CN ANTECEDENTES

Transcripción

1 CN DICTAMEN QUE SE EMITE SOBRE LA CESIÓN DE DATOS DEL PADRÓN A LANBIDE-SERVICIO VASCO DE EMPLEO PARA LA GESTIÓN DE LA RENTA DE GARANTÍA DE INGRESOS Y DE LA PRESTACIÓN COMPLEMENTARIA DE VIVIENDA. ANTECEDENTES PRIMERO: Con fecha 8 de noviembre de 2013 tiene entrada en esta Agencia Vasca de Protección de Datos escrito del Ayuntamiento de XXX solicitando dictamen sobre la cuestión que se cita en el encabezamiento. SEGUNDO: En dicho escrito de remisión se pone en conocimiento de esta Agencia lo siguiente: El Ayuntamiento de XXX, tiene suscrito con Lanbide-Servicio Vasco de Empleo un Convenio de Colaboración para la cesión de datos de carácter personal relacionados con las ayudas y prestaciones que ambas Entidades conceden. Así, el texto del Convenio prevé, entre otros supuestos, que el Ayuntamiento ceda datos referidos al Padrón de Habitantes Municipal para que Lanbide pueda tramitar el reconocimiento de las prestaciones de derecho subjetivo Renta de Garantía de Ingresos (RGI) y Prestación Complementaria de Vivienda- y, en su caso, revisar la continuidad de la condición de persona beneficiaria de las mismas, sin requerir la aportación documental por las personas interesadas de las circunstancias exigidas por la normativa reguladora de dichas ayudas en relación con su situación padronal. En este sentido, el artº 60.1 de la Ley 18/2008, de 23 de diciembre, para la Garantía de Ingresos y para la Inclusión Social establece en la instrucción de los expedientes de RGI, el deber de comprobación por parte de Lanbide del cumplimiento de los requisitos establecidos en dicha Ley pudiendo a estos efectos pedir cuantos datos e informes sean necesarios a otras administraciones o entidades públicas y privadas o a la propia persona solicitante. La cuestión que se suscita es el alcance y contenido necesario de la comunicación de datos padronales por el Ayuntamiento de XXX a Lanbide para la tramitación de dichas ayudas, ya que, según Lanbide, el acceso a los datos de una persona en el Padrón de Habitantes de forma individual, resulta c/ Beato Tomás de Zumárraga, 71, 3º Vitoria Gasteiz - Tel Fax avpd@avpd.es -

2 insuficiente para la comprobación del cumplimiento de todos los requisitos y obligaciones establecidos en la normativa RGI, siendo necesario acceder a la información de todas aquellas personas que residan en el domicilio, esto es, el denominado padrón colectivo. Para la obtención de la ayuda, Lanbide reclama el consentimiento expreso del peticionario así como del resto de miembros de su unidad de convivencia, si bien en un determinado domicilio puede convivir más de una unidad convivencial y Lanbide pretende acceder a los datos del resto de personas que, estando empadronadas en el mismo domicilio no formen parte de la unidad convivencial del solicitante de la prestación. En definitiva, Lanbide solicita al Ayuntamiento de XXX la comunicación de datos de la totalidad de residentes en un determinado domicilio padronal, incluyendo no sólo al interesado y a los miembros de su unidad convivencial, sino a las personas de otras unidades familiares empadronadas en el mismo domicilio y que no han solicitado la prestación, a los efectos de una correcta tramitación y cumplimiento de obligaciones en materia de Renta de Garantía de Ingresos. Los datos a comunicar comprenden los relativos a nombre, apellidos, DNI/NIE, e histórico de los habitantes de la vivienda en periodos determinados. Solicitado a Lanbide informe justificativo de la necesidad de tales datos, y emitido el mismo con fecha 14 de octubre de 2013 se razona en él la necesidad, pertinencia, y conveniencia así como la habilitación legal contenida, tanto en la citada Ley 18/2008, como en la Ley 30/92 de RJAPPAC; Ley 11/2007 de Administración Electrónica, así como en la propia Ley 7 (5 reguladora de las Bases del Régimen Local. Se adjunta el aludido informe de Lanbide, así como informe técnico de la Unidad Municipal de Padrón y Elecciones, a fin de que esa Agencia se pronuncie sobre la licitud de la cesión de datos solicitada al Ayuntamiento de XXX por Lanbide-Servicio Vasco de Empleo sin el consentimiento de todas las personas empadronadas en un mismo domicilio, cuando coexistan en él más de una unidad convivencial. TERCERO: El artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, en su apartado n) atribuye a la Agencia Vasca de Protección de Datos la siguiente función: Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta Ley. Corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la normativa más arriba citada, la emisión del informe en respuesta a la consulta formulada.

3 CONSIDERACIONES I Se solicita el pronunciamiento de la Agencia Vasca de Protección de Datos acerca de la licitud de la cesión o comunicación a Lanbide-Servicio Vasco de Empleo, de datos padronales de los solicitantes de determinadas ayudas públicas (renta de garantía de ingresos y prestación complementaria de vivienda), y de los datos padronales del resto de personas residentes en el domicilio del solicitante, aunque estas últimas no hayan demandado ayuda alguna. La comunicación de datos se inserta en el seno de un convenio de colaboración suscrito entre el Ayuntamiento de XXX y Lanbide-Servicio Vasco de Empleo. La Agencia Vasca de Protección de Datos en fecha seis de julio de 2012 emitió el dictamen CN12-008, en el que analizaba los diferentes tratamientos de datos incluidos en un modelo de convenio (posiblemente el mismo que ahora se invoca), a formalizar entre Lanbide-Servicio Vasco de Empleo y los distintos Ayuntamientos, siendo la finalidad del intercambio de información la gestión de ayudas y prestaciones. Algunas de las consideraciones recogidas en dicho dictamen son perfectamente aplicables a la actual consulta, como veremos más adelante. En primer lugar, es necesario comenzar señalando que los tratamientos de datos a que se refiere la consulta poseen la naturaleza jurídica de cesiones. La cesión de datos se define en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), concretamente en el artículo 3 i) como toda revelación de datos realizada a una persona distinta del interesado. El régimen general de la cesión de datos se regula en el artículo 11 de la LOPD, estableciéndose en el punto 1 como criterio general la necesidad de consentimiento. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. En la Ley Orgánica de Protección de Datos, las excepciones a la necesidad del consentimiento se recogen en el punto 2 del artículo 11, siendo conveniente destacar a nuestros efectos, la recogida en el apartado a): a) Cuando la cesión está autorizada en una ley. En relación con el Padrón Municipal de Habitantes, la Ley que habilita la cesión es la invocada por el consultante, esto es, la Ley de Bases del Régimen Local, cuyo artículo 16.3 señala lo siguiente: Los datos del Padrón Municipal se cederán a otras Administraciones públicas que lo soliciten sin consentimiento previo al afectado solamente cuando les sean necesarios para el ejercicio de sus respectivas competencias, y exclusivamente para asuntos en los que la residencia o el domicilio sean datos relevantes. También pueden servir para elaborar estadísticas oficiales

4 sometidas al secreto estadístico, en los términos previstos en la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública y en las leyes de estadística de las comunidades autónomas con competencia en la materia. Como podemos observar, son dos los requisitos establecidos por el artículo 16.3 para la cesión de datos del Padrón sin consentimiento; por un lado, cedente y cesionario deben ser Administraciones Públicas debiendo fundarse además la solicitud en el ejercicio de una competencia propia, para el que el domicilio es un dato relevante. Este es el marco general regulador de la cesión, cumpliéndose en nuestro caso el requisito subjetivo dada la naturaleza jurídica de los intervinientes, si bien, será la normativa reguladora de la renta de garantía de ingresos la que puede aportarnos luz acerca de la competencia que ejercita el cesionario y de la necesidad de la información solicitada para el ejercicio de la misma. II Antes de analizar la normativa sectorial arriba citada, es preciso detenerse en las comunicaciones de datos objeto de consulta. Por un lado se solicitan datos del solicitante de la ayuda y, en su caso, de las personas de su unidad convivencial. Respecto de esta información, ninguna duda puede albergarse de la licitud del tratamiento, sobre todo porque se trata de una comunicación de datos que cuenta con el consentimiento de los afectados. Así, en el Decreto 147/2010, de 25 de mayo, de la Renta de Garantía de Ingresos, concretamente en su Anexo, que recoge el modelo de solicitud de la ayuda, bajo la firma del solicitante se dispone lo siguiente: Se autoriza a las Administraciones Públicas a cotejar los datos aportados en el expediente y realizar las comprobaciones pertinentes, pudiendo recabar cuantos datos e informes sean necesarios a otras instituciones o entidades públicas y privadas. Si bien este consentimiento pudiera ser insuficiente para el cotejo de los datos de determinadas personas distintas del solicitante, pero miembros de su unidad convivencial, para estos supuestos la habilitación para la cesión se encontraría en el artículo 60.1 de la Ley 18/2008, de 23 de diciembre, para la Garantía de Ingresos y para la Inclusión Social, que contiene la siguiente previsión: Artículo 60 Instrucción 1.- La instrucción del expediente de renta de garantía de ingresos o de prestación complementaria de vivienda se realizará por Lanbide-Servicio Vasco de Empleo, quien comprobará el contenido de la solicitud presentada, pudiendo a estos efectos pedir cuantos datos e informes sean necesarios a otras administraciones o entidades públicas y privadas o a la propia persona solicitante.

5 Los datos e informes a los que alude el párrafo anterior deberán limitarse a aquellos que resulten imprescindibles para la comprobación del cumplimiento por parte de la persona solicitante de los requisitos establecidos en la presente Ley. Todo ello respetando el principio de calidad de datos de la legislación protectora de los datos de carácter personal. Esta misma conclusión se alcanzaba en el dictamen CN12-008, evacuado con ocasión del análisis de un borrador de convenio a celebrar entre los Ayuntamientos y Lanbide; así, entendemos aplicable al supuesto objeto de consulta lo recogido en dicho documento, cuando señala: En cuanto al primer bloque de tratamientos, hay una cuestión previa que debiera mencionarse: la legitimación del tratamiento de datos es diferente si los intercambios de información previstos en dicho texto, se llevan a cabo para poder hacer efectivo el derecho de la ciudadanía a no aportar datos y documentos que ya obren en poder de las Administraciones o, por el contrario, si dichos intercambios se producen con la finalidad de comprobar el cumplimiento de los requisitos exigidos para ser beneficiarios de las prestaciones correspondientes. En el primer caso, si el ciudadano opta por hacer efectivo el derecho a no aportar los documentos que ya obren en poder de las Administraciones Públicas, de acuerdo con el artículo 6.2.b) de la Ley 11/2007, de acceso electrónico de los ciudadanos a los servicios públicos, se precisará su consentimiento para que sea la propia Administración ante la que se actúe quien recabe los mismos. Esa comunicación de datos en que consistirá tal recogida no ofrecerá ningún problema desde la perspectiva de protección de datos por la sencilla razón de que contará con el consentimiento del titular de los datos. Para el caso de que el ciudadano no ejercite su derecho y aporte los datos y documentos exigidos, si la Administración considera necesario comprobar los mismos en la instrucción del procedimiento de concesión, dicha actuación deberá, de acuerdo con lo expuesto en el Considerando II, contar con el consentimiento del afectado, o estar amparada en una norma con rango formal de Ley. Esa misma necesidad de consentimiento o de habilitación legal será precisa también para que, una vez que la prestación haya sido concedida, pueda verificarse si se mantienen los requisitos exigidos para gozar de la condición de beneficiario. La cláusula sexta del Convenio exige para los actos de verificación de requisitos, que se cuente con la autorización y aceptación expresa de los interesados. Para esta autoridad de control, si la exigencia de la cláusula sexta se extiende a todos los tratamientos de datos derivados de la aplicación de este Convenio, el mismo no plantea ningún problema desde la perspectiva de protección de datos. Por el contrario, si la

6 previsión de la Cláusula Sexta se limita a garantizar el derecho de los ciudadanos a no aportar documentos obrantes en las Administraciones, el resto de tratamientos precisarían de habilitación legal suficiente. En este sentido, y con las reservas propias de quien no tiene conocimiento experto en el sector afectado, podría sostenerse que los tratamientos vinculados exclusivamente a la gestión de las prestaciones recogidas en la Ley 18/2008 de 23 de diciembre, parece que pudieran estar amparados por las previsiones contenidas en los artículos 24, 60.1 y 60.4 de este texto legal, si bien llama la atención que esta Ley ofrece mayores posibilidades de obtención de información a Lanbide que a los propios Ayuntamientos. Además, la cesión a Lanbide de datos del Padrón para la gestión de las prestaciones citadas, encontraría amparo legal en el artículo 16.3 de la Ley de Bases del Régimen Local. Es aplicable al supuesto de consulta el texto reproducido, si bien, en este caso no sería de aplicación el artículo 60.4 de la Ley 18/2008, ya que hace referencia a las ayudas de emergencia social, que no son objeto de esta consulta. Reproducimos a continuación los artículos 24 y 60.1 de la Ley 18/2008: Artículo 24. Revisiones periódicas Lanbide-Servicio Vasco de Empleo realizará de oficio una revisión trimestral de aquellos requisitos que se vayan incorporando al control telemático de la prestación, sin perjuicio de que pueda proceder a cuantas revisiones estime oportunas para comprobar si se mantienen las causas que motivaron la concesión. Lanbide-Servicio Vasco de Empleo podrá recabar del resto de administraciones públicas y entidades que colaboran en el Sistema Vasco de Garantía de Ingresos e Inclusión Social los datos e informes que resulten estrictamente necesarios para el correcto ejercicio de las funciones de revisión y supervisión. En este precepto se incluye la facultad genérica de Lanbide-Servicio Vasco de Empleo, para la realización de las actuaciones de revisión y supervisión. Es en el artículo 60.1 donde se incluye una previsión específica para la renta de garantía de ingresos: Artículo 60. Instrucción 1.- La instrucción del expediente de renta de garantía de ingresos o de prestación complementaria de vivienda se realizará por Lanbide-Servicio Vasco de Empleo, quien comprobará el contenido de la solicitud presentada, pudiendo a estos efectos pedir cuantos datos e informes sean necesarios a otras administraciones o entidades públicas y privadas o a la propia persona solicitante. Los datos e informes a los que alude el párrafo anterior deberán limitarse a aquellos que resulten imprescindibles para la comprobación del cumplimiento por parte de la persona solicitante de los requisitos establecidos en la presente

7 Ley. Todo ello respetando el principio de calidad de datos de la legislación protectora de los datos de carácter personal. Parece clara la habilitación legal existente, si bien, es preciso ahora abordar también si esta habilitación se extiende también a la información de las personas que, empadronadas en el domicilio del solicitante, no han demandado ayuda alguna. Se trata de una cuestión vinculada asimismo con el carácter necesario de la información solicitada, esto es, con el cumplimiento del principio de calidad de datos. Abordaremos a continuación este supuesto. III Tras la lectura del escrito de solicitud de dictamen, el aspecto que más preocupa al Ayuntamiento consultante parece ser la cesión de los datos de aquellas personas que, estando empadronadas en el mismo domicilio, no formen parte de la unidad convivencial del solicitante de la prestación, personas que incluso podrían no haber solicitado prestación alguna. En el informe de 14 de octubre de elaborado por Lanbide y que se adjunta a la consulta, se establece expresamente la necesidad de acceder a la información de todas aquellas personas que residan en el domicilio; así, en dicho informe se establece: Por otro lado, es importante tener en cuenta que los requisitos y obligaciones descritos comprometen, a su vez, el cumplimiento de condicionantes distintos, relacionándose entre sí: así, la comprobación del cambio de domicilio y/o la salida/entrada de miembros en la unidad de convivencia, podría acarrear el acceso a recursos económicos o a patrimonio que hasta ese momento no concurrían, y de esa forma, la cuantía de la prestación puede variar, o incluso, concurrir causa de suspensión de la prestación, por pérdida temporal de los requisitos de acceso al superarse los baremos de ingresos o patrimonio establecidos en la normativa. Asimismo, la entrada de un perceptor RGI en una vivienda o alojamiento, incluso de un mero solicitante de la misma, exige la comprobación de que el resto de convivientes en el domicilio (formen o no parte de la UC) son o no perceptores de RGI para no superar el límite descrito en el anterior apartado c) (es decir, número máximo de RGIs concedidas por vivienda). En otros casos, el número de convivientes alojados en una misma vivienda o alojamiento, resulta un dato que permite a la Administración la detección de empadronamientos ficticios, sin residencia real en el domicilio declarado, atendiendo a las características de la vivienda en cuestión. En razón de todo lo expuesto, el acceso a los datos de una persona en el Padrón de habitantes de forma individual, resulta insuficiente para la comprobación del cumplimiento de todos los requisitos y obligaciones establecidos en la normativa RGI, siendo necesario acceder a la información

8 de todas aquellas personas que residan en el domicilio, esto es, el denominado padrón colectivo. De la lectura del texto legal regulador de la ayuda, parece deducirse la relevancia de la información sobre la totalidad de empadronados en un domicilio de cara a la gestión de la renta de garantía de ingresos, al poder afectar dicha información tanto al mantenimiento o suspensión de la ayuda ya concedida como al derecho de acceso a la misma; no obstante, esta afirmación debe acogerse con las reservas propias del hecho de ser emitida por quien no tiene un conocimiento experto en la gestión de la ayudas a que la consulta alude. Téngase en cuenta que la diversidad de unidades convivenciales previstas en la Ley, así como la múltiple casuística que en un mismo domicilio puede darse, provocan una gran complejidad para la gestión de la ayuda, siendo por ello los órganos gestores los más indicados para valorar la necesidad de la información. Asumido el criterio de necesidad que Lanbide invoca, es preciso ponerlo en relación con el principio de calidad del artículo 4 de la LOPD, cuando señala: Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. La necesidad de aplicar el principio de calidad de datos fue puesta de manifiesto por la Comisión Jurídica Asesora de Euskadi en su Dictamen 126/2008 al analizar el Anteproyecto de Ley y concretamente el artículo 60 del mismo, precisamente la norma habilitadora de la cesión, al señalar lo siguiente: 1. El artículo 60 autoriza a los ayuntamientos, a efectos de comprobar el contenido de las solicitudes presentadas, a pedir cuantos datos e informes sean necesarios a otras instituciones o entidades públicas y privadas o a la propia persona solicitante, si bien matiza que dichos datos e informes deberán limitarse a aquellos que resulten imprescindibles para la comprobación del cumplimiento por parte de la persona solicitante de los requisitos. 2. Entiende la Comisión que el problema que se plantea en este artículo del anteproyecto tiene un importante calado, si bien la solución propuesta desde el anteproyecto no se encuentra exenta de problemas. 3. En principio, parece razonable que la concesión de prestaciones económicas previstas por el anteproyecto estén condicionadas a la veracidad de los datos y documentos declarados o aportados por los solicitantes, e igualmente razonable puede resultar el que exista la posibilidad de que esa veracidad pueda ser contrastada directamente, aunque con las debidas garantías, por parte de la Administración, y éste parece ser el objetivo de este precepto, al habilitar a los ayuntamientos para pedir datos e informes a otras instituciones o entidades públicas o privadas, además de a la persona solicitante. 4. Sin embargo, en esa genérica facultad atribuida al ayuntamiento, que alcanza desde el punto de vista subjetivo tanto a entidades públicas como privadas y,

9 desde el punto de vista objetivo, a cualquier dato que el ayuntamiento considere imprescindible para la comprobación del cumplimiento por parte de la persona solicitante de los requisitos, se advierte una importante falta de certeza y previsibilidad, tanto en cuanto a los límites que impone al derecho fundamental a la protección de datos de los solicitantes, recogido en el artículo 18.4 CE, como en cuanto al modo en que debe procederse a su aplicación, lo que pone en tela de juicio la constitucionalidad de este artículo. En otro apartado del dictamen señala asimismo: 5.- El propio anteproyecto parece reconocer esta tesis en su disposición adicional quinta, donde se regula el acceso a los ficheros del Departamento de Sanidad por parte de las Diputaciones Forales, estableciendo con claridad los datos objeto de cesión datos de identificación, fecha nacimiento y fecha de fallecimiento de las personas titulares y beneficiarias, así como el carácter mensual de la misma, de manera que puede afirmarse, en contraposición a lo que hemos señalado sobre el artículo 60 que, en este caso, sí se dan las notas de certeza y previsibilidad necesarios en la limitación legal de un derecho fundamental como es el derecho a la protección de datos. A las consideraciones anteriores se remiten igualmente los Dictámenes 92/2010 y 230/2010 emitidos con ocasión de la modificación de la Ley y de la aprobación del Decreto regulador de la renta de garantía de ingresos. No obstante y a pesar de las objeciones formuladas por la Comisión Jurídica Asesora de Euskadi (la Agencia Vasca de Protección de Datos tal y como la Comisión señala debiera haber informado el Anteproyecto, pero no fue sometido a su análisis), se mantuvo la habilitación del artículo 60 en los mismos términos genéricos. Es por tanto al tiempo de la tramitación de las ayudas cuando los órganos gestores deben concretar la información demandada, limitándose a requerir lo estrictamente necesario para el control de la prestación. En el escrito de solicitud de dictamen se establece la necesidad de contar con los datos siguientes: nombre, apellidos, DNI/NIE, e histórico de los habitantes de la vivienda en periodos determinados. Respecto de este último dato, entendemos que la petición en cada caso debe de incidir sólo en los periodos temporales que se vean afectados por la gestión de la ayuda, sin que la habilitación para pedir información pueda extenderse a plazos más amplios. Por otra parte, el juego del principio de calidad de datos afecta también al procedimiento de obtención de la información, aspecto del que nada se expresa en el escrito de consulta. En todo caso, ya estemos ante una comunicación tradicional o ante un acceso automatizado a la base de datos del Padrón Municipal de Habitantes, no cabe una cesión masiva y generalizada de información, debiendo ésta limitarse a lo estrictamente necesario para la finalidad perseguida. Así lo ha manifestado el Tribunal Constitucional en su Sentencia de 31 de enero de 2013, cuando al enjuiciar la habilitación de la Dirección General de la Policía para acceder a los datos del Padrón contenida en la Disposición Adicional 7ª de la Ley de Bases del Régimen Local, establece lo siguiente:

10 Ahora bien, dicha previsión legal ha de ser entendida de forma acorde con las exigencias de proporcionalidad que nuestra doctrina exige en la limitación de un derecho fundamental como es el aquí concernido, relativo la protección de datos de carácter personal. Eso significa que la cesión de datos que el acceso regulado por el precepto supone ha de venir rodeado de una serie de garantías específicas, garantías que, cumplimentadas por el órgano administrativo al que el precepto hace referencia, son, evidentemente, susceptibles de control. Entre ellas se encuentra la necesidad de motivar y justificar expresamente tanto la concreta atribución de la condición de usuario para el acceso telemático a los datos del padrón que el precepto prevé, como los concretos accesos de que se trate, evitando en cuanto que la exigible motivación de tales decisiones facilita su correspondiente control mediante los mecanismos previstos en el ordenamiento jurídico, en especial, a través del control jurisdiccional contencioso-administrativo que se produzca tanto un uso torticero de dicha facultad como accesos indiscriminados o masivos. Límites al contenido del acceso que también resultan de determinadas previsiones de la legalidad ordinaria, las cuales han de ser aplicadas teniendo presente, en todo caso, la necesaria unidad del ordenamiento jurídico, tales como el art LBRL, que ya hemos examinado o, incluso, otras regulaciones específicas de la Ley Orgánica de protección de datos, en especial su art Resulta de ello que el acceso solamente será posible, en las condiciones antes dichas, cuando el concreto dato en cuestión resulte pertinente y necesario en relación con la finalidad que ha justificado el acceso, quedando garantizada la posibilidad de analizar si, en cada caso concreto, el acceso tenía amparo en lo establecido en la ley pues, en caso contrario, no resultará posible su uso. Con tales garantías el acceso regulado en la disposición cuestionada resulta ser proporcionado en relación con la finalidad perseguida, ya que, en tanto que el dato resultante solo puede ser utilizado para la finalidad establecida en el precepto, ha de realizarse de forma puntual por quien se encuentre expresamente habilitado para ello y en relación a datos concretos cuya necesidad ha de ser también justificada de forma expresa y, por tanto, sometida a control, en los términos que acabamos de exponer. Como vemos, ni siquiera a la Dirección General de la Policía se le permite un acceso ilimitado a la base de datos del padrón, debiendo aplicarse el criterio de proporcionalidad contenido en el principio de calidad de datos reconocido en el artículo 4 de la LOPD. Este mismo criterio debe informar la transmisión de los datos a que se refiere la consulta. Por último, y tal y como se expuso en el Dictamen CN es necesario realizar unas consideraciones sobre la necesidad de cumplimiento de otro de los principios fundamentales en materia de protección de datos: el principio de seguridad (art. 9 LOPD).

11 Este principio, consagrado en el artículo 9 de la LOPD, es desarrollado en la actualidad en el Real Decreto 1720/2007, de 21 de diciembre, donde se especifican todas las medidas de índole técnica u organizativa que deberán observarse en los tratamientos de datos personales. Además, esta regulación del principio de seguridad se ha completado con las previsiones que, en relación con la Administración electrónica, se contienen en el Esquema Nacional de Seguridad y en el Esquema Nacional de Interoperabilidad (Reales Decretos 3 y 4/2010 de 8 de enero respectivamente) y que han sido dictadas en desarrollo de la Ley 11/2007 de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, previsiones que, en supuestos de accesos automatizados deberán ser observadas. En Vitoria-Gasteiz, 12 de diciembre de 2013