto de que se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 (4) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas:
«Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente».
En este escenario se ha previsto que el mecanismo de identificación de los afectados contenga los datos mínimos necesarios que permita que estos puedan conocer que la comunicación va dirigida a ellos. En consecuencia la identificación del interesado se efectuará a través del número completo de su DNI, número de extranjero, pasaporte o documento equivalente. Al igual que ocurría en el escenario A) únicamente respecto de aquellos interesados que no tengan ningún de estos documentos se les podrá identificar mediante su nombre y apellidos, pero en ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente.
En este caso el objeto de la publicación no es ofrecer un «conocimiento general», sino que se dirige a la misma persona interesada
En particular, este escenario, contempla aquellos supuestos previstos en el artículo 44 de la mencionada Ley 39/2015, dedicado a la notificación infructuosa y que autorizan a acudir a efectuarla mediante publicación de anuncio, cuando:
- • Los interesados sean desconocidos
- • Se ignore el lugar de la notificación.
- • Intentada la notificación personal no se haya podido practicar.
Supuesto este en el que propiamente se puede hablar de notificación infructuosa, pues en las otras dos situaciones se estará más ante una imposibilidad material de efectuarla que ante una notificación infructuosa.
Nos hallamos ante supuestos en que la publicación se lleva a cabo como medio sustitutorio o complementario de la notificación individual. En este caso el objeto de la publicación no es ofrecer un «conocimiento general», sino que se dirige a la misma persona interesada. Un ejemplo claro lo constituye, como se ha indicado, la publicación de un anuncio como consecuencia de una notificación infructuosa de acuerdo con lo previsto en el citado art. 44. Es decir, la finalidad de la publicación es solo la notificación del acto administrativo a la persona interesada.
IV. Escenario C: la publicación de un acto administrativo, con datos personales, que cumple ambas finalidades anteriormente señaladas (conocimiento general por parte de toda la población y conocimiento por los interesados de que se ha dictado un acto administrativo que les afecta —función de notificación—)
A las dos situaciones básicas descritas en los dos anteriores escenarios, se puede añadir una tercera que concurre en aquellos supuestos en que la publicación del acto administrativo tiene una doble finalidad, por una parte la finalidad de notificación, de conocimiento por los afectados que se ha dictado un acto administrativo que les afecta y, asimismo, una finalidad de conocimiento general por parte de toda la población.
Sería el caso de procesos concurrenciales en los cuales no se prevé una notificación individual a las personas afectadas sino solo una publicación del resultado, tanto para que las mismas personas interesadas puedan conocer el resultado, como para que terceras personas puedan tener también conocimiento.
Sería el caso, por ejemplo, de los procedimientos selectivos de personal. Como procedimientos de concurrencia competitiva, los actos que los integran han de ser objeto de publicación, la cual tendrá efectos de notificación, teniendo en consideración que la convocatoria del procedimiento ha de indicar «el medio donde se efectuaran las publicaciones sucesivas» (art. 41.1.b Ley 39/2015). Aquí el principio de publicidad y transparencia es esencial como garantía del principio de igualdad, por tanto la publicación de los datos identificativos de los participantes en el proceso, mediante la inclusión de sus nombres y apellidos en los listados tanto provisionales como definitivos, resulta necesaria para alcanzar estos objetivos, pero al mismo tiempo, la publicación de los listados tiene, como se ha apuntado, una finalidad de notificación a los interesados que participan en el proceso (art. 45.1.b Ley 39/2015).
En el caso que la publicación sirva a esa «doble finalidad» y a fin de garantizar que cualquier persona pueda tener conocimiento, se seguirá el criterio de identificación expuesto en el escenario A) (el contemplado en el párrafo primero del apartado 1 de la DA-7), esto es, nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente, en los términos allí señalados.
V. Conclusiones
El elemento determinante para la aplicación de uno u otro de los mecanismos de identificación de los afectados previstos por el apartado primero de la DA 7 de la LOPDGDD será el análisis de la finalidad perseguida en cada caso mediante la publicación del acto, según se trate de la publicación:
- • Como medio de comunicación a los afectados del acto administrativo y de integración de su eficacia
- • O, otras finalidades públicas diferentes de la anterior, en las cuales el objetivo último de la publicación es dar publicidad al acto, ya sea para finalidades de transparencia, control de la actuación administrativa, garantía de los participantes en una convocatoria pública, finalidad ejemplarizante, etc. En otras palabras, que la finalidad de la publicación de los actos administrativos sea ofrecer publicidad general del mismo y también cuando a dicha finalidad se le añada la notificación a las personas afectadas.
Cabe apuntar la plausible previsión del apartado 2 de la DA-7, en términos de lege ferenda y con el propósito de prevenir riesgos para víctimas de violencia de género, al señalar que «el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia».
El art. 46 Ley 39/2015 debe sobrevolar ante cualquier publicidad que pudiera lesionar derechos o intereses
En modo alguno debe descuidarse, en absoluto, la previsión del artículo 46 de la Ley 39/2015, que debe sobrevolar ante cualquier publicidad que pudiera lesionar derechos o intereses, al constituir un auténtico antídoto previsor de incurrir en tratamientos de datos personales que puedan resultar lesivos, al señalar que:
«Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento»
Como conclusión de cierre y con independencia que la presente colaboración se ha centrado en una aproximación a la publicidad prevista en la DA-7, no debe obviarse el principio de minimización, esto es, que la publicación contenga los datos, no solo que revistan legitimidad, además aquellos que resultan estrictamente necesarios. A tal fin una adecuada privacidad implementada desde el diseño y por defecto unida a una actitud de responsabilidad proactiva propiciará y permitirá enormemente el establecimiento de las condiciones óptimas, que faciliten, en estadios posteriores, el adecuado tratamiento de los datos personales (ya lo sea vía publicidad o cesión en el marco de otros derechos).