| Informe | 2026-0001 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el tratamiento de datos en la obtención de certificados de vulnerabilidad
La Asociación EAPN-Madrid, compuesta por 85 entidades no lucrativas, ha desarrollado una plataforma online para diagnosticar la vulnerabilidad social de los ciudadanos, facilitando así la obtención de «certificados de vulnerabilidad» que permiten acceder a ayudas públicas. El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza la conformidad de este sistema con el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
Base legitimadora del tratamiento
La AEPD concluye que la base legitimadora para el tratamiento de datos personales en este caso sería el consentimiento de los interesados (art. 6.1.a RGPD), ya que no existe una obligación legal que imponga a las entidades la expedición de estos certificados ni una relación contractual con los ciudadanos. No se aplican otras bases como el interés público (art. 6.1.e) o el cumplimiento de una obligación legal, ya que no se trata de una función administrativa pública.
Tratamiento de categorías especiales de datos
La plataforma recopila datos de categorías especiales (salud, situación económica, etc.), por lo que el tratamiento debe fundamentarse en alguna de las excepciones del art. 9.2 RGPD. La AEPD considera aplicable la excepción del consentimiento explícito (art. 9.2.a RGPD), siempre que la finalidad principal no sea identificar ideología, religión u otros aspectos sensibles. En este caso, el objetivo es facilitar ayudas sociales, no categorizar preferencias ideológicas, por lo que el consentimiento sería válido. No obstante, se subraya la necesidad de cumplir con el principio de minimización de datos (solo recopilar información imprescindible).
Determinación de roles: corresponsables del tratamiento
EAPN-Madrid y sus entidades integrantes determinan conjuntamente los fines y medios del tratamiento de datos, lo que los convierte en corresponsables según el art. 4.7 y 26 RGPD. Esto implica que ambas partes deben establecer las responsabilidades de manera transparente y acordar su cumplimiento (art. 26.1 RGPD), aunque no se requiera un acuerdo formal previo para su calificación. La AEPD destaca que la jurisprudencia del Tribunal de Justicia de la UE (TJUE) avala esta interpretación, incluso si los corresponsables acceden a los datos en diferentes etapas.
Recomendaciones clave
Consentimiento informado: Los ciudadanos deben recibir información clara sobre el uso de sus datos y su derecho a revocarlo.
Minimización de datos: Solo se recogerán datos necesarios para el diagnóstico de vulnerabilidad.
Transparencia y acuerdos: EAPN-Madrid y las entidades deben formalizar las responsabilidades derivadas de su condición de corresponsables, detallando cómo garantizarán los derechos de los afectados.
En esencia, el informe respalda la iniciativa de EAPN-Madrid siempre que se aplique con rigor el RGPD, priorizando la protección de los derechos de los ciudadanos vulnerables.