| Informe | 2018-0058 |
| Enlace | 📋 |
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la adecuación de un borrador de Decreto General de la Conferencia Episcopal Española sobre la protección de datos de la Iglesia Católica en España al Reglamento General de Protección de Datos (RGPD).
El informe comienza destacando que, según el artículo 91 del RGPD, las normas propias de las confesiones religiosas en materia de protección de datos, si las hubiere, deben estar aplicándose en el momento de la entrada en vigor del RGPD (25 de mayo de 2016) y deben ser conformes al mismo. Dado que el borrador del Decreto General no estaba vigente en esa fecha, no puede considerarse una norma aplicable a los efectos del artículo 91 del RGPD. Por lo tanto, los tratamientos de datos personales realizados por la Iglesia Católica en España están sujetos al régimen general establecido en el RGPD.
El informe señala que el borrador del Decreto General pretende crear una norma aplicable a los tratamientos de datos personales realizados por las entidades religiosas de la Iglesia Católica, a modo de un nuevo RGPD. Sin embargo, esto no es posible, ya que el RGPD es de aplicación directa y no puede ser desplazado por normas internas de una confesión religiosa.
A continuación, el informe analiza diversos artículos del borrador del Decreto General, destacando los siguientes aspectos:
Bases jurídicas del tratamiento: El borrador del Decreto General establece como base jurídica del tratamiento, entre otros, el propio Decreto General o cualquier otra norma eclesiástica o estatal. Esto no es conforme al RGPD, que establece de manera taxativa las bases jurídicas del tratamiento en su artículo 6.
Consentimiento: El borrador del Decreto General permite el consentimiento implícito (consentimiento tácito), lo cual es contrario al RGPD, que exige que el consentimiento sea explícito.
Derechos de los interesados: El borrador del Decreto General establece limitaciones a los derechos de los interesados (derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición) que no se recogen en el RGPD. Además, permite la exclusión o restricción de estos derechos en virtud del Derecho canónico o de otra normativa aplicable, lo cual es contrario al RGPD.
Transferencias internacionales de datos: El borrador del Decreto General establece que las transferencias de datos personales entre autoridades eclesiásticas no se considerarán transferencias de datos personales a terceros países u organizaciones internacionales. Sin embargo, estas transferencias deben ser analizadas en todo caso con arreglo a la normativa que al respecto establece el RGPD.
Delegado de protección de datos: El borrador del Decreto General otorga al delegado de protección de datos de la Conferencia Episcopal Española la competencia para decidir si un tercer país garantiza un nivel de protección adecuado para la transferencia de datos personales al mismo. Esta competencia corresponde a la Comisión Europea según el RGPD.
Videovigilancia y tratamiento de datos personales en el ámbito laboral: El borrador del Decreto General regula la videovigilancia y el tratamiento de datos personales en el ámbito laboral. Sin embargo, no se advierte la necesidad de dicha regulación, ya que no parece referirse a tratamientos de datos personales propios o específicos de una entidad religiosa.
En conclusión, el informe de la AEPD considera que el borrador del Decreto General no es conforme al RGPD en diversos aspectos y que los tratamientos de datos personales realizados por la Iglesia Católica en España están sujetos al régimen general establecido en el RGPD.