| Informe | 2017-0320 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2017-0320)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la legalidad de un tratamiento de datos personales por parte de una empresa de seguros, que consistía en descargar y procesar información publicada en el Boletín Oficial del Estado (BOE), concretamente datos sobre infracciones de tráfico, pérdida de puntos del carnet de conducir, vehículos con autorización administrativa suspendida y otros supuestos similares. La finalidad era permitir a la aseguradora consultar el historial de infracciones de potenciales clientes mediante un servicio web.
Conclusiones principales del informe:
Prohibición de tratamiento por entidades privadas:
La AEPD recuerda que los datos relativos a infracciones administrativas (como multas de tráfico) solo pueden ser tratados por Administraciones Públicas competentes, en virtud del artículo 7.5 de la LOPD (Ley Orgánica 15/1999).
Aunque los datos se publiquen en fuentes accesibles al público (como el BOE), su tratamiento por parte de empresas privadas vulnera la LOPD, ya que no existe una base legal que lo ampare.
El informe cita precedentes como la Orden INT/3022/2010 (que regula el Tablón Edictal de Sanciones de Tráfico, TESTRA) y la Orden TIN/831/2011 (sobre edictos de la Seguridad Social), que prohíben expresamente el almacenamiento y tratamiento de estos datos por terceros no autorizados.
Datos especialmente protegidos:
Algunos de los datos mencionados (como la pérdida de capacidades psicofísicas para conducir) se consideran datos sensibles (salud), regulados por el artículo 7.3 de la LOPD, cuyo tratamiento requiere consentimiento expreso o una base legal específica, algo que no se cumple en este caso.
Exceso en el tratamiento de datos:
Aunque la empresa aseguradora argumentaba que solo accedería a los datos de sus clientes, el informe señala que el tratamiento propuesto no se limitaría a clientes, sino que incluiría datos de todas las personas publicadas en el BOE, lo que vulnera el principio de calidad de los datos (artículo 4 LOPD).
Falta de legitimación para el tratamiento:
Ni la aseguradora (como responsable del tratamiento) ni la consultante (como posible encargado) cumplen con los requisitos legales para tratar estos datos, ya que no existe una base jurídica que lo permita (ni consentimiento, ni interés legítimo, ni cumplimiento de una obligación legal).
Conclusión final:
El informe concluye que el tratamiento de datos propuesto por la empresa de seguros no está amparado por la LOPD ni por el Reglamento General de Protección de Datos (GDPR), ya que:
Los datos sobre infracciones administrativas solo pueden ser gestionados por las Administraciones Públicas.
No existe una base legal que permita a una entidad privada acceder y almacenar estos datos.
El tratamiento sería excesivo y vulneraría los principios de minimización y finalidad de los datos.
Por tanto, la AEPD desaconseja la realización de este tratamiento, ya que incumpliría la normativa de protección de datos.