En el darrer apunt d’aquest espai temàtic, el company Oliver Garcia feia una anàlisi detallada i molt interessant del concepte d'informació pública, que sens dubte ens ajudava a tenir més clar tot el que la ciutadania pot saber mitjançant el dret d’accés al conjunt de dades i a la informació en poder de les administracions públiques que disposa la Llei 19/2014. Al final de l’article, subratllava que aquest dret pot esdevenir inefectiu si les administracions incompleixen el deure de conservació dels documents que disposa la Llei 10/2001, de 13 de juliol, d’arxius i gestió de documents.
Però, davant d’aquest deure de conservació, se n’erigeix un altre que, en aparença, imposaria justament el contrari: el dret a la limitació del termini de conservació, que s’inclou en els principis inclosos en l’article 5 del Reglament (UE) 2016/679 (RGPD); uns principis que esdevenen regles d’or a tenir sempre en compte quan tractem dades personals. Aquest precepte exigeix que les dades personals es mantinguin de manera que permetin identificar les persones interessades durant un període no superior al necessari per a les finalitats per a les quals es tractaven les dades personals; això, sens perjudici que es puguin conservar més enllà amb finalitats d’arxiu en interès públic, d’acord amb l’article 89 del RGPD, al qual em referiré després. Per cert, sobre el termini de conservació de les dades, aprofito per recordar el deure d’informar-ne específicament la persona interessada (art. 13 i 14 del RGPD).
Aquest deure general de supressió que s’imposa als responsables del tractament està relacionat, també, amb altres principis recollits pel RGPD, sobretot el de limitació de la finalitat. Aquest principi exigeix que les dades personals es tractin amb finalitats determinades, explícites i legítimes, i prohibeix que posteriorment es tractin de manera incompatible amb les finalitats inicials (art. 5.1.b del RGPD). Així mateix, el principi de limitació del temps de conservació s’ha de connectar amb el dret de supressió (o dret a l’oblit), que l’article 17 del RGPD reconeix a totes les persones físiques respecte de les seves dades. En definitiva, la normativa de protecció de dades personals aposta -amb caràcter general- per suprimir les dades un cop s’han assolit les finalitats per a les quals es tractaven.
Un cop plantejat aquest escenari de confrontació aparent, i com a punt de partida del que vull explicar sobre les vies de conciliació d’aquests dos deures oposats, constato una obvietat ben sabuda per tots els qui manegem informació pública: acostuma a estar ben farcida de dades personals, encara que siguin de la categoria més desprotegida, com és el cas de les merament identificaves de persones empleades públiques (art. 24.1 de la Llei 19/2014).
Davant d’aquesta situació, potser se’ns genera una pregunta: hem de suprimir les dades de tots els expedients que ja hem tramitat? Doncs no necessàriament. El deure de limitar el termini de conservació de les dades, el RGPD l’imposa a qualsevol responsable del tractament, ja sigui privat o públic; però és evident que, en l’àmbit de les administracions públiques, aquest deure s’ha de matisar i, per això, el mateix Reglament permet expressament allargar la conservació amb finalitats d’arxiu en interès públic.
La documentació gestionada per les administracions té, d’entrada, un valor primari (administratiu, legal o fiscal) que en pot justificar la conservació més enllà de la finalització del procediment; per exemple, a l’efecte de provar que s’ha complert una obligació, davant possibles impugnacions, etc. Al seu torn, aquesta conservació basada en el seu valor primari permetria considerar necessari mantenir les dades personals que contenen els documents. Un cop extingit aquest valor primari, es pot reconèixer un valor secundari a alguns documents, per exemple pel seu possible ús per a finalitats de recerca científica, històrica o estadística, cosa que en pot arribar a determinar la conservació permanent. Ara bé, no podem caure en la temptació de conservar qualsevol dada més enllà del termini aplicable, per la possibilitat que ens pugui arribar a ser útil en el futur. Cal tenir en compte el que la Comissió Nacional d’Accés, Avaluació i Tria Documental (CNAATD) hagi fixat en la taula d’accés i avaluació documental (TAAD). Aquest òrgan col·legiat és format per persones d’un perfil divers i amb una mirada diferent, que permet que, a l’hora de fixar el termini en les TAAD, tots els elements i les circumstàncies que hi intervenen es ponderin adequadament.
Des de la perspectiva del dret a la protecció de dades personals, un dels aspectes que cal tenir en compte són els efectes negatius que pot generar la conservació dels documents més enllà del termini necessari per a la finalitat legítima. D’una banda, hi ha els riscos pels possibles perjudicis per als drets i les llibertats de les persones titulars de les dades conservades, implícits en qualsevol tractament; cal afrontar-los implantant les mesures de seguretat apropiades per evitar -o reduir al mínim- la possibilitat de pèrdua o destrucció accidental de la informació, o d’accessos no autoritzats. No sembla raonable, doncs, continuar suportant aquests riscos, quan el que pertocaria un cop assolides les finalitats del tractament és suprimir les dades.
D’altra banda, no es poden obviar els costos inherents a la conservació de les dades, que generen unes despeses importants tant si estan en suport paper com en format digital. Aquesta necessitat d’eliminar les dades també seria imposada per raons d’higiene documental de l’organització, com defensa Lluis-Esteve Casellas, responsable de la gestió documental i de l’arxiu de l’Ajuntament de Girona, en l’article “Destrucción de documentos y transparencia: ¿criterios más allá de la retórica?”, (El Consultor de los Ayuntamientos, n. 7, Secció Especial / A fondo, quinzena del 15 al 29 abril 2017, ref. 916/2017, p. 916, Editorial Wolters Kluwer).
L’APDCAT ha dictat moltes resolucions sancionadores, motivades pel manteniment de documents amb dades personals publicats a Internet molt més enllà del termini necessari per assolir la finalitat perseguida inicialment amb la publicació. Un dels casos reiterats són les llistes de participants en processos selectius, com s’ha posat de manifest també en l’informe de l’auditoria feta per l’APDCAT en els portals de la transparència.
Com he avançat, el principi de limitació del termini de conservació s’ha de relacionar també amb el dret de supressió que regula l’article 17 del RGPD, que es pot dir que substitueix el que l’antiga LOPD anomenavadret de cancel·lació. Un dels supòsits en què es reconeix expressament aquest dret és quan cal suprimir les dades per complir una obligació legal, un cop exhaurit el termini de conservació fixat en la TAAD; en aquest cas, escauria destruir la documentació que contenia les dades. Ara bé, tot i formar part d’un dret fonamental, el dret de supressió no és absolut sinó que està subjecte a limitacions. Així, l’article 17.3 del RGPD disposa que no és procedent suprimir-les en els casos que enumera, entre els quals hi ha la necessitat de mantenir les dades per complir una obligació legal requerida pel tractament, o per complir una missió en interès públic o en l’exercici de poders públics; per exemple, mentre no s’ha superat el termini de conservació fixat en la TAAD corresponent.
En aquest punt, cal precisar que la supressió no implica necessàriament l’eliminació, sinó el bloqueig. Aquesta figura era establerta per l’article 16 de l’antiga LOPD i, tot i que el RGPD no l'estableix, la nova LOPDGDD l’ha mantinguda en l’article 32. Aquest precepte disposa que quan el responsable suprimeixi les dades les ha de bloquejar, la qual cosa implicaria extreure-les dels sistemes d’informació o vies habituals de tractament i mantenir-les apartades i custodiades de manera segura, sense que hi puguin accedir les persones usuàries dels sistemes on estaven allotjades abans de la supressió. Aquest bloqueig ha d’impedir que les dades es tractin, tret que sigui necessari per exigir responsabilitats derivades del tractament; un cop transcorregut el termini de prescripció d’aquestes eventuals responsabilitats, les dades s’han de destruir. Per tant, les dades bloquejades no es poden utilitzar per a cap finalitat diferent de l’exigència de responsabilitats; per exemple, no es podrien incloure en la documentació facilitada com a resposta a una sol·licitud d’accés a informació.
En definitiva, com he assenyalat més amunt, hi ha molts casos en què les TAAD disposen la conservació permanent o un termini de conservació molt ampli, per raó del valor secundari de les dades (interès històric, etc.). Doncs bé, des de l’òptica del dret a la protecció de dades, el manteniment de dades personals en la documentació conservada a llarg termini constitueix un tractament amb una finalitat diferent a la inicial. Però quan l’article 5.1.b del RGPD estableix el principi de limitació de la finalitat, considera que el tractament posterior de les dades amb finalitats d’arxiu en interès públic o recerca no seria incompatible amb les finalitats inicials. En la mateixa línia, l’article 26 de la nova LOPDGDD reforça la licitud que les administracions públiques tractin les dades personals amb finalitats d’arxiu en interès públic, si bé estableix que ho facin d’acord amb el que disposen el RGPD i el conjunt de normes que regulen aquesta matèria, tant estatals com autonòmiques.
En definitiva, el RGPD admet el tractament de dades personals per a finalitats d’arxiu en interès públic, però això no es pot entendre com una habilitació absoluta sense restriccions, ans al contrari: l’article 89.1 del RGPD disposa que aquests tractaments estan subjectes a les garanties adequades per als drets i les llibertats de les persones interessades, garanties que han d’assegurar que es disposa de mesures tècniques i organitzatives per garantir el respecte al principi de minimització de les dades personals. Entre aquestes mesures, l’article 89.1 del RGPD es refereix preferentment a la dissociació o l'anonimització, de manera que la conservació de la documentació no permeti identificar les persones afectades, tret que això impedeixi assolir la finalitat d’arxiu en interès públic. En defecte de l’anonimització, l’article 89.1 del RGPD postula que s’adoptin mesures com la pseudonimització (per entendre millor els conceptes de dissociació i pseudonimització, recomano que es llegeixi un apunt anterior.
En conclusió, el RGPD admet la conservació de la documentació amb dades personals per a finalitats d’arxiu en interès públic, però aposta decididament perquè s’adoptin mesures que impedeixin o restringeixin les possibilitats que les persones interessades siguin identificades, per garantir-ne els drets i les llibertats. En efecte, si pensem en algunes TAAD que estableixen la conservació permanent, com és el cas de diverses sèries d’expedients disciplinaris o sancionadors que afecten persones físiques, sembla clar que l’interès històric que hauria determinat la conservació permanent d’aquesta documentació no justificaria que es mantinguin identificades les persones sancionades gaire més enllà del termini de prescripció de la sanció amb el qual s’extingeixen les responsabilitats.
