| Informe | 2016-0121 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el proyecto CLIPS (N/REF: 010436/2016)
El Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) analiza en este informe la conformidad con la Ley Orgánica 15/1999 de Protección de Datos Personales (LOPD) del proyecto CLIPS (Cloudification of Public Services in Smart Cities), un proyecto europeo que busca desarrollar servicios públicos en la nube, combinando datos de administraciones públicas y datos abiertos.
Objetivos del proyecto CLIPS
El proyecto tiene como finalidad:
Identificar servicios públicos locales simples (ejemplo: empadronamiento).
Permitir a las administraciones públicas alojar servicios en la nube.
Facilitar la reutilización de estos servicios por otras administraciones.
Combinar servicios para crear soluciones complejas accesibles a través de portales públicos.
Utilizar «micro proxies» para acceder a datos personales de administración pública.
Implementar un escenario transfronterizo.
Participan entidades públicas y privadas de España y otros países europeos, y el proyecto incluye un piloto en el Ayuntamiento de Santander, que desarrolla entre otros servicios el acceso al Padrón Municipal (fichero que contiene datos personales de residentes).
Cuestiones clave abordadas en el informe
Definición de dato personal y tratamiento
El informe recuerda que la LOPD protege todos los datos que identifiquen o puedan identificar a una persona física. Según la definición de la Directiva 95/46/CE (antecesora del RGPD), un dato personal es cualquier información sobre una persona identificada o identificable, directa o indirectamente.
Se hace especial hincapié en:
Dato identificable: Incluye cualquier combinación de rasgos (físicos, culturales, económicos, etc.) que permita singularizar a una persona.
Datos abiertos: Los datos personales no pueden incluirse en iniciativas de open data sin un proceso previo de anonimización o disociación adecuado, ya que su mera agregación o eliminación de identificadores directos (nombre, DNI) no garantiza la imposibilidad de reidentificación.
Tratamiento y cesión de datos del Padrón Municipal
El Padrón Municipal es un fichero público regulado por la Ley 7/1985 de Bases de Régimen Local. El informe aclara que:
Solo pueden comunicarse datos a otras administraciones públicas sin consentimiento cuando sean necesarios para el ejercicio de sus competencias y de forma exclusiva para fines vinculados a la residencia o domicilio.
Fuera de estos supuestos, se requiere consentimiento inequívoco, libre, específico e informado del interesado (art. 11 LOPD).
El principio de proporcionalidad exige que solo se cedan los datos estrictamente necesarios (ejemplo: no enviar la fecha de nacimiento para un certificado de empadronamiento).
El informe destaca que:
«El consentimiento prestado es revocable en cualquier momento y el interesado puede exigir la cancelación de sus datos.»
Encargado del tratamiento vs. cesión de datos
No se considera cesión cuando un tercero accede a los datos como encargado del tratamiento (externo que presta un servicio al responsable). Sin embargo, se requiere:
Contrato escrito que detalle el tratamiento, limitación a los datos necesarios y obligación de no usar los datos para fines propios.
No subcontratación sin autorización expresa, ya que esto podría generar transferencias internacionales de datos.
Medidas de seguridad equivalentes a las del responsable (Título VIII del Reglamento de la LOPD).
En el proyecto CLIPS:
TST (empresa desarrolladora) podría actuar como encargado del tratamiento si cumple estos requisitos y solo accede a datos con fines de desarrollo del proyecto.
Si TST o terceros usan los datos para servicios añadidos (ejemplo: ofrecer servicios comerciales basados en datos), se convierte en cesión y requiere consentimiento del interesado.
Transferencias internacionales de datos
Si los datos se transfieren a un país fuera del Espacio Económico Europeo (EEE) (ejemplo: Italia, donde se aloja el cloud), se considera transferencia internacional de datos (art. 33 LOPD).
Requiere autorización de la AEPD si el país no tiene un nivel de protección adecuado (ejemplo: EE.UU. tras la sentencia Schrems II anuló el Safe Harbor).
Excepciones:
Si el interesado consiente explícitamente (debe conocer los cesionarios).
Si se aplican cláusulas contractuales tipo aprobadas por la UE o Binding Corporate Rules (BCR) para grupos empresariales.
El informe señala que:
«La computación en nube implica transparencia sobre la ubicación de los datos y los subcontratistas, ya que no siempre es posible conocer su localización física.»
Medidas de seguridad y principios de la LOPD
El proyecto debe garantizar:
Seguridad en el tratamiento: Anexar al contrato con el proveedor de cloud un análisis de riesgos y medidas técnicas (ejemplo: cifrado de datos).
Conservación limitada: Los datos deben cancelarse cuando dejen de ser necesarios (transcurridos unos años tras finalizar el proyecto).
Limitación de finalidad: Los datos solo pueden usarse para los fines inicialmente previstos (ejemplo: no usar datos del Padrón para publicidad).
Conclusiones y recomendaciones para el proyecto CLIPS
Consentimiento: Si el proyecto implica cedar datos personales a empresas fuera de las excepciones legales (ejemplo: TST para servicios añadidos), debe obtenerse consentimiento previo e informado de los ciudadanos.
Anonimización: Si se usan datos del Padrón para open data, deben agregarse y disociarse hasta garantizar que no sean reidentificables.
Encargado del tratamiento: La relación con TST debe ser contractualmente clara, limitando su acceso a datos estrictamente necesarios y prohibiendo usos para fines comerciales.
Transferencias internacionales: Si los datos viajan a países sin nivel adecuado de protección (ejemplo: Italia), debe:
Informar a los afectados.
Cumplir con cláusulas contractuales tipo o solicitar autorización de la AEPD.
Servicios añadidos: Las empresas que ofrezcan servicios adicionales (ejemplo: apps para padres) solo podrán acceder a datos si los ciudadanos consienten expresamente y la cesión es proporcional.
Valoración final
El informe reconoce que el proyecto CLIPS tiene un potencial innovador, pero subraya que su implementación debe ajustarse estrictamente a la normativa de protección de datos, especialmente en lo relativo a:
Transparencia en los tratamientos.
Seguridad en el uso de cloud computing.
Consentimiento informado para cualquier cesión no cubierta por la ley.
Además, advierte que el uso de datos del Padrón para servicios añadidos requiere un análisis caso por caso para evitar vulneraciones del principio de proporcionalidad.
En resumen
El proyecto puede ejecutarse, pero condicionado a:
✅ Obtener consentimientos cuando no exista base legal para la cesión.
✅ Anonimizar datos en open data.
✅ Limitar el acceso a datos estrictamente necesarios.
✅ Asegurar medidas de seguridad en la nube.
✅ Respetar los plazos de conservación y cancelación.
La AEPD expresa disposición a supervisar el cumplimiento durante el desarrollo del proyecto.