CN ANTECEDENTES

Transcripción

1 CN DICTAMEN QUE SE EMITE SOBRE LA CESIÓN A UN AYUNTAMIENTO DE DATOS PERSONALES DE LAS MUJERES QUE ATIENDE UNA ASOCIACIÓN EN VIRTUD DE UN CONVENIO DE COLABORACIÓN FIRMADO CON EL AYUNTAMIENTO. ANTECEDENTES PRIMERO: Con fecha 5 de febrero de 2013 tiene entrada en esta Agencia Vasca de Protección de Datos escrito solicitando dictamen sobre la cuestión que se cita en el encabezamiento. SEGUNDO: En dicho escrito de remisión se pone en conocimiento de esta Agencia que la Asociación ha firmado un convenio de colaboración con el Ayuntamiento (se adjunta el mismo), por el que se compromete a prestar servicios de orientación jurídica y atención psicológica a mujeres empadronadas en el municipio que sean víctimas del maltrato doméstico o agresiones sexuales o estén en situación de vulnerabilidad. Para la prestación de estos servicios la Asociación contratará mediante contrato de arrendamiento de servicios, a los abogados y abogadas y a los psicólogos y psicólogas que fueren precisos. TERCERO: En la cláusula novena del convenio se estipula que la Asociación facilitará los datos e información específica o puntual que el Ayuntamiento de XXXXX pueda requerir en relación con la prestación de los servicios objeto del convenio y, además, con carácter semestral y anual, una memoria evaluativa de los servicios prestados en las que, como mínimo, se relacionarán los siguientes datos: -Respecto de cada mujer usuaria, nombre, dos apellidos, numero de DNI/NIE/Pasaporte, numero de teléfono de contacto, motivo de atención y fechas en las que haya recibido los servicios de orientación jurídica y atención psicológica. -Respecto del conjunto de mujeres usuarias, datos estadísticos edad estado civil, situación laboral, motivo de consulta, origen del maltrato o agresión, y cualesquiera otros datos que desde el Ayuntamiento de XX pudieran considerarse necesarios para la planificación de la intervención municipal en el ámbito de la atención a las mujeres víctimas de maltrato o agresiones o vulnerables y en materia de igualdad de mujeres y hombres; y sean requerido formalmente con suficiente antelación para que puedan ser registrados. Dado el carácter confidencial de los datos que contendrán, las citadas memorias se entregarán a la persona que ostente la Jefatura de Sección de c/ Beato Tomás de Zumárraga, 71, 3º Vitoria Gasteiz - Tel Fax avpd@avpd.es -

2 Acción Social y Mujer del Ayuntamiento de XX, quien le dará el trámite que proceda en orden a la valoración municipal de la prestación de los servicios de orientación jurídica y atención psicológica. CUARTO: De conformidad con la cláusula undécima, el Ayuntamiento de XXXXX se compromete a abonar a la Asociación de Mujeres XXX de XXXXX una cantidad de dinero al objeto de que esta Asociación pueda seguir prestando los servicios de orientación jurídica y atención psicológica a esas mujeres. CONSIDERACIONES I A la vista de lo que antecede, podemos entender que la materia sobre la cual versa el intercambio de información es la relativa a los servicios sociales y, por ello, la respuesta a la consulta planteada requiere atender tanto al régimen jurídico de la cesión de datos de carácter personal como a la normativa sectorial que afecta al supuesto planteado. De este modo, bajo la perspectiva del derecho fundamental a la protección de datos de carácter personal, en nuestro análisis se atenderá al tipo de servicio que se presta y al literal del convenio, sin pretender entrar a analizar, por exceder del ámbito competencial de esta Agencia, la distribución competencial sobre el concreto servicio social que se presta, la naturaleza de la instrumentalización de la relación prestacional o la naturaleza de la aportación de la administración. Igualmente, y por la misma razón, sólo se analizará la comunicación o cesión de datos personales entre el Ayuntamiento y la Asociación, ya que el artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, en su apartado n) atribuye a la Agencia Vasca de Protección de Datos la siguiente función: Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta Ley. Por lo tanto, si las funciones de la Agencia se desempeñan en relación con los ficheros a que se refiere el artículo 2.1 de la Ley 2/2004, de 25 de febrero, no sería competente para examinar ni controlar los ficheros de titularidad privada, como, por ejemplo, los ficheros que puedan crearse en virtud del convenio, tanto por parte de la Asociación, como por parte de los profesionales contratados por ésta para la prestación de los servicios de orientación jurídica y atención psicológica. 2

3 II Dicho esto, en el supuesto ahora planteado, podemos entender que el Ayuntamiento quiere prestar un servicio municipal a través de la Asociación, si tenemos en cuenta (I) la naturaleza del servicio que se presta, (II) que en las consideraciones del convenio se establece: Que, en base a la normativa que seguidamente se relaciona, el Ayuntamiento de XX puede asumir la prestación de servicios de orientación jurídica y atención psicológica a mujeres empadronadas en XX que hayan sido víctimas de maltrato doméstico o agresiones sexuales o estuviesen en situación de vulnerabilidad, (III) que la cláusula octava regula la coordinación permanente entre el Ayuntamiento y la Asociación para el seguimiento adecuado de la prestación de los servicios objeto del convenio, y (IV) que las memorias que contienen datos personales sólo se entregan a la Jefatura de Sección de Acción Social y Mujer del Ayuntamiento de XX, quien le dará el trámite que proceda en orden a la valoración municipal de la prestación de servicios de orientación jurídica y atención psicológica. En consecuencia, ante la comunicación o cesión de datos planteada en la consulta, el Ayuntamiento sería el responsable del fichero con arreglo a lo dispuesto en el artículo 3 d) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) y en el artículo 5.1 q) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante Reglamento). La Asociación, por su parte, ejercería las funciones de encargada del tratamiento (artículo 3 g) de la LOPD y artículo 5.1i) del Reglamento), ya que por tal figura se entiende a la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. En este caso, el Ayuntamiento debería contar con un fichero público al efecto que recoja los datos personales necesarios, la finalidad del fichero y que el tratamiento se efectúa por cuenta del Ayuntamiento. Con carácter general, el artículo 12.1 de la LOPD, establece que no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento, haciendo con ello referencia a la figura del encargado del tratamiento, pero para delimitar si en un supuesto concreto nos encontramos ante la realización de actividades reguladas por el artículo 12 de la LOPD o ante una cesión de datos, es preciso atender al cumplimiento de los presupuestos enumerado en ese artículo y a las circunstancias del caso. Así, nos encontraremos ante un encargo del tratamiento cuando la entidad que recoge los datos no decida sobre la finalidad, contenido y uso del tratamiento, restituyendo los datos al responsable una vez concluida la prestación contratada con aquél. En cambio, estaremos ante una cesión en aquellos supuestos en los que quien reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo 3

4 sobre el objeto y finalidad del tratamiento, lo que la convertirá a su vez en un responsable del fichero o tratamiento. En el supuesto planteado, una primera lectura del clausulado y, sobre todo, de la cláusula novena in fine del convenio permitiría entender que la Asociación no decide sobre la finalidad, contenido y uso del tratamiento y que, como encargada del tratamiento, puede subcontratar con un tercero servicios de orientación jurídica y atención psicológica, puesto que esta posibilidad está prevista en el artículo 21 del Reglamento y expresamente se contempla en la cláusula segunda del convenio. No obstante, para poder establecer la válida constitución de la figura del encargado del tratamiento debe cumplirse plenamente el régimen establecido en el artículo 12 de la LOPD, que habrá de circunscribirse a la prestación del servicio que se contrata, sin que sea suficiente regular sólo los aspectos citados en el convenio, o una remisión genérica al cumplimiento de la normativa sobre protección de datos, o una aceptación formal del régimen jurídico establecido en el citado artículo. En consecuencia, en el supuesto analizado, la ausencia de establecimiento expreso del conjunto de exigencias y garantías del artículo 12 de la LOPD implicaría que se apliquen los principios generales que la LOPD dispone para que el responsable de un fichero pueda comunicar datos personales a un tercero; esto es, en lo que ahora más puede interesar, el artículo 11.1 de la LOPD ( Comunicación de datos ) que establece: Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. Siguiendo este criterio, no habría impedimento alguno para que los datos tratados se comunicaran al Ayuntamiento con el consentimiento previo e informado de las personas afectadas (artículo 11.1 y artículo 5 de la LOPD). Ahora bien, la necesidad de consentimiento queda exceptuada en una serie de supuestos recogidos en el punto 2 del artículo 11 de la LOPD, conviniendo destacar a nuestros efectos el incluido en el apartado a): cuando la cesión está autorizada en una ley. A partir de esta consideración, la resolución de la consulta planteada también pasa por analizar si una Ley autoriza la comunicación de datos de carácter personal prevista en el convenio. Para ello hemos de considerar, en primer lugar, que el considerando cuarto del convenio establece que la Asociación puede prestar el servicio de orientación jurídica y atención psicológica a un coste por debajo de su precio de mercado, si bien para ello precisa de la correspondientes aportación económica del Ayuntamiento de XX. Esta consideración permitiría entender que estamos ante un convenio que tiene por objeto establecer las condiciones y compromisos aplicables a la concesión directa de una subvención nominativa otorgada por el Ayuntamiento a la Asociación, y suscrito en virtud de lo dispuesto en el artículo 22 a) y 28.1 de la Ley 38/2003, de 17 de noviembre, General de Subvenciones. En este caso, la Asociación sería considerada 4

5 responsable del tratamiento, con todas las obligaciones que se impone a esta figura en la LOPD y en su reglamento de desarrollo. Conforme al artículo 14.1c) de la Ley 38/2003, es obligación del beneficiario de la subvención someterse a las actuaciones de comprobación, a efectuar por el órgano concedente o la entidad colaboradora, en su caso, así como cualesquiera otras de comprobación y control financiero que puedan realizar los órganos de control competentes, tanto nacionales como comunitarios, aportando cuanta información le sea requerida en el ejercicio de las actuaciones anteriores, y estará obligado a prestar colaboración y facilitar cuanta documentación sea requerida en el ejercicio de las funciones de control que corresponden, dentro del ámbito de la Administración concedente, a la Intervención General de la Administración del Estado, de las Comunidades Autónomas o de las corporaciones locales, así como a los órganos que, de acuerdo con la normativa comunitaria, tengan atribuidas funciones de control financiero (artículo 46.1 de la Ley 38/2003). Por tanto, el tratamiento de datos derivado de las actuaciones de comprobación cuenta con habilitación legal en la normativa reguladora de las subvenciones. Sin embargo, para que esa obligación de cesión de datos de carácter personal prevista en el convenio sea conforme a la LOPD, debe respetar el principio de calidad (artículo 4 de la LOPD), por lo que, sería necesario que la cesión de los datos personales de las mujeres atendidas resulten adecuados, pertinentes y no excesivos para el cumplimiento de la finalidad legítima perseguida por el Ayuntamiento, en este caso, para valorar el cumplimento de los requisitos necesarios para la obtención de la subvención y, en consecuencia, proceder al segundo pago de la misma (cláusula undécima). Por otra parte, teniendo en cuenta que el servicio prestado por la Asociación está destinado a mujeres víctimas de maltrato doméstico o agresiones sexuales o que estén en situación de vulnerabilidad, los datos referidos al motivo de la consulta, así como las evaluaciones efectuadas, tendrían la consideración de datos sensibles especialmente protegidos merecedores del más alto nivel de protección por afectar a los aspectos más íntimos de la personalidad, (artículos 7.3 de la LOPD y 81.3 a) y c) del Reglamento) y, por ello, un régimen singular respecto a su cesión: Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. En suma, la necesidad de obtener el consentimiento expreso de los titulares de tales datos constituye la regla general para el tratamiento de los mismos y la posibilidad de que dicho tratamiento pueda llevarse a cabo en los supuestos en los que una ley así lo disponga debe quedar fundada en la existencia de razones de interés general. En definitiva, dicho sea con el máximo respeto a la autonomía municipal y a las cláusulas del convenio libremente aceptadas por las partes, la puesta en conocimiento del Ayuntamiento del motivo de la atención podría no superar el juicio de proporcionalidad que exige el principio de calidad, por lo que, con ánimo colaborador, la Agencia recomienda que el responsable del tratamiento y el Ayuntamiento hagan un ejercicio de ponderación en relación con esos datos 5

6 sensibles, evitando que puedan ser objeto de comunicación si su conocimiento no es imprescindible para la obtención de la subvención. Debe señalarse también que la consideración de dato imprescindible deberá ser necesariamente motivada en atención a la afectación de un derecho fundamental de terceros (los titulares de los datos). Como ya hemos indicado, si el dato no es necesario, su cesión requeriría el consentimiento de las afectadas. Por todo ello, de acuerdo con las consideraciones anteriores, por el Director de la Agencia Vasca de Protección de Datos se formula la siguiente, CONCLUSIÓN 1.- La Asociación tendrá la condición de encargado del tratamiento siempre que el tratamiento se lleve a cabo en nombre y por cuenta del Ayuntamiento responsable del tratamiento y no pueda, en modo alguno, decidir sobre el contenido, finalidad y uso del tratamiento. El convenio suscrito entre las partes debe contener de forma expresa los requisitos del artículo 12 de la LOPD, no bastando una mera referencia genérica en el convenio. 2.- Si la Asociación actúa en nombre propio y no como mera mandataria del Ayuntamiento, nos encontraríamos ante un supuesto de cesión o comunicación de datos de carácter personal, que sería lícito siempre que contase con el consentimiento de las afectadas o cuando se diera alguno de los supuestos previstos en el artículo 11.2 de la LOPD. En Vitoria-Gasteiz, a 21 de febrero de