El Informe 0552/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la conformidad con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) respecto a la comunicación de datos contenidos en los Padrones Municipales a una empresa metropolitana encargada del abastecimiento de aguas. Esta empresa, de titularidad municipal, necesita acceder a los datos para facturar el servicio en función del número de residentes en cada domicilio, según un nuevo sistema tarifario.
El informe analiza si esta comunicación de datos puede realizarse bajo la figura del «encargado del tratamiento» regulada en el artículo 12 de la LOPD. Para ello, se examinan varias normativas y principios legales:
1. **Definición de Tasas y Capacidad Económica**: La Ley 8/1989 de Tasas y Precios Públicos define las tasas como tributos cuyo hecho imponible es la utilización de servicios públicos. La imposición de tasas es competencia exclusiva de los poderes públicos, y la entidad consultante solo puede facilitar la gestión de estos tributos, sin utilizar la información para beneficio propio.
2. **Cesión vs. Encargado del Tratamiento**: Se distingue entre cesión de datos y la figura del encargado del tratamiento. La cesión ocurre cuando quien recibe los datos puede utilizarlos para sus propias finalidades, convirtiéndose en responsable del tratamiento. En cambio, el encargado del tratamiento actúa bajo las instrucciones del responsable y no decide sobre la finalidad de los datos.
3. **Aplicación de la Figura del Encargado del Tratamiento**: En el caso planteado, el Municipio facilita el Padrón municipal a la empresa metropolitana solo para la prestación del servicio de abastecimiento de aguas, sin que esta pueda utilizarlo para otros fines. Esta actividad encaja en la figura del encargado del tratamiento, siempre y cuando se cumplan ciertas condiciones.
4. **Requisitos Legales**: Para que la entidad consultante sea considerada encargada del tratamiento, debe existir un contrato por escrito que especifique las instrucciones del responsable, las medidas de seguridad, y la obligación de destruir o devolver los datos una vez concluida la prestación del servicio. Además, la entidad no puede subcontratar los servicios sin el consentimiento del responsable y debe cumplir con las mismas medidas de seguridad que este.
5. **Responsabilidad y Sanciones**: Si el encargado del tratamiento utiliza los datos para fines distintos a los acordados, será considerado responsable del tratamiento y sujeto al régimen sancionador de la LOPD.
En resumen, el informe concluye que la comunicación de datos del Padrón Municipal a la empresa metropolitana es conforme con la LOPD siempre que se actúe bajo la figura del encargado del tratamiento, cumpliendo con todos los requisitos legales y contractuales establecidos. Esto garantiza que los datos se utilicen únicamente para la prestación del servicio de abastecimiento de aguas y no para otros fines, protegiendo así la privacidad de los ciudadanos.