ANTECEDENTES CONSIDERACIONES

Transcripción

1 Exp.: CN DICTAMEN Nº D DICTAMEN QUE SE EMITE EN RELACIÓN A CONSULTA PLANTEADA POR UN AYUNTAMIENTO SOBRE CESIÓN DE DATOS DEL PADRÓN MUNICIPAL, CESIÓN DE INFORMACIÓN TRIBUTARIA Y ACCESO A EXPEDIENTES POR UN CONCEJAL ANTECEDENTES PRIMERO: Con fecha 8 de marzo de 2016 tiene entrada en esta Agencia Vasca de Protección de Datos (AVPD) consulta de un Ayuntamiento sobre los asuntos arriba referenciados. SEGUNDO: El artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, en su apartado n) atribuye a la AVPD la siguiente función: Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta Ley. Corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la normativa más arriba citada, la emisión del informe en respuesta a la consulta formulada. CONSIDERACIONES I Plantea el Ayuntamiento en su consulta dos cuestiones relativas a la licitud de la comunicación de los datos del padrón municipal de habitantes a personas distintas de sus titulares: una, relacionada con los requisitos o condiciones para que un tercero tenga acceso a los mismos; y la otra, la cesión por el Ayuntamiento de un dato del padrón a una empresa adjudicataria de un contrato municipal cuyo objeto es el sondeo o encuestas de opinión. La licitud de la comunicación de los datos del padrón municipal de habitantes a personas distintas de sus titulares ya ha sido abordada por la Agencia Vasca de Protección de Datos en varios dictámenes, siendo conveniente recordar lo recogido en la consulta CN14-020, y la CN a la que cita, que al analizar esta cuestión establecía lo siguiente: «Hemos de tener en cuenta que en el artículo 3 i) de la LOPD se define como cesión o comunicación de datos toda revelación de datos realizada a una persona distinta del interesado. ; por ello, el tratamiento de datos consistente en expedir y entregar un c/ Beato Tomás de Zumárraga, 71, 3º Vitoria Gasteiz - Tel Fax avpd@avpd.eus -

2 certificado de empadronamiento histórico colectivo a una persona, implica una cesión o comunicación de datos de carácter personal. La cesión de datos a terceros se regula con carácter general en el artículo 11 de la LOPD exigiéndose en el punto 1 el consentimiento del afectado. En el punto 2 se incluyen las excepciones a la necesidad del consentimiento, siendo conveniente a nuestros efectos destacar lo recogido en el apartado a) Cuando la cesión está autorizada en una ley. Debemos por tanto analizar si existe norma de rango legal que habilite la cesión de los datos personales contenidos en el Padrón. La Ley fundamental que regula y que autoriza la cesión de datos del padrón es la Ley 7/1985, reguladora de las Bases del Régimen Local, cuyo artículo 16.3 establece lo siguiente: Los datos del Padrón Municipal se cederán a otras Administraciones públicas que lo soliciten sin consentimiento previo al afectado solamente cuando les sean necesarios para el ejercicio de sus respectivas competencias, y exclusivamente para asuntos en los que la residencia o el domicilio sean datos relevantes. También pueden servir para elaborar estadísticas oficiales sometidas al secreto estadístico, en los términos previstos en la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública y en las leyes de estadística de las comunidades autónomas con competencia en la materia. Esta regulación se completa con lo dispuesto en el Real Decreto 1690/1986, de 11 de julio, por el que se aprueba el Reglamento de Población y Demarcación de las Entidades Locales. Esta norma reglamentaria define el Padrón en su artículo 53 y prevé asimismo la cesión a las Administraciones Públicas en los mismo términos del 16.3 de la Ley de Bases del Régimen Local: 1. El Padrón municipal es el registro administrativo donde constan los vecinos de un municipio. Sus datos constituyen prueba de la residencia en el municipio y del domicilio habitual en el mismo. Las certificaciones que de dichos datos se expidan tendrán carácter de documento público y fehaciente para todos los efectos administrativos. 2. Los datos del padrón municipal se cederán a otras Administraciones públicas que lo soliciten sin consentimiento previo del afectado solamente cuando les sean necesarios para el ejercicio de sus competencias, y exclusivamente para asuntos en los que la residencia o el domicilio sean datos relevantes. También pueden servir para elaborar estadísticas oficiales sometidas al secreto estadístico, en los términos previstos en la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública. Fuera de estos supuestos, los datos del padrón son confidenciales y el acceso a los mismos se regirá por lo dispuesto en la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal y en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. 3. En todo caso, el padrón municipal está sujeto al ejercicio por parte de los vecinos de los derechos de acceso y de rectificación y cancelación 2

3 regulados en los artículos 14 y 15 de la Ley Orgánica 5/1992, de 19 de octubre. La mención que este artículo recoge en relación con la Ley Orgánica 5/1992, ya derogado, hay que entenderlas referidas a la LOPD. En principio, la normativa específica reguladora del Padrón no contempla otras cesiones que no tengan por destinatarios a las Administraciones Públicas, sin que al amparo de dicha norma podamos justificar una cesión de datos del Padrón a terceros. A esta misma conclusión llega el Informe 0379/2007 de la Agencia Española de Protección de Datos cuando, al examinar la posibilidad de transmitir los datos contenidos en el Padrón Municipal de Habitantes a un particular que solicita conocer los datos de las personas anteriormente empadronadas en un inmueble de su propiedad establece que de lo dispuesto en el citado artículo 16 de la Ley reguladora de las Bases del Régimen Local se desprende que los datos del Padrón Municipal únicamente podrán ser comunicados, con la extensión y para las finalidades que se han venido indicando, a las Administraciones Públicas, sin que dicha norma habilite a su transmisión a personas o entidades privadas, como la que se indica en la consulta. Igual criterio se mantiene por parte de la doctrina, así, Fuentetaja Pastor y Medina González en su obra la protección de datos en la Administración Local (Iustel 2008 pg. 151), establecen que la naturaleza y configuración legal del Padrón implica que la comunicación y cesión de los datos del Padrón municipal de habitantes a terceros no está amparada en la normativa reguladora del mismo. Como hemos visto, la Ley de bases del Régimen Local sólo prevé la comunicación o cesión de datos del Padrón de habitantes a otras Administraciones Públicas, sin que las excepciones recogidas en el artículo 11.2 de la Ley Orgánica de Protección de Datos sean de aplicación a las relaciones de un Ayuntamiento -responsable del Fichero Padrón- con terceros». Abunda también en esta tesis la Resolución de 30 de enero de 2015, del Presidente del Instituto Nacional de Estadística y del Director General de Coordinación de Competencias con las Comunidades Autónomas y las Entidades Locales, por la que se dictan instrucciones técnicas a los Ayuntamientos sobre la gestión del Padrón municipal (BOE nº 71, de 24/03/2015), que en su norma 8.1 ( acceso a los datos padronales ) dispone lo siguiente: El Padrón municipal es un registro administrativo que contiene datos de carácter personal y, como tal, está sujeto a lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que define el concepto de interesado y regula su derecho de acceso, así como la comunicación de los datos a terceros. Por lo que se refiere al concepto de interesado, se define en el artículo 3 como la persona física titular de los datos objeto de tratamiento por lo que, en el caso del Padrón municipal, el interesado es el propio vecino al que se refieren los datos padronales. Su derecho de acceso queda regulado en el artículo 15 de la citada Ley Orgánica, pudiendo habilitar los Ayuntamientos distintos mecanismos para ello. Una mención especial debe efectuarse a los volantes y certificados de empadronamiento, así como a la obligación de informar a los vecinos cada vez que 3

4 se producen actualizaciones en sus datos y al menos una vez cada cinco años, que se describen en sendos apartados específicos de esta Resolución. El vecino puede acceder a su información personalmente o por medio de su representante, legal o voluntario, según lo previsto en el artículo 32 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común relativo a la representación de los interesados. En el caso de menores no emancipados de padres separados o divorciados, en virtud de lo establecido en el artículo 156 del Código Civil, el progenitor no custodio que acredite mediante la oportuna resolución judicial que ejerce la patria potestad compartida de sus hijos podrá acceder a la información padronal de los mismos, previa audiencia al progenitor que ostente la guarda y custodia para que pueda realizar las alegaciones que estime oportunas, con el fin de preservar el secreto de la residencia en situaciones sensibles. No procederá el acceso a la información cuando de la propia resolución se derive que debe preservarse el citado secreto por carecer el progenitor no custodio del derecho de visita a sus hijos menores o sólo poder hacerlo bajo supervisión de terceros y en determinados lugares. Del conjunto de consideraciones incluidas hasta ahora, podemos claramente deducir que la cesión de datos del padrón está prevista fundamentalmente con destino a las Administraciones Públicas y al propio interesado. El vecino del municipio es, por tanto, el titular de los datos personales contenidos en el padrón municipal, y por ello, será el vecino el que podrá acudir al Ayuntamiento correspondiente a solicitar el acceso a los mismos. Será necesaria, pues, autorización expresa del interesado para que una tercera persona pueda solicitar y obtener el volante de empadronamiento del mismo, no siendo suficiente con la presentación ante el Ayuntamiento de copia del documento nacional de identidad del interesado y la comprobación del que el mismo y el que lo solicita en su nombre figuran empadronados en el mismo domicilio. De conformidad con el artículo 12.3 del Reglamento de desarrollo de la LOPD, al tener el responsable del tratamiento, en este caso, el Ayuntamiento, la carga de la prueba de la existencia del consentimiento, sería conveniente que la autorización expresa del interesado quede en poder de la entidad local para poder acreditar en cualquier momento la existencia del mismo. II Continuando con este dictamen, pasamos a dar respuesta a la otra cuestión que plantea el Ayuntamiento relativa a la cesión por dicha entidad local de un dato personal que figura en el padrón a una empresa adjudicataria de un contrato municipal, cuyo objeto es el sondeo o encuestas de opinión. Tal y como hemos indicado anteriormente, la LBRL en su artículo 16.3 sólo prevé la cesión de datos padronales a otras Administraciones Públicas sin consentimiento del interesado en aquellos supuestos expresamente recogidos en dicho artículo, no existiendo habilitación legal para que el Ayuntamiento pueda ceder datos del padrón a una empresa adjudicataria en un contrato municipal, a pesar de que esos datos puedan ser necesarios para poder ejecutar el objeto del contrato. 4

5 La LOPD sí recoge el supuesto de que un tercero pueda tener acceso a los datos de carácter personal sin consentimiento del interesado cuando sea necesario para prestar un servicio al responsable del tratamiento de dichos datos. El artículo 12 de la LOPD regula el acceso a los datos por cuenta de terceros, estableciendo el apartado 1 que no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. Los apartados 2 y 3 del artículo 12 recogen los requisitos que ha de cumplir el tratamiento de datos de carácter personal por cuenta de terceros de la siguiente forma: 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. Ello no obstante, debe tenerse en cuenta que tratándose de contratos del sector público resulta plenamente de aplicación la disposición adicional vigésima sexta, titulada Protección de datos de carácter personal de la Ley de contratos del sector público aprobado por Real Decreto Legislativo 3/2011, de 14 de noviembre (TRLCSP), que en los apartados 1 y 2 establece lo siguiente: 1. Los contratos regulados en la presente Ley que impliquen el tratamiento de datos de carácter personal deberán respetar en su integridad la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo. 2. Para el caso de que la contratación implique el acceso del contratista a datos de carácter personal de cuyo tratamiento sea responsable la entidad contratante, aquél tendrá la consideración de encargado del tratamiento. En este supuesto, el acceso a esos datos no se considerará comunicación de datos, cuando se cumpla lo previsto en el artículo 12.2 y 3 de la Ley Orgánica 15/1999, de 13 de diciembre. En todo caso, las previsiones del artículo 12.2 de dicha Ley deberán de constar por escrito. Cuando finalice la prestación contractual los datos de carácter personal deberán ser destruidos o devueltos a la entidad contratante responsable, o al encargado de tratamiento que ésta hubiese designado. El tercero encargado del tratamiento conservará debidamente bloqueados los datos en tanto pudieran derivarse responsabilidades de su relación con la entidad responsable del tratamiento. A la vista de las anteriores consideraciones, para que la empresa adjudicataria del contrato pueda acceder a datos de carácter personal obrantes en el padrón municipal, 5

6 necesarios para la realización del servicio contratado, y que obran en poder del Ayuntamiento como responsable del tratamiento, será necesario que se cumplan las previsiones de los apartados 2 y 3 del artículo 12 de la LOPD anteriormente transcritas. Siendo necesario en todo caso que consten por escrito las previsiones contenidas en el apartado 2 de dicho artículo 12, ello con independencia de que la formalización del contrato se materialice o no a través de un contrato menor. III El Ayuntamiento plantea una cuestión relativa al acceso y comunicación de datos de trascendencia tributaria, como son las liquidaciones de impuestos. El artículo 92.1 de la Norma Foral 2/2005, de 8 de marzo, General Tributaria del Territorio Histórico de Gipuzkoa establece el carácter reservado de los datos con trascendencia tributaria en los siguientes términos: Los datos, informes o antecedentes obtenidos por la Administración tributaria en el desempeño de sus funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan, sin que puedan ser cedidos o comunicados a terceros ( ). La Norma Foral recoge una serie de supuestos tasados de cesión o comunicación a terceros, que constituyen excepciones al carácter reservado de los datos con trascendencia tributaria. A las liquidaciones de impuestos, en cuanto contienen datos de carácter personal, le es de aplicación la normativa reguladora de la protección de datos de carácter personal, quedando sujeto su tratamiento a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y al Reglamento de desarrollo de la misma aprobado por Real Decreto 1720/2007, de 21 de diciembre. De conformidad con el artículo 11 de la LOPD, y dado el carácter reservado de dichos datos según el artículo 92.1 de citada la Norma Foral 2/2005, será necesario el consentimiento del titular de los datos contenidos en las liquidaciones de impuestos municipales, para la comunicación de los mismos a un tercero. Será necesaria, pues, autorización expresa del interesado para que una tercera persona pueda solicitar y obtener la liquidación del impuesto municipal. Y tal y como hemos indicado en la consideración primera, y a los efectos del artículo 12.3 del Reglamento de desarrollo de la LOPD, sería conveniente que la autorización expresa del interesado quede en poder de la entidad local para poder acreditar en cualquier momento la existencia del consentimiento del mismo. IV Por último, el Ayuntamiento plantea una cuestión relativa al acceso de un concejal del Ayuntamiento, miembro de la comisión de bienestar social, a copias de los expedientes de ayudas de emergencia social resueltos por otro concejal. 6

7 Con carácter previo a la cuestión planteada (el acceso por un concejal a copias de expedientes), vamos a abordar la licitud de la cesión a un concejal de los datos de carácter personal obrantes en expedientes administrativos. Desde el punto de vista de la normativa reguladora de la protección de datos de carácter personal, el acceso a dicha información por parte del Concejal supone una cesión. Así la LOPD define la cesión en su artículo 3.i) como toda revelación de datos realizada a una persona distinta del interesado. La regla general consiste en que para este tratamiento de datos se exige contar con el consentimiento del afectado, tal y como prescribe la LOPD en su artículo 11.1: Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. Las excepciones al régimen general se recogen en el artículo 11.2 siendo destacable a nuestros efectos la incluida en el apartado a), que señala que no es preciso el consentimiento cuando la cesión está autorizada en una ley. La Ley que excepciona en nuestro caso la necesidad del consentimiento es la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local (LBRL), en concreto su artículo 77, que fue objeto de desarrollo en los artículos 14 y 15 del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales (ROF), aprobado por Real Decreto 2568/1986, de 28 de noviembre. El artículo 77 de la LBRL dispone lo siguiente: Todos los miembros de las Corporaciones locales tienen derecho a obtener del Alcalde o Presidente o de la Comisión de Gobierno cuantos antecedentes, datos o informaciones obren en poder de los servicios de la Corporación y resulten precisos para el desarrollo de su función. La solicitud de ejercicio del derecho recogido en el párrafo anterior habrá de ser resuelta motivadamente en los cinco días naturales siguientes a aquél en que se hubiese presentado. Los artículos 14 y 15 del ROF, que desarrollan la anterior previsión legal, disponen: Artículo 14. Todos los miembros de las Corporaciones Locales tienen derecho a obtener del Alcalde o Presidente o de la Comisión de Gobierno cuantos antecedentes, datos o informaciones obren en poder de los servicios de la Corporación y resulten precisos para el desarrollo de su función. 2. La petición de acceso a las informaciones se entenderá concedida por silencio administrativo en caso de que el Presidente o la Comisión de Gobierno no dicten resolución o acuerdo denegatorio en el término de cinco días, a contar desde la fecha de solicitud. 3. En todo caso, la denegación del acceso a la documentación informativa habrá de hacerse a través de resolución o acuerdo motivado. 7

8 Artículo 15. No obstante lo dispuesto en el número 1 del artículo anterior, los servicios administrativos locales estarán obligados a facilitar la información, sin necesidad de que el miembro de la Corporación acredite estar autorizado, en los siguientes casos: a) Cuando se trate del acceso de los miembros de la Corporación que ostenten delegaciones o responsabilidades de gestión, a la información propia de las mismas. b) Cuando se trate del acceso de cualquier miembro de la Corporación, a la información y documentación correspondiente a los asuntos que hayan de ser tratados por los órganos colegiados de que formen parte, así como a las resoluciones o acuerdos adoptados por cualquier órgano municipal. c) Cuando se trate del acceso de los miembros de la Corporación a la información o documentación de la entidad local que sean de libre acceso para los ciudadanos. De conformidad con la normativa citada, los concejales tendrían derecho a acceder a información relativa a expedientes administrativos que puedan contener datos de carácter personal cuando la misma sea estrictamente necesaria para el ejercicio de funciones de control, previa petición motivada y resolución o acuerdo estimatorio en los términos del artículo 14 del ROF. En este sentido, resulta obligado recordar que el principio de calidad de los datos que proclama el artículo 4 de la LOPD exige que únicamente se traten aquéllos que sean adecuados, pertinentes y no excesivos para la concreta finalidad para la que se hayan obtenido. Además del supuesto en el que los concejales solicitan la información para el ejercicio de la función de control, éstos tendrían acceso a la información si ostentan responsabilidades de gestión sobre esos expedientes; o forman parte de órganos colegiados a los que corresponda tratar esos asuntos; o se trate de información o documentación de la entidad local que sean de libre acceso para los ciudadanos. Cuestión distinta al derecho de acceso a la información es el derecho a obtener copias de los expedientes. El acceso a esas copias está sometido a los requisitos y condiciones exigidos en el artículo 16 del ROF, que limita el libramiento de las mismas a los casos de acceso libre de los concejales a la información y a los casos en que ello sea expresamente autorizado por el Presidente de la Comisión de Gobierno (actualmente denominada Junta de Gobierno Local). Hechas estas consideraciones generales sobre la cesión a un concejal de los datos de carácter personal obrantes en expedientes administrativos en general, vamos a abordar la cuestión planteada por el Ayuntamiento referente al acceso a expedientes de ayudas de emergencia social. Según señala el Ayuntamiento, la solicitud la formula un concejal, miembro de la comisión de bienestar social, que es un órgano colegiado de carácter informativo al que no se remiten estos expedientes resueltos por el concejal delegado. Además, tal y como expone la propia consultante, este tipo de expedientes contienen multitud de datos del interesado, tanto económicos como sociales. Se trata, en definitiva, de expedientes que contienen datos que pueden afectar a la esfera más íntima de las personas, y a los que la LOPD otorga por ello mayor protección. Estos datos 8

9 especialmente protegidos se regulan en el artículo 7 de la LOPD, y la cesión de los mismos está sometida a un régimen de protección mucho más estricto. Las ayudas de emergencia social vienen reguladas por la Ley 18/2008, de 23 de diciembre, para la garantía de ingresos y para la inclusión social, y por el Decreto 4/2011, de 18 de enero, de las ayudas de emergencia social, y ambas normas establecen el carácter confidencial de los datos obtenidos en la tramitación de los expedientes. Así el artículo 63.1 de la Ley 18/2008 y el apartado 2 del artículo 30 del Decreto 4/2011 establecen que Las administraciones públicas vascas garantizarán la confidencialidad de los datos obtenidos en la tramitación de los expedientes por parte de los organismos competentes, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. De conformidad con lo arriba indicado, y a falta de más información, esta Agencia entiende que la cesión masiva e indiscriminada de los expedientes de ayudas de emergencia social al concejal al que se refiere la consulta vulneraría la normativa de protección de datos. En Vitoria-Gasteiz, a 18 de abril de