| Informe | 2016-0220 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Fichero 2016-0220/Gabinete Jurídico)
La Agencia Española de Protección de Datos (AEPD) recibió una solicitud de dictamen para evaluar si el tratamiento de datos personales en un proyecto europeo cumple con la normativa española (en concreto, con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y el Reglamento General de Protección de Datos -RGPD-). El informe, registrado con el número 2016-0220, fue emitido por el Gabinete Jurídico de la AEPD y concluye que para determinar la legalidad del tratamiento es imprescindible contar con información detallada sobre los siguientes aspectos del proyecto:
Datos personales objeto de tratamiento
La AEPD requiere una descripción exhaustiva de qué categorías de datos personales se recogerán (nombres, correos electrónicos, datos sensibles, etc.), ya que la normativa exige que el tratamiento sea proporcional, limitado a lo necesario y justificado por una finalidad concreta.
Partícipes en el proyecto y su localización
Es necesario identificar a todos los participantes (entidades, organismos, empresas) y, específicamente, determinar si alguno de ellos está fuera del Espacio Económico Europeo (EEE), ya que esto afecta a las transferencias internacionales de datos, sujetas a requisitos adicionales (como garantías adecuadas, cláusulas contractuales o excepciones como el consentimiento explícito).
Flujos de datos entre participantes
La AEPD debe conocer cómo y entre qué actores circularán los datos (ej.: si hay subcontratistas, bases de datos compartidas o plataformas colaborativas). Esto es clave para evaluar riesgos como accesos no autorizados o incumplimientos de los principios de minimización y seguridad.
Periodos de conservación
Se debe especificar cuánto tiempo se almacenarán los datos y los criterios para su eliminación o anonimización. La normativa exige que los datos no se conserven más allá del necesario para cumplir la finalidad del proyecto.
Otras consideraciones relevantes
El informe alude a que el solicitante suele adjuntar una memoria descriptiva del proyecto, donde se detallen los objetivos, metodología, tecnologías utilizadas y marcos legales aplicables. Esta documentación permite a la AEPD analizar la base legal del tratamiento (ej.: consentimiento, interés legítimo, cumplimiento de una obligación legal) y si se han implementado medidas de seguridad adecuadas.
Metodología para la presentación de la información
La AEPD sugiere remitir los documentos a través de:
Registro electrónico (vía sede electrónica).
Vías presenciales o por correo, según lo establecido en el artículo 38.4 de la Ley 30/1992 (Régimen Jurídico de las Administraciones Públicas).
Conclusión
El dictamen de la AEPD no aprueba ni rechaza automáticamente el tratamiento, sino que condiciona su validez a la aportación de la información solicitada. Sin estos datos, la Agencia no puede garantizar el cumplimiento normativo. Este enfoque refleja el principio de responsabilidad proactiva del RGPD, donde las organizaciones deben demostrar el cumplimiento más que limitarse a seguir prescripciones genéricas.
En resumen, el informe subraya la necesidad de transparencia y precisión en los proyectos que involucran datos personales, especialmente en contextos europeos con múltiples actores y transferencias transfronterizas. Sin estos elementos, el riesgo de infracción (con posibles sanciones) aumenta significativamente.