| Informe | 2009-0173 |
| Enlace | 📋 |
El informe jurídico de la AEPD (Agencia Española de Protección de Datos) con número 0173/2009 aborda la consulta de una entidad privada sobre su condición de encargada del tratamiento de datos personales en el contexto de la prestación de un servicio de atención telefónica y emergencia para mujeres en situación de violencia. Este servicio fue adjudicado mediante un concurso público convocado por una Administración Pública Autonómica, y la consulta se realiza en el marco de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) y su reglamento de desarrollo.
El informe comienza analizando si las conversaciones telefónicas y su posible tratamiento están sujetas a la LOPD. Se concluye que sí, ya que cualquier recogida, grabación o procesamiento de datos personales en estas conversaciones implica la aplicación de la normativa de protección de datos. La LOPD define el tratamiento de datos como cualquier operación que permita la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación de datos personales, así como su cesión.
A continuación, el informe se centra en determinar si la entidad contratada para prestar el servicio actúa como encargada del tratamiento. Según la LOPD, el responsable del tratamiento es quien decide sobre la finalidad, contenido y uso de los datos, mientras que el encargado del tratamiento es quien procesa los datos por cuenta del responsable. En este caso, el Instituto Público Autonómico que convoca el concurso es el responsable del tratamiento, ya que decide sobre la finalidad y uso del servicio telefónico. La entidad contratada, por tanto, actúa como encargada del tratamiento.
El informe detalla las garantías y exigencias que debe cumplir el encargo de tratamiento según el artículo 12 de la LOPD. Estas incluyen la necesidad de un contrato por escrito que especifique las condiciones del tratamiento, la limitación del tratamiento a los servicios contratados, la destrucción o devolución de los datos una vez finalizada la prestación del servicio, y la adopción de medidas de seguridad adecuadas. Además, se menciona la posibilidad de subcontratación, siempre y cuando se cumplan ciertos requisitos y se formalice un contrato adicional.
En cuanto al deber de información establecido en el artículo 5 de la LOPD, el informe concluye que corresponde al responsable del tratamiento, es decir, al Instituto Público Autonómico. Sin embargo, este deber puede ser cumplido a través de la entidad encargada del tratamiento, siempre que se especifique claramente en el contrato y se acredite el cumplimiento de la obligación de información.
Finalmente, el informe aborda la forma de hacer efectiva la información del artículo 5 de la LOPD. Se considera que la inclusión de un aviso de privacidad en la página web de la entidad no es una forma idónea, ya que la información debe proporcionarse con carácter previo a la solicitud de los datos y debe permitir acreditar su cumplimiento. Se sugiere, en su lugar, el uso de una alocución o mensaje grabado que informe a las usuarias en el momento de la llamada telefónica.
En resumen, el informe jurídico de la AEPD establece que la entidad privada consultante actúa como encargada del tratamiento de datos personales en el marco del servicio de atención telefónica y emergencia para mujeres en situación de violencia. Debe cumplir con las garantías y exigencias del artículo 12 de la LOPD, y el deber de información corresponde al responsable del tratamiento, aunque puede ser cumplido a través de la entidad encargada. La forma de proporcionar la información debe ser previa y acreditable, sugiriéndose el uso de mensajes grabados en las llamadas telefónicas.