Tema 12 — Protección de datos y derechos digitales

Bloque I Cuerpo General Auxiliar de la Administración del Estado · Ingreso libre

1. La protección de datos personales y su régimen jurídico.
2. Principios.
3. Derechos.
4. Responsable y encargado del tratamiento.
5. Delegado y autoridades de protección de datos.
6. Derechos digitales.

Epígrafe 1 — La protección de datos personales y su régimen jurídico

1. Fundamento constitucional y europeo

La protección de datos personales tiene una triple base normativa de rango superior: la Constitución Española (art. 18.4 CE), la Carta de los Derechos Fundamentales de la Unión Europea (art. 8 CDFUE) y el Tratado de Funcionamiento de la Unión Europea (art. 16 TFUE). En el ordenamiento español está conectada con el derecho al honor, a la intimidad personal y familiar y a la propia imagen del art. 18.1 CE, pero ha sido perfilada por la jurisprudencia constitucional como derecho fundamental autónomo —el llamado derecho a la autodeterminación informativa— vid. STC 292/2000.

El art. 18.4 CE es un mandato constitucional al legislador para que limite el uso de la informática en garantía del honor, la intimidad y los demás derechos fundamentales. La ley a la que remite el 18.4 ha tenido tres versiones sucesivas en el ordenamiento español: la LO 5/1992 LORTAD, la LO 15/1999 LOPD y, hoy, la LO 3/2018 LOPDGDD, que se complementa con el RGPD europeo de aplicación directa.

El art. 8 CDFUE eleva la protección de datos a la categoría de derecho fundamental de la Unión, distinto del derecho al respeto de la vida privada y familiar del art. 7 CDFUE. El art. 16 TFUE habilita al legislador europeo (Parlamento Europeo + Consejo, procedimiento legislativo ordinario) para adoptar las normas de desarrollo y exige el control por autoridades independientes —habilitación de la que nace, precisamente, el RGPD.

2. Las dos normas de cabecera del régimen jurídico

El régimen jurídico vigente se asienta sobre dos instrumentos de rango y naturaleza distintos que operan de manera complementaria, no alternativa:

El RGPD es directamente aplicable sin necesidad de transposición (art. 288, párrafo segundo, TFUE); los Estados miembros conservan, no obstante, un margen normativo para concretar los aspectos que el propio Reglamento les remite expresamente. La LOPDGDD ejercita ese margen: no es una norma de transposición —los reglamentos UE no se transponen—, sino una norma de adaptación y desarrollo del RGPD que, además, incorpora un Título X dedicado a los derechos digitales que excede la materia armonizada europea.

La disposición final 1.ª LOPDGDD desglosa la naturaleza jurídica de la ley: la regla general es el carácter orgánico, pero tienen carácter de ley ordinaria el Título IV; el Título VII (salvo arts. 52 y 53); el Título VIII; el Título IX; los arts. 79, 80, 81, 82, 88, 95, 96 y 97 del Título X; las disposiciones adicionales (salvo la 2.ª y la 17.ª); las disposiciones transitorias; y las disposiciones finales (salvo la 1.ª, 2.ª, 3.ª, 4.ª, 8.ª, 10.ª y 16.ª).

3. Conceptos clave del RGPD — art. 4

El art. 4 RGPD contiene veintiséis definiciones. Las quince primeras vertebran toda la materia:

4. Datos de las personas fallecidas — art. 3 LOPDGDD

El RGPD ampara únicamente a las personas físicas vivas: los fallecidos no son «interesados» a efectos del Reglamento. La LOPDGDD reconoce, no obstante, en su art. 3 —ubicado en el Título I (Disposiciones generales), no en el Título III de derechos del interesado— un régimen específico de acceso, rectificación o supresión de los datos personales del causante por parte de determinados legitimados.

Epígrafe 2 — Principios

Los principios que rigen el tratamiento de datos personales se enumeran en el art. 5 RGPD y se desarrollan en el Título II de la LOPDGDD (arts. 4-10), con normas específicas sobre exactitud, confidencialidad, consentimiento, consentimiento de menores, bases distintas del consentimiento, categorías especiales y datos de naturaleza penal.

1. Los seis principios del art. 5 RGPD y la responsabilidad proactiva

2. Las seis bases jurídicas del tratamiento — art. 6 RGPD

El art. 5.1.a RGPD impone que el tratamiento sea lícito. El art. 6 RGPD concreta esa licitud exigiendo que concurra al menos una de seis bases jurídicas o «condiciones de licitud», ninguna superior a las demás:

3. Desarrollo nacional de bases distintas del consentimiento — art. 8 LOPDGDD

El art. 8 LOPDGDD desarrolla en el ordenamiento español las bases del 6.1.c y 6.1.e RGPD, exigiendo en ambos casos que el fundamento esté en norma con rango de ley (Derecho de la Unión o ley nacional). No basta una norma reglamentaria.

4. El consentimiento del afectado — art. 6 LOPDGDD

El consentimiento es la primera base jurídica del art. 6.1 RGPD y la única que el propio Reglamento define en su art. 4.11. La LOPDGDD reproduce esa definición en su art. 6 y añade dos reglas específicas sobre pluralidad de finalidades y prohibición de la supeditación contractual: cuando se funde el tratamiento en el consentimiento para una pluralidad de finalidades debe constar de manera específica e inequívoca que se otorga para todas ellas (art. 6.2); y no podrá supeditarse la ejecución del contrato a que el afectado consienta tratamientos para finalidades no relacionadas con el mantenimiento, desarrollo o control de la relación contractual (art. 6.3).

5. El consentimiento de los menores de edad — art. 7 LOPDGDD + art. 8 RGPD

6. La exactitud — art. 4 LOPDGDD

El art. 4 LOPDGDD desarrolla el principio de exactitud del art. 5.1.d RGPD aclarando cuándo la inexactitud no es imputable al responsable: cuando los datos inexactos se obtuvieron de cuatro fuentes específicas y el responsable adoptó todas las medidas razonables para suprimirlos o rectificarlos sin dilación.

7. El deber de confidencialidad — art. 5 LOPDGDD

El art. 5 LOPDGDD desarrolla el principio de integridad y confidencialidad del art. 5.1.f RGPD añadiendo dos reglas específicas: (i) el deber es complementario —no sustitutivo— de los deberes de secreto profesional aplicables (médico, abogado, sacerdote, periodista, funcionarial…), y (ii) se mantiene tras la extinción de la relación del obligado con el responsable o encargado.

8. Categorías especiales de datos — art. 9 RGPD + art. 9 LOPDGDD

El art. 9 RGPD parte de una prohibición general del tratamiento de las categorías especiales y enumera diez excepciones a esa prohibición (apartado 2, letras a-j). El art. 9 LOPDGDD añade un matiz nacional a la excepción del consentimiento (9.2.a) y exige norma con rango de ley para tres de las excepciones (9.2.g, h, i).

9. Datos de naturaleza penal — art. 10 RGPD + art. 10 LOPDGDD

Epígrafe 3 — Derechos

Los derechos del interesado están regulados en el Capítulo III del RGPD (arts. 12-22) y desarrollados en el Título III de la LOPDGDD (arts. 11-18), con dos planos diferenciados: la transparencia y modalidades de ejercicio (arts. 11-12 LOPDGDD + art. 12 RGPD + arts. 13-14 RGPD), y los seis derechos sustantivos del catálogo —acceso, rectificación, supresión, limitación, portabilidad y oposición— a los que se añade un séptimo derecho separado: el derecho a no ser objeto de decisiones individuales automatizadas del art. 22 RGPD.

1. Información por capas — art. 11 LOPDGDD + arts. 13 y 14 RGPD

El RGPD obliga al responsable a facilitar al interesado, en el momento en que se obtengan sus datos, una información extensa y detallada sobre el tratamiento (identidad del responsable, fines, base jurídica, plazos de conservación, derechos del interesado, decisiones automatizadas, transferencias a terceros países…). Por la complejidad de esa información, la LOPDGDD habilita un sistema de información por capas: el responsable puede facilitar primero una información básica y enlazar con un medio sencillo y accesible al resto.

2. Disposiciones generales sobre ejercicio de los derechos — art. 12 LOPDGDD + art. 12 RGPD

3. Acceso — art. 15 RGPD + art. 13 LOPDGDD

El interesado tiene derecho a obtener confirmación de si se están tratando o no datos suyos y, en tal caso, acceso a los datos y a la información del art. 15.1 (fines, categorías de datos, destinatarios, plazo de conservación, derechos, origen, decisiones automatizadas), más una copia de los datos objeto de tratamiento (art. 15.3). La LOPDGDD completa el régimen en su art. 13.

4. Rectificación — art. 16 RGPD + art. 14 LOPDGDD

El interesado tiene derecho a obtener sin dilación indebida la rectificación de los datos inexactos que le conciernan y a que se completen los datos incompletos, inclusive mediante una declaración adicional (art. 16 RGPD). El art. 14 LOPDGDD precisa la carga formal del afectado: indicar a qué datos se refiere y la corrección que haya de realizarse, acompañando, cuando sea preciso, la documentación justificativa.

5. Supresión — art. 17 RGPD + art. 15 LOPDGDD

El art. 17 RGPD se denomina formalmente «derecho de supresión (el derecho al olvido)». Tiene una doble proyección: la supresión clásica (apartado 1) y la obligación adicional del responsable que haya hecho públicos los datos de comunicar la solicitud de supresión a otros responsables que estén tratando enlaces, copias o réplicas (apartado 2 — la verdadera proyección «de olvido digital»).

6. Limitación del tratamiento — art. 18 RGPD + art. 16 LOPDGDD

7. Portabilidad — art. 20 RGPD + art. 17 LOPDGDD

El interesado tiene derecho a recibir los datos que le incumban, que haya facilitado a un responsable, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable, cuando el tratamiento se base en consentimiento o contrato y se efectúe por medios automatizados (art. 20.1). El art. 17 LOPDGDD se remite al art. 20 RGPD.

8. Oposición y decisiones individuales automatizadas — arts. 21 y 22 RGPD + art. 18 LOPDGDD

El art. 18 LOPDGDD agrupa en una sola remisión el derecho de oposición (art. 21 RGPD) y las decisiones individuales automatizadas (art. 22 RGPD).

9. El catálogo ARSLIPO + el séptimo derecho

10. El tratamiento que no requiere identificación — art. 11 RGPD

Los derechos del interesado presuponen que el responsable puede identificar a quien los ejerce. El art. 11 RGPD regula el supuesto en que esa identificación no es necesaria —o ha dejado de serlo— para los fines del tratamiento: el responsable no está obligado a conservar, obtener o tratar datos adicionales con la única finalidad de identificar al interesado para cumplir el Reglamento, y, si demuestra que no está en condiciones de identificarlo, no se aplican los arts. 15 a 20 RGPD (acceso, rectificación, supresión, limitación, notificación del art. 19 y portabilidad), salvo que el propio interesado aporte información adicional que permita su identificación.

1. Si los fines para los cuales un responsable trata datos personales no requieren o ya no requieren la identificación de un interesado por el responsable, este no estará obligado a mantener, obtener o tratar información adicional con vistas a identificar al interesado con la única finalidad de cumplir el presente Reglamento.

2. Cuando, en los casos a que se refiere el apartado 1 del presente artículo, el responsable sea capaz de demostrar que no está en condiciones de identificar al interesado, le informará en consecuencia, de ser posible. En tales casos no se aplicarán los artículos 15 a 20, excepto cuando el interesado, a efectos del ejercicio de sus derechos en virtud de dichos artículos, facilite información adicional que permita su identificación.

En conexión, el art. 12.2 RGPD precisa que, en esos casos, el responsable «no se negará a actuar a petición del interesado» para ejercer sus derechos de los arts. 15 a 22 salvo que demuestre que no puede identificarlo; y el art. 12.6 RGPD le permite pedir información adicional ante dudas razonables sobre la identidad, «sin perjuicio de lo dispuesto en el artículo 11». El considerando 57 añade que el responsable tampoco debe negarse a recibir la información adicional que el interesado facilite para ejercer sus derechos, y que la identificación incluye la digital (p. ej., las credenciales de acceso al servicio en línea).

Epígrafe 4 — Responsable y encargado del tratamiento

El responsable y el encargado del tratamiento están regulados en el Capítulo IV del RGPD (arts. 24-43) y desarrollados en el Título V de la LOPDGDD (arts. 28-37), dividido en tres capítulos: Capítulo I — Obligaciones generales (arts. 28-32), Capítulo II — Encargado del tratamiento (art. 33) y Capítulo III — Delegado de protección de datos (arts. 34-37, materia del Ep. 5). El tratamiento de datos crediticios y de morosos del art. 20 LOPDGDD se integra en este epígrafe en la sub-sección final.

1. La responsabilidad activa (accountability) — art. 24 RGPD + art. 28 LOPDGDD

El RGPD sustituye el modelo previo de cumplimiento formal por un modelo de responsabilidad activa (accountability): el responsable y el encargado deben valorar el riesgo del tratamiento y adoptar medidas técnicas y organizativas apropiadas, sin esperar a la intervención de la autoridad de control. La responsabilidad proactiva del art. 5.2 RGPD (acreditar el cumplimiento de los principios) se complementa aquí con la responsabilidad activa de los arts. 24 RGPD y 28 LOPDGDD (adoptar medidas conforme al riesgo).

2. Protección desde el diseño y por defecto — art. 25 RGPD

3. Corresponsables del tratamiento — art. 26 RGPD + art. 29 LOPDGDD

Cuando dos o más responsables determinan conjuntamente los objetivos y los medios del tratamiento son corresponsables, y determinan de modo transparente y de mutuo acuerdo sus responsabilidades respectivas (art. 26.1). El art. 29 LOPDGDD precisa que esa determinación se realiza atendiendo a las actividades que efectivamente desarrolle cada uno.

4. Representantes de responsables/encargados no establecidos en la UE — art. 27 RGPD + art. 30 LOPDGDD

Cuando el RGPD se aplica a un responsable o encargado no establecido en la Unión (art. 3.2 RGPD), este designará por escrito un representante en la Unión, salvo en tratamientos ocasionales de bajo riesgo o cuando se trate de autoridades u organismos públicos (art. 27.2).

5. El encargado del tratamiento — art. 28 RGPD + art. 33 LOPDGDD

El responsable elegirá únicamente un encargado que ofrezca garantías suficientes (art. 28.1). El encargado no recurrirá a otro encargado sin autorización previa por escrito, específica o general (art. 28.2). El tratamiento se regirá por un contrato u otro acto jurídico que vincule al encargado y fije el contenido del art. 28.3.

6. Registro de las actividades de tratamiento — art. 30 RGPD + art. 31 LOPDGDD

Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento con el contenido del art. 30.1 (datos de contacto del responsable, fines, categorías de interesados y datos, destinatarios, transferencias, plazos de supresión, descripción de medidas de seguridad). El art. 31 LOPDGDD desarrolla la obligación en el ordenamiento español.

7. Seguridad del tratamiento y violaciones de seguridad — arts. 32, 33 y 34 RGPD

El art. 32 RGPD exige medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (seudonimización y cifrado; confidencialidad, integridad, disponibilidad y resiliencia; capacidad de restaurar el acceso; verificación regular de la eficacia).

8. Evaluación de impacto (EIPD) y consulta previa — arts. 35 y 36 RGPD

Cuando sea probable que un tratamiento entrañe un alto riesgo, el responsable realizará, antes del tratamiento, una evaluación de impacto (art. 35.1), con el contenido mínimo del 35.7. Si la EIPD muestra un alto riesgo no mitigable, el responsable hará una consulta previa a la autoridad de control (art. 36).

9. Bloqueo de los datos — art. 32 LOPDGDD

El responsable está obligado a bloquear los datos cuando proceda a su rectificación o supresión (art. 32.1). El bloqueo consiste en la identificación y reserva de los datos, adoptando medidas técnicas y organizativas, para impedir su tratamiento (incluida su visualización), excepto para su puesta a disposición de jueces, tribunales, Ministerio Fiscal o Administraciones competentes —en particular las autoridades de protección de datos— para exigir responsabilidades, y solo por el plazo de prescripción de estas. Transcurrido ese plazo, destrucción de los datos.

10. Sistemas de información crediticia — art. 20 LOPDGDD

Los sistemas comunes de información crediticia —conocidos en la práctica como «ficheros de morosos»— están regulados en el art. 20 LOPDGDD (tratamiento concreto del Título IV). Su régimen involucra una corresponsabilidad entre la entidad que mantiene el sistema y los acreedores que reportan la deuda.

Epígrafe 5 — Delegado y autoridades de protección de datos

El delegado de protección de datos (DPO) y las autoridades de control son las dos piezas institucionales del sistema. El DPO se regula en los arts. 37-39 RGPD y arts. 34-37 LOPDGDD (Capítulo III del Título V). Las autoridades de control son: la AEPD (Capítulo I del Título VII LOPDGDD, arts. 44-56), las autoridades autonómicas (Capítulo II del Título VII, arts. 57-62) y el Comité Europeo de Protección de Datos (CEPD) (Capítulo VII RGPD, art. 68 ss.). El régimen sancionador (Título IX LOPDGDD, arts. 70-78 + art. 83 RGPD) y las transferencias internacionales (Título VI LOPDGDD, arts. 40-43 + Capítulo V RGPD, arts. 44-49) cierran este epígrafe como materias ordinarias del sistema institucional.

1. El delegado de protección de datos (DPO): designación obligatoria — art. 37 RGPD + art. 34 LOPDGDD

El art. 37.1 RGPD impone la designación de un DPO en tres supuestos. El art. 34.1 LOPDGDD los completa con dieciséis entidades del Derecho español (letras a-o) obligadas en todo caso.

2. Cualificación del DPO — art. 35 LOPDGDD + art. 37.5 RGPD

El art. 37.5 RGPD exige que el DPO sea designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos. La LOPDGDD complementa: sea persona física o jurídica, los conocimientos pueden acreditarse por certificación voluntaria (Esquema AEPD-DPD) o por titulación universitaria.

3. Posición y garantías del DPO — art. 38 RGPD + art. 36 LOPDGDD

4. Funciones del DPO — art. 39 RGPD

5. Intervención del DPO en caso de reclamación — art. 37 LOPDGDD

Cuando el responsable o encargado hubieran designado un DPO, el afectado podrá, con carácter previo a la reclamación ante la AEPD o autoridades autonómicas, dirigirse al DPO de la entidad (art. 37.1). La autoridad de control también puede remitirle una reclamación ya presentada para que responda (art. 37.2).

6. La Agencia Española de Protección de Datos (AEPD) — arts. 44-49 LOPDGDD

La AEPD es una autoridad administrativa independiente de ámbito estatal (Ley 40/2015), con personalidad jurídica y plena independencia de los poderes públicos, que se relaciona con el Gobierno a través del Ministerio de Justicia (art. 44.1) y es el representante común de las autoridades españolas ante el CEPD (art. 44.2). Le corresponde supervisar la aplicación del RGPD y la LOPDGDD, ejerciendo las funciones del art. 57 y las potestades del art. 58 RGPD (art. 47).

Consejo Consultivo de la AEPD (art. 49 LOPDGDD). Asesora a la Presidencia; sus decisiones no son vinculantes. Se reúne cuando lo disponga la Presidencia y, en todo caso, al menos una vez al semestre. Está compuesto por miembros de procedencia institucional y técnica diversa (un Diputado, un Senador, un representante del CGPJ, representantes de la AGE y de las CCAA con autoridad propia, expertos de la FEMP, consumidores, organizaciones empresariales y sindicales, profesionales de protección de datos y de seguridad de la información, CRUE, colegios profesionales y un experto en transparencia propuesto por el CTBG).

7. Las autoridades autonómicas de protección de datos — arts. 57-62 LOPDGDD

8. El Comité Europeo de Protección de Datos (CEPD) — art. 68 RGPD + art. 44.2 LOPDGDD

El CEPD —arts. 68-76 RGPD, Capítulo VII— es el organismo de la Unión Europea (con personalidad jurídica) que garantiza la aplicación coherente del RGPD en todos los Estados miembros. Está compuesto por el director de la autoridad de control de cada Estado miembro y el Supervisor Europeo de Protección de Datos (SEPD), o sus representantes.

9. Régimen sancionador — Título IX LOPDGDD (arts. 70-78) + art. 83 RGPD

Están sujetos al régimen sancionador los responsables, los encargados, los representantes de responsables/encargados no establecidos en la UE, las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta (art. 70.1). No se aplica al delegado de protección de datos (art. 70.2).

Entre las infracciones muy graves del art. 72 LOPDGDD: tratamiento vulnerando los principios del art. 5 (a) · sin condición de licitud del art. 6 (b) · incumplimiento de los requisitos del consentimiento del art. 7 (c) · tratamiento de categorías especiales sin amparo (e) · datos penales fuera de los supuestos (f) · omisión del deber de informar (h) · vulneración de la confidencialidad del art. 5 LOPDGDD (i) · impedimento u obstaculización reiterada del ejercicio de derechos (k) · transferencia internacional sin garantías (l) · incumplimiento de resoluciones de la autoridad (m) · incumplimiento de la obligación de bloqueo (n) · resistencia a la función inspectora (o) · reversión deliberada de la anonimización (p).

10. Régimen especial del sector público — art. 77 LOPDGDD

11. Transferencias internacionales de datos — Capítulo V RGPD (arts. 44-49) + Título VI LOPDGDD (arts. 40-43)

Una transferencia internacional es el flujo de datos personales desde el ámbito del RGPD (territorio UE + EEE) a destinatarios en terceros países u organizaciones internacionales. El Espacio Económico Europeo (EEE) comprende los 27 Estados de la UE más Liechtenstein, Islandia y Noruega; las transferencias dentro del EEE no son internacionales a efectos del RGPD.

Epígrafe 6 — Derechos digitales

El Título X LOPDGDD —arts. 79 a 97— recoge el catálogo de derechos digitales específico del ordenamiento español, que excede la materia armonizada del RGPD y constituye uno de los rasgos diferenciales de la LO 3/2018. Su estructura interna es cuádruple: derechos en internet (arts. 79-86), derechos en el ámbito laboral (arts. 87-91), derechos digitales sobre contenidos —olvido, portabilidad y testamento digital— (arts. 92-96) y políticas de impulso (art. 97). En el capítulo laboral se integra también el art. 22 LOPDGDD (videovigilancia), por su conexión con el art. 89 (videovigilancia laboral): el art. 22 fija la regla general y el art. 89 la especialización en el centro de trabajo.

1. Derechos en internet — arts. 79-86 LOPDGDD

2. Derechos en el ámbito laboral — arts. 87-91 LOPDGDD + art. 22 LOPDGDD

3. Derechos digitales sobre contenidos: olvido, portabilidad y testamento digital — arts. 92-96 LOPDGDD

4. Políticas de impulso de los derechos digitales — art. 97 LOPDGDD