La Agencia Española de Protección de Datos en su informe jurídico 0058/2022 analiza la consulta de una empresa de construcción que solicita aclaración sobre la posición que ocupan, en materia de protección de datos, el promotor de la obra y el coordinador de seguridad y salud.

En primer lugar, en su informe, la AEPD define las figuras del responsable y el encargado del tratamiento de datos personales, según lo recogido en el RGPD y en la LOPDGDD.

El RGPD define al responsable del tratamiento o responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros.”

De otro lado, el Reglamento se refiere al encargado del tratamiento o encargado como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. La figura del encargado del tratamiento obedece a la necesidad de dar respuesta a situaciones como la externalización de servicios por parte de las empresas y otras entidades, de manera que cuando se encomiende a un tercero la prestación de un servicio con acceso a datos de carácter personal no pueda considerarse como una cesión de datos sino que el tratamiento de los datos se realiza por el encargado en nombre y por cuenta del responsable como si fuera este mismo quien lo llevase a cabo.

Así mismo, dicha relación debe basarse en un contrato u otro acto jurídico por escrito, incluso en formato electrónico, en el que se haga constar que el encargado «tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional…”

Según lo anterior expuesto y lo recogido en la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales:

  • el acceso por parte de un encargado de tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos
  • Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados. Tendrá también la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades.

Por lo tanto, teniendo en cuenta las definiciones de responsable y encargado del tratamiento debe considerarse que el criterio definidor de la condición de responsable del tratamiento viene dado por la potestad de determinar los fines y los medios del tratamiento. Por su parte, el encargado debe limitar su actuación a seguir las instrucciones del responsable, reputándosele responsable en caso de que determine fines y medios, esto es, si utiliza para fines propios los datos personales que el responsable le haya comunicado para que lleve a cabo el tratamiento objeto de encargo, sin perjuicio de que pueda incurrir en una infracción del RGPD con dicha actuación.

En definitiva, el encargado carece de posibilidad de decisión sobre la finalidad, contenido y uso del tratamiento y, además, no hay una relación directa entre el titular de los datos personales y el encargado, que deberá en todo caso obrar en nombre y por cuenta del responsable.

En cuanto a la consulta que se plantea, se refiere al arrendamiento de servicios y la aplicación de los medios oportunos para realizar el servicio de coordinación de seguridad y salud en fase construcción de obra entre las empresas contratistas y subcontratistas que concurran a la ejecución de la obra, y más concretamente a la figura del Coordinador de Seguridad y Salud en fase de ejecución de obra.

Dicha figura, está regulada en el Real Decreto 1627/1997, de 24 de octubre, por el que se establecen disposiciones mínimas de seguridad y de salud en las obras de construcción, que dispone que se entenderá por coordinador en materia de seguridad y de salud durante la ejecución de la obra (CSSFE) el técnico competente integrado en la dirección facultativa, designado por el promotor para llevar a cabo las siguientes funciones recogidas en el RD.

Según se expone en la consulta, y atendiendo a la importancia de sus funciones en la línea jerárquica de mando en la obra, el CSSFE tiene que estar al mismo nivel que los directores de obra como un técnico más que interviene con plenos poderes en la obra representando al promotor y que asume una enorme responsabilidad con su actuación, integrándose —incluso— en la dirección facultativa de la obra.

El Real Decreto 1627/1997, de 24 de octubre, determina que la designación del CSSFE corresponde al promotor, que no podrá delegar ni transmitir dicha obligación al contratista o a terceros. Por tanto, la contratación de los servicios se realiza por parte del promotor a la entidad consultante.

El CSSFE “actúa con plena independencia y libertad de criterio profesional”, si bien, que “no ejercerá mando alguno sobre los trabajadores de la obra, toda vez que de conformidad con el RD 1627/1997 y la Ley de Prevención de Riesgos Laborales, la condición de empresario a los efectos de cumplimiento de la normativa en materia de prevención de riesgos laborales corresponde al/ a los contratista/s y subcontratista/s”.

La cuestión que debe dilucidarse es la determinación del papel de cada uno de los intervinientes en el proyecto y ejecución de la obra desde el punto de vista de la normativa de protección de datos de carácter personal, a fin de especificar si dichos intervinientes tienen la condición de responsables o de encargados del tratamiento, siendo importante señalar que la condición de responsable no exige el acceso efectivo a los datos, sino la potestad de decisión sobre los fines y los medios del tratamiento —En este sentido, en el Real Decreto 1627/1997, de 24 de octubre, por el que se establecen disposiciones mínimas de seguridad y de salud en las obras de construcción, en el artículo 3, y en relación con la designación de los coordinadores en materia de seguridad y salud, se recoge que:

  • “cuando en la elaboración del proyecto de obra intervengan varios proyectistas, el promotor designará un coordinador en materia de seguridad y de salud durante la elaboración del proyecto de obra.
  • Cuando en la ejecución de la obra intervenga más de una empresa, o una empresa y trabajadores autónomos o diversos trabajadores autónomos, el promotor, antes del inicio de los trabajos o tan pronto como se constate dicha circunstancia, designará un coordinador en materia de seguridad y salud durante la ejecución de la obra.
  • la designación de los coordinadores no eximirá al promotor de sus responsabilidades.

De otro lado, en el artículo 4, que recoge la obligatoriedad del estudio de seguridad y salud o del estudio básico de seguridad y salud en las obras, se afirma que:

  • El promotor estará obligado a que en la fase de redacción del proyecto se elabore un estudio de seguridad y salud en los proyectos de obras en que se den alguno de los supuestos siguientes……
  • ….. el promotor estará obligado a que en la fase de redacción del proyecto se elabore un estudio básico de seguridad y salud.”

Por tanto, tras la descripción legal de las diversas figuras que participan en el proyecto y ejecución de la obra, así como la enumeración de sus funciones y el nivel y grado de su responsabilidad,  y poniéndolo en conexión con los conceptos de responsable y encargado del tratamiento, debe partirse de la definición del promotor como  “persona física o jurídica por cuenta de la cual se realice una obra” siendo dicho promotor quien designa un coordinador en materia de seguridad y de salud durante la elaboración del proyecto de obra y  procede a su designación durante la ejecución de la misma sin que la designación de los coordinadores exima al promotor de sus responsabilidades.

Asimismo, las obligaciones atinentes a la elaboración del estudio de seguridad y salud o del estudio básico de seguridad y salud en las obras corresponden también al promotor, sin perjuicio de que este proceda a la designación de otra persona o entidad, a la que encargue la gestión de dichos trabajos, su puesta en marcha y su seguimiento.

En este escenario, tiene encaje la figura del coordinador en materia de seguridad y de salud —CSSFE— designado por el promotor y que, tanto durante la elaboración del proyecto de obra como durante su ejecución actuará por delegación, en calidad de encargado del tratamiento.

Por tanto, las funciones y tareas encomendadas a los CSSFE que sean contratados por el promotor al amparo de los establecido en los artículos 2 y 3 del Real Decreto 1627/1997, de 24 de octubre, se llevarán a cabo siempre por cuenta de dicho promotor, quien de acuerdo con los fines previstos para el tratamiento de los datos personales, optará por la contratación de una u otra persona física o jurídica para la realización de los correspondientes trabajos, siendo estos de cuenta y riesgo del promotor de la obra, que no queda exonerado de sus obligaciones.

La correcta designación del encargado del tratamiento constituye una manifestación más del principio de responsabilidad proactiva, toda vez que el RGPD impone al responsable del tratamiento una obligación de diligencia a la hora de elegir a un encargado de tratamiento.

En resumen, de la descripción legal de la figura del CSSFE, del carácter de su nombramiento —que corresponde al promotor—, y de la naturaleza de sus funciones, se extrae claramente que dicho coordinador accederá a los datos de carácter personal y procederá a su tratamiento en su condición de encargado de este.

Finalmente, en cuanto a los requisitos formales del encargo del tratamiento, debe reiterarse que el RGPD exige la existencia de un contrato u otro acto jurídico con arreglo al derecho de la Unión o de los Estados miembros que vincule al encargado con el responsable. Dicho contrato o acto jurídico deberá constar por escrito, incluso en formato electrónico.

En resumen, de acuerdo con el análisis realizado por la AEPD, desde la perspectiva de la protección de datos —conforme al RGPD y al criterio de la Agencia—, la entidad consultante y, en su caso, el CSSFE de ella dependiente, ostentan la condición de “encargados del tratamiento”, en cuanto que tratan los datos personales por cuenta del promotor, que es quien determina los fines y los medios del tratamiento. Dicho promotor, en su condición de responsable del tratamiento, realiza la obra por cuenta propia, sin que la designación de CSSFE le exima de sus responsabilidades, y sin que el carácter imparcial e independiente de las funciones desempeñadas por este lo conviertan en responsable del tratamiento, debiendo suscribirse entre el promotor y la consultante el contrato previsto en el artículo 28.3. del RGPD.

De acuerdo con los artículos 4.7 y 24 RGPD, el promotor será el responsable del tratamiento, correspondiendo al CSSFE, en atención a las circunstancias concurrentes, la condición jurídica del encargado del tratamiento —ex 28 RGPD y 33 LOPD—, actuando por cuenta del responsable en el ejercicio de sus funciones.

Área de Protección de Datos y Tecnologías de la Información de Abbantia Law Firm

Fuente: Aepd.es