La LOPD y las Prestaciones de Servicios

¿Cómo deben regularse, desde el punto de vista de la LOPD, las Prestaciones de Servicios, con ó sin acceso a datos de carácter personal?.
La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece que las relaciones con aquellos Proveedores de Servicios, que accedan a datos de la empresa para la prestación de un servicio determinado, han de regularse de conformidad a los términos recogidos en el artículo 12 LOPD.

Pero, ¿que pasa con aquellos proveedores que prestan servicios a la empresa sin acceder a datos de carácter personal, por ejemplo, empresas de seguridad, de limpieza o mantenimiento? En estos casos, el Reglamento de desarrollo LOPD (Real Decreto 1720/2007) establece que la empresa que contrata los servicios, en su posición de responsable de los ficheros, deberá adoptar las medidas adecuadas para limitar el acceso del personal externo a datos personales, a los soportes que los contengan o a los recursos del sistema de información. Deberá restringir el acceso a las áreas en donde se almacenen datos personales y cumplir con el deber de custodia de los mismos mediante mecanismos específicos de seguridad que impidan que personas ajenas al tratamiento de los datos personales pueda tener acceso a ellos. Además, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que el personal ajeno a la empresa hubiera podido conocer con motivo de la prestación del servicio. Se debe tener en cuenta que, aunque la regulación se establece para aquellos supuestos en que el proveedor por la naturaleza de sus servicios no debe acceder a datos de ficheros del contratista (p.e. empresas de limpieza, mensajería, ciertos servicios de vigilancia, etc.), es posible que tales proveedores o su personal, accedan siquiera de modo mínimo y accidental a tal información. Es por ello que se regula tal obligación de secreto.En todo caso, esta nueva posibilidad no puede utilizarse como una forma de evitar la figura del encargo del tratamiento. Por tanto, siempre que la prestación de por sí implique un mínimo acceso y tratamiento por el prestador del servicio de datos de ficheros de su contratista, se debe regular la situación conforme a los requerimientos fijados por el artículo 12 LOPD, que incluso la Audiencia Nacional viene interpretando de modo restrictivo.