Archivo de la etiqueta: Agencia Española de Protección de Datos

EL DERECHO A NO PRESENTAR DATOS EN PODER DE LA ADMINISTRACIÓN Y SU IMPACTO EN PROTECCIÓN DE DATOS

El derecho a no presentar datos que obran en poder de la Administración se malinterpreta por algunas Administraciones Públicas hasta el punto de obstaculizar el intercambio de datos personales amparado en la interoperabilidad.

El principio de cooperación entre Administraciones decae en perjuicio de la ciudadanía al considerarse erróneamente que es la propia ciudadanía la que debe habilitar y consentir expresamente la cesión de datos y no las propias competencias de la Administración actuante.

 

La cuestión es que las plataformas y nodos de intercambios de datos se siguen desarrollando y habilitando técnicamente con el fin de facilitar el intercambio de datos entre Administraciones Públicas de acuerdo con la legislación en materia de administración electrónica.

Sin embargo, nos encontramos con que, una vez resuelta la parte técnica, algunas Administraciones deniegan la entrega de datos a otras entidades públicas peticionarias basándose en la falta de un consentimiento explícito de la ciudadanía a ceder sus datos.

¿Esto es así? ¿Realmente es preciso un consentimiento del interesado que inicia una actuación ante la Administración para que ésta pueda requerir información a terceras entidades?

Veamos cuál es el origen de este supuesto.

Deber de colaboración

La normativa reguladora de la Administración dispone con respecto al deber de colaboración en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público

Artículo 141. Deber de colaboración entre las Administraciones Públicas.

Las Administraciones Públicas deberán:

a) Respetar el ejercicio legítimo por las otras Administraciones de sus competencias.

b) Ponderar, en el ejercicio de las competencias propias, la totalidad de los intereses públicos implicados y, en concreto, aquellos cuya gestión esté encomendada a las otras Administraciones.

c) Facilitar a las otras Administraciones la información que precisen sobre la actividad que desarrollen en el ejercicio de sus propias competencias o que sea necesaria para que los ciudadanos puedan acceder de forma integral a la información relativa a una materia.

[…]

Artículo 142. Técnicas de colaboración.

Las obligaciones que se derivan del deber de colaboración se harán efectivas a través de las siguientes técnicas:

a) El suministro de información, datos, documentos o medios probatorios que se hallen a disposición del organismo público o la entidad al que se dirige la solicitud y que la Administración solicitante precise disponer para el ejercicio de sus competencias.

Se observa que existe un deber de colaboración que habilita a la transmisión de datos entre Administraciones Públicas para dar cumplimiento a las competencias de la organización solicitante.

Por lo tanto, será el desarrollo de competencias de la peticionaria, el que establezca la habilitación o fundamentación para la entrega por parte de la Administración cedente.

El derecho a no aportar documentos que obran en poder de la Administración

Visto lo anterior, parece existir un amparo jurídico suficiente para la entrega de datos entre Administraciones con el fin de ejecutar el servicio público que corresponda.

Asimismo, para facilitar la actuación administrativa, y que la persona interesada se beneficie del mencionado deber de colaboración, existe una previsión específica para que regula el derecho a no aportar documentos que ya obran en poder de la Administración.

El artículo 28 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, modificado por la Ley Orgánica de Protección de Datos (DF12), dispone en sus apartados 2 y 3:

Artículo 28. Documentos aportados por los interesados al procedimiento administrativo.

  1. […].
  2. Los interesados tienen derecho a no aportar documentos que ya se encuentren en poder de la Administración actuante o hayan sido elaborados por cualquier otra Administración. La administración actuante podrá consultar o recabar dichos documentos salvo que el interesado se opusiera a ello. No cabrá la oposición cuando la aportación del documento se exigiera en el marco del ejercicio de potestades sancionadoras o de inspección.

Las Administraciones Públicas deberán recabar los documentos electrónicamente a través de sus redes corporativas o mediante consulta a las plataformas de intermediación de datos u otros sistemas electrónicos habilitados al efecto.

Cuando se trate de informes preceptivos ya elaborados por un órgano administrativo distinto al que tramita el procedimiento, estos deberán ser remitidos en el plazo de diez días a contar desde su solicitud. Cumplido este plazo, se informará al interesado de que puede aportar este informe o esperar a su remisión por el órgano competente.

  1. Las Administraciones no exigirán a los interesados la presentación de documentos originales, salvo que, con carácter excepcional, la normativa reguladora aplicable establezca lo contrario.

Asimismo, las Administraciones Públicas no requerirán a los interesados datos o documentos no exigidos por la normativa reguladora aplicable o que hayan sido aportados anteriormente por el interesado a cualquier Administración. A estos efectos, el interesado deberá indicar en qué momento y ante qué órgano administrativo presentó los citados documentos, debiendo las Administraciones Públicas recabarlos electrónicamente a través de sus redes corporativas o de una consulta a las plataformas de intermediación de datos u otros sistemas electrónicos habilitados al efecto, salvo que conste en el procedimiento la oposición expresa del interesado o la ley especial aplicable requiera su consentimiento expreso. Excepcionalmente, si las Administraciones Públicas no pudieran recabar los citados documentos, podrán solicitar nuevamente al interesado su aportación.

Con carácter general, el derecho a no entregar datos que obran en poder de la Administración no exige que la ciudadanía otorgue un permiso especial o una representación para que la Administración pueda requerir datos de esa persona ante terceras Administraciones.

A sensu contrario, salvo que se oponga la persona interesada (y así lo haga constar en el procedimiento) o que realmente exista una ley especial que requiera un consentimiento expreso, la Administración se encuentra facultada a pedir datos a terceras Administraciones en base al ejercicio de sus competencias en aras a servir a la ciudadanía con eficacia y eficiencia bajo el paraguas de la administración electrónica y la interoperabilidad.

El artículo 155 de la Ley 400/2015 insiste en el deber de facilitar datos a terceras Administraciones sin perjuicio de que hayan de adoptarse las medidas de seguridad requeridas:

Artículo 155. Transmisiones de datos entre Administraciones Públicas.

De conformidad con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y su normativa de desarrollo, cada Administración deberá facilitar el acceso de las restantes Administraciones Públicas a los datos relativos a los interesados que obren en su poder, especificando las condiciones, protocolos y criterios funcionales o técnicos necesarios para acceder a dichos datos con las máximas garantías de seguridad, integridad y disponibilidad

Interpretación doctrinal de las Agencias de Protección de Datos

La normativa de protección de datos ampara el tratamiento y cesión de datos entre Administraciones Públicas en el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales

La Agencia española de protección de datos ha interpretado en varios informes jurídicos cuál es la base jurídica, con carácter general, para tratar datos por la Administración, esto es, el desarrollo de competencias o el ejercicio de una misión de interés público.

En sus informes 175/2018 y 050/2019 se establecen las reglas generales con respecto a las cesiones entre Administraciones Públicas y que pueden resumirse en las siguientes:

  • La cesión de datos entre Administraciones habrá de tener en cuenta la legislación especial que pueda determinar una restricción a las cesiones de datos personales (Ej, ámbito tributario)
  • La ausencia de norma no supone que los datos no puedan cederse, sino que serán aplicables las reglas generales (ámbito competencial, misión de interés público).
  • Entidad cesionaria: debe fundamentar y motivar
  • Entidad cedente: valorar si los datos solicitados son realmente necesarios, pertinentes y proporcionados, atendiendo a la competencia que pretende ejercer la Administración cesionaria.
  • Minimización y proporcionalidad: no cabe un acceso masivo e indiscriminado a datos personales, y por lo tanto, el acceso deberá ser siempre “específico en cada caso ajustado a los datos que resulten precisos para la tramitación de un expediente determinado y no de un acceso masivo e indiscriminado”
  • No cabe finalidad distinta salvo archivo en interés público, fines de investigación científica e histórica o fines estadísticos. Finalidad ulterior y distinta, se aplica el 155.3 Ley 40/2015 (RDL 14/2019)
  • Art 155 Ley 40/2015: Interoperabilidad -> Instrumento jurídico, ej Convenios, protocolos generales de actuación, etc.

Cabe destacar la disposición adicional octava de la LOPDGDD, que habilita a las Administraciones a verificar los datos de la persona interesada cuando declara datos que obran en poder de las Administraciones Públicas.

Disposición adicional octava. Potestad de verificación de las Administraciones Públicas.

Cuando se formulen solicitudes por cualquier medio en las que el interesado declare datos personales que obren en poder de las Administraciones Públicas, el órgano destinatario de la solicitud podrá efectuar en el ejercicio de sus competencias las verificaciones necesarias para comprobar la exactitud de los datos.

A más a más, se faculta nuevamente a las Administraciones a realizar las verificaciones necesarias para comprobar los datos de la persona interesada sin necesidad de requerirle un consentimiento específico. ¿Y ante qué entidades u órganos se ejercerá esa potestad de verificación de datos? Pues lógicamente, ante otras administraciones.

Conclusión

En definitiva, no es el consentimiento de la persona la que, en primer lugar, habilita o legitima la actuación de la Administración, dado que, la base jurídica para tratar datos se encuentra en el artículo 8 de la LOPDGDD, en las competencias o misión de interés público. Y de igual manera para solicitar y ceder datos a otras Administraciones que requieran información con fines de desarrollar sus competencias.

Por lo tanto, no tiene ningún sentido que las Administraciones cedentes exijan de la Administración peticionaria que recabe el consentimiento de las personas (mediante formularios en papel o electrónicos) para entregarles (o consumir) datos que deberían facilitar electrónicamente sin ninguna otra cortapisa o condición que la motivación (competencia) y la proporcionalidad de lo solicitado.


La Audiencia Nacional estima el recurso interpuesto por un Ayuntamiento ante una sanción de la Agencia Española de Protección de Datos por falta de prueba

La Agencia Española de Protección de Datos sancionó inicialmente a un Ayuntamiento por infringir el artículo 4.2 de la LOPD, tipificada como grave, por utilizar los datos para un fin incompatible [Enlace a la resolución]. En concreto, se enjuicia la remisión desde un teléfono del que es titular un Alcalde de dos SMS de contenido electoral a vecinos de la localidad, sirviéndose para ello, supuestamente, de los datos de ficheros del Ayuntamiento.

La resolución impugnada ante la Sala de lo Contencioso de la Audiencia Nacional relata como hechos probados que varios denunciantes recibieron mensajes de móvil relacionados con unas elecciones locales con el siguiente contenido:

 “1) Pacto PSOE, fulanito en el Ayuntamiento. A mí me da miedo. 2) PSOE-Paro-PSOE-ruina. Votar al chaquetero es votar al PSOE pásalo”

El titular del número desde el que se enviaron los SMS, según el operador era el Alcalde quien se presentaba como candidato del PP, y que negó ser el autor de los hechos.

Los denunciantes indican que aportaron sus direcciones de correo electrónico y números de teléfono móvil cuando acudieron a realizar actividades deportivas al Polideportivo del Ayuntamiento. Los números de teléfono que constan en la aplicación informática del Área de Deportes son los mismos en los que se recibieron los SMS objeto de denuncia y son parte del fichero que tiene registrado el Ayuntamiento ante la Agencia Española de Protección de Datos con el fin declarado de gestionar “la inscripción en cursos, la reserva de instalaciones, el cobro de cuotas y la gestión de competiciones”

El Ayuntamiento adujo ante la Audiencia Nacional que la resolución de la Agencia Española de Protección de Datos vulneraba el principio de presunción de inocencia, porque la imputación que se le dirigía no se sustentaba sobre prueba directa sino sobre sospechas y conjeturas, al utilizarse manifestaciones tales como “sospechaban”, “posiblemente”, “no sería descabellado pensar”, etc.

Se alegó que no quedaba acreditado que para el supuesto envío de SMS el Ayuntamiento hubiese utilizado datos de los denunciantes del fichero de Deportes.

En conclusión, dispone la Audiencia Nacional en su sentencia que, si bien resulta acreditado que los mensajes SMS remitidos al teléfono móvil de los denunciantes fueron enviados desde la línea telefónica titularidad del Alcalde no es menos cierto que no se ha podido acreditar que los números de teléfono móvil se obtuvieran del fichero “Deportes” puesto que se desconoce en qué fecha se dieron de alta en la base de datos informática, y por lo tanto, pudieron introducirse incluso después del envío de los SMS.


La Red Global de Control de la Privacidad (GPEN) presentó un estudio sobre las condiciones de privacidad de las apps móviles, con interesantes conclusiones

Septiembre 2014.

Los resultados del estudio sobre las condiciones de privacidad de las aplicaciones móviles incluyen el análisis de más de 1.200 aplicaciones gratuitas y de pago para dispositivos móviles, tanto de entidades públicas como privadas y tiene como objetivo fomentar el cumplimiento de la legislación de protección de datos y privacidad y promover la concienciación de los usuarios.

El análisis –en el que también han participado, entre otras, las Autoridades de Protección de Datos de Alemania, Canadá, Francia, Italia o Reino Unido– ha examinado aplicaciones móviles de dispositivos Apple y Android, tanto gratuitas como de pago, públicas y comerciales, pertenecientes a categorías como el ocio, la salud, el ejercicio físico o la realización de transacciones bancarias, entre otras.

Las entidades participantes se han centrado principalmente en analizar indicadores como el tipo de permisos solicitados por las aplicaciones; si estos eran excesivos en  relación con el servicio prestado por la app; y la manera en que se explicaba a los usuarios para qué solicitaban su información personal y qué uso planeaban darle a la misma.

 

Cabe destacar los siguientes resultados del estudio:

 

  • Solo un 15% de las apps examinadas suministraban información clara a los usuarios sobre cómo van a ser recopilados, utilizados y divulgados sus datos personales.
  • Casi un tercio de las aplicaciones analizadas solicitaban permisos excesivos en relación con las funciones que realizan.
  • En el 59% de las apps a los participantes no les resultó fácil encontrar las informaciones relativas a la privacidad antes de proceder a la instalación.
  • Las aplicaciones que gozan de gran popularidad en el mercado se encuentran entre las que han obtenido las mejores puntuaciones, lo cual evidencia que ofrecer una información adecuada, empleando un lenguaje claro y conciso, no sólo no repercute de manera negativa en el número de descargas sino que contribuye a incrementar la confianza de los consumidores y puede influir favorablemente en el volumen de descargas.

 

La Red Global de Control de la Privacidad (GPEN), creada para fomentar la cooperación transfronteriza entre autoridades, está compuesta por entidades nacionales y regionales de todo el mundo, entre las que se encuentran las principales Autoridades Europeas de Protección de Datos, el Supervisor Europeo de Protección de Datos y la Comisión Federal de Comercio (FTC, por sus siglas en inglés)

Fuente de la noticia: Agencia Española de Protección de Datos [Enlace]