El Consejo de Transparencia y Protección de Datos de Andalucía (CTPDA) investiga de oficio al Ayuntamiento de Cádiz, cuyo alcalde es José María González Santos ('Kichi'), tras la publicación en Internet de datos personales de menores de edad nacidos entre 2020 y 2021 así como de sus progenitores. El hecho se produjo durante el procedimiento de comunicación de plazas de acceso a la gaditana escuela infantil “Santa María”.
El inicio de las investigaciones se produce tras una reclamación admitida a trámite por el CTPDA, en la que se denuncia una vulneración en el tratamiento de dichos datos. Los hechos sucedieron en la página web del Ayuntamiento gaditano, quien publicó un listado con el nombre y apellidos de los solicitantes -en la mayoría de los casos los progenitores- y el año de nacimiento de los bebés. El cruce de esta información podría permitir identificar a los menores.
"El año de nacimiento de un bebé por sí sólo no es un dato personal, pero una vez asociado a los datos de los padres podría permitir su identificación, con lo que sí sería un dato personal. Una mejor opción para casos así podría ser publicar un dato como el número de registro de la solicitud o parte de los dígitos del documento de identidad del solicitante", asegura Sergio Carrasco Mayans, abogado de Faseconsulting especializado en nuevas tecnologías.
Por su parte, el Reglamento General de Protección de Datos (RGPD) desgrana que "se entiende por datos personales toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona".
Datos personales
El Ayuntamiento de Cádiz procedió a corregir posteriormente el problema al hacer anónima esta información. Pese a ello, y tras analizar la reclamación, el Consejo de Transparencia y Protección de Datos de Andalucía ha ordenado "que se inicien de oficio, desde el Área de Protección de Datos, actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y circunstancias que justifiquen la tramitación, en su caso, del correspondiente procedimiento por infracción de la normativa de protección de datos personales", tal y como explica el documento de admisión de la reclamación, al que ha tenido acceso Vozpópuli.
En cuanto a la denuncia presentada, el reclamante manifiesta que "de conformidad con las definiciones recogidas en los apartados 1, 2 y 7 del artículo 4 del Reglamento General de Protección de Datos (RGPD 2016/679), la difusión en la página web del Ayuntamiento de Cádiz de los datos identificativos (nombre y apellidos de los solicitantes así como el año de nacimiento de los menores) contenidos en los listados provisionales y definitivos de alumnos admitidos y no admitidos, constituye un tratamiento de datos personales por parte del Ayuntamiento de Cádiz, en su condición de responsable de dicho tratamiento".
La reclamación asegura -a la espera de lo que resuelva la investigación- que "el Ayuntamiento de Cádiz ha incumplido el deber de confidencialidad que le resulta exigible al no haber tomado medidas técnicas y organizativas previas tendentes a garantizar un nivel adecuado de seguridad que impidiera la comunicación y/o acceso indiscriminado de esa información de carácter personal por parte de terceros no interesados en el procedimiento de concurrencia competitiva de admisión de alumnos en la Escuela Infantil Municipal Santa María".
El reclamante también pone de relieve que cualquiera pudo acceder a la información publicada sobre los solicitantes así como poder hacer identificable a los menores con la información publicada. "La publicación en la página web del Ayuntamiento de Cádiz del listado de niños y niñas admitidos a través de sus progenitores, en abierto y sin ningún tipo de restricción de los mencionados listados provisionales y definitivos de alumnos, ha supuesto un acceso indiscriminado a la información de carácter personal contenida en esos documentos, puesto que no se había limitado su acceso a los interesados que solicitaron participar en los procedimientos de admisión de alumnos en cuestión, que son los participantes en los procedimientos de concurrencia competitiva".
El denunciante no cuestiona que los listados del alumnado deba ser objeto de publicación conforme a lo previsto en el artículo 45.1.b) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Lo que se imputa y denuncia es que el Ayuntamiento de Cádiz ha publicado la información de carácter personal contenida en los listados y ha expuesto los datos identificativos contenidos en los listados reseñados sin respetar el principio de confidencialidad que resulta de aplicación al tratamiento de esa información de carácter personal.
