Tema 11. Protección de datos personales y garantía de los derechos digitales (LO 3/2018)

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) tiene un doble objeto (art. 1): adaptar el ordenamiento español al Reglamento (UE) 2016/679 (RGPD) y completarlo, y garantizar los derechos digitales de la ciudadanía. El derecho fundamental a la protección de datos se ampara en el art. 18.4 CE.

Ámbito (art. 2.1): todo tratamiento total o parcialmente automatizado y el no automatizado de datos contenidos o destinados a un fichero.

No se aplica (art. 2.2) a: lo excluido por el art. 2.2 RGPD; los datos de personas fallecidas (salvo el art. 3); y lo sometido a la normativa de materias clasificadas.

Tratamientos fuera del Derecho de la UE (art. 2.3): legislación específica y, supletoriamente, RGPD y LOPDGDD. Ejemplos: régimen electoral, instituciones penitenciarias, Registro Civil, Registros de la Propiedad y Mercantiles. Los tratamientos de órganos judiciales y del Ministerio Fiscal en sus procesos se rigen por el RGPD y la ley, sin perjuicio de la LOPJ y del Estatuto del Ministerio Fiscal.

Personas fallecidas (art. 3): pueden pedir acceso, rectificación o supresión las personas vinculadas por razones familiares o de hecho y los herederos, salvo que el fallecido lo prohibiera expresamente o lo disponga una ley. Esa prohibición no afecta al acceso de los herederos a los datos patrimoniales. También pueden hacerlo las personas o instituciones designadas por el fallecido. Si el fallecido es menor, además sus representantes legales y el Ministerio Fiscal (de oficio o a instancia de parte); si es persona con discapacidad, también quienes prestaban funciones de apoyo.

Exactitud (art. 4): los datos serán exactos y, si fuere necesario, actualizados. La inexactitud no es imputable al responsable que actúe con diligencia si los datos se obtuvieron: del afectado, de un mediador previsto en la normativa sectorial, por portabilidad o de un registro público.

Confidencialidad (art. 5): afecta a responsables, encargados y a todos los que intervienen en cualquier fase; es complementaria del secreto profesional y subsiste al terminar la relación.

Consentimiento (art. 6): voluntad libre, específica, informada e inequívoca, por declaración o clara acción afirmativa. Para varias finalidades debe constar que se da para todas. No puede condicionarse el contrato a consentir finalidades ajenas a la relación contractual.

Menores (art. 7): consienten por sí mismos los mayores de 14 años (salvo que la ley exija la asistencia de los padres o tutores para ese acto). Por debajo de 14, hace falta el consentimiento del titular de la patria potestad o tutela.

Obligación legal e interés público (art. 8): solo si lo prevé una norma de Derecho de la UE o con rango de ley (la misión de interés público o los poderes públicos, si derivan de una competencia atribuida por norma con rango de ley).

Categorías especiales (art. 9): el solo consentimiento no basta para tratar datos cuya finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Las letras g), h) e i) del art. 9.2 RGPD exigen norma con rango de ley.

Datos penales (art. 10): para fines distintos de los penales, solo con amparo en norma de la UE, en la propia ley o en normas de rango legal; fuera de ello, solo abogados y procuradores con la información de sus clientes.

Información por capas (art. 11): basta dar una información básica y un medio (dirección electrónica u otro) para acceder de forma sencilla e inmediata al resto. Contenido mínimo: identidad del responsable (y su representante), finalidad y posibilidad de ejercer los derechos de los arts. 15-22 RGPD. Si hay perfiles, se informa de ello y del derecho de oposición a decisiones automatizadas. Si los datos no proceden del afectado, se añaden categorías de datos y fuentes.

Reglas comunes (art. 12): los derechos se ejercen directamente o por representante legal o voluntario; los medios deben ser fácilmente accesibles y no se puede denegar el derecho por usar otro medio; el encargado puede tramitarlos si así lo dice el contrato; la prueba de haber respondido es del responsable; los padres ejercen los derechos de los menores de 14; y las actuaciones son gratuitas.

Acceso (art. 13): si hay gran cantidad de datos, el responsable puede pedir que se especifique; se entiende otorgado con un sistema de acceso remoto, directo y seguro permanente; se considera repetitivo ejercerlo más de una vez en seis meses sin causa legítima; si el afectado elige un medio de coste desproporcionado, paga el exceso.

Rectificación (art. 14): indicar los datos y la corrección, con documentación cuando sea preciso. Supresión (art. 15): tras oponerse a la mercadotecnia directa, el responsable puede conservar los datos identificativos para no volver a enviarle publicidad. Limitación (art. 16): debe constar claramente en los sistemas. Portabilidad (art. 17, remite al art. 20 RGPD). Oposición y decisiones automatizadas (art. 18, remite a los arts. 21 y 22 RGPD).

Datos de contacto profesionales (art. 19): se presume el interés legítimo si solo se tratan los datos necesarios para la localización profesional y la finalidad es relacionarse con la persona jurídica. Igual para empresarios individuales y profesionales liberales tratados solo en esa condición.

Sistemas de información crediticia (art. 20): se presume lícita la inclusión si los datos los facilita el acreedor; la deuda es cierta, vencida y exigible y no reclamada; se informó al afectado en el contrato o al requerir el pago. El sistema notifica la inclusión y los datos quedan bloqueados 30 días. Permanencia máxima: 5 años desde el vencimiento. Solo consulta quien tenga relación contractual con pago o vaya a financiar. Si se deniega el contrato por la consulta, se informa al afectado. Sistema y acreedor son corresponsables.

Operaciones mercantiles (art. 21): se presumen lícitos los tratamientos necesarios en fusiones, escisiones o transmisiones de negocio; si la operación no se concluye, la cesionaria suprime de inmediato y sin bloqueo.

Exclusión publicitaria (art. 23): es lícito tratar datos para no enviar publicidad a quien se opuso. Quien haga mercadotecnia directa debe consultar antes esos sistemas (basta con los de la lista publicada por la autoridad de control), salvo que el afectado haya consentido.

Pueden tratar imágenes las personas físicas o jurídicas, públicas o privadas, para preservar la seguridad de personas, bienes e instalaciones.

Vía pública: solo lo imprescindible. Se admite más extensión para bienes o instalaciones estratégicos o infraestructuras de transporte, pero nunca el interior de un domicilio privado.

Conservación: supresión en un mes desde la captación. Si registran un hecho contra personas, bienes o instalaciones, se conservan y se ponen a disposición de la autoridad en 72 horas desde que se conoce la grabación. No se aplica el bloqueo del art. 32.

Información: un dispositivo informativo visible con, al menos, existencia del tratamiento, identidad del responsable y posibilidad de ejercer los derechos; puede añadirse un código o dirección web.

Exclusión doméstica: no se aplica el RGPD a la persona física que solo capta el interior de su propio domicilio, pero sí a la empresa de seguridad privada contratada que acceda a las imágenes.

FCS, prisiones y tráfico: con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales (y protección frente a amenazas a la seguridad pública) se aplica la normativa que transpone la Directiva (UE) 2016/680; fuera de ellos, su legislación específica y supletoriamente RGPD y LOPDGDD. Se respeta la Ley 5/2014 de Seguridad Privada y la videovigilancia laboral va al art. 89.

Informantes de infracciones (art. 24): son lícitos los tratamientos necesarios para proteger a quienes informan sobre infracciones normativas.

Función estadística pública (art. 25): las categorías especiales y los datos penales son de aportación estrictamente voluntaria y requieren consentimiento expreso. Se pueden denegar los derechos cuando los datos estén protegidos por el secreto estadístico.

Archivo en interés público por las Administraciones (art. 26): lícito, con las especialidades de la Ley del Patrimonio Histórico y la normativa de archivos.

Infracciones y sanciones administrativas (art. 27): las tratan los órganos competentes para instruir, declarar o sancionar, y solo con los datos estrictamente necesarios. Si no, hace falta consentimiento o norma con rango de ley; fuera de ello, solo abogados y procuradores.

Responsabilidad activa (art. 28): responsable y encargado eligen las medidas técnicas y organizativas y valoran si hace falta evaluación de impacto y consulta previa. Hay mayor riesgo cuando el tratamiento puede causar discriminación, usurpación de identidad o fraude, impedir el control de los datos, afecte a categorías especiales de forma no incidental, suponga perfiles, afecte a colectivos vulnerables (menores, discapacidad), sea masivo o implique transferencias habituales a países sin nivel adecuado.

Corresponsables (art. 29): cada uno responde según las actividades que efectivamente desarrolla. Representante de responsables no establecidos en la UE (art. 30): responde solidariamente.

Registro de actividades (art. 31): hay que comunicar al DPD cualquier cambio. Las entidades del art. 77.1 (sector público) publican un inventario electrónico con la base legal.

Bloqueo (art. 32): obligatorio al rectificar o suprimir. Consiste en identificar y reservar los datos para impedir su tratamiento, incluida la visualización, salvo para ponerlos a disposición de jueces, Ministerio Fiscal o Administraciones competentes durante el plazo de prescripción; después se destruyen. Si el sistema no lo permite, copiado seguro. Las autoridades pueden fijar excepciones.

Encargado (art. 33): su acceso no es comunicación de datos. Es responsable quien actúe en nombre propio con los afectados o, siendo encargado, use los datos para sus propios fines. Al terminar, el responsable decide si los datos se destruyen, se devuelven o pasan a otro encargado; el encargado puede conservarlos bloqueados mientras puedan derivarse responsabilidades.

Designación obligatoria (art. 34.1): en los casos del art. 37.1 RGPD y, en todo caso, en colegios profesionales, centros docentes y universidades, operadores de comunicaciones electrónicas (a gran escala), servicios de la sociedad de la información que hagan perfiles a gran escala, entidades de crédito, establecimientos financieros de crédito, aseguradoras, empresas de servicios de inversión, distribuidoras y comercializadoras de electricidad y gas, ficheros de solvencia y fraude, publicidad y prospección con perfiles, centros sanitarios con historias clínicas (no los profesionales individuales), informes comerciales, juego en línea, empresas de seguridad privada y federaciones deportivas con datos de menores.

La designación, el nombramiento y el cese se comunican en diez días a la autoridad de control; la dedicación puede ser completa o parcial. La cualificación puede acreditarse mediante certificación voluntaria (art. 35).

Posición (art. 36): es el interlocutor con las autoridades de control. Si pertenece a la plantilla, no puede ser removido ni sancionado por ejercer sus funciones salvo dolo o negligencia grave. Accede a todos los datos y no puede oponérsele ningún deber de confidencialidad. Ante una vulneración relevante, la documenta y comunica inmediatamente a la dirección.

Reclamaciones (art. 37): el afectado puede acudir antes al DPD, que contesta en dos meses. Si la autoridad le remite la reclamación, contesta en un mes.

Códigos de conducta (art. 38): vinculantes para quien se adhiere; los aprueba la AEPD o la autoridad autonómica. Certificación (art. 39): acredita la ENAC.

Se rigen por el RGPD, la ley y sus normas de desarrollo y las circulares de la AEPD y de las autoridades autonómicas (art. 40).

La AEPD y las autoridades autonómicas pueden adoptar cláusulas contractuales tipo (con dictamen previo del Comité Europeo de Protección de Datos) y aprobar normas corporativas vinculantes: procedimiento de nueve meses como máximo (art. 41).

Autorización previa (art. 42) cuando no hay decisión de adecuación ni garantías del art. 46.2 RGPD: cláusulas contractuales no tipo o acuerdos internacionales no normativos de entidades públicas. Procedimiento de seis meses como máximo, que se suspende mientras dictamina el Comité.

Información previa (art. 43): si la transferencia se basa en intereses legítimos imperiosos, se informa antes a la autoridad y a los afectados (no se aplica a las autoridades públicas en ejercicio de sus poderes).

Naturaleza (art. 44): autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad; se denomina oficialmente «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente». Se relaciona con el Gobierno a través del Ministerio de Justicia y es el representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Su Estatuto lo aprueba el Gobierno por real decreto (art. 45).

Presupuesto (art. 46): lo elabora y aprueba ella misma. La Presidencia autoriza modificaciones de hasta el 3 %, Hacienda hasta el 5 % y el Gobierno, las demás. El superávit va a reservas. La controla la IGAE, sin perjuicio del Tribunal de Cuentas.

Presidencia y Adjunto (art. 48): la Presidencia dirige, representa y dicta resoluciones, circulares y directrices. No puede delegar en el Adjunto los procedimientos del título VIII. Los nombra el Gobierno, a propuesta del Ministerio de Justicia, con ratificación de la Comisión de Justicia del Congreso por 3/5 o, en segunda votación, por mayoría absoluta con votos de al menos dos grupos. Mandato de 5 años renovable una vez. Causas de separación: incumplimiento grave, incapacidad, incompatibilidad (las tres con ratificación parlamentaria) y condena firme por delito doloso. Sus actos se recurren ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Consejo Consultivo (art. 49): asesora a la Presidencia; se reúne al menos una vez al semestre y sus decisiones no son vinculantes. Sus miembros los nombra el Ministro de Justicia por orden publicada en el BOE. Lo forman, entre otros, un diputado, un senador, un representante del CGPJ, uno por cada autoridad autonómica, un experto de la FEMP, dos de las organizaciones empresariales y dos de los sindicatos.

Investigación (arts. 51-54): la hacen funcionarios de la Agencia o ajenos habilitados, que son agentes de la autoridad y guardan secreto. Para entrar en un domicilio hace falta consentimiento o autorización judicial. En órganos judiciales actúan a través del CGPJ. Hay planes de auditoría preventiva, cuyas directrices son obligatorias. Las circulares obligan desde su publicación en el BOE (art. 55).

Las autoridades autonómicas (art. 57) ejercen las funciones del RGPD sobre el sector público autonómico y local, sobre quien ejerza funciones públicas en materias autonómicas o locales y sobre lo previsto en los Estatutos de Autonomía. Pueden dictar circulares.

Cooperación (art. 58): reuniones semestrales obligatorias con la AEPD e intercambio de información.

Tratamientos contrarios al RGPD (art. 59): la Presidencia de la AEPD puede requerir a la autoridad autonómica para que haga cesar el tratamiento en un mes; si no se atiende, puede acudir a la jurisdicción contencioso-administrativa.

Ante el Comité Europeo de Protección de Datos, las comunicaciones de las autoridades autonómicas se hacen por conducto de la AEPD, asistida por un representante autonómico (arts. 60 y 62).

Dos tipos de procedimiento (art. 63): por falta de atención de derechos y por posible infracción. Supletoriamente, normas generales de procedimiento administrativo.

Derechos no atendidos (art. 64.1): se inicia con la admisión a trámite; hay que resolver en 6 meses desde que se notifica la admisión. Si no se resuelve, el interesado puede considerar estimada su reclamación.

Posible infracción (art. 64.2): se inicia con un acuerdo de inicio (de oficio o por reclamación), que puede ir precedido de actuaciones previas. Dura como máximo 12 meses desde el acuerdo de inicio; después, caducidad y archivo. El procedimiento de apercibimiento con medidas correctivas dura 6 meses (art. 64.3).

Admisión a trámite (art. 65): se inadmiten las reclamaciones que no versen sobre protección de datos, carezcan de fundamento, sean abusivas o no aporten indicios. Se puede remitir la reclamación al DPD, al organismo del código de conducta o al responsable (que contesta en un mes). La decisión se notifica en 3 meses; si no se notifica, se entiende que la tramitación sigue.

Alcance territorial (art. 66): primero se examina la competencia; si la AEPD no es la autoridad principal, remite la reclamación y archiva provisionalmente.

Actuaciones previas (art. 67): duran como máximo 18 meses, y son obligatorias si hay tráfico masivo de datos. El acuerdo de inicio lo dicta la Presidencia e incluye los hechos, el presunto responsable, la infracción y la posible sanción (art. 68).

Medidas provisionales (art. 69): bloqueo cautelar y obligación inmediata de atender el derecho. Ante un menoscabo grave, se puede ordenar el bloqueo y el cese del tratamiento y, si no se cumple, la inmovilización de los datos.