Solicitud de acceso por la alcaldía a carpeta restringida con datos personales de los interesados a la que tienen acceso cuatro empleados municipales: ¿debe concederse?

Planteamiento

En este ayuntamiento existe una carpeta restringida, con datos personales de los interesados, a la que tienen acceso cuatro trabajadores.

Desde la alcaldía se ha solicitado acceso a dicha carpeta y los trabajadores involucrados no están de acuerdo.

¿Hay que darle autorización a alcaldía para que tenga acceso a la misma o la LOPD permite restringir el acceso?

Respuesta

El acceso solicitado por la alcaldía a una carpeta restringida que contiene datos personales de los interesados debe ser analizado de conformidad con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE -RGPD- y la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales -LOPD 2018-.

Según el art. 4.1 RGPD, se entiende por datos personales “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

Si la carpeta restringida en cuestión contiene información identificativa de personas físicas, el tratamiento de esos datos, incluido el acceso, queda sometido a los principios y reglas del RGPD, especialmente a los requisitos de licitud, lealtad y transparencia (art. 5.1.a RGPD).

Por tanto, para efectuar dicho tratamiento, deberán darse alguna de las circunstancias previstas en el art. 6.1 RGPD:

• “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

• • a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

• • b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

• • c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

• • d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

• • e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

• • f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

• Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”.

Por ello, podría no ser necesario el consentimiento de los interesados si se da, entre otros, el supuesto previsto en el art. 6.1.e) RGPD. Igualmente, tal y como se desprende del art 6.3 RGPD y recoge expresamente el art. 8.2 LOPD 2018:

• “2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.”

En consecuencia, la entidad consultante deberá analizar si el alcalde solicitante de la información se encuentra en este supuesto o, en su caso, se requerirá el consentimiento de los interesados en cuestión, salvo que se realice la respectiva disociación o anonimización de los datos. Si no se acredita esa necesidad ni la conexión entre el acceso y las atribuciones legales que le corresponde ejercer con relación a la carpeta restringida que contiene dichos datos, no cabe el acceso directo del alcalde.

Conclusiones

Única. El acceso del alcalde a la carpeta restringida que contiene datos personales no puede autorizarse directamente a menos que se justifique que el acceso es necesario para el ejercicio de una competencia atribuida legalmente a dicho órgano municipal, se asegure el cumplimiento del principio de proporcionalidad del tratamiento, y se garantice, en su caso, que el acceso se limita exclusivamente a los datos imprescindibles para la finalidad legítima que concurra.

Si no se acredita la necesidad del acceso conforme a lo indicado, sí puede restringirse dicho acceso para proteger los derechos fundamentales de los interesados.