TEMA 49 TASS: La protección de datos personales y garantía de derechos digitales

Estimados opositores, con motivo de la celebración de pruebas selectivas TASS en fechas cercanas, me complace haceros llegar copia del tema relativo a la protección de datos personales elaborado por mi compañero L. (a petición suya), por si fuera de vuestro interés. 

La protección de las personas físicas en relación con el tratamiento de sus datos personales es un derecho fundamental vinculado con el artículo 18.4 de la Constitución española que establece que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

No obstante, debe tenerse en cuenta qué, tal como tiene establecido la jurisprudencia del Tribunal Constitucional, se trata de un auténtico derecho fundamental independiente del derecho a la intimidad con sustantividad propia.

A nivel de derecho positivo debe distinguirse el marco general establecido por la normativa de Protección de Datos y en concreto:

Por lo que se refiere al marco normativo especial aplicable a la administración de la Seguridad Social debe tenerse en cuenta:

En atención a las competencias administrativas que tienen atribuidas las distintas entidades gestoras y servicios comunes de la administración de la Seguridad Social, estas requerirán del conocimiento de multitud de datos personales para el correcto ejercicio de las funciones que tienen atribuidas normativamente. Datos personales que podrán referirse tanto a las personas usuarias del sistema de la Seguridad Social, como a los empleados públicos destinados en dichos organismos y que pondrán comprender, datos personales de carácter general (datos identificativos, de contacto, etc.) como datos personales de carácter especial (datos de salud, orientación sexual, etc.).

Así pues, en todo tratamiento de datos personales que implemente la administración de la Seguridad Social, entendiendo tratamiento como cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción, habrá de tenerse en cuenta la legitimación para poder hacer uso de esos datos personales, y la categoría a la que pertenece los mismo, para poder establecer las medidas de seguridad necesarias a fin de garantizar el derecho a la protección de los datos personales de la ciudadanía y el correcto desempeño de las funciones encomendadas a la administración de la Seguridad Social.

Hoy los principios relativos a los tratamientos de datos implementados por la administración de la Seguridad Social son los contemplados en el artículo 5 del Reglamento (UE) 2016/679, General de Protección de Datos:

Los datos han de ser tratados de manera lícita leal y transparente en relación con el interesado-titular de los datos.

Los datos han de ser recogidos con fines determinados, explícitos y legítimos, no pudiendo ser tratado posteriormente de manera incompatible con dichos fines. No obstante, se entenderá compatible el tratamiento ulterior de los datos personales con fines de archivo en interés público,fines de investigación científica e histórica, o fines estadísticos.

los datos que se recaben bien directamente del interesado o desde otro sistema de fuentes de información accesibles para la administración de la Seguridad Social habrán de ser adecuados pertinentes ilimitados a los estrictamente necesario en relación con los fines para los que serán utilizados.

Los datos que se utilicen en los tratamientos deberán ser exactos y si fuera necesario,actualizados, debiéndose adoptar las medidas razonables para que se supriman o rectifiquen sin dilación, aquellos datos personales de los que se tenga certeza de su inexactitud en relación con los fines para los que se tratan.

Los datos obtenidos y utilizados en los tratamientos deberán ser mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines en los que se han de utilizar, pudiéndose conservar durante periodos más largos siempre que se traten exclusivamente con fines de archivo en interés público fines de investigación científica o histórica o fines estadísticos. Se trata de un principio que ha de ser matizado en el ámbito de la administración de la Seguridad Social en aplicación de la normativa reguladora del procedimiento administrativo, y de los archivos y registros que integran la administración.

Los datos deberán ser tratados de tal forma que se garantice una seguridad adecuada a los mismos,garantizándose en todo caso la protección contra el tratamiento no autorizado ilícito y contra su pérdida, destrucción o daño accidental mediante la aplicación de medidas técnicas u organizativas apropiadas. En todo tratamiento de datos, ya sea automatizado como no automatizado, deberán garantizarse los requisitos DICAT:

- Disponibilidad de los datos a las personas legitimadas para acceder a ellos, 

- Integridad de los datos para que no sean alterados, modificados o destruidos,

- Confidencialidad en cuanto a su conocimiento y revelación,  

- Accesibilidad controlada respecto a las personas que pueden acceder a los mismos,

- Trazabilidad de los accesos y usos que se hayanhecho de los datos.

Conforme el artículo 6.1 del Reglamento (UE) 206/679, General de Protección de Datos, el tratamiento de los datos solo será lícito si se cumple al menos una de las siguientes condiciones: 

De estas bases de legitimación que prevé la normativa, dos van a ser las principales bases que habiliten a la administración de la Seguridad Social la obtención y uso de los datos personales:

Solo en aquellos supuestos en los que las administraciones no actúen en el ejercicio de su potestad pública, por ejemplo cuando actúan como sujetos empleadores, o cuando la ley expresamente lo indique, deberá acudirse a otras bases de legitimación que habiliten la obtención y el uso de los datos personales, en estos supuestos hoy las bases de legitimación vendrán constituidas por:

Conforme lo ya expuesto, conviene precisar que la administración, en el ejercicio de sus funciones públicas, no puede fundamentar sus tratamiento de datos personales en el consentimiento del interesado tal como aclara el legislador comunitario en el Considerando 43 del Reglamento (UE) 2016/679, General de Protección de Datos:

Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular.

No obstante, se debe señalar que para poder invocar como base del tratamiento el cumplimiento de una obligación legal aplicable al responsable del tratamiento o el ejercicio de poderes públicos, tal como establece el apartado 3 del artículo 6 del Reglamento (UE) 2016/679, General de Protección de Datos, dicha base deberá ser establecida por: 

a) el Derecho de la Unión, o 

b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento. 

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 

Es decir, se requiere una norma de derecho sustantivo que de cobertura a esas bases de legitimación para el uso de los datos personales. En el ámbito de la administración de la Seguridad Social las principales normas con rango de ley que dan cobertura sus tratamientos de datos personales son el Real Decreto Legislativo 8/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley General de la Seguridad Social, y la Ley 19/2021, de 20 de diciembre, por la que se establece el ingreso mínimo vital, debiéndose destacar el régimen de suministro y cesión de información (datos) establecidas en las mismas conforme los siguientes artículos:

Artículo 71 del TRLGSS: Suministro de información a la Administración de la Seguridad Social.

1. Se establecen los siguientes supuestos de suministro de información a la Administración de la Seguridad Social:

a) Por los organismos competentes dependientes del Ministerio de Hacienda o, en su caso, de las comunidades autónomas o de las diputaciones forales, se facilitarán, dentro de cada ejercicio anual, conforme al artículo 95 de la Ley 58/2003, de 17 de diciembre, General tributaria y normativa foral equivalente, a las entidades gestoras de la Seguridad Social responsables de la gestión de las prestaciones económicas y, a petición de las mismas, los datos relativos a los niveles de renta, patrimonio y demás ingresos o situaciones de los titulares de prestaciones en cuanto determinen el derecho a las mismas, así como de los beneficiarios, cónyuges y otros miembros de las unidades familiares, siempre que deban tenerse en cuenta para el reconocimiento, mantenimiento o cuantía de dichas prestaciones a fin de verificar si aquellos cumplen en todo momento las condiciones necesarias para la percepción de las prestaciones y en la cuantía legalmente establecida.

Asimismo, facilitarán a las entidades gestoras de la Seguridad Social que gestionen ayudas o subvenciones públicas, la información sobre el cumplimiento de las obligaciones tributarias, así como los datos relativos a las inhabilitaciones para obtener este tipo de ayudas o subvenciones y a la concesión de las mismas que deban tenerse en cuenta para el reconocimiento del derecho o el importe de las ayudas o subvenciones a conceder.

Igualmente, deberán facilitar a la Tesorería General de la Seguridad Social, a través de los procedimientos telemáticos y automatizados que se establezcan, toda la información de carácter tributario necesaria de que dispongan para la realización de la regularización de cuotas a la que se refiere el artículo 308. El suministro de esta información deberá llevarse a cabo en el plazo más breve posible tras la finalización de los plazos de presentación por parte de los sujetos obligados de las correspondientes declaraciones tributarias, debiendo establecerse los adecuados mecanismos de intercambio de información.

b) El organismo que designe el Ministerio de Justicia facilitará a las entidades gestoras de la Seguridad Social la información que estas soliciten acerca de las inscripciones y datos que guarden relación con el nacimiento, modificación, conservación o extinción del derecho a las prestaciones económicas de la Seguridad Social.

Además, el encargado del Registro Central de Penados y el del Registro de Medidas Cautelares, Requisitorias y Sentencias no Firmes comunicará al menos semanalmente a las entidades gestoras de la Seguridad Social los datos relativos a penas, medidas de seguridad y medidas cautelares impuestas por existir indicios racionales de criminalidad por la comisión de un delito doloso de homicidio en cualquiera de sus formas, cuando la víctima fuera ascendiente, descendiente, hermano, cónyuge o ex cónyuge del investigado, o estuviera o hubiese estado ligada a él por una relación de afectividad análoga a la conyugal. Estas comunicaciones se realizarán a los efectos de lo previsto en los artículos 231, 232, 233 y 234 de la presente ley; en los artículos 37 bis y 37 ter del texto refundido de la Ley de Clases Pasivas del Estado, aprobado por el Real Decreto Legislativo 670/1987, de 30 de abril, y en los artículos 4, 5, 6, 7 y 10 del Real Decreto-ley 20/2020, de 29 de mayo, por el que se establece el ingreso mínimo vital.

c) Los empresarios facilitarán a las entidades gestoras de la Seguridad Social los datos que estas les soliciten, por vía telemática siempre que esté habilitado un canal para su remisión informática, con el fin de poder efectuar las comunicaciones a través de sistemas electrónicos que garanticen un procedimiento de comunicación ágil en el reconocimiento y control de las prestaciones de la Seguridad Social relativas a sus trabajadores.

Los datos que se faciliten en relación con los trabajadores deberán identificar, en todo caso, nombre y apellidos, documento nacional de identidad o número de identificación de extranjero y domicilio.

d) Por el Instituto Nacional de Estadística se facilitarán a las entidades gestoras de la Seguridad Social responsables de la gestión de las prestaciones económicas, así como de la formación marítima y sanitaria de los trabajadores del mar, los datos de domicilio relativos al Padrón municipal referidos al periodo que se requiera, comprendiendo, en su caso, los del padrón histórico y/o colectivo del domicilio, así como dónde residen o han residido los ciudadanos, cuando dichos datos puedan guardar relación con el nacimiento, modificación, conservación o extinción del derecho a dichas prestaciones en cualquier procedimiento, así como con la actualización de la información obrante en las bases de datos del sistema de Seguridad Social.

e) El Ministerio del Interior facilitará a las entidades gestoras de la Seguridad Social por medios informáticos las fechas de concesión, prórroga o modificación de las situaciones de las personas extranjeras en España, de renovación, recuperación o, en su caso, extinción de las autorizaciones de residencia, y sus efectos, así como los movimientos fronterizos de las personas que tengan derecho a una prestación para cuya percepción sea necesario el cumplimiento del requisito de residencia efectiva en España.

Asimismo, facilitará a las entidades gestoras de la Seguridad Social por medios informáticos los datos incorporados en el Documento Nacional de Identidad o, en el caso de extranjeros, documentación de identidad equivalente de las personas, cuyos datos tengan trascendencia en procedimientos seguidos ante dichas entidades gestoras.

f) Las mutuas colaboradoras con la Seguridad Social facilitarán telemáticamente a las entidades gestoras responsables de la gestión de las prestaciones económicas de la Seguridad Social los datos que puedan afectar al nacimiento, modificación, conservación o extinción del derecho a las prestaciones y los importes de las mismas que sean reconocidas por aquellas. Asimismo, facilitaran a la Dirección General de Ordenación de la Seguridad Social los datos que puedan afectar a la prestación por cese de actividad cuando así sea requerido para ello.

g) El Instituto de Mayores y Servicios Sociales y los organismos competentes de las comunidades autónomas facilitarán a las entidades gestoras de la Seguridad Social los datos de grado y nivel de dependencia y los datos incluidos en los certificados de discapacidad que puedan guardar relación con el nacimiento, modificación, conservación o extinción del derecho a las prestaciones en cualquier procedimiento, así como con la actualización de la información obrante en las bases de datos del sistema de Seguridad Social y en el sistema de información Tarjeta Social Digital.

Con la misma finalidad, facilitarán los datos de los beneficiarios, importes y fecha de efectos de concesión, modificación o extinción, de las prestaciones económicas previstas en la Ley 39/2006, de 14 de diciembre, de Promoción de la Autonomía Personal y Atención a las personas en situación de dependencia.

Sin perjuicio de lo previsto en el párrafo anterior, el Instituto de Mayores y Servicios Sociales suministrará al Instituto Nacional de la Seguridad Social la información relativa a las mencionadas prestaciones económicas que figure en el sistema de información del Sistema para la Autonomía y Atención a la Dependencia, previsto en el artículo 37 de la Ley 39/2006, de 14 de diciembre.

h) Las comunidades autónomas facilitarán a las entidades gestoras de la Seguridad Social por medios informáticos los datos relativos a las fechas de reconocimiento y vencimiento de los títulos de familias numerosas, así como los datos relativos a los miembros de la unidad familiar incluidos en los mismos, que puedan guardar relación con el nacimiento, modificación, conservación o extinción del derecho a las prestaciones en cualquier procedimiento, así como con la actualización de la información obrante en las bases de datos del sistema.

Asimismo, facilitarán a las entidades gestoras de Seguridad Social que gestionen ayudas o subvenciones públicas, los datos sobre el cumplimiento de las obligaciones tributarias que deban tenerse en cuenta para el reconocimiento del derecho o el importe de las ayudas o subvenciones a conceder.

Por otra parte, facilitarán a la entidad gestora del Régimen Especial de la Seguridad Social de los Trabajadores del Mar los datos sobre el permiso de explotación marisquera, que puedan guardar relación con la incorporación de los trabajadores dedicados al marisqueo en el citado Régimen Especial.

i) La Dirección General de la Marina Mercante facilitará a la entidad gestora del Régimen Especial de la Seguridad Social de los Trabajadores del Mar los datos sobre las titulaciones correspondientes a los trabajadores embarcados que puedan guardar relación con el acceso a la formación marítima prestada por dicha entidad.

j) Las mutualidades de previsión social alternativas al Régimen Especial de la Seguridad Social de los Trabajadores por Cuenta Propia o Autónomos y los colegios profesionales, facilitarán a la Administración de la Seguridad Social, cuando así se le solicite, los datos de los profesionales colegiados que puedan afectar a las prestaciones, así como a la afiliación, alta, baja y variación de datos y cotización.

k) Las entidades gestoras de los fondos de pensiones en los que se integren los planes de pensiones, en su modalidad de sistema de empleo, en el marco del texto refundido de la Ley de Regulación de Planes y Fondos de Pensiones, aprobado por el Real Decreto Legislativo 1/2002, de 29 de noviembre, y de instrumentos de modalidad de empleo propios de previsión social establecidos por la legislación de las comunidades autónomas con competencia exclusiva en materia de mutualidades no integradas en la Seguridad Social facilitarán anualmente antes de la finalización del mes de marzo, a la Inspección de Trabajo y Seguridad Social y a la Tesorería General de la Seguridad Social, la información sobre las contribuciones empresariales satisfechas a dichos instrumentos respecto de cada trabajador y relativas a cada uno de los meses a los que se refiera la información.

2. Todos los datos relativos a los solicitantes de prestaciones económicas del Sistema de Seguridad Social que obren en poder de las entidades gestoras y que hayan sido remitidos por otros organismos públicos o por empresas mediante transmisión telemática, o cuando aquellos se consoliden en las bases de datos corporativas del sistema de la Seguridad Social como consecuencia del acceso electrónico directo a las bases de datos corporativas de otros organismos o empresas, surtirán plenos efectos y tendrán la misma validez que si hubieran sido notificados por dichos organismos o empresas mediante certificación en soporte papel.

Los suministros de información a las entidades gestoras de la Seguridad Social mencionados en este apartado y en el anterior no precisarán consentimiento previo del interesado.

Los datos, informes y antecedentes suministrados conforme a lo dispuesto en este apartado y en el anterior únicamente serán tratados en el marco de las funciones de gestión de prestaciones atribuidas a las entidades gestoras y servicios comunes de la Seguridad Social, sin perjuicio de lo dispuesto en el artículo 77.

3. En los procedimientos de declaración y revisión de la incapacidad permanente, a efectos de las correspondientes prestaciones económicas de la Seguridad Social, así como en lo que respecta al reconocimiento y control de las prestaciones por incapacidad temporal, orfandad o asignaciones familiares por hijo a cargo, las instituciones sanitarias, las mutuas colaboradoras con la Seguridad Social y las empresas colaboradoras remitirán a las entidades gestoras de la Seguridad Social los informes, la historia clínica y demás datos médicos, relacionados con las lesiones y dolencias padecidas por el interesado que resulten relevantes para la resolución del procedimiento.

Los inspectores médicos adscritos al Instituto Nacional de la Seguridad Social, en el ejercicio de sus funciones, cuando sea necesario para el reconocimiento y control del percibo de las prestaciones de los trabajadores pertenecientes al sistema de la Seguridad Social, y para la determinación de contingencia, así como los médicos de sanidad marítima adscritos al Instituto Social de la Marina, para llevar a cabo los reconocimientos médicos de embarque marítimo, informando de estas actuaciones, y en los términos y condiciones que se acuerden entre el Instituto Nacional de la Seguridad Social y los Servicios de Salud de las Comunidades Autónomas y el Instituto Nacional de Gestión Sanitaria, tendrán acceso electrónico y en papel a la historia clínica de dichos trabajadores, existente en los servicios públicos de salud, en las mutuas colaboradoras con la Seguridad Social, en las empresas colaboradoras y en los centros sanitarios privados.

Las entidades gestoras de la Seguridad Social, en el ejercicio de sus competencias de reconocimiento y control de las prestaciones, recibirán los partes médicos de incapacidad temporal expedidos por los servicios públicos de salud, las mutuas colaboradoras con la Seguridad Social y las empresas colaboradoras, a efectos del tratamiento de los datos contenidos en los mismos. Asimismo, las entidades gestoras y las entidades colaboradoras con la Seguridad Social podrán facilitarse, recíprocamente, los datos relativos a las beneficiarias que resulten necesarios para el reconocimiento y control de las prestaciones por riesgo durante el embarazo y riesgo durante la lactancia natural.

La inspección médica de los servicios públicos de salud tendrá acceso electrónico a los datos médicos necesarios para el ejercicio de sus competencias, que obren en poder de las entidades gestoras de la Seguridad Social.

En los supuestos previstos en este apartado no será necesario recabar el consentimiento del interesado, de conformidad con lo dispuesto en los artículos 6.1. e) y 9.2 h), del Reglamento (UE 2016/679) del Parlamento y el Consejo, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

4. Reglamentariamente se determinará la forma en que se remitirán a las entidades encargadas de la gestión de las pensiones de la Seguridad Social los datos que aquellas requieran para el cumplimiento de sus funciones.

Artículo 77 del TRLGSS. Reserva de datos.

1. Los datos, informes o antecedentes obtenidos por la Administración de la Seguridad Social en el ejercicio de sus funciones tienen carácter reservado y solo podrán utilizarse para los fines encomendados a las distintas entidades gestoras, servicios comunes y órganos que integran la Administración de la Seguridad Social, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión o comunicación tenga por objeto:

a) La investigación o persecución de delitos públicos por los órganos jurisdiccionales, el Ministerio Público o la Administración de la Seguridad Social.

b) La colaboración con las Administraciones tributarias a efectos del cumplimiento de obligaciones fiscales en el ámbito de sus competencias.

c) La colaboración con la Intervención General de la Seguridad Social, en el ejercicio de su control interno o con las demás entidades gestoras y servicios comunes de la Seguridad Social, distintas del cedente y demás órganos de la Administración de la Seguridad Social.

d) La colaboración con cualesquiera otras administraciones públicas para la lucha contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos, incluidos los de la Unión Europea, para la obtención o percepción de prestaciones incompatibles en los distintos regímenes del sistema de la Seguridad Social y, en general, para el ejercicio de las funciones encomendadas legal o reglamentariamente a las mismas para las que los datos obtenidos por la Administración de la Seguridad Social resulten relevantes.

e) La colaboración con las comisiones parlamentarias de investigación en el marco legalmente establecido.

f) La protección por los órganos judiciales o por el Ministerio Público de los derechos e intereses de los menores y personas en cuyo favor se hayan establecido medidas de apoyo a su capacidad jurídica.

g) La colaboración con el Tribunal de Cuentas en el ejercicio de sus funciones de fiscalización de la Administración de la Seguridad Social.

h) La colaboración con los jueces y tribunales en el curso del proceso y para la ejecución de resoluciones judiciales firmes. La solicitud judicial de información exigirá resolución expresa, en la que, por haberse agotado los demás medios o fuentes de conocimiento sobre la existencia de bienes y derechos del deudor, se motive la necesidad de recabar datos de la Administración de la Seguridad Social.

i) La colaboración con el Organismo Estatal Inspección de Trabajo y Seguridad Social en el ejercicio de sus funciones de inspección. El Organismo Estatal Inspección de Trabajo y Seguridad Social tendrá acceso directo a los datos, informes y antecedentes obtenidos por la Administración de la Seguridad Social en el ejercicio de sus funciones, que resulten necesarios para la preparación y ejercicio de sus funciones de inspección.

j) La colaboración con el Organismo Autónomo Jefatura Central de Tráfico para que este inicie, en su caso, el procedimiento de declaración de pérdida de vigencia del permiso o la licencia de conducción de vehículo a motor por incumplimiento de los requisitos para su otorgamiento cuando, con ocasión de la tramitación de un procedimiento para el reconocimiento de una pensión de incapacidad permanente a un trabajador profesional de la conducción en el dictamen-propuesta emitido por el órgano competente se proponga la declaración de la situación de incapacidad permanente como consecuencia de presentar limitaciones orgánicas y/o funcionales que disminuyan o anulen su capacidad de conducción de vehículos a motor.

La colaboración se realizará mediante un aviso al citado organismo emitido por la correspondiente Dirección Provincial del Instituto Nacional de la Seguridad Social a propuesta del órgano competente para la emisión del dictamen-propuesta, en el que no se harán constar otros datos relativos a la salud del trabajador afectado.

k) La finalidad de facilitar la información que sea estrictamente necesaria para el reconocimiento y control de las prestaciones de carácter social competencia de las Comunidades Autónomas y entidades locales, a través de la adhesión a los procedimientos informáticos y con los requisitos de tratamiento de la información establecidos por la correspondiente entidad gestora. La información facilitada no podrá ser utilizada con ninguna otra finalidad si no es con el consentimiento del interesado.

l) La colaboración con cualesquiera otras administraciones públicas para el suministro e intercambio de datos en materia de Seguridad Social para fines de estadística pública en los términos de la legislación reguladora de dicha función pública.

m) Fines de investigación científica en el ámbito de la protección social, en el marco establecido por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), incluidas las posibles comunicaciones instrumentales que, a efectos de la realización de la investigación, resulte preciso efectuar a sujetos distintos de aquellos que lleven a cabo directamente dicha investigación. Se entenderán comprendidas en esta finalidad las actividades de evaluación de las políticas públicas en materia de protección social.

Los tratamientos que se efectúen en relación con esta finalidad se limitarán a los datos estrictamente imprescindibles para la realización de la actividad de que se trate, utilizándose los procedimientos adecuados que no permitan la identificación de los interesados. Ello no impedirá la comunicación de datos sin anonimizar a efectos meramente instrumentales cuando ello resulte imprescindible para realizar la actividad, se limite a los datos estrictamente necesarios, se garantice que el encargado del tratamiento no podrá utilizarlos con otra finalidad y el tratamiento ulterior garantice la no identificación de los interesados.

El tratamiento de los datos a los que se refieren los artículos 9 y 10 del Reglamento (UE) 2016/679 únicamente se efectuará cuando exista consentimiento expreso de los afectados.

n) La colaboración con la Dirección General de la Marina Mercante para el control de la situación de alta en la Seguridad Social y respecto al reconocimiento médico de embarque marítimo de los tripulantes y de los botiquines de las embarcaciones en el ejercicio de las funciones que tiene encomendadas en relación con el despacho de buques.

Los datos, informes o antecedentes a los que se refiere este apartado se cederán o comunicarán a través de medios electrónicos, salvo que, a criterio de la Administración de la Seguridad Social, por la naturaleza de los informes o antecedentes no puedan utilizarse tales medios. La entidad gestora, servicio común u órgano que ceda o comunique estos datos, informes o antecedentes, establecerá los procedimientos y datos a través de los cuales se debe realizar dicha cesión o comunicación.

ñ) La colaboración con la Agencia Española de Empleo y los servicios públicos de empleo autonómicos con objeto de garantizar un óptimo desarrollo de las políticas activas de empleo en el marco competencial que le atribuye la Ley 3/2023, de 28 de febrero, de Empleo, y la demás normativa vigente en la materia, concretamente en lo referido a la información relativa a la protección de las contingencias de desempleo y cese de actividad de las personas, y a sus períodos de actividad laboral.

o) El suministro, a través de procedimientos automatizados, a las Administraciones tributarias de la información necesaria para la regularización de bases de cotización y cuotas a la que se refiere el artículo 308.

2. El acceso a los datos, informes o antecedentes de todo tipo obtenidos por la Administración de la Seguridad Social sobre personas físicas o jurídicas, cualquiera que sea su soporte, por el personal al servicio de aquella y para fines distintos de las funciones que le son propias, se considerará siempre falta disciplinaria grave.

3. Cuantas autoridades y personal al servicio de la Administración de la Seguridad Social tengan conocimiento de estos datos o informes estarán obligados al más estricto y completo sigilo respecto de ellos, salvo en los casos de los delitos citados, en los que se limitarán a deducir el tanto de culpa o a remitir al Ministerio Fiscal relación circunstanciada de los hechos que se estimen constitutivos de delito. Con independencia de las responsabilidades penales o civiles que pudieran corresponder, la infracción de este particular deber de sigilo se considerará siempre falta disciplinaria muy grave.

Artículo 23 de la LIMV. Cesión de datos y confidencialidad de los mismos.

1. En el suministro de información en relación con los datos de carácter personal que se deba efectuar a la Administración de la Seguridad Social para la gestión de esta prestación, será de aplicación lo previsto en los apartados 1 y 2 del artículo 71 del texto refundido de la Ley General de la Seguridad Social, aprobado por Real Decreto Legislativo 8/2015, de 30 de octubre. El suministro de información no requerirá el consentimiento previo del interesado, ni de las personas que formen parte de la unidad de convivencia, por ser un tratamiento de datos de los referidos en los artículos 6.1.e) y 9.2.h) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.

2. Todas las personas y todos los organismos que intervengan en cualquier actuación referente al ingreso mínimo vital quedan obligados a la reserva de datos en los términos establecidos en el artículo 77 del texto refundido de la Ley General de la Seguridad Social.

3. Las administraciones públicas actuantes tomarán las medidas oportunas para que, en el curso del procedimiento administrativo, quede garantizada la confidencialidad de los datos suministrados por los solicitantes para la gestión de la prestación y estarán obligadas a cumplir con la legislación vigente en materia de protección de datos.

4. Las resoluciones de las prestaciones de ingreso mínimo vital se comunicarán por el Instituto Nacional de la Seguridad Social, sin necesidad del consentimiento previo del titular de los datos personales, a las comunidades autónomas y entidades locales a través de la adhesión a los procedimientos informáticos con los requisitos establecidos por el Instituto Nacional de la Seguridad Social, con la finalidad de facilitar la información estrictamente necesaria para el reconocimiento y control de las prestaciones competencia de dichas administraciones. La información facilitada no podrá ser utilizada con ninguna otra finalidad si no es con el consentimiento del interesado. Todo ello en aplicación de los artículos 5.1.b) y c) y 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, y del artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

En las condiciones establecidas en el párrafo anterior, se comunicarán las resoluciones de las prestaciones del ingreso mínimo vital a los órganos competentes de la Administración General del Estado, de las comunidades autónomas y, en su caso, a las corporaciones locales, para la realización de aquellas actividades que, en el marco de la colaboración y cooperación, deban realizar dichas administraciones, en materia de gestión y control del ingreso mínimo vital que corresponde al Instituto Nacional de la Seguridad Social.

Asimismo, en las condiciones establecidas en el primer párrafo, el Instituto Nacional de la Seguridad Social podrá comunicar de forma telemática, sin el consentimiento previo del titular de los datos personales, la información que resulte necesaria sobre el ingreso mínimo vital a las instituciones y organismos públicos que lo soliciten para que puedan realizar, dentro del ámbito de sus competencias, actuaciones derivadas de la aplicación del ingreso mínimo vital.

Especial mención debe hacerse a las bases de legitimación de los tratamientos de datos personales de carácter especial como son los referidos a los datos de salud. Reguladas en el artículo 9 delReglamento (UE) 2016/679, General de Protección de Datos, según el cual:

1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física. 

Estableciendo en su apartado 2 una serie de excepciones, de entre las cuales resultan aplicables a la administración de la Seguridad Social las contempladas en las letras:

a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados;

b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; 

f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial; 

g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;

h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;

En el ámbito de la administración de la Seguridad Social el responsable de cada uno de los tratamientos de datos de carácter personal es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento. Por su parte, el encargado de tratamiento es la persona física o jurídica, pública o privada, autoridad publica, servicio u otro organismo que trate datos por cuenta del responsable del tratamiento, esto es, de la administración de la Seguridad Social.

Así pues, en cada entidad gestora y servicio y común de los que integran la administración de la Seguridad Social, considerando la normativa de régimen, estructura y funciones de cada uno, será responsable la dirección del concreto organismo público, pudiéndose observar una responsabilidad funcional respecto de los distintos tratamientos atendiendo a la finalidad de los mismos y que recae en las subdirecciones generales y, en su caso, direcciones provinciales competentes en razón del procedimiento administrativo objeto del tratamiento y el ámbito territorial en el que se desarrollan.

Respecto de los encargados de tratamiento, se trata de aquellas personas físicas o jurídicas, que mediante previa existencia de un negocio jurídico vinculante que garantice el compromiso y cumplimiento de las medidas de seguridad y organizativas necesarias para asegurar la confidencialidad, integridad y disponibilidad de los datos personales, (normalmente un contrato, un convenio de colaboración, una encomienda de gestión o un encargo a medio propio personificado), realiza el tratamiento de los datos bajo el control, indicaciones y supervisión del responsable. Los encargados de tratamiento más habituales en el ámbito de la administración de la Seguridad Social suelen ser:

El responsable del tratamiento debe elegir un encargado del tratamiento que ofrezca garantías suficientes respecto a la implantación y el mantenimiento de las medidas técnicas y organizativas apropiadas, de acuerdo con lo establecido en la normativa de protección de datos personales, y que garantice la protección de los derechos de las personas afectadas. Existe, por tanto, un deber de diligencia en la elección del responsable.

En cuanto a las principales obligaciones de los responsables de tratamiento de datos de la administración de la Seguridad Social, se concretizan en:

1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.

2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:

a) La identidad del responsable del tratamiento y de su representante, en su caso.

b) La finalidad del tratamiento.

c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.

3. Cuando los datos personales no hubieran sido obtenidos del afectado, el responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquel la información básica señalada en el apartado anterior, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.

En estos supuestos, la información básica incluirá también:

a) Las categorías de datos objeto de tratamiento.

b) Las fuentes de las que procedieran los datos.

El Reglamento (UE) 2016/679, General de Protección de Datos introduce como obligatoria en el ámbito de las Administraciones Públicas la figura del denominado Delegado de Protección de Datos (DPD), quien será una persona con conocimientos especializados en Derecho y en la práctica en materia de protección de datos personales. 

La función del Delegado es informar, asesorar y supervisar, siempre bajo la tutela de la Agencia Española de Protección de Datos. 

Por otra parte, y dadas las funciones del DPD, su adscripción dentro de la estructura de la organización debe hacerse a órganos o unidades con competencias y funciones de carácter horizontal. 

En el ámbito de la administración de la Seguridad Social, la Resolución de 17 de abril de 2018 de la Secretaría de Estado de la Seguridad Social, ha designado como DPD para el conjunto de las administración de la Seguridad Social, a la persona titular de la Dirección del Servicio Jurídico de la Administración de la Seguridad Social, creando además la Comisión de Protección de Datos de la Administración de la Seguridad Social, integrada por todos los Subdelegados de Protección de Datos que se han designado en cada entidad gestora y servicio común (habitualmente las personas titulares de las secretarías generales) y cuya principal misión es dar apoyo al DPD en el ejercicio de sus funciones, y a los responsables de tratamientos de datos de su respectiva entidad en el cumplimiento de los derechos y obligaciones que les impone la normativa en materia de protección de datos.

Los principios de transparencia y publicidad activa en el ámbito de la administración de la Seguridad Social suponen la conjugación del derecho a las mismas previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, que a su vez suponen una obligación y deberrespecto la administración.

La Transparencia puede definirse como la obligación que tienen las Administraciones Públicas de informar a los administrados de los diversos aspectos de su gestión administrativa y el derecho correlativo de los administrados a ser informados, por parte de las Administración, de forma veraz y objetiva, y a buscar información en éstas.

Se entiende por información pública a los contenidos o documentos que obren en poder de cualquiera de los sujetos incluidos en el ámbito de aplicación de la Ley 19/2013, de 9 de diciembre, en el cual se encuentra el ámbito de la administración de la Seguridad Social , y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones, con los límites previstos en los artículos 14 y 15 de la citada ley, así como con los límites y reservas que resulten de aplicación conforme la normativa específica, como es el caso de la reserva de datos del artículo 77 del TRLGSS.

El acceso a dicha información se realizará preferentemente por vía electrónica, salvo cuando no sea posible o el solicitante haya señalado expresamente otro medio, para ello se encuentra establecido un procedimiento especifico, regulado en los artículos 17 y ss. de la Ley 19/2013, de 9 de diciembre, a través del Portal de Transparencia de la AGE.

Conforme el articulo 21.2 en el ámbito de la Administración General del Estado, existirán unidades especializadas que tendrán las siguientes funciones:

a) Recabar y difundir la información a la que se refiere el capítulo II del título I de esta Ley.

b) Recibir y dar tramitación a las solicitudes de acceso a la información.

c) Realizar los trámites internos necesarios para dar acceso a la información solicitada.

d) Realizar el seguimiento y control de la correcta tramitación de las solicitudes de acceso a la información.

e) Llevar un registro de las solicitudes de acceso a la información.

f) Asegurar la disponibilidad en la respectiva página web o sede electrónica de la información cuyo acceso se solicita con más frecuencia.

g) Mantener actualizado un mapa de contenidos en el que queden identificados los distintos tipos de información que obre en poder del órgano.

h) Todas aquellas que sean necesarias para asegurar una correcta aplicación de las disposiciones de esta Ley.

En base a esta previsión normativa, en el ámbito de la administración de la Seguridad Social se creó la Unidad de Información de Transparencia Singular de la Seguridad Social, a través de la Resolución del secretario de Estado de la Seguridad Social de 1 de diciembre de 2014.v Esta unidad singular de Transparencia se encuentra residenciada en la Tesorería General de la Seguridad Social, encargándose de la coordinación de los servicios de transparencia de la distintas EEGG y SSCC, manteniendo en cuanto a sus funciones una total independencia respecto a la Unidad de Información y Transparencia del Ministerio de Inclusión, Seguridad Social y Migraciones.

En su ámbito competencial, es la responsable del sistema de gestión de las solicitudes de acceso a la información publica recibidas, tanto por el Portal de Transparencia como por los registros oficiales de la administración, y de publicitar los contenidos referidos a la información institucional, organizativa y de planificación, así como la información económica presupuestaria y estadística, el registro de actividades de tratamiento o cualquier otra información de relevancia jurídica que tenga amparo en la normativa de transparencia y que no entre en colisión con las reservas de datos y de confidencialidad establecidas en las normas especiales. 

En cuanto a los principales medios y soportes digitalesen los que se puede encontrar dicha información son:

Deben destacarse, dado su carácter específico, las publicaciones periódicas y actualizadas de: