El Informe 486/2005 de la Agencia Española de Protección de Datos (AEPD) aborda la creación de un fichero que contiene datos personales de los representantes legales de entidades religiosas inscritas en el Registro de Entidades Religiosas. La consulta plantea si este fichero está sujeto a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y, en caso afirmativo, qué medidas de protección deben implementarse y si los afectados pueden ejercer su derecho de acceso a los datos.
La AEPD comienza recordando que la Ley Orgánica 15/1999 se aplica a cualquier dato de carácter personal registrado en soporte físico y a su posterior uso por sectores público y privado. Dado que el fichero en cuestión incluye nombres y otros datos de contacto de personas físicas, se encuentra plenamente sometido a dicha ley.
La AEPD subraya que, para que el tratamiento de estos datos sea conforme a la ley, es necesario obtener el consentimiento libre, inequívoco, específico e informado de las personas afectadas. Este consentimiento debe incluir la totalidad de los extremos a los que se extiende el deber de información, conforme al artículo 5.1 de la ley.
En cuanto a las medidas de seguridad, la AEPD establece que, aunque los datos sean básicos (nombre, apellidos, cargo), el fichero debe cumplir con las medidas de seguridad de nivel alto debido a la naturaleza de la información vinculada a entidades religiosas. Esto se debe a que los datos de ideología, religión y creencias requieren una protección más estricta, según el artículo 4.3 del Reglamento de Medidas de Seguridad.
Finalmente, respecto al derecho de acceso, la AEPD indica que, salvo que se haya obtenido el consentimiento expreso del afectado, cualquier solicitud de acceso a los datos personales debe ser negada. La Dirección General consultante debe fundamentar negativamente cualquier solicitud de acceso por parte de terceros, a menos que cuente con el consentimiento explícito de los afectados.
En resumen, el informe concluye que el fichero de representantes de entidades religiosas está sujeto a la Ley Orgánica 15/1999, requiere medidas de seguridad de nivel alto y que el acceso a los datos está condicionado al consentimiento expreso de los afectados.