| Informe | 2026-0001 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el tratamiento de datos en la Plataforma de Diagnóstico de Vulnerabilidad Social de EAPN-Madrid
El informe jurídico de la Agencia Española de Protección de Datos (AEPD), identificado como Servicio Jurídico 001/2026, analiza la legalidad del tratamiento de datos personales que realizaría EAPN-Madrid y sus entidades asociadas mediante una plataforma online de diagnóstico de vulnerabilidad social, destinada a facilitar la obtención de un «certificado de vulnerabilidad» para personas en situación de exclusión social.
Contexto y objeto de la consulta
EAPN-Madrid, una asociación de 85 entidades sin ánimo de lucro, busca implementar una plataforma que evalúe la vulnerabilidad social de los ciudadanos mediante 158 indicadores agrupados en nueve dimensiones (vivienda, salud, situación económica, educación, etc.). El objetivo es que, con el consentimiento del interesado, las entidades asociadas puedan compartir la información ya aportada por un mismo ciudadano en otra entidad, evitando la repetición de trámites. La consulta plantea tres cuestiones clave:
Roles en protección de datos (responsable, encargado o corresponsable) de EAPN-Madrid y sus entidades.
Bases legitimadoras para el tratamiento de datos.
Excepciones aplicables al tratamiento de categorías especiales de datos (salud, situación económica, etc.).
Bases legitimadoras y excepciones
El informe concluye que la base legitimadora principal es el consentimiento libre, específico, informado e inequívoco de los ciudadanos (art. 6.1.a RGPD), ya que no existe una obligación legal directa (art. 6.1.c o e RGPD) ni una relación contractual con los solicitantes. Además, se recuerda que el consentimiento debe cumplir con el artículo 7 RGPD (requisitos de validez).
En cuanto a los datos de categorías especiales (salud, situación económica, etc.), el tratamiento solo sería lícito si se aplica alguna de las excepciones del artículo 9.2 RGPD. La AEPD descarta que se den las excepciones de interés público esencial (art. 9.2.g o h RGPD), ya que no hay una norma que obligue a las entidades a realizar estos tratamientos. Tampoco encajan las excepciones por relación laboral, defensa legal o motivos de interés público (art. 9.2.b, c, e, f, j RGPD).
La única base posible sería el consentimiento explícito del interesado (art. 9.2.a RGPD), ya que la Ley Orgánica 3/2018 (LOPDGDD) no exige requisitos adicionales para datos como la situación económica o la salud en este contexto, siempre que el fin principal no sea identificar ideología, orientación sexual o creencias (art. 9.3 LOPDGDD). La AEPD matiza que no todos los 158 indicadores serán necesarios, y subraya el principio de minimización de datos (art. 5.1.c RGPD): solo deben tratarse aquellos adecuados, pertinentes y limitados a la finalidad perseguida.
Roles de EAPN-Madrid y sus entidades
El informe profundiza en la distinción entre responsable, encargado y corresponsable del tratamiento:
EAPN-Madrid actúa como corresponsable del tratamiento junto con sus entidades asociadas. Esto se debe a que, según la jurisprudencia del Tribunal de Justicia de la UE (STJUE C-604/22), cuando varias entidades determinan conjuntamente los fines y medios del tratamiento, deben considerarse corresponsables, aunque su nivel de responsabilidad pueda variar según su grado de implicación.
EAPN-Madrid influye en el diseño de la plataforma y en la determinación de los medios y fines del tratamiento, mientras que las entidades asociadas participan activamente en la recolección y uso de los datos. Por tanto, ambas partes deben cumplir con las obligaciones del artículo 26 RGPD, que exige un acuerdo transparente sobre sus responsabilidades respectivas (aunque este acuerdo no es un requisito previo para ser considerados corresponsables).
Recomendaciones clave
El informe subraya la necesidad de que EAPN-Madrid y sus entidades:
Garanticen que el consentimiento sea libre, específico e informado, informando a los ciudadanos sobre el alcance del tratamiento, los datos recogidos y sus derechos (acceso, rectificación, supresión, etc.).
Apliquen el principio de minimización de datos: solo recopilar y procesar aquellos datos estrictamente necesarios para emitir el certificado de vulnerabilidad.
Formalicen un acuerdo de corresponsabilidad (art. 26 RGPD) que defina claramente las obligaciones de cada entidad, especialmente en aspectos como la transparencia, la seguridad y los derechos de los interesados.
Evaluar la necesidad de realizar una Evaluación de Impacto (EIPD) si el tratamiento de datos de categorías especiales pudiera implicar un alto riesgo para los derechos y libertades de los ciudadanos (art. 35 RGPD).
Conclusión
La AEPD considera que el proyecto de EAPN-Madrid puede ajustarse al RGPD y la LOPDGDD, siempre que se cumplan estrictamente los requisitos de consentimiento, minimización de datos y corresponsabilidad, y se adopten medidas adecuadas para proteger los derechos de los interesados. La clave reside en garantizar que el tratamiento sea proporcional, transparente y necesario para el fin declarado (facilitar ayudas sociales), evitando la excesiva recolección o compartición de información sensible.