| Informe | 2016-0220 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0220)
En el informe jurídico con referencia 2016-0220, la Agencia Española de Protección de Datos (AEPD) emite un dictamen sobre el cumplimiento de la normativa en materia de protección de datos personales en el contexto de un proyecto europeo. El objetivo es evaluar si la recogida y tratamiento de datos personales en este proyecto se ajusta a lo establecido en la legislación española y europea vigente.
Contexto y requisitos
La AEPD subraya que, para realizar una valoración adecuada, es imprescindible contar con información detallada sobre:
Tipo de datos personales tratados: Debe especificarse si se recogen datos de carácter personal, sensibles (como salud, ideología o afiliación política), biométricos u otros de especial protección.
Participantes en el proyecto: Se debe identificar a las entidades involucradas, especialmente si alguna pertenece a un país fuera del Espacio Económico Europeo (EEE), lo que podría implicar transferencias internacionales de datos.
Flujo de datos: Cómo y entre qué actores se comparten los datos, incluyendo posibles terceros o subcontratistas.
Periodos de conservación: La duración del almacenamiento y los criterios para su supresión o anonimización.
Base legal para el tratamiento: Fondamento jurídico (consentimiento, interés legítimo, cumplimiento de una obligación legal, etc.) y si se aplica alguna excepción relevante.
Medidas de seguridad: Mecanismos técnicos y organizativos implementados para garantizar la confidencialidad, integridad y disponibilidad de los datos.
Solicitud de información adicional
La AEPD indica que, habitualmente, los solicitantes de este tipo de dictámenes adjuntan una memoria del proyecto que describe las actividades a realizar. Este documento es esencial para evaluar el cumplimiento del Reglamento General de Protección de Datos (RGPD, UE 2016/679) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) en España. La falta de información detallada impide emitir un informe concluyente, ya que cada proyecto tiene características únicas que deben analizarse caso por caso.
Procedimiento para la remisión de información
La AEPD ofrece dos vías principales para presentar la documentación requerida:
Registro electrónico, accesible a través de su sede web.
Medios presenciales, según lo establecido en el artículo 38.4 de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, que regula la presentación de escritos y solicitudes ante las administraciones públicas.
Consideraciones clave del dictamen
El informe destaca que, en proyectos transnacionales, es crucial garantizar que:
Se respete el principio de minimización de datos (solo recoger lo necesario).
Se informe claramente a los interesados sobre el tratamiento de sus datos (transparencia).
Se adopten medidas de protección adecuadas en caso de transferencias internacionales, como cláusulas contractuales tipo (SCC) o garantías equivalentes (ej. mediante decisiones de adecuación de la Comisión Europea).
Se elabore un Registro de Actividades de Tratamiento (obligatorio según el RGPD) que documente todos los tratamientos llevados a cabo.
Conclusión
Hasta que no se aporte la información solicitada, la AEPD no puede emitir un dictamen definitivo sobre el cumplimiento normativo del proyecto. La agencia recuerda que la responsabilidad del tratamiento recae tanto en los coordinadores del proyecto como en todos los participantes, quienes deben velar por el cumplimiento de los principios de licitud, lealtad, transparencia y responsabilidad proactiva (accountability) establecidos en el RGPD.
El informe subraya la importancia de abordar desde la fase inicial del proyecto las implicaciones en materia de protección de datos, especialmente en entornos colaborativos con actores extracomunitarios, donde los riesgos de incumplimiento son mayores.