Regula el tema la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, en sus arts. 1 a 18, que adapta el ordenamiento español al Reglamento (UE) 2016/679 (el «Reglamento general de protección de datos», RGPD) [LO3-2018, art. 2.2.a)], y completa sus disposiciones [LO3-2018, art. 1.a)]. Muchos de sus artículos remiten al RGPD, cuyo texto no se recoge aquí; el resumen expone lo que dice la ley orgánica [LO3-2018, art. 12.1; LO3-2018, art. 13.1]. Sigue el orden del título: disposiciones generales (arts. 1 a 3), principios (arts. 4 a 10) y derechos de las personas (arts. 11 a 18) [LO3-2018, art. 1; LO3-2018, art. 4; LO3-2018, art. 11].
1. Disposiciones generales
1.1. Objeto de la ley
La ley orgánica tiene un doble objeto [LO3-2018, art. 1]:
- a) Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, y completar sus disposiciones [LO3-2018, art. 1.a)].
- b) Garantizar los derechos digitales de la ciudadanía conforme al mandato del art. 18.4 de la Constitución [LO3-2018, art. 1.b)].
El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el art. 18.4 de la Constitución, se ejerce con arreglo al Reglamento (UE) 2016/679 y a esta ley orgánica [LO3-2018, art. 1.a)].
1.2. Ámbito de aplicación
- Los Títulos I a IX y los arts. 89 a 94 se aplican a cualquier tratamiento total o parcialmente automatizado de datos personales y al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero [LO3-2018, art. 2.1].
- La ley no se aplica [LO3-2018, art. 2.2]:
- a) a los tratamientos excluidos del ámbito del RGPD por su art. 2.2, sin perjuicio de los apartados 3 y 4 del art. 2 [LO3-2018, art. 2.2.a)];
- b) a los tratamientos de datos de personas fallecidas, sin perjuicio del art. 3 [LO3-2018, art. 2.2.b)];
- c) a los tratamientos sometidos a la normativa sobre protección de materias clasificadas [LO3-2018, art. 2.2.c)].
- Los tratamientos a los que no sea directamente aplicable el RGPD por afectar a actividades no comprendidas en el ámbito del Derecho de la Unión se rigen por su legislación específica, si la hay, y supletoriamente por el RGPD y por esta ley orgánica [LO3-2018, art. 2.3].
- Están en esa situación, entre otros, los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, los del ámbito de instituciones penitenciarias y los derivados del Registro Civil, los Registros de la Propiedad y Mercantiles [LO3-2018, art. 2.3].
Hay dos reglas propias para la Administración de Justicia [LO3-2018, art. 2.4; LO3-2018, art. 2.5]:
| Tratamiento | Se rige por | Sin perjuicio de |
|---|
| El de los órganos judiciales al tramitar los procesos de su competencia y el de la gestión de la Oficina Judicial [LO3-2018, art. 2.4] | RGPD y esta ley orgánica | Las disposiciones aplicables de la LO 6/1985, del Poder Judicial |
| El del Ministerio Fiscal al tramitar los procesos de su competencia y el realizado con esos fines en la gestión de la Oficina Fiscal [LO3-2018, art. 2.5] | RGPD y esta ley orgánica | La Ley 50/1981, del Estatuto Orgánico del Ministerio Fiscal, la LO 6/1985, del Poder Judicial, y las normas procesales aplicables |
1.3. Datos de las personas fallecidas
- Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden dirigirse al responsable o encargado del tratamiento para solicitar el acceso a sus datos y, en su caso, su rectificación o supresión [LO3-2018, art. 3.1].
- Excepción: no pueden hacerlo cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley [LO3-2018, art. 3.1].
- Esa prohibición no afecta al derecho de los herederos a acceder a los datos de carácter patrimonial del causante [LO3-2018, art. 3.1].
- Las personas o instituciones designadas expresamente por el fallecido pueden también solicitar, con arreglo a las instrucciones recibidas, el acceso a sus datos y, en su caso, su rectificación o supresión [LO3-2018, art. 3.2].
- Un real decreto establecerá los requisitos y condiciones para acreditar la validez y vigencia de esos mandatos e instrucciones y, en su caso, su registro [LO3-2018, art. 3.2].
- Si fallece un menor, estas facultades pueden ejercerlas también sus representantes legales o, en el marco de sus competencias, el Ministerio Fiscal, que puede actuar de oficio o a instancia de cualquier persona física o jurídica interesada [LO3-2018, art. 3.3].
- Si fallece una persona con discapacidad, pueden ejercerlas también, además de los anteriores, quienes hubiesen sido designados para funciones de apoyo, si esas facultades se entienden comprendidas en las medidas de apoyo prestadas [LO3-2018, art. 3.3].
2. Principios de protección de datos
2.1. Exactitud de los datos
- Conforme al art. 5.1.d) del RGPD, los datos serán exactos y, si fuere necesario, actualizados [LO3-2018, art. 4.1].
- No es imputable al responsable la inexactitud de los datos, respecto de los fines para los que se tratan, siempre que haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, cuando los datos inexactos [LO3-2018, art. 4.2]:
- a) se obtuvieron directamente del afectado [LO3-2018, art. 4.2.a)];
- b) se obtuvieron de un mediador o intermediario, cuando las normas del sector de actividad del responsable prevean que un intermediario recoja en nombre propio los datos de los afectados para transmitirlos al responsable [LO3-2018, art. 4.2.b)];
- c) los recibió de otro responsable por el ejercicio del derecho a la portabilidad por el afectado, conforme al art. 20 del RGPD y a esta ley orgánica [LO3-2018, art. 4.2.c)];
- d) se obtuvieron de un registro público [LO3-2018, art. 4.2.d)].
- En el caso b), el mediador o intermediario asume las responsabilidades que puedan derivarse si comunica al responsable datos que no se correspondan con los facilitados por el afectado [LO3-2018, art. 4.2.b)].
2.2. Deber de confidencialidad
- Están sujetos al deber de confidencialidad del art. 5.1.f) del RGPD los responsables y encargados del tratamiento y todas las personas que intervengan en cualquier fase de este [LO3-2018, art. 5.1].
- Esta obligación general es complementaria de los deberes de secreto profesional según su normativa [LO3-2018, art. 5.2].
- Estas obligaciones se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado [LO3-2018, art. 5.3].
2.3. Consentimiento del afectado
- Conforme al art. 4.11 del RGPD, el consentimiento es toda manifestación de voluntad libre, específica, informada e inequívoca por la que el afectado acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de los datos personales que le conciernen [LO3-2018, art. 6.1].
- Si el tratamiento se funda en el consentimiento para una pluralidad de finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas [LO3-2018, art. 6.2].
- No puede supeditarse la ejecución del contrato a que el afectado consienta el tratamiento para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual [LO3-2018, art. 6.3].
2.4. Consentimiento de los menores de edad
- El tratamiento de los datos de un menor solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años [LO3-2018, art. 7.1].
- Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para celebrar el acto o negocio jurídico en cuyo contexto se recaba el consentimiento [LO3-2018, art. 7.1].
- El tratamiento de los datos de los menores de catorce años fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela, con el alcance que estos determinen [LO3-2018, art. 7.2].
2.5. Obligación legal, interés público y poderes públicos
| Base del tratamiento | Requisito |
|---|
| Cumplimiento de una obligación legal exigible al responsable, en los términos del art. 6.1.c) del RGPD [LO3-2018, art. 8.1] | Que lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley |
| Misión realizada en interés público o ejercicio de poderes públicos conferidos al responsable, en los términos del art. 6.1.e) del RGPD [LO3-2018, art. 8.2] | Que derive de una competencia atribuida por una norma con rango de ley |
- En el caso de la obligación legal, la norma puede determinar las condiciones generales del tratamiento, los tipos de datos y las cesiones que procedan [LO3-2018, art. 8.1].
- Puede también imponer condiciones especiales, como medidas adicionales de seguridad u otras del capítulo IV del RGPD [LO3-2018, art. 8.1].
2.6. Categorías especiales de datos
- A los efectos del art. 9.2.a) del RGPD, y para evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico [LO3-2018, art. 9.1].
- Ello no impide tratar esos datos al amparo de los restantes supuestos del art. 9.2 del RGPD, cuando proceda [LO3-2018, art. 9.1].
- Los tratamientos de las letras g), h) e i) del art. 9.2 del RGPD fundados en el Derecho español deben estar amparados en una norma con rango de ley, que puede establecer requisitos adicionales de seguridad y confidencialidad [LO3-2018, art. 9.2].
- En particular, esa norma puede amparar el tratamiento de datos de salud cuando lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte [LO3-2018, art. 9.2].
2.7. Datos de naturaleza penal
Se refiere a los datos sobre condenas e infracciones penales y sobre procedimientos y medidas cautelares y de seguridad conexas [LO3-2018, art. 10.1]:
- Su tratamiento para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales solo puede hacerse si lo ampara una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal [LO3-2018, art. 10.1].
- El registro completo de esos datos, a que se refiere el art. 10 del RGPD, puede realizarse conforme a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia [LO3-2018, art. 10.2].
- Fuera de esos supuestos, solo pueden tratarlos abogados y procuradores, para recoger la información facilitada por sus clientes para el ejercicio de sus funciones [LO3-2018, art. 10.3].
3. Derechos de las personas
3.1. Transparencia e información al afectado
El responsable puede cumplir el deber de información facilitando al afectado una información básica e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información [LO3-2018, art. 11.1; LO3-2018, art. 11.3].
- Datos obtenidos del afectado (deber del art. 13 del RGPD): la información básica contiene, al menos [LO3-2018, art. 11.1; LO3-2018, art. 11.2]:
- a) la identidad del responsable y de su representante, en su caso [LO3-2018, art. 11.2.a)];
- b) la finalidad del tratamiento [LO3-2018, art. 11.2.b)];
- c) la posibilidad de ejercer los derechos de los arts. 15 a 22 del RGPD [LO3-2018, art. 11.2.c)].
- Si los datos se van a tratar para elaborar perfiles, la información básica lo incluye, y el afectado debe ser informado de su derecho a oponerse a decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra ese derecho según el art. 22 del RGPD [LO3-2018, art. 11.2].
- Datos no obtenidos del afectado (deber del art. 14 del RGPD): la información básica incluye también a) las categorías de datos tratados y b) las fuentes de las que proceden [LO3-2018, art. 11.3].
3.2. Disposiciones generales sobre el ejercicio de los derechos
- Los derechos de los arts. 15 a 22 del RGPD pueden ejercerse directamente o por medio de representante legal o voluntario [LO3-2018, art. 12.1].
- El responsable debe informar al afectado de los medios para ejercerlos, que deben ser fácilmente accesibles; el ejercicio no puede denegarse por el solo motivo de que el afectado opte por otro medio [LO3-2018, art. 12.2].
- El encargado puede tramitar, por cuenta del responsable, las solicitudes, si así lo establece el contrato o acto jurídico que los vincula [LO3-2018, art. 12.3].
- La prueba del cumplimiento del deber de responder a la solicitud recae sobre el responsable [LO3-2018, art. 12.4].
- Si las leyes aplicables a ciertos tratamientos establecen un régimen especial que afecte a los derechos del Capítulo III del RGPD, se está a lo que dispongan [LO3-2018, art. 12.5].
- Los titulares de la patria potestad pueden ejercitar, en nombre y representación de los menores de catorce años, los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que les correspondan en el contexto de esta ley orgánica [LO3-2018, art. 12.6].
- Son gratuitas las actuaciones del responsable para atender estas solicitudes, sin perjuicio de los arts. 12.5 y 15.3 del RGPD y de los apartados 3 y 4 del art. 13 de esta ley orgánica [LO3-2018, art. 12.7].
3.3. Derecho de acceso
- Se ejercita conforme al art. 15 del RGPD [LO3-2018, art. 13.1].
- Si el responsable trata una gran cantidad de datos del afectado y este pide acceso sin especificar si se refiere a todos o a una parte, el responsable puede pedirle, antes de facilitar la información, que especifique los datos o actividades de tratamiento a que se refiere [LO3-2018, art. 13.1].
- El derecho se entiende otorgado si el responsable facilita un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a la totalidad de los datos; basta con comunicar al afectado cómo acceder a ese sistema para tener por atendida la solicitud [LO3-2018, art. 13.2].
- Aun así, el interesado puede pedir la información del art. 15.1 del RGPD que no se incluya en el sistema de acceso remoto [LO3-2018, art. 13.2].
- A efectos del art. 12.5 del RGPD, puede considerarse repetitivo el ejercicio del derecho de acceso más de una vez en seis meses, salvo causa legítima [LO3-2018, art. 13.3].
- Si el afectado elige un medio distinto al ofrecido que suponga un coste desproporcionado, la solicitud se considera excesiva y el afectado asume el exceso de costes; en ese caso solo es exigible al responsable atender el derecho de acceso sin dilaciones indebidas [LO3-2018, art. 13.4].
3.4. Derecho de rectificación
- Al ejercer el derecho de rectificación del art. 16 del RGPD, el afectado debe indicar en su solicitud a qué datos se refiere y la corrección que debe hacerse [LO3-2018, art. 14].
- Debe acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o del carácter incompleto de los datos [LO3-2018, art. 14].
3.5. Derecho de supresión
- Se ejerce conforme al art. 17 del RGPD [LO3-2018, art. 15.1].
- Si la supresión deriva del ejercicio del derecho de oposición del art. 21.2 del RGPD, el responsable puede conservar los datos identificativos del afectado necesarios para impedir tratamientos futuros con fines de mercadotecnia directa [LO3-2018, art. 15.2].
3.6. Derecho a la limitación del tratamiento
- Se ejerce conforme al art. 18 del RGPD [LO3-2018, art. 16.1].
- El hecho de que el tratamiento esté limitado debe constar claramente en los sistemas de información del responsable [LO3-2018, art. 16.2].
3.7. Portabilidad, oposición y decisiones individuales automatizadas
- El derecho a la portabilidad se ejerce conforme al art. 20 del RGPD [LO3-2018, art. 17].
- El derecho de oposición y los derechos relacionados con las decisiones individuales automatizadas, incluida la elaboración de perfiles, se ejercen conforme a los arts. 21 y 22 del RGPD, respectivamente [LO3-2018, art. 18].
