El Informe 0607/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la consulta sobre la cesión de datos de los clientes de Unión Fenosa al Instituto Gallego de la Vivienda y Suelo, sin el consentimiento de los interesados. Esta cesión se fundamenta en el artículo 54.1.h) de la Ley 4/2003, de 29 de julio, de vivienda de Galicia.
El informe comienza señalando que la comunicación de datos solicitada a Unión Fenosa constituye una cesión de datos de carácter personal, conforme al artículo 3.i) de la Ley Orgánica 15/1999 de Protección de Datos. Según el artículo 11.1 de dicha ley, los datos personales solo pueden ser comunicados a un tercero con el consentimiento del interesado, salvo en los casos excepcionales contemplados en el artículo 11.2, entre los que se incluyen las cesiones amparadas por una norma con rango de ley.
El artículo 54.1.h) de la Ley 4/2003 de Galicia sanciona la no destinación de viviendas de protección oficial a domicilio habitual o su mantenimiento deshabitado sin causa justificada. Sin embargo, el informe concluye que esta normativa no prevé específicamente la cesión de datos para controlar las viviendas de protección oficial. Por lo tanto, la simple remisión a este artículo no justifica la cesión de datos sin consentimiento.
No obstante, el informe destaca que el artículo 59.1 y 4 de la misma ley atribuye competencias de control al Instituto Gallego de la Vivienda y Suelo, y considera a sus inspectores como agentes de la autoridad. Además, el artículo 53.1.ñ) califica como infracción grave la obstrucción o negativa a suministrar datos a la Administración de la Comunidad Autónoma de Galicia.
El informe subraya la importancia del principio de finalidad y proporcionalidad en el tratamiento de datos personales, según el artículo 4.1 de la Ley Orgánica 15/1999. Los datos deben ser adecuados, pertinentes y no excesivos en relación con las finalidades determinadas y legítimas para las que se hayan obtenido.
En conclusión, aunque el artículo 54.1.h) no contempla específicamente la cesión de datos, la atribución de competencias de control en el artículo 59.1 y 4 de la Ley 4/2003 sí habilita esta cesión, basada en el ejercicio de funciones de vigilancia y control. Sin embargo, se debe asegurar que el tratamiento de los datos sea proporcional y adecuado a las finalidades establecidas, y que no se utilicen para fines incompatibles con aquellos para los que fueron recogidos, conforme al artículo 4.2 de la Ley Orgánica 15/1999.