| Informe | 2016-0193 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0193)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD), con referencia 2016-0193, aborda la transmisión de datos entre órganos de una misma Administración Pública y su consideración como cesión de datos conforme a la Ley Orgánica 15/1999 (LOPD) y su reglamento de desarrollo (Real Decreto 1720/2007).
Definición de cesión de datos y su ámbito
Según el artículo 3.i) LOPD, se considera cesión de datos «toda revelación de datos realizada a una persona distinta del interesado». Esto incluye la transmisión de información entre dos órganos distintos de una misma Administración Pública, siempre que uno de ellos sea responsable del tratamiento.
Aunque el principio de personalidad jurídica única de las Administraciones Públicas podría sugerir que no hay cesión, la AEPD establece que la transferencia de datos entre órganos distintos conlleva una cesión, ya que uno de ellos actúa como «tercero» desde la perspectiva de la LOPD.
Supuestos que permiten la cesión sin consentimiento
La LOPD y su reglamento permiten la cesión de datos entre Administraciones Públicas sin necesidad de consentimiento del interesado en los siguientes casos:
Fines históricos, estadísticos o científicos (artículo 10.4.c) del Reglamento).
Los datos fueron recogidos por una Administración para otra (por ejemplo, intercambio entre comunidades autónomas).
Ejercicio de competencias idénticas o relacionadas (artículo 11.2 LOPD y 10.4.c del Reglamento).
Además, el artículo 11.2.a LOPD permite la cesión cuando esté autorizada por una Ley, aunque la AEPD matiza que esta norma debe cumplir con el contenido esencial del derecho fundamental a la protección de datos (artículo 18.4 CE) y no ser arbitraria.
Excepciones legales: Ley 39/2015 y procedimientos administrativos
La Ley 39/2015 de Procedimiento Administrativo Común (LPAC) regula derechos de los ciudadanos, como:
Derecho a no aportar documentos ya custodiados por las Administraciones (artículo 53.1.d LPAC).
Posibilidad de que las Administraciones consulten datos entre sí sin consentimiento, salvo oposición expresa del interesado (artículo 28.2 LPAC).
Estas disposiciones facultan la cesión de datos entre Administraciones, pero no eximen de cumplir con los principios de la LOPD, como el proporcionalidad, finalidad legítima y seguridad.
Obligaciones para las Administraciones
Notificación a la AEPD: Las cesiones deben reflejarse en los ficheros públicos notificados (artículo 20.2.e LOPD).
Derecho de acceso del ciudadano: Los interesados pueden solicitar información sobre quién ha accedido a sus datos (artículo 15 LOPD).
Auditorías de protección de datos: Las Administraciones deben realizar auditorías cada dos años (artículo 96 del Reglamento) para verificar el cumplimiento de las medidas de seguridad cuando los datos sean de nivel medio o alto. Estas auditorías deben:
Analizar accesos y tratamientos.
Identificar deficiencias y proponer mejoras.
Evaluar la proporcionalidad y legalidad de las cesiones.
Riesgos y advertencias de la AEPD
La AEPD recuerda que:
La mera existencia de una Ley no legitima cualquier cesión: Debe respetarse el principio de proporcionalidad y el derecho fundamental a la protección de datos (STC 17/2013).
No se permite la comunicación indiscriminada de datos: Las cesiones deben estar justificadas por la misma finalidad que motivó su recogida.
El consentimiento del interesado sigue siendo necesario en casos no amparados por excepciones legales.
Conclusión
El informe de la AEPD afirma que la transmisión de datos entre órganos de una misma Administración Pública constituye una cesión de datos, sujeta a la LOPD. Aunque existen excepciones legales (sobre todo en marcos como la LPAC), las Administraciones deben garantizar que tales cesiones sean necesarias, proporcionadas y respetuosas con los derechos fundamentales. Además, se refuerza la obligación de auditar periódicamente estos procesos para asegurar el cumplimiento normativo.
Este criterio está alineado con la jurisprudencia del Tribunal Constitucional y la doctrina de la AEPD, que persiguen evitar usos indebidos o excesivos de los datos personales en el ámbito público.