Aquest Dictamen té per objecte la consulta sobre el Projecte de Recomanació 2/2010 de l'Autoritat Catalana de Protecció de Dades sobre la creació, modificació i supressió de fitxers de dades de caràcter personal de titularitat pública.
El Projecte consta d'un preàmbul, vint-i-nou recomanacions estructurades en quatre capítols, una llista d'abreviatures i un annex.
En el preàmbul es descriu la finalitat de la Recomanació, que és la de fer un recordatori, sense innovar l'ordenament, de la normativa que afecta la creació, modificació i supressió de fitxers, i introduir recomanacions per a facilitar-ne el compliment.
Les vint-i-nou recomanacions s'estructuren en quatre capítols, referits, respectivament, als aspectes generals, al moment de l'aprovació del fitxer, al de la modificació i supressió, i a la regulació concreta dels fitxers.
L'annex conté un model d'ordre de regulació de fitxers de dades de caràcter personal.
La consulta que efectua l'Autoritat Catalana de Protecció de Dades (en endavant ACPD) es fa a través del Govern de la Generalitat de Catalunya, en virtut del que disposa l'article 9.2 de la Llei 5/2005, de 2 de maig, de la Comissió Jurídica Assessora.
L'objecte i l'abast de la consulta són determinats pels límits que estableix l'article 39.3 del Decret 69/2006, de '11 d'abril, d'aprovació del Reglament d'organització i funcionament de la Comissió Jurídica Assessora; de manera que, en desplegament de la seva funció consultiva, aquesta Comissió es pronuncia sobre el contingut del text tramès, amb el valor que ho permeten la naturalesa i l'objecte del document elaborat per l'Autoritat Catalana de Protecció de Dades i sens perjudici de les observacions que amb posterioritat pugui formular aquesta Comissió en l'emissió de dictàmens preceptius, especialment els previstos en l'article 8.2 de la Llei 5/2005, arran dels casos concrets que es puguin presentar.
Observacions sobre els aspectes formals
L'article 39.2 del Decret 69/2006 preveu que 'Les consultes que les altres administracions adrecin a la Comissió, per mitjà del Govern, han d'adjuntar una memòria explicativa de la rellevància de la consulta i de la seva incidència per a l'interès general.
El Govern, si ho estima oportú, pot incorporar un informe sobre la petició formulada'.
En el present cas es pot entendre que la memòria és conformada en la mateixa sol·licitud de formulació de consulta que l'ACPD ha adreçat al president de la Generalitat i també en el preàmbul del Projecte de Recomanació, prou explicatius de la rellevància de la consulta i de la seva incidència per a l'interès general; això és, posar a disposició de les persones que intervenen en el procés d'aprovació de les normes que regulen fitxers de dades de caràcter personal un recull, sota la forma de recomanació, dels criteris que l'ACDP ha sostingut en els seus informes.
El Projecte de Recomanació s'elabora a l'empara de l'article 4 de la Llei 32/2010, de l'1 d'octubre, de l'Autoritat Catalana de Protecció de Dades ('Per al compliment de les funcions que aquesta llei li assigna i dins del seu àmbit d'actuació, corresponen a l'Autoritat Catalana de Protecció de Dades les competències de registre, control, inspecció, sanció i resolució, i també l'aprovació de propostes, recomanacions i instruccions') i ha de ser aprovat per la directora de l'autoritat (correspon a la Direcció: 'Dictar les instruccions i les recomanacions necessàries per a adequar els tractaments de dades personals als principis de la legislació vigent en matèria de dades personals'), segons disposa l'article 8.2.e) de la mateixa Llei.
Observacions generals sobre el text sotmès a consulta
Una observació general sobre la naturalesa i l'objecte del text sotmès a consulta mereix una inicial consideració: el seu objecte 'segons diu' és recollir d'una manera sistematitzada els criteris a tenir en compte en la redacció dels projectes de disposicions de caràcter general o acords de creació, modificació o supressió de fitxers de dades personals de titularitat pública.
I, en allò que sigui aplicable, també als de titularitat privada.
El document respon, per tant, a una lloable funció informativa que sense dubte ha de redundar positivament en el bon coneixement de la regulació de la matèria per part dels seus destinataris.
El document s'inscriu, així, en la tendència actual a la difusió de guies o reculls legals o de codis de bones pràctiques que faciliten el coneixement de criteris o pautes d'actuació fruit d'una dilatada experiència pràctica especialitzada en la matèria.
El fet que aquesta Recomanació no pugui tenir eficàcia normativa, com bé es diu en la sol·licitud de dictamen, comporta haver d'esmerçar una diligència especial en la seva redacció per tal de no deixar traslluir cap indici que pugui fer entendre al receptor de la Recomanació que aquesta gaudeix de força d'obligar i per tal d'esvair qualsevol dubte quant a la seva no-vinculació; sobretot si, a més, es té en compte que part d'ella s'està projectant sobre l'àmbit de l'elaboració de normes.
És per això que convindria revisar aquells trets que, en l'actual redacció, li podrien donar una aparença de norma o de disposició de caràcter general.
En aquest sentit, se suggereix que es consideri l'oportunitat d'intitular el preàmbul 'Introducció', així com, especialment, suprimir-ne la fórmula promulgatòria que ara conté ('Per tot això, i d'acord amb el dictamen de la Comissió Jurídica Assessora, disposo la següent').
També la seva estructuració en capítols li aporta certa aparença normativa i convindria reconsiderar-la; i el mateix succeeix amb els temps verbals redactats en imperatiu (o present d'indicatiu), que es podrien substituir per condicionals.
A més dels anteriors aspectes formals, també convindria donar una nova redacció a la introducció, i exposar-hi quin és el valor i l'eficàcia de la recomanació; i fer el mateix al punt 1 sobre l'Objecte', on convindria aclarir, a més de l'objecte, quin és l'objectiu o finalitat de la Recomanació, de manera que s'eviti generar dubtes sobre el valor i l'eficàcia d'aquest text.
D'altra banda, no tots els punts de la Recomanació tenen una mateixa estructura.
Alguns contenen un recull legal; altres, inclouen a més exemples; i d'altres, recomanacions.
Potser ajudaria a complir amb la funció del text si es dotés d'una estructura similar per a tots els aspectes que s'hi tracten, i incloure-hi en tot cas la recomanació corresponent.
V. Observacions sobre el contingut
En el setè paràgraf es fa referència als criteris i les recomanacions de la Comissió Jurídica Assessora quant a la regulació de fitxers de dades de caràcter personal.
Es recomana la supressió d'aquesta referència car la Recomanació projectada és una disposició emanada de l'ACPD.
Tampoc no correspon fer referència a la Comissió Jurídica Assessora en la fórmula promulgatòria final, ja que aquesta només és necessària en el cas dels dictàmens preceptius, d'acord amb l'article 38.1 del Decret 69/2006, abans esmentat.
Ja s'han indicat, però, els motius que fan convenient la supressió sencera d'aquesta fórmula; i la possibilitat de titular aquesta part del text 'Introducció'.
L'apartat 1 fa referència a òrgans, organismes i entitats, mentre que, els apartats 2 i 3, a fitxers i tractaments.
Tal vegada seria millor fer referència a l'apartat 1, i en coherència amb l'objecte de la Recomanació, als fitxers i tractaments de dades de caràcter personal que duen a termes els òrgans, organismes i entitats.
També seria recomanable precisar, en la mesura que pròpiament no són entitats de naturalesa pública, si la recomanació és aplicable als fitxers i als tractaments previstos en la lletra h) de l'article 3 de la Llei 32/2010, que es refereix als fitxers o tractaments de persones físiques o jurídiques que compleixen funcions públiques en relació amb matèries que són competència de la Generalitat o els ens locals, i als fitxers i als tractaments d'entitats de dret privat als que es refereix l'article 3, lletres e) i f), de la Llei 32/2010.
En la mesura que els criteris de la Recomanació també poden ser tinguts en compte per a la regulació de fitxers privats, es recomana acabar de completar la lletra f) i introduir-hi també els responsables privats, en el mateix sentit que l'article 5.1.q) del Reial decret 1720/2007, de 21 de desembre, pel qual s'aprova el Reglament de desplegament de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal.
Necessitat de crear un fitxer de dades personals.
S'exposa que la disposició d'aprovació de fitxers pot incloure també fitxers privats.
Cal tenir en compte, però, que aquesta possibilitat no està prevista en la normativa marc del projecte de recomanació i pot comprometre les normes de modificació i supressió de fitxers privats (art. 26 de la Llei orgànica 15/1999).
Objecte de la disposició general o acord.
En el quadre en què es formulen recomanacions a l'hora de classificar els fitxers potser també s'hauria de fer esment a la denominació dels fitxers.
A partir del quart paràgraf d'aquesta Recomanació no queden clars els supòsits ni els instruments de creació de fitxers.
Per exemple, convindria precisar, per a aquells casos de consorcis en què la representació de la Generalitat és minoritària, quan podran ser aprovats els fitxers per disposició general; o a quins òrgans unipersonals es refereix.
Tot i no poder innovar l'ordenament, la Recomanació podria ser més aclaridora dels diferents supòsits de fet.
En el quadre 'recordeu' i en relació amb els consorcis es diu: 'Ordre del conseller corresponent si la Generalitat designa la majoria dels òrgans de govern'.
Tanmateix, d'acord amb la disposició final tercera, punt 1, de la Llei 32/2010, 'els consellers de la Generalitat [...] resten habilitats per a crear, modificar i suprimir, mitjançant ordre, els fitxers [...] dels consorcis en què la representació de l'Administració de la Generalitat en els òrgans de govern sigui majoritària'.
Per això, i per tal d'evitar confusions, el millor seria seguir la literalitat de la Llei (com bé es fa en el punt 1, paràgraf 4) fent referència a la 'majoria en la representació' i no a 'la designació dels òrgans de govern dels consorcis'.
En el punt segon s'indica que quan es tracti de disposicions de la Generalitat de Catalunya, és necessari demanar, prèviament a l'informe de la Comissió Jurídica Assessora, un informe preceptiu de l'Autoritat Catalana de Protecció de Dades.
Potser es podria dir que aquests informes són exigibles, sens perjudici de la resta d'informes preceptius, d'acord amb la normativa aplicable.
L'exemple relatiu al punt 1 és de difícil comprensió, no per la mecànica de l'escissió sinó pel supòsit de fet que planteja.
Convindria modificar l'error de redacció del punt 2 de l'apartat 4.
En el quadre de recomanacions corresponent a aquest apartat s'indica que si es volen recollir dades de persones menors d'edat se'n reculli també la data de naixement, a fi de poder valorar la necessitat del consentiment dels pares o tutors, quan calgui.
Tal vegada aquest apartat es podria complementar amb una indicació al fet que correspon al responsable del fitxer articular els procediments que garanteixin si s'ha comprovat d'una manera efectiva l'edat del menor i l'autenticitat del consentiment prestat, segons el cas, pels pares, tutors o representants legals (article 13.4 del Reial decret 1720/2007).
També es podria fer alguna referència al fet que, en cap cas, no es pot obtenir dels menors dades que permetin obtenir informació sobre la resta de membres del grup familiar (article 13.2 del Reial decret 1720/2007).
Aquest és un dels aspectes de la creació de fitxers més susceptible de generar possibles lesions en els drets de la ciutadania.
Per això es recomana aprofundir tant en les possibilitats de cessió com remarcar les que estan prohibides.
Seria convenient, per tant, començar indicant la regla general, és a dir, que per a comunicar dades personals a un tercer, cal el consentiment del titular d'aquestes dades.
I després enumerar tots els supòsits d'excepció (ara no s'hi troba, per exemple, la comunicació prevista en l'article 11.d) de la Llei 15/1999) a aquesta regla i indicar els requisits concrets que, en cada cas, han de complir.
Un resum excel·lent d'aquests casos es troba en la pàgina web de l'Autoritat Catalana de Protecció de Dades, a l'apartat 'Preguntes més freqüents'.
Unitat on exercir els drets d'habeas data.
A l'efecte de facilitar les dades de contacte necessàries amb els serveis o unitats davant dels quals les persones afectades poden exercir els drets ARCO, s'indica que es pot incloure el número de telèfon, l'adreça electrònica i/o l'adreça postal del servei o unitat de què es tracti, si es preveu que serà estable en el temps; o, altrament, es pot facilitar l'adreça electrònica on trobar aquesta informació.
Sobre això cal recordar que l'article 27.1 de la Llei 11/2007, de 22 de juny, d'accés electrònic dels ciutadans als serveis públics, estableix que els ciutadans poden escollir, en tot moment, la manera de comunicar-se amb les administracions públiques, excepte en els casos en què d'una norma amb rang de llei s'infereixi la utilització d'un mitjà no electrònic.
El mateix criteri ha seguit la Llei 26/2010, de 3 d'agost, de règim jurídic i de procediment de les administracions públiques de Catalunya (art. 21.3).
En conseqüència, no sembla que incloure l'adreça electrònica i/o l'adreça postal sigui potestatiu per a l'Administració.
No són de fàcil comprensió els 'supòsits especials'.
Les mesures de seguretat, igual que les cessions, són aspectes cabdals dels fitxers i per això és tan rellevant que s'entenguin sense dificultat totes les excepcions a la regla general.
Per exemple, és de difícil comprensió l'expressió 'Mitjà + Registres d'accessos', car aquesta darrera paraula no és un nivell de seguretat.
Tampoc no queda clar quan el nivell de seguretat pot ser mitjà o bàsic.
D'altra banda, es recomana que en la referència als serveis financers (exemple de fitxer amb dades econòmiques) es posin exemples de serveis que usualment l'ACPD inclou (o exclou) en aquest concepte.
Com que només hi ha un annex, es proposa no numerar-lo.
És procedent evacuar, en els termes continguts en el cos del Dictamen, la consulta formulada per la directora de l'Autoritat Catalana de Protecció de Dades sobre el contingut del Projecte de Recomanació 2/2010 relatiu a la creació, modificació i supressió de fitxers de dades de caràcter personal de titularitat pública.