Tema 28: Protección de datos personales y derechos digitales

Policía Local de las Illes Balears · categoría de policía

Resumen

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), adapta el ordenamiento español al Reglamento (UE) 2016/679, el Reglamento General de Protección de Datos (RGPD), y completa sus disposiciones. También garantiza los derechos digitales de la ciudadanía (art. 1). El derecho fundamental a la protección de datos está amparado por el art. 18.4 de la Constitución y se ejerce según el RGPD y esta ley. El epígrafe se limita a tres títulos: disposiciones generales (título I, arts. 1-3), principios de protección de datos (título II, arts. 4-10) y derechos de las personas (título III, arts. 11-18).

Ámbito (art. 2). La ley se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. No se aplica a los tratamientos excluidos del RGPD, a los datos de personas fallecidas (salvo el art. 3) ni a los tratamientos sometidos a la normativa de materias clasificadas. Los tratamientos policiales para prevenir, investigar o perseguir infracciones penales están excluidos del RGPD (su art. 2.2.d) y, por eso, de la LOPDGDD (art. 2.2.a); se rigen por la Ley Orgánica 7/2021, de 26 de mayo.

Datos de personas fallecidas (art. 3). Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir el acceso a sus datos y, en su caso, la rectificación o supresión. No pueden hacerlo si el fallecido lo prohibió expresamente o lo dice una ley, aunque esa prohibición no impide a los herederos acceder a los datos patrimoniales. También pueden hacerlo las personas o instituciones que el fallecido designó expresamente. Si el fallecido es menor, también sus representantes legales o el Ministerio Fiscal.

Exactitud y confidencialidad (arts. 4-5). Los datos deben ser exactos y, si es necesario, estar actualizados. No se imputa la inexactitud al responsable que ha adoptado medidas razonables para suprimirlos o rectificarlos sin dilación cuando los datos inexactos los obtuvo directamente del afectado, de un intermediario autorizado, por portabilidad o de un registro público (art. 4). Responsables, encargados y todas las personas que intervienen en el tratamiento están sujetos al deber de confidencialidad, que complementa el secreto profesional y se mantiene aunque haya terminado su relación con el responsable (art. 5). Para un policía local, esto incluye los datos que conoce en el servicio.

Consentimiento (arts. 6-7). Es toda manifestación de voluntad libre, específica, informada e inequívoca por la que el afectado acepta el tratamiento de sus datos, mediante una declaración o una clara acción afirmativa. Si se pide para varias finalidades, debe constar de forma específica e inequívoca para todas ellas. La ejecución de un contrato no puede supeditarse a que se consientan tratamientos ajenos a la relación contractual (art. 6). Un menor solo puede consentir por sí mismo si es mayor de 14 años. Para los menores de 14, hace falta el consentimiento de quien tiene la patria potestad o la tutela (art. 7).

Otras bases del tratamiento (art. 8). El tratamiento fundado en el cumplimiento de una obligación legal, o en una misión de interés público o en el ejercicio de poderes públicos, solo cabe cuando lo prevé una norma de la Unión Europea o una norma con rango de ley, o deriva de una competencia atribuida por ley. Es la base habitual de los tratamientos de las Administraciones, como los de los ayuntamientos.

Categorías especiales y datos penales (arts. 9-10). Para evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9.1). Los datos sobre condenas e infracciones penales, para fines distintos de la prevención, investigación, detección o enjuiciamiento de infracciones o la ejecución de penas, solo pueden tratarse si los ampara una norma de la UE o con rango de ley (art. 10).

Transparencia e información (art. 11). El responsable puede cumplir el deber de información por capas. Primero da una información básica: su identidad, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los arts. 15 a 22 del RGPD. Además indica una dirección electrónica u otro medio sencillo para acceder al resto. Si hay elaboración de perfiles, hay que informar también del derecho a oponerse a las decisiones automatizadas. Si los datos no se obtuvieron del afectado, se añaden las categorías de datos y su fuente.

Ejercicio de los derechos (art. 12). Los derechos pueden ejercerse directamente o por medio de representante legal o voluntario. El responsable debe informar de los medios para ejercerlos, que deben ser fácilmente accesibles, y no puede denegar el derecho porque el afectado use otro medio. La prueba de haber respondido recae sobre el responsable. Las actuaciones son gratuitas, salvo solicitudes manifiestamente infundadas o excesivas. Los titulares de la patria potestad pueden ejercer los derechos de los menores de 14 años.

Derechos concretos (arts. 13-18). Acceso: si el responsable trata muchos datos, puede pedir que se concrete la solicitud. Basta con dar un sistema de acceso remoto, directo y seguro, y se puede considerar repetitivo ejercerlo más de una vez en seis meses sin causa legítima (art. 13). Rectificación: hay que indicar qué datos y qué corrección y, si hace falta, aportar justificantes (art. 14). Supresión: si deriva de una oposición a la mercadotecnia, se pueden conservar los datos identificativos para no volver a tratarlos con ese fin (art. 15). Limitación del tratamiento: debe constar claramente en los sistemas (art. 16). Portabilidad (art. 17). Oposición y decisiones automatizadas, incluidos los perfiles (art. 18). Todos se ejercen según los arts. 15 a 22 del RGPD.

Claves para el examen

• LOPDGDD (LO 3/2018): adapta y completa el RGPD (Reglamento UE 2016/679) y garantiza los derechos digitales.
• Art. 1: el derecho a la protección de datos está amparado por el art. 18.4 de la Constitución.
• Art. 2: tratamiento automatizado o en fichero; excluidos los fallecidos (salvo art. 3) y las materias clasificadas.
• Art. 2.3: los tratamientos policiales penales se rigen por su ley específica (LO 7/2021); la LOPDGDD es supletoria.
• Art. 3: familiares y herederos pueden acceder a los datos del fallecido salvo prohibición expresa; los datos patrimoniales, siempre.
• Art. 4: datos exactos y actualizados; no se imputa la inexactitud si los dio el propio afectado y se actuó con diligencia.
• Art. 5: deber de confidencialidad de todos los que intervienen, incluso después de terminar la relación.
• Art. 6: consentimiento libre, específico, informado e inequívoco, por declaración o clara acción afirmativa.
• Art. 7: el menor consiente por sí mismo si tiene más de 14 años.
• Art. 8: obligación legal o interés público solo si lo prevé una norma con rango de ley.
• Art. 9: el consentimiento no basta para tratar datos cuya finalidad es identificar ideología, religión, orientación sexual u origen étnico.
• Art. 11: información por capas (responsable, finalidad, derechos y vía de acceso al resto).
• Art. 12: derechos ejercidos directamente o por representante, gratuitos; la prueba de haber respondido, del responsable.
• Art. 13.3: el acceso más de una vez en seis meses puede considerarse repetitivo.
• Arts. 13-18: acceso, rectificación, supresión, limitación, portabilidad y oposición, según los arts. 15-22 del RGPD.

Vídeos recomendados

• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.
• ⚖️Título II: Principios de protección de datos según la Ley Orgánica 3/2018
• 🔒 Derechos de las personas en materia de Protección de Datos

← Tema 27 · Tema 29 →

Otros temas de E) Protección de datos e igualdad (28-30)

• Tema 29: Ley balear de igualdad de mujeres y hombres
• Tema 30: Ley balear de derechos LGTBI