Protección de Datos de Cataluña asegura que la Agencia tributaria catalana no usa datos fiscales de forma ilegal

La Autoritat Catalana de Protecció de Datos (APDCat) ha concluido que la Agencia Tributaria de Cataluña (ATC) "no trata datos identificativos, ni de carácter tributario, que hayan sido obtenidos de manera irregular o ilegal".

La auditoría añade que la ATC dispone de estos datos "exclusivamente para el ejercicio de sus funciones", y no los utiliza para fines incompatibles o funciones que no tenga atribuidas, de acuerdo con el artículo 4.2 de la Ley orgánica 15/1999 del 13 de diciembre de protección de datos de carácter personal.

No obstante, la APDCat precisa que existen algunas circunstancias relacionadas con el tratamiento de datos personales que realiza la agencia que "no se adecuan" a lo que prevé la normativa de protección de datos, por lo que le pide medidas correctoras en algunos campos.

En concreto, y en cuanto a la entrega por parte de la ATC a la Agencia Estatal de la Administración Tributaria (Aeat) de los datos de familias numerosas o de personas con discapacitados a cargo para realizar las deducciones en el IRPF, la Autoridad considera que se debería regular "específicamente" el papel de la ATC en el tratamiento de estos datos que hace a petición de la Aeat.

Por ello, la ATC firmará con la Conselleria de Trabajo, Asuntos Sociales y Familias un acuerdo de encargo de tratamiento que especificará claramente la función de la agencia tributaria catalana en el tratamiento de esta información.

En cuanto a la conservación y disponibilidad de los datos fiscales relacionados con el IRPF de los ejercicios 2013 y 2014 proporcionados por los ciudadanos durante la campaña 'Declara't a Catalunya', la APDCat precisa que si bien estos datos no son accesibles para la gestión tributaria ordinaria de la ATC, es recomendable "la supresión de la información que no sea necesaria para el ejercicio de las funciones de la ATC".

La Agencia ha afirmado que los datos en soporte informático ya han sido destruidos, y en cuanto a los que están en papel el director de la ATC, Eduard Vilà, ya ha dado las instrucciones para su cancelación y supresión.

Respecto a la gestión de las contraseñas de acceso al sistema G@UDI, la Autoridad Catalana sostiene que si bien los mecanismos de control de acceso implantados por la ATC protegen adecuadamente los datos de carácter personal responsabilidad de la Agencia, ésta debería "aplicar las medidas técnicas y organizativas adecuadas" en cuanto a las contraseñas de los usuarios.

Así, la ATC ha asegurado estar trabajando para incorporar el G@UDI al sistema corporativo de gestión de identidades Gicar, y se prevé que esté implementado antes de finalizar este 2017.

4 MESES DE TRABAJOS

Para obtener estas conclusiones, la APDCat ha realizado durante cuatro meses comprobaciones de los sistemas de información con los que opera la ATC --G@UDI y e-SPRIU-- y con las unidades de almacenamiento de la red de área local de la agencia, que es donde se guardan los ficheros ofimáticos y de usuario.

El organismo también ha analizado los datos externos a los que la ATC tiene acceso y que son fruto de convenios firmados con otras administraciones, como la Aeat, la Dirección General de Tráfico, la Tesorería General de la Seguridad Social y la Diputación de Barcelona, la de Tarragona, la de Lleida y la de Girona.

Asimismo, se han realizado entrevistas a diversos profesionales, como personal tecnológico, gestores, responsables de áreas y usuarios, de diferentes niveles de la ATC y "no se han detectado incoherencias o contradicciones en la información proporcionada".