| Informe | 2016-0176 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0176)
El informe de la Agencia Española de Protección de Datos (AEPD) aborda una consulta planteada por un grupo político de una Diputación que solicita acceder a la documentación justificativa presentada por la Universidad de Salamanca sobre el cumplimiento de convenios suscritos entre 2011 y 2015 (con límite temporal de 2012-2015 en la tramitación). El núcleo del análisis se centra en determinar si esta cesión de datos se ajusta a la Ley Orgánica 15/1999 (LOPD) y su Reglamento de desarrollo (Real Decreto 1726/2007).
Marco legal aplicable
La AEPD recuerda que la LOPD protege los datos de carácter personal (información sobre personas identificadas o identificables, como salarios, domicilios o cuentas bancarias), pero no aplica a datos de personas jurídicas (como ingresos o deudas de entidades). En este caso, la petición podría incluir datos personales de empleados públicos o terceros vinculados a la Universidad.
La cesión se ampara en el artículo 77 de la Ley 7/1985 de Bases de Régimen Local, que otorga a los miembros de corporaciones locales (como concejales o diputados provinciales) el derecho a acceder a la información necesaria para ejercer su función de control sobre el gobierno municipal o provincial. Sin embargo, este acceso debe respetar los principios de la LOPD, especialmente:
Proporcionalidad: Solo se pueden ceder los datos adecuados, pertinentes y no excesivos para el fin perseguido (control institucional).
Finalidad: Los datos no podrán usarse para fines distintos al ejercicio del control.
Seguridad: La información debe tratarse de manera que se minimice la exposición de datos irrelevantes para el objetivo legítimo.
Criterios de la AEPD
La Agencia cita doctrina consolidada para Corporaciones Municipales (aplicable por analogía a Diputaciones Provinciales), estableciendo que:
La cesión es legítima si existe una norma legal habilitante (como el artículo 77 de la Ley de Bases de Régimen Local) que justifique el acceso a datos necesarios para el control.
Los datos deben ser esenciales para el ejercicio de la función. Por ejemplo:
En casos de solicitud de nóminas, los grupos políticos pueden acceder a la información desglosada de retribuciones (salario bruto, conceptos, etc.), pero no necesariamente a los documentos completos de nómina, que pueden incluir datos irrelevantes (como domicilios fiscales o cuentas bancarias personales) y vulnerar la privacidad.
Cuando la información solicitada incluya datos personales no necesarios para el control (ej.: afiliación sindical de empleados), la cesión deberá filtrarse o anonimizarse para eliminar lo superfluo.
Conclusiones y recomendaciones
Legitimidad de la cesión: La Diputación puede facilitar la información requerida para cumplir con el control político-institucional, pero debe hacerlo respetando los principios de calidad y minimización de datos de la LOPD.
Limitaciones:
Datos irrelevantes: Si la documentación incluye información personal no esencial (ej.: cuentas bancarias personales de empleados), la Diputación debe facilitar versiones anonimizadas o resúmenes que excluyan estos datos.
Uso exclusivo: Los grupos políticos solo podrán usar los datos para el ejercicio de su función de control, sin publicarlos ni cederlos a terceros.
Evaluación caso por caso: La AEPD no entra a valorar la proporcionalidad de cada dato concreto en este informe, ya que la consulta no detalla suficientemente los campos solicitados. Corresponde a la Diputación determinar, en función de sus registros y la normativa interna, qué información es necesaria e incluir de qué modo garantizará el cumplimiento de la LOPD.
Refrendo jurisprudencial
La AEPD se apoya en informes previos (como el de 5 de agosto de 2009 y 19 de abril de 2010) que subrayan que, aunque la cesión esté legalmente justificada, debe ponderarse el interés público del control con el derecho a la intimidad, priorizando soluciones menos invasivas (ej.: informes agregados en lugar de datos personales detallados).
En definitiva, la cesión es posible, pero debe realizarse con estrictas garantías de proporcionalidad y seguridad, evitando accesos masivos a información personal cuando no sea directamente relevante para el fin perseguido. La Diputación consultante debe diseñar protocolos que equilibren transparencia y protección de datos.