Explicación del Tema 8 de Personal Oficios Servicios Internos

El tema reúne dos materias que responden a una misma exigencia de buen funcionamiento administrativo. La protección de datos determina cómo debe tratarse la información sobre las personas. El Código de Buenas Prácticas pretende identificar y extender formas de trabajo que mejoran los servicios municipales. En ambos casos se exige una actuación responsable, organizada y orientada a la ciudadanía.

El Ayuntamiento maneja datos personales en numerosas actividades: solicitudes, padrones, autorizaciones, expedientes, comunicaciones, relaciones de personal, prestación de servicios o atención presencial y electrónica. Parte de esa información puede ser conocida por quienes reciben, trasladan, reproducen, ordenan, archivan o entregan documentos, aunque no decidan la finalidad para la que se recogieron los datos.

La protección no depende del puesto ocupado ni de que la tarea sea específicamente jurídica o informática. Toda persona que interviene en el tratamiento debe respetar la confidencialidad. La obligación acompaña a la información durante todas sus fases y continúa cuando termina la relación profesional.

Las buenas prácticas parten de un plano distinto. No establecen el mínimo legal que debe cumplirse, sino que permiten reconocer una forma de actuar que mejora cualitativamente un procedimiento, un servicio, un trámite o una actividad. El cumplimiento de la normativa de protección de datos es obligatorio; documentar y extender una mejora eficaz forma parte de la cultura de excelencia que impulsa el Código municipal.

Esta diferencia debe mantenerse durante todo el tema. La Ley Orgánica 3/2018 contiene obligaciones jurídicas. El Código de 2023 tiene naturaleza orientadora. Una buena práctica nunca puede justificar el incumplimiento de la ley, pero sí puede mostrar una manera más eficaz, clara o segura de cumplirla y prestar el servicio.

El artículo 18.4 de la Constitución dispone que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar y el pleno ejercicio de los derechos. Este mandato sirve de fundamento al derecho fundamental a la protección de datos personales.

La protección de datos no se limita al secreto de la vida privada. Reconoce a cada persona un poder de control sobre la información que le concierne: conocer qué datos se utilizan, para qué finalidad se tratan, quién es responsable del tratamiento y qué derechos puede ejercer. La Administración necesita tratar información para cumplir sus competencias, pero debe hacerlo dentro de una finalidad legítima y con las garantías previstas por el ordenamiento.

En el ámbito de la Unión Europea, la norma central es el Reglamento (UE) 2016/679, de 27 de abril de 2016, conocido como Reglamento General de Protección de Datos. Al tratarse de un reglamento europeo, resulta directamente aplicable y establece un marco común para la protección de las personas físicas respecto del tratamiento de sus datos y para la libre circulación de esa información.

La Ley Orgánica 3/2018, de 5 de diciembre, adapta el ordenamiento jurídico español al Reglamento y completa sus disposiciones. Ambos textos deben aplicarse conjuntamente. El Reglamento proporciona el marco europeo; la ley orgánica lo integra en el sistema español, desarrolla las materias que requieren regulación nacional y añade la garantía de los derechos digitales.

El artículo 1 atribuye a la ley orgánica dos finalidades. La primera consiste en adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 y completar sus disposiciones. La segunda es garantizar los derechos digitales de la ciudadanía conforme al mandato del artículo 18.4 de la Constitución.

Adaptación y complemento del Reglamento europeo

La adaptación permite coordinar el Reglamento con las instituciones, procedimientos y normas españolas. Completar sus disposiciones significa regular los aspectos que el derecho europeo remite o permite concretar a los Estados miembros. No supone alterar el contenido esencial del Reglamento ni excluir su aplicación.

La identificación exacta de la norma europea tiene importancia en el examen. Se trata del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Las variaciones en el número, la fecha o la clase de norma convierten una opción en incorrecta.

El propio artículo 1 recuerda que el derecho fundamental de las personas físicas a la protección de datos personales se ejerce con arreglo al Reglamento y a la ley orgánica. La relación entre ambas normas no es opcional: forman el marco que debe utilizarse para interpretar las obligaciones y derechos.

Garantía de los derechos digitales

La segunda finalidad reconoce que el uso de la tecnología genera espacios en los que los derechos deben continuar protegidos. La Ley Orgánica dedica su título X a los derechos digitales, pero el programa no exige desarrollar individualmente todos ellos. En este tema importa comprender que su garantía forma parte del objeto de la ley y no es una materia ajena añadida al título.

Los dos objetivos están conectados. La protección de datos responde al tratamiento de información personal; los derechos digitales proyectan garantías sobre el entorno tecnológico en el que se desarrollan cada vez más relaciones personales, laborales y administrativas.

El artículo 1 se refiere al derecho fundamental de las personas físicas. Una persona jurídica puede disponer de información reservada o estar protegida por otras normas, pero no es titular del derecho fundamental a la protección de datos personales en los términos del Reglamento General de Protección de Datos y de la Ley Orgánica 3/2018. Esto no excluye que los documentos relativos a una entidad contengan datos personales de representantes, trabajadores u otras personas físicas, que sí deben protegerse.

Un dato personal es cualquier información sobre una persona física identificada o identificable. La identificación puede ser directa, como ocurre con el nombre y los apellidos, o indirecta, cuando varios elementos permiten determinar de quién se trata. No es necesario que la información sea íntima o especialmente sensible para que tenga carácter personal.

Pueden ser datos personales, según las circunstancias, un número de identificación, una dirección, un teléfono, una matrícula, una fotografía, una firma, una ubicación o la referencia de un expediente asociada a una persona. La protección se mantiene aunque el dato parezca cotidiano, porque lo relevante es que se refiera a una persona física identificada o identificable.

El tratamiento comprende las operaciones que se realizan sobre esos datos. Recogerlos, consultarlos, ordenarlos, reproducirlos, comunicarlos, conservarlos, modificarlos o eliminarlos son actuaciones que forman parte de su ciclo de tratamiento. Esta idea permite comprender por qué el deber de confidencialidad alcanza a toda persona que intervenga en cualquiera de sus fases.

La confidencialidad obliga a preservar la información personal frente a comunicaciones, accesos o utilizaciones no autorizadas. Quien conoce datos por razón de su trabajo no adquiere libertad para emplearlos: solo puede utilizarlos dentro de las funciones y finalidades que justificaron su acceso.

El artículo 5 de la Ley Orgánica 3/2018 conecta este deber con el principio de integridad y confidencialidad del artículo 5.1.f del Reglamento europeo. Los datos deben tratarse de manera que se garantice una seguridad adecuada, incluida la protección frente al tratamiento no autorizado o ilícito y frente a su pérdida, destrucción o daño accidental.

Guardar confidencialidad no significa impedir toda circulación de información dentro de la Administración. Los datos pueden comunicarse o ponerse a disposición de quienes estén autorizados y los necesiten para cumplir sus funciones. La obligación consiste en respetar la finalidad, los procedimientos y los límites del acceso.

La confidencialidad es uno de los principios que rigen el tratamiento, pero no resume por sí sola todo el régimen de protección de datos. Un tratamiento debe contar además con una finalidad y una base jurídica, utilizar datos adecuados y respetar los restantes principios y derechos aplicables. El programa concentra este tema en la confidencialidad, sin que ello convierta en irrelevantes las demás garantías.

La vulneración puede producirse de formas diferentes: contar a otra persona el contenido de un expediente, consultar información sin necesidad profesional, utilizar un dato para un interés particular, abandonar documentación al alcance de terceros o enviar una comunicación a un destinatario incorrecto. El elemento común es la falta de autorización o de justificación funcional.

El deber tampoco desaparece porque la información sea conocida por varias unidades o conste en un documento administrativo. El carácter confidencial depende de las reglas aplicables al tratamiento y del acceso legítimo, no del número de personas que deban intervenir para prestar el servicio.

El artículo 5.1 identifica tres grupos obligados:

1. Responsables del tratamiento. Determinan los fines y los medios del tratamiento, solos o junto con otros responsables.
2. Encargados del tratamiento. Tratan los datos por cuenta del responsable y conforme a sus instrucciones.
3. Todas las personas que intervengan en cualquier fase. Incluye al personal que accede o maneja la información durante el desarrollo de sus funciones, aunque no sea responsable ni encargado.

La tercera categoría evita que la obligación quede restringida a quienes ocupan una posición directiva o especializada. El personal que recibe correspondencia, distribuye documentos, realiza copias, prepara expedientes o accede a una aplicación puede intervenir materialmente en el tratamiento y queda sujeto al deber.

No resulta necesario que la persona firme individualmente un compromiso para que nazca la obligación legal. Las instrucciones internas, las cláusulas contractuales y la formación pueden concretar cómo debe cumplirse, pero su fundamento se encuentra directamente en la ley.

Tampoco existe una categoría de información libremente utilizable por el hecho de haber sido conocida de manera incidental. Si durante una tarea se accede a un nombre, una dirección, una situación personal o cualquier otro dato que no era el objeto principal del trabajo, el deber de reserva continúa siendo aplicable.

La ley utiliza una fórmula deliberadamente amplia: queda obligada toda persona que intervenga en cualquier fase del tratamiento. La confidencialidad no comienza únicamente cuando el dato se incorpora a un expediente definitivo ni termina cuando se archiva.

Durante la recogida debe evitarse que personas ajenas conozcan la información. En la consulta y utilización, el acceso debe responder a una necesidad de servicio. En la reproducción, traslado o comunicación deben comprobarse los destinatarios y protegerse los documentos. En la conservación deben impedirse accesos no autorizados. En la eliminación debe evitarse que la información pueda recuperarse o quedar expuesta.

Estos ejemplos no convierten el tema en un manual técnico de seguridad. Permiten comprender que la confidencialidad acompaña a los datos mientras son tratados y que una tarea aparentemente auxiliar puede formar parte de ese tratamiento.

El artículo 5.2 dispone que la obligación general de confidencialidad es complementaria de los deberes de secreto profesional establecidos por la normativa aplicable. La ley no afirma que ambos conceptos sean idénticos ni que uno sustituya al otro.

La confidencialidad es una obligación general vinculada al tratamiento de datos personales. El secreto profesional procede de las normas que regulan determinadas profesiones, funciones o relaciones y protege la información conocida en su ejercicio. Cuando ambos deberes concurren, deben respetarse simultáneamente.

Las medidas de seguridad ocupan otro plano. Son actuaciones organizativas o técnicas destinadas a proteger la información frente a accesos, pérdidas, alteraciones o comunicaciones indebidas. El control de accesos, la custodia de llaves, el bloqueo de pantallas o la destrucción segura de documentación pueden ayudar a cumplir la confidencialidad, pero no agotan el deber personal de reserva.

Una persona puede incumplir la confidencialidad aunque el sistema informático sea seguro, por ejemplo si comunica verbalmente una información a quien no está autorizado. Del mismo modo, una organización necesita medidas de seguridad aunque su personal conozca y respete el deber de reserva.

El artículo 5.3 establece que la confidencialidad y el secreto profesional se mantienen aun cuando haya finalizado la relación de la persona obligada con el responsable o con el encargado del tratamiento.

La terminación de un contrato, el cambio de puesto, el traslado a otra unidad, la jubilación o el cese de una colaboración no convierten la información en disponible. Los datos fueron conocidos para una finalidad concreta y continúan perteneciendo al ámbito protegido de la persona afectada.

La regla evita que la duración de la protección dependa de la permanencia del trabajador, empleado o colaborador. Si el deber se extinguiera al terminar la relación, la información podría divulgarse precisamente cuando la organización ya dispone de menos capacidad de control sobre quien accedió a ella.

La obligación tampoco pasa a ser voluntaria ni necesita renovarse. Se mantiene por mandato legal. Quien deja de prestar servicios no puede conservar copias, utilizar datos para intereses propios ni comunicar lo conocido durante su actividad.

El deber de confidencialidad adquiere especial importancia en trabajos que implican recepción, reproducción, traslado, clasificación o entrega de documentación. No es necesario leer deliberadamente un expediente para acceder a datos personales: pueden aparecer en sobres, carátulas, listados, etiquetas, pantallas o conversaciones de trabajo.

La correspondencia debe entregarse a la unidad o persona destinataria conforme a las reglas aplicables, evitando que el contenido quede expuesto. Si se detecta un error, la solución no consiste en investigar por cuenta propia la información, sino en seguir el procedimiento de devolución o comunicación establecido.

En las tareas de reprografía, la confidencialidad exige mantener el control sobre originales y copias, retirar los documentos de las bandejas y evitar reproducciones innecesarias. Los borradores y copias defectuosas que contengan datos no deben depositarse en lugares accesibles ni desecharse como papel ordinario cuando las instrucciones municipales exijan su destrucción segura.

Las pantallas, aplicaciones y credenciales también forman parte del entorno de protección. El acceso autorizado para realizar una tarea no permite consultar otros expedientes por curiosidad. Las contraseñas son personales, y una sesión abierta puede facilitar que otra persona acceda indebidamente a la información.

La conversación constituye igualmente una forma de comunicación. Comentar en espacios comunes la identidad, circunstancias o trámites de una persona puede revelar información aunque no se entregue ningún documento. La discreción debe mantenerse frente a compañeros que no necesitan conocer los datos y frente a cualquier tercero.

Estas pautas son aplicaciones razonadas del deber general y no sustituyen las instrucciones municipales de seguridad, custodia o destrucción documental. El criterio que las une es que la información personal solo puede conocerse, utilizarse o comunicarse cuando la función encomendada y la normativa lo permitan.

Las bases específicas fueron aprobadas en 2022 y mencionan el Código de Buenas Prácticas Administrativas del Ayuntamiento de Madrid, aprobado en 2008. Durante la vigencia de esas bases se produjo una modificación normativa relevante.

El Acuerdo de 23 de marzo de 2023 de la Junta de Gobierno aprobó el Código de Buenas Prácticas del Ayuntamiento de Madrid. El propio acuerdo dejó sin efecto el de 4 de diciembre de 2008 y las disposiciones que se opusieran, contradijeran o resultaran incompatibles con el nuevo texto.

No se trata de una mera actualización de denominación. El Código de 2008 regulaba principios y prácticas administrativas con una estructura cerrada. El de 2023 se configura como un instrumento abierto y electrónico para identificar, documentar, gestionar y difundir mejoras concretas que puedan mantenerse y trasladarse a otros servicios.

La aclaración del proceso selectivo estableció que el ejercicio se sujetaría a la legislación vigente en la fecha de la prueba. En coherencia con esa regla, el examen de 2025 preguntó por el concepto y la naturaleza del Código de 2023. La resolución de alegaciones confirmó la inclusión de esa pregunta en el programa.

Por tanto, la preparación debe utilizar el texto vigente de 2023. La referencia histórica al Código anterior solo sirve para entender por qué el enunciado oficial conserva una denominación que ya no coincide con la norma aplicable.

El apartado 1 define el Código como el instrumento para identificar, documentar y promover la aplicación de buenas prácticas en el Ayuntamiento de Madrid.

Identificar significa reconocer una forma de trabajo que introduce una mejora cualitativa. Documentarla permite describir qué necesidad atendía, cómo se implantó, qué resultados produjo y en qué condiciones podría reproducirse. Promover su aplicación evita que el conocimiento quede limitado a la unidad que desarrolló la experiencia.

Las tres funciones forman una secuencia. Una mejora no puede difundirse adecuadamente si antes no ha sido reconocida y explicada. A su vez, documentarla carecería de utilidad si no pudiera consultarse y servir de referencia para otros servicios.

El Código tiene naturaleza orientadora de toda la actividad municipal. No es un código de conducta del personal, un régimen disciplinario ni un catálogo de infracciones. Tampoco convierte automáticamente cada práctica inscrita en una obligación jurídica general. Su finalidad es orientar la organización hacia la innovación, la excelencia y la mejora continua.

El carácter orientador no significa que el Código sea irrelevante. Proporciona un método común, ordena el conocimiento acumulado y facilita que las unidades aprendan de experiencias ya contrastadas. Orienta sobre cómo mejorar más allá del cumplimiento mínimo exigido por las normas.

El apartado 2 establece cinco finalidades que describen el modelo de mejora perseguido.

Una cultura de innovación, excelencia y servicio

El Código pretende promover una cultura administrativa presidida por la innovación, la excelencia y la vocación de servicio público, más allá del mero cumplimiento de las obligaciones legales. Cumplir la ley es imprescindible, pero una organización orientada a la calidad analiza además cómo puede prestar mejor sus servicios.

La innovación no exige necesariamente una gran transformación tecnológica. Puede consistir en reorganizar un trámite, mejorar la comunicación, eliminar una carga, coordinar unidades o aplicar de manera diferente los recursos disponibles, siempre que exista una mejora cualitativa acreditable.

Transferencia de conocimiento

Una experiencia útil puede perderse si solo la conocen quienes participaron en ella. El Código facilita la transferencia de conocimiento dentro de la organización para apoyar la mejora continua de los servicios públicos.

Documentar la práctica permite conservar el aprendizaje, evitar que otras unidades repitan dificultades ya resueltas y adaptar la solución a contextos semejantes. El conocimiento se convierte así en un recurso compartido de la organización municipal.

Metodología común

El Código define una metodología común para identificar y documentar buenas prácticas. La utilización de criterios homogéneos permite comparar experiencias y comprobar que la denominación de buena práctica responde a una mejora real, no a una mera descripción de la actividad ordinaria.

Repositorio único

Otra finalidad es crear un repositorio único y establecer los criterios para gestionarlo. La concentración de la información en un espacio común facilita la consulta, evita la dispersión y permite mantener las prácticas actualizadas.

Incremento, consulta y difusión

El Código busca aumentar las buenas prácticas desarrolladas por los servicios municipales y facilitar su consulta y difusión. La publicidad permite reconocer el trabajo realizado, extender soluciones eficaces y promover que otras unidades propongan nuevas mejoras.

El apartado 3.1 determina que el Código se aplica a cuatro componentes de la organización municipal:

• todas las áreas municipales;
• los distritos;
• los organismos públicos;
• las empresas del Ayuntamiento de Madrid cuyo capital sea íntegramente municipal.

La enumeración combina la organización territorial y funcional del Ayuntamiento con su sector público. Las áreas y los distritos forman parte de la estructura municipal; los organismos públicos disponen de personalidad y funciones propias dentro del sector público institucional; y determinadas empresas desarrollan actividades municipales bajo una forma societaria.

La expresión capital íntegramente municipal debe interpretarse literalmente. El Código no incluye en este apartado a cualquier empresa en la que el Ayuntamiento tenga alguna participación, sino a aquellas cuyo capital pertenece en su totalidad al Ayuntamiento de Madrid.

El alcance general a todas las áreas y distritos muestra que las buenas prácticas no pertenecen únicamente a unidades de calidad, innovación o informática. Cualquier servicio puede desarrollar una mejora susceptible de identificación y transferencia si reúne las condiciones establecidas por el Código.

El apartado 3 reúne el ámbito de aplicación y los órganos competentes. Aunque el núcleo del programa es el ámbito, conocer la distribución básica de responsabilidades permite entender cómo funciona el Código.

La Junta de Gobierno determina el órgano competente para su gestión. Ese órgano recibe y tramita las solicitudes de inscripción, modificación o baja; comprueba el cumplimiento de los requisitos y la información necesaria; realiza el requerimiento anual; revisa de oficio las referencias afectadas por cambios organizativos; publica y difunde el Código; y elabora un informe anual sobre sus novedades y actualizaciones.

También actúa como apoyo e intermediario entre el órgano que promovió una práctica y el que desea reproducirla en otro ámbito. Esta función materializa la transferencia de conocimiento: no basta con publicar una ficha, sino que debe facilitarse la conexión entre quienes poseen la experiencia y quienes pretenden adaptarla.

Los órganos directivos son responsables de solicitar la inscripción, modificación o baja de las buenas prácticas correspondientes a sus competencias. La distribución responde a una lógica sencilla: cada unidad conoce las mejoras que desarrolla y sus cambios; el órgano gestor aplica criterios comunes, mantiene el repositorio y facilita su difusión.

La síntesis del tema exige no confundir la fuerza y la finalidad de cada instrumento.

La obligación legal fija el límite que nunca puede traspasarse: los datos personales solo pueden utilizarse conforme a la finalidad y por personas autorizadas. El Código ofrece un marco para avanzar más allá del cumplimiento mínimo, documentando las soluciones que mejoran la organización y el servicio.

Una actuación municipal de calidad necesita ambas perspectivas. Debe respetar los derechos y proteger la información, pero también aprender de la experiencia, compartir el conocimiento y extender las mejoras que hayan demostrado su utilidad.