La Agencia Española de Protección de Datos (AEPD) ha apercibido al CIS (Centro de Investigaciones Sociológicas) tras comenzar a investigar a partir de abril de 2020 la realización de una encuesta sociológica mediante llamadas telefónicas y su posible grabación a un total de 3.000 personas, tal y como ha publicado en una resolución a la que ha tenido acceso Vozpópuli.

La AEPD ha visto una infracción del Reglamento General de Protección de Datos. Durante la pandemia del coronavirus el CIS subcontrató el servicio de encuestas a través de una empresa tercera (por licitación) y no existe firmado un contrato de tratamiento de datos entre el CIS y la empresa adjudicataria, por lo que se vulnera el Artículo 28.3 del RGPD.

El problema para el CIS arrancó con la covid-19 y la obligatoriedad impuesta por los confinamientos de realizar las encuestas vía telefónica. "Como consecuencia de la situación de pandemia derivada de la COVID-19, el Centro de Investigaciones Sociológicas, se ha visto afectado en la forma de realización de sus encuestas. Durante el estado de alarma, pero también en general durante todo el tiempo que se extienda la situación de crisis sanitaria, el CIS no puede seguir realizando sus encuestas de forma presencial, tanto por seguridad de los encuestadores como por seguridad de los encuestados, así como, por las propias limitaciones de movilidad y distanciamiento social impuestas. Como consecuencia de todo ello, el CIS ha encontrado en las entrevistas telefónicas la única solución, tanto a nivel logístico como a nivel de calidad sociológica", refleja la resolución de la AEPD.

El CIS: "No se cedieron datos personales"

El CIS explica en el texto que, en el marco del contrato objeto de estudio, no se cedió a la empresa que llevó a cabo el estudio ningún dato personal, ni la misma cedió al CIS ningún dato personal recabado. Sin embargo, la AEPD ve una infracción, como decimos, del Artículo 28.3 del RGPD, debido a que el documento de formalización "no contiene las estipulaciones exigidas, ni se ha aportado ningún otro documento con carácter vinculante para el encargado respecto del responsable que las contenga".

En concreto, el Artículo 28.3 refleja que "cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado".

Además, el texto legal concluye que "el tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable".