Dictamen en relació amb la consulta formulada per un ajuntament sobre la possibilitat
d'utilitzar la base de dades SGDA de la CNMT per fer avisos a la població en casos
Es presenta davant l'Autoritat Catalana de Protecció de Dades una sol·licitud de dictamen de
d'un ajuntament sobre la possibilitat d'emprar les dades de la base de dades del Sistema de
gestió de dades d'abonats (SGDA) facilitada per la CNMT per a avisos a la població en casos
Analitzada la consulta, que s'acompanya de la resolució de la CNMT de 15 de setembre de
2009 que estima la sol·licitud de l'Ajuntament d'accedir a la base de dades esmentada per
facilitar les dades d'abonats previstes a l'Ordre ministerial de 26 de març de 2002 per prestar el
servei d'atenció a trucades d'urgència a través del número 092, i on es detallen les condicions
del contracte de cessió de dades a l'Ajuntament, d'acord amb l'informe de l'Assessoria Jurídica
En la consulta s'exposa que la CNMT facilita a l'ajuntament, de forma periòdica, informació de la
base de dades anomenada Sistema de Gestió de dades d'abonats (SGDA) per a la gestió del
sistema d'atenció d'emergències 092 de la Guardia Urbana, d'acord amb la resolució de la
CNMC de 15 de setembre de 2009.
Segons indica, aquesta base de dades conté els números de telèfon mòbils i fixes i el nom i
cognom de cadascun dels titulars de la línia associada al citat número i que pertany a l'àmbit
Aquesta informació s'introdueix al sistema d'informació d'atenció a la
Guardia Urbana de tal manera que quan des d'algun telèfon es truca al 092, el sistema mostra
el número de telèfon i el seu titular per gestionar l'emergència.
Així mateix exposa que, davant les situacions d'alerta que s'estan vivint en l'actualitat,
l'ajuntament analitza la possibilitat d'utilitzar aquesta base de dades " com a mitjà per a fer
arribar avisos mitjançant SMS o trucades, a la seva població en casos d'emergència i
excepcionals (avisos de confinament, situacions greus que puguin posar en perill la vida de les
persones o altres situacions de caràcter similar com podria ser la pandèmia del Covid-19 o el
produït a la petroquímica de Tarragona), per tant, limitat a casos d'emergència i excepcionals".
En aquest context, planteja a aquesta Autoritat les qüestions següents:
Es podrien prendre en consideració com a bases legitimadores per la citada finalitat les
previstes a l' article 6.1 d) i/o e) del RGPD sense necessitat d' obtenir el consentiment previ
Es podrien considerar suficients alguna de les dues bases legitimadores indicades
anteriorment per fer aquests avisos, sempre prèvia aprovació del seu ús pel Comitè d'
Emergències del Municipi en qüestió?
Addicionalment, podria incorporar aquesta forma d'avís a la població en el nou Document
únic de protecció civil municipal (DUPROCIM) que es vol aprovar al municipi?
Seria necessari habilitar una aplicació mòbil o web per tal de que els ciutadans es
Tenint en compte que encara no s'ha transposat per part del govern espanyol el Codi
Europeu de Comunicacions Electròniques, essent la data límit per transposar-lo el 21 de
Fins a la seva efectiva transposició es podria utilitzar aquest sistema d'avís
mitjançant SMS o trucada únicament pels ciutadans del municipi?"
Per tal de respondre a la primera de les qüestions plantejades, cal tenir en consideració que,
d'acord amb el Reglament (UE) 2016/679, del Parlament i del Consell Europeu, de 27 d'abril de
2016, General de Protecció de Dades (en endavant, RGPD) qualsevol tractament de dades
destrucción." (article 4.2 RGPD), s'ha sotmetre als principis i garanties establerts per aquell
clar, doncs, que en la mesura que les persones abonades siguin persones físiques, les dades
que consten a la base de dades SGDA s'han de considerar informació personal i estan
sotmeses a la normativa de protecció de dades.
L'article 5.1.a) de l'RGPD estableix que tot tractament de dades personals ha de ser lícit, lleial i
transparent en relació amb l'interessat (principi de licitud, lleialtat i transparència).
Per tal que un tractament sigui lícit cal comptar amb, al menys, una base jurídica de les
previstes a l'article 6.1 de l'RGPD que legitimi aquest tractament, ja sigui el consentiment de la
persona afectada, ja sigui alguna de les altres circumstàncies que preveu el mateix precepte:
En l'àmbit de les administracions públiques, resulten d'especial interès, les bases jurídiques
previstes en les lletres c) i e) de l'article 6.1 de l'RGPD, segons les quals el tractament serà lícit
quan sigui necessari per al compliment d'una obligació legal aplicable al responsable del
tractament (lletra c), o quan el tractament sigui necessari per al compliment d'un interès públic o
en l'exercici de poders públics conferits al responsable del tractament (lletra e).
Ara bé, tal com es desprèn de l'article 6.3 de l'RGPD, la base jurídica del tractament indicat en
ambdós casos ha d'estar establerta pel Dret de la Unió Europea o pel dret dels Estats membres
La remissió a la base legítima establerta conforme al dret intern dels estats membres requereix,
en el cas de l'Estat Espanyol, d'acord amb l'article 53 de la Constitució Espanyola, que la norma
de desenvolupament, per tractar-se d'un dret fonamental, tingui rang de llei.
En aquest sentit, l'article 8 de la Llei Orgànica 3/2018, de 5 de desembre, de Protecció de
Dades Personals i garantia dels drets digitals estableix el rang de llei de la norma habilitant.
En el cas que ens ocupa, l'Ajuntament planteja si la utilització d'aquestes dades es pot emparar
en la lletra d) (protecció d'interessos vitals) i/o en la lletra e) (compliment d'una missió en interès
Així doncs, per tal de determinar si les previsions de les lletres d) o e) de l'article 6.1 RGPD
poden constituir una base legítima del tractament de dades efectuat per l'Ajuntament amb la
finalitat de comunicació a la seva població en casos d'emergència i excepcionals (avisos de
confinament, situacions greus que puguin posar en perill la vida de les persones o altres
situacions de caràcter similar com podria ser la pandèmia del Covid-19 o el produït a la
petroquímica de Tarragona), caldrà analitzar si es donen les circumstàncies que justifiquen el
tractament en base a la protecció d'interessos vitals de l'interessat o una altra persona física o si
l'ajuntament actua en exercici d'una missió en interès públic o de poders públics conferits per
una norma amb rang de llei tal com exigeix l'article 6.3 RGPD.
Pel que fa a la protecció d'interessos vitals de l'interessat o d'una altra persona física, el
Així, es posa de manifest que determinats tipus de tractament poden respondre tant a motius
d'interès públic com als interessos vitals de l'interessat, essent exemples d'aquesta situació els
tractaments que podrien ser necessaris en supòsits de control d'epidèmies i la seva propagació
o situacions d'emergència humanitària, en cas de catàstrofes naturals o d'origen humà, com
serien els supòsits plantejats en la consulta.
A més, també es posa de manifest que la base
jurídica de l'interès vital, entra en joc només amb caràcter subsidiari, és a dir, quan no es
compta amb alguna altra de les bases previstes en aquest article.
Per tant, tot i que no es pot descartar que la protecció de l'interès vital pugui actuar com a base
jurídica per al tractament que es pretén dur a terme, si més no en determinats casos, escau
examinar abans si la base jurídica prevista a la lletra e) pot habilitar el tractament.
La base jurídica prevista a la lletra e) de l'article 6.1 de l'RGPD requereix, com ja hem exposat,
d'una norma amb rang de llei que atribueixi la missió en interès públic o el poder públic que es
En el cas que ens ocupa, la Llei 7/1985, de 2 d'abril, reguladora de les bases de règim
local (LRBRL) disposa, en els articles 25 i següents, que el municipi exercirà, en tot cas,
competències en els termes de la legislació de l'Estat i de les Comunitats autònomes en
determinades matèries, entre les quals: medi ambient urbà i, en particular, parcs i jardins
públics, gestió dels residus sòlids urbans i protecció contra la contaminació acústica, lumínica i
atmosfèrica en zones urbanes (25.2.b), de policia local i protecció civil i extinció d'incendis
(25.2.f), protecció de la salubritat pública (25.2.j), que podrien comportar l'actuació del municipi
en supòsits com els exposats en la consulta relatius a situacions d'alarma provocades per
epidèmies o catàstrofes d'origen humà.
Més en concret, la Llei 4/1997, de 20 de maig, de protecció civil de Catalunya, que té per
objecte " la protecció civil a Catalunya, la qual comprèn les accions destinades a protegir les
persones, els béns i el medi ambient davant situacions de greu risc col·lectiu, de catàstrofes i de
calamitats públiques", reconeix als alcaldes com autoritats de protecció civil (article 40) i als
municipis com entitats bàsiques de la protecció civil a Catalunya i amb capacitat general
d'actuació i de planificació en aquesta matèria (article 47).
Així mateix, en matèria de salut pública la Llei 18/2009, de 22 d'octubre, de salut pública de
Catalunya, considera els ajuntaments ens competents en aquesta matèria.
d'aquesta norma enumera el conjunt de serveis mínims en matèria de salut pública que poden
"a) L'educació sanitària en l'àmbit de les competències locals.
b) La gestió del risc per a la salut derivat de la contaminació del medi.
c) La gestió del risc per a la salut pel que fa a les aigües de consum públic.
d) La gestió del risc per a la salut als equipaments públics i als llocs habitats, incloses les
e) La gestió del risc per a la salut en les activitats de tatuatge, micropigmentació i pírcing.
f) La gestió del risc per a la salut derivat dels productes alimentaris en les activitats del
comerç minorista, del servei i la venda directa d'aliments preparats als consumidors, com a
activitat principal o complementària d'un establiment, amb repartiment a domicili o sense, de
la producció d'àmbit local i del transport urbà.
d'aliments preparats per a col·lectivitats, per a altres establiments o per a punts de venda.
g) La gestió del risc per a la salut derivat dels animals domèstics, dels animals de
companyia, dels animals salvatges urbans i de les plagues.
h) La policia sanitària mortuòria en l'àmbit de les competències locals.
i) Les altres activitats de competència dels ajuntaments en matèria de salut pública, d'acord
amb la legislació vigent en aquesta matèria."
Per tant, es pot concloure que, d'acord amb les normes amb rang de llei esmentades i altres
que atribueixen competències als ens locals en matèria d'emergències, el tractament de les
dades per a la comunicació a la població del municipi de situacions d'emergència en l'àmbit de
les competències municipals, es pot considerar necessari per a l'exercici d'una missió en interès
públic o de poders públics conferits al responsable del tractament (article 6.1.e) RGPD).
tant, aquesta podria constituir la base jurídica del tractament.
Ara bé, d'acord amb l'RGPD tot tractament de dades, a més de ser lícit, ha de complir la resta
de principis i garanties que estableix el mateix Reglament, entre els quals cal tenir en
consideració, als efectes que ens ocupen, el principi de limitació de la finalitat del tractament
La utilització de les dades personals que l'Ajuntament disposa per a la identificació de les
trucades rebudes al sistema d'atenció emergències 092 de la Guàrdia Urbana, per a una finalitat
ulterior diferent, com podria ser la comunicació als titulars dels telèfons de possibles situacions
d'emergència, seria un tractament de dades que, en principi, podria entrar en conflicte amb el
principi de limitació de la finalitat.
En aquest sentit, l'article 6.4 de l'RGPD preveu que:
Per tant, d'acord amb l'RGPD el tractament de dades per a una finalitat diferent de la que es
varen recollir es pot fonamentar o bé en el consentiment dels interessats, o en el dret de la Unió
o dels Estats membres que constitueixi una mesura per a la salvaguarda dels objectius indicats
a l'article 23.1, o bé superar l'anàlisi de compatibilitat d'acord amb els criteris que l'article 6.4
Òbviament no hi hauria problema per al canvi de finalitat si es comptés amb el consentiment de
Ara bé, més enllà d'això, en el cas que ens ocupa, les finalitats per a
les quals es volen utilitzar les dades estarien alineades amb els objectius de seguretat pública,
de protecció de l'interessat o dels drets d'altres persones, o altres objectius d'interès públic a
què es refereix l'article 23.1 RGPD, per la qual cosa cal veure si existeix alguna norma amb
rang de llei que permeti el canvi de finalitat.
La Llei 9/2014, de 9 de maig, General de Telecomunicacions (en endavant LGT), regula en el
seu article 49 les guies d'abonats i estableix en el seu apartat primer que:
Així mateix, la LGT preveu al seu article 28.4 el següent:
El Reial Decret 424/2005, de 15 d'abril, pel qual s'aprova el Reglament sobre les condicions per
a la prestació de serveis de comunicacions electròniques, el servei universal i la protecció dels
usuaris, desenvolupa les condicions del lliurament de les dades a què fan referència els
Així, l'article 68 d'aquest Reial Decret 424/2005 estableix:
Aquest Reial Decret està desenvolupat per la "Circular 1/2013, relativa al procedimiento de
qual, entre altres qüestions, s'identifiquen les entitats amb dret al subministrament de les dades
dels abonats contingudes a la base de dades (SGDA) i el procediment per a la seva sol·licitud.
En principi la normativa de telecomunicacions analitzada no preveu la possibilitat d'emprar les
dades dels abonats contingudes en la base de dades SGDA per a altres finalitats diferents a la
d'elaborar les guies telefòniques dels abonats, la prestació del servei de consulta telefònica
sobre números d'abonats i la prestació de serveis de trucades d'emergència.
Per tant, a manca d'una norma amb rang de llei que habiliti el tractament, l'ajuntament hauria
d'efectuar una anàlisi de la compatibilitat del tractament aplicant els criteris establerts per
En aquesta anàlisi cal valorar, en primer lloc, la relació entre les finalitats per a les quals s'hagin
recollit les dades personals i les finalitats del tractament ulterior previst.
la finalitat del tractament de les dades pel sistema d'emergències per a la localització de la
persona que comunica una emergència i la realització de les gestions necessàries per prestar el
servei, podrien tenir una certa relació amb la finalitat de posar-se en contacte amb els abonats
per comunicar situacions d'emergència o adreçar-los recomanacions en casos com els
plantejats en la consulta, ja que en ambdós casos es tracta de la prestació de serveis als
ciutadans en situacions d'emergència.
Malgrat això, cal tenir en compte les limitacions que la mateixa normativa imposa a la utilització
d'aquestes dades amb altres finalitats.
La normativa de telecomunicacions esmentada estableix, doncs, un règim taxat de comunicació
de les dades dels abonats per a la seva utilització per les entitats que tenen encomanades la
gestió del servei de trucades d'emergències al 112 -o altres equivalents que s'hagin establert,
com seria el cas del 092- que exclou la utilització de les dades per a una finalitat ulterior
En aquest sentit la Resolució de 15 de setembre de 2009 de la Comisión del Mercado de las
Telecomunicaciones, que s'adjunta a la consulta, estableix les condicions de la cessió de les
dades i preveu expressament que la informació serà tractada única i exclusivament per a la
finalitat per a la qual va ser lliurada, que les dades dels abonats s'actualitzaran d'acord amb la
circular d'actualització, que els serveis seran prestats conforme a les característiques i en les
condicions que la seva normativa específica regula i que es garantirà el respecte a la legislació
Per altra banda, cal tenir en consideració la modificació de l'article 155 de la Llei 40/2015, d'1
d'octubre de règim jurídic del sector públic, introduïda pel Reial Decret14/2019 de 31 d'octubre,
pel qual s'adopten mesures urgents per raons de seguretat pública en matèria d'administració
digital, contractació del sector públic i telecomunicacions Aquest article estableix, en relació amb
la comunicació de dades entre administracions públiques, les previsions següents:
En definitiva, en aquells casos en que l'administració pública cessionària de les dades, consideri
que la finalitat ulterior és compatible amb la finalitat per a la qual es varen cedir les dades,
supòsit que, per la informació disponible, no sembla que concorri en el cas que ens ocupa,
abans d'efectuar el tractament, ho haurà de comunicar a l'administració cedent per tal que
aquesta verifiqui aquesta compatibilitat, amb la possibilitat d'oposar-se a aquest canvi de
Per tant, es pot concloure, pel que fa a les tres primeres qüestions plantejades en la consulta
que, malgrat que els supòsits previstos a les lletres e) i d) de l'article 6 RGPD poden constituir
una base legítima del tractament, el principi de limitació de la finalitat impediria a l'ajuntament el
tractament de les dades de la base de dades del Sistema de gestió de dades d'abonats (SGDA)
facilitada per la CNMT per gestionar les trucades al telèfon 112, per a una finalitat ulterior
diferent com seria efectuar avisos a la població en casos d'emergències greus.
En la consulta també es planteja si "Seria necessari habilitar una aplicació mòbil o web per tal
de que els ciutadans es donessin d'alta?"
De la normativa de protecció de dades no se'n deriva la necessitat d'habilitar una app o espai al
web perquè els ciutadans es puguin donar d'alta.
Ara bé, el consentiment pot ser una de les
bases jurídiques en què es fonamenti el tractament.
El consentiment com a base legítima del tractament ha de complir els requisits establerts a
En el cas de les administracions públiques el considerant 43 de l'RGPD diu: "Para garantizar
En l'anàlisi sobre el consentiment efectuat per les Directrius 5/2020 sobre el consentiment al
Reglament 2016/679, del Comitè Europeu de Protecció de Dades, adoptat el passat 4 de maig
marco jurídico del RGPD" i mostra alguns exemples de tractaments de dades efectuats per
administracions públiques que tenen com a base jurídica el consentiment.
es posa l'èmfasi en la capacitat del ciutadà de decidir sobre les seves dades de tal manera que
en cas de no donar el consentiment això no li comporti un perjudici ni el privi de cap servei bàsic
de l'entitat pública, ni l'exercici de cap dret.
Per tant, si l'ajuntament opta per un sistema basat en una aplicació mòbil o web que permeti la
recollida del consentiment informat dels interessats per al tractament de les seves dades, per tal
que el consentiment constitueixi una base legítima del tractament, el ciutadà ha de tenir la
possibilitat de denegar aquest consentiment o simplement no fer ús d'aquest sistema sense que
això li comporti un perjudici o el privi de cap servei bàsic.
En conseqüència, l'ajuntament haurà
d'habilitar altres canals que garanteixin la comunicació amb la població en aquestes situacions
d'emergència, com podria ser, per exemple, la comunicació a través dels mitjans de
comunicació, a través del web municipal, mitjançant avisos per megafonia a tota la població,
En la implementació d'una aplicació mòbil o web en la qual els ciutadans es donin d'alta,
l'ajuntament ha de tenir en consideració el principis de privacitat des del disseny i per defecte,
així com el de responsabilitat proactiva per garantir que aquesta compleix amb les previsions de
Finalment, pel que fa a la qüestió relativa a la transposició del Codi Europeu de Comunicacions
electròniques i la possibilitat d'emprar aquest mecanisme únicament pels ciutadans del municipi,
es fan les consideracions següents.
El Codi Europeu de Comunicacions Electròniques, aprovat per la Directiva (UE) 2018/1972 del
Parlament Europeu i del Consell, d'11 de desembre de 2018, obliga als Estats membres a
utilitzar, un sistema 112 invers per advertir a la població en situacions d'emergència enviant
alertes als possibles afectats a través de les xarxes telefòniques i fixa com a termini de
transposició d'aquesta mesura el 21 de juny de 2022.
Així, l'article 110 d'aquesta norma preveu:
Sens perjudici que la norma que transposi aquesta Directiva podria donar cobertura al
tractament que es pretén dur a terme, no sembla que en el moment actual, en què encara no ha
transcorregut el termini per a la seva transposició, concorrin els requisits necessaris perquè
aquesta norma pugui tenir efecte directe.
Per tant, tal com s'ha exposat en el fonament jurídic precedent, des del punt de vista de la
normativa de protecció de dades i en relació amb la consulta concreta plantejada, l'ajuntament,
en l'àmbit de les seves competències únicament podria implementar i emprar un sistema de
comunicació d'alarmes a la població del seu municipi, amb el consentiment dels interessats
recollit mitjançant un sistema que ofereixi totes les garanties pel que fa a la gestió de les dades
El principi de limitació de la finalitat de l'RGPD impediria a l'ajuntament utilitzar les dades de la
base de dades del Sistema de gestió de dades d'abonats (SGDA) facilitada per la CNMT per a
una finalitat ulterior diferent com seria efectuar avisos a la població en casos d'emergències
El consentiment dels interessats recollit en una aplicació mòbil o web podria ser una base