| Informe | 2018-0084 |
| Enlace | 📋 |
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) aborda dos cuestiones principales relacionadas con la condición de la Secretaría General de Administración Digital (SGAD) como posible encargada del tratamiento de datos en el marco de los servicios que presta a los responsables de tratamiento, entes u órganos de las Administraciones Públicas, según lo establecido en los Reales Decretos 769/2017 y 806/2014.
La primera cuestión plantea si es extrapolable la conclusión del informe N/REF: 120294/2016 de la AEPD, respecto a la condición de encargado de tratamiento de la SGAD, en relación a los servicios que preste a los responsables de tratamiento. La respuesta es afirmativa. El artículo 28.3 del Reglamento General de Protección de Datos (RGPD) permite que la condición de encargado del tratamiento se rija bien por un contrato bien por un «acto jurídico». El RGPD considera que una norma jurídica, como una ley o un real decreto, tiene el carácter de «acto jurídico» a los efectos del RGPD. Por lo tanto, una norma jurídica puede establecer la condición de encargado del tratamiento sin necesidad de un contrato formal.
La segunda cuestión se refiere a si los Reales Decretos y Leyes mencionados en la consulta, que atribuyen a la SGAD la condición de prestador de Servicios TIC respecto de otras administraciones, pueden considerarse el acto jurídico que da cumplimiento a los requisitos formales exigidos en el artículo 28.3 del RGPD, sin necesidad de adoptar un acto formal de encargo de tratamiento. El informe señala que, según el Informe de 18 de junio de 2014, la atribución de funciones y competencias a la SGAD mediante un decreto ya supone la existencia de un contrato de encargo de tratamiento, cumpliendo con los requisitos establecidos en el artículo 12.2 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD).
El informe destaca que la norma jurídica que atribuye competencias a la SGAD implica la constancia por escrito y la posibilidad de prueba, cumpliendo con los requisitos legales para la existencia de un encargo de tratamiento. Además, la SGAD debe ejercer sus competencias ajustándose a las instrucciones del responsable del fichero y a la normativa aplicable, garantizando la confidencialidad y seguridad de los datos.
En cuanto a las medidas de seguridad, el informe señala que la SGAD está obligada por ley a aplicar las medidas de seguridad previstas en el Esquema Nacional de Seguridad, sin necesidad de una constancia escrita en un contrato. El principio de competencia impide que la SGAD recurra a otro encargado del tratamiento si la norma no se lo permite expresamente o dé a los datos personales un tratamiento diferente al previsto por la norma.
El informe concluye que el elenco de competencias establecidas a favor de la SGAD en las normas citadas da cumplimiento a los requisitos formales exigidos en el artículo 28.3 del RGPD. Sin embargo, se sugiere que sería deseable que la normativa atributiva de competencias especificase de manera más precisa las condiciones del encargo de tratamiento, o que la SGAD promoviese una modificación de la normativa para este fin.