Exp.: CN22-005
DICTAMEN Nº D22-013
DICTAMEN RELATIVO AL TRATAMIENTO DE DATOS PERSONALES QUE PRETENDE
REALIZAR EL CONSORCIO DE AGUAS DE ÁLAVA PARA LA PRESTACIÓN DEL
SERVICIO DE ABASTECIMIENTO DE AGUA EN RED SECUNDARIA O SUMINISTRO
“EN BAJA”
ANTECEDENTES
PRIMERO. - El Gerente de Aguas Municipales de Vitoria S.A. (AMVISA), mediante escrito
solicita dictamen en relación con la legalidad de la cesión de datos recogidas para la gestión
de los contratos para la prestación del servicio “en baja” (almacenamiento en depósitos y
reparto mediante tuberías hasta las acometidas que conectan con las instalaciones
privadas de los usuarios finales, tales como domicilios, comercios, industria y demás
establecimientos) ante la solicitud cursada por URBIDE Arabako Ur Patzuergoa-Consorcio
de Aguas de Álava, como nuevo ente prestador de dicho servicio “en baja”, sin recabar
consentimiento previo de cada uno de los usuarios de los servicios de abastecimiento de
agua en la red secundaria de las Juntas Administrativas que se adhieran al acuerdo del
nuevo prestador.
SEGUNDO. - En el escrito citado se expone que Aguas Municipales de Vitoria S.A., se
constituyó en 1970 como sociedad anónima y que es de la exclusiva propiedad del
Ayuntamiento de Vitoria-Gasteiz.
El objeto de dicha sociedad anónima es la prestación del servicio público de captación,
depuración y distribución del agua potable, así como la depuración de aguas residuales en
la ciudad de Vitoria-Gasteiz, así como en determinados pueblos de su jurisdicción.
Dicha sociedad anónima dispone de un fichero automatizado de abonados cuando
formalizan los contratos de abastecimiento de agua en red secundaria, cuya finalidad es la
gestión de las relaciones de usuarios del servicio a fin de exigir las contraprestaciones
tarifarias.
URBIDE Arabako Ur Patzuergoa-Consorcio de Aguas de Álava, ha solicitado a AMVISA la
cesión de los datos que dispone relativos a los contratos de suministro de los usuarios
vecinos de las Juntas Administrativas adheridas al Consorcio, a fin de proceder al traspaso
de la gestión del suministro “en baja”.
TERCERO. - En contestación al requerimiento realizado por la Agencia Vasca de
Protección de Datos, URBIDE Arabako Ur Patzuergoa-Consorcio de Aguas de Álava
manifiesta que ha asumido la ejecución y gestión de los servicios relacionados con el ciclo
integral del agua y que por tanto considera que lo adecuado es que él mismo ostente el
reconocimiento o la titularidad de los contratos relacionados con los servicios que presta,
c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 [email protected] - www.avpd.eus
como son el control de los equipos de medida, la contratación de los servicios, el control de
los consumos, su facturación y gestión recaudatoria y de impagos, la resolución de
reclamaciones y la potestad de imposición de sanciones derivadas de dicha actividad, para
lo que precisa la disposición de los datos que actualmente dispone AMVISA.
Afirma también que el Consorcio ejerce la competencia para la gestión del agua que
corresponde a las propias entidades locales, quienes ostentan la titularidad de la
competencia lo que les faculta para realizar la función de responsables del tratamiento de
los datos personales.
CUARTO. - El artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de
Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección
de Datos, en su apartado n) atribuye a la Agencia Vasca de Protección de Datos la siguiente
función:
“Atender a las consultas que en materia de protección de datos de carácter personal
le formulen las administraciones públicas, instituciones y corporaciones a que se
refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en
relación con los tratamientos de datos de carácter personal incluidos en el ámbito de
aplicación de esta Ley”.
La Agencia Vasca de Protección de Datos es la autoridad de control del tratamiento de
datos personales que realizan las Administraciones Públicas y otros entes públicos del País
Vasco, como responsables del tratamiento, o en su caso, como encargadas del tratamiento.
En este caso AMVISA es una sociedad anónima por lo que su actuación no está sujeta al
control de la Agencia Vasca de Protección de Datos, de conformidad con lo dispuesto en el
artículo 17 en relación con el artículo 2 de la Ley 2/2004, de 25 de febrero, de Ficheros de
Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de
Protección de datos, siendo la autoridad competente la Agencia Española de Protección de
Datos.
Ahora bien, corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la
normativa citada, el control del tratamiento de datos personales que lleve a cabo URBIDE
Arabako Ur Patzuergoa-Consorcio de Aguas de Álava por tratarse de uno de los entes
públicos a que se refiere el artículo 2.1 de la Ley 2/2004, y por tanto, procede la emisión del
presente dictamen.
CONSIDERACIONES
I
Esta Agencia va a analizar la posible legitimación de URBIDE Arabako Ur Patzuergoa-
Consorcio de Aguas de Álava para que pueda proceder al tratamiento de los datos
personales que supone el traspaso de la gestión del suministro “en baja” respecto a los
datos de los usuarios vecinos de las Juntas Administrativas que dispone la empresa
municipal AMVISA, es decir, datos personales de personas físicas, únicas titulares del
derecho fundamental a la protección de datos regulado en el Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de esos datos (en
adelante RGPD.
2
II
Previo a la emisión del presente dictamen debemos proceder al análisis de conceptos
troncales del derecho fundamental a la protección de datos, como la definición de dato
personal y de tratamiento de datos.
El RGPD define en su artículo 4.1 los datos personales como: “Toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona física
identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número de
identificación, datos de localización, un identificador en línea o uno o varios elementos
propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de
dicha persona”.
En este caso, los datos personales contenidos en los contratos para la prestación del
servicio “en baja” serán datos personales en cuanto se refieran a personas físicas
identificadas o identificables.
En lo que se refiere al tratamiento de datos, éste se define en el artículo 4.2 del RGPD como
“Cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o modificación,
extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra
forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.
La gestión de los contratos para la prestación del servicio en baja pretendido por URBIDE
Arabako Ur Patzuergoa-Consorcio de Aguas de Álava, implica un tratamiento de datos
personales, por lo que estará sujeto al cumplimiento de las obligaciones contenidas en la
normativa sobre protección de datos.
Los tratamientos de datos personales deberán respetar necesariamente los principios
proclamados en el artículo 5 del RGPD, entre ellos el principio de la licitud, lealtad y
transparencia [art. 5.1.a) del RGPD].
En cumplimiento de dicho principio esos tratamientos deben poder ampararse en alguna de
las bases jurídicas del tratamiento incluidas en el artículo 6.1 del RGPD: consentimiento,
contrato, obligación legal, interés público o ejercicio de poderes públicos, interés legítimo e
interés vital del afectado.
En el caso de las Administraciones Públicas es el cumplimiento de una misión realizada en
interés público y el ejercicio de potestades públicas la base legitimadora más habitual. En
relación con la misma, la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos
Personales y garantía de derechos digitales en su artículo 8.2 dispone:
“2. El tratamiento de datos personales solo podrá considerarse fundado en el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del
Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una
norma con rango de ley”.
3
En el caso que nos ocupa, procede analizar la normativa que regula el régimen local y las
competencias de los entes locales en la prestación del servicio público de abastecimiento
de agua.
La Ley 2/2016, de 7 de abril, de Instituciones Locales de Euskadi (en adelante LILE) en su
artículo 17 dispone que los municipios en el marco de lo dispuesto en la misma Ley y en la
legislación que sea de aplicación, podrán ejercer competencias propias en la ordenación,
gestión, prestación y control de los servicios en el ciclo integral del agua de uso urbano,
que incluye el abastecimiento de agua en alta o aducción, abastecimiento de agua en baja,
saneamiento o recogida de las aguas residuales urbanas y pluviales de los núcleos de
población y depuración de las aguas residuales urbanas.
El artículo 2.1.b) de la LILE preceptúa que tendrán la consideración de entidades locales
los concejos y cualesquiera otras entidades locales territoriales de ámbito inferior al
municipio, conforme a la normativa foral existente en cada territorio y lo dispuesto en la
legislación básica de régimen local.
En el artículo 2.5 de la LILE se recoge que, a los concejos, mancomunidades, cuadrillas…
les corresponderán todas las potestades previstas en la legislación básica del régimen local
(Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, en adelante LBRL).
En el indicado apartado in fine se dispone que “en el caso del Territorio Histórico de Álava,
corresponden a los concejos las competencias que les reconocen las leyes o las normas
forales”.
Así mismo, el artículo 2.2 de la LILE dispone que los servicios públicos locales serán
prestados, preferentemente por el municipio, y cuando ello no fuera viable o converjan
razones de eficiencia o eficacia, por entidades locales constituidas por los propios
municipios (mancomunidades, consorcios…).
El mencionado artículo 2 en su apartado tercero sigue diciendo que los servicios públicos
locales también podrán ser prestados por otras entidades locales, incluso por entidades
supramunicipales en cuyo caso se tendrá en cuenta la voluntad y solicitud de los diferentes
municipios que vayan a formar parte de aquellas.
Por su parte, el artículo 10 en su apartado 3, dispone que la potestad de auto organización
se proyecta en el derecho a acordar fórmulas asociativas para la prestación de servicios
públicos locales, en especial la prestación de servicios por mancomunidades y consorcios
Así, el artículo 19 en su párrafo segundo establece que el ejercicio de competencias propias
se podrá efectuar por el mismo municipio o mediante fórmulas asociativas municipales que
faciliten, en su caso, la gestión o prestación derivados de sus competencias, en los términos
que los propios municipios afectados determinen.
En este sentido, el artículo 104 de la LILE prevé que los municipios y demás entidades
locales podrán constituir consorcios con otras administraciones públicas para fines de
interés común que tengan por objeto la cooperación económica, técnica y administrativa
para la prestación de servicios públicos locales.
Dicho artículo en su apartado tercero indica que, para la gestión de los servicios de su
competencia, los consorcios podrán utilizar la gestión directa, por el propio consorcio, como
resulta en el asunto enviado a consulta, o la gestión indirecta mediante las formas en el
contrato de gestión de servicios públicos.
4
En el caso que nos ocupa, URBIDE Arabako Ur Patzuergoa-Consorcio de Aguas de Álava,
tal y como recoge en sus estatutos, en vigor desde su publicación en el Boletín Oficial de
Territorio Histórico de Álava, el 04 de enero de 2019, es una entidad de derecho público,
de carácter asociativo y voluntario integrada por administraciones públicas y, en su caso
por entidades privadas sin ánimo de lucro, que persiguen fines de interés público,
concurrentes con los de aquellas.
El consorcio dispone de personalidad jurídica propia, diferenciada y plena capacidad para
el cumplimiento de sus fines que no son otros que el establecimiento y la explotación de las
infraestructuras de los servicios públicos de abastecimiento de agua y saneamiento
conforme a la normativa vigente. Concretamente el Consorcio prestará los servicios
directamente relacionados con el ciclo del agua en lo referido a:
a.-Al abastecimiento de agua que incluye los servicios de aducción (o abastecimiento
en red primaria: suministro en alta) y distribución (abastecimiento de agua en red
secundaria o suministro en baja).
b.-Al saneamiento, los de “intercepción/depuración” y al “alcantarillado”.
Los entes consorciados ejercen su competencia a través del consorcio, manteniéndose en
todo caso la titularidad de la competencia en aquellos. El consorcio sustituirá a los entes
locales que lo integran para el cumplimiento de sus fines para lo que contará entre otras
con la facultad de gestionar los servicios de abastecimiento y saneamiento.
De acuerdo con la normativa mencionada podemos concluir que URBIDE Arabako Ur
Partzuergoa-Consorcio de Aguas de Álava, como sustituto de los entes consorciados,
tendrá base de legitimación para tratar los datos personales en la medida en que sean
estrictamente necesarios para la gestión del servicio público de suministro de
abastecimiento de agua en red secundaria.
Además, en ese tratamiento de datos el Consorcio deberá cumplir con el resto de los
principios recogidos en el artículo 5 del Reglamento General de Protección de Datos.
Así, en virtud del principio de transparencia, deberá cumplir con el deber de informar a los
interesados en la recogida de los datos personales, observancia que se ajustará a lo
preceptuado en los artículos 12, 13 y 14 del RGPD y en el artículo 11 de la LOPDGDD. En
este caso deberá de prestar especial atención a lo dispuesto en el artículo 14 por lo que
deberá comunicar a los interesados la fuente de la que ha recibido los datos.
Por su parte el principio de minimización de datos proclamado en el artículo 5.1.c) exige
que solo se traten aquellos datos pertinentes, adecuados y limitados a lo necesario en
relación con la finalidad perseguida.
El principio de limitación de la finalidad [art. 5.1.b)] obliga a que los datos sean recogidos
con fines determinados, explícitos y legítimos, sin que puedan ser tratados ulteriormente de
manera incompatible con dichos fines; únicamente se admite la desviación de la finalidad
en los supuestos previstos en el artículo 89, apartado 1, esto es, fines de archivo en interés
público, fines de investigación científica e histórica o fines estadísticos.
El cumplimiento de la finalidad afecta también al periodo de conservación de la información,
siendo la limitación del plazo de conservación otro de los principios que el RGPD proclama
en su artículo 5.1.d). En virtud de este principio, los datos deben ser mantenidos de forma
que se permita la identificación de los interesados durante no más tiempo del necesario
5
para los fines del tratamiento de los datos personales, si bien podrán conservarse durante
períodos más largos siempre que se traten exclusivamente con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, de conformidad con
el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y
organizativas apropiadas que impone el Reglamento a fin de proteger los derechos y
libertades del interesado.
El RGPD también incluye entre los principios aplicables al tratamiento de los datos
personales el principio de integridad y confidencialidad [art. 5 f)] que exige que los datos
personales sean tratados de tal manera que se garantice su seguridad, incluida la
protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o
daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas
(art. 32).
En este sentido, debe tenerse en cuenta, que cuando los responsables del tratamiento,
como es el caso, sean Administraciones Públicas, deberán aplicar a los tratamientos de
datos personales las medidas de seguridad que correspondan de las previstas en el
Esquema Nacional de Seguridad (Disposición Adicional Primera apartado 2 de la
LOPDGDD)
Por último, hay que destacar que el RGPD elimina la obligación de creación y declaración
de ficheros y la sustituye por el denominado “registro de las actividades de tratamiento”,
regulando su contenido en el artículo 30.
Así, cada responsable del tratamiento está obligado a la llevanza de un Registro de las
actividades de tratamiento efectuadas bajo su responsabilidad (art. 30 RGPD), y de
conformidad con el artículo 31.2 de la LOPDGDD, las Administraciones deben hacer público
un inventario de sus actividades de tratamiento, accesible por medios electrónicos, en el
que conste la información exigida en el citado artículo 30 RGPD y su base legal
Estas son las consideraciones que realiza la Agencia Vasca de Protección de Datos en
relación con la consulta planteada.
Vitoria-Gasteiz, 11 de julio de 2022
6