Tema 4. Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos Personales y garantía de los derechos digitales: Principios de protección de datos. Derechos de las personas. Transparencia e información. Ejercicio de los Derechos.

Regulan el tema los artículos 4 a 18 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LO3-2018): los principios de protección de datos (arts. 4 a 10), la transparencia e información al afectado (art. 11) y el ejercicio de los derechos (arts. 12 a 18) [LO3-2018, art. 4; LO3-2018, art. 11; LO3-2018, art. 12]. Casi todos sus preceptos completan o remiten al Reglamento (UE) 2016/679, cuyo texto no forma parte de este resumen: aquí se expone solo lo que añade la ley orgánica [LO3-2018, art. 4.1; LO3-2018, art. 12.1].

1. Principios de protección de datos

Para cada principio, la ley orgánica toma como base un precepto del Reglamento (UE) 2016/679 y lo concreta [LO3-2018, art. 4.1; LO3-2018, art. 5.1]:

1.1. Exactitud de los datos

• Conforme al art. 5.1.d) del RGPD, los datos serán exactos y, si fuere necesario, actualizados [LO3-2018, art. 4.1].
• No es imputable al responsable la inexactitud de los datos, respecto de los fines para los que se tratan, siempre que haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, cuando los datos inexactos [LO3-2018, art. 4.2]:
• a) se obtuvieron directamente del afectado [LO3-2018, art. 4.2.a)];
• b) se obtuvieron de un mediador o intermediario, cuando las normas del sector de actividad del responsable prevean que un intermediario recoja en nombre propio los datos de los afectados para transmitirlos al responsable [LO3-2018, art. 4.2.b)];
• c) los recibió de otro responsable por el ejercicio del derecho a la portabilidad por el afectado, conforme al art. 20 del RGPD y a esta ley orgánica [LO3-2018, art. 4.2.c)];
• d) se obtuvieron de un registro público [LO3-2018, art. 4.2.d)].
• En el caso b), el mediador o intermediario asume las responsabilidades que puedan derivarse si comunica al responsable datos que no se correspondan con los facilitados por el afectado [LO3-2018, art. 4.2.b)].

1.2. Deber de confidencialidad

• Están sujetos al deber de confidencialidad del art. 5.1.f) del RGPD los responsables y encargados del tratamiento y todas las personas que intervengan en cualquier fase de este [LO3-2018, art. 5.1].
• Esta obligación general es complementaria de los deberes de secreto profesional según su normativa [LO3-2018, art. 5.2].
• Estas obligaciones se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado [LO3-2018, art. 5.3].

1.3. Consentimiento del afectado

• Conforme al art. 4.11 del RGPD, el consentimiento es toda manifestación de voluntad libre, específica, informada e inequívoca por la que el afectado acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de los datos personales que le conciernen [LO3-2018, art. 6.1].
• Si el tratamiento se funda en el consentimiento para una pluralidad de finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas [LO3-2018, art. 6.2].
• No puede supeditarse la ejecución del contrato a que el afectado consienta el tratamiento para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual [LO3-2018, art. 6.3].

1.4. Consentimiento de los menores de edad

• El tratamiento de los datos de un menor solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años [LO3-2018, art. 7.1].
• Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para celebrar el acto o negocio jurídico en cuyo contexto se recaba el consentimiento [LO3-2018, art. 7.1].
• El tratamiento de los datos de los menores de catorce años fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela, con el alcance que estos determinen [LO3-2018, art. 7.2].

1.5. Obligación legal, interés público y poderes públicos

• En el caso de la obligación legal, la norma puede determinar las condiciones generales del tratamiento, los tipos de datos y las cesiones que procedan [LO3-2018, art. 8.1].
• Puede también imponer condiciones especiales, como medidas adicionales de seguridad u otras del capítulo IV del RGPD [LO3-2018, art. 8.1].

1.6. Categorías especiales de datos

• A los efectos del art. 9.2.a) del RGPD, y para evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico [LO3-2018, art. 9.1].
• Ello no impide tratar esos datos al amparo de los restantes supuestos del art. 9.2 del RGPD, cuando proceda [LO3-2018, art. 9.1].
• Los tratamientos de las letras g), h) e i) del art. 9.2 del RGPD fundados en el Derecho español deben estar amparados en una norma con rango de ley, que puede establecer requisitos adicionales de seguridad y confidencialidad [LO3-2018, art. 9.2].
• En particular, esa norma puede amparar el tratamiento de datos de salud cuando lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte [LO3-2018, art. 9.2].

1.7. Datos de naturaleza penal

Se refiere a los datos sobre condenas e infracciones penales y sobre procedimientos y medidas cautelares y de seguridad conexas [LO3-2018, art. 10.1]:

• Su tratamiento para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales solo puede hacerse si lo ampara una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal [LO3-2018, art. 10.1].
• El registro completo de esos datos, a que se refiere el art. 10 del RGPD, puede realizarse conforme a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia [LO3-2018, art. 10.2].
• Fuera de esos supuestos, solo pueden tratarlos abogados y procuradores, para recoger la información facilitada por sus clientes para el ejercicio de sus funciones [LO3-2018, art. 10.3].

2. Derechos de las personas

Los derechos de las personas que la ley orgánica desarrolla son los reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 [LO3-2018, art. 12.1]. Cada uno se ejerce según su precepto del Reglamento, con las reglas propias que añade la ley:

• El derecho a la portabilidad tiene, además, un efecto en el principio de exactitud: el responsable que recibe los datos de otro responsable por la portabilidad no responde de su inexactitud si adoptó las medidas razonables para suprimirlos o rectificarlos sin dilación [LO3-2018, art. 4.2.c)].
• El derecho a oponerse a decisiones individuales automatizadas forma parte de la información básica cuando los datos se van a usar para elaborar perfiles [LO3-2018, art. 11.2].

3. Transparencia e información

El responsable puede cumplir el deber de información facilitando al afectado una información básica e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información [LO3-2018, art. 11.1; LO3-2018, art. 11.3].

• Datos obtenidos del afectado (deber del art. 13 del RGPD): la información básica contiene, al menos [LO3-2018, art. 11.1; LO3-2018, art. 11.2]:
• a) la identidad del responsable y de su representante, en su caso [LO3-2018, art. 11.2.a)];
• b) la finalidad del tratamiento [LO3-2018, art. 11.2.b)];
• c) la posibilidad de ejercer los derechos de los arts. 15 a 22 del RGPD [LO3-2018, art. 11.2.c)].
• Si los datos se van a tratar para elaborar perfiles, la información básica lo incluye, y el afectado debe ser informado de su derecho a oponerse a decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra ese derecho según el art. 22 del RGPD [LO3-2018, art. 11.2].
• Datos no obtenidos del afectado (deber del art. 14 del RGPD): la información básica incluye también a) las categorías de datos tratados y b) las fuentes de las que proceden [LO3-2018, art. 11.3].

4. Ejercicio de los derechos

4.1. Disposiciones generales

• Los derechos de los arts. 15 a 22 del RGPD pueden ejercerse directamente o por medio de representante legal o voluntario [LO3-2018, art. 12.1].
• El responsable debe informar al afectado de los medios para ejercerlos, que deben ser fácilmente accesibles; el ejercicio no puede denegarse por el solo motivo de que el afectado opte por otro medio [LO3-2018, art. 12.2].
• El encargado puede tramitar, por cuenta del responsable, las solicitudes, si así lo establece el contrato o acto jurídico que los vincula [LO3-2018, art. 12.3].
• La prueba del cumplimiento del deber de responder a la solicitud recae sobre el responsable [LO3-2018, art. 12.4].
• Si las leyes aplicables a ciertos tratamientos establecen un régimen especial que afecte a los derechos del Capítulo III del RGPD, se está a lo que dispongan [LO3-2018, art. 12.5].
• Los titulares de la patria potestad pueden ejercitar, en nombre y representación de los menores de catorce años, los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que les correspondan en el contexto de esta ley orgánica [LO3-2018, art. 12.6].
• Son gratuitas las actuaciones del responsable para atender estas solicitudes, sin perjuicio de los arts. 12.5 y 15.3 del RGPD y de los apartados 3 y 4 del art. 13 de esta ley orgánica [LO3-2018, art. 12.7].

4.2. Derecho de acceso

• Se ejercita conforme al art. 15 del RGPD [LO3-2018, art. 13.1].
• Si el responsable trata una gran cantidad de datos del afectado y este pide acceso sin especificar si se refiere a todos o a una parte, el responsable puede pedirle, antes de facilitar la información, que especifique los datos o actividades de tratamiento a que se refiere [LO3-2018, art. 13.1].
• El derecho se entiende otorgado si el responsable facilita un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a la totalidad de los datos; basta con comunicar al afectado cómo acceder a ese sistema para tener por atendida la solicitud [LO3-2018, art. 13.2].
• Aun así, el interesado puede pedir la información del art. 15.1 del RGPD que no se incluya en el sistema de acceso remoto [LO3-2018, art. 13.2].
• A efectos del art. 12.5 del RGPD, puede considerarse repetitivo el ejercicio del derecho de acceso más de una vez en seis meses, salvo causa legítima [LO3-2018, art. 13.3].
• Si el afectado elige un medio distinto al ofrecido que suponga un coste desproporcionado, la solicitud se considera excesiva y el afectado asume el exceso de costes; en ese caso solo es exigible al responsable atender el derecho de acceso sin dilaciones indebidas [LO3-2018, art. 13.4].

4.3. Derecho de rectificación

• Al ejercer el derecho de rectificación del art. 16 del RGPD, el afectado debe indicar en su solicitud a qué datos se refiere y la corrección que debe hacerse [LO3-2018, art. 14].
• Debe acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o del carácter incompleto de los datos [LO3-2018, art. 14].

4.4. Derecho de supresión

• Se ejerce conforme al art. 17 del RGPD [LO3-2018, art. 15.1].
• Si la supresión deriva del ejercicio del derecho de oposición del art. 21.2 del RGPD, el responsable puede conservar los datos identificativos del afectado necesarios para impedir tratamientos futuros con fines de mercadotecnia directa [LO3-2018, art. 15.2].

4.5. Derecho a la limitación del tratamiento

• Se ejerce conforme al art. 18 del RGPD [LO3-2018, art. 16.1].
• El hecho de que el tratamiento esté limitado debe constar claramente en los sistemas de información del responsable [LO3-2018, art. 16.2].

4.6. Portabilidad, oposición y decisiones individuales automatizadas

• El derecho a la portabilidad se ejerce conforme al art. 20 del RGPD [LO3-2018, art. 17].
• El derecho de oposición y los derechos relacionados con las decisiones individuales automatizadas, incluida la elaboración de perfiles, se ejercen conforme a los arts. 21 y 22 del RGPD, respectivamente [LO3-2018, art. 18].

4.7. Edades, plazos y gratuidad

Cifras y reglas que se repiten en el tema [LO3-2018, art. 7.1; LO3-2018, art. 13.3]: