Tema 26. Llei orgànica 7/2021, de 26 de maig, de protecció de dades personals tractades per a fins de prevenció, detecció, investigació i enjudiciament d'infraccions penals i d'execució de sancions penal.

El tema es la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (LO7-2021), que incorpora al ordenamiento jurídico español la Directiva (UE) 2016/680 [LO7-2021, disp. final undécima]. El resumen sigue el orden de la ley y se detiene en lo que más afecta al trabajo policial: grabación de imágenes y sonido, derechos del interesado y régimen sancionador.

1. Disposiciones generales

1.1. Objeto y ámbito de aplicación

• La ley regula la protección de las personas físicas en el tratamiento de sus datos por las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública [LO7-2021, art. 1].
• Se aplica al tratamiento total o parcialmente automatizado y al no automatizado de datos contenidos o destinados a ser incluidos en un fichero, realizado por las autoridades competentes con esos fines [LO7-2021, art. 2.1].
• Quedan fuera, entre otros, los tratamientos de las autoridades competentes para fines distintos de los del artículo 1, que se someten plenamente al Reglamento General de Protección de Datos y a la Ley Orgánica 3/2018; los que afecten a actividades no comprendidas en el Derecho de la Unión Europea, y los sometidos a la normativa sobre materias clasificadas, entre ellos los relativos a la Defensa Nacional [LO7-2021, art. 2.3].
• No se aplica a los datos de personas fallecidas, salvo lo que dispone el artículo 3 [LO7-2021, art. 2.4]: las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos podrán solicitar el acceso, rectificación o supresión de sus datos [LO7-2021, art. 3.1].

1.2. Autoridades competentes

Es autoridad competente toda autoridad pública con competencias encomendadas legalmente para tratar datos con alguno de los fines del artículo 1 y, en particular, en su ámbito: las Fuerzas y Cuerpos de Seguridad; las Administraciones Penitenciarias; la Dirección Adjunta de Vigilancia Aduanera de la Agencia Estatal de Administración Tributaria; el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, y la Comisión de Vigilancia de Actividades de Financiación del Terrorismo [LO7-2021, art. 4.1]. También lo son las Autoridades judiciales del orden jurisdiccional penal y el Ministerio Fiscal [LO7-2021, art. 4.2].

1.3. Definiciones principales

• Limitación del tratamiento: el marcado de los datos personales conservados con el fin de limitar su tratamiento en el futuro [LO7-2021, art. 5.c)].
• Responsable: la autoridad competente que, sola o conjuntamente con otras, determine los fines y medios del tratamiento; encargado: quien trate datos personales por cuenta del responsable [LO7-2021, art. 5.g); LO7-2021, art. 5.h)].
• Datos biométricos: los obtenidos por un tratamiento técnico específico que permitan o confirmen la identificación única de una persona, como imágenes faciales o datos dactiloscópicos [LO7-2021, art. 5.l)].

2. Principios del tratamiento

2.1. Principios

Los datos personales serán: tratados de manera lícita y leal; recogidos con fines determinados, explícitos y legítimos, y no tratados de forma incompatible con ellos; adecuados, pertinentes y no excesivos; exactos y, si fuera necesario, actualizados; conservados de forma que permitan identificar al interesado durante un período no superior al necesario, y tratados con una seguridad adecuada [LO7-2021, art. 6.1].

Los datos recogidos no serán tratados para fines distintos de los del artículo 1 salvo que lo autorice el Derecho de la Unión Europea o la legislación española; si se tratan para otros fines, se aplican el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018, a menos que el tratamiento forme parte de una actividad fuera del ámbito del Derecho de la Unión Europea [LO7-2021, art. 6.2]. El responsable deberá garantizar y estar en condiciones de demostrar el cumplimiento de estos principios [LO7-2021, art. 6.5].

2.2. Deber de colaboración

• Las Administraciones públicas y cualquier persona física o jurídica proporcionarán a las autoridades judiciales, al Ministerio Fiscal o a la Policía Judicial los datos, informes, antecedentes y justificantes que les soliciten y sean necesarios para investigar y enjuiciar infracciones penales o ejecutar las penas [LO7-2021, art. 7.1].
• La petición de la Policía Judicial se deberá ajustar exclusivamente a las funciones del artículo 549.1 de la Ley Orgánica 6/1985 y se hará siempre de forma motivada, concreta y específica, dando cuenta en todo caso a la autoridad judicial y fiscal [LO7-2021, art. 7.1].
• En los restantes casos, la petición de la autoridad competente deberá ser concreta y específica y contener la motivación que acredite su relación con la prevención, detección e investigación de infracciones penales o con un peligro real y grave para la seguridad pública [LO7-2021, art. 7.2].
• El interesado no será informado de la transmisión de sus datos a las autoridades competentes, a fin de garantizar la actividad investigadora [LO7-2021, art. 7.4].

2.3. Conservación y categorías de interesados

• La conservación dura sólo el tiempo necesario para los fines del artículo 1 [LO7-2021, art. 8.1].
• El responsable deberá revisar la necesidad de conservar, limitar o suprimir los datos como máximo cada tres años, atendiendo especialmente a la edad del afectado, el carácter de los datos y la conclusión de la investigación o procedimiento penal [LO7-2021, art. 8.2].
• Con carácter general, el plazo máximo para la supresión será de veinte años, salvo factores como investigaciones abiertas o delitos no prescritos, la no conclusión de la ejecución de la pena, reincidencia, necesidad de protección de las víctimas u otras circunstancias motivadas [LO7-2021, art. 8.3].
• En la medida de lo posible, el responsable distinguirá entre categorías de interesados: personas sobre las que existan motivos fundados para presumir que han cometido, pueden cometer o colaborar en una infracción penal; personas condenadas o sancionadas; víctimas o afectados, y terceros como posibles testigos o personas de contacto, sin impedir la presunción de inocencia del artículo 24 de la Constitución [LO7-2021, art. 9].

2.4. Licitud, categorías especiales y decisiones automatizadas

• El tratamiento sólo será lícito si es necesario para los fines del artículo 1 y lo realiza una autoridad competente en ejercicio de sus funciones [LO7-2021, art. 11.1].
• Los datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas o afiliación sindical, y los datos genéticos, biométricos dirigidos a identificar de manera unívoca a una persona, de salud o de vida u orientación sexual, sólo se tratarán cuando sea estrictamente necesario, con garantías adecuadas, y si lo prevé una norma con rango de ley o el Derecho de la Unión Europea, si es necesario para proteger intereses vitales o si el interesado los hizo manifiestamente públicos [LO7-2021, art. 13.1].
• Están prohibidas las decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos negativos o afecten significativamente al interesado, salvo autorización expresa por norma con rango de ley o por el Derecho de la Unión Europea, que deberá incluir el derecho a obtener la intervención humana [LO7-2021, art. 14.1].

3. Grabación de imágenes y sonido por las Fuerzas y Cuerpos de Seguridad

3.1. Videocámaras fijas

• La captación, reproducción y tratamiento de datos por las Fuerzas y Cuerpos de Seguridad en los términos de esta ley no se considerarán intromisiones ilegítimas en el derecho al honor, a la intimidad personal y familiar y a la propia imagen [LO7-2021, art. 15.1].
• En vías o lugares públicos con videocámaras fijas, el responsable deberá valorar la proporcionalidad en su doble versión de idoneidad e intervención mínima y llevar a cabo un análisis de riesgos o una evaluación de impacto [LO7-2021, art. 16.1].
• Es videocámara fija la anclada a un soporte fijo o fachada, aunque el sistema de grabación se pueda mover en cualquier dirección [LO7-2021, art. 16.1].
• Estas instalaciones no estarán sujetas al control preventivo de las entidades locales previsto en su legislación reguladora básica, ni al ejercicio de las competencias de las diferentes Administraciones públicas [LO7-2021, art. 16.3].
• Los ciudadanos serán informados de manera clara y permanente de la existencia de las videocámaras, sin especificar su emplazamiento, y de la autoridad responsable [LO7-2021, art. 16.5].

3.2. Dispositivos móviles

• La toma de imagen y sonido, que ha de ser conjunta, queda supeditada en todo caso a la concurrencia de un peligro o evento concreto [LO7-2021, art. 17.1].
• Su uso deberá estar autorizado por la persona titular de la Delegación o Subdelegación del Gobierno; en los Cuerpos de Policía propios de las Comunidades Autónomas con competencias para la protección de las personas y bienes y el mantenimiento del orden público, autorizan sus órganos correspondientes, también para las policías dependientes de las Corporaciones locales de su territorio [LO7-2021, art. 17.1].
• Las autorizaciones no se podrán conceder en ningún caso con carácter indefinido o permanente; el periodo máximo es de un mes prorrogable por otro [LO7-2021, art. 17.2].
• En casos de urgencia o necesidad inaplazable, el responsable operativo de las Fuerzas y Cuerpos de Seguridad competentes podrá determinar su uso, comunicándolo con la mayor brevedad posible y siempre en el plazo de 24 horas al Delegado o Subdelegado del Gobierno o a la autoridad competente de las comunidades autónomas [LO7-2021, art. 17.3].

3.3. Tratamiento y conservación de las grabaciones

La tabla resume el artículo 18 [LO7-2021, art. 18.1; LO7-2021, art. 18.2; LO7-2021, art. 18.3]:

Si no puede redactarse el atestado en ese plazo, se relatarán verbalmente los hechos a la autoridad judicial o al Ministerio Fiscal, junto con la entrega de la grabación [LO7-2021, art. 18.1].

3.4. Régimen disciplinario

Las infracciones de esta ley por miembros de las Fuerzas y Cuerpos de Seguridad se sancionan, sin perjuicio de las responsabilidades penales, con arreglo a su régimen disciplinario y, en su defecto, con el régimen general de sanciones de esta ley [LO7-2021, art. 19.1]. Son faltas muy graves en el régimen disciplinario de las Fuerzas y Cuerpos de Seguridad del Estado: alterar o manipular los registros de imágenes y sonidos, siempre que no constituya delito; permitir el acceso de personas no autorizadas a las grabaciones o utilizarlas para fines distintos de los previstos legalmente; reproducir las imágenes y sonidos para fines distintos de los de esta ley, y utilizar los medios técnicos regulados en ella para fines distintos de los previstos [LO7-2021, art. 19.2].

Las imágenes y sonidos de cámaras de las Fuerzas y Cuerpos de Seguridad, de los centros penitenciarios y del control del tráfico, tratados para los fines del artículo 1, se rigen por esta ley [LO7-2021, disp. adic. primera].

4. Derechos del interesado

4.1. Condiciones generales

• El responsable deberá facilitar la información de forma concisa, inteligible, de fácil acceso y con lenguaje claro y sencillo, también para personas con discapacidad [LO7-2021, art. 20.1].
• Informará por escrito del curso dado a la solicitud; esta se entenderá desestimada si en un mes desde su presentación no ha sido resuelta expresamente y notificada [LO7-2021, art. 20.4].
• La información es gratuita; las solicitudes manifiestamente infundadas o excesivas podrán inadmitirse por resolución motivada, y se considera repetitiva la de tres solicitudes sobre el mismo supuesto durante seis meses, salvo causa legítima [LO7-2021, art. 20.5].

4.2. Acceso, rectificación, supresión y limitación

• El interesado tiene derecho a saber si se tratan sus datos y, en ese caso, a acceder a ellos y conocer, entre otros, los fines, los destinatarios y el plazo de conservación [LO7-2021, art. 22.1].
• La rectificación de datos inexactos procede sin dilación indebida; el interesado indicará qué datos y qué corrección pide [LO7-2021, art. 23.1].
• El responsable suprimirá los datos sin dilación indebida y, en todo caso, en el plazo máximo de un mes desde que tenga conocimiento, cuando el tratamiento infrinja los artículos 6, 11 o 13 o lo exija una obligación legal [LO7-2021, art. 23.2].
• En lugar de suprimir, limitará el tratamiento si el interesado duda de la exactitud y no puede determinarse, o si los datos deben conservarse a efectos probatorios [LO7-2021, art. 23.3].

4.3. Restricciones

El responsable podrá aplazar, limitar u omitir la información adicional del artículo 21.2 y denegar, total o parcialmente, las solicitudes de los artículos 22 y 23, cuando sea necesario y proporcional para [LO7-2021, art. 24.1]:

• Impedir que se obstaculicen indagaciones, investigaciones o procedimientos judiciales [LO7-2021, art. 24.1.a)].
• Evitar que se cause perjuicio a la prevención, detección, investigación y enjuiciamiento de infracciones penales o a la ejecución de sanciones penales [LO7-2021, art. 24.1.b)].
• Proteger la seguridad pública, la Seguridad Nacional o los derechos y libertades de otras personas [LO7-2021, art. 24.1.c); LO7-2021, art. 24.1.d); LO7-2021, art. 24.1.e)].

La restricción se comunica por escrito, sin dilación indebida y en todo caso en un mes, con sus razones, que pueden omitirse o sustituirse por una redacción neutra si revelarlas pone en riesgo esos fines [LO7-2021, art. 24.2]. En esos casos, el interesado podrá ejercer sus derechos a través de la autoridad de protección de datos competente [LO7-2021, art. 25.1]. Si los datos figuran en una resolución judicial o en diligencias o expedientes de investigaciones y procesos penales, los derechos se ejercen conforme a las normas procesales penales [LO7-2021, art. 26.1].

5. Responsable y encargado del tratamiento

• Por defecto, solo se tratan los datos necesarios para cada fin y no serán accesibles a un número indeterminado de personas sin intervención humana [LO7-2021, art. 28.2].
• El encargado no recurrirá a otro encargado sin la autorización previa por escrito del responsable [LO7-2021, art. 30.2].
• Responsables y encargados deberán mantener registros de las operaciones en sistemas automatizados (recogida, alteración, consulta, comunicación, combinación o supresión); los de consulta y comunicación permiten conocer la justificación, la fecha y la hora y, en lo posible, quién consultó o comunicó los datos [LO7-2021, art. 33.1].
• Cuando sea probable que un tratamiento, en particular con nuevas tecnologías, suponga un alto riesgo, el responsable realizará con carácter previo una evaluación del impacto [LO7-2021, art. 35.1].
• Cuando la autoridad de protección de datos considere que el tratamiento sometido a consulta previa pudiera infringir la ley, deberá asesorar por escrito al responsable y, en su caso, al encargado en un plazo de seis semanas desde la solicitud de la consulta; el plazo podrá prorrogarse un mes según la complejidad, informando de la prórroga y sus motivos en el plazo de un mes desde la recepción de la solicitud. Si no contesta en plazo, no operará la presunción del carácter favorable [LO7-2021, art. 36.4].

5.1. Violaciones de la seguridad

• El responsable notificará la violación a la autoridad de protección de datos, salvo que sea improbable que constituya un peligro para los derechos y libertades, en las setenta y dos horas siguientes a tener constancia; si lo hace después, acompañará los motivos de la dilación [LO7-2021, art. 38.1].
• Si hay indicios de alto riesgo, el responsable la comunicará también al interesado sin dilación indebida [LO7-2021, art. 39.1].
• No se comunica al interesado si los datos eran ininteligibles, como con el cifrado, si se han tomado medidas para que no se materialice el alto riesgo o si supone un esfuerzo desproporcionado; en este último caso se publica «en el boletín oficial correspondiente, en la sede electrónica del responsable del tratamiento o en otro canal oficial que permita una comunicación efectiva con el interesado» [LO7-2021, art. 39.3].

6. Delegado de protección de datos

• Los responsables lo designarán, en todo caso; no están obligados los órganos jurisdiccionales o el Ministerio Fiscal en el ejercicio de sus funciones jurisdiccionales [LO7-2021, art. 40.1].
• Se publican sus datos de contacto y se comunica su designación y cese a la autoridad de protección de datos en diez días [LO7-2021, art. 40.4].
• No podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones, salvo dolo o negligencia grave [LO7-2021, art. 41.2].
• Sus funciones mínimas son informar y asesorar, supervisar el cumplimiento, asesorar sobre la evaluación de impacto, cooperar con la autoridad de protección de datos y actuar como su punto de contacto [LO7-2021, art. 42].

7. Transferencias internacionales

• Toda transferencia a un Estado no miembro de la Unión Europea o a una organización internacional deberá cumplir, entre otras condiciones, que sea necesaria para los fines del artículo 1 y que el destinatario sea un responsable competente para esos fines [LO7-2021, art. 43.1].
• Sin la autorización previa del Estado miembro que facilitó los datos, solo se permite si es necesaria para prevenir una amenaza inmediata y grave para la seguridad pública de un Estado, miembro o no de la Unión, o para los intereses fundamentales de un Estado miembro, y la autorización no puede conseguirse a su debido tiempo; se informará a la autoridad que debía concederla en el plazo máximo de diez días desde la transferencia [LO7-2021, art. 43.2].

8. Autoridades de protección de datos

• Son autoridades independientes la Agencia Española de Protección de Datos y las autoridades autonómicas, estas exclusivamente para los tratamientos de los que sean responsables en su ámbito de competencia [LO7-2021, art. 48].
• La Agencia representa a las autoridades de protección de datos en el Comité Europeo de Protección de Datos [LO7-2021, art. 48].
• Entre sus funciones está tramitar las reclamaciones y controlar la licitud del tratamiento cuando se ejercen los derechos a través de ellas; sus funciones no implican coste alguno para el interesado ni para el delegado [LO7-2021, art. 49.1; LO7-2021, art. 49.3].
• Contra sus actos y resoluciones cabe recurrir ante la jurisdicción contencioso-administrativa [LO7-2021, art. 55.1].

9. Régimen sancionador

9.1. Sujetos responsables

• Están sujetos los responsables y encargados, los representantes de encargados no establecidos en la Unión Europea y las personas obligadas por el deber de colaboración del artículo 7 [LO7-2021, art. 56.2].
• No se aplica al delegado de protección de datos [LO7-2021, art. 56.3].

9.2. Infracciones

• Muy graves, entre otras: el acceso, cesión, alteración y divulgación de datos al margen de los supuestos autorizados, si no es ilícito penal; la negativa a proporcionar información a las autoridades competentes conforme al artículo 7, y el incumplimiento de los plazos de conservación y revisión del artículo 8 [LO7-2021, art. 58].
• Graves, entre otras: la falta de designación de delegado; no atender los derechos de acceso, rectificación, supresión o limitación si no es muy grave, y la falta de colaboración diligente con las autoridades competentes del artículo 7 [LO7-2021, art. 59].
• Leves, entre otras: no facilitar toda la información del artículo 21 y no publicar los datos de contacto del delegado [LO7-2021, art. 60].
• En las infracciones de los artículos 58.j) y 59.j), la potestad sancionadora corresponde, respectivamente, a las personas titulares de la Secretaría de Estado de Seguridad y de las Delegaciones del Gobierno [LO7-2021, art. 61.2].

9.3. Sanciones, prescripción y caducidad

Si el sujeto responsable es uno de los del artículo 77.1 de la Ley Orgánica 3/2018, se aplican las sanciones y medidas de ese artículo [LO7-2021, art. 62.1]. Si es otro, podrá ser sancionado con las multas de la tabla [LO7-2021, art. 62.2]; las columnas de prescripción salen del artículo 63 [LO7-2021, art. 63.1; LO7-2021, art. 63.2]:

• El procedimiento caducará a los seis meses desde su incoación sin notificar la resolución; los procedimientos caducados no interrumpirán la prescripción [LO7-2021, art. 64.1; LO7-2021, art. 64.2].
• No podrán sancionarse hechos ya sancionados penal o administrativamente con identidad de sujeto, de hecho y de fundamento [LO7-2021, art. 65.1].
• Si la conducta pudiera ser delito, el órgano administrativo pasará el tanto de culpa a la autoridad judicial o al Ministerio Fiscal y se abstendrá de seguir mientras no termine el procedimiento penal; quedará vinculado por los hechos declarados probados en vía judicial [LO7-2021, art. 65.2; LO7-2021, art. 65.3].