Anonimización y seudonimización son dos conceptos que se confunden en ocasiones. Una de sus diferencias radica en las garantías que protegen los derechos de los internos: mientras el conjunto de datos anonimizados no está bajo el ámbito de aplicación del Reglamento General de Protección de Datos (RGPD), el conjunto de datos seudonimizados y la información adicional vinculada con dicho conjunto de datos sí lo están. Analizaremos las diferencias entre ambos términos.
La información anónima es un conjunto de datos que no guarda relación con una persona física identificada o identificable (Considerando 26 del RGPD), en tanto que la información seudonimizada es un conjunto de datos que no puede atribuirse a un interno-interesado sin utilizar información adicional, requiere que dicha información adicional figure por separado y, además, esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable (Artículo 4.5 RGPD).
Transformar un conjunto de datos personales en información anónima o seudonimizada exige realizar un tratamiento sobre dichos datos personales. El tratamiento de anonimización genera un único y nuevo conjunto de datos, mientras que el tratamiento de seudonimización genera dos nuevos conjuntos de datos: la información seudonimizada y la información adicional que permite revertir la anonimización. En este caso, es el NIS (Número de Identificación Sistemática) en el ámbito penitenciario es un código único de 10 dígitos que se asigna a una persona la primera vez que ingresa en prisión. Funciona como un DNI interno y le acompaña a lo largo de toda su vida penitenciaria para unificar su historial, expediente y seguimiento sin importar las veces que entre o salga de la cárcel, incluso opera en los condenados por TBC, arrestos domiciliarios.
El conjunto de datos seudonimizados, y la información adicional vinculada con dicho conjunto de datos, están bajo el ámbito de aplicación del RGPD, así como el tratamiento que los genera. De ahí que el conjunto de datos seudonimizados esté protegido por cuatro tipos de garantías: en primer lugar, el propio tratamiento de seudonimización que ha de impedir la reidentificación sin disponer de la información adicional; en segundo lugar, los principios y garantías del RGPD que establecen limitaciones, entre otras, a las finalidades, el periodo de conservación o la comunicación de los datos seudonimizados; en tercer lugar, las garantías adicionales que incorpore el tratamiento de los datos seudonimizados en función del riesgo para los derechos y libertades de las personas físicas; en cuarto lugar, derivado del anterior, las garantías técnicas y organizativas dispuestas al efecto de impedir la materialización de brechas de datos personales, tanto sobre conjunto seudonimizado como de la información adicional.
La información detallada sobre el tratamiento de datos personales por la Secretaría General de Instituciones Penitenciarias.
1.- ¿Quién es el responsable del tratamiento de los datos?:
1.1.- Responsable del tratamiento: Secretaría General de Instituciones Penitenciarias. Ministerio del Interior. C/ Alcalá 38, 40. 28014, Madrid.
1.2.- Delegado de protección de datos: SGIIPP. Subdirección General de Relaciones Institucionales y Coordinación Territorial.
2.- ¿Con qué finalidad tratan sus datos personales?: La SGIIPP tratará los datos con el fin de tramitar y resolver los recursos presentados por el interno contra los actos y resoluciones de los órganos directivos dependientes de ella.
3.- ¿Por cuánto tiempo conservarán los datos?: Durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Será de aplicación lo dispuesto en la normativa de archivos y documentación.
4.- ¿Cuál es la legitimación para el tratamiento de los datos?: La necesidad de tratar los datos personales nace del cumplimiento de la obligación legal de resolver el recurso administrativo interpuesto por el interno, al amparo de lo previsto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas; Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público y Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosa-Administrativa. Asimismo, dicho tratamiento está legitimado para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
5.- ¿A qué destinatarios se comunicarán los datos?: Los datos podrán ser comunicados, si el procedimiento legal lo requiere, al Consejo de Estado, Abogacía del Estado, órganos judiciales, Defensor del Pueblo, otras Administraciones Públicas que tengan algún interés en el procedimiento, otros terceros con interés legítimo y Archivo del Ministerio. No están previstas transferencias internacionales de los datos personales de los internos.
6.- ¿Cuáles son los derechos cuando el interno facilita los datos?:
6.1. Tiene derecho a obtener confirmación respecto a si la SGIIPP está tratando sus datos personales o no.
6.2.- Tiene derecho a acceder a sus datos personales, a solicitar rectificación de los datos inexactos, así como a solicitar su supresión cuando, entre otros motivos, ya no sean necesarios para los fines para los que fueron recogidos.
6.3.- Podrá solicitar la limitación del tratamiento de sus datos, en cuyo caso únicamente se conservarán para el ejercicio o la defensa de reclamaciones.
6.4.- Por motivos relacionados con la situación individual, particular, el interesado podrá oponerse al tratamiento de sus datos.
6.5.- Tiene derecho a reclamar ante la A.E.P.D. (www.aepd.es).
6.6.- Tiene derecho a que, previa a la reclamación ante la A.E.P.D., si considera que el responsable del tratamiento no ha satisfecho correctamente sus derechos, puede solicitar una valoración ante el delegado de protección de datos, indicando en el apartado primero de acuerdo al tratamiento objeto del derecho.
Las vías para ejercer los derechos se indican en este enlace.
7.- ¿Cómo se obtienen los datos personales?
Los datos personales han sido facilitados por el interno, sin perjuicio de aquellos otros que contiene el expediente administrativo elaborado por el órgano autor del acto o resolución impugnados. Estos datos podrán ser especialmente protegidos, atendiendo a su naturaleza.
7.- 1 Solicitud de seudonimización
1.- Datos Nombre: Apellidos: NIS:
Solicito la SEUDONIMIZACIÓN de mis datos personales en todos los actos objeto de publicación, información, difusión, divulgación, trasmisión, derivados de mi ingreso en prisión; en virtud de la normativa legal vigente, incluidos los datos para tramitar y resolver los escritos, recursos o quejas presentadas, contra los actos y resoluciones del organismo unipersonal, colegiado o directivo, de los servicios centrales y/o periféricos de Instituciones Penitenciarias.
Declaro, bajo mi responsabilidad, que dicha petición obedece a limitar la difusión de mis datos y, para que sean objeto de especial protección.
Fecha: Firma:
Conclusión:
Se debe garantizar con rigor los datos particulares de las personas que ingresan en prisión, sin que, por las fotografías, videos, redes sociales, listados, megafonía, filtraciones, etc., se conozca, por ejemplo, en la sala de espera del departamento de comunicaciones de una prisión, la visita del vis a vis o comunicación íntima de las personas allí presentes.
