El Informe 0469/2011 de la Agencia Española de Protección de Datos (AEPD) aborda la conformidad del tratamiento y transferencia internacional de datos personales exigidos por la legislación procesal estadounidense en fase de pre-trial discovery, con la Ley Orgánica 15/1999 de Protección de Datos y su Reglamento de desarrollo.
La consulta plantea si la entrega de información que contenga datos personales, tal como está disponible, supone un incumplimiento de la normativa de protección de datos. La AEPD analiza si la legislación procesal estadounidense puede considerarse una obligación legal que legitime el tratamiento de datos en la Unión Europea. Concluye que no, ya que una obligación impuesta por una norma legal o reglamentaria extranjera no puede calificarse como obligación legal que legitime el tratamiento en la UE.
El informe detalla un procedimiento propuesto por la consultante para filtrar la información, incluyendo la creación de copias de seguridad, la exclusión de datos personales no relevantes y la anonimización de ciertos datos. La AEPD evalúa si este procedimiento puede ampararse en la legislación de protección de datos.
Se analiza la posibilidad de que el tratamiento y comunicación de los datos queden excluidos de la aplicación de la legislación de protección de datos, conforme al artículo 2.2 del Reglamento de desarrollo de la Ley Orgánica 15/1999. Este artículo exime del cumplimiento de la normativa a los tratamientos de datos referidos a personas jurídicas y a los ficheros que se limiten a incorporar ciertos datos personales de las personas físicas que presten servicios en aquéllas.
La AEPD concluye que, aunque la remisión de la información a la contraparte podría estar exenta de la aplicación de la Ley Orgánica 15/1999, el tratamiento previo de los datos por la consultante y el encargado del tratamiento sí está sujeto a la normativa de protección de datos. Por tanto, es necesario que este tratamiento encuentre cobertura en las causas de legitimación establecidas por la normativa de protección de datos.
El informe también examina la legitimación para el tratamiento y cesión de la información, considerando el artículo 6.1 y 11.2 a) de la Ley Orgánica 15/1999, en conexión con el artículo 24 de la Constitución, que garantiza el derecho a la tutela judicial efectiva. Se concluye que, bajo ciertas condiciones y garantías, el tratamiento y cesión de los datos podrían estar amparados por estos preceptos.
Finalmente, se analiza la transferencia internacional de datos a las autoridades judiciales estadounidenses, concluyendo que, siempre que se cumplan las cautelas descritas en la consulta, esta transferencia será conforme a la Ley Orgánica 15/1999. La AEPD subraya la importancia de la proporcionalidad, la transparencia y la realización del tratamiento de datos por el responsable o un tercero de confianza dentro del territorio de la Unión Europea.