RXPD na administración pública: como anonimizar actos administrativos

A administración pública española ten unha dobre obriga que parece contraditoria pero non o é: publicar os seus actos e decisións de forma transparente e, ao mesmo tempo, protexer os datos persoais da cidadanía que aparecen neses documentos. O equilibrio entre a Lei de transparencia e o RXPD non é opcional — é un requisito legal con consecuencias reais para os funcionarios e organismos que non o xestionan correctamente.

A que obriga o RXPD ás administracións públicas

O RXPD aplícase a calquera organismo que trate datos persoais, incluídas todas as administracións públicas españolas: concellos, deputacións, comunidades autónomas, organismos autónomos, universidades públicas e entidades do sector público instrumental.

As obrigas máis relevantes para a xestión documental son:

Principio de minimización (art. 5.1.c): Só deben tratarse os datos persoais que sexan axeitados, pertinentes e limitados ao necesario para o fin perseguido. Cando o fin é informar o público, na maioría dos casos non é necesario incluír o DNI completo, o enderezo postal ou o número da Seguridade Social dos cidadáns implicados.

Privacidade desde o deseño (art. 25): Os sistemas de xestión documental das administracións deben incorporar medidas técnicas que garantan a protección de datos por defecto — non como unha revisión posterior, senón como parte do fluxo de publicación.

Responsabilidade proactiva (art. 5.2): O organismo debe poder demostrar que cumpre co RXPD. No contexto documental, isto implica rexistrar que documentos se publicaron, que datos contiñan e que medidas se aplicaron para protexer os interesados.

Publicación en portais de transparencia: que datos deben suprimirse

A Lei 19/2013 de transparencia, acceso á información pública e bo goberno obriga as administracións a publicar información sobre contratos, subvencións, retribucións, actas de reunións e resolucións de procedementos. Non obstante, a AEPD emitiu criterios claros sobre que datos persoais deben suprimirse antes desa publicación.

En resolucións e actos administrativos:

• DNI completo → substituír polas catro últimas cifras ou suprimir
• Enderezo postal do interesado
• Número de teléfono e correo electrónico
• Número de conta bancaria (habitual en resolucións de subvencións)
• Datos de saúde ou situación familiar cando non sexan relevantes para o acto

En contratos e licitacións:

• Datos persoais dos técnicos asinantes que non son cargos públicos
• DNI dos representantes legais das empresas licitadoras
• Datos bancarios incluídos na documentación administrativa

En actas de órganos colexiados:

• A AEPD estableceu que as actas dos plenos municipais poden publicarse cos nomes dos cargos electos, pero deben protexer os datos dos cidadáns que interveñan como particulares (por exemplo, nas quendas de rogos e preguntas).

En resolucións sancionadoras:

• A publicación de sancións só é obrigatoria nos casos previstos expresamente pola lei e coas limitacións establecidas para cada tipo de procedemento.

Anonimización vs. pseudonimización: a distinción clave para a AEPD

Este é o punto técnico máis importante e tamén o que xera máis confusión nos equipos de xestión documental das administracións.

Pseudonimización: Substitúese o dato por un código ou referencia alternativa (por exemplo, DNI 12345678A → CIDADÁN-0042). O dato orixinal segue existindo nun ficheiro de correspondencia. O documento pseudonimizado segue sendo un documento con datos persoais desde o punto de vista do RXPD, porque existe a posibilidade técnica de reidentificación.

Anonimización: O dato elimínase ou transfórmase de forma irreversible. Non existe ficheiro de correspondencia nin posibilidade técnica de recuperar o dato orixinal. O documento resultante xa non contén datos persoais e non está suxeito ao RXPD.

Para a publicación en portais de transparencia, a AEPD recomenda a anonimización real, non a pseudonimización, agás nos casos en que a lei esixa explicitamente identificar o interesado (como en determinadas publicacións do BOE ou de taboleiros de anuncios para notificacións).

A proba práctica para distinguir se anonimizaches correctamente: podería alguén que le o documento publicado, combinándoo con outras fontes de información pública dispoñible, identificar a persoa? Se a resposta é si, o documento non está anonimizado.

Como implantar un fluxo de anonimización no teu organismo

A maioría dos organismos públicos españois non teñen un fluxo sistemático de anonimización documental. O proceso habitual é manual: un funcionario revisa o documento antes de publicalo e elimina manualmente os datos que lembra que son sensibles. Este enfoque ten tres problemas estruturais: é lento, é inconsistente e non xera trazabilidade.

Un fluxo de anonimización sistemático para unha administración pública debe incluír:

1. Clasificación de tipos de documentos Establecer que categorías de documentos se publican (resolucións, contratos, subvencións, actas) e que tipo de datos persoais contén habitualmente cada categoría.

2. Detección automatizada Utilizar ferramentas de NLP capaces de identificar datos persoais en texto non estruturado, incluídos os formatos específicos do contexto español: DNI, NIE, número da Seguridade Social, matrícula de vehículo, IBAN.

3. Revisión humana dos casos ambiguos A automatización non substitúe a revisión humana nos casos en que o dato é contextualmente sensible (por exemplo, un nome que tamén é o dunha empresa ou un enderezo que identifica unha persoa pero forma parte dunha referencia catastral).

4. Log de auditoría Cada documento publicado debe ir acompañado dun rexistro interno que certifique que proceso de anonimización se aplicou, en que data e por que persoa ou sistema. Este log é a evidencia que protexe o organismo ante unha reclamación diante da AEPD.

5. Revisión periódica de criterios A AEPD actualiza periodicamente os seus criterios de interpretación. Os procedementos de anonimización deben revisarse polo menos unha vez ao ano para asegurar que seguen sendo conformes.

Preguntas frecuentes sobre RXPD e administración pública

Pode unha administración publicar o nome dos perceptores de subvencións?

Si, en xeral. A Lei de transparencia obriga a publicar as subvencións concedidas incluíndo o importe e o beneficiario. Non obstante, cando o beneficiario é unha persoa física (non unha empresa), o RXPD limita que información adicional pode publicarse xunto ao seu nome. A AEPD estableceu que publicar nome + importe + obxecto da subvención é proporcional; publicar nome + DNI + enderezo xa non o é.

Están obrigadas as entidades locais pequenas (concellos rurais) a cumprir o RXPD?

Si, sen excepcións. O RXPD aplícase a calquera organismo que trate datos persoais, independentemente do seu tamaño. O que varía segundo o tamaño é a obriga de designar un delegado de protección de datos (DPO), pero non o cumprimento dos principios básicos.

Que pasa se un cidadán solicita información que contén datos de terceiros?

O exercicio do dereito de acceso á información pública (Lei de transparencia) non prevalece automaticamente sobre o RXPD. O organismo debe ponderar ambos os dereitos e, en xeral, facilitar a información solicitada en formato anonimizado cando sexa posible facelo sen desvirtuar o obxecto da solicitude.

Pode a AEPD sancionar unha administración pública?

Si. Aínda que as administracións non poden ser sancionadas con multas económicas directas nos mesmos termos que as empresas privadas, a AEPD pode emitir apercibimentos con efecto público e esixir medidas correctoras con prazos obrigatorios. Ademais, os responsables individuais poden incorrer en responsabilidade disciplinaria.

Conclusión

Publicar con transparencia non significa publicar sen control. As administracións públicas españolas teñen a ferramenta normativa e técnica para cumprir simultaneamente coa Lei de transparencia e co RXPD: a anonimización sistemática dos documentos antes da súa publicación.

O primeiro paso é recoñecer que o proceso manual non é sostible a escala. Se o teu organismo publica decenas ou centos de documentos ao mes, coñece como anonimiza.do pode automatizar ese proceso e converter a anonimización nunha parte natural do fluxo de publicación, non nun colo de botella.

O esencial desta guía, resumido para o teu organismo, está na páxina anonimización de documentos para administracións públicas.