Tema 4: Protección de datos personales y derechos digitales (LO 3/2018)

Policía Local del País Vasco · Agente de la Escala Básica (Udaltzaina)

Resumen

Marco y objeto. La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) tiene por objeto adaptar el ordenamiento español al Reglamento (UE) 2016/679, general de protección de datos (RGPD), y completar sus disposiciones, y garantizar los derechos digitales de la ciudadanía (art. 1). El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el art. 18.4 de la Constitución, se ejerce con arreglo al RGPD y a esta ley: por eso muchos artículos de la LOPDGDD se limitan a remitir al Reglamento, que se aplica directamente. La ley se aplica a todo tratamiento total o parcialmente automatizado y al no automatizado de datos que estén o vayan a estar en un fichero (art. 2.1). No se aplica a los tratamientos excluidos del RGPD, a los de personas fallecidas (salvo el art. 3) ni a los de materias clasificadas (art. 2.2). Para la policía es clave que el RGPD excluye los tratamientos de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales y de protección frente a amenazas a la seguridad pública (art. 2.2.d RGPD): esos tratamientos se rigen por su propia ley orgánica, la LO 7/2021, de 26 de mayo.

Datos de las personas fallecidas (art. 3). Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir al responsable el acceso a sus datos y, en su caso, su rectificación o supresión, salvo que el fallecido lo hubiese prohibido expresamente o lo establezca una ley; esa prohibición no impide a los herederos acceder a los datos de carácter patrimonial. También pueden hacerlo las personas o instituciones que el fallecido hubiese designado expresamente, según sus instrucciones. Si fallece un menor, pueden ejercer estas facultades sus representantes legales o el Ministerio Fiscal, de oficio o a instancia de interesado, y si fallece una persona con discapacidad, también quienes prestaban funciones de apoyo.

Los principios del RGPD. El art. 5 del Reglamento fija los principios de todo tratamiento: licitud, lealtad y transparencia; limitación de la finalidad (fines determinados, explícitos y legítimos); minimización de datos (adecuados, pertinentes y limitados a lo necesario); exactitud; limitación del plazo de conservación; integridad y confidencialidad, y responsabilidad proactiva, que obliga al responsable a cumplirlos y a ser capaz de demostrarlo. El título II de la LOPDGDD (arts. 4-10) completa estos principios. Sobre la exactitud, los datos serán exactos y, si fuera necesario, actualizados, pero no se imputa al responsable que haya adoptado medidas razonables para suprimirlos o rectificarlos sin dilación la inexactitud de los datos que obtuvo directamente del afectado, de un mediador legalmente previsto, de otro responsable por portabilidad o de un registro público (art. 4). Los responsables, los encargados y todas las personas que intervengan en cualquier fase del tratamiento están sujetos a un deber de confidencialidad, complementario del secreto profesional, que se mantiene aunque haya terminado su relación con el responsable o el encargado (art. 5).

Consentimiento (arts. 6 y 7). Es toda manifestación de voluntad libre, específica, informada e inequívoca por la que el afectado acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos. Si el tratamiento tiene varias finalidades, debe constar de manera específica e inequívoca que se consiente para todas ellas, y no puede supeditarse la ejecución de un contrato a que se consienta el tratamiento para fines ajenos a la relación contractual (art. 6). El tratamiento de los datos de un menor solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años, salvo que la ley exija la asistencia de los titulares de la patria potestad o tutela para el acto; por debajo de esa edad, el tratamiento basado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela (art. 7).

Obligación legal, interés público y poderes públicos (art. 8). Un tratamiento solo puede basarse en el cumplimiento de una obligación legal del responsable cuando lo prevea una norma de Derecho de la Unión o una norma con rango de ley, que puede fijar las condiciones del tratamiento, los tipos de datos y las cesiones. Y solo puede basarse en una misión de interés público o en el ejercicio de poderes públicos cuando derive de una competencia atribuida por una norma con rango de ley. Es la base habitual de los tratamientos de las administraciones, incluidos los ayuntamientos y sus servicios de policía local fuera del ámbito penal (por ejemplo, el tráfico o las sanciones administrativas).

Categorías especiales y datos penales (arts. 9 y 10). Para evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico, aunque caben las demás excepciones del art. 9.2 RGPD. Los tratamientos de datos de salud y similares de las letras g), h) e i) del art. 9.2 RGPD fundados en el Derecho español deben ampararse en una norma con rango de ley (art. 9). Los datos sobre condenas e infracciones penales y medidas cautelares y de seguridad, para fines distintos de los penales, solo pueden tratarse cuando lo ampare una norma de la Unión, la propia LOPDGDD u otra norma de rango legal; el registro completo puede hacerse conforme al Sistema de registros administrativos de apoyo a la Administración de Justicia, y fuera de esos casos solo pueden tratarlos abogados y procuradores con la información de sus clientes (art. 10).

Transparencia e información (art. 11). Cuando los datos se obtienen del propio afectado, el responsable puede cumplir el deber de información del art. 13 RGPD dando una información básica e indicando una dirección electrónica u otro medio para acceder de forma sencilla e inmediata al resto (información por capas). Esa información básica contiene, al menos, la identidad del responsable y de su representante, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los arts. 15 a 22 RGPD; si los datos se van a usar para elaborar perfiles, también esa circunstancia y el derecho a oponerse a decisiones individuales automatizadas. Cuando los datos no se han obtenido del afectado (art. 14 RGPD), la información básica incluye además las categorías de datos tratados y las fuentes de las que proceden.

Reglas generales del ejercicio de los derechos (art. 12). Los derechos de los arts. 15 a 22 RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas) pueden ejercerse directamente o por medio de representante legal o voluntario. El responsable debe informar de los medios para ejercerlos, que han de ser fácilmente accesibles, y no puede denegar el ejercicio por el solo motivo de que el afectado opte por otro medio. El encargado puede tramitar las solicitudes por cuenta del responsable si así se pactó. La prueba de haber respondido recae sobre el responsable. Quienes tengan la patria potestad pueden ejercer en nombre de los menores de catorce años los derechos que les correspondan. Las actuaciones para atender estos derechos son gratuitas, salvo solicitudes manifiestamente infundadas o excesivas (art. 12.5 RGPD). Según el art. 12.3 RGPD, el responsable debe responder en el plazo de un mes desde la recepción, prorrogable otros dos meses si es necesario por la complejidad o el número de solicitudes, informando de la prórroga en el primer mes.

Cada derecho (arts. 13-18). Acceso (art. 13, con el art. 15 RGPD): si el responsable trata gran cantidad de datos, puede pedir que se especifique la solicitud; el derecho se entiende otorgado si se facilita un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a todos los datos; puede considerarse repetitivo ejercerlo más de una vez en seis meses sin causa legítima, y si el afectado elige un medio de coste desproporcionado asume el exceso. Rectificación (art. 14): el afectado indica los datos y la corrección, con documentación justificativa si es preciso. Supresión (art. 15): si deriva de la oposición a la mercadotecnia directa, el responsable puede conservar los datos identificativos necesarios para impedir tratamientos futuros. Limitación (art. 16): debe constar claramente en los sistemas de información del responsable. Portabilidad (art. 17) y oposición y decisiones individuales automatizadas, incluidos los perfiles (art. 18), se ejercen según los arts. 20, 21 y 22 RGPD. Fuera del epígrafe, el art. 23 (sistemas de exclusión publicitaria) tiene nueva redacción vigente desde el 28 de diciembre de 2025.

Claves para el examen

• Art. 1 LOPDGDD: adapta y completa el RGPD; el derecho fundamental se ampara en el art. 18.4 CE.
• Art. 2.2: no se aplica a los datos de personas fallecidas (salvo art. 3) ni a materias clasificadas.
• Art. 2.2.d RGPD: fuera del Reglamento, los tratamientos policiales con fines penales (LO 7/2021).
• Art. 5 RGPD: licitud, lealtad y transparencia, finalidad, minimización, exactitud, plazo, integridad y confidencialidad y responsabilidad proactiva.
• Art. 3: si el fallecido lo prohibió, los herederos solo acceden a los datos patrimoniales.
• Art. 5: el deber de confidencialidad subsiste aunque acabe la relación con el responsable.
• Art. 6.1: consentimiento libre, específico, informado e inequívoco.
• Art. 7: el menor consiente por sí mismo si es mayor de catorce años.
• Art. 8.2: interés público o poderes públicos solo con competencia atribuida por norma con rango de ley.
• Art. 9.1: el solo consentimiento no basta para datos que identifiquen ideología, religión, orientación sexual u origen étnico.
• Art. 11: información por capas; si los datos no vienen del afectado, también categorías y fuentes.
• Art. 12: derechos directos o por representante; gratuitos; la prueba de responder es del responsable.
• Art. 12.3 RGPD: respuesta en un mes, prorrogable otros dos.
• Art. 13.3: acceso repetitivo si se ejerce más de una vez en seis meses sin causa legítima.
• Art. 16.2: la limitación debe constar claramente en los sistemas de información.

Vídeos recomendados

• Cómo ejercer tus derechos de protección de datos personales
• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.
• 7. Derechos de protección de datos (I).
• 5. Principios de protección de datos (I).

← Tema 3 · Tema 5 →

Otros temas de I) Derechos de la ciudadanía (1-10)

• Tema 1: Derechos humanos: la Declaración Universal y el sistema europeo
• Tema 2: Derechos fundamentales y libertades públicas en la Constitución
• Tema 3: Igualdad de mujeres y hombres y vidas libres de violencia machista (DLeg 1/2023)
• Tema 5: La Autoridad Vasca de Protección de Datos (Ley 16/2023)
• Tema 6: Ley 39/2015: normas generales de actuación
• Tema 7: Garantía integral de la libertad sexual (LO 10/2022)
• Tema 8: Infancia y adolescencia en Euskadi (Ley 2/2024)
• Tema 9: Igualdad de las personas trans y derechos LGTBI (Ley 4/2023)
• Tema 10: No discriminación por identidad de género en Euskadi (Ley 4/2024)