| Informe | 2016-0148 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0148)
El informe analiza si la Dirección de Tecnologías de la Información y las Comunicaciones (DTIC) actúa como encargada del tratamiento en relación con el Registro Central de Personal, y si se requiere un contrato formal de encargo de tratamiento o si esta condición puede derivarse de lo establecido en el Real Decreto 256/2012.
Marco legal y definiciones
Responsable del tratamiento:
Según la LOPD (Ley Orgánica 15/1999) y su reglamento de desarrollo (RD 1720/2007), el responsable es quien decide sobre la finalidad, contenido y uso de los datos.
En este caso, la Dirección General consultante gestiona el Registro Central de Personal, por lo que actúa como responsable del fichero.
Encargado del tratamiento:
Según el artículo 3.g) LOPD, es quien trata datos personales por cuenta del responsable, sin decidir sobre su finalidad.
La DTIC impulsa e implanta el sistema del Registro Central de Personal, lo que la posiciona como encargada del tratamiento.
Requisitos para considerar un encargo de tratamiento
La AEPD establece que no es necesario un contrato específico si:
La función de la DTIC está regulada por normas orgánicas o funcionales (como el RD 256/2012).
La norma atribuye claramente competencias a la DTIC para gestionar sistemas que requieren acceso a datos personales.
No se permite el uso de los datos para fines distintos de los establecidos.
Conclusión sobre el caso concreto
La DTIC es encargada del tratamiento porque:
Su función de impulso e implantación del Registro Central de Personal implica tratar datos por cuenta de la Dirección General responsable.
El RD 256/2012 regula sus competencias, cumpliendo con el requisito de formalización implícita.
No se requiere un contrato de encargo adicional, ya que la norma ya delimita sus funciones y límites.
Medidas de seguridad
Las medidas de seguridad están reguladas por normativa específica (como el Esquema Nacional de Seguridad), por lo que no es necesario incluirlas en un contrato formal.
Conclusión final
La DTIC actúa como encargada del tratamiento en relación con el Registro Central de Personal, y su condición se deriva directamente de la normativa que regula sus competencias, sin necesidad de un contrato adicional.
(Resumen aproximado: 500 palabras).