El Informe 0175/2010 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la posibilidad de aplicar medidas de seguridad de nivel básico a un tratamiento de datos de discapacidad de solicitantes de viviendas o plazas de aparcamiento protegidas. La consulta se enmarca en el cumplimiento del porcentaje de reserva de plazas para discapacitados establecido por las normas vigentes, conforme a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) y su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007.
El Reglamento establece que los datos relacionados con la discapacidad se consideran datos de salud. Sin embargo, permite una excepción a la exigencia general de implantar medidas de seguridad de nivel alto para estos datos. Según el artículo 81.6 del Reglamento, se pueden implantar medidas de seguridad de nivel básico en ficheros que contengan datos relativos al grado de discapacidad o la simple declaración de la condición de discapacidad, siempre que sea con motivo del cumplimiento de deberes públicos.
El informe analiza un caso similar en el ámbito del asesoramiento fiscal, donde se concluyó que, aunque los datos no se recogen para que el responsable cumpla con una obligación legal, sí se recaban con ocasión del cumplimiento por el afectado de dicha obligación. Por lo tanto, se considera que la excepción del artículo 81.6 es aplicable.
En el caso concreto planteado, la entidad consultante recoge y trata datos de discapacidad de solicitantes de viviendas y plazas de aparcamiento protegidas para cumplir con una obligación legal de reserva de un porcentaje de dichas viviendas y plazas para discapacitados. Normativas como el Decreto 3/2004 de la Junta de Comunidades de Castilla-La Mancha y la Ley 1/1994 de Accesibilidad y Eliminación de Barreras en Castilla-La Mancha establecen estas obligaciones.
El informe concluye que, dado que la entidad trata los datos de discapacidad únicamente para cumplir con las obligaciones legales impuestas, el supuesto se subsume en lo dispuesto en el artículo 81.6 del Real Decreto 1720/2007. Por lo tanto, es suficiente con adoptar medidas de seguridad de nivel básico sobre el fichero que contenga estos datos de salud, siempre que el fichero no esté sujeto a medidas de nivel medio o alto por otras razones.