| Informe | 2026-0014 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el Anteproyecto de Ley Orgánica para la lucha contra la corrupción y la integridad pública
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza el Anteproyecto de Ley Orgánica dirigido a reforzar la integridad pública y combatir la corrupción, evaluando su impacto en el derecho fundamental a la protección de datos personales. La AEPD valora positivamente el objetivo global del proyecto —prevención, transparencia, investigación y restitución de activos— pero identifica riesgos significativos en el tratamiento de datos personales, especialmente en aspectos como la compartición masiva de información, la indeterminación de finalidades y la falta de garantías técnicas y organizativas.
Principales observaciones y riesgos detectados
Amplitud de las habilitaciones de tratamiento de datos
El texto articula un marco genérico para compartir datos entre administraciones y la nueva Agencia Independiente de Integridad Pública (AAIP), sin delimitar qué datos, sujetos involucrados, fines específicos o límites se aplican.
Riesgos:
Reutilización masiva de datos para fines distintos al inicialmente previsto (p. ej., artículo 21 sobre compartición de datos entre organismos).
Vulneración del principio de minimización: no se limitan las categorías de datos que pueden compartirse (ej.: datos tributarios, de seguridad social o sensibles).
Falta de transparencia: no se especifica cómo se ejercerán derechos ARCO (acceso, rectificación, limitación u oposición) por parte de los ciudadanos.
Posible tratamiento de datos sensibles (opiniones políticas, salud, etc.), cuya base legal debe incluir garantías adecuadas y específicas (artículo 9.2 del RGPD y jurisprudencia del TC y TJUE).
Cesión de datos sin información al afectado
El artículo 45 permite no informar al afectado sobre cesiones de sus datos si ello obstaculiza el tratamiento, lo que contraría el principio de transparencia y exige que la excepción sea proporcionada y justificada caso por caso (artículo 14.5 RGPD).
Falta de evaluación de impacto y análisis de riesgos
La AEPD destaca la necesidad de realizar una Evaluación de Impacto en Protección de Datos (EIPD) y un análisis de riesgos (artículo 35.10 RGPD), especialmente por:
El volumen y sensibilidad de los datos tratados.
El posible uso de inteligencia artificial y análisis masivo (p. ej., Base Nacional de Subvenciones, artículo 25).
Reiteran que deberían incorporarse a la certificación del impacto normativo (MAIN) estas evaluaciones, con participación de los Delegados de Protección de Datos (DPD) de los ministerios implicados.
Colaboración con la Agencia Independiente de Integridad Pública (AAIP)
El artículo 39 otorga a la AAIP acceso indiscriminado a archivos públicos (incluyendo datos tributarios y de seguridad social), pero falta de límites concretos:
Riesgo de concentración excesiva de datos.
Necesidad de motivación singular para acceder a datos sensibles (ej.: salud).
Intercambio de datos con terceros Estados
El artículo 56 modifica el Real Decreto 948/2015 para permitir el intercambio de información con organismos de terceros países (recuperación de activos), pero no incluye garantías suficientes:
Ausencia de decisiones de adecuación o instrumentos jurídicos vinculantes (artículo 44 RGPD).
Criterio de «conveniencia» demasiado vago, vulnerando la minimización y limitación de finalidad.
Base jurídica y principio de proporcionalidad
Aunque el proyecto se ampara en el RGPD (artículo 6.1.c y e) —tratamiento por obligación legal o interés público—, la AEPD insiste en que la norma debe:
Definir con precisión los supuestos, categorías de datos y garantías (requisitos del TJUE y TC).
Cumplir con el principio de proporcionalidad, equilibrando la lucha contra la corrupción con los derechos fundamentales.
Recomendaciones clave
Reformar los artículos problemáticos (21, 25, 39, 45 y 56) para:
Establecer finalidades determinadas y específicas en el tratamiento de datos.
Limitar las categorías de datos que pueden compartirse y los sujetos autorizados.
Incluir garantías para datos sensibles (ej.: anonimización o seudonimización cuando sea posible).
Garantizar el derecho de información de los afectados, salvo en supuestos excepcionales debidamente motivados.
Realizar una EIPD durante el proceso legislativo, incorporándola a la MAIN (Memoria del Análisis de Impacto Normativo).
Asegurar el cumplimiento del Esquema Nacional de Seguridad (ENS), con medidas técnicas y organizativas proporcionales a los riesgos identificados.
Conclusión
La AEPD reconoce el valor del anteproyecto en la lucha contra la corrupción pero advierte que la actual redacción vulnera gravemente el derecho a la protección de datos, especialmente por su falta de precisión, transparencia y garantías. Recomienda una revisión profunda para alinear el texto con el RGPD, la LOPDGDD y la jurisprudencia del TC y TJUE, priorizando la proporcionalidad y el principio de responsabilidad proactiva. De no corregirse estos aspectos, el proyecto podría incurrir en ilegalidades y afectar los derechos fundamentales de los ciudadanos.