La AEPD exige base jurídica, transparencia y EIPD en los sistemas municipales de gestión de residuos

La Agencia Española de Protección de Datos ha declarado que el sistema municipal de apertura de contenedores de residuos orgánicos mediante tarjeta ciudadana implantado por el Ayuntamiento de Palma implica un tratamiento de datos personales y no puede ampararse en una mera invocación genérica de las competencias municipales en materia de residuos. La resolución PS-00329-2024, de 18 de diciembre de 2025, dictada en el expediente n.º EXP202310999, aprecia infracciones de los artículos 6.1, 13 y 14, 30.1, 35 y 5.1.e) del RGPD y ordena la adopción de medidas correctoras en el plazo de tres meses. 

La resolución: por qué resulta relevante

La noticia parte de la resolución sancionadora dictada en el expediente EXP202310999, en la que la AEPD analiza un modelo de gestión de residuos en el que los contenedores solo pueden abrirse si la persona usuaria acerca su tarjeta ciudadana al lector. El sistema registraba el número completo de la tarjeta, la fecha y hora de la apertura y el código del contenedor, lo que permitía conocer la ubicación de uso. La Agencia concluye que ese conjunto de información constituye tratamiento de datos personales, aunque la entidad gestora alegara que trabajaba con datos meramente estadísticos o que no podía identificar directamente a la persona usuaria. 

La AEPD subraya que el número de tarjeta funciona como identificador y que, unido a datos de localización y momento de uso, permite extraer información sobre hábitos y pautas de comportamiento. Esa idea conecta con la lógica del artículo 35 del RGPD: cuando el tratamiento puede revelar movimientos, usos reiterados o patrones de conducta, aumenta el riesgo y debe valorarse si procede una evaluación de impacto relativa a la protección de datos.

Base jurídica: la competencia municipal no basta por sí sola

Uno de los ejes de la resolución es la falta de base jurídica suficiente. El Ayuntamiento defendía que el sistema se apoyaba en sus competencias de recogida y gestión de residuos y en el artículo 6.1.e) del RGPD. Sin embargo, la AEPD distingue entre tener competencia para prestar el servicio público y estar habilitado para tratar datos personales concretos con esa finalidad. La Agencia considera que no quedó acreditada una norma con rango de ley que legitime específicamente ese tratamiento tal como se venía realizando ni, además, la necesidad del uso del dato personal para lograr la finalidad declarada, que era conocer el uso de los contenedores por zonas para ajustar frecuencias de recogida o número de unidades. 

La exigencia de necesidad es central en protección de datos. No basta con que el fin perseguido sea legítimo o de interés público; también debe demostrarse que el tratamiento elegido es idóneo, necesario y proporcionado, y que no existe otro medio menos invasivo para alcanzar la misma finalidad. 

Transparencia: informar de forma clara, no con referencias genéricas

La resolución también incide en la falta de transparencia. La AEPD reprocha que la información facilitada a las personas titulares de la tarjeta no identificara de manera clara el tratamiento vinculado a la recogida de residuos orgánicos, su base jurídica y el plazo de conservación de los datos. La mera remisión a la política de privacidad o al registro general de actividades de tratamiento no se considera suficiente si no permite al ciudadano conocer, de forma comprensible y accesible, qué datos se recogen, para qué, durante cuánto tiempo y con qué cobertura jurídica. 

Este criterio encaja con la regulación de los artículos 13 y 14 del RGPD. La información debe facilitarse en el momento en que se solicitan los datos, previamente a la recogida o registro, si es que los datos se obtienen directamente del interesado o en un plazo razonable cuando los datos no se recaban de este, y no mediante un enlace a la web municipal.

RAT y conservación: no basta con fórmulas abiertas

La AEPD aprecia además incumplimientos relativos al registro de actividades de tratamiento y al principio de limitación del plazo de conservación. En síntesis, entiende que el Ayuntamiento no había incorporado de forma específica en su RAT el tratamiento vinculado a la recogida de residuos mediante tarjeta ciudadana y que tampoco había fijado un plazo concreto de conservación para los datos de aperturas de contenedores.

Evaluación de impacto: exigencia previa en sistemas de control del uso

La Agencia considera que el sistema requería análisis de riesgos y evaluación de impacto. No solo por el uso de tecnología de lectura y registro automatizado, sino porque el tratamiento podía permitir observar cuántas veces, cuándo y dónde se abren los contenedores, lo que revela hábitos de comportamiento. En esa línea, la resolución enlaza con los criterios de alto riesgo que la AEPD y el antiguo Grupo de Trabajo del artículo 29 vienen manejando para exigir EIPD en tratamientos que impliquen seguimiento, asociación de conjuntos de datos, uso innovador de tecnología o condicionamiento del acceso a un servicio.

Fallo de la resolución

La resolución ordena al Ayuntamiento de Palma que, en el plazo máximo de tres meses, acredite la realización del correspondiente análisis de riesgos y EIPD, la concurrencia de una base de legitimación válida para el tratamiento o, en caso contrario, el cese inmediato del mismo. Solo si logra acreditar esos presupuestos deberá además demostrar que ha cumplido las obligaciones de información, conservación y correcta incorporación del tratamiento al RAT.