Source: http://www.legistel.es/la-cesion-de-datos-entre-administraciones-publicas/
Timestamp: 2019-12-09 18:32:50
Document Index: 280896108

Matched Legal Cases: ['artículo 5', 'artículo 11', 'artículo 11', 'artículo 11', 'artículo 11', 'artículo 21', 'artículo 10', 'artículo 11', 'artículo 16', 'artículo 16', 'artículo 4', 'artículo 22', 'artículo 44', 'artículo 46', 'artículo 83']

Legistel | La cesión de datos entre Administraciones Públicas
Home Blog La cesión de datos entre Administraciones Públicas
La cesión de datos de carácter personal, de acuerdo con el art. 3.i de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal[1] (en adelante LOPD) y el artículo 5.1c) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal[2], (en adelante RLOPD), es toda revelación de datos realizada a una persona distinta del interesado.
El régimen que la LOPD otorga a las cesiones de datos, se regula de forma más detallada en el artículo 11.1 de la citada ley, el mismo recoge que: “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado” Teniendo en cuenta que el consentimiento podrá tener carácter revocable.
Con todo, parece que el artículo 11.1 plantea dos requisitos necesarios en cuanto a la cesión de datos:
Consentimiento previo del afectado: para que una cesión de datos sea legal, será necesario recabar el consentimiento previo del titular de esos datos, facilitándole información detallada sobre la identidad del cesionario, la actividad que realiza y la finalidad última a la que se van a destinar los datos cedidos.
Objeto de la comunicación: es necesario que el fin del tratamiento de los datos esté relacionado con las funciones que legítimamente realizan tanto el cedente como el cesionario.
Sin embargo, el propio artículo 11 en su apartado 2, regular una serie de excepciones, por las cuales no sería necesario el requisito del consentimiento previo del interesado, a saber:
Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas, así como a sus homólogos autonómicos.
Como se puede observar, el artículo 11.2 de la LOPD recoge una excepción al principio del consentimiento del interesado cuando la comunicación de datos entre Administraciones públicas tenga por objeto el tratamiento de los datos con fines históricos, estáticos o científicos.
Para ahondar más sobre si es necesario el consentimiento del interesado en la cesión de datos entre Administraciones públicas, debemos tener en cuenta lo establecido en el artículo 21 de la LOPD, en el mismo se viene a dar más énfasis en lo que respecta a la necesidad del consentimiento del interesado, destacando que los datos de carácter personal que hayan sido recogidos o elaborados por las Administraciones públicas para el desempeño de sus atribuciones no serán comunicados a otras Administraciones públicas para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas.
Sin embargo, en el mismo, al igual que el artículo 10.4 d) del RLOPD, se reconocen una serie de supuestos en los que los datos de carácter personal podrían ser cedidos entre Administraciones públicas:
Cuando la comunicación o cesión haya sido prevista en una norma con rango de ley;
Cuando los datos se comuniquen o cedan para el ejercicio de las mismas competencias o traten sobre las mismas materias;
Cuando tengan por objeto el tratamiento de datos con fines históricos, estadísticos o científicos;
Cuando una administración obtenga o elabore los datos con destino a otra.
Uno de los temas que más cuestiones suscitó sobre la cesión de datos entre Administraciones, fue la de si podrían las Administraciones públicas ceder los datos relativos al Padrón Municipal de Habitantes sin el previo consentimiento de los interesados, dado que a priori no supondría una de las excepciones del artículo 11.2 ni 21 de la LOPD, pero que a todas luces era evidente la problemática que supondría la comunicación de la cesión de todos y cada uno de los interesados.
Pues bien, las diferentes modificaciones legislativas que ha sufrido el artículo 16 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local (en adelante LBRL) , nos dan una respuesta al señalar que los datos del Padrón Municipal se cederán a otras Administraciones públicas que lo soliciten sin consentimiento previo al afectado solamente cuando les sean necesarios para el ejercicio de sus respectivas competencias, y exclusivamente para asuntos en los que la residencia o el domicilio sean datos relevantes. Es importante que el leitmotiv sobre el que verse la cesión sea la residencia o el domicilio, puesto que es la finalidad que nuestro ordenamiento jurídico concede al Padrón Municipal.
En este sentido se ha manifestado la Agencia Española de Protección de Datos, que en su Informe 169/2009[3] considera que la expresión “datos del Padrón municipal” que se emplea en el artículo 16.3 de la LBRL se refiere únicamente a los datos que en sentido propio sirven para atender a la finalidad a que se destina el Padrón municipal, es decir: la determinación del domicilio o residencia habitual de los ciudadanos, la atribución de la condición de vecino, la determinación de la población del municipio y la acreditación de la residencia y domicilio. Por ello, y para que la cesión de datos sea acorde a derecho, cualquier comunicación o cesión de los datos del Padrón deberá fundarse en la necesidad por la Administración cesionaria, en el ejercicio de sus competencias, de conocer el dato del domicilio de la persona afectada dado que del artículo 4.2 de la Ley se deriva la imposibilidad del tratamiento de los datos para fines diferentes de los que motivaron su recogida, salvo que así lo consienta el afectado o la Ley lo prescriba.
Otro punto interesante a tratar, es el relativo a la cesión del Padrón Municipal a las Fuerzas y Cuerpos de Seguridad. El artículo 22.2 de la LOPD establece que la recogida y tratamiento de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad para fines policiales sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.
Sin embargo, la disposición adicional séptima de la LRBRL, relativa al acceso a los datos del Padrón recoge que cundo la exclusiva finalidad del ejercicio de las competencias establecidas en la Ley Orgánica 4/2000, de 11 de enero, sobre derechos y libertades de los extranjeros en España y su integración social[4], sobre control y permanencia de extranjeros en España, la Dirección General de la Policía accederá a los datos de inscripción padronal de los extranjeros existentes en los Padrones Municipales, preferentemente por vía telemática. Además, la Dirección General de la Policía comunicará mensualmente al Instituto Nacional de Estadística, para el ejercicio de sus competencias, los datos de los extranjeros anotados en el Registro Central de Extranjeros.
En este sentido, la Recomendación 1/2004 de la Agencia de Protección de Datos de la Comunidad de Madrid, sobre utilización y tratamiento de datos del padrón municipal por los Ayuntamientos de la Comunidad de Madrid[5], sugirió la necesidad de separar los datos de los extranjeros y de los nacionales, pues de no hacerlo, la Dirección General de la Policía tendría un acceso a la totalidad de los datos del padrón, siendo por tanto contraria a la finalidad legalmente prevista.
Ahora bien, ¿qué ocurre si una Administración pública incumple sus obligaciones con respecto a la previa comunicación al interesado de la cesión de sus datos de carácter personal?, el artículo 44.3.k) de la LOPD considera infracción grave la comunicación o cesión de datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave; hablaríamos de “muy grave”, cuando se llevase a cabo una transferencia internacional de datos a países que no proporcionan un nivel de protección adecuado y además, sin contar con la autorización de la Directora de la Agencia Española de Protección de Datos.
Las sanciones van aparejadas de una multa, que en el caso de las infracciones graves va de los 40.001 a los 300.000 euros, y en las infracciones muy graves de 300.001 a 600.000 euros.
En la actualidad, la infracción por parte de una Administración pública, tiene como consecuencia una Resolución de la Directora que declara la infracción cometida, el establecimiento de medidas para que cesen o se corrijan los efectos de la infracción, (artículo 46 LOPD), pero en ningún caso la imposición de sanciones económicas a la propia administración infractora.
Sin embargo, la irrupción del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE[6] (Reglamento General de Protección de Datos), establece un régimen sancionador más severo. En su artículo 83, referente a las condiciones generales para la imposición de multas administrativas, establece en su apartado séptimo que sin perjuicio de los poderes correctivos de las autoridades de control, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Parece dejar por tanto, la capacidad sancionatoria en cada uno de los Estados miembros de la Unión.
Con todo, y si bien es cierto que el Reglamento General de Protección de Datos, aún no ha entrado en vigor, propone con su entrada reforzar en un futuro muy próximo el tratamiento de los datos de carácter personal, no sólo a través de este canal sancionador más reforzado, sino mediante la implantación de sistemas de control más exhaustivos y eficaces, como pudiera ser a través de la figura del DPO (Delegado de Protección de Datos, en su traducción al español) cuyas funciones serán, entre otras, velar por el cumplimiento normativo de la entidad en materia de protección de datos actuando como una verdadera autoridad de control.
Habiendo ya realizado un planteamiento sobre la cesión de datos entre Administraciones públicas, presentado algunos supuestos, observado las sanciones y esbozado el diseño “futurista” que nos muestra el Reglamento General de Protección de Datos, sólo queda esperar a comprobar cómo una vez entre en vigor el mismo, se producen cambios en las entidades públicas, y a raíz de esos cambios, como la legislación se irá moldeando para ajustarse a las futuras realidades.
Autora: Ingrid González
[1]Legislación accesible desde el siguiente enlace: https://www.boe.es/buscar/act.php?id=BOE-A-1999-23750
[2]Legislación accesible desde el siguiente enlace : https://www.boe.es/buscar/act.php?id=BOE-A-2008-979
[3]Informe 169/2009: http://www.agpd.es/portalwebAGPD/canaldocumentacion/informes_juridicos/padron_habitantes/common/pdfs/2009-0169_Cesi-oo-n-Datos-Padr-oo-n-a-otras-Administraciones.pdf
[4]Legislación accesible desde el siguiente enlace : https://www.boe.es/buscar/act.php?id=BOE-A-2000-544
[5]Recomendación 1/2004 : http://sepam.dipcas.es/files/recAPDCAM.pdf
[6]Legislación accesible desde el siguiente enlace : https://www.boe.es/doue/2016/119/L00001-00088.pdf