El Informe 0545/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda diversas dudas sobre la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) en la prestación de servicios de gestión de datos personales de candidatos recibidos desde portales de empleo.
### Encargado del Tratamiento
La primera cuestión es si la empresa consultante tiene el carácter de encargada del tratamiento respecto a las empresas a las que presta servicios. Según la LOPD, el responsable del tratamiento es quien decide sobre la finalidad, contenido y uso del tratamiento de datos. En contraste, el encargado del tratamiento es un tercero que accede a los datos únicamente para prestar un servicio al responsable, sin decidir sobre el contenido, finalidad y uso de los datos.
Para que la relación entre responsable y encargado del tratamiento sea válida, es necesario que el acceso a los datos se realice con la exclusiva finalidad de prestar un servicio al responsable, y que esta relación esté contractualmente establecida. El contrato debe especificar que el encargado del tratamiento solo tratará los datos conforme a las instrucciones del responsable y no los utilizará para otros fines.
### Alojamiento de Datos
El informe también trata sobre el alojamiento de datos en servidores de terceros. El prestador del servicio de hosting se considera encargado del tratamiento si no decide sobre el contenido, finalidad y uso de los datos, y si su actividad se limita a albergar las bases de datos sin utilizarlas en su provecho. En caso de subcontratación, el encargado del tratamiento debe obtener autorización del responsable y asegurar que el subcontratista cumpla con las instrucciones del responsable.
### Cesión de Datos
La comunicación de datos de demandantes de empleo por parte de portales de empleo a otras empresas constituye una cesión de datos, que requiere el consentimiento previo e informado del interesado. El empleador que incorpore datos de demandantes de empleo obtenidos de un portal debe informar al interesado sobre el contenido del tratamiento, la procedencia de los datos y sus derechos.
### Calidad de los Datos
El informe subraya la importancia de la calidad de los datos, que deben ser adecuados, pertinentes y no excesivos en relación con las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Los datos no pueden usarse para finalidades incompatibles con aquellas para las que fueron recogidos.
### Cancelación de Datos
Los datos personales deben ser cancelados cuando dejen de ser necesarios o pertinentes para la finalidad para la cual fueron recabados. El responsable del fichero debe atender las solicitudes de acceso, rectificación, cancelación y oposición realizadas por los interesados.
### Conclusión
En resumen, el informe 0545/2009 de la AEPD establece que la empresa consultante puede actuar como encargada del tratamiento siempre que cumpla con las condiciones establecidas por la LOPD y su reglamento de desarrollo. Además, subraya la importancia de la calidad de los datos, la necesidad de consentimiento informado para la cesión de datos y la obligación de cancelar los datos cuando ya no sean necesarios.