El informe jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la adecuación al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) de un requerimiento de información realizado por la Agencia Española del Medicamento (AEMPS) a la consultante, CTAEX, en relación con el registro de movimientos de cannabis derivado de su actividad en un proyecto de investigación y desarrollo.
El informe analiza si la solicitud de datos personales por parte de la AEMPS está amparada legalmente y si cumple con el principio de minimización de datos establecido en el RGPD. La AEMPS basa su actuación en el Real Decreto 1275/2011, que le atribuye competencias en materia de tráfico y uso lícitos de estupefacientes. Sin embargo, CTAEX cuestiona la solicitud por carecer de amparo legal y por no cumplir con el principio de minimización de datos.
El Gabinete Jurídico de la AEPD señala que el tratamiento de datos personales por parte de las autoridades puede basarse en el artículo 6.1.c) o e) del RGPD, siempre que exista una norma clara y precisa que lo permita. En este caso, se analiza la normativa vigente sobre estupefacientes y la sucesión de competencias entre diferentes órganos administrativos, concluyendo que la AEMPS tiene la competencia para realizar el requerimiento de información.
En cuanto al principio de minimización de datos, el informe destaca que la solicitud de datos debe ser pertinente y necesaria para la finalidad establecida, y que debe justificarse adecuadamente. La jurisprudencia del Tribunal Constitucional se cita para subrayar la necesidad de evitar el acceso indiscriminado y masivo a los datos personales y de garantizar que la solicitud de datos esté motivada y justificada.
En resumen, el informe concluye que el requerimiento de información de la AEMPS está amparado legalmente, pero debe cumplir con el principio de minimización de datos, justificando adecuadamente la pertinencia y necesidad de los datos solicitados. La AEPD recomienda que la AEMPS motive y justifique expresamente la solicitud de datos personales para garantizar el respeto a los derechos de protección de datos.