El Informe 0666/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a un estudio de fotografía que contrata un laboratorio para el servicio de revelado. El informe se centra en determinar si el estudio es el responsable del fichero o si el laboratorio es el encargado del tratamiento.
Según la Ley Orgánica 15/1999, el responsable del fichero es la persona o entidad que decide sobre la finalidad, contenido y uso del tratamiento de los datos. En este caso, el estudio fotográfico es considerado el responsable del tratamiento, ya que es quien establece la relación comercial con los clientes y determina cómo se manejan sus datos. El laboratorio, por su parte, actúa como encargado del tratamiento, accediendo a los datos únicamente para prestar el servicio de revelado al estudio.
Para que esta relación sea conforme a la ley, es necesario que el acceso a los datos por parte del laboratorio se realice con la exclusiva finalidad de prestar el servicio al estudio, y que esta relación esté contractualmente establecida. El contrato debe especificar que el laboratorio tratará los datos solo conforme a las instrucciones del estudio y no los utilizará para otros fines ni los comunicará a terceros.
Una vez finalizada la prestación del servicio, el laboratorio debe destruir o devolver los datos al estudio, junto con cualquier soporte en el que consten. Si el laboratorio utiliza los datos para otros fines o los comunica a terceros, se considerará también responsable del tratamiento y responderá por las infracciones cometidas.
El informe también destaca la importancia de adoptar medidas de seguridad adecuadas. El nivel de seguridad a aplicar depende de la naturaleza de los datos tratados. En este caso, si los datos se limitan a imágenes, identificación del cliente, y dirección y teléfono, el nivel de medidas de seguridad será básico.
Finalmente, el estudio fotográfico, como responsable del fichero, tiene la obligación de notificar la creación del fichero a la AEPD para su inscripción en el Registro General de Protección de Datos, conforme a lo establecido en el artículo 26 de la Ley Orgánica 15/1999.