| Informe | 2016-0041 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0041)
El informe analiza la legalidad de una empresa que, para contratar personal con acceso a información clasificada en el marco de un proyecto de seguridad vinculado a la OTAN, solicita datos sobre los familiares y entorno cercano del trabajador (como familia directa, parejas o compañeros de vivienda) sin contar con su consentimiento explícito.
Contexto normativo
Marco legal aplicable:
La Ley Orgánica 15/1999 (protección de datos) y su Reglamento de desarrollo.
La Norma NS/02 de la Autoridad Nacional para la Protección de la Información Clasificada (dependiente del Centro Nacional de Inteligencia), que regula la Habilitación Personal de Seguridad (HPS). Este documento clasifica como legal la obtención de estos datos cuando son necesarios para evaluar la idoneidad de un candidato para acceder a información reservada.
Exención a la LOPD:
La NS/02 establece que los datos personales recopilados para la solicitud de HPS no están sujetos al régimen de la LOPD, al ampararse en el artículo 2.2.b) de la LOPD, que excluye del ámbito de protección de datos aquellos ficheros relacionados con «materias clasificadas» (seguridad nacional).
Procedimiento para la Habilitación Personal de Seguridad (HPS)
La NS/02 detalla cómo se gestiona la HPS:
Investigación inicial y continua: El proceso incluye una evaluación de riesgos sobre el solicitante y su entorno, que se prolonga durante la vigencia de la habilitación.
Actores implicados:
La Oficina Nacional de Seguridad (dependiente del CNI) es el órgano que concede la HPS.
El superior jerárquico del trabajador debe justificar la necesidad de conceder esta habilitación para el puesto específico.
La empresa contratante actúa como «garante» y canaliza la solicitud, pero no puede incorporar los datos requeridos por la Autoridad Nacional en sus propios sistemas de información, salvo para los fines estrictamente relacionados con la HPS.
Conclusión de la AEPD
La petición de datos del entorno familiar del trabajador es legítima si se enmarca en un proceso de Habilitación Personal de Seguridad, ya que:
La normativa específica sobre seguridad clasifica excluye la aplicación de la LOPD en estos casos.
El proceso cumple con los requisitos establecidos en la NS/02 (solicitud motivada por un superior, tramitación a través de la empresa garante y evaluación continua de riesgos).
No se requiere el consentimiento de los afectados, ya que los datos se recaban para un fin de seguridad nacional.
En resumen: La AEPD avala la recolección de datos familiares sin consentimiento para propósitos de seguridad clasificada, siempre que se sigan los protocolos de la NS/02 y la gestión sea supervisada por la Oficina Nacional de Seguridad. No obstante, advierte que la empresa no puede almacenar estos datos para otros fines distintos a la HPS.