El fichero de este tema contiene dos normas: la Ley Orgánica 7/2021, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (LO7-2021), que regula los datos que tratan las autoridades competentes, entre ellas las Fuerzas y Cuerpos de Seguridad [LO7-2021, art. 1] [LO7-2021, art. 4.1.a)], y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LO3-2018), que es la norma general [LO3-2018, art. 1]. De la LO 7/2021 se resumen sus artículos 1 a 42 y de la LO 3/2018 sus artículos 1 a 39. Las relaciones entre policía y sociedad, la policía comunitaria o de proximidad y los sistemas de patrullaje no aparecen en ningún artículo del fichero y quedan como huecos.
1. Recogida y tratamiento de datos por las autoridades policiales
1.1. Objeto y ámbito de la LO 7/2021
- Objeto: proteger a las personas físicas en el tratamiento de sus datos personales por las autoridades competentes con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública [LO7-2021, art. 1].
- Ámbito: se aplica al tratamiento total o parcialmente automatizado y al no automatizado de datos contenidos o destinados a ser incluidos en un fichero, realizado por las autoridades competentes con esos fines [LO7-2021, art. 2.1].
- Personas fallecidas: la ley no se aplica a sus datos, salvo el artículo 3 [LO7-2021, art. 2.4]. Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir el acceso, rectificación o supresión de sus datos [LO7-2021, art. 3.1]; si el fallecido es menor, también sus representantes legales o el Ministerio Fiscal, de oficio o a instancia de interesado [LO7-2021, art. 3.2].
Quedan fuera de la LO 7/2021 [LO7-2021, art. 2.3]:
- los tratamientos de las autoridades competentes para fines distintos de los del artículo 1, incluidos los de archivo por interés público, investigación científica e histórica o estadísticos, que se someten al Reglamento General de Protección de Datos y a la LO 3/2018 [LO7-2021, art. 2.3.a)];
- los de la Administración General del Estado en el marco del capítulo II del título V del Tratado de la Unión Europea [LO7-2021, art. 2.3.b)];
- los que afecten a actividades no comprendidas en el Derecho de la Unión [LO7-2021, art. 2.3.c)];
- los sometidos a la normativa sobre materias clasificadas, como los de la Defensa Nacional [LO7-2021, art. 2.3.d)];
- los realizados en acciones civiles y procedimientos administrativos vinculados con procesos penales que no tengan como objetivo directo los fines del artículo 1 [LO7-2021, art. 2.3.e)].
1.2. Autoridades competentes
Es autoridad competente toda autoridad pública con competencias legales para tratar datos con los fines del artículo 1 [LO7-2021, art. 4.1]. En particular, en el ámbito de sus competencias [LO7-2021, art. 4.1]:
- a) las Fuerzas y Cuerpos de Seguridad [LO7-2021, art. 4.1.a)];
- b) las Administraciones Penitenciarias [LO7-2021, art. 4.1.b)];
- c) la Dirección Adjunta de Vigilancia Aduanera de la Agencia Estatal de Administración Tributaria [LO7-2021, art. 4.1.c)];
- d) el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias [LO7-2021, art. 4.1.d)];
- e) la Comisión de Vigilancia de Actividades de Financiación del Terrorismo [LO7-2021, art. 4.1.e)].
También lo son las Autoridades judiciales del orden jurisdiccional penal y el Ministerio Fiscal [LO7-2021, art. 4.2].
1.3. Definiciones básicas
| Término | Definición legal |
|---|
| Datos personales | Toda información sobre una persona física identificada o identificable («el interesado») [LO7-2021, art. 5.a)] |
| Tratamiento | Cualquier operación sobre datos, automatizada o no: recogida, registro, organización, conservación, consulta, comunicación, supresión o destrucción, entre otras [LO7-2021, art. 5.b)] |
| Limitación del tratamiento | Marcado de los datos conservados para limitar su tratamiento futuro [LO7-2021, art. 5.c)] |
| Elaboración de perfiles | Tratamiento automatizado para evaluar o predecir aspectos personales de una persona física [LO7-2021, art. 5.d)] |
| Seudonimización | Tratamiento que impide atribuir los datos a un interesado sin información adicional guardada por separado [LO7-2021, art. 5.e)] |
| Fichero | Todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, centralizado, descentralizado o dispersado de forma funcional o geográfica [LO7-2021, art. 5.f)] |
| Responsable | La autoridad competente que, sola o con otras, determine los fines y medios del tratamiento [LO7-2021, art. 5.g)] |
| Encargado | Persona física o jurídica, autoridad pública, servicio u organismo que trate datos por cuenta del responsable [LO7-2021, art. 5.h)] |
| Violación de la seguridad | La que ocasione la destrucción, pérdida o alteración accidental o ilícita, o la comunicación o acceso no autorizados a datos [LO7-2021, art. 5.j)] |
| Datos biométricos | Los que permiten o confirman la identificación única de una persona, como imágenes faciales o datos dactiloscópicos [LO7-2021, art. 5.l)] |
1.4. Principios del tratamiento
Los datos personales serán [LO7-2021, art. 6.1]:
- a) tratados de manera lícita y leal [LO7-2021, art. 6.1.a)];
- b) recogidos con fines determinados, explícitos y legítimos, sin tratamiento incompatible con ellos [LO7-2021, art. 6.1.b)];
- c) adecuados, pertinentes y no excesivos respecto a sus fines [LO7-2021, art. 6.1.c)];
- d) exactos y, si es necesario, actualizados, suprimiendo o rectificando sin dilación indebida los inexactos [LO7-2021, art. 6.1.d)];
- e) conservados de forma que permitan identificar al interesado no más del tiempo necesario [LO7-2021, art. 6.1.e)];
- f) tratados con una seguridad adecuada, con medidas técnicas u organizativas [LO7-2021, art. 6.1.f)].
- Los datos recogidos por las autoridades competentes no se tratarán para fines distintos de los del artículo 1, salvo autorización del Derecho de la Unión o de la legislación española; si se tratan para otros fines, se aplican el Reglamento General de Protección de Datos y la LO 3/2018 [LO7-2021, art. 6.2].
- Pueden tratarse para otro fin del artículo 1 si concurren cumulativamente que el responsable sea competente para ese fin y que el tratamiento sea necesario y proporcionado [LO7-2021, art. 6.3].
- El responsable debe garantizar y estar en condiciones de demostrar el cumplimiento de estos principios [LO7-2021, art. 6.5].
- Licitud: el tratamiento solo es lícito si es necesario para los fines del artículo 1 y lo realiza una autoridad competente en ejercicio de sus funciones [LO7-2021, art. 11.1].
1.5. Deber de colaboración con la policía
- Las Administraciones públicas y cualquier persona física o jurídica proporcionarán a las autoridades judiciales, al Ministerio Fiscal o a la Policía Judicial los datos, informes, antecedentes y justificantes que soliciten y sean necesarios para investigar y enjuiciar infracciones penales o ejecutar las penas [LO7-2021, art. 7.1].
- La petición de la Policía Judicial se ajustará a las funciones del artículo 549.1 de la LOPJ y será siempre motivada, concreta y específica, dando cuenta a la autoridad judicial y fiscal [LO7-2021, art. 7.1].
- En los demás casos, los datos se facilitan a las autoridades competentes si son necesarios para la prevención, detección e investigación de infracciones penales y frente a un peligro real y grave para la seguridad pública, con petición concreta, específica y motivada [LO7-2021, art. 7.2].
- No se aplica lo anterior cuando la ley exija autorización judicial para recabar los datos [LO7-2021, art. 7.3].
- El interesado no será informado de la transmisión de sus datos, a fin de garantizar la actividad investigadora [LO7-2021, art. 7.4].
1.6. Categorías de interesados y calidad de los datos
El responsable distinguirá, en la medida de lo posible, entre los datos de [LO7-2021, art. 9]:
- a) personas con motivos fundados para presumir que han cometido, pueden cometer o colaborar en una infracción penal [LO7-2021, art. 9.a)];
- b) personas condenadas o sancionadas por una infracción penal [LO7-2021, art. 9.b)];
- c) víctimas o afectados por una infracción penal, o que puedan serlo [LO7-2021, art. 9.c)];
- d) terceros involucrados, como testigos, personas que puedan informar o contactos y asociados de las personas de las letras a) y b) [LO7-2021, art. 9.d)].
Esta distinción no impide la presunción de inocencia del artículo 24 de la Constitución [LO7-2021, art. 9].
- Se distinguirá, en lo posible, entre datos basados en hechos y datos basados en apreciaciones personales [LO7-2021, art. 10.1].
- No se transmitirán datos inexactos, incompletos o no actualizados, y en toda transmisión se trasladará la valoración de su calidad, exactitud y actualización [LO7-2021, art. 10.2].
1.7. Categorías especiales y decisiones automatizadas
- Los datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos identificativos, de salud, vida u orientación sexual solo se tratarán cuando sea estrictamente necesario, con garantías adecuadas y si concurre alguna de estas circunstancias: previsión en norma con rango de ley o Derecho de la Unión, protección de intereses vitales o derechos fundamentales, o datos hechos manifiestamente públicos por el interesado [LO7-2021, art. 13.1].
- Se prohíben las decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles, con efectos jurídicos negativos o que afecten significativamente al interesado, salvo autorización expresa por norma con rango de ley o Derecho de la Unión, que debe reconocer el derecho a la intervención humana [LO7-2021, art. 14.1].
- Queda prohibida la elaboración de perfiles que discrimine sobre la base de las categorías especiales [LO7-2021, art. 14.3].
1.8. Grabación de imágenes y sonido por las Fuerzas y Cuerpos de Seguridad
- La captación, reproducción y tratamiento de datos por las Fuerzas y Cuerpos de Seguridad conforme a la ley no son intromisiones ilegítimas en el honor, la intimidad y la propia imagen [LO7-2021, art. 15.1].
- Criterios de instalación, conforme al principio de proporcionalidad: proteger edificios e instalaciones propias, edificios e instalaciones públicas bajo custodia, instalaciones útiles para la seguridad nacional, y prevenir, detectar o investigar infracciones penales [LO7-2021, art. 15.2].
- Videocámaras fijas en vías o lugares públicos: el responsable valora la proporcionalidad en su doble versión de idoneidad e intervención mínima y realiza un análisis de riesgos o una evaluación de impacto [LO7-2021, art. 16.1]. Es fija la anclada a un soporte fijo o fachada, aunque se mueva en cualquier dirección [LO7-2021, art. 16.1].
- Los ciudadanos serán informados de forma clara y permanente de su existencia, sin especificar su emplazamiento [LO7-2021, art. 16.5].
Plazos de los dispositivos móviles y de las grabaciones [LO7-2021, art. 17] [LO7-2021, art. 18]:
| Supuesto | Regla |
|---|
| Autorización de dispositivos móviles | Delegación o Subdelegación del Gobierno; en las policías autonómicas con competencias, sus órganos, también para las dependientes de las Corporaciones locales de su territorio [LO7-2021, art. 17.1] |
| Duración de la autorización | Nunca indefinida; máximo un mes prorrogable por otro [LO7-2021, art. 17.2] |
| Urgencia | Decide el responsable operativo y lo comunica en 24 horas [LO7-2021, art. 17.3] |
| Grabación de posible infracción penal | Original a disposición judicial en un máximo de setenta y dos horas [LO7-2021, art. 18.1] |
| Infracción administrativa de seguridad pública | Remisión inmediata al órgano competente [LO7-2021, art. 18.2] |
| Destrucción | Máximo tres meses desde la captación, salvo investigación o procedimiento abierto [LO7-2021, art. 18.3] |
Son faltas muy graves en el régimen disciplinario de las Fuerzas y Cuerpos de Seguridad del Estado: alterar o manipular los registros de imágenes y sonidos, si no es delito; permitir el acceso de personas no autorizadas o usarlos para fines distintos; reproducirlos para fines distintos, y utilizar los medios técnicos para fines distintos [LO7-2021, art. 19.2].
2. Creación y gestión de archivos
2.1. Conservación y revisión
- Los datos se conservan solo el tiempo necesario para los fines del artículo 1 [LO7-2021, art. 8.1].
- El responsable revisará la necesidad de conservar, limitar o suprimir los datos como máximo cada tres años, atendiendo a la edad del afectado, el carácter de los datos y la conclusión de la investigación o procedimiento [LO7-2021, art. 8.2].
- Con carácter general, el plazo máximo para la supresión es de veinte años, salvo investigaciones abiertas, delitos no prescritos, ejecución de pena no concluida, reincidencia, protección de víctimas u otras circunstancias motivadas [LO7-2021, art. 8.3].
2.2. Registros
- Cada responsable conserva un registro de actividades de tratamiento con, entre otros datos, su identificación, los fines, las categorías de destinatarios, de interesados y de datos, el recurso a perfiles, la base jurídica y los plazos de supresión [LO7-2021, art. 32.1].
- Los registros se llevan por escrito, incluido el formato electrónico, y están a disposición de la autoridad de protección de datos [LO7-2021, art. 32.3]; los responsables hacen público el registro por medios electrónicos [LO7-2021, art. 32.4].
- En sistemas automatizados se mantiene un registro de operaciones de recogida, alteración, consulta, comunicación, combinación o supresión; los de consulta y comunicación permiten saber la justificación, la fecha y la hora y, si es posible, quién consultó o comunicó los datos [LO7-2021, art. 33.1].
- En la LO 3/2018, responsables y encargados mantienen el registro de actividades del artículo 30 del Reglamento [LO3-2018, art. 31.1], y los sujetos del artículo 77.1 publican un inventario de actividades por medios electrónicos [LO3-2018, art. 31.2].
2.3. Nuevos ficheros: evaluación de impacto y consulta previa
- Si un tratamiento, en particular con nuevas tecnologías, puede suponer un alto riesgo, el responsable hará con carácter previo una evaluación de impacto [LO7-2021, art. 35.1].
- Antes de tratar datos que vayan a formar parte de un nuevo fichero, se consultará a la autoridad de protección de datos si la evaluación indica alto riesgo sin medidas de mitigación o si se usan tecnologías nuevas de alto riesgo [LO7-2021, art. 36.1].
- La autoridad asesora por escrito en seis semanas, prorrogables un mes; si no contesta, no opera la presunción del carácter favorable [LO7-2021, art. 36.4].
2.4. Seguridad y violaciones de seguridad
- Responsable y encargado aplican medidas técnicas y organizativas para un nivel de seguridad adecuado y, en particular, las del Esquema Nacional de Seguridad [LO7-2021, art. 37.1].
- En tratamientos automatizados se establecen controles de acceso a equipamientos, soportes, almacenamiento, usuarios, acceso a datos, transmisión, introducción, transporte, restablecimiento y fiabilidad e integridad [LO7-2021, art. 37.2].
- Toda violación de seguridad se notifica a la autoridad de protección de datos en setenta y dos horas desde que se tenga constancia, salvo que sea improbable el peligro; si no, con los motivos de la dilación [LO7-2021, art. 38.1].
- Si supone alto riesgo, se comunica al interesado sin dilación indebida [LO7-2021, art. 39.1], salvo cifrado u otras medidas previas, medidas ulteriores o esfuerzo desproporcionado; en este último caso se publica en el boletín oficial correspondiente, en la sede electrónica del responsable o en «otro canal oficial» que permita una comunicación efectiva [LO7-2021, art. 39.3].
2.5. Bloqueo de datos y archivo en la LO 3/2018
- El responsable está obligado a bloquear los datos cuando los rectifique o suprima [LO3-2018, art. 32.1].
- El bloqueo es la identificación y reserva de los datos para impedir su tratamiento, salvo su puesta a disposición de jueces, tribunales, Ministerio Fiscal o Administraciones competentes para exigir responsabilidades, solo durante su prescripción; después se destruyen [LO3-2018, art. 32.2].
- Es lícito el tratamiento por las Administraciones Públicas de datos con fines de archivo en interés público [LO3-2018, art. 26].
3. Protección de datos de carácter personal
3.1. La LO 3/2018: objeto y ámbito
- Adapta el ordenamiento al Reglamento (UE) 2016/679 y garantiza los derechos digitales; el derecho fundamental a la protección de datos está amparado por el artículo 18.4 de la Constitución [LO3-2018, art. 1].
- No se aplica a los tratamientos excluidos por el artículo 2.2 del Reglamento, a los de personas fallecidas (salvo el artículo 3) ni a los de materias clasificadas [LO3-2018, art. 2.2].
- Los familiares y herederos del fallecido pueden pedir acceso, rectificación o supresión, salvo prohibición expresa del fallecido o de la ley, que no afecta al acceso de los herederos a datos patrimoniales [LO3-2018, art. 3.1].
3.2. Principios y bases del tratamiento
- Todos los que intervengan en el tratamiento tienen deber de confidencialidad, complementario del secreto profesional, que se mantiene aunque termine la relación [LO3-2018, art. 5].
- Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o clara acción afirmativa [LO3-2018, art. 6.1].
- Menores: pueden consentir desde los catorce años [LO3-2018, art. 7.1]; por debajo, se requiere el consentimiento del titular de la patria potestad o tutela [LO3-2018, art. 7.2].
- La obligación legal, el interés público o el ejercicio de poderes públicos como base del tratamiento exigen una norma con rango de ley [LO3-2018, art. 8].
- El solo consentimiento no basta para tratar datos cuya finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico [LO3-2018, art. 9.1].
- Los datos penales para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales necesitan amparo en norma de la Unión o de rango legal [LO3-2018, art. 10.1].
3.3. Derechos del afectado
- Información básica: identidad del responsable, finalidad y posibilidad de ejercer los derechos [LO3-2018, art. 11.2].
- Los derechos se ejercen directamente o por representante legal o voluntario, y las actuaciones del responsable son gratuitas [LO3-2018, art. 12.1] [LO3-2018, art. 12.7].
- El acceso puede considerarse repetitivo si se ejerce más de una vez en seis meses, salvo causa legítima [LO3-2018, art. 13.3].
- En la rectificación, el afectado indica qué datos y qué corrección pide [LO3-2018, art. 14].
En la LO 7/2021, los derechos del interesado frente a las autoridades competentes tienen estas reglas [LO7-2021, art. 20]:
- El responsable informa por escrito del curso de la solicitud; se entiende desestimada si en un mes no se resuelve y notifica [LO7-2021, art. 20.4].
- La información es gratuita; se considera repetitiva la solicitud hecha tres veces sobre el mismo supuesto en seis meses [LO7-2021, art. 20.5].
- El interesado tiene derecho de acceso a sus datos y a conocer, entre otros, los fines, los destinatarios y el plazo de conservación [LO7-2021, art. 22.1].
- La supresión se hace sin dilación indebida y, en todo caso, en un mes [LO7-2021, art. 23.2]; en lugar de suprimir se limita el tratamiento si se duda de la exactitud o los datos deben conservarse como prueba [LO7-2021, art. 23.3].
- El responsable puede restringir los derechos cuando sea necesario y proporcional para no obstaculizar investigaciones, prevenir infracciones penales, proteger la seguridad pública o la Seguridad Nacional o los derechos de otros [LO7-2021, art. 24.1]; el interesado puede entonces ejercerlos a través de la autoridad de protección de datos [LO7-2021, art. 25.1].
3.4. Videovigilancia en la LO 3/2018
- Personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes para preservar la seguridad de personas, bienes e instalaciones [LO3-2018, art. 22.1], y captar la vía pública solo en lo imprescindible [LO3-2018, art. 22.2].
- Las imágenes se suprimen en un mes, salvo que acrediten actos contra personas, bienes o instalaciones; entonces se ponen a disposición de la autoridad en setenta y dos horas [LO3-2018, art. 22.3].
- Las cámaras de las Fuerzas y Cuerpos de Seguridad con fines penales o de seguridad pública se rigen por la legislación de transposición de la Directiva (UE) 2016/680 [LO3-2018, art. 22.6].
3.5. Responsable, encargado y delegado de protección de datos
- El encargado no recurrirá a otro encargado sin autorización previa por escrito del responsable [LO7-2021, art. 30.2], y si determina fines y medios infringiendo la ley será considerado responsable [LO7-2021, art. 30.4].
- En la LO 7/2021, los responsables designarán en todo caso un delegado de protección de datos, salvo órganos jurisdiccionales y Ministerio Fiscal en funciones jurisdiccionales [LO7-2021, art. 40.1]; su designación y cese se comunican en diez días [LO7-2021, art. 40.4].
- El delegado no puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave [LO7-2021, art. 41.2].
- Sus funciones son informar y asesorar, supervisar el cumplimiento, asesorar sobre la evaluación de impacto, cooperar con la autoridad y actuar como su punto de contacto [LO7-2021, art. 42].
- En la LO 3/2018 deben designarlo, entre otras entidades, los colegios profesionales, los centros docentes y universidades, los establecimientos financieros de crédito, las aseguradoras, los centros sanitarios con historias clínicas (no los profesionales a título individual), las empresas de seguridad privada y las federaciones deportivas que traten datos de menores [LO3-2018, art. 34.1].
- Las designaciones, nombramientos y ceses se comunican en diez días a la Agencia Española de Protección de Datos o a la autoridad autonómica [LO3-2018, art. 34.3].
- Si el afectado se dirige al delegado antes de reclamar, este responde en un máximo de dos meses; si la autoridad le remite la reclamación, responde en un mes [LO3-2018, art. 37].
