| Informe | 2022-0105 |
| Enlace | 📋 |
### Resumen del informe de la AEPD sobre el anteproyecto de Ley de Familias (2022-0105)
La Agencia Española de Protección de Datos (AEPD) emitió un informe jurídico sobre el anteproyecto de Ley de Familias, destacando la **ausencia de una evaluación de impacto en protección de datos (EIPD)**** en la memoria de análisis de impacto normativo (MAIN), a pesar de que el proyecto implica tratamientos de datos personales con base legal en el interés público o misiones de interés público (arts. 6.1.c) y 6.1.e) RGPD), especialmente en la creación de un **Registro Estatal de Parejas de Hecho (art. 6)** y en modificaciones posteriores de normas como la Ley General de la Seguridad Social (LGSS), el Estatuto de los Trabajadores o la Ley de Familias Numerosas.
#### **1. Ausencia de EIPD en la MAIN**
Aunque el MAIN estudia diversos impactos (económicos, presupuestarios, de género, etc.), **no realiza una evaluación de impacto en protección de datos**, incumpliendo lo establecido en el **Real Decreto 311/2022, de ENS**, que obliga a realizar un análisis de riesgos (art. 24 RGPD) y una EIPD (art. 35 RGPD) cuando los sistemas traten datos personales. El art. 3.2 del ENS añade que, en estos casos, el responsable o encargado del tratamiento, asesorado por el delegado de protección de datos (DPD), deberá realizar un análisis de riesgos conforme al art. 24 RGPD y, en su caso, una EIPD prescrita en el art. 35 RGPD.
La AEPD **recomienda reiteradamente** que el prelegislador realice una EIPD conforme al art. 35.10 RGPD durante el procedimiento de creación de la norma, incorporándola a la MAIN. Esto permitiría a los responsables o encargados del tratamiento **no tener que realizar individualmente una EIPD**, ya que se habría llevado a cabo en el seno del proceso de gestación de la norma con rango de ley.
#### **2. Necesidad de regular los tratamientos de datos en el Registro Estatal de Parejas de Hecho**
La AEPD analiza que el **Registro Estatal de Parejas de Hecho (art. 6)****puede crear tratamientos de datos personales** con base jurídica en el interés público o misiones de interés público (arts. 6.1.c) y 6.1.e) RGPD), sujetos a lo dispuesto en el RGPD, la LOPDGDD y las normas autonómicas.
Sin embargo, **no se regula adicionalmente** más allá de la referencia a las inscripciones previas en registros autonómicos o locales. Esto reviste importancia porque, según la jurisprudencia del **Tribunal Constitucional (STC 76/2019)** y el **TJUE**, cuando una norma implique tratamientos de datos personales que puedan incluir categorías especiales (salud, adhesion políticas etc), exige:
– Que la **base legal** establezca el **alcance, condiciones y garantías** del tratamiento (art. 6.3 RGPD y STC 76/2019).
– Que la **norma legal** especifique el **interés público esencial** que justifica el levantamiento de la prohibición de tratamiento de categorías especiales de datos (art. 9.2 RGPD y STC 76/2019).
– Que contenga **reglas claras** sobre los datos, interesados, comunicación de datos, finalidad, conservación y procedimientos del tratamiento (STC 76/2019 y TJUE).
– Que incluya **garantías adecuadas y expresas** frente a la recopilación de datos, no pudiendo deferirse a normas de rango inferior (STC 76/2019 y deslegalización).
En estos momentos, **no se prevén tratamientos de categorías especiales** en el Registro, lo que sería conforme a derecho, siempre que los tratamientos de datos cumplan con los principios del art. 5 RGPD (licitud, transparencia, minimización, exactitud, limitación de conservación, integridad y confidencialidad) y del art. 6 RGPD que regule las condiciones, finalidades y tratamiento de esos datos.
#### **3. Tratamientos de datos de categorías especiales en otras normas del proyecto**
La AEPD **identifica varios supuestos** en el proyecto donde se podrían realizar **tratamientos de datos personales de categorías especiales (salud,