El responsable y el encargado del tratamiento

Cuando una previsión legal obliga a conservarlos, la destrucción no procede: los datos se devuelven al responsable, que garantiza su conservación mientras dure esa obligación. La ley no deja esa conservación en manos del encargado, y ni la autoridad de control ni un archivo público asumen la custodia por este motivo.

El registro de actividades de un responsable privado es un documento interno que se pone a disposición de la autoridad si lo pide; para los sujetos del art. 77.1 —las Administraciones públicas, los órganos constitucionales y jurisdiccionales y los demás que enumera— la ley va más allá y exige un inventario público, accesible por medios electrónicos. No prevé remitirlo cada año a la Agencia ni publicarlo en un boletín oficial con cada cambio.

Al elegir sus medidas, responsables y encargados han de valorar en particular si procede la evaluación de impacto en la protección de datos y la consulta previa que regula el Reglamento. Es la lógica de la responsabilidad activa: cada uno mide su riesgo y lo acredita, sin un trámite previo ante la autoridad. Notificar los ficheros a la Agencia para inscribirlos en un registro era el sistema de la Ley Orgánica 15/1999, que la ley vigente no recoge; y volver a pedir el consentimiento o nombrar representantes ante las autoridades autonómicas no figura entre lo que este precepto manda valorar.

El bloqueo va unido a la rectificación y a la supresión: los datos que se corrigen o se borran no desaparecen al momento, sino que quedan identificados y reservados. Atender el derecho de acceso no altera los datos, y ni la violación de seguridad ni el acceso de un encargado obligan a bloquearlos.

La regla mira a cómo actúa el prestador frente a los afectados y no a lo que dice el contrato, pero la propia ley la exceptúa en los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. La duración del encargo, el tipo de datos o una comunicación previa a la autoridad no cambian nada.

Las excepciones las fijan la Agencia Española de Protección de Datos y las autoridades autonómicas, cada una en su ámbito, cuando conservar los datos, aun bloqueados, pudiera generar un riesgo elevado para los afectados (por su naturaleza o por ser muchísimos) o un coste desproporcionado para el responsable. Ese coste es un motivo que valora la autoridad, no una decisión que el responsable pueda tomar por su cuenta; ni el Gobierno ni el delegado aparecen en este precepto.

El registro lo mantienen el responsable y el encargado (o sus representantes), no el delegado; pero si hay delegado, hay que comunicarle cualquier cambio en el contenido del registro, sea una adición, una modificación o una exclusión. No basta con darle la versión inicial, ni se limita a los tratamientos de categorías especiales.

La dificultad técnica no exime de la obligación: la ley la resuelve con un copiado seguro de la información, con evidencia digital o de otra naturaleza que permita acreditar su autenticidad, la fecha del bloqueo y que los datos no se manipularon mientras duró. Suprimir directamente frustraría el fin del bloqueo, y la ley no pide en este caso ninguna autorización a la Agencia.

A la información del registro del art. 30 del Reglamento, la ley orgánica suma para estos sujetos —los que enumera su art. 77.1, entre ellos las Administraciones públicas y sus organismos, los órganos constitucionales y jurisdiccionales, las universidades públicas y los grupos parlamentarios— la base legal del tratamiento. Ni la identidad del personal con acceso, ni las evaluaciones de impacto, ni las violaciones de seguridad forman parte del inventario según este precepto.

La ley señala como supuesto de mayor riesgo el tratamiento de datos de afectados en situación de especial vulnerabilidad y nombra en particular a dos grupos: los menores de edad y las personas con discapacidad. Los demás grupos de las opciones no aparecen nombrados en el precepto; que un responsable los considere de riesgo por otras razones es posible, porque la lista termina con una cláusula abierta, pero no son los que la ley destaca.

El bloqueo dura solo el plazo de prescripción de las responsabilidades que puedan derivarse del tratamiento, que es para lo que se guardan los datos. Pasado ese plazo, la ley ordena destruirlos: no prevé anonimizarlos para conservarlos, ni devolverlos al afectado, y tampoco fija un plazo propio de cinco años.

No basta con que aparezca algún dato de categoría especial: el riesgo mayor está en el tratamiento no meramente incidental o accesorio de esas categorías, o de los datos sobre infracciones administrativas. La ley no fija aquí ningún número de afectados (el tratamiento masivo es otro supuesto de la lista, y sin cifra), ni lo hace depender de cómo se obtuvo el consentimiento o de que el responsable sea una Administración.

La Agencia Española de Protección de Datos o, en su caso, las autoridades autonómicas pueden dirigir las medidas al representante solidariamente con el responsable o el encargado: pueden exigírselas a uno o a otro, por entero, sin esperar a que el responsable incumpla, que sería una responsabilidad subsidiaria. El representante tampoco sustituye al responsable, cuya responsabilidad queda a salvo, y conserva la acción de repetición frente a quien proceda.

El destino de los datos al acabar el encargo lo decide el responsable, que es quien determina los fines del tratamiento: el encargado solo trata los datos por su cuenta. No interviene la autoridad de control, y el delegado asesora y supervisa, pero no decide el destino de los datos.