CONSERVACION DE EXPEDIENTES POR LETRADOS Y POR CÁMARAS ARBITRALES Y ARBITROS. EN PARTICULAR PLAZO DE CONSERVACION DE LOS DATOS DE

Transcripción

1 INFORME C.J. Nº 3/2012 CONSERVACION DE EXPEDIENTES POR LETRADOS Y POR CÁMARAS ARBITRALES Y ARBITROS. EN PARTICULAR PLAZO DE CONSERVACION DE LOS DATOS DE CARÁCTER PERSONAL 1.- CONSULTA En la presente Nota se afrontará el tema del plazo de conservación de expedientes, desde la perspectiva de la conservación de datos de carácter personal. Las cuestiones que se plantean son las siguientes: Cuánto tiempo tiene que conservar un letrado un expediente en su poder? Cuánto tiempo tiene que conservar una Cámara Arbitral o el propio árbitro el expediente del arbitraje? Se nos solicita que el tema sea abordado, como he apuntado, desde la perspectiva de la legislación de protección de datos de carácter personal, por lo que difiere de lo que ya tuvo ocasión de informar esta Comisión Jurídica en su Informe de 15 de noviembre de 2011, sobre DESPACHOS DE ABOGADOS Y EXPEDIENTES DE CLIENTES: PROPIEDAD, POSESIÓN, USO Y ABUSO. Asimismo, debe tenerse en cuenta que esta Comisión Jurídica también se refirió a la conservación de datos personales en su Informe de julio de 2011 sobre LA UTILIZACION DEL CLOUD COMPUTING POR LOS DESPACHOS DE ABOGADOS.

2 2.- MARCO NORMATIVO. En consecuencia, el marco normativo que habremos de tomar en consideración está constituido principalmente por: - Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). - Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 (RLOPD). Más adelante tendremos ocasión de concretar los preceptos de ambas normas que deben ser tenidos en cuenta. 3.- CONSIDERACIONES PREVIAS. Con carácter previo al análisis de la cuestión es necesario hacer algunas consideraciones. Primera: en la presente nota hablaremos de tratamiento tamiento de datos de carácter personal para referirnos a las distintas operaciones que pueden llevarse a cabo en relación con los datos personales. El artículo 3.c) de La LOPD define tratamiento como operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Por su parte, el artículo 5.1.t) del RLOPD lo define como cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

3 La conservación de datos de carácter personal es, pues, un tratamiento de datos. Segunda: Los datos a los que nos referiremos son datos de carácter personal, es decir, Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables (arts. 3.a) y 5.1.f), respectivamente, de la LOPD y del RLOPD). Hay que tener en cuenta que el concepto de dato personal es muy amplio y abarca datos tales como la imagen, la voz, las direcciones de correo electrónico si pueden identificar a una persona física (y por supuesto datos tales como nombre, apellidos, dirección, nº de teléfono, DNI o nº de pasaporte, etc.). En cualquier caso, quedan fuera los datos referidos a personas jurídicas. Pero también, en virtud de lo dispuesto en el art. 2 del RLOPD, quedan fuera: - los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales (apartado 2); - los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal (apartado 3); y - los datos referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los ficheros o tratamientos que contengan datos de éste con la finalidad de notificar el óbito, aportando acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos (apartado 4).

4 La Agencia Española de Protección de Datos (AEPD) ha tenido ocasión de pronunciarse ya en numerosas ocasiones en relación con la interpretación que ha de darse a los apartados 2 y 3 del artículo 2º del Reglamento. En relación con el primero ha señalado llamado la atención acerca de la necesidad de que se cumplan dos requisitos (por ejemplo, Informe de 18 de febrero de 2008 e Informe referencia 0234/2008): El primero, que aparece expresamente recogido en el Reglamento será el de que los datos tratados se limiten efectivamente a los meramente necesarios para identificar al sujeto en la persona jurídica a la que presta sus servicios. Por este motivo, el Reglamento impone que el tratamiento se limite a los datos de nombre y apellidos, funciones o puestos desempeñados, dirección postal o electrónica, teléfono y número de fax profesionales. De este modo, cualquier tratamiento que contenga datos adicionales a los citados se encontrará plenamente sometido a la Ley Orgánica 15/1999, por exceder de lo meramente imprescindible para identificar al sujeto en cuanto contacto de quien realiza el tratamiento con otra empresa o persona jurídica. Por ello, no se encontrarían excluidos de la Ley los ficheros en los que, por ejemplo, se incluyera el dato del documento nacional de identidad del sujeto, al no ser el mismo necesario para e mantenimiento del contacto empresarial. Igualmente, y por razones obvias, nunca podrá considerarse que se encuentran excluidos de la Ley Orgánica los ficheros del empresario respecto de su propio personal, en que la finalidad no será el mero contacto, sino el ejercicio de las potestades de organización y dirección que a aquél atribuyen las leyes. El segundo de los límites se encuentra, como en el supuesto contemplado en el artículo 2.3, en la finalidad que justifica el tratamiento. Como se ha venido indicando reiteradamente, la inclusión de los datos de la persona de contacto debe ser meramente accidental o incidental respecto de la verdadera finalidad perseguida por el tratamiento,

5 que ha de residenciarse no en el sujeto, sino en la entidad en la que el mismo desarrolla su actividad o a la que aquél representa en sus relaciones con quienes tratan los datos. De este modo, la finalidad del tratamiento debe perseguir una relación directa entre quienes traten el dato y la entidad y no entre aquéllos y quien ostente una determinada posición en la empresa. De este modo, el uso del dato debería dirigirse a la persona jurídica, siendo el dato del sujeto únicamente el medio para lograr esa finalidad. Así sucedería en caso de que el tratamiento responda a relaciones business to business, de modo que las comunicaciones dirigidas a la empresa, simplemente, incorporen el nombre de la persona como medio de representar gráficamente el destinatario de la misma. Por el contrario, sin la relación fuera business to consumer, siendo relevante el sujeto cuyo dato ha sido tratado no sólo en cuanto a la posición ocupada sino como destinatario real de la comunicación, el tratamiento se encontraría plenamente sometido a la Ley Orgánica 15/1999, no siendo de aplicación lo dispuesto en el artículo 2.2 del Reglamento. Respecto al apartado 3 ha indicado (entre otros, Informes de 28 de febrero de 2008, antes citado, e Informe referencia 0652/2009): - Cabrá considerar que la legislación de protección de datos no es aplicable en los supuestos en los que los datos del comerciante sometidos a tratamiento hacen referencia únicamente al mismo en su condición de comerciante, industrial o naviero; es decir, a su actividad empresarial. - Al propio tiempo, el uso de los datos deberá quedar limitado a las actividades empresariales; es decir, el sujeto respecto del que pretende llevarse a cabo el tratamiento es la empresa constituida por el comerciante industrial o naviero y no el empresario mismo que la hubiese constituido. Si la utilización de dichos datos se produjera en

6 relación con un ámbito distinto quedaría plenamente sometida a las disposiciones de la Ley Orgánica. así entendidos. En la presente nota nos referimos sólo a la conservación de datos de carácter personal Tercera: Los datos deben estar registrados en soporte físico, que los haga susceptibles de tratamiento (art. 2.1 de la LOPD y artículo de la misma numeración del RLOPD). Esto implica, con carácter general, que deben estar incorporados a un fichero, entendiendo por tal todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso (art. 3 b) de la LOPD y 5.1.k) de la LOPD). En este sentido, la STS de 19 de septiembre de 2008 ha señalado que la LOPD no se aplica cuando estamos ante una pura acumulación de estos [datos personales] que comporta una difícil búsqueda, acceso e identificación. Cuarta: Ni la LOPD ni su Reglamento se aplican a los ficheros realizados o mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. Sólo se considerarán relacionados con actividades personales o domésticas los tratamientos relativos a las actividades que se inscriben en el marco de la vida privada o familiar de los particulares (art. 4.a) del RLOPD, en relación con el art. 2.2.a) de la Ley). Hemos de considerar que los datos incluidos en expedientes (objeto de la presente nota), no pueden ser considerados, como resulta obvio, como datos para uso personal o doméstico. Quinta: es imprescindible distinguir las figuras del responsable y del encargado del tratamiento. El responsable del fichero o del tratamiento es la persona física o jurídica, de naturaleza

7 pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados (art. 5.1.q) del Reglamento en relación con el 3.d) de la LOPD). Por su parte, el encargado del tratamiento es la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio (art. 5.1.i) del RLOPD y 3.g) de la LOPD). El régimen relativo al plazo de conservación de datos es diferente según nos refiramos al responsable o al encargado. Y como veremos, los abogados y despachos pueden actuar tanto en concepto de responsable como de encargado. 4.- PRECEPTOS LOPD Y DEL RLOPD QUE RESULTAN APLICABLES. Dicho lo anterior, conviene ahora hacer referencia a los preceptos de la Ley Orgánica y su Reglamento que se refieren a la conservación de los datos por parte de los responsables y encargados. Según el artículo 4.5 de la LOPD: 5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.

8 No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento integro de determinados datos. Por su parte, los apartados 3, 4 y 5 del artículo 16 de la misma Ley disponen: 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado. En desarrollo de tales preceptos el RLOPD dispone: Artículo 8.6: 6. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.

9 No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. Además de los anteriores, también serán analizados otros preceptos de la Ley Orgánica 15/1999 y su Reglamento, como luego vere,os. 5.- SUPUESTOS QUE PUEDEN SER TOMADOS EN CONSIDERACIÓN. En nuestro caso es imprescindible distinguir los siguientes supuestos (siguiendo en parte lo que ya señaló esta Comisión Jurídica en su citado Informe de 15 de noviembre de 2011): - Abogado que ejerce individualmente. - Abogado integrado en un despacho, para el que presta sus servicios. - Abogado que ejerce individualmente pero en el marco de algún tipo de colaboración consistente en la participación en gastos de un despacho compartido con gestión administrativa única. - Abogado colegiado en España pero que presta sus servicios en un país extranjero. - Abogado que ejerce como árbitro único. - Abogado que forma parte de un colegio arbitral. - Institución arbitral.

10 Como veremos a lo largo de esta Nota, las anteriores situaciones son importantes en orden a determinar quién ostenta la condición de responsable del fichero o tratamiento y quién la de encargado, pues es diverso el régimen de la determinación del plazo de conservación de los datos de carácter personal. En cualquier caso, no nos referiremos al supuesto del abogado colegiado en España que presta sus servicios en un país extranjero, pues en este caso debería hacerse un análisis de la legislación aplicable, que en principio será la del país donde actúe. A.- Plazo de conservación de los datos por parte de abogados o despachos de abogados. a) Abogado o despacho responsable del fichero o tratamiento. En este caso, y en aplicación de lo establecido en los artículos 4.5 de la LOPD y 8.6 del Reglamento, Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. Debemos tener en cuenta que, en contra de lo que ocurre con algún otro supuesto referido a expedientes o ficheros de los que son responsables otros profesionales o instituciones, no hay ningún precepto que se refiera a ello de forma específica en relación con los abogados. En efecto, y por ejemplo, la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (la llamada Ley de autonomía del paciente) establece en su artículo 17: Artículo 17. La conservación de la documentación clínica. 1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no

11 necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial. 2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas. 3. Los profesionales sanitarios tienen el deber de cooperar en la creación y el mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes. 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen. 6. Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal. En relación con dicho precepto, la AEPD ha señalado en su Informe /2007 (que se remite a su vez al de 12 de noviembre de 2007): Dicha norma [el citado artículo 17.1] deberá complementarse con lo establecido por la normativa autonómica que resulte aplicable al profesional, dado que existen normas autonómicas que establecen plazos muy superiores de conservación de los datos contenidos en la historia clínica. (...)

12 A la vista de las normas citadas, resulta claramente que, con independencia de que se haya producido la cesación en el ejercicio de la actividad profesional, el facultativo se encuentra aún sometido a las exigencias legales de conservación de las historias clínicas, correspondiéndole su custodia y conservación en tanto no hayan transcurrido los plazos legalmente previstos para que dicha conservación siga teniendo lugar y siendo, por imperativo de la propia Ley 41/2002, responsable del fichero de historias clínicas. Por este motivo, el profesional se encontrará obligado al cumplimiento de las obligaciones legalmente previstas en relación con su fichero de historias clínicas (...). En consecuencia, el consultante es responsable de un fichero plenamente sometido a lo dispuesto en la Ley Orgánica 15/1999, debiendo proceder a su notificación al Registro General de Protección de Datos y a la implantación de las necesarias medidas de seguridad. Además, conforme a la aplicación de la Ley 41/2002 y la Ley valenciana 1/2003 deberá conservar los datos durante los plazos previstos en las mismas, no pudiendo proceder a su cancelación sino hasta que transcurran dichos plazos. En consecuencia, el deber de custodia de la historia clínica debería subsistir al menos durante el período de tiempo establecido por la normativa estatal o autonómica reguladora de la materia, teniendo en cuenta la propia finalidad de la historia, por cuanto, como también ha señalado esta Agencia en informe de 1 de octubre de 2003, la voluntad del legislador en este caso no es la de que se proceda a la destrucción inmediata de los datos, sino, al contrario, que dichos datos sean conservados en cuanto pudieran resultar necesarios para la salvaguardia de la vida e integridad física del paciente. De este modo, en caso de cesación en el ejercicio de la profesión, subsistirá un deber de conservación que se extenderá a los plazos legalmente previstos, subsistiendo igualmente ese deber, en beneficio de la atención sanitaria del paciente, en caso de fallecimiento de facultativo, subrogándose los herederos en las obligaciones de conservación por aplicación de lo dispuesto en el artículo 661 del Código Civil (el resaltado es nuestro).

13 En el caso del plazo de conservación por parte de abogados y despachos de abogados no existe una previsión semejante (tampoco en el Estatuto General de la Abogacía). Ante esa falta de normativa, la Agencia Española de Protección de Datos se ha referido al tema del plazo de conservación de los soportes físicos relativos a asuntos jurídicos y administrativos de clientes en su Informe 0408/2010, en el que se remite a otro anterior de 2005, en los siguientes términos: En informe de 1 de agosto de 2005 se indicaba que resulta imposible establecer una enumeración taxativa de los períodos en que el dato habrá de permanecer bloqueado, en relación con lo dispuesto en el artículo 16.3, no obstante, señalaba los siguientes criterios: En cuanto a las causas que podrán motivar la conservación del dato, sujeto a su previo bloqueo, además de la relación jurídica con el afectado, a la que se refiere el artículo 16.5 de la Ley Orgánica 15/1999, éstas deberán fundarse en lo dispuesto en las disposiciones aplicables o a la atención de las posibles responsabilidades nacidas del tratamiento, tal y como prevé dicha Ley. En este sentido, para la determinación del período de bloqueo de los datos debe tenerse en cuenta que la Sentencia del tribunal Constitucional 292/2000, de 30 de noviembre, viene a imponer, expresamente, el principio de reserva de Ley en cuanto a las limitaciones al derecho fundamental de protección de datos de carácter personal, de forma que cualquier limitación a ese derecho (como sería la derivada del artículo 16.3 de la Ley) deberá constar en una disposición con rango de Ley para que el bloqueo de los datos pueda considerarse lícitamente efectuado. Así, a título de ejemplo, podría considerarse que el bloqueo habrá de efectuarse durante los plazos de prescripción de las acciones derivadas de la relación jurídica que funda el tratamiento, en los términos previstos por la

14 legislación civil o mercantil que resulte de aplicación, así como el plazo de cuatro años de prescripción de las deudas tributarias, en cuanto los datos puedan revestir trascendencia desde el punto de vista tributario (habida cuenta de la obligación de conservación que impone el artículo 111 de la Ley General Tributarias y el plazo legal de prescripción de cuatro años previsto en el artículo 24 de la Ley de Derechos y Garantías de los Contribuyentes). En todo caso, debe recordarse que el mantenimiento del dato bloqueado, supone una excepción al borrado físico del mismo que, en definitiva, es el fin último de la cancelación (tal y como prevé el propio artículo 16.3, al indicar que cumplido el citado plazo deberá procederse a la supresión). A los períodos mencionados en el informe citado [continúa la Agencia] cabe añadir el plazo de prescripción de 3 años, previsto en el artículo 47.1 de la propia Ley Orgánica 15/1999 en relación con las conductas constitutivas de infracción muy grave, sin perjuicio de que otras normas con rango de Ley, en aquellos concretos sectores en los que actúe en representación o defensa de su cliente, puedan establecer otros plazos de conservación de los datos. Por consiguiente, los datos deberán cancelarse una vez hayan dejado de ser r necesarios para la finalidad para la que se recabaron, manteniéndose bloqueados, en los términos vistos, al menos durante el tiempo necesario para la prescripción de las acciones que pudieran derivarse de la relación jurídica que vincula al consultante con su cliente, así como los derivados de la normativa tributaria, el plazo de prescripción previsto en el artículo 47.1 de la Ley Orgánica 15/1999, o los establecidos en otras normas con rango de Ley que resulten de aplicación al caso, debiendo suprimirse los datos una vez transcurridos dichos plazos (el subrayado es nuestro). También es importante resaltar lo que la Agencia ha señalado en su citado Informe de 1 de agosto de 2005, que a su vez reitera también lo dicho en el de 30 de julio de 2004, respecto al

15 plazo de conservación de los datos en relación con la responsabilidad a que se refiere el artículo 19 de la LOPD, según el cual: Derecho a indemnización. 1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones públicas. 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria. Señala la Agencia: En relación con este último plazo, dada la naturaleza jurídico-privada de la consultante [que es el caso de los abogados o despachos de abogados], la acción establecida en el artículo 19.3 tendrá naturaleza civil, pudiendo resultar del perjuicio causado como consecuencia del hecho mismo del tratamiento. De este modo, con carácter general, el plazo de prescripción de dicha acción será el establecido en el Código Civil para la acción de responsabilidad contractual (sic), siendo dicho plazo el de un año, previsto en el artículo º del citado Código. No hay, pues, un plazo de conservación expresamente fijado con carácter general en la LOPD. Lo que complica sobremanera la situación ya que el plazo dependerá de la propia naturaleza del dato personal. Teniendo en cuenta, además, que en principio la conservación de los datos cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual

16 hubieran sido recabados o registrados (como sabemos, art. 4.5 de la LOPD) puede incluso constituir una infracción grave tipificada en el artículo 44.3.c) de la citada Ley Orgánica: Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollen, salvo cuando sea constitutivo de infracción muy grave. En definitiva, los datos deben ser cancelados cuando dejen de ser necesarios o pertinentes (conceptos éstos también sumamente amplios), pero esta cancelación ha de dar paso no a su supresión física, sino a su bloqueo durante los plazos que sean de aplicación en cada caso. El artículo 5.1.b) del RLOPD define cancelación e, indirectamente, bloqueo de los datos: b) Cancelación: Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos. a) Abogado o despacho encargado del tratamiento. El régimen de la determinación del plazo de conservación de datos es muy diferente en el caso del encargado del tratamiento. Como sabemos, el encargado es la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio (art. 5.1.i) del RLOPD y 3.g) de la LOPD). En el caso de los abogados y despachos de abogados la situación descrita es sumamente usual. En numerosas ocasiones un despacho contrata los servicios profesionales de algún

17 abogado externo (en típico régimen de Off Counsel, por ejemplo) o un abogado lleva un asunto por encargo de otro. En estos casos, quien presta sus servicios profesionales ha de tener acceso a los datos que le facilite quien efectúa el encargo, siendo éste el responsable del fichero o tratamiento y aquél el encargado. Se trata de una manifestación de lo que establece el artículo 12 de la LOPD y, en desarrollo del mismo, los artículos 20 a 22 del Reglamento. Pues bien, para estos casos, el citado artículo 22 dispone: Artículo 22. Conservación de los datos por el encargado del tratamiento. 1. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación. 2. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. Es decir, la regla general es la devolución de los datos al responsable, sin que el encargado deba conservar los datos que haya tratado durante y para el cumplimiento de su prestación profesional. Sin perjuicio de lo que establece el apartado 2, que plantea problemas semejantes a los que hemos apuntado más atrás. B.- Plazo de conservación de los datos por parte de una Cámara Arbitral o el propio árbitro.

18 Las consideraciones que hemos hecho hasta ahora pueden aplicarse en lo esencial a la conservación de datos por parte de una Cámara Arbitral o el propio árbitro. Las diferencias pueden derivar de la propia naturaleza de las instituciones arbitrales y la posición del árbitro en cuanto árbitro único, o integrado en un órgano colegiado, lo que plantea la definición misma de quién ostenta la condición de responsable del fichero o tratamiento y/o encargado del tratamiento (incluso en la relación entre la entidad de la que depende la Corte de Arbitraje y la propia Corte). Cuestión ésta en la que, por la propia naturaleza de esta Nota, no es posible ahora entrar. 6.- REGIMEN DEL DERECHO DE CANCELACIÓN DEL TITULAR DE LOS DATOS. El plazo de conservación de los datos puede verse condicionado por el ejercicio del derecho de cancelación por parte del titular de los datos. En este caso son de aplicación el artículo 16 de la LOPD y los artículos 23 a 26 y 31 a 33 del Reglamento. El artículo 16 de la Ley dispone: Artículo 16. Derecho de rectificación y cancelación. 1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.

19 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado En lo que ahora interesa, cabe destacar, en relación con la disciplina reglamentaria del derecho de cancelación, que (artículo 31) el ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. Que (artículo 32) en la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso y que el responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud, teniendo en cuenta que en el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. Por otra parte (artículo 33) la cancelación no procederá cuando los datos de carácter personal deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos. Además, podrá también denegarse los derechos de rectificación o cancelación en los supuestos en que así lo prevea una ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso. 7.- CONSIDERCION FINAL.

20 La exposición que hasta este momento se ha hecho deja claro que el marco jurídico referido al plazo de conservación de datos por parte de abogados, despachos de abogados e instituciones arbitrales es enormemente confuso y está muy lejos de aportar soluciones claras y precisas. Esta situación, no sólo genera un gran desconcierto entre los abogados, sino que es especialmente delicada si se tiene en cuenta, como ya ha quedado señalado, que la cancelación indebida de datos o su conservación más allá de lo necesario puede constituir una infracción de la LOPD. En consecuencia, se considera imprescindible esclarecer tal situación y trasladar la preocupación del Consejo ante la Agencia Española de Protección de Datos. 8. CONCLUSIONES. A la vista de lo anterior, cabe extraer las siguientes conclusiones principales: Primera: El régimen de conservación de datos sólo es aplicable a los datos de carácter personal así definidos en la LOPD y en su Reglamento y en los casos a que ambas normas se refieren. Segunda: Los datos de carácter personal deben ser cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. Tercera: En contra de lo que ocurre en otros ámbitos, no existe un plazo de conservación de datos personales normativamente fijado en relación con los datos que sean tratados por los abogados, los despachos, los árbitros o las instituciones arbitrales. Cuarta: El régimen del plazo de conservación de datos personales difiere según nos refiramos al tratamiento llevado a cabo por los responsables o por los encargados.

21 Quinta: La cancelación de los datos no da lugar de forma inmediata a su supresión física, sino al bloqueo de los mismos, en los términos previstos por la LOPD y su Reglamento. Sexta: El ejercicio del derecho de cancelación por parte del titular de los datos personales ha de tenerse en cuenta pues puede afectar al plazo de conservación de los datos, sin perjuicio de los supuestos en los que, pese al ejercicio de tal derecho, la cancelación no sea posible, tal como establecen la LOPD y su Reglamento. Séptima: Conservar los datos durante un plazo superior al necesario o pertinente puede constituir infracción muy grave de la LOPD. Octava: En cualquier caso, se considera imprescindible esclarecer el régimen de conservación de datos a que se refiere el presente Informe y trasladar la preocupación del Consejo ante la Agencia Española de Protección de Datos.