Tema 26. Protección de datos: LO 3/2018 y LO 7/2021

La LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE de 6 de diciembre de 2018) entró en vigor al día siguiente de su publicación. El derecho a la protección de datos es un derecho fundamental amparado por el art. 18.4 CE.

Objeto (art. 1): a) adaptar el ordenamiento al Reglamento (UE) 2016/679 (RGPD) y completar sus disposiciones; b) garantizar los derechos digitales de la ciudadanía.

Ámbito (art. 2): tratamiento total o parcialmente automatizado y tratamiento no automatizado de datos contenidos o destinados a un fichero. No se aplica a los tratamientos excluidos por el art. 2.2 RGPD, a los datos de personas fallecidas (salvo art. 3) ni a los sometidos a la normativa de materias clasificadas. Los tratamientos ajenos al Derecho de la UE (régimen electoral, instituciones penitenciarias, Registro Civil, Registros de la Propiedad y Mercantiles) se rigen por su legislación y supletoriamente por el RGPD y la ley.

Fallecidos (art. 3): familiares, personas vinculadas de hecho y herederos pueden pedir acceso, rectificación o supresión, salvo prohibición expresa del fallecido o de una ley (que no afecta a los datos patrimoniales de los herederos). Si el fallecido es menor, también sus representantes legales o el Ministerio Fiscal, de oficio o a instancia de cualquier persona física o jurídica interesada.

Naturaleza (DF 1.ª): es ley orgánica, pero tienen carácter de ley ordinaria, entre otros, los Títulos IV, VIII y IX, el Título VII (salvo arts. 52 y 53) y los arts. 79-82, 88 y 95-97. Título competencial: art. 149.1.1.ª CE.

Cómputo de plazos (DA 3.ª): los plazos en días son hábiles (excluidos sábados, domingos y festivos); en meses o años, concluyen el mismo día del mes o año de vencimiento.

Exactitud (art. 4): no es imputable al responsable la inexactitud si adoptó medidas razonables y los datos se obtuvieron del propio afectado, de un mediador, por portabilidad o de un registro público.

Confidencialidad (art. 5): alcanza a responsables, encargados y a todos los que intervengan en cualquier fase; es complementaria del secreto profesional y se mantiene aunque haya finalizado la relación.

Consentimiento (art. 6): manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o clara acción afirmativa. Para varias finalidades, debe constar para todas. No puede supeditarse el contrato a consentir finalidades ajenas a la relación contractual.

Menores (art. 7): solo pueden consentir por sí mismos si son mayores de 14 años (salvo que la ley exija asistencia de los padres para el acto). Con menos de 14, solo es lícito con el consentimiento del titular de la patria potestad o tutela. Además, los titulares de la patria potestad pueden ejercer en nombre de los menores de 14 los derechos de acceso, rectificación, cancelación, oposición, etc. (art. 12.6).

Obligación legal o interés público (art. 8): exige una norma de Derecho de la UE o con rango de ley.

Categorías especiales (art. 9): el solo consentimiento no basta para tratar datos cuya finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

Datos penales (art. 10): para fines distintos de los penales solo con amparo en norma de la UE, en esta ley o en otra de rango legal; fuera de ello, solo abogados y procuradores con la información de sus clientes.

Información (art. 11): puede darse por capas: información básica (identidad del responsable, finalidad y posibilidad de ejercer los derechos de los arts. 15-22 RGPD) más una dirección electrónica para el resto. Si los datos no proceden del afectado, se añaden las categorías de datos y las fuentes.

Ejercicio (art. 12): directamente o por representante legal o voluntario; medios fácilmente accesibles; la prueba de haber respondido recae en el responsable; las actuaciones son gratuitas.

Acceso (art. 13): si hay muchos datos, el responsable puede pedir que se especifique; se entiende otorgado con un sistema de acceso remoto, directo y seguro; es repetitivo si se ejerce más de una vez en seis meses sin causa legítima; si el afectado elige un medio costoso, asume el exceso.

Rectificación (art. 14): hay que indicar qué datos y qué corrección, con documentación si es preciso. Supresión (art. 15): si deriva de oposición a mercadotecnia directa, pueden conservarse los datos identificativos para impedir envíos futuros. Limitación (art. 16): debe constar claramente en los sistemas. Portabilidad (art. 17) y oposición y decisiones automatizadas (art. 18) remiten al RGPD.

Datos de contacto (art. 19): se presume lícito el tratamiento de datos de localización profesional de quienes prestan servicios en una persona jurídica, de empresarios individuales y profesionales liberales en esa condición.

Sistemas de información crediticia (art. 20): deudas ciertas, vencidas y exigibles, no reclamadas; la entidad notifica la inclusión y los datos quedan bloqueados 30 días; permanencia máxima cinco años desde el vencimiento; acreedor y entidad son corresponsables.

Operaciones mercantiles (art. 21): si no se concluyen, el cesionario suprime de inmediato los datos, sin bloqueo.

Videovigilancia (art. 22): para la seguridad de personas, bienes e instalaciones. Solo puede captarse la vía pública en lo imprescindible (más en instalaciones estratégicas o de transporte), nunca el interior de un domicilio. Supresión en un mes, salvo que acrediten actos contra personas, bienes o instalaciones, en cuyo caso se ponen a disposición de la autoridad en 72 horas. No hay obligación de bloqueo. Información mediante dispositivo informativo visible (existencia del tratamiento, responsable y derechos). Quedan fuera las cámaras de un particular que solo captan el interior de su domicilio. La videovigilancia de las FCS con fines penales se rige por la LO 7/2021.

Exclusión publicitaria (art. 23): antes de hacer mercadotecnia directa hay que consultar los sistemas de exclusión, salvo consentimiento del afectado. Denuncias internas (art. 24): lícitos los tratamientos para proteger a quienes informan sobre infracciones. Infracciones administrativas (art. 27): responsables, los órganos competentes del procedimiento sancionador.

Responsabilidad activa (art. 28): medidas técnicas y organizativas teniendo en cuenta mayores riesgos (discriminación, fraude, categorías especiales, perfiles, menores y personas con discapacidad, tratamiento masivo, transferencias a países sin nivel adecuado).

Registro de actividades (art. 31): los sujetos del art. 77.1 (sector público) deben hacer público un inventario accesible electrónicamente con su base legal.

Bloqueo (art. 32): obligatorio al rectificar o suprimir; consiste en identificar y reservar los datos para impedir su tratamiento, salvo para ponerlos a disposición de jueces, Ministerio Fiscal o AAPP competentes durante el plazo de prescripción; después, destrucción.

Encargado (art. 33): su acceso no es comunicación de datos; quien actúe en nombre propio o use los datos para sus fines es responsable.

DPD (arts. 34-37): obligatorio en los casos del RGPD y, en todo caso, en una lista de entidades: colegios profesionales, centros docentes y universidades, operadores de comunicaciones, entidades de crédito, aseguradoras, comercializadoras de energía, centros sanitarios (no el profesional individual), empresas de seguridad privada, federaciones deportivas con menores, operadores de juego online… Designación, nombramiento y cese se comunican en 10 días a la AEPD o autoridad autonómica. No puede ser removido ni sancionado por ejercer sus funciones salvo dolo o negligencia grave. El afectado puede dirigirse antes al DPD, que responde en dos meses; si la AEPD le remite una reclamación, debe responder en un mes.

Códigos de conducta (art. 38): vinculantes para los adheridos; los aprueba la AEPD o la autoridad autonómica. La ENAC puede acreditar a las instituciones de certificación (art. 39).

Se rigen por el RGPD, la LO 3/2018 y las circulares de la AEPD y autoridades autonómicas (art. 40).

La AEPD puede adoptar cláusulas contractuales tipo (con dictamen previo del Comité Europeo de Protección de Datos) y aprobar normas corporativas vinculantes (procedimiento de nueve meses máximo).

Requieren autorización previa de la AEPD (procedimiento de seis meses) las transferencias a países sin decisión de adecuación basadas en cláusulas no tipo o en acuerdos no normativos de entidades públicas (art. 42).

Las basadas en intereses legítimos imperiosos deben informarse previamente a la AEPD y a los afectados (art. 43), salvo actividades de autoridades públicas en ejercicio de poderes públicos.

La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal (Ley 40/2015), con personalidad jurídica propia; se relaciona con el Gobierno a través del Ministerio de Justicia. Es el representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Su Estatuto lo aprueba el Gobierno por real decreto a propuesta de la Agencia.

Presidencia y Adjunto (art. 48): los propone el Gobierno a propuesta del Ministerio de Justicia; la Comisión de Justicia del Congreso ratifica por tres quintos en primera votación o mayoría absoluta en segunda (con votos de al menos dos grupos); los nombra el Consejo de Ministros por real decreto. Mandato de cinco años, renovable por otro igual. Cese anticipado por petición propia o separación por incumplimiento grave, incapacidad sobrevenida, incompatibilidad o condena firme por delito doloso. Sus actos ponen fin a la vía administrativa y se recurren ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Consejo Consultivo (art. 49): asesora a la Presidencia (un Diputado, un Senador, CGPJ, AGE, CCAA con autoridad propia, FEMP, consumidores, dos de organizaciones empresariales, dos de sindicatos, etc.); miembros nombrados por orden del Ministro de Justicia; se reúne al menos una vez al semestre; sus decisiones no son vinculantes.

Investigación (art. 51): los funcionarios que investigan son agentes de la autoridad y deben guardar secreto. Las AAPP y los particulares tienen deber de colaboración (art. 52). La Presidencia puede acordar planes de auditoría preventiva cuyas directrices son de obligado cumplimiento (art. 54).

Autoridades autonómicas (art. 57): actúan sobre los tratamientos del sector público autonómico y local de su territorio, los de quienes ejercen funciones públicas de competencia autonómica o local y los previstos en sus Estatutos.

Plazos de los procedimientos de la AEPD (arts. 64-67): falta de atención de derechos → 6 meses desde la notificación de la admisión (silencio estimatorio); sancionador → 12 meses desde el acuerdo de inicio (después, caducidad); apercibimiento → 6 meses; decisión sobre la admisión a trámite → 3 meses; actuaciones previas de investigación → máximo 18 meses.

Sujetos responsables (art. 70): responsables, encargados, representantes de no establecidos en la UE, entidades de certificación y entidades de supervisión de códigos de conducta. No se aplica al delegado de protección de datos.

Prescripción de infracciones: muy graves 3 años (art. 72), graves 2 años (art. 73), leves 1 año (art. 74). Interrumpe la iniciación con conocimiento del interesado; se reinicia si se paraliza más de 6 meses.

Prescripción de sanciones (art. 78): ≤ 40.000 € → 1 año; 40.001 a 300.000 € → 2 años; > 300.000 € → 3 años. Se publican en el BOE las sanciones de la AEPD superiores a un millón de euros a personas jurídicas.

Sector público (art. 77): a órganos constitucionales, juzgados, AAPP, organismos públicos, autoridades independientes, Banco de España, universidades públicas, grupos parlamentarios, etc., no se les impone multa: se dicta resolución declarando la infracción y medidas, y puede proponerse actuación disciplinaria; se comunica al Defensor del Pueblo.

Los derechos de la Constitución y los Tratados son plenamente aplicables en Internet (art. 79). Derechos: neutralidad de Internet, acceso universal (superando brechas de género, generacional y rural), seguridad digital, educación digital (las AAPP incluirán la protección de datos en los temarios de acceso a cuerpos superiores y a los que acceden a datos personales).

Menores en Internet (art. 84): si la difusión de imágenes o datos de menores en redes puede suponer intromisión ilegítima, interviene el Ministerio Fiscal. Art. 92: centros educativos y quienes organicen actividades con menores protegerán sus datos; para publicarlos en redes sociales necesitan consentimiento del menor o sus representantes (art. 7).

Rectificación en Internet y actualización de noticias en medios digitales (avisos visibles, en particular cuando una actuación policial o judicial se vio afectada en beneficio del interesado por decisiones judiciales posteriores).

Ámbito laboral: intimidad en el uso de dispositivos digitales; desconexión digital; videovigilancia con información previa (si se capta un ilícito flagrante basta el cartel del art. 22.4) y prohibida en vestuarios, aseos, comedores y lugares de descanso; grabación de sonidos solo ante riesgos relevantes; geolocalización con información previa expresa, clara e inequívoca.

Derecho al olvido en buscadores (art. 93) y en redes sociales (art. 94; supresión a simple solicitud de lo que uno mismo publicó y, si se facilitó durante la minoría de edad, sin más requisitos). Portabilidad en redes (art. 95) y testamento digital (art. 96: familiares, herederos, albacea o persona designada; para menores, también el Ministerio Fiscal).

La LO 7/2021, de 26 de mayo (BOE de 27 de mayo de 2021) incorpora la Directiva (UE) 2016/680. Entró en vigor a los veinte días de su publicación, si bien el capítulo IV (responsable y encargado) produjo efectos a los seis meses. Tienen carácter ordinario los capítulos VI, VII y VIII.

Objeto (art. 1): tratamiento de datos por las autoridades competentes con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluida la protección y prevención frente a amenazas contra la seguridad pública.

Excluidos (art. 2.3): tratamientos de las autoridades para otros fines (incluidos archivo, investigación o estadística, que van al RGPD y la LO 3/2018), los de la PESC (capítulo II del título V TUE), los ajenos al Derecho de la UE, los de materias clasificadas (Defensa Nacional) y los de acciones civiles o administrativas vinculadas sin fin penal directo. Tampoco se aplica a datos de fallecidos salvo el art. 3. Los tratamientos de órganos judiciales y fiscalías no los controlan las autoridades de protección de datos del capítulo VI.

Autoridades competentes (art. 4): toda autoridad pública con competencias legales para estos fines y, en particular: Fuerzas y Cuerpos de Seguridad, Administraciones Penitenciarias, Dirección Adjunta de Vigilancia Aduanera de la AEAT, Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, Comisión de Vigilancia de Actividades de Financiación del Terrorismo; y también las autoridades judiciales del orden penal y el Ministerio Fiscal.

Definiciones (art. 5): responsable (la autoridad competente que determina fines y medios), encargado (quien trata datos por cuenta del responsable), limitación del tratamiento (el marcado de los datos), seudonimización, violación de seguridad, datos genéticos, biométricos (imágenes faciales, datos dactiloscópicos) y de salud. No son destinatarios las autoridades que reciben datos en una investigación concreta.

Fallecidos (art. 3): familiares, personas vinculadas de hecho y herederos; si es menor, también los representantes legales o el Ministerio Fiscal, de oficio o a instancia de cualquier persona interesada.

Principios (art. 6): licitud y lealtad; fines determinados, explícitos y legítimos; datos adecuados, pertinentes y no excesivos; exactos; conservación no superior a la necesaria; seguridad adecuada. El responsable debe demostrar su cumplimiento.

Deber de colaboración (art. 7): AAPP y particulares deben facilitar datos a jueces, Fiscal y Policía Judicial (petición motivada, concreta y específica, dando cuenta a la autoridad judicial y fiscal) y, en los demás casos, a las autoridades competentes para prevenir delitos o un peligro real y grave para la seguridad pública. No rige cuando la ley exige autorización judicial. El interesado no será informado de la transmisión.

Conservación (art. 8): solo el tiempo necesario; revisión de la necesidad de conservar como máximo cada tres años (atendiendo a la edad, el carácter de los datos y la conclusión de la investigación); supresión, con carácter general, en un máximo de veinte años, salvo investigaciones abiertas, delitos no prescritos, ejecución pendiente, reincidencia, protección de víctimas u otras circunstancias motivadas.

Categorías de interesados (art. 9): a) personas con motivos fundados de haber cometido o poder cometer o colaborar en una infracción penal; b) condenados o sancionados; c) víctimas o afectados (o que puedan serlo); d) terceros (testigos, informantes, contactos o asociados de a y b). Sin perjuicio de la presunción de inocencia.

Calidad (art. 10): distinguir datos basados en hechos de los basados en apreciaciones personales; no transmitir datos inexactos; toda transmisión lleva la valoración de su calidad.

Licitud (art. 11): solo si es necesario para los fines del art. 1 y lo realiza una autoridad competente. Categorías especiales (art. 13): solo si es estrictamente necesario, con garantías y si lo prevé una ley o el Derecho de la UE, protege intereses vitales o el interesado los hizo manifiestamente públicos. Decisiones automatizadas (art. 14): prohibidas si producen efectos jurídicos negativos, salvo ley que lo autorice con derecho a intervención humana; prohibidos los perfiles discriminatorios.

La captación y tratamiento de imágenes y sonidos por las FCS conforme a la ley no son intromisiones ilegítimas en el honor, la intimidad o la propia imagen (art. 15). Criterios de instalación según proporcionalidad: proteger edificios propios, edificios públicos bajo custodia, instalaciones útiles para la seguridad nacional y prevenir o investigar delitos.

Cámaras fijas (art. 16): el responsable valora la proporcionalidad en su doble versión de idoneidad e intervención mínima y hace un análisis de riesgos o una evaluación de impacto. Es fija la anclada a soporte o fachada aunque se mueva en cualquier dirección. No están sujetas al control preventivo de las entidades locales. Los propietarios deben permitir su instalación (con indemnización). Se informa a los ciudadanos de su existencia sin especificar el emplazamiento.

Cámaras móviles (art. 17): imagen y sonido conjuntos, ante un peligro o evento concreto; autoriza el titular de la Delegación o Subdelegación del Gobierno (o el órgano autonómico para sus policías y las locales de su territorio); nunca con carácter indefinido; máximo un mes prorrogable por otro. En urgencia, decide el responsable operativo y lo comunica en 24 horas.

Conservación (art. 18): si se graba un posible delito, el soporte original íntegro se pone a disposición judicial en 72 horas como máximo desde la grabación (si no da tiempo al atestado, se relatan verbalmente los hechos al juez o al Fiscal). Las infracciones administrativas de seguridad pública se remiten de inmediato al órgano sancionador. Las grabaciones se destruyen en tres meses, salvo que estén ligadas a infracciones penales o administrativas graves o muy graves, a una investigación o a un procedimiento abierto.

Faltas muy graves (art. 19.2) del régimen disciplinario de las FCSE: alterar o manipular registros (si no es delito); permitir accesos no autorizados o usar las grabaciones para otros fines; reproducirlas para fines distintos; usar los medios técnicos para fines distintos.

Información concisa, inteligible y con lenguaje claro; gratuita. La solicitud se entiende desestimada si en un mes no se resuelve y notifica. Es repetitiva si hay tres solicitudes sobre el mismo supuesto en seis meses. Ante dudas sobre la identidad, se requiere información en diez días (si no, desistimiento) (art. 20).

Información mínima (art. 21.1): identidad del responsable, contacto del DPD, fines, derecho a reclamar ante la autoridad de protección de datos y derecho de acceso, rectificación, supresión o limitación. Adicional (21.2): base jurídica, plazo de conservación, destinatarios y otra información, sobre todo si los datos se recogieron sin conocimiento del interesado.

Acceso (art. 22): confirmación y acceso a fines, categorías, destinatarios, plazo, derechos y origen, sin revelar la identidad de fuentes confidenciales; puede pedirse concretar en diez días; sistema remoto, directo y seguro.

Rectificación, supresión y limitación (art. 23): supresión en un mes como máximo cuando el tratamiento infrinja los arts. 6, 11 o 13 o lo exija la ley. Se limita en vez de suprimir si se discute la exactitud sin poder determinarla o si los datos deben conservarse a efectos probatorios.

Restricciones (art. 24): aplazar, limitar u omitir información y denegar derechos cuando sea necesario para no obstaculizar investigaciones, no perjudicar la persecución penal, proteger la seguridad pública, la Seguridad Nacional o derechos de terceros; se informa en un mes (con redacción neutra si hace falta) y se puede ejercer el derecho a través de la autoridad de protección de datos (art. 25).

Régimen especial (art. 26): si los datos figuran en resoluciones judiciales o diligencias de procesos penales, los derechos se ejercen según las normas procesales penales.

Protección de datos desde el diseño y por defecto (art. 28): por defecto, solo los datos necesarios y nunca accesibles a un número indeterminado de personas sin intervención humana. Corresponsables fijan sus responsabilidades por acuerdo (art. 29). El encargado no recurre a otro sin autorización previa por escrito; si determina fines y medios, pasa a ser responsable (art. 30).

Registro de actividades (art. 32) que se hace público y registro de operaciones automatizadas (art. 33: recogida, alteración, consulta, comunicación, combinación o supresión), que permite saber justificación, fecha, hora y, si es posible, quién consultó.

Evaluación de impacto (art. 35) si hay alto riesgo; consulta previa a la autoridad para nuevos ficheros de alto riesgo (art. 36): respuesta en seis semanas, prorrogable un mes; el silencio no es favorable.

Seguridad (art. 37): medidas del Esquema Nacional de Seguridad y controles (acceso, soportes, almacenamiento, usuarios, transmisión, introducción, transporte, restablecimiento, fiabilidad).

Violaciones de seguridad: notificación a la autoridad de protección de datos en 72 horas salvo que sea improbable el peligro (art. 38); comunicación al interesado si hay alto riesgo, salvo cifrado, medidas ulteriores o esfuerzo desproporcionado (en cuyo caso, publicación en boletín oficial) (art. 39).

DPD (arts. 40-42): obligatorio en todo caso (no lo están órganos jurisdiccionales y Fiscal en funciones jurisdiccionales); uno puede servir a varias autoridades; designación y cese comunicados en diez días; no removible ni sancionable salvo dolo o negligencia grave.

Transferencias a terceros países (arts. 43-47): necesarias para los fines penales, a un responsable competente, con autorización del Estado miembro de origen (sin ella solo ante amenaza inmediata y grave, informando en diez días) y con decisión de adecuación, garantías apropiadas o excepciones. Excepcionalmente, transferencias directas a destinatarios no autoridades.

Autoridades de protección de datos (art. 48): la AEPD y las autonómicas (solo para tratamientos de su ámbito). La AEPD representa a todas en el Comité Europeo. Deben responder a las solicitudes de asistencia de otros Estados en un mes (art. 51).

Reclamaciones (art. 52): ante la autoridad de protección de datos por los derechos de los arts. 21-23, según el título VIII de la LO 3/2018; si no hay resolución en tres meses, cabe recurso contencioso-administrativo. Indemnización por el sector público según la responsabilidad patrimonial (art. 53); por encargados privados, requerimiento al responsable dentro del año (art. 54).

Sujetos responsables (art. 56): responsables, encargados, representantes y los obligados por el deber de colaboración del art. 7; nunca el DPD. Muy graves (art. 58): p. ej. acceso, cesión o divulgación no autorizados, omitir el deber de informar, incumplir plazos de conservación, negarse a facilitar información a las autoridades competentes (letra j, la sanciona el Secretario de Estado de Seguridad). Graves (art. 59): no designar DPD, falta de colaboración diligente del art. 7 (letra j, la sancionan las Delegaciones del Gobierno)…

Multas (art. 62) a sujetos distintos del art. 77.1 LO 3/2018: muy graves 360.001 a 1.000.000 €; graves 60.001 a 360.000 €; leves 6.000 a 60.000 €. Prescripción (art. 63): infracciones 3 años / 2 años / 6 meses; sanciones 3 / 2 / 1 año. Caducidad a los seis meses (art. 64). Si hay indicios de delito, se pasa el tanto de culpa y se suspende el procedimiento (art. 65).