La protecció de dades personals ocupa un lloc central en l'activitat de les administracions públiques. Ajuntaments, comunitats autònomes, ministeris, organismes autònoms i altres entitats públiques tracten diàriament dades identificatives, econòmiques, socials, laborals, acadèmiques i, de vegades, també categories especials de dades. Aquest tractament no es regeix només pel Reglament General de Protecció de Dades (RGPD) i per la Llei Orgànica 3/2018, sinó que en moltes ocasions s'ha de coordinar també amb la Llei 19/2013, de transparència, accés a la informació pública i bon govern, especialment quan una persona sol·licita accés a documentació administrativa que conté dades personals.
L'administració no només tracta dades: també ha d'explicar com les tracta
Quan una administració recull dades personals, no es pot limitar a utilitzar-les per tramitar expedients o prestar serveis. Té l'obligació d'informar de manera clara sobre qui és el responsable del tractament, amb quina finalitat es recullen les dades, quina és la base jurídica que legitima aquest tractament, durant quant de temps es conservaran, a qui poden comunicar-se i quins drets pot exercir la persona afectada. Aquest deure d'informació deriva dels articles 13 i 14 del RGPD i constitueix una garantia bàsica per a la ciutadania.
En l'àmbit públic, a més, la base jurídica del tractament no acostuma a ser el consentiment, sinó el compliment d'una obligació legal o l'exercici de poders públics o d'una missió realitzada en interès públic. Per això, informar bé no és una formalitat: és la manera de fer visible per què l'administració pot tractar les dades i dins de quins límits.
Quina informació s'ha de facilitar a la ciutadania
De manera general, una administració pública ha de facilitar com a mínim la informació següent quan tracta dades personals:
- Identitat del responsable del tractament. Ha de quedar clar quina administració o òrgan tracta les dades.
- Finalitat del tractament. Cal indicar per a què es recullen i s'utilitzen les dades: gestionar un procediment, resoldre una sol·licitud, tramitar un ajut, practicar notificacions o complir una obligació legal.
- Base jurídica. S'ha d'explicar si el tractament es fonamenta en una obligació legal, en l'exercici de poders públics, en l'interès públic o, si escau, en el consentiment.
- Destinataris o comunicacions de dades. La ciutadania ha de saber si les dades seran comunicades a altres òrgans, administracions o organismes quan això sigui legalment procedent.
- Termini de conservació o criteris per determinar-lo. En el sector públic això sol relacionar-se amb la normativa d'arxiu, conservació documental, prescripció de responsabilitats i compliment d'obligacions legals.
- Drets de les persones interessades. S'ha d'informar sobre els drets d'accés, rectificació, supressió, oposició, limitació del tractament i, quan correspongui, portabilitat i a no ser objecte de decisions individuals automatitzades, així com de la manera d'exercir-los.
- Possibilitat de reclamar davant l'autoritat de control. Normalment, davant l'Agència Espanyola de Protecció de Dades o, si escau, davant l'autoritat autonòmica competent.
- Dades de contacte del Delegat de Protecció de Dades. A les administracions públiques la seva designació és, amb caràcter general, obligatòria.
Quan entra en joc la transparència: l'article 15 de la Llei 19/2013
Un dels punts més delicats a les administracions públiques apareix quan una persona exerceix el dret d'accés a la informació pública i la documentació sol·licitada conté dades personals. En aquests casos no n'hi ha prou d'aplicar de manera automàtica la normativa de transparència ni tampoc de denegar sempre l'accés pel fet de contenir dades. El que s'ha de fer és aplicar l'article 15 de la Llei 19/2013, que estableix diferents nivells de protecció segons el tipus de dades de què es tracti.
1. Dades especialment sensibles: accés molt restringit
L'article 15 disposa que, si la informació sol·licitada conté dades que revelin la ideologia, l'afiliació sindical, la religió o les creences, l'accés només es pot autoritzar amb el consentiment exprés i per escrit de la persona afectada, llevat que aquesta persona hagués fet públiques aquestes dades amb anterioritat. També estableix una protecció reforçada per a dades relatives a l'origen racial, la salut, la vida sexual, dades genètiques o biomètriques, així com per a dades sobre infraccions penals o administratives que no comportin amonestació pública: en aquests casos, l'accés només es pot autoritzar amb consentiment exprés o si existeix una norma amb rang de llei que l'empari.
Això significa que no tota la informació administrativa es pot lliurar sense més pel fet de constar en poder de l'Administració. Quan apareixen dades de màxima sensibilitat, la regla general és la restricció de l'accés.
2. Dades merament identificatives: regla general favorable a l'accés
El mateix article 15 afegeix que, amb caràcter general, es concedirà l'accés a informació que contingui dades merament identificatives relacionades amb l'organització, el funcionament o l'activitat pública de l'òrgan, llevat que en el cas concret prevalgui la protecció de dades personals o altres drets constitucionals. Dit d'una altra manera, el fet que un document inclogui noms, càrrecs o dades identificatives vinculades a l'activitat pública no impedeix per si sol l'accés sempre que es tracti única i exclusivament d'aquestes dades.
Aquesta previsió és molt important perquè evita que la protecció de dades s'utilitzi de manera expansiva per bloquejar informació pública que, per la seva naturalesa, ha de poder conèixer-se.
3. Resta de dades personals: cal fer una ponderació raonada
Quan la informació sol·licitada no conté dades especialment protegides, l'article 15 exigeix que l'òrgan competent faci una ponderació suficientment raonada entre l'interès públic a divulgar la informació i els drets de les persones afectades, especialment el seu dret fonamental a la protecció de dades.
La llei assenyala diversos criteris que s'han de tenir en compte en aquesta ponderació:
- el menor perjudici derivat del transcurs del temps;
- la justificació de la sol·licitud, especialment si respon a l'exercici d'un dret o a finalitats històriques, científiques o estadístiques;
- el menor perjudici quan el document només conté dades merament identificatives;
- i la major protecció quan la informació pot afectar la intimitat, la seguretat o es refereix a menors d'edat.
Aquest punt és essencial en la pràctica administrativa: no n'hi ha prou d'afirmar que "hi ha dades personals". Cal analitzar quin tipus de dades són, quin interès públic existeix en la seva difusió, quin risc genera la revelació i si hi ha fórmules intermèdies que permetin satisfer tots dos interessos. Alhora, s'ha de tenir en compte que no se superposin altres drets fonamentals.
4. La dissociació de dades permet facilitar l'accés
L'article 15 també estableix una regla molt útil: l'anterior no s'aplica si l'accés es pot donar prèvia dissociació de les dades personals, de manera que no sigui possible identificar les persones afectades. Això equival, a la pràctica, a l'anonimització o la seudonimització suficient per impedir la identificació. Si la informació pública es pot facilitar eliminant o separant les dades personals, aquesta sol ser la via més equilibrada.
5. L'ús posterior de la informació continua sotmès a protecció de dades
Finalment, l'article 15 recorda que la normativa de protecció de dades continua sent aplicable al tractament posterior de les dades obtingudes mitjançant el dret d'accés. És a dir, accedir legítimament a informació pública que conté dades personals no autoritza a reutilitzar-les sense límits.
Què implica això a la pràctica per a les administracions
Des d'un punt de vista pràctic, les administracions públiques no s'han de limitar a incloure clàusules informatives en formularis o seus electròniques. També han d'estar preparades per resoldre correctament les sol·licituds d'accés a informació pública que afectin dades personals. Això exigeix distingir entre dades especialment protegides, dades merament identificatives i dades personals ordinàries; raonar la ponderació quan sigui necessari; i valorar sempre si es pot facilitar la informació dissociada o parcialment anonimitzada, així com tenir certesa que aquesta divulgació no suposa un perill per a la persona interessada, si escau.
La protecció de dades i la transparència no són blocs incompatibles. La normativa està dissenyada precisament per permetre l'accés a la informació pública sense sacrificar indegudament els drets fonamentals de les persones.
Conclusió
Parlar de protecció de dades a les administracions públiques no consisteix només a explicar quina informació s'ha de donar quan es recullen dades personals. També implica saber què passa quan aquesta mateixa administració rep una sol·licitud d'accés a documentació pública que conté dades de tercers. Aquí l'article 15 de la Llei 19/2013 resulta fonamental: protegeix de manera reforçada les dades més sensibles, permet amb caràcter general l'accés a les dades merament identificatives vinculades a l'activitat pública, exigeix ponderar interessos en la resta de casos i afavoreix el lliurament d'informació dissociada quan sigui possible.
Una administració que informa bé, pondera correctament i aplica mesures de dissociació quan escau no només compleix la llei: també reforça la confiança ciutadana i millora la qualitat democràtica de la seva actuació.
