Tema 11: Protección de datos y derechos digitales (LO 3/2018)

Ministerio del Interior · Dirección General de la Guardia Civil · Guardia Civil: Escala de Cabos y Guardias (ingreso directo)

Resumen

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) tiene un doble objeto (art. 1): adaptar el ordenamiento español al Reglamento (UE) 2016/679 (el Reglamento general de protección de datos, RGPD) y completarlo, y garantizar los derechos digitales de la ciudadanía. El derecho fundamental a la protección de datos está amparado por el artículo 18.4 de la Constitución. El epígrafe del temario entra en los títulos I a VIII; quedan fuera el título IX (régimen sancionador) y el X (derechos digitales). Los títulos I a IX se aplican a cualquier tratamiento total o parcialmente automatizado y al tratamiento no automatizado de datos contenidos o destinados a un fichero (art. 2.1). No se aplican a los tratamientos excluidos por el artículo 2.2 del RGPD, a los datos de personas fallecidas (salvo el art. 3) ni a los tratamientos sometidos a la normativa de materias clasificadas (art. 2.2).

Datos de fallecidos (art. 3): los familiares o personas vinculadas de hecho y los herederos pueden pedir al responsable el acceso, la rectificación o la supresión, salvo que el fallecido lo hubiera prohibido expresamente o lo prohíba una ley; esa prohibición no alcanza a los datos de carácter patrimonial, a los que los herederos siempre pueden acceder. También pueden actuar las personas o instituciones que el fallecido designara expresamente y, si era menor, sus representantes legales o el Ministerio Fiscal.

Título II, principios (arts. 4 a 10). Exactitud: no se imputa al responsable la inexactitud de datos obtenidos directamente del afectado, de un mediador cuando la norma del sector lo prevea, por portabilidad o de un registro público, si adoptó medidas razonables para corregirlos. Confidencialidad (art. 5): obliga a responsables, encargados y a cualquiera que intervenga en el tratamiento, complementa el secreto profesional y se mantiene aunque haya terminado la relación con el responsable. Consentimiento (art. 6): manifestación de voluntad libre, específica, informada e inequívoca, por declaración o clara acción afirmativa; si hay varias finalidades, debe constar para todas, y no se puede condicionar un contrato a consentir usos ajenos a él. Menores (art. 7): pueden consentir por sí mismos si son mayores de catorce años; por debajo de esa edad hace falta el consentimiento de quien tenga la patria potestad o tutela.

El tratamiento basado en una obligación legal exige una norma de Derecho de la Unión o con rango de ley, y el basado en interés público o poderes públicos una competencia atribuida por norma con rango de ley (art. 8). Categorías especiales (art. 9): el solo consentimiento no basta para tratar datos cuya finalidad principal sea identificar la ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico, y los tratamientos de las letras g), h) e i) del art. 9.2 RGPD necesitan norma con rango de ley. Los datos penales para fines distintos de la prevención, investigación o enjuiciamiento de delitos requieren norma de la Unión, esta ley u otra de rango legal (art. 10).

Título III, derechos (arts. 11 a 18). Transparencia (art. 11): se permite informar por capas, dando una información básica (identidad del responsable, finalidad y posibilidad de ejercer los derechos de los arts. 15 a 22 RGPD) y una dirección electrónica u otro medio sencillo para el resto. Los derechos se ejercen directamente o por representante legal o voluntario; la prueba de haber respondido corresponde al responsable, y los titulares de la patria potestad pueden ejercerlos por los menores de catorce años (art. 12). Acceso (art. 13): se entiende atendido si se da un sistema de acceso remoto, directo y seguro, y puede considerarse repetitivo ejercerlo más de una vez en seis meses sin causa legítima. En la rectificación hay que indicar el dato y la corrección (art. 14); tras una oposición a mercadotecnia pueden conservarse los datos identificativos para no volver a tratarlos (art. 15); la limitación debe constar claramente en los sistemas (art. 16), y portabilidad y oposición se remiten al RGPD (arts. 17 y 18).

Título IV, tratamientos concretos (arts. 19 a 27). Se presumen lícitos los datos de contacto profesionales y de empresarios individuales (art. 19) y los sistemas de información crediticia si la deuda es cierta, vencida y exigible, el acreedor avisó de la posible inclusión y los datos no se mantienen más de cinco años desde el vencimiento (art. 20). Videovigilancia (art. 22): solo puede captarse la vía pública en lo imprescindible, nunca el interior de un domicilio; las imágenes se suprimen en un mes como máximo, salvo que acrediten actos contra personas, bienes o instalaciones, en cuyo caso se entregan a la autoridad en un máximo de setenta y dos horas desde que se conoce la grabación. Además regula los sistemas de exclusión publicitaria (art. 23), los tratamientos para proteger a quienes informan sobre infracciones normativas (art. 24, redactado por la Ley 2/2023), la estadística pública, el archivo en interés público y los datos de infracciones y sanciones administrativas (art. 27).

Título V, responsable y encargado (arts. 28 a 39). Deben aplicar medidas técnicas y organizativas según el riesgo, llevar el registro de actividades de tratamiento (los sujetos públicos del art. 77.1 publican además un inventario) y bloquear los datos cuando los rectifiquen o supriman (art. 32): el bloqueo es identificarlos y reservarlos para que solo puedan ponerse a disposición de jueces, Ministerio Fiscal o Administraciones competentes durante el plazo de prescripción de responsabilidades, y después se destruyen. El acceso del encargado a los datos para prestar un servicio no es comunicación de datos (art. 33). El delegado de protección de datos (DPD) es obligatorio en los casos del art. 37.1 RGPD y en las entidades del art. 34 (colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras, empresas de seguridad privada, federaciones deportivas que traten datos de menores, entre otras); su designación se comunica a la autoridad en diez días. No puede ser removido ni sancionado por hacer su trabajo salvo dolo o negligencia grave (art. 36). Ante una reclamación dirigida primero al DPD, este contesta en dos meses; si la Agencia se la remite, en un mes (art. 37). Los códigos de conducta vinculan a quienes se adhieren (art. 38).

Título VI, transferencias internacionales (arts. 40 a 43): se rigen por el RGPD, esta ley y las circulares de las autoridades. La Agencia Española de Protección de Datos (AEPD) puede adoptar cláusulas contractuales tipo, con dictamen previo del Comité Europeo de Protección de Datos; las transferencias a países sin decisión de adecuación ni garantías adecuadas necesitan autorización previa de la autoridad, y las basadas en intereses legítimos imperiosos deben informarse a ella antes.

Título VII, autoridades (arts. 44 a 62). La AEPD es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica, que se relaciona con el Gobierno a través del Ministerio de Justicia y representa a todas las autoridades españolas en el Comité Europeo de Protección de Datos (art. 44). La Presidencia y el Adjunto los propone el Gobierno al Congreso; la Comisión de Justicia ratifica por tres quintos en primera votación o por mayoría absoluta en segunda, y los nombra el Consejo de Ministros por real decreto. Su mandato dura cinco años, renovable por otro igual (art. 48). Asesora a la Presidencia un Consejo Consultivo (art. 49). La Agencia investiga mediante actuaciones del título VIII y planes de auditoría preventiva, todos tienen deber de colaborar con ella y su Presidencia dicta las «Circulares de la Agencia Española de Protección de Datos» (art. 55). Las autoridades autonómicas controlan los tratamientos de su sector público (art. 57).

Título VIII, procedimientos (arts. 63 a 69). Si solo se reclama que no se atendió un derecho, el procedimiento empieza con la admisión a trámite y debe resolverse en seis meses; si no, el interesado puede considerar estimada su reclamación (art. 64.1). El procedimiento por posible infracción empieza con el acuerdo de inicio y dura como máximo doce meses, tras los cuales caduca (art. 64.2); el de apercibimiento, seis meses. La admisión o inadmisión de una reclamación se notifica en tres meses; si no se notifica, la tramitación sigue (art. 65.5). Se inadmiten las reclamaciones ajenas a la protección de datos, manifiestamente infundadas, abusivas o sin indicios racionales de infracción. Las actuaciones previas de investigación duran como máximo dieciocho meses (art. 67.2, en la redacción dada por la Ley 11/2023). El acuerdo de inicio lo dicta la Presidencia (art. 68), que puede adoptar medidas provisionales como el bloqueo cautelar de los datos (art. 69).

Claves para el examen

• La LOPDGDD adapta y completa el RGPD (Reglamento UE 2016/679); el derecho está en el art. 18.4 CE.
• Entran los títulos I a VIII; el IX (sanciones) y el X (derechos digitales) no están en el epígrafe.
• No se aplica a datos de fallecidos (salvo art. 3) ni a materias clasificadas.
• La prohibición del fallecido no impide a los herederos acceder a sus datos patrimoniales.
• Consentimiento: libre, específico, informado e inequívoco. Menores: consienten solos si son mayores de 14 años.
• Obligación legal o interés público: hace falta norma con rango de ley (o de la UE).
• El deber de confidencialidad sigue después de terminar la relación con el responsable.
• Acceso repetitivo: más de una vez en 6 meses sin causa legítima.
• Morosos: deuda cierta, vencida y exigible; como máximo 5 años desde el vencimiento.
• Videovigilancia: supresión en 1 mes; si hay delito, a la autoridad en 72 horas.
• Bloqueo: identificar y reservar los datos para jueces, fiscales y Administraciones durante la prescripción.
• DPD: designación comunicada en 10 días; responde reclamaciones en 2 meses (1 mes si se la remite la Agencia).
• AEPD: autoridad administrativa independiente, relacionada con el Gobierno por el Ministerio de Justicia.
• Presidencia y Adjunto: 3/5 de la Comisión de Justicia; mandato de 5 años renovable una vez.
• Plazos del título VIII: 6 meses (derechos), 12 meses (sancionador), 3 meses (admisión), 18 meses (actuaciones previas).

Vídeos recomendados

• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales. · Paco Barbié
• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales. 2ª Parte · Paco Barbié
• Resumen derechos Ley Orgánica protección de datos · Leyes para oposiciones

← Tema 10 · Tema 12 →