| Informe | 2016-0193 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0193)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la transmisión de datos entre órganos de una misma Administración Pública y su consideración como cesión de datos según la Ley Orgánica 15/1999 (LOPD) y su Reglamento (RD 1720/2007). La AEPD concluye que, a pesar del principio de personalidad jurídica única de las Administraciones Públicas, la transmisión de datos entre distintos órganos de una misma Administración se considera cesión de datos conforme al artículo 3.i) de la LOPD, que define como cesión «toda revelación de datos realizada a una persona distinta del interesado».
Marco legal y fundamentos
Definición de cesión de datos: Según la AEPD, una cesión de datos ocurre cuando un órgano administrativo transmite información a otro distinto, incluso dentro de la misma Administración, siempre que uno de ellos sea responsable del tratamiento de los datos. Esto se alinea con el criterio reiterado por la AEPD y la Audiencia Nacional.
Responsable del tratamiento: El artículo 3.c) de la LOPD establece que el responsable del fichero en el ámbito público es el órgano que decide sobre la finalidad, contenido y uso del tratamiento. Por lo tanto, la transmisión entre órganos distintos implica cesión de datos, salvo que exista una excepción legal.
Principios de la LOPD:
Finalidad (Art. 4.1 LOPD): Los datos solo pueden usarse para las finalidades explícitas y legítimas para las que se recabaron.
Uso compatible (Art. 4.2 LOPD): No pueden usarse para fines distintos sin consentimiento.
Excepciones a la cesión de datos
La AEPD reconoce ciertas excepciones donde la cesión entre Administraciones es posible sin consentimiento del interesado:
Supuestos del Art. 10.4.c) del Reglamento:
Fines históricos, estadísticos o científicos.
Los datos fueron elaborados por una Administración para otra.
La comunicación se realiza para el ejercicio de competencias idénticas o afines.
Autorización legal (Art. 11.2.a LOPD):
Cuando una ley específica ampare la cesión, siempre que respete el derecho fundamental a la protección de datos (Art. 18.4 CE) y el principio de proporcionalidad.
Comunicaciones con instituciones como el Defensor del Pueblo o el Ministerio Fiscal (Art. 11.2.d LOPD):
Estas comunicaciones no requieren consentimiento del interesado.
Ley 39/2015 de Procedimiento Administrativo Común (LPAC):
Facilita la cesión entre Administraciones cuando los datos ya obren en su poder o hayan sido elaborados por ellas, siempre que el interesado no se oponga.
Se presume el consentimiento salvo que conste oposición expresa.
Requisitos para la legalidad de las cesiones
La AEPD subraya que, aunque exista una base legal para la cesión, debe cumplirse con:
Reserva de Ley (Art. 53.1 CE): La norma habilitante debe respetar el contenido esencial del derecho a la protección de datos.
Principio de proporcionalidad: La cesión debe ser necesaria y no excesiva para la finalidad perseguida.
Transparencia: Los interesados deben tener acceso a información sobre las cesiones realizadas (Art. 15 LOPD).
Notificación y auditoría
Notificación a la AEPD: No es necesario notificar cada cesión individual, pero sí deben incluirse las categorías de cesionarios en la notificación inicial del fichero (Art. 20.2.e LOPD).
Auditorías (Art. 96 RD 1720/2007):
Los sistemas de información con nivel medio o alto de seguridad deben someterse a auditorías cada dos años.
Las auditorías deben verificar el cumplimiento de las medidas de seguridad y proponer correcciones si es necesario.
También se requiere revisión mensual de los registros de acceso en ficheros de nivel alto (Art. 103.5 RD 1720/2007).
Conclusión
La AEPD deja claro que la transmisión de datos entre órganos de una misma Administración se considera cesión de datos y debe cumplir con la LOPD, salvo en los casos excepcionales previstos legalmente. Las Administraciones deben garantizar que:
Las cesiones respeten los principios de finalidad, adecuación y proporcionalidad.
Exista una base legal que legitime la cesión, si no hay consentimiento del interesado.
Se implementen medidas de seguridad y auditoría para garantizar la protección de los datos.
Este informe refuerza la necesidad de que las Administraciones actúen con rigor jurídico y técnico en el tratamiento y cesión de datos personales, evitando cesiones indiscriminadas que puedan vulnerar los derechos de los ciudadanos.