Hoy 21 de julio de 2015 se ha publicado en el BOE la Ley 22/2015, de 20 de julio, de Auditoría de Cuentas, que deroga el Texto Refundido aprobado por el Real Decreto legislativo 1/2011.
La realización por parte del auditor de una auditoría de cuentas es una prestación de servicios calificable como de tratamiento o acceso a datos por cuenta de tercero, regulada en el artículo 12 de la Ley 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
El citado artículo 12 y los concordantes de su RDLOPD exigen que esa relación se recoja en un contrato deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, viniendo éste determinado por lo previsto en esos preceptos citados.
No es objeto de este post explicar cómo debe redactarse ese contrato, sino simplemente hacer mención de los artículos de la nueva Ley de Auditoría que entiendo deben ser tenidos en cuenta a la hora de regular esa relación desde el punto de vista de la protección de datos de carácter personal, buscando, como siempre y utilizando un símil propio del mundo de la costura, el traje a medida para nuestro cliente, ese toque de calidad que nos diferencie del prêt-à- porter.
Es habitual que en un Ayuntamiento terceras personas ajenas al Consistorio accedan o puedan tener acceso a los datos personales tratados por la institución para prestar un servicio a la corporación, ya sea en su condición de prestadores de servicios en los términos expresados en el artículo 10 de la Ley 30/2007, de 30 de octubre, de Contratos del Sector Público, en relación con el anexo II de dicha norma; o bien en su calidad de concesionarios de la prestación de un servicio público competencia del Ayuntamiento, de acuerdo con lo previsto en el artículo 251 y 253 del mismo texto legal.
La LOPD solamente dedica un precepto a regular estos supuestos, su artículo 12, bajo la denominación acceso a los datos por cuenta de terceros. Dicho canon ha sido desarrollado más profusamente por el RDLOPD, que le dedica los artículos 20 a 22; 26; 82 y 84.5. Y, por su parte, en la Ley 30/2007, de 30 de octubre del Contratos del Sector Público nos encontramos con el apartado segundo del artículo 124:
El contratista deberá respetar el carácter confidencial de aquella información a la que tenga acceso con ocasión de la ejecución del contrato a la que se le hubiese dado el referido carácter en los pliegos o en el contrato, o que por su propia naturaleza deba ser tratada como tal. Este deber se mantendrá durante un plazo de cinco años desde el conocimiento de esa información, salvo que los pliegos o el contrato establezcan un plazo mayor.
En estos preceptos se establecen una serie de cuestiones y obligaciones que el Municipio debe tener en cuenta y solventar a la hora de regular una de estas relaciones con terceros en virtud de la que éstos vayan a tener o puedan tener acceso a datos personales contenidos en los ficheros municipales. Y esta papeleta no se solventa mediante la mera reproducción de los preceptos en el documento en el que se regula la relación contractual, sino que deben desarrollarse debidamente adaptados a la realidad de esa contratación.
