cn13-002 dictamen que se emite sobre la cesión a un ... - AVPD

CN13-002DICTAMEN QUE SE EMITE SOBRE LA CESIÓN A UN AYUNTAMIENTO DEDATOS PERSONALES DE LAS MUJERES QUE ATIENDE UNA ASOCIACIÓN ENVIRTUD DE UN CONVENIO DE COLABORACIÓN FIRMADO CON ELAYUNTAMIENTO.ANTECEDENTESPRIMERO: Con fecha 5 de febrero de 2013 tiene entrada en esta Agencia Vasca deProtección de Datos escrito solicitando dictamen sobre la cuestión que se cita en elencabezamiento.SEGUNDO: En dicho escrito de remisión se pone en conocimiento de esta Agenciaque la Asociación ha firmado un convenio de colaboración con el Ayuntamiento (seadjunta el mismo), por el que se compromete a prestar servicios de orientaciónjurídica y atención psicológica a mujeres empadronadas en el municipio que seanvíctimas del maltrato doméstico o agresiones sexuales o estén en situación devulnerabilidad. Para la prestación de estos servicios la Asociación contratarámediante contrato de arrendamiento de servicios, a los abogados y abogadas y a lospsicólogos y psicólogas que fueren precisos.TERCERO: En la cláusula novena del convenio se estipula que la Asociaciónfacilitará los datos e información específica o puntual que el Ayuntamiento deXXXXX pueda requerir en relación con la prestación de los servicios objeto delconvenio y, además, con carácter semestral y anual, una memoria evaluativa de losservicios prestados en las que, como mínimo, se relacionarán los siguientes datos:“-Respecto de cada mujer usuaria, nombre, dos apellidos, numero deDNI/NIE/Pasaporte, numero de teléfono de contacto, motivo de atención yfechas en las que haya recibido los servicios de orientación jurídica y atenciónpsicológica.-Respecto del conjunto de mujeres usuarias, datos estadísticos edad estadocivil, situación laboral, motivo de consulta, origen del maltrato o agresión, ycualesquiera otros datos que desde el Ayuntamiento de XX pudieranconsiderarse necesarios para la planificación de la intervención municipal en elámbito de la atención a las mujeres víctimas de maltrato o agresiones ovulnerables y en materia de igualdad de mujeres y hombres; y sean requeridoformalmente con suficiente antelación para que puedan ser registrados.Dado el carácter confidencial de los datos que contendrán, las citadasmemorias se entregarán a la persona que ostente la Jefatura de Sección dec/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es -www.avpd.es

Acción Social y Mujer del Ayuntamiento de XX, quien le dará el trámite queproceda en orden a la valoración municipal de la prestación de los servicios deorientación jurídica y atención psicológica”.CUARTO: De conformidad con la cláusula undécima, el Ayuntamiento de XXXXX secompromete a abonar a la Asociación de Mujeres XXX de XXXXX una cantidad dedinero al objeto de que esta Asociación pueda seguir prestando los servicios deorientación jurídica y atención psicológica a esas mujeres.CONSIDERACIONESIA la vista de lo que antecede, podemos entender que la materia sobre la cual versael intercambio de información es la relativa a los servicios sociales y, por ello, larespuesta a la consulta planteada requiere atender tanto al régimen jurídico de lacesión de datos de carácter personal como a la normativa sectorial que afecta alsupuesto planteado.De este modo, bajo la perspectiva del derecho fundamental a la protección de datosde carácter personal, en nuestro análisis se atenderá al tipo de servicio que sepresta y al literal del convenio, sin pretender entrar a analizar, por exceder delámbito competencial de esta Agencia, la distribución competencial sobre el concretoservicio social que se presta, la naturaleza de la instrumentalización de la relaciónprestacional o la naturaleza de la aportación de la administración.Igualmente, y por la misma razón, sólo se analizará la comunicación o cesión dedatos personales entre el Ayuntamiento y la Asociación, ya que el artículo 17.1 de laLey 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal deTitularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, en suapartado n) atribuye a la Agencia Vasca de Protección de Datos la siguiente función:“Atender a las consultas que en materia de protección de datos decarácter personal le formulen las administraciones públicas,instituciones y corporaciones a que se refiere el artículo 2.1 de estaLey, así como otras personas físicas o jurídicas, en relación con lostratamientos de datos de carácter personal incluidos en el ámbito deaplicación de esta Ley”.Por lo tanto, si las funciones de la Agencia se desempeñan en relación con losficheros a que se refiere el artículo 2.1 de la Ley 2/2004, de 25 de febrero, no seríacompetente para examinar ni controlar los ficheros de titularidad privada, como, porejemplo, los ficheros que puedan crearse en virtud del convenio, tanto por parte dela Asociación, como por parte de los profesionales contratados por ésta para laprestación de los servicios de orientación jurídica y atención psicológica.2

IIDicho esto, en el supuesto ahora planteado, podemos entender que elAyuntamiento quiere prestar un servicio municipal a través de la Asociación, sitenemos en cuenta (I) la naturaleza del servicio que se presta, (II) que en lasconsideraciones del convenio se establece: “Que, en base a la normativa queseguidamente se relaciona, el Ayuntamiento de XX puede asumir la prestación de serviciosde orientación jurídica y atención psicológica a mujeres empadronadas en XX que hayansido víctimas de maltrato doméstico o agresiones sexuales o estuviesen en situación devulnerabilidad”, (III) que la cláusula octava regula la coordinación permanente entre elAyuntamiento y la Asociación para el seguimiento adecuado de la prestación de losservicios objeto del convenio, y (IV) que las memorias que contienen datospersonales sólo se entregan a la Jefatura de Sección de Acción Social y Mujer delAyuntamiento de XX, quien le dará el trámite que proceda en orden a la valoraciónmunicipal de la prestación de servicios de orientación jurídica y atenciónpsicológica.En consecuencia, ante la comunicación o cesión de datos planteada en la consulta,el Ayuntamiento sería el responsable del fichero con arreglo a lo dispuesto en elartículo 3 d) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección deDatos de Carácter Personal (en adelante LOPD) y en el artículo 5.1 q) del RealDecreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento dedesarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datosde Carácter Personal (en adelante Reglamento). La Asociación, por su parte,ejercería las funciones de encargada del tratamiento (artículo 3 g) de la LOPD yartículo 5.1i) del Reglamento), ya que por tal figura se entiende a “la persona física ojurídica, autoridad pública, servicio o cualquier otro organismo que, solo oconjuntamente con otros, trate datos personales por cuenta del responsable deltratamiento”.En este caso, el Ayuntamiento debería contar con un fichero público al efecto querecoja los datos personales necesarios, la finalidad del fichero y que el tratamiento seefectúa por cuenta del Ayuntamiento.Con carácter general, el artículo 12.1 de la LOPD, establece que “no se considerarácomunicación de datos el acceso de un tercero a los datos cuando dicho acceso seanecesario para la prestación de un servicio al responsable del tratamiento”, haciendo conello referencia a la figura del encargado del tratamiento, pero para delimitar si en unsupuesto concreto nos encontramos ante la realización de actividades reguladas porel artículo 12 de la LOPD o ante una cesión de datos, es preciso atender alcumplimiento de los presupuestos enumerado en ese artículo y a las circunstanciasdel caso.Así, nos encontraremos ante un encargo del tratamiento cuando la entidad querecoge los datos no decida sobre la finalidad, contenido y uso del tratamiento,restituyendo los datos al responsable una vez concluida la prestación contratada conaquél. En cambio, estaremos ante una cesión en aquellos supuestos en los quequien reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo3

sobre el objeto y finalidad del tratamiento, lo que la convertirá a su vez en unresponsable del fichero o tratamiento.En el supuesto planteado, una primera lectura del clausulado y, sobre todo, de lacláusula novena “in fine” del convenio permitiría entender que la Asociación nodecide sobre la finalidad, contenido y uso del tratamiento y que, como encargada deltratamiento, puede subcontratar con un tercero servicios de orientación jurídica yatención psicológica, puesto que esta posibilidad está prevista en el artículo 21 delReglamento y expresamente se contempla en la cláusula segunda del convenio.No obstante, para poder establecer la válida constitución de la figura del encargadodel tratamiento debe cumplirse plenamente el régimen establecido en el artículo 12de la LOPD, que habrá de circunscribirse a la prestación del servicio que se contrata,sin que sea suficiente regular sólo los aspectos citados en el convenio, o unaremisión genérica al cumplimiento de la normativa sobre protección de datos, o unaaceptación formal del régimen jurídico establecido en el citado artículo.En consecuencia, en el supuesto analizado, la ausencia de establecimiento expresodel conjunto de exigencias y garantías del artículo 12 de la LOPD implicaría que seapliquen los principios generales que la LOPD dispone para que el responsable deun fichero pueda comunicar datos personales a un tercero; esto es, en lo que ahoramás puede interesar, el artículo 11.1 de la LOPD (“Comunicación de datos”) queestablece:“Los datos de carácter personal objeto del tratamiento sólo podrán sercomunicados a un tercero para el cumplimiento de fines directamenterelacionados con las funciones legítimas del cedente y del cesionario conel previo consentimiento del interesado”.Siguiendo este criterio, no habría impedimento alguno para que los datos tratados secomunicaran al Ayuntamiento con el consentimiento previo e informado de laspersonas afectadas (artículo 11.1 y artículo 5 de la LOPD). Ahora bien, la necesidadde consentimiento queda exceptuada en una serie de supuestos recogidos en elpunto 2 del artículo 11 de la LOPD, conviniendo destacar a nuestros efectos elincluido en el apartado a): “cuando la cesión está autorizada en una ley”.A partir de esta consideración, la resolución de la consulta planteada también pasapor analizar si una Ley autoriza la comunicación de datos de carácter personalprevista en el convenio.Para ello hemos de considerar, en primer lugar, que el considerando cuarto delconvenio establece que la Asociación puede prestar el servicio de orientación jurídicay atención psicológica a un coste por debajo de su precio de mercado, “si bien paraello precisa de la correspondientes aportación económica del Ayuntamiento de XX”. Estaconsideración permitiría entender que estamos ante un convenio que tiene por objetoestablecer las condiciones y compromisos aplicables a la concesión directa de unasubvención nominativa otorgada por el Ayuntamiento a la Asociación, y suscrito envirtud de lo dispuesto en el artículo 22 a) y 28.1 de la Ley 38/2003, de 17 denoviembre, General de Subvenciones. En este caso, la Asociación sería considerada4

esponsable del tratamiento, con todas las obligaciones que se impone a esta figuraen la LOPD y en su reglamento de desarrollo.Conforme al artículo 14.1c) de la Ley 38/2003, es obligación del beneficiario de lasubvención “someterse a las actuaciones de comprobación, a efectuar por el órganoconcedente o la entidad colaboradora, en su caso, así como cualesquiera otras decomprobación y control financiero que puedan realizar los órganos de control competentes,tanto nacionales como comunitarios, aportando cuanta información le sea requerida en elejercicio de las actuaciones anteriores”, y estará obligado “a prestar colaboración y facilitarcuanta documentación sea requerida en el ejercicio de las funciones de control quecorresponden, dentro del ámbito de la Administración concedente, a la Intervención Generalde la Administración del Estado, de las Comunidades Autónomas o de las corporacioneslocales, así como a los órganos que, de acuerdo con la normativa comunitaria, tenganatribuidas funciones de control financiero” (artículo 46.1 de la Ley 38/2003).Por tanto, el tratamiento de datos derivado de las actuaciones de comprobacióncuenta con habilitación legal en la normativa reguladora de las subvenciones.Sin embargo, para que esa obligación de cesión de datos de carácter personalprevista en el convenio sea conforme a la LOPD, debe respetar el principio decalidad (artículo 4 de la LOPD), por lo que, sería necesario que la cesión de losdatos personales de las mujeres atendidas resulten adecuados, pertinentes y noexcesivos para el cumplimiento de la finalidad legítima perseguida por elAyuntamiento, en este caso, para valorar el cumplimento de los requisitosnecesarios para la obtención de la subvención y, en consecuencia, proceder alsegundo pago de la misma (cláusula undécima).Por otra parte, teniendo en cuenta que el servicio prestado por la Asociación estádestinado a mujeres víctimas de maltrato doméstico o agresiones sexuales o queestén en situación de vulnerabilidad, los datos referidos al motivo de la consulta, asícomo las evaluaciones efectuadas, tendrían la consideración de datos sensibles“especialmente protegidos” merecedores del más alto nivel de protección por afectara los aspectos más íntimos de la personalidad, (artículos 7.3 de la LOPD y 81.3 a) yc) del Reglamento) y, por ello, un régimen singular respecto a su cesión: “Los datosde carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólopodrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lodisponga una ley o el afectado consienta expresamente.”En suma, la necesidad de obtener el consentimiento expreso de los titulares de talesdatos constituye la regla general para el tratamiento de los mismos y la posibilidadde que dicho tratamiento pueda llevarse a cabo en los supuestos en los que una leyasí lo disponga debe quedar fundada en la existencia de razones de interés general.En definitiva, dicho sea con el máximo respeto a la autonomía municipal y a lascláusulas del convenio libremente aceptadas por las partes, la puesta enconocimiento del Ayuntamiento del “motivo de la atención” podría no superar el juiciode proporcionalidad que exige el principio de calidad, por lo que, con ánimocolaborador, la Agencia recomienda que el responsable del tratamiento y elAyuntamiento hagan un ejercicio de ponderación en relación con esos datos5

sensibles, evitando que puedan ser objeto de comunicación si su conocimiento no esimprescindible para la obtención de la subvención. Debe señalarse también que laconsideración de dato imprescindible deberá ser necesariamente motivada enatención a la afectación de un derecho fundamental de terceros (los titulares de losdatos). Como ya hemos indicado, si el dato no es necesario, su cesión requeriría elconsentimiento de las afectadas.Por todo ello, de acuerdo con las consideraciones anteriores, por el Director de laAgencia Vasca de Protección de Datos se formula la siguiente,CONCLUSIÓN1.- La Asociación tendrá la condición de encargado del tratamiento siempre que eltratamiento se lleve a cabo en nombre y por cuenta del Ayuntamiento responsabledel tratamiento y no pueda, en modo alguno, decidir sobre el contenido, finalidad yuso del tratamiento. El convenio suscrito entre las partes debe contener de formaexpresa los requisitos del artículo 12 de la LOPD, no bastando una mera referenciagenérica en el convenio.2.- Si la Asociación actúa en nombre propio y no como mera mandataria delAyuntamiento, nos encontraríamos ante un supuesto de cesión o comunicación dedatos de carácter personal, que sería lícito siempre que contase con elconsentimiento de las afectadas o cuando se diera alguno de los supuestosprevistos en el artículo 11.2 de la LOPD.En Vitoria-Gasteiz, a 21 de febrero de 20136