I. Introducción
La Decisión n.º 2026/1301 del Consejo de Protección de Datos Personales, de 1 de julio de 2026, fue publicada en el Boletín Oficial de 28 de julio de 2026, n.º 33323, como Decisión de Principio sobre la Divulgación en Línea de Datos Personales por Responsables del Tratamiento con Personalidad Jurídica Pública. Se refiere a los datos personales publicados en sitios web, cuentas de redes sociales y canales comparables por instituciones públicas, municipios, administraciones provinciales especiales, universidades y otros responsables del tratamiento con personalidad jurídica pública. La Decisión no establece un período transitorio independiente ni un plazo expresado en un número fijo de días. Exige que las publicaciones existentes se revisen «con carácter urgente».
La publicación en línea de un documento que contiene datos personales supone divulgar esos datos y ponerlos a disposición de terceros. Por ello, el Consejo considera que la propia publicación constituye una actividad de tratamiento de datos personales. El hecho de que un documento guarde relación con las funciones legales de un organismo público no justifica, por sí solo, que se publique íntegramente en internet y con acceso abierto. Cada publicación debe ampararse en una condición de tratamiento prevista en la Ley n.º 6698 de Protección de Datos Personales y respetar además los principios generales aplicables al tratamiento, entre ellos la licitud y la lealtad, la exactitud, la existencia de fines determinados y legítimos, la minimización de los datos y su conservación únicamente durante el período exigido por la ley o por la finalidad del tratamiento.
La Decisión de Principio se dirige directamente a los responsables del tratamiento con personalidad jurídica pública. No impone sus instrucciones como regla general y directa de publicación a las sociedades de derecho privado ni crea una obligación independiente para los prestadores privados de servicios. Por tanto, el ámbito subjetivo de sus destinatarios debe mantenerse circunscrito a los responsables del tratamiento de derecho público.
II. Ámbito de la Decisión y naturaleza jurídica de la publicación en línea
La Decisión de Principio no se limita a revisar sitios web y cuentas de redes sociales. Exige que los mismos criterios se respeten cuando se compartan datos personales mediante correspondencia interna o interinstitucional, correos electrónicos, anuncios, entornos electrónicos cerrados, paneles informativos y tablones de anuncios. Esta dimensión adicional de los canales de comunicación requiere revisar por separado la difusión interna y de acceso restringido, además de auditar el contenido disponible públicamente.
Las publicaciones identificadas por el Consejo contienen muchos más datos que nombres e información de contacto. La Decisión enumera los nombres de los progenitores, la edad, el número de identidad turco, el domicilio, el lugar de nacimiento, la profesión, el ámbito de especialización, el lugar de trabajo, el cargo, los años de servicio, el número de registro, la unidad, los datos relativos al servicio militar y a la educación; los datos de bloque y parcela de inmuebles sujetos a sorteos públicos; y los números de examen o solicitud, las puntuaciones del KPSS, la información sobre aptos y no aptos, las respuestas correctas e incorrectas, los números de estudiante o candidato, la información sobre documentos que faltan y la condición de exconvicto. La amplitud de estos ejemplos impide limitar la revisión de las publicaciones a los identificadores más evidentes o a un único tipo de documento.
La publicación en línea entraña un riesgo mayor para la seguridad de los datos que su comunicación en un entorno más restringido y a un grupo más limitado. En consecuencia, la Decisión trata el canal de acceso como una cuestión jurídica diferenciada que debe diseñarse de forma específica. Si el objetivo legítimo puede alcanzarse permitiendo el acceso únicamente a los participantes o a la persona interesada, la publicación abierta debe sustituirse por un método de acceso controlado.
III. Condiciones de tratamiento, minimización de datos y períodos de publicación
Toda publicación en línea debe ampararse, en primer lugar, en una condición válida para el tratamiento. El artículo 5 de la Ley n.º 6698 se aplica a los datos personales ordinarios, mientras que el artículo 6 regula las categorías especiales de datos personales. La Decisión menciona, entre otros ejemplos, el tratamiento expresamente previsto por la ley y el que resulte necesario para que el responsable cumpla una obligación legal. Si no existe una condición válida para el tratamiento, los datos personales no deben compartirse en línea.
La existencia de una condición de tratamiento no permite automáticamente publicar todos los campos de un documento ni facilitar un acceso sin restricciones. Los datos deben limitarse al mínimo necesario para alcanzar la finalidad de la publicación. Si el resultado de un examen puede distinguirse mediante una referencia específica del candidato, la publicación del número de identidad turco, el domicilio, el número de teléfono, los nombres de los progenitores o información de personal ajena al resultado no respetaría el requisito de proporcionalidad. La relación entre cada categoría de datos y la finalidad del anuncio debe acreditarse, en lugar de presumirse a partir de una plantilla documental.
La duración de la publicación forma parte de la misma evaluación. La Decisión exige que el período de disponibilidad se determine atendiendo al plazo previsto en la normativa aplicable o al tiempo necesario para la finalidad del tratamiento y que, una vez transcurrido, se adopten las medidas necesarias para poner fin a la publicación. La existencia de una base jurídica para anunciar en su momento el resultado de un examen, sorteo, nombramiento o solicitud no justifica automáticamente que el documento permanezca durante años en un archivo de acceso abierto. La fecha de publicación, el período de disponibilidad aprobado y la fecha de retirada deben poder rastrearse en un mismo registro.
Las obligaciones de transparencia y seguridad acompañan al análisis de las condiciones de tratamiento, la minimización y la duración. Conforme al artículo 10 de la Ley n.º 6698 y al Comunicado sobre los Procedimientos y Principios para el Cumplimiento de la Obligación de Información, el responsable del tratamiento debe facilitar la información exigida y poder demostrar que lo ha hecho. El artículo 12 exige medidas administrativas y técnicas que respondan a los riesgos de acceso y reutilización generados por la publicación en línea, junto con auditorías internas sobre la aplicación de la Ley.
IV. Medidas aplicables al contenido ya publicado en línea
No existe una única medida adecuada para todos los documentos. Respecto de las publicaciones existentes, la Decisión mantiene la retirada y el enmascaramiento o una adaptación comparable como respuestas alternativas, una vez evaluadas conjuntamente la condición de tratamiento y la conformidad con los principios generales. La destrucción debe examinarse por separado cuando hayan desaparecido los motivos que justificaban el tratamiento, mientras que el acceso autenticado o restringido permite gestionar los resultados que todavía deban estar disponibles sin permanecer abiertos al público.
Retirada de internet
Los datos personales para los que no exista una condición válida de tratamiento no deben publicarse en línea, y una publicación ya existente no puede seguir siendo accesible al público. Cuando concurran conjuntamente una condición válida para el tratamiento y una finalidad lícita de publicación que continúe vigente, pero el defecto se refiera a campos innecesarios o a la proporcionalidad conforme a los principios generales, la respuesta no puede reducirse automáticamente a una única medida. La retirada, el enmascaramiento o una adaptación comparable deben elegirse atendiendo a la naturaleza del defecto, la categoría de datos, la finalidad de la publicación, el período de disponibilidad y el modelo de acceso.
La retirada hace que el documento deje de estar disponible en el sitio web público o en el canal de redes sociales. No determina necesariamente si el documento subyacente debe conservarse en el expediente oficial del organismo público. La continuidad del almacenamiento debe evaluarse conforme a la obligación de conservación aplicable. Retirar un documento de internet y destruir todas las copias que obren en poder de la institución son, por tanto, actuaciones distintas.
Enmascaramiento y adaptación del contenido
Cuando la publicación se ampare en una condición válida para el tratamiento y conserve una finalidad lícita vigente, pero el documento incluya campos innecesarios para esa finalidad, puede optarse por el enmascaramiento o una adaptación comparable. El enmascaramiento permite conservar el contenido operativo de un anuncio y, al mismo tiempo, ocultar la totalidad o la parte necesaria de un número de identidad turco, domicilio, número de teléfono, número de registro u otro identificador. Los campos que deben enmascararse se determinan según la categoría de datos y la finalidad de la publicación. Publicar todos los campos incluidos en una plantilla documental estándar no sustituye el análisis de proporcionalidad.
El enmascaramiento no basta en todos los casos. Si los campos innecesarios no pueden separarse, el período de publicación ha expirado o el acceso abierto resulta incompatible con la finalidad de la publicación, el contenido debe retirarse o debe modificarse el modelo de acceso. Por tanto, el enmascaramiento es una medida disponible, no un sustituto universal de la retirada.
Destrucción
Cuando hayan desaparecido los motivos que exigían el tratamiento, la cuestión trasciende la mera finalización de la publicación en línea. La Decisión de Principio remite al artículo 7 de la Ley n.º 6698 y al Reglamento sobre la Supresión, Destrucción o Anonimización de Datos Personales, y exige la adopción de las medidas de destrucción necesarias. Este análisis debe abordar también si la conservación de los datos en otros sistemas de la institución sigue contando con una base jurídica. La retirada de la copia de la web pública no autoriza la conservación indefinida de otras copias respecto de las cuales haya desaparecido el fundamento del tratamiento.
Acceso autenticado y restringido
El resultado de un examen, sorteo o procedimiento comparable puede seguir teniendo que ponerse a disposición de sus destinatarios sin publicarse para el público general. Si las circunstancias exigen que los participantes puedan verificar recíprocamente sus resultados, el acceso puede limitarse a quienes hayan participado en esa actividad. Cuando no exista tal necesidad de verificación, puede darse a cada persona acceso únicamente a su propio resultado. La Decisión identifica como ejemplos adecuados las plataformas apropiadas de administración electrónica y los métodos de verificación de identidad mediante autenticación de dos factores. El modelo de acceso debe basarse en la naturaleza del resultado, la necesidad de verificación, las categorías de datos y el grupo de usuarios previsto.
V. Evaluación general
La aplicación de la Decisión exige más que una búsqueda puntual en los dominios web y las cuentas de redes sociales. Para cada publicación deben documentarse la unidad responsable, las categorías de datos, la condición de tratamiento, la finalidad de la publicación, los destinatarios, las fechas de inicio y finalización, el registro de transparencia, la medida de enmascaramiento o retirada y la fecha de ejecución. Este mismo registro sirve tanto para la revisión urgente del contenido existente como para el control previo a la publicación de nuevo material. La expresión «con carácter urgente» no equivale a un plazo legal fijo contado por días; exige que la revisión se inicie sin demora y se lleve a cabo mediante un proceso trazable.
La Decisión de Principio exige también expresamente actividades de formación y sensibilización de los empleados, en particular de quienes sean responsables de los sitios web y las plataformas de redes sociales. La formación debe acompañarse de una asignación de funciones que determine quién puede aprobar una publicación, qué campos de un documento no pueden colocarse en internet con acceso abierto, cómo se fija el período de publicación y quién ejecuta una decisión de enmascaramiento o retirada. El responsable del tratamiento debe asimismo realizar o encargar las auditorías necesarias para garantizar la aplicación interna de la Ley.
La constatación de que no se adoptaron las medidas previstas en la Decisión no da lugar automáticamente a una multa administrativa sin que se examine el caso. El Consejo señala que evaluará las circunstancias concretas en el ejercicio de sus facultades de investigación y adoptará las medidas previstas en el artículo 18 de la Ley n.º 6698 respecto del responsable del tratamiento correspondiente. Por tanto, el riesgo de medidas de ejecución y sanciones depende del contenido y alcance de la publicación, las categorías de datos, la condición de tratamiento, el modelo de acceso, el período de publicación y las medidas administrativas y técnicas adoptadas. Para los responsables del tratamiento con personalidad jurídica pública, la respuesta práctica consiste en clasificar sin demora las publicaciones existentes y dejar constancia de la base jurídica para optar, respecto de cada elemento, por el acceso abierto, el acceso restringido, el enmascaramiento, la retirada o la destrucción.
Esta traducción se ofrece únicamente con fines informativos y puede presentar diferencias respecto del texto original.
