| Informe | 2016-0209 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 195070/2016)
El informe jurídico, emitido por el Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD), se refiere al Proyecto de referencia 2016-0209, en el que se analizaron unos ficheros cuya creación estaba prevista por parte de un departamento proponente. Tras su evaluación, la Subdirección General del Registro General de Protección de Datos emitió un informe con observaciones sobre dichos ficheros, destacando posibles incumplimientos de lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD).
El Gabinete Jurídico, tras revisar el mencionado informe, concluyó que las observaciones realizadas eran conformes a la normativa vigente, concretamente a lo establecido en la LOPD. Por ello, ratificó el contenido del informe y recomendó su traslado al Departamento proponente para que realice las modificaciones necesarias con el fin de ajustar el proyecto a la legalidad, evitando así posibles infracciones en materia de protección de datos.
El documento hace especial hincapié en que el cumplimiento de la LOPD debe ser estricto, ya que su vulneración podría dar lugar a sanciones administrativas, según lo establecido en su régimen sancionador.
Detalles adicionales del informe:
El Proyecto pretendía crear ficheros tratamientos de datos personales que podrían no cumplir con los principios establecidos en la LOPD, tales como:
Finalidad: Los datos deben ser tratados para fines explícitos y legítimos.
Proporcionalidad: Solo deben recabarse y tratarse datos estrictamente necesarios para la finalidad perseguida.
Seguridad: Debe garantizarse la confidencialidad e integridad de los datos mediante medidas técnicas y organizativas adecuadas.
Información al interesado: Los afectados deben ser informados de forma clara y transparente sobre el tratamiento de sus datos, sus derechos (acceso, rectificación, cancelación y oposición) y la identidad del responsable del tratamiento.
Consentimiento: En caso de ser necesario, los afectados deben prestar su consentimiento de manera libre, específica e informada.
En este caso, el informe de la AEPD no especifica el contenido exacto de las observaciones, pero puede inferirse que dichos ficheros podrían incumplir alguno de los principios mencionados. Por ejemplo, podrían carecer de una finalidad determinada, justificada y legítima, o no contar con el consentimiento necesario de los afectados para el tratamiento de sus datos.
Conclusión y recomendaciones:
El Departamento proponente del Proyecto debe analizar detalladamente el informe de la AEPD y introducir las modificaciones oportunas para asegurar el cumplimiento de la normativa de protección de datos. Entre las acciones que podrían contemplarse se encuentran:
Revisión de la finalidad y legitimación: Asegurar que los datos se recaban y tratan para una finalidad concreta y que existe base legal para hacerlo (consentimiento, cumplimiento de una obligación legal, etc.).
Minimización de datos: Solo recabar y tratar la información estrictamente necesaria.
Información transparente: Garantizar que los afectados sean informados adecuadamente sobre el tratamiento de sus datos.
Medidas de seguridad: Implementar protocolos que protejan los datos contra accesos no autorizados, pérdida o alteración.
Notificación a la AEPD: Si los cambios afectan significativamente al proyecto, podría ser necesario presentar una nueva notificación o actualización de los ficheros.
Este informe refleja la importancia de la protección de datos en los proyectos que impliquen tratamiento de información personal, así como el rol activo de la AEPD en la supervisión del cumplimiento normativo. La Agencia actúa como garante de los derechos de los ciudadanos y su labor evita posibles vulneraciones de la LOPD que puedan derivar en sanciones económicas (que pueden oscilar entre 900€ y 600.000€, dependiendo de la gravedad de la infracción).
En definitiva, el informe subraya la necesidad de alinearse con la protección de datos desde el diseño (privacy by design) y por defecto (privacy by default), principios que ya se recogían en la LOPD y que fueron reforzados con la entrada en vigor del Reglamento General de Protección de Datos (RGPD) en 2018.