La reutilización de datos públicos se ha convertido en una herramienta estratégica para impulsar la investigación, mejorar los servicios públicos y desarrollar nuevas soluciones digitales. Sin embargo, cuando esta información incluye datos personales, su aprovechamiento plantea una cuestión fundamental: ¿quién es responsable de garantizar la privacidad cuando los datos pasan de una administración a otra o se utilizan para una finalidad diferente?
En España, esta cuestión adquiere una especial relevancia debido a la distribución de competencias entre la Administración General del Estado, las comunidades autónomas y las entidades locales. La información pública no se concentra en un único organismo, sino que se encuentra repartida entre distintas instituciones con responsabilidades y funciones propias.
El reto consiste en facilitar la circulación de los datos sin debilitar las garantías que protegen a las personas. Para conseguirlo, es necesario combinar innovación, transparencia y una asignación clara de responsabilidades.
El marco europeo para impulsar la reutilización de datos
La Unión Europea lleva años desarrollando un marco normativo destinado a facilitar el intercambio y la reutilización de información, tanto para mejorar la actividad administrativa como para impulsar la economía digital.
Entre las normas más relevantes se encuentran la Directiva sobre datos abiertos, el Reglamento de Gobernanza de Datos (DGA) y el Reglamento de Datos (Data Act), aplicable desde septiembre de 2025. Este conjunto normativo busca establecer condiciones que permitan aprovechar el valor de los datos y mejorar su disponibilidad, manteniendo las garantías jurídicas correspondientes.
Además, la propuesta de Reglamento Ómnibus Digital presentada por la Comisión Europea en noviembre de 2025 plantea reorganizar parte de este marco e integrar disposiciones relacionadas con la reutilización de datos del sector público en una versión reestructurada del Data Act.
Esta evolución normativa refleja una tendencia clara: Europa quiere reducir las barreras al intercambio de información, pero necesita que esa apertura se produzca dentro de un sistema de gobernanza coherente y seguro.
La cuestión clave no es únicamente cómo compartir los datos, sino quién decide sobre su utilización, bajo qué condiciones y con qué responsabilidades.
Reutilizar datos públicos no significa que puedan utilizarse sin restricciones
Que una información esté en poder de una administración pública no implica que pueda difundirse o reutilizarse libremente. Algunos datos están sujetos a limitaciones derivadas de la protección de datos personales, la confidencialidad comercial o los derechos de propiedad intelectual.
Por ejemplo, un conjunto de datos procedente de un servicio sanitario puede resultar útil para desarrollar investigaciones o mejorar la planificación de recursos. Sin embargo, su reutilización debe analizarse cuidadosamente para evitar que las personas puedan ser identificadas o que la información se emplee para fines incompatibles con la normativa aplicable.
En este contexto, conviene distinguir tres situaciones:
- Datos abiertos: información que puede ponerse a disposición del público para su consulta y reutilización, conforme a las condiciones legales aplicables.
- Datos protegidos susceptibles de reutilización: información cuyo acceso o aprovechamiento requiere condiciones específicas, controles o garantías adicionales.
- Datos personales: información relativa a personas físicas identificadas o identificables, cuyo tratamiento debe respetar el Reglamento General de Protección de Datos (RGPD) y la normativa nacional correspondiente.
Esta distinción es esencial porque la reutilización no elimina las obligaciones de privacidad. Cuando los datos contienen información personal, es necesario determinar la base jurídica del tratamiento, comprobar la finalidad perseguida y aplicar medidas que limiten los riesgos para los derechos de los afectados.
Entre las posibles salvaguardas se encuentran la anonimización efectiva, la minimización de los datos y el uso de entornos seguros de tratamiento. La medida adecuada dependerá de la naturaleza de la información, el contexto y los riesgos identificados.
¿Quién es el responsable del tratamiento cuando los datos cambian de manos?
Uno de los principales desafíos de la reutilización es identificar a la entidad que debe responder por el tratamiento de los datos personales en cada fase.
El organismo que conserva inicialmente la información puede autorizar su reutilización, pero eso no significa que asuma automáticamente todas las responsabilidades derivadas de los usos posteriores. Del mismo modo, la entidad que recibe los datos no queda exenta de sus propias obligaciones.
La respuesta debe analizarse atendiendo a las funciones que desempeña cada organización y a sus decisiones efectivas sobre los fines y los medios del tratamiento. De acuerdo con el RGPD, pueden intervenir diferentes responsables del tratamiento y, cuando se cumplen los requisitos legales, varios responsables pueden actuar como corresponsables. También puede existir una relación entre responsable y encargado del tratamiento.
Por tanto, la responsabilidad no debe determinarse únicamente por quién posee los datos, sino por el papel real que desempeña cada entidad en su tratamiento.
Para aclararlo, resulta útil identificar quién:
- Decide la finalidad para la que se utilizará la información.
- Determina los medios esenciales del tratamiento.
- Autoriza o establece las condiciones de acceso y reutilización.
- Aplica las medidas de seguridad y controla los riesgos.
- Atiende las solicitudes de ejercicio de derechos y las posibles reclamaciones.
Este análisis debe realizarse antes de habilitar nuevos usos y documentarse adecuadamente. Una asignación imprecisa puede generar conflictos entre organismos y dificultar que las personas conozcan ante quién deben ejercer sus derechos.
El desafío particular de un Estado descentralizado
En España, la gestión de los datos públicos se distribuye entre diferentes niveles administrativos. Las comunidades autónomas gestionan información vinculada a competencias propias, mientras que los ayuntamientos y otras entidades locales mantienen sus propios registros y sistemas de información.
Esta estructura exige mecanismos de coordinación que permitan reutilizar los datos sin generar vacíos de responsabilidad.
El marco europeo contempla puntos de información que facilitan la localización y tramitación de solicitudes de reutilización, con la posibilidad de conectarlos con puntos regionales, locales o sectoriales. Sin embargo, disponer de una infraestructura de coordinación no resuelve por sí solo todas las cuestiones jurídicas.
Un sistema puede facilitar el acceso a los datos y, aun así, presentar dificultades para determinar qué administración debe evaluar un riesgo concreto, responder ante una vulneración o facilitar el ejercicio de los derechos de una persona.
Por ejemplo, si una administración autonómica facilita información a otra entidad para desarrollar un servicio digital, es necesario establecer qué organismo decide las condiciones del tratamiento, quién puede acceder a los datos y qué procedimientos se aplicarán si se produce una incidencia.
La coordinación técnica debe ir acompañada de una distribución clara de funciones, obligaciones y mecanismos de supervisión.
Qué deben hacer las organizaciones para reutilizar datos de forma segura
Aunque parte del debate se centra en las administraciones públicas, las empresas también deben prestar atención a estas cuestiones cuando reciben, combinan o reutilizan datos procedentes de fuentes públicas.
La disponibilidad de información en internet o en un portal institucional no garantiza que cualquier uso posterior sea lícito. Antes de incorporarla a una actividad empresarial, es recomendable comprobar su procedencia, las condiciones de reutilización y la presencia de datos personales.
Para reducir riesgos, las organizaciones pueden adoptar las siguientes medidas.
1. Verificar el origen y las condiciones de acceso
Antes de incorporar información a una base de datos, una herramienta analítica o un sistema de inteligencia artificial, conviene comprobar de qué fuente procede, bajo qué condiciones se facilita y si existen restricciones de uso.
También es importante conservar evidencias de las condiciones aplicables en el momento de obtener los datos.
2. Definir una finalidad concreta
La organización debe determinar para qué necesita la información y comprobar que el uso previsto cuenta con una base jurídica válida.
Recopilar datos para un propósito no autoriza automáticamente a utilizarlos para elaborar perfiles, tomar decisiones automatizadas o realizar campañas comerciales.
3. Identificar las responsabilidades de cada participante
Cuando intervienen proveedores tecnológicos, plataformas de intermediación u otras organizaciones, es necesario analizar el papel que desempeña cada parte.
Los contratos y acuerdos deben reflejar las funciones reales de los participantes, así como las obligaciones relativas a la seguridad, la confidencialidad, la conservación y la gestión de incidentes.
4. Evaluar los riesgos para la privacidad
No todos los conjuntos de datos presentan el mismo nivel de riesgo. La combinación de varias fuentes puede permitir identificar a personas que, por separado, parecían anónimas.
Por eso, deben valorarse la sensibilidad de la información, el volumen de datos, las posibilidades de identificación y las consecuencias que tendría un uso indebido. Cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas, deberá analizarse la necesidad de realizar una evaluación de impacto relativa a la protección de datos (EIPD).
5. Establecer controles y revisiones periódicas
Las condiciones de reutilización pueden cambiar y los sistemas que procesan la información evolucionan con el tiempo. Por ello, resulta conveniente revisar periódicamente los permisos de acceso, los plazos de conservación, las medidas de seguridad y la adecuación de los usos autorizados.
La gobernanza de los datos no debe limitarse a una revisión inicial: requiere seguimiento y capacidad de adaptación.
El control del uso del dato como garantía de confianza
El desarrollo de los espacios europeos de datos abre oportunidades para mejorar la investigación, la prestación de servicios y la toma de decisiones. Sin embargo, estos beneficios dependen de que la reutilización se apoye en reglas comprensibles y responsabilidades identificables.
La simplificación normativa puede facilitar el cumplimiento, pero no sustituye la necesidad de definir quién decide, quién supervisa y quién responde cuando intervienen distintas administraciones u organizaciones.
En última instancia, una gobernanza eficaz debe permitir que las personas sepan cómo se utilizan sus datos y dispongan de vías reales para ejercer sus derechos. La transparencia, la seguridad y la responsabilidad deben integrarse desde el diseño de los sistemas, no incorporarse únicamente cuando surge un problema.
¿Tu organización tiene identificados los riesgos asociados al tratamiento de datos?
Revisar los tratamientos, comprobar las bases jurídicas y definir las responsabilidades de cada participante permite anticiparse a posibles incumplimientos y reforzar la confianza de clientes, usuarios y colaboradores.
En FORLOPD te ayudamos a revisar tus obligaciones y a adaptar tus procedimientos a la normativa de protección de datos. Conoce nuestro servicio de consultoría RGPD y descubre cómo aplicar medidas adecuadas a las necesidades de tu organización.
Compartir información exige saber quién responde
La reutilización de datos públicos no debe entenderse como una elección entre innovación y privacidad. El verdadero desafío consiste en facilitar nuevos usos de la información sin perder el control sobre sus condiciones de tratamiento ni diluir las responsabilidades de las entidades que intervienen.
En un entorno descentralizado, la coordinación entre organismos y la claridad jurídica resultan especialmente importantes. Para las empresas, el mismo principio se traduce en verificar las fuentes, definir las finalidades y establecer controles proporcionados al riesgo.
Aprovechar el valor de los datos de forma responsable exige que cada tratamiento tenga una finalidad legítima, garantías adecuadas y responsables claramente identificados.
Si necesitas revisar cómo gestiona tu organización los datos personales, aclarar tus obligaciones o mejorar tus procedimientos de cumplimiento, contacta con nosotros. Te ayudaremos a identificar las necesidades de tu organización y a valorar las medidas más adecuadas para reforzar la protección de la información.
Fuente: Laboratorio de Privacidad AEPD
