El responsable del tratamiento de datos personales en el órgano

Antonio Luis Valero Canales. Secretario del Juzgado de Instrucción número 7 de Murcia.

Se ha dictado recientemente el Acuerdo de 15 de Septiembre de 2005, del Pleno del Consejo General del Poder Judicial, por el que se aprueba el Reglamento 1/2005, de los aspectos accesorios de las actuaciones judiciales (BOE 27 de Septiembre de 2005), y en su Título V bajo la rúbrica? Del establecimiento y gestión de los ficheros automatizados bajo la responsabilidad de los órganos judiciales? se establece una regulación de los datos de carácter personal que se contengan en los órganos judiciales, siguiendo según se manifiesta en la Exposición de Motivos VI del mismo, un desarrollo del artículo 230.5 de la Ley Orgánica del Poder Judicial que establece:

?Reglamentariamente se determinará por el Consejo General del Poder Judicial los requisitos y demás condiciones que afecten al establecimiento y gestión de los ficheros automatizados que se encuentren bajo la responsabilidad de los órganos judiciales de forma que se asegure el cumplimiento de las garantías y derechos establecidos en la LO 5/1992 de 29 de Octubre, de Regulación del tratamiento de los datos de carácter personal?.

Sin perjuicio de las funciones que en todo caso correspondan en la materia al Ministerio de Justicia, pues los órganos judiciales están incardinados en dicho Ministerio o en la Administración Autonómica, es lo cierto que en el artículo 91 del Reglamento 1/2005 del Consejo General del Poder Judicial se establece que:

?De los ficheros automatizados de los órganos judiciales unipersonales será responsable el Secretario del Juzgado. De los ficheros dependientes de Tribunales será responsable el Secretario judicial que se indique en el acuerdo de creación o modificación.?

No obstante, en la Exposición de Motivos VI se establece:

?Se constituye como responsable del fichero al Juez o Presidente y bajo su autoridad al Secretario Judicial.?

Difícil técnica legislativa el otorgar en la Exposición de Motivos la atribución de la responsabilidad en el tratamiento de datos al Juez o Presidente del órgano y en el articulado como único responsable del fichero al Secretario del Juzgado, con una posibilidad de revisión ante el Juez o Presidente de las decisiones que en su caso adoptase el Secretario del Juzgado en materia de acceso, rectificación o cancelación, tal como dispone los artículos 92 y 93 del citado Reglamento. Esto introduce ya ?a priori? una enorme confusión en la delimitación competencial, pues parece otorgar una potestad delegada en la Exposición de Motivos, para luego atribuirle la responsabilidad plena al Secretario Judicial, lo cual puede originar enormes problemas de interpretación práctica, o incluso que se considere modulable su ejercicio, reclamando o delegando dicha potestad según los casos.

Esta difícil técnica legislativa se hace más intensa al incurrir el Reglamento en un grave error al considerar aplicable en el artículo 93, la Ley Orgánica 5/1992, de 29 de octubre ( LOARTAD) , que ha sido derogada por la Ley vigente en materia de protección de datos, Ley Orgánica 15/1999, de 13 de Diciembre. Tal defecto de redacción supone un importante descuido, máxime cuando el Reglamento en su Exposición de Motivos sí alude a la nueva Ley 15/1999, de 13 de Diciembre en materia de protección de datos. No obstante, y pese a dicho error, no hace falta aludir a que el principio de legalidad y de jerarquía normativa obligarán a una interpretación razonable del precepto, aplicando la legislación vigente y no la derogada. No obstante, y advertido dicho error por el órgano que ha dictado el Reglamento debiera procederse a su rectificación para su debida adecuación a Derecho.

Lo que resulta cuestionable es si de acuerdo a la legislación vigente puede considerarse tal como establece el Reglamento 1/2005 del C.G.P.J. al Secretario del Juzgado o Tribunal responsable del fichero o tratamiento de los datos que contenga el órgano judicial en el que sirve.

Conviene hacer alusión que el anterior Reglamento 5/ 1995 de 7 de Junio, de los aspectos accesorios de las actuaciones judiciales en su artículo 82 también consideraba al Secretario Judicial como responsable del tratamiento de datos , no obstante ello no empece la discusión que aquí se pretende, pues una nueva legislación española y comunitaria se ha dictado después de tal disposición reglamentaria, y sobre todo, no es inviable que dicha norma pudiera estar también desajustada a la realidad legal tanto de una manera inicial como sobrevenida.

En este sentido, el artículo 3 d) de la Ley Orgánica 15/1999 establece:

? d) Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento?.

Pero dicha ley ha regulado también nuevas figuras que no aparecían en la LOARTAD, como la de encargado del tratamiento ( art. 3 g de la Ley), el cual no ostenta la titularidad del tratamiento sino que actúa y trata los datos por cuenta del responsable.
Este concepto de responsable del tratamiento tiene su antecedente inmediato en la Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, la cual ofrece también una definición del responsable del tratamiento en su artículo 2 d) como:

?la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario?.

Por ello, el responsable del fichero o tratamiento será quien tenga la potestad para decidir sobre la finalidad que ha de perseguirse en la totalidad del proceso de recogida, almacenamiento y uso de los datos recabados, quien pueda determinar el contenido del tratamiento de datos y el uso que ha de darse a los mismos. A ello se anuda el hecho de que con arreglo al artículo 14 de la Ley 15/1999 cualquier persona puede conocer la identidad del responsable del tratamiento, y sobre todo que el artículo 20 de la misma Ley impone que la creación, modificación o supresión de los ficheros de las Administraciones Públicas sólo podrán hacerse por disposición de carácter general publicada en el diario oficial oportuno, y es en dicha disposición general donde debe hacerse constar:

– la finalidad del fichero y los usos previstos para el mismo ( art. 20.2 a).
– la estructura básica del fichero y la descripción de los tipos de datos de carácter personal incluidos en el mismo( artículo 20.2 d)
– las medidas de seguridad con indicación del nivel básico, medio o alto exigible ( art.20.2 h).

Es evidente que el Secretario Judicial destinado en cualquier órgano judicial no puede dictar disposiciones de carácter general y no es quién decide por tanto sobre la finalidad, contenido y uso del tratamiento de datos que se manejen en el órgano en el que sirve.
El artículo 5 del Real Decreto 1332/94 de 20 de Junio, establece en su Capítulo III sobre notificación e inscripción de ficheros que:

?Todo fichero de datos de carácter personal, de titularidad pública, será notificado a la Agencia de Protección de Datos por el órgano competente de la Administración responsable del fichero?.

Y en el mismo sentido el artículo 8:

?La modificación o, en su caso, cancelación de la inscripción de los ficheros de titularidad pública se producirá de oficio por la Agencia de Protección de Datos, previo traslado por el órgano de la Administración responsable del fichero? .

En cuanto a las medidas de seguridad que han de cumplir los ficheros automatizados de datos se establecen en el Real Decreto 994/1999, de 11 de Junio, y en ella se dispone en su artículo 2.11:

?Responsable de seguridad: persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables?

En el artículo 8 del mismo Real Decreto se impone al responsable del fichero la función de elaborar e implantar la normativa de seguridad mediante un documento de obligado cumplimiento; la autorización de la salida de soportes informáticos fuera de los locales en los que esté ubicado el fichero ( art. 13.2); el encargo de verificar la definición y correcta aplicación de copias de respaldo y de recuperación de datos, y la designación de uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el documento de seguridad( art.16); y establecer mecanismos que permitan la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado( art. 18).
El propio Ministerio de Justicia ha establecido los ficheros que de él dependen entre otros por Orden de 26 de Julio de 1994, por la que se regulan los Ficheros con datos de carácter personal gestionados por el Ministerio de Justicia e Interior, donde se alude a dicho Ministerio como el responsable de los ficheros bajo él dependientes, quien deberá adoptar las medidas de gestión y organización que sean necesarias para asegurar, en todo caso, la confidencialidad, seguridad e integridad de los datos, o en la Orden de 20 de Marzo de 2000 respecto a la prestación de la Objeción de conciencia.

Concretamente en el Informe 143/2004 de la Agencia de Protección de Datos, relativo al responsable del fichero en la enseñanza pública, que puede tener alguna relación con este caso, y teniendo en cuenta que el artículo 37 de la misma Ley le atribuye una explícita obligación de velar por el cumplimiento de la legislación de protección de datos y controlar su aplicación, se consideró que los ficheros de un Centro Público de Educación Secundaria dependían de la Conserjería autonómica y al carecer de personalidad propia y diferenciada de ella, sería la citada Conserjería la responsable del fichero y el Centro educativo únicamente el lugar de ubicación del mismo.

Por todo ello y a mi juicio, se considera que el Secretario Judicial no tiene ninguna competencia para realizar las funciones que la legislación indicada atribuye al responsable de un fichero o tratamiento de datos, y por ello no puede considerarse como tal, en la previsión que el artículo 3 d) de la Ley Orgánica 15/1999 establece.