| Informe | 2017-0217 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2017-0217)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza si la comunicación de datos personales por parte de las Direcciones Territoriales de la Agencia de Servicios Sociales y Dependencia de Andalucía a los centros de atención residencial para personas mayores en situación de dependencia, con motivo de la celebración de un contrato administrativo o convenio, se ajusta a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD).
Contexto y marco legal
La AEPD examina si esta comunicación constituye una cesión de datos o un acceso por cuenta del responsable del tratamiento (encargado del tratamiento). Según el artículo 12 de la LOPD, no se considera comunicación de datos cuando el acceso de un tercero sea necesario para la prestación de un servicio al responsable del tratamiento.
Responsable del tratamiento: Decide sobre la finalidad, contenido y uso de los datos (art. 3.d LOPD).
Encargado del tratamiento: Trata datos por cuenta del responsable, sin decidir sobre su finalidad (art. 3.g LOPD y art. 5.1.i del Reglamento de desarrollo de la LOPD).
Análisis del caso concreto
La Agencia de Servicios Sociales y Dependencia de Andalucía (adscrita a la Junta de Andalucía) contrata con centros privados la prestación de servicios de atención residencial para personas en situación de dependencia. En este marco, se comunican datos de los expedientes de dependencia para preparar la acogida en los centros.
El informe concluye que no existe cesión de datos, sino un acceso por cuenta del responsable, ya que:
Los centros actúan como encargados del tratamiento, limitándose a tratar los datos según las instrucciones de la Agencia.
Los contratos y pliegos de cláusulas administrativas establecen que los datos deben tratarse con confidencialidad y solo para los fines del contrato, sin poder cederlos a terceros ni utilizarlos para otros fines.
La Disposición Adicional 26ª de la Ley de Contratos del Sector Público (LCSP) confirma que, en estos casos, el contratista tiene la condición de encargado del tratamiento.
Tratamiento de datos de salud
Los datos comunicados incluyen información sobre la salud de los usuarios (porcentaje de discapacidad, datos genéticos, etc.), que tienen un régimen especial según el artículo 7.3 de la LOPD. Los centros deben garantizar:
El cumplimiento de las medidas de seguridad establecidas en la LOPD y su reglamento.
La confidencialidad de la información clínica, conforme a la Ley 41/2002 de autonomía del paciente.
La destrucción o devolución de los datos una vez finalizado el contrato.
Doctrina y jurisprudencia
La AEPD cita sentencias de la Audiencia Nacional (como la de 2/07/2010) que respaldan esta interpretación, confirmando que cuando un contratista accede a datos por cuenta de la Administración, actúa como encargado del tratamiento y no como cesionario.
Conclusión
La comunicación de datos en este contexto es conforme a la LOPD, siempre que se cumplan las condiciones establecidas en los contratos y la normativa de protección de datos. Los centros deben actuar como encargados del tratamiento, respetando las instrucciones de la Agencia y garantizando la confidencialidad y seguridad de los datos.