El Informe 0472/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda diversas cuestiones relacionadas con el archivo y cancelación de los Expedientes de Adopción, conforme a un Convenio de Colaboración suscrito entre el Colegio Oficial consultante y la Consejería de Bienestar Social, Juventud y Vivienda del Gobierno de Canarias. Este convenio se enmarca en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
El informe comienza determinando la posición del Colegio Profesional consultante desde la óptica de la protección de datos. Según el convenio, el Colegio realiza un tratamiento de datos por encargo de la Consejería de Empleo y Asuntos Sociales, quien es el responsable del tratamiento. Este rol se define en el artículo 3 d) de la Ley Orgánica como la entidad que decide sobre la finalidad, contenido y uso del tratamiento.
El Colegio Profesional actúa como encargado del tratamiento, lo que implica que debe limitarse a la prestación de los servicios objeto del convenio. La realización de tratamientos por cuenta de terceros debe estar regulada en un contrato escrito, que establezca que el encargado del tratamiento solo tratará los datos conforme a las instrucciones del responsable y no los utilizará para fines distintos a los acordados.
El informe también aborda el periodo de conservación de los datos. Una vez cumplida la prestación contractual, los datos deben ser destruidos o devueltos al responsable del tratamiento. Sin embargo, el encargado del tratamiento puede conservar los datos bloqueados mientras puedan derivarse responsabilidades de su relación con el responsable.
En cuanto al derecho de cancelación, el artículo 26 del Reglamento Real Decreto 1720/2007 establece que, si los afectados ejercen sus derechos ante el encargado del tratamiento, este debe dar traslado de la solicitud al responsable para que resuelva. La cancelación de los datos implica su bloqueo, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales para la atención de posibles responsabilidades.
El informe concluye que la cancelación no siempre supone un borrado físico de los datos, sino que puede determinar el bloqueo de los mismos si así lo establece una norma con rango de Ley o se desprende de la relación jurídica entre el responsable del fichero y el afectado. El bloqueo debe efectuarse de manera que no sea posible el acceso a los datos por parte del personal habitual, limitándose el acceso a personas con máxima responsabilidad y solo en virtud de requerimientos judiciales o administrativos.
En resumen, el informe subraya la importancia de cumplir con la normativa de protección de datos, especialmente en lo que respecta a la conservación y cancelación de datos personales, y establece las responsabilidades y obligaciones tanto del responsable como del encargado del tratamiento.