Procedimiento para reclamar la devolución de datos obtenidos en la ejecución del contrato al contratista encargado del tratamiento

Planteamiento

Este ayuntamiento organiza anualmente un festival de música desde hace más de 50 años. El anterior adjudicatario lo gestionó durante 10 años, tras diversas licitaciones y prórrogas. La organización del festival durante ese tiempo generó una base de datos de correos electrónicos de espectadores que compraban las entradas.

Entendemos que esta base de datos de correos electrónicos pertenece al ayuntamiento, dado que la ejecución del contrato se realizaba por cuenta y orden del ayuntamiento a través del adjudicatario, y por tanto estaba amparada por el contrato.

Consideramos que el adjudicatario actuaba como encargado del tratamiento, al tratar datos personales por cuenta del responsable del tratamiento, que es el ayuntamiento.

El art. 33.3 LOPDGDD establece que:

• “El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos personales deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado”.

La finalidad es disponer de los datos -principalmente los correos electrónicos- para facilitarlos al nuevo adjudicatario, que será el nuevo encargado del tratamiento.

A día de hoy todavía no nos ha entregado los datos. ¿Cómo podríamos proceder para reclamar la devolución de la información obtenida, básicamente los correos electrónicos?

Respuesta

El anterior contratista que gestionó durante 10 años el festival de música que el ayuntamiento organiza anualmente hace más de 50 años, si trata datos o información sobre personas físicas que permitan su identificación, como son los correos electrónicos, y los utiliza con fines determinados y toma decisiones relacionadas con los fines para los que utiliza dichos datos personales o los medios en los que lleva a cabo el almacenamiento y la forma de procesar los datos, es el encargado de la actividad de tratamiento de estos datos, por cuenta del responsable de los mismos, que es el ayuntamiento.

Las obligaciones como encargado de dicha actividad de tratamiento de estos datos debió haberse especificado en un contrato o acto jurídico, que vinculase al encargado respecto al responsable.

Los contratos con encargados de tratamiento concluidos con anterioridad a la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)900), transcrito en nuestro ordenamiento a través de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (EDL 2018/128249), debían modificarse y adaptarse para respetar el contenido indicado en el art. 28 Reglamento (UE) 2016/679, sin que sean válidas las remisiones genéricas al mismo.

Entendiendo del planteamiento formulado, que no existe dicho contrato de encargo de tratamiento que refleje la obligación del contratista de devolver al responsable la base de datos de correos electrónicos de los espectadores que compraban las entradas, debemos examinar la alternativa que ofrecía el marco jurídico vigente a la fecha de adjudicación del contrato, hace más de 10 años.

El art. 12 de la LO 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establecía:

• “3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

• 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”.

Por tanto, una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al ayuntamiento responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento, por lo que se le debe efectuar un requerimiento formal en este sentido y, si el contratista se niega a devolver la información, se puede presentar una reclamación como responsable del tratamiento acudiendo a la sede electrónica de la AEPD y utilizar sus formularios específicos obrantes en Https://sedeaepd.gob.es/sede-electronica- web/vistas/infoSede/tramitesCiudadanoReclamaciones.jsf

Conclusiones

1ª. Si no existe un contrato de encargo de tratamiento que refleje la obligación del contratista de devolver al ayuntamiento-responsable la base de datos de correos electrónicos de los espectadores que compraban las entradas del festival de música gestionado, se debe acudir al art. 12 LO 15/1999, que ofrecía el marco jurídico vigente a la fecha de adjudicación del contrato, hace más de 10 años.

2ª. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al ayuntamiento responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

3ª. Se debe efectuar al contratista encargado del tratamiento de los datos un requerimiento formal en este sentido y, si se niega a devolver la información, se puede presentar una reclamación como responsable del tratamiento acudiendo a la sede electrónica de la AEPD y utilizar sus formularios específicos obrantes en Https://sedeaepd.gob.es/sede-electronica- web/vistas/infoSede/tramitesCiudadanoReclamaciones.jsf