Tema 12: Protección de datos personales y tratamiento policial de datos

Policia Local de Catalunya · categoría de agent

Resumen

El derecho fundamental a la protección de datos personales nace del art. 18.4 de la Constitución («La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos»). Hoy lo desarrollan dos leyes orgánicas vigentes y consolidadas en el BOE: la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, BOE-A-2018-16673), que adapta y completa el Reglamento (UE) 2016/679 (RGPD) (art. 1), y la Ley Orgánica 7/2021, de 26 de mayo, que traspone la Directiva (UE) 2016/680 y regula los datos tratados por las autoridades competentes con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluida la protección frente a amenazas contra la seguridad pública (LO 7/2021, art. 1). La regla práctica para un policía local: lo que hace con fines penales o de seguridad pública va por la LO 7/2021; lo demás (sanciones de ordenanzas, gestión de personal, atención al ciudadano) va por el RGPD y la LO 3/2018 (LO 7/2021, arts. 2.3.a y 6.2).

La LO 3/2018 no se aplica a los datos de personas fallecidas, salvo lo previsto en su art. 3, ni a las materias clasificadas (art. 2.2). Según el art. 3, las personas vinculadas al fallecido y sus herederos pueden pedir el acceso, la rectificación o la supresión, salvo que el fallecido lo hubiera prohibido expresamente o lo establezca una ley. Los datos deben ser exactos (art. 4) y todos los que intervienen en el tratamiento están sujetos al deber de confidencialidad, que se mantiene aunque haya terminado su relación con el responsable (art. 5). El consentimiento es una manifestación de voluntad «libre, específica, informada e inequívoca» (art. 6.1); un menor solo puede consentir por sí mismo si es mayor de catorce años (art. 7). Las Administraciones tratan datos sobre todo por obligación legal o en ejercicio de poderes públicos, y para eso hace falta una norma con rango de ley (art. 8).

En las categorías especiales, el solo consentimiento no basta para levantar la prohibición si la finalidad principal es identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (LO 3/2018, art. 9.1). Los datos sobre condenas e infracciones penales para fines distintos de los penales necesitan una norma de la Unión o de rango legal (art. 10). Los derechos del interesado (acceso, rectificación, supresión, limitación, portabilidad y oposición) se ejercen según los arts. 15 a 22 del RGPD, directamente o por representante, y son gratuitos (arts. 12-18); puede considerarse repetitivo pedir el acceso más de una vez en seis meses sin causa legítima (art. 13.3). Al rectificar o suprimir, el responsable debe bloquear los datos: reservarlos solo para jueces, Ministerio Fiscal y Administraciones competentes durante el plazo de prescripción de las responsabilidades, y después destruirlos (art. 32).

La videovigilancia con fines de seguridad de personas, bienes e instalaciones (LO 3/2018, art. 22) solo puede captar la vía pública en lo imprescindible; las imágenes se suprimen en un mes como máximo, salvo que acrediten actos contra la integridad de personas, bienes o instalaciones, y entonces se entregan a la autoridad en un máximo de setenta y dos horas (art. 22.3). El deber de información se cumple con un cartel visible (art. 22.4). Las cámaras de las Fuerzas y Cuerpos de Seguridad con fines penales y de seguridad pública no van por aquí, sino por la ley de trasposición de la Directiva 2016/680, que es la LO 7/2021 (art. 22.6). En el trabajo, nunca puede haber cámaras ni grabación de sonido en vestuarios, aseos, comedores y análogos (art. 89.2).

El delegado de protección de datos (DPD) es obligatorio en los casos del art. 37.1 del RGPD (entre ellos, las autoridades y organismos públicos) y, además, en la lista del art. 34.1 de la LO 3/2018, que incluye por ejemplo a las empresas de seguridad privada (letra ñ); su designación y cese se comunican en diez días a la autoridad (art. 34.3). No puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave (art. 36.2). La autoridad estatal es la Agencia Española de Protección de Datos, autoridad administrativa independiente que se relaciona con el Gobierno a través del Ministerio de Justicia (art. 44). Las autoridades autonómicas controlan los tratamientos del sector público autonómico y de las entidades locales de su territorio (art. 57.1.a). En Cataluña es la Autoridad Catalana de Protección de Datos (Autoritat Catalana de Protecció de Dades), creada por la Ley 32/2010, cuyo ámbito incluye los entes locales (art. 3.c), en ejercicio de la competencia ejecutiva del art. 156 del Estatuto.

El régimen sancionador de la LO 3/2018 distingue infracciones muy graves, que prescriben a los tres años (art. 72), graves, a los dos años (art. 73), y leves, al año (art. 74); el DPD no está sujeto a él (art. 70.2). A las Administraciones públicas, incluidas las entidades de la Administración local (art. 77.1.c), no se les impone la multa del art. 58.2.i del RGPD: la autoridad dicta resolución declarando la infracción y las medidas para que cese, y puede proponer actuaciones disciplinarias (art. 77.2 y 77.3). El título X reconoce derechos digitales: seguridad digital (art. 82), intimidad en el uso de dispositivos digitales en el trabajo (art. 87), desconexión digital de trabajadores y empleados públicos (art. 88), derecho al olvido en buscadores y redes sociales (arts. 93 y 94) y testamento digital (art. 96). La disposición adicional séptima fija cómo se identifica a una persona al publicar un acto administrativo: nombre y apellidos y cuatro cifras numéricas aleatorias del documento de identidad.

La LO 7/2021 considera autoridades competentes, entre otras, a las Fuerzas y Cuerpos de Seguridad (art. 4.1.a), de modo que se aplica a las policías locales cuando actúan con los fines del art. 1. Los datos deben tratarse de forma lícita y leal, con fines determinados, explícitos y legítimos, ser adecuados, pertinentes y no excesivos, exactos, conservados solo el tiempo necesario y protegidos con una seguridad adecuada (art. 6.1). Las Administraciones y los particulares deben dar a la Policía Judicial los datos que necesite para investigar, con petición motivada, concreta y específica y dando cuenta a la autoridad judicial y fiscal (art. 7.1), y el interesado no es informado de esa transmisión (art. 7.4). El responsable revisa la necesidad de conservar los datos como máximo cada tres años y, con carácter general, el plazo máximo de supresión es de veinte años (art. 8.2 y 8.3). Debe distinguir categorías de interesados (sospechosos, condenados, víctimas y terceros, art. 9) y separar los datos basados en hechos de los basados en apreciaciones personales (art. 10.1).

El tratamiento solo es lícito si es necesario para los fines del art. 1 y lo hace una autoridad competente en ejercicio de sus funciones (LO 7/2021, art. 11.1). Las categorías especiales (origen étnico, opiniones políticas, religión, salud, vida u orientación sexual, datos genéticos o biométricos) solo se tratan cuando sea «estrictamente necesario» y lo prevea una ley o el Derecho de la Unión, sea preciso para proteger intereses vitales o el interesado los haya hecho manifiestamente públicos (art. 13.1). Se prohíben las decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos negativos, salvo que una ley lo autorice con derecho a intervención humana (art. 14). Los derechos de información, acceso, rectificación, supresión y limitación existen (arts. 21-23), pero pueden restringirse para no obstaculizar investigaciones o proteger la seguridad pública (art. 24), y entonces se ejercen a través de la autoridad de protección de datos (art. 25). Si no se resuelve en un mes, la solicitud se entiende desestimada (art. 20.4). Toda violación de seguridad se notifica a la autoridad en setenta y dos horas, salvo que sea improbable que constituya un peligro (art. 38), y el responsable designa siempre un DPD (art. 40.1).

La videovigilancia policial está en la sección 2.ª del capítulo II de la LO 7/2021 (arts. 15-19). Para cámaras fijas en vías públicas, el responsable valora la proporcionalidad (idoneidad e intervención mínima) y hace un análisis de riesgos o una evaluación de impacto (art. 16.1); no están sujetas al control preventivo de las entidades locales (art. 16.3) y se informa a los ciudadanos de su existencia sin especificar el emplazamiento (art. 16.5). Las cámaras móviles graban imagen y sonido de forma conjunta ante un peligro o evento concreto, con autorización de la Delegación o Subdelegación del Gobierno; en las comunidades con policía propia que ejerce competencias de seguridad, como Cataluña, autorizan sus órganos, también para las policías locales de su territorio (art. 17.1). La autorización dura como máximo un mes prorrogable por otro (art. 17.2) y, en urgencia, decide el responsable operativo y lo comunica en 24 horas (art. 17.3). Si la grabación capta un posible delito, se pone a disposición judicial en setenta y dos horas como máximo (art. 18.1); las grabaciones se destruyen en tres meses, salvo que estén ligadas a infracciones o procedimientos abiertos (art. 18.3).

Vigencia: la Ley Orgánica 4/1997, sobre videocámaras de las Fuerzas y Cuerpos de Seguridad en lugares públicos, sigue figurando en el BOE como no derogada, pero la LO 7/2021 regula ahora la materia (disposición adicional primera) y deroga las normas que la contradigan (disposición derogatoria única). Donde chocan manda la LO 7/2021: la LO 4/1997 exigía que el Delegado del Gobierno autorizara las cámaras fijas previo informe de una Comisión presidida por el Presidente del Tribunal Superior de Justicia (art. 3.2) y destruir las grabaciones en un mes (art. 8.1), mientras que la LO 7/2021 pide valoración de proporcionalidad y análisis de riesgos (art. 16.1) y fija tres meses (art. 18.3). Las infracciones de la LO 7/2021 son muy graves, graves y leves (arts. 58-60); si el infractor es una Administración, se aplica el régimen del art. 77.1 de la LO 3/2018 (art. 62.1), y los miembros de las Fuerzas y Cuerpos de Seguridad responden además por su régimen disciplinario (art. 19.1).

Claves para el examen

• Fundamento constitucional: art. 18.4 CE (límite al uso de la informática).
• La LO 3/2018 adapta y completa el RGPD (Reglamento UE 2016/679) (art. 1).
• La LO 7/2021 rige los datos tratados con fines penales y de seguridad pública por autoridades competentes (art. 1).
• Las Fuerzas y Cuerpos de Seguridad son autoridad competente de la LO 7/2021 (art. 4.1.a).
• Consentimiento propio del menor: solo si es mayor de 14 años (LO 3/2018, art. 7.1).
• Videovigilancia general: supresión en 1 mes y entrega a la autoridad en 72 horas (LO 3/2018, art. 22.3).
• Prescripción de infracciones: muy graves 3 años, graves 2, leves 1 (LO 3/2018, arts. 72-74).
• A la Administración local no se la multa: resolución que declara la infracción (LO 3/2018, art. 77).
• En Cataluña, los ficheros municipales los controla la Autoridad Catalana de Protección de Datos (Ley 32/2010, art. 3.c).
• LO 7/2021: revisión de la conservación como máximo cada 3 años; supresión en 20 años (art. 8).
• Cámaras fijas policiales: proporcionalidad y análisis de riesgos o evaluación de impacto (LO 7/2021, art. 16.1).
• Cámaras móviles: autorización de 1 mes prorrogable por otro; en Cataluña la dan los órganos de la Generalitat (LO 7/2021, art. 17).
• Uso urgente de cámara móvil: comunicarlo en 24 horas (LO 7/2021, art. 17.3).
• Grabación con posible delito: al juez en 72 horas; destrucción general a los 3 meses (LO 7/2021, art. 18).
• Violación de seguridad: notificación a la autoridad en 72 horas (LO 7/2021, art. 38.1).

Vídeos recomendados

• Ley Orgánica 7/2021 de Protección de datos personales
• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.
• LO 7/2021: tratamiento de datos para fines penales. Revisión rápida de la norma.

← Tema 11 · Tema 13 →

Otros temas de B) Derecho administrativo, función pública y datos (9-12)

• Tema 9: El procedimiento administrativo común (Ley 39/2015)
• Tema 10: Régimen jurídico del sector público (Ley 40/2015) y fuentes del Derecho
• Tema 11: El Estatuto Básico del Empleado Público