Tema 51. La protección de datos. Régimen jurídico. Principios y derechos de los ciudadanos. La seguridad de la información.

El tema se estudia con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LO3-2018), que adapta el ordenamiento español al Reglamento (UE) 2016/679 y garantiza los derechos digitales de la ciudadanía [LO3-2018, art. 1]. Por la amplitud de la ley, el resumen sigue el orden del título y se centra en lo más preguntado: régimen jurídico (objeto, ámbito, autoridades, delegado, procedimiento y sanciones), principios, derechos de los ciudadanos y reglas sobre la seguridad de la información.

1. La protección de datos y su régimen jurídico

1.1. Objeto y ámbito

• La ley tiene un doble objeto: adaptar el ordenamiento español al Reglamento (UE) 2016/679 y completar sus disposiciones, y garantizar los derechos digitales de la ciudadanía conforme al artículo 18.4 de la Constitución [LO3-2018, art. 1].
• El derecho fundamental de las personas físicas a la protección de datos, amparado por el artículo 18.4 de la Constitución, se ejerce con arreglo al Reglamento y a esta ley orgánica [LO3-2018, art. 1.a)].
• Se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a ser incluidos en un fichero [LO3-2018, art. 2.1].
• No se aplica a los tratamientos excluidos por el artículo 2.2 del Reglamento, a los datos de personas fallecidas (sin perjuicio del artículo 3) ni a los sometidos a la normativa sobre materias clasificadas [LO3-2018, art. 2.2].
• Se rigen por su legislación específica, si la hubiere, y supletoriamente por el Reglamento y la ley, entre otros, los tratamientos del régimen electoral general, de instituciones penitenciarias y del Registro Civil y los Registros de la Propiedad y Mercantiles [LO3-2018, art. 2.3].

1.2. Datos de las personas fallecidas

• Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir al responsable o encargado el acceso a sus datos y, en su caso, su rectificación o supresión, salvo que el fallecido lo prohibiera expresamente o lo establezca una ley; esa prohibición no afecta al derecho de los herederos a acceder a los datos de carácter patrimonial [LO3-2018, art. 3.1].
• Si fallece un menor, pueden ejercer estas facultades también sus representantes legales o el Ministerio Fiscal, de oficio o a instancia de cualquier persona física o jurídica interesada [LO3-2018, art. 3.3].

1.3. La Agencia Española de Protección de Datos

• Es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos; se relaciona con el Gobierno a través del Ministerio de Justicia [LO3-2018, art. 44.1].
• Es el representante común de las autoridades de protección de datos del Reino de España en el Comité Europeo de Protección de Datos [LO3-2018, art. 44.2].
• Su Estatuto lo aprueba el Gobierno mediante real decreto, a propuesta de la Agencia [LO3-2018, art. 45.2].

Las modificaciones presupuestarias se autorizan así [LO3-2018, art. 46.2]:

Sobre la Presidencia de la Agencia rigen estas reglas [LO3-2018, art. 48]:

• Dirige la Agencia, ostenta su representación y dicta sus resoluciones, circulares y directrices [LO3-2018, art. 48.1].
• Está auxiliada por un Adjunto, en el que puede delegar sus funciones salvo las de los procedimientos del Título VIII [LO3-2018, art. 48.2].
• Presidencia y Adjunto son nombrados por el Gobierno, a propuesta del Ministerio de Justicia; la propuesta debe ratificarla la Comisión de Justicia del Congreso por tres quintos de sus miembros en primera votación o, si no, por mayoría absoluta en segunda, con votos de Diputados de al menos dos grupos parlamentarios diferentes [LO3-2018, art. 48.3].
• Se nombran por el Consejo de Ministros mediante real decreto [LO3-2018, art. 48.4].
• El mandato dura cinco años, renovable por otro período igual; solo cesan antes a petición propia o por separación del Consejo de Ministros por incumplimiento grave, incapacidad sobrevenida, incompatibilidad o condena firme por delito doloso [LO3-2018, art. 48.5].
• Sus actos y disposiciones ponen fin a la vía administrativa y son recurribles directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional [LO3-2018, art. 48.6].

El Consejo Consultivo asesora a la Presidencia [LO3-2018, art. 49.1]; se reúne cuando lo disponga la Presidencia y, en todo caso, una vez al semestre [LO3-2018, art. 49.4], y sus decisiones no tienen en ningún caso carácter vinculante [LO3-2018, art. 49.5].

Las autoridades autonómicas pueden ejercer las funciones y potestades de los artículos 57 y 58 del Reglamento sobre, entre otros, los tratamientos del sector público autonómico y de las Entidades Locales de su territorio [LO3-2018, art. 57.1].

1.4. Responsable, encargado y delegado de protección de datos

• Responsables y encargados determinan las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme, y valoran si procede la evaluación de impacto y la consulta previa [LO3-2018, art. 28.1].
• El acceso del encargado a los datos necesarios para prestar el servicio no es comunicación de datos [LO3-2018, art. 33.1]; es responsable, y no encargado, quien los utiliza para sus propias finalidades [LO3-2018, art. 33.2].
• Responsables y encargados deberán mantener el registro de actividades de tratamiento [LO3-2018, art. 31.1].
• Deben designar un delegado de protección de datos, en todo caso, entre otras entidades: los colegios profesionales, los centros docentes y las Universidades públicas y privadas, las entidades de crédito, las aseguradoras y reaseguradoras, los centros sanitarios obligados a mantener historias clínicas, los operadores de juego por canales electrónicos, las empresas de seguridad privada y las federaciones deportivas cuando traten datos de menores [LO3-2018, art. 34.1].
• Se exceptúan los profesionales de la salud que ejerzan a título individual, aunque estén obligados a mantener historias clínicas [LO3-2018, art. 34.1.l)]. Los demás pueden designarlo voluntariamente [LO3-2018, art. 34.2].
• Designaciones, nombramientos y ceses se comunican en diez días a la Agencia o a la autoridad autonómica, sea la designación obligatoria o voluntaria [LO3-2018, art. 34.3].
• El delegado es el interlocutor ante las autoridades de protección de datos [LO3-2018, art. 36.1]; si es persona física integrada en la organización, no puede ser removido ni sancionado por desempeñar sus funciones salvo dolo o negligencia grave [LO3-2018, art. 36.2].
• El afectado puede dirigirse al delegado antes de reclamar ante la autoridad, y el delegado le comunica la decisión en un máximo de dos meses [LO3-2018, art. 37.1]; si la autoridad le remite una reclamación, debe responder en un mes [LO3-2018, art. 37.2].

1.5. Procedimiento ante la Agencia

La tabla sale del artículo 64 [LO3-2018, art. 64.1; LO3-2018, art. 64.2; LO3-2018, art. 64.3]. La admisión o inadmisión de una reclamación se notifica al reclamante en tres meses [LO3-2018, art. 65.5], y las actuaciones previas de investigación no pueden durar más de dieciocho meses [LO3-2018, art. 67.2].

1.6. Régimen sancionador

• Están sujetos los responsables, los encargados, los representantes de los no establecidos en la Unión, las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta [LO3-2018, art. 70.1]; no el delegado de protección de datos [LO3-2018, art. 70.2].

La tabla resume tres artículos [LO3-2018, art. 72.1; LO3-2018, art. 73; LO3-2018, art. 74]. Interrumpe la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador; el plazo se reinicia si está paralizado más de seis meses por causas no imputables al presunto infractor [LO3-2018, art. 75].

• Se publica en el BOE la identidad del infractor, la infracción y la sanción cuando la autoridad es la Agencia, la sanción supera un millón de euros y el infractor es persona jurídica [LO3-2018, art. 76.4].
• Las sanciones prescriben en un año si son de hasta 40.000 euros, en dos años si van de 40.001 a 300.000 euros y en tres años si superan 300.000 euros [LO3-2018, art. 78.1].
• Si la infractora es una Administración Pública u otro sujeto del artículo 77.1 (entre ellos las entidades de la Administración Local y los grupos políticos de las Corporaciones Locales), la autoridad dicta resolución declarando la infracción y las medidas para que cese o se corrijan sus efectos [LO3-2018, art. 77.2].

2. Principios de protección de datos

• Los datos serán exactos y, si fuere necesario, actualizados [LO3-2018, art. 4.1]. Si el responsable adoptó las medidas razonables para suprimirlos o rectificarlos sin dilación, no le es imputable la inexactitud de datos obtenidos, entre otros casos, directamente del afectado o de un registro público [LO3-2018, art. 4.2].
• Responsables, encargados y todas las personas que intervengan en cualquier fase del tratamiento están sujetos al deber de confidencialidad [LO3-2018, art. 5.1], complementario del secreto profesional [LO3-2018, art. 5.2], que se mantiene aun cuando haya finalizado la relación con el responsable o encargado [LO3-2018, art. 5.3].
• Es consentimiento toda manifestación de voluntad libre, específica, informada e inequívoca por la que el afectado acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos [LO3-2018, art. 6.1].
• Si se pide para una pluralidad de finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas [LO3-2018, art. 6.2].
• No puede supeditarse la ejecución del contrato a que el afectado consienta tratamientos para finalidades que no guarden relación con la relación contractual [LO3-2018, art. 6.3].

La tabla resume el artículo 7 [LO3-2018, art. 7.1; LO3-2018, art. 7.2].

• El tratamiento por obligación legal exige una norma de Derecho de la Unión Europea o una norma con rango de ley [LO3-2018, art. 8.1]; el basado en una misión de interés público o poderes públicos, una competencia atribuida por norma con rango de ley [LO3-2018, art. 8.2].
• El solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico [LO3-2018, art. 9.1].
• Los datos sobre condenas e infracciones penales, para fines distintos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, solo pueden tratarse si lo ampara una norma de Derecho de la Unión, esta ley orgánica u otra norma de rango legal [LO3-2018, art. 10.1].

3. Derechos de los ciudadanos

3.1. Información y reglas de ejercicio

• Si los datos se obtienen del afectado, el responsable puede dar una información básica e indicar una dirección electrónica u otro medio para acceder al resto [LO3-2018, art. 11.1]. Esa información contiene al menos la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos de los artículos 15 a 22 del Reglamento [LO3-2018, art. 11.2].
• Los derechos pueden ejercerse directamente o por representante legal o voluntario [LO3-2018, art. 12.1].
• El responsable estará obligado a informar de los medios para ejercerlos, que serán fácilmente accesibles; no puede denegarse el derecho solo porque el afectado opte por otro medio [LO3-2018, art. 12.2].
• La prueba de haber respondido recae sobre el responsable [LO3-2018, art. 12.4].
• Los titulares de la patria potestad pueden ejercer en nombre de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros [LO3-2018, art. 12.6].
• Atender estas solicitudes es gratuito, sin perjuicio de las excepciones del Reglamento y de los apartados 3 y 4 del artículo 13 [LO3-2018, art. 12.7].

3.2. Cada derecho

• Acceso: si el responsable trata una gran cantidad de datos y el afectado no concreta, puede pedirle que especifique los datos o actividades [LO3-2018, art. 13.1]. Se entiende otorgado con un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a la totalidad de los datos [LO3-2018, art. 13.2]. Puede considerarse repetitivo ejercerlo en más de una ocasión durante seis meses, salvo causa legítima [LO3-2018, art. 13.3].
• Rectificación: el afectado indicará a qué datos se refiere y la corrección, con la documentación justificativa cuando sea precisa [LO3-2018, art. 14].
• Supresión: si deriva de la oposición del artículo 21.2 del Reglamento, el responsable puede conservar los datos identificativos necesarios para impedir tratamientos futuros de mercadotecnia directa [LO3-2018, art. 15.2].
• Limitación: debe constar claramente en los sistemas de información del responsable [LO3-2018, art. 16.2].
• Portabilidad y oposición, incluidas las decisiones automatizadas y los perfiles, se ejercen conforme a los artículos 20, 21 y 22 del Reglamento [LO3-2018, art. 17; LO3-2018, art. 18].

3.3. Videovigilancia y publicación de actos

• Personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes de cámaras o videocámaras para preservar la seguridad de las personas y bienes y de sus instalaciones [LO3-2018, art. 22.1].
• Solo pueden captarse imágenes de la vía pública en la medida imprescindible; cabe una extensión superior para bienes o instalaciones estratégicos o infraestructuras vinculadas al transporte, pero nunca del interior de un domicilio privado [LO3-2018, art. 22.2].
• Las imágenes se suprimen en un máximo de un mes, salvo que deban conservarse para acreditar actos contra la integridad de personas, bienes o instalaciones; entonces se ponen a disposición de la autoridad competente en un máximo de setenta y dos horas desde que se conozca la grabación [LO3-2018, art. 22.3].
• El deber de información se cumple con un dispositivo informativo en lugar suficientemente visible que identifique, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos [LO3-2018, art. 22.4].
• Las imágenes y sonidos de las Fuerzas y Cuerpos de Seguridad, de los órganos de vigilancia de los centros penitenciarios y de los de control del tráfico se rigen por la legislación de transposición de la Directiva (UE) 2016/680 cuando el tratamiento tiene fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales [LO3-2018, art. 22.6].
• Al publicar un acto administrativo con datos personales, se identifica al afectado con nombre y apellidos y cuatro cifras numéricas aleatorias del DNI, NIE, pasaporte o documento equivalente; en la notificación por anuncios, exclusivamente con el número completo del documento; en ningún caso se publican juntos nombre y apellidos y número completo [LO3-2018, disp. adic. séptima].

3.4. Derechos digitales

• Todos tienen derecho a acceder a Internet independientemente de su condición personal, social, económica o geográfica [LO3-2018, art. 81.1].
• Trabajadores y empleados públicos tienen derecho a la desconexión digital fuera del tiempo de trabajo [LO3-2018, art. 88.1]; el empleador, previa audiencia de los representantes de los trabajadores, elaborará una política interna que evite el riesgo de fatiga informática [LO3-2018, art. 88.3].
• En ningún caso se admite grabación de sonidos ni videovigilancia en lugares de descanso o esparcimiento: vestuarios, aseos, comedores y análogos [LO3-2018, art. 89.2].
• Olvido en buscadores: los motores de búsqueda deben eliminar de los resultados por el nombre los enlaces con información inadecuada, inexacta, no pertinente, no actualizada o excesiva [LO3-2018, art. 93.1].
• Olvido en redes sociales: se suprimen a simple solicitud los datos que la persona facilitó para su publicación [LO3-2018, art. 94.1]; si los facilitó, ella o terceros, durante su minoría de edad, el prestador debe suprimirlos sin dilación [LO3-2018, art. 94.3].
• Testamento digital: familiares, personas vinculadas de hecho y herederos pueden acceder a los contenidos del fallecido, salvo prohibición expresa o legal, que no afecta a los contenidos del caudal relicto [LO3-2018, art. 96.1].

4. La seguridad de la información

• El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en el tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado [LO3-2018, disp. adic. primera].
• Los responsables del artículo 77.1 deberán aplicar las medidas del Esquema Nacional de Seguridad; si un tercero presta el servicio por concesión, encomienda de gestión o contrato, las medidas se corresponden con las de la Administración de origen [LO3-2018, disp. adic. primera].
• Al adoptar medidas, responsables y encargados tendrán en cuenta los mayores riesgos, entre otros, de usurpación de identidad o fraude, tratamiento de categorías especiales, elaboración de perfiles, afectados menores o con discapacidad y tratamientos masivos [LO3-2018, art. 28.2].
• El responsable estará obligado a bloquear los datos cuando proceda a su rectificación o supresión [LO3-2018, art. 32.1].
• El bloqueo es la identificación y reserva de los datos para impedir su tratamiento, incluida su visualización, salvo su puesta a disposición de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, y solo por el plazo de prescripción de las responsabilidades; después, los datos se destruyen [LO3-2018, art. 32.2].
• Si el sistema no permite el bloqueo o exige un esfuerzo desproporcionado, se hace un copiado seguro que acredite la autenticidad, la fecha del bloqueo y la no manipulación [LO3-2018, art. 32.4].
• Los usuarios tienen derecho a la seguridad de las comunicaciones que transmitan y reciban a través de Internet [LO3-2018, art. 82].
• Son graves no adoptar medidas para un nivel de seguridad adecuado al riesgo, el quebrantamiento por falta de diligencia de las medidas implantadas y no notificar a la autoridad una violación de seguridad [LO3-2018, art. 73]. Son leves la notificación incompleta, tardía o defectuosa de una violación de seguridad y no documentarla [LO3-2018, art. 74].