Cuando se habla de protección de datos, casi siempre se piensa en bancos, clínicas o tiendas online. Rara vez en un expediente de planeamiento o en una autorización ambiental. Y sin embargo ahí hay nombres, direcciones, referencias catastrales, alegaciones firmadas por vecinos, denuncias y resoluciones que identifican a personas concretas. Todo eso son datos personales, y su tratamiento tiene reglas.
El problema es que la tradición administrativa va por un lado y la normativa de privacidad por otro. El principio de publicidad es antiguo y sensato: un plan general o un proyecto con impacto en el entorno se somete a información pública porque los afectados tienen derecho a conocerlo y a opinar. Pero publicidad no significa que todo lo que contiene el expediente deba quedar a la vista de cualquiera, ni durante un plazo indefinido.
Un ejemplo habitual. Una persona presenta una alegación a un instrumento urbanístico o una denuncia por una actividad que le molesta. Ese escrito acaba en el expediente, y el expediente puede ser consultado por otros interesados. ¿Hasta dónde llega ese acceso? ¿Debe constar su nombre completo, su domicilio, su teléfono? La respuesta no es siempre la misma y depende de quién pide el acceso, para qué y en qué fase del procedimiento.
La publicación de actos y notificaciones por edicto tiene su propio terreno resbaladizo. La Ley Orgánica 3/2018 dedica una disposición adicional a cómo identificar a los afectados cuando se publica algo en un boletín oficial o en un tablón, precisamente para evitar que un nombre acompañado de un documento de identidad completo circule sin necesidad. Es una regla que se conoce poco y se incumple bastante más de lo que se admite.
Luego está la información ambiental, donde el equilibrio es todavía más fino. La Ley 27/2006 reconoce un derecho amplio de acceso a la información ambiental, y la Ley 19/2013 de transparencia hace lo propio con la información pública en general, pero ambas contemplan la protección de datos personales como límite que debe ponderarse caso por caso frente al interés público en conocer. No hay fórmula mecánica. Hay que valorar qué dato se pide, qué finalidad tiene y si el objetivo puede lograrse sin identificar a nadie.
En el País Vasco, además, conviene saber quién vigila qué. Para los ficheros y tratamientos del sector público vasco existe la Agencia Vasca de Protección de Datos, mientras que las empresas privadas quedan bajo la Agencia Española. Una misma actuación que involucra a una administración local y a una empresa promotora puede tocar a las dos.
¿Y qué debería hacer, en la práctica, quien gestiona estos expedientes? Nada espectacular. Saber qué datos personales entran en cada procedimiento y por qué. Decidir con criterio qué se publica, qué se anonimiza y qué se entrega solo a quien acredita un interés legítimo. Revisar los contratos con las empresas que prestan servicios técnicos y manejan esa información. Y dejar constancia de las decisiones, porque cuando llega una reclamación lo que cuenta es poder explicar por qué se actuó de una manera y no de otra.
La protección de datos no frena la actividad administrativa ni la urbanística. Lo que hace es obligar a justificar. Y quien justifica bien sus decisiones suele tener menos problemas, tanto con la autoridad de control como ante los tribunales.