Tema 26: Protección de datos personales

Dirección General de la Policía (Ministerio del Interior) · Policía Nacional · Escala Básica, categoría de Policía

Resumen

La protección de datos personales es un derecho fundamental propio, distinto de la intimidad, que nace del artículo 18.4 de la Constitución: «La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Hoy el sistema tiene dos vías. La general es el Reglamento (UE) 2016/679 (RGPD), directamente aplicable desde el 25 de mayo de 2018, que España adapta y completa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La penal es la Directiva (UE) 2016/680, incorporada por la Ley Orgánica 7/2021, de 26 de mayo, que rige cuando las autoridades competentes tratan datos para prevenir, detectar, investigar o enjuiciar infracciones penales o ejecutar sanciones penales. Para un policía, las dos importan: la primera para la gestión ordinaria y la segunda para la investigación.

LO 3/2018, disposiciones generales. Se aplica a cualquier tratamiento total o parcialmente automatizado y al no automatizado de datos contenidos o destinados a un fichero (art. 2.1), y no se aplica a los tratamientos excluidos del RGPD, a los datos de personas fallecidas (salvo el art. 3) ni a las materias clasificadas (art. 2.2). Sobre los fallecidos, familiares, personas vinculadas de hecho y herederos pueden pedir acceso, rectificación o supresión, salvo que el fallecido lo prohibiera expresamente o lo diga una ley (art. 3). Principios: exactitud (art. 4), deber de confidencialidad, que se mantiene aunque haya terminado la relación con el responsable (art. 5), y consentimiento, que es la manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o clara acción afirmativa (art. 6).

Menores y datos especiales. Un menor puede consentir por sí mismo el tratamiento de sus datos cuando es mayor de catorce años; por debajo de esa edad hace falta el consentimiento de quien ejerce la patria potestad o tutela (art. 7). Para los datos cuya finalidad principal sea identificar la ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico, el solo consentimiento del afectado no basta para levantar la prohibición de tratarlos (art. 9). Los datos sobre condenas e infracciones penales, para fines distintos de los penales, solo pueden tratarse si los ampara una norma de la Unión, esta ley u otra norma con rango de ley (art. 10).

Derechos del afectado (arts. 12 a 18 LOPDGDD, que remiten a los arts. 15 a 22 RGPD): acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, además de no ser objeto de decisiones basadas solo en tratamientos automatizados. Se ejercen directamente o por representante legal o voluntario, el ejercicio es gratuito y la prueba de haber contestado recae en el responsable (art. 12). Los padres ejercen los derechos de los menores de catorce años (art. 12.6). El acceso puede considerarse repetitivo si se ejerce más de una vez en seis meses sin causa legítima (art. 13.3). El RGPD da al responsable un mes para responder, prorrogable dos meses más si es complejo (art. 12.3 RGPD).

Tratamientos concretos y obligaciones del responsable. La videovigilancia privada o pública con fines de seguridad (art. 22): solo se puede captar la vía pública en la medida imprescindible, las imágenes se suprimen en el plazo máximo de un mes y, si recogen hechos que atenten contra personas, bienes o instalaciones, se ponen a disposición de la autoridad en setenta y dos horas; el deber de informar se cumple con un cartel visible. Cuando se rectifican o suprimen datos, el responsable debe bloquearlos (art. 32): quedan reservados solo para jueces, Ministerio Fiscal y Administraciones competentes durante el plazo de prescripción de las responsabilidades, y después se destruyen. El delegado de protección de datos es obligatorio en los casos del artículo 37 RGPD y, además, en colegios profesionales, centros docentes y universidades, operadores de comunicaciones y otros sujetos del artículo 34.

La Agencia Española de Protección de Datos (AEPD) es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia, que se relaciona con el Gobierno a través del Ministerio de Justicia (art. 44). Su Presidencia y su Adjunto los nombra el Gobierno, previa ratificación de la Comisión de Justicia del Congreso por tres quintos en primera votación o mayoría absoluta en segunda, para un mandato de cinco años renovable una vez (art. 48). Existen también autoridades autonómicas (art. 57). Régimen sancionador: las infracciones muy graves prescriben a los tres años, las graves a los dos y las leves al año (arts. 72 a 74); las sanciones de hasta 40.000 euros prescriben al año, de 40.001 a 300.000 a los dos años y de más de 300.000 a los tres años (art. 78). Las multas del RGPD llegan a 20 millones de euros o el 4 % del volumen de negocio mundial (art. 83.5 RGPD). Si la infractora es una Administración Pública u otro sujeto del artículo 77, no se le impone multa: se dicta resolución declarando la infracción y las medidas para corregirla, y se pueden proponer actuaciones disciplinarias.

Derechos digitales (título X, arts. 79 a 97). Los derechos de la Constitución y de los tratados se aplican plenamente en Internet (art. 79). La ley reconoce, entre otros, la neutralidad de la red (80), el acceso universal (81), la seguridad digital (82), la educación digital (83), la protección de menores en Internet (84 y 92), la rectificación en Internet (85), la intimidad frente al uso de dispositivos digitales en el trabajo (87), la desconexión digital de trabajadores y empleados públicos fuera del tiempo de trabajo (88), la intimidad frente a la videovigilancia y la grabación de sonido en el trabajo (89) y frente a la geolocalización (90), el derecho al olvido en buscadores (93) y en redes sociales (94), la portabilidad en redes sociales (95) y el testamento digital (96).

LO 7/2021, ámbito y principios. Tiene por objeto proteger a las personas cuando las autoridades competentes tratan sus datos con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluida la protección frente a amenazas contra la seguridad pública (art. 1). Son autoridades competentes las Fuerzas y Cuerpos de Seguridad, las Administraciones Penitenciarias, la Dirección Adjunta de Vigilancia Aduanera, el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias y la Comisión de Vigilancia de Actividades de Financiación del Terrorismo, además de los jueces del orden penal y el Ministerio Fiscal (art. 4). Los datos deben tratarse de forma lícita y leal, con fines determinados, adecuados, exactos y seguros (art. 6). Hay que revisar la necesidad de conservarlos como máximo cada tres años, y el plazo general máximo de supresión es de veinte años, salvo investigaciones abiertas, delitos no prescritos u otras causas motivadas (art. 8). Se distinguen categorías de interesados: sospechosos, condenados, víctimas y terceros (art. 9).

LO 7/2021, garantías. Los datos especialmente protegidos (origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos que identifiquen a una persona, salud y vida u orientación sexual) solo se tratan cuando sea estrictamente necesario y lo prevea una norma con rango de ley o el Derecho de la Unión, para proteger intereses vitales o si el interesado los hizo manifiestamente públicos (art. 13). Están prohibidas las decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos negativos, salvo autorización legal, y los perfiles discriminatorios (art. 14). Videovigilancia policial (arts. 15 a 18): las cámaras móviles las autoriza el Delegado o Subdelegado del Gobierno por un máximo de un mes prorrogable por otro; en urgencia decide el responsable operativo y lo comunica en 24 horas; si se graba un posible delito, el soporte original se pone a disposición judicial en un máximo de 72 horas; y las grabaciones se destruyen en un máximo de tres meses, salvo que estén vinculadas a infracciones graves o a una investigación o procedimiento abierto.

LO 7/2021, derechos y control. El interesado tiene derecho a información, acceso, rectificación, supresión y limitación (arts. 21 a 23), que pueden restringirse para no obstaculizar investigaciones (art. 24). La solicitud se entiende desestimada si en un mes no se resuelve; se considera repetitiva si hay tres sobre el mismo supuesto en seis meses; y si hay dudas sobre la identidad se dan diez días para acreditarla (art. 20). Toda violación de seguridad se notifica a la autoridad de protección de datos en setenta y dos horas, salvo que sea improbable que suponga un peligro (art. 38), y se comunica al interesado si supone un alto riesgo (art. 39). Designar un delegado de protección de datos es obligatorio (art. 40). Las autoridades de control son la AEPD y las autonómicas (art. 48). Cuando el infractor no es una Administración, las multas van de 6.000 a 60.000 euros (leves), de 60.001 a 360.000 (graves) y de 360.001 a 1.000.000 (muy graves) (art. 62); las infracciones prescriben a los seis meses, dos o tres años según sean leves, graves o muy graves (art. 63) y el procedimiento caduca a los seis meses (art. 64).

Claves para el examen

• Base constitucional: artículo 18.4 CE.
• RGPD 2016/679 (aplicable desde el 25-5-2018) + LO 3/2018, de 5 de diciembre; ámbito penal: Directiva 2016/680 + LO 7/2021, de 26 de mayo.
• Consentimiento propio de los menores: mayores de catorce años (art. 7 LOPDGDD).
• Derechos: acceso, rectificación, supresión, limitación, portabilidad y oposición; gratuitos y con un mes para responder (art. 12.3 RGPD).
• Videovigilancia (art. 22 LOPDGDD): borrar en un mes; a la autoridad en 72 horas.
• AEPD: autoridad administrativa independiente; Presidencia y Adjunto con mandato de 5 años renovable.
• Prescripción de infracciones (LOPDGDD): muy graves 3 años, graves 2, leves 1.
• A las Administraciones no se les multa: se declara la infracción y cabe proponer actuaciones disciplinarias (art. 77).
• Título X: derechos digitales, como la desconexión digital de empleados públicos (art. 88) o el testamento digital (art. 96).
• LO 7/2021: las Fuerzas y Cuerpos de Seguridad son autoridad competente (art. 4.1.a).
• Conservación (LO 7/2021): revisión como máximo cada 3 años; supresión en 20 años como regla general (art. 8).
• Grabaciones policiales: a disposición judicial en 72 horas; destrucción en 3 meses; cámaras móviles, autorización de un mes prorrogable.
• Violación de seguridad: notificar a la autoridad en 72 horas (art. 38 LO 7/2021).
• Multas LO 7/2021 a sujetos no públicos: hasta 1.000.000 de euros las muy graves (art. 62).

Vídeos recomendados

• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales. · Paco Barbié
• Ley Orgánica 7/2021 de Protección de datos personales · Academia Geopol
• LO 7/2021: tratamiento de datos para fines penales. Revisión rápida de la norma. · Actualidad IP & IT

← Tema 25 · Tema 27 →