Tema 11: Protección de datos en la actividad policial penal

Policía Local de Cantabria · categoría de Policía

Resumen

La Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, traspone la Directiva (UE) 2016/680 y está en vigor desde el 16 de junio de 2021 (a los veinte días de su publicación; el capítulo IV, sobre responsable y encargado, surtió efectos seis meses después, disp. final duodécima). Su única modificación posterior es la del art. 61 por la LO 9/2022, vigente desde el 29 de agosto de 2022. Regula el tratamiento de datos por las autoridades competentes con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluida la protección y prevención frente a las amenazas contra la seguridad pública (art. 1).

Ámbito: se aplica al tratamiento total o parcialmente automatizado y al no automatizado de datos contenidos o destinados a un fichero (art. 2.1). Quedan fuera, entre otros, los tratamientos que las mismas autoridades hagan para fines distintos (archivo, investigación científica o histórica, estadística), que se rigen por el Reglamento General de Protección de Datos (RGPD) y por la LO 3/2018 (art. 2.3.a); por eso, cuando una Policía Local tramita una multa de una ordenanza o gestiona su personal aplica el RGPD y la LO 3/2018, y cuando investiga un delito o previene amenazas a la seguridad pública aplica la LO 7/2021. Tampoco se aplica a los datos de personas fallecidas, salvo que familiares y herederos pueden pedir su acceso, rectificación o supresión (arts. 2.4 y 3). Son autoridades competentes, en particular, las Fuerzas y Cuerpos de Seguridad (incluidas las Policías Locales), las Administraciones Penitenciarias, Vigilancia Aduanera, el SEPBLAC y la Comisión de Vigilancia de Actividades de Financiación del Terrorismo, además de los jueces del orden penal y el Ministerio Fiscal (art. 4).

Principios (art. 6): los datos se tratan de manera lícita y leal; se recogen con fines determinados, explícitos y legítimos; son adecuados, pertinentes y no excesivos; exactos y actualizados; se conservan solo el tiempo necesario y con seguridad adecuada. El responsable debe poder demostrarlo (responsabilidad proactiva, art. 6.5). El tratamiento solo es lícito si es necesario para los fines del art. 1 y lo realiza una autoridad competente en ejercicio de sus funciones (art. 11). Las Administraciones y los particulares deben facilitar a jueces, fiscales y Policía Judicial los datos necesarios para investigar y enjuiciar delitos, y la petición policial ha de ser motivada, concreta y específica, dando cuenta a la autoridad judicial y fiscal (art. 7.1); el interesado no es informado de esa transmisión para no perjudicar la investigación (art. 7.4).

Conservación y calidad. Los datos se conservan solo el tiempo necesario; el responsable revisa la necesidad de conservarlos, limitarlos o suprimirlos como máximo cada tres años, atendiendo a la edad del afectado, el carácter de los datos y la conclusión de la investigación o del procedimiento; y el plazo máximo general para suprimirlos es de veinte años, salvo investigaciones abiertas, delitos no prescritos, pena sin ejecutar, reincidencia, protección de víctimas u otras circunstancias motivadas (art. 8). Se distingue, en lo posible, entre sospechosos, condenados, víctimas y terceros (testigos, informantes, contactos) sin menoscabo de la presunción de inocencia (art. 9), y entre datos basados en hechos y en apreciaciones personales (art. 10). Los datos especialmente protegidos (origen étnico, opiniones políticas, religión, afiliación sindical, genéticos, biométricos, salud, vida u orientación sexual) solo se tratan si es estrictamente necesario y lo prevé una norma con rango de ley o el Derecho de la UE, para proteger intereses vitales o si el interesado los hizo manifiestamente públicos (art. 13). Se prohíben las decisiones basadas únicamente en tratamientos automatizados con efectos jurídicos negativos, salvo habilitación legal con derecho a intervención humana (art. 14).

Videovigilancia policial (arts. 15 a 19). La grabación de imágenes y sonido por las Fuerzas y Cuerpos de Seguridad conforme a la ley no es intromisión ilegítima en el honor, la intimidad o la propia imagen (art. 15.1). Para las videocámaras fijas en vías o lugares públicos el responsable valora la proporcionalidad (idoneidad e intervención mínima) y hace un análisis de riesgos o evaluación de impacto; los ciudadanos deben ser informados de manera clara y permanente de su existencia, sin especificar su emplazamiento (art. 16). Las cámaras móviles exigen un peligro o evento concreto y autorización de la Delegación o Subdelegación del Gobierno (o del órgano autonómico donde haya policía autonómica con competencias de orden público, que autoriza también a las Policías Locales de su territorio), nunca indefinida: como máximo un mes prorrogable por otro; en urgencia decide el responsable operativo y lo comunica en 24 horas (art. 17).

Si una grabación capta hechos que pueden ser delito, el soporte original íntegro se pone a disposición judicial cuanto antes y, como máximo, en setenta y dos horas; si no da tiempo a hacer el atestado, se relatan verbalmente los hechos al juez o al fiscal al entregar la grabación (art. 18.1). Si se trata de infracciones administrativas de seguridad pública, se remiten de inmediato al órgano sancionador (18.2). Las grabaciones se destruyen en tres meses como máximo, salvo que estén vinculadas a infracciones penales o administrativas graves o muy graves de seguridad pública, a una investigación en curso o a un procedimiento abierto (18.3). Alterar las grabaciones, permitir el acceso de personas no autorizadas o usarlas para otros fines son faltas muy graves en el régimen disciplinario de las Fuerzas y Cuerpos de Seguridad del Estado (art. 19.2).

Derechos del interesado (arts. 20 a 26): información, acceso, rectificación, supresión y limitación del tratamiento. El responsable informa por escrito y sin dilación del curso dado a la solicitud, que se entiende desestimada si en un mes no se resuelve y notifica (art. 20.4); el ejercicio es gratuito, pero pueden inadmitirse por resolución motivada las solicitudes manifiestamente infundadas o excesivas, y se considera repetitiva la tercera sobre el mismo supuesto en seis meses (20.5); si hay dudas sobre la identidad, se piden datos complementarios en diez días (20.6). El derecho de acceso incluye fines y base jurídica, categorías de datos, destinatarios, plazo de conservación y origen de los datos sin revelar la identidad de fuentes confidenciales (art. 22). Los datos inexactos se rectifican y los ilícitos se suprimen sin dilación y como máximo en un mes; en lugar de suprimir se limita el tratamiento cuando se discute la exactitud y no puede comprobarse o cuando hay que conservar los datos como prueba (art. 23).

Limitaciones de los derechos. El responsable puede aplazar, limitar u omitir información y denegar total o parcialmente el acceso, la rectificación, la supresión o la limitación si es necesario y proporcional para no obstaculizar investigaciones o procedimientos judiciales, no perjudicar la prevención e investigación de delitos o la ejecución de penas, o proteger la seguridad pública, la Seguridad Nacional o los derechos de otras personas; debe comunicarlo por escrito en un mes, con sus razones (que pueden omitirse o sustituirse por una redacción neutra) y la posibilidad de reclamar, y documentar la denegación del acceso (art. 24). En esos casos el interesado puede ejercer sus derechos a través de la autoridad de protección de datos, que le informará de las comprobaciones hechas y de su derecho a recurrir en vía contencioso-administrativa (art. 25). Cuando los datos están en resoluciones judiciales o en diligencias de investigaciones y procesos penales, los derechos se ejercen conforme a las normas procesales penales (art. 26).

Responsable, encargado y seguridad. El responsable aplica la protección de datos desde el diseño y por defecto (art. 28), lleva un registro de actividades de tratamiento (art. 32) y un registro de operaciones de consulta y comunicación (art. 33), y hace evaluaciones de impacto cuando hay alto riesgo (art. 35). Las violaciones de la seguridad se notifican a la autoridad de protección de datos en las setenta y dos horas siguientes a conocerlas, salvo que sea improbable que supongan un peligro para los derechos y libertades; si se notifican después, se justifica el retraso (art. 38). Si suponen un alto riesgo, se comunican también al interesado, salvo que los datos estuvieran cifrados, se haya neutralizado el riesgo o suponga un esfuerzo desproporcionado (se publicaría entonces en un boletín oficial o sede electrónica) (art. 39).

El delegado de protección de datos es obligatorio en todo caso para los responsables, salvo para jueces y fiscales en funciones jurisdiccionales; se designa por sus cualidades profesionales, puede ser único para varias autoridades, y su designación y cese se comunican a la autoridad de control en diez días (art. 40). Debe participar en todas las cuestiones de protección de datos, no puede ser removido ni sancionado por desempeñar sus funciones salvo dolo o negligencia grave, tiene acceso a los datos aunque haya deberes de secreto y comunica las vulneraciones relevantes a la dirección (art. 41); informa y asesora, supervisa el cumplimiento, asesora sobre las evaluaciones de impacto y actúa como punto de contacto con la autoridad (art. 42). Las autoridades de protección de datos independientes son la Agencia Española de Protección de Datos (AEPD), que representa a todas en el Comité Europeo de Protección de Datos, y las autonómicas para los tratamientos de su ámbito (art. 48). Régimen sancionador: infracciones muy graves, graves y leves (arts. 58-60), multas de hasta 1.000.000 euros para sujetos privados (art. 62) y prescripción de las infracciones a los tres años, dos años o seis meses (art. 63).

Claves para el examen

• Objeto: datos tratados para prevenir, detectar, investigar y enjuiciar delitos y ejecutar penas, y frente a amenazas a la seguridad pública (art. 1 LO 7/2021).
• Fines distintos (archivo, estadística, sanciones administrativas ordinarias): RGPD y LO 3/2018 (art. 2.3.a).
• Las Fuerzas y Cuerpos de Seguridad son autoridades competentes (art. 4.1.a).
• Revisión de la necesidad de conservar: como máximo cada tres años (art. 8.2).
• Plazo máximo general de supresión: veinte años, con excepciones (art. 8.3).
• Categorías de interesados: sospechosos, condenados, víctimas y terceros (art. 9).
• Videocámaras fijas: información clara y permanente, sin decir dónde están (art. 16.5).
• Cámaras móviles: autorización máxima de un mes prorrogable por otro; urgencia, comunicar en 24 horas (art. 17).
• Grabación de un delito: a disposición judicial en 72 horas como máximo (art. 18.1).
• Grabaciones: destrucción en tres meses salvo excepciones (art. 18.3).
• Solicitud de derechos sin respuesta en un mes: se entiende desestimada (art. 20.4).
• Supresión de datos ilícitos: como máximo en un mes (art. 23.2).
• Restricción de derechos: comunicarla por escrito en un mes; se puede acudir a la autoridad de control (arts. 24-25).
• Brecha de seguridad: notificar a la autoridad en 72 horas (art. 38.1).
• Delegado de protección de datos: obligatorio; designación y cese comunicados en diez días (art. 40).

Vídeos recomendados

• Ley Orgánica 7/2021 de Protección de datos personales
• LO 7/2021: tratamiento de datos para fines penales. Revisión rápida de la norma.
• Ley Orgánica 7/2021 protección de datos personales | AUDIO LEY COMPLETA

← Tema 10 · Tema 12 →

Otros temas de B) Administración local, Derecho administrativo y protección de datos (6-11)

• Tema 6: El municipio
• Tema 7: Ordenanzas, bandos y haciendas locales
• Tema 8: Empleados públicos de las entidades locales
• Tema 9: El acto y el procedimiento administrativo
• Tema 10: Recursos, revisión y potestad sancionadora