| Informe | 2023-0073 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el Proyecto de modificación del RD 163/2014 (Huella de Carbono)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD), en referencia al expediente 2023-0073, analiza el proyecto de modificación del Real Decreto 163/2014, que regula el Registro de Huella de Carbono, Compensación y Proyectos de Absorción de Dióxido de Carbono, en cumplimiento de la Ley 7/2021 de Cambio Climático. El objetivo principal es establecer criterios para calcular y publicar la huella de carbono de empresas en España, así como mejorar el funcionamiento del registro y ampliar su ámbito.
Aspectos clave del análisis de protección de datos
Base legal del tratamiento de datos:
El artículo 4 del proyecto modifica la normativa sobre protección de datos, especificando que la Oficina Española de Cambio Climático (OCCC) tratará los datos personales facilitados, publicando información relevante en las secciones a), b) y c) del registro. La legitimación para el tratamiento se basa en el artículo 6.1.e) del RGPD (interés público) y en la normativa nacional aplicable.
Los datos personales a los que se refiere el informe son exclusivos de personas físicas, ya que las personas jurídicas quedan fuera del ámbito de aplicación del RGPD (art. 4.1 del RGPD).
La AEPD aclara que el proyecto incluye como sujetos inscribibles a personas físicas (como autónomos) y jurídicas, pero solo las personas físicas están protegidas por la normativa de protección de datos.
Información publicada y riesgos asociados:
El proyecto establece que se difundirá información como el nombre de los titulares inscritos, huella de carbono, compromisos de reducción, proyectos de compensación, emisiones retiradas, etc. Sin embargo, y pese a que los datos personales de personas físicas estarán sujetos a protección, no existe en la Memoria del Análisis de Impacto Normativo (MAIN) un Análisis de Riesgos ni una Evaluación de Impacto en Protección de Datos (EIPD). La AEPD considera esto un vicio sustancial, ya que el art. 35 del RGPD exige una EIPD cuando el tratamiento de datos pueda suponer un riesgo alto para los derechos y libertades de los interesados.
Recomendaciones de la AEPD:
La Agencia recuerda que, en proyectos con base jurídica en el interés público (art. 6.1.e) del RGPD), los órganos proponentes deben incluir una EIPD como parte de la evaluación de impacto general, tal como permite el Real Decreto 931/2017 sobre la MAIN.
Además, el Real Decreto 311/2022 (Esquema Nacional de Seguridad) exige que los sistemas de información que traten datos personales analicen los riesgos derivados de estos tratamientos.
En el caso concreto, el proyecto prevé un sistema de registros interoperables con las comunidades autónomas (art. 5), pero no se ha incluido un análisis de riesgos de los tratamientos de datos en la MAIN, pese a ser obligatorio.
Problemas en la redacción del artículo 4.2:
La AEPD señala que la redacción del apartado 2 del artículo 4 es ambigua, ya que dice que «la información relevante incluirá» cuando debería especificar que «solo incluirá», para que la lista de datos publicados sea exhaustiva y no dé lugar a interpretaciones ambiguas. Esto es especialmente relevante para evitar la difusión de datos personales innecesarios.
Conclusión
El informe de la AEPD recomienda:
Incluir una EIPD en la MAIN, dado que el tratamiento de datos personales previsto en el proyecto puede suponer un riesgo para los derechos de los interesados.
Reformular la redacción del artículo 4.2 para que quede clara la lista exhaustiva de datos que se publicarán.
Garantizar que el tratamiento y difusión de datos cumpla con los principios de minimización y proporcionalidad del RGPD.
En definitiva, el proyecto es un avance en la transparencia y lucha contra el cambio climático, pero debe ajustarse a la normativa de protección de datos, incorporando los instrumentos jurídicos necesarios para garantizar los derechos de los ciudadanos.