| Resolución | PS-00106-2025 |
| Firmado | 2026-03-02T00:00:00Z |
| Enlace | 📋 |
La Comunidad Autónoma de Castilla-La Mancha (CLM) fue denunciada por la forma en que manejaba los datos personales de sus funcionarios en la firma electrónica de documentos. La denuncia se centró en que los documentos firmados electrónicamente por los funcionarios incluían el nombre, apellidos y número de DNI del firmante, lo cual vulneraba el principio de minimización de datos establecido en el Reglamento General de Protección de Datos (RGPD).
El procedimiento sancionador se inició tras constatar que, aunque los funcionarios podían optar por no mostrar su DNI en la firma visible, este dato siempre estaba accesible a través de las propiedades del certificado electrónico utilizado. Esto representaba un riesgo significativo para la privacidad y seguridad de los funcionarios, ya que el DNI es un identificador único que puede ser utilizado para suplantaciones de identidad y otros fraudes.
La CLM argumentó que estaba en proceso de estudiar alternativas tecnológicas para eliminar el DNI de las propiedades visibles y sustituirlo por otro identificador, así como para emitir certificados de seudónimo. Sin embargo, estas medidas aún no se habían implementado, lo que constituía una infracción del artículo 5.1.c) del RGPD, que exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento.
Además, se determinó que la CLM no había aplicado adecuadamente el principio de protección de datos desde el diseño y por defecto, establecido en el artículo 25 del RGPD. Esto significa que no se habían tomado medidas técnicas y organizativas adecuadas para garantizar que solo se trataran los datos necesarios y que estos fueran accesibles únicamente a quienes lo necesitaran para cumplir con sus funciones.
Como resultado, se impuso una sanción a la CLM por estas infracciones. La resolución ordenaba a la comunidad autónoma que, en un plazo de seis meses, adoptara las medidas necesarias para eliminar el DNI de las propiedades visibles en los documentos firmados electrónicamente y que acreditara las alternativas tecnológicas adoptadas con su proveedor de servicios de firma electrónica. La falta de cumplimiento de esta orden podría resultar en la apertura de un nuevo procedimiento sancionador.