Tema 11 — Protección de datos personales

Bloque I · Ciencias jurídicas Guardia Civil · Escala de Cabos y Guardias

1. Disposiciones generales y régimen jurídico.
2. Principios de protección de datos.
3. Derechos de las personas.
4. Disposiciones aplicables a tratamientos concretos.
5. Responsable y encargado del tratamiento.
6. Transferencias internacionales de datos.
7. Autoridades de protección de datos.
8. Procedimientos en caso de posible vulneración de la normativa de protección de datos.

Epígrafe 1 — Disposiciones generales y régimen jurídico

1. Fundamento constitucional y europeo

La protección de datos personales tiene una triple base normativa de rango superior: la Constitución Española (art. 18.4 CE), la Carta de los Derechos Fundamentales de la Unión Europea (art. 8 CDFUE) y el Tratado de Funcionamiento de la Unión Europea (art. 16 TFUE). En el ordenamiento español está conectada con el derecho al honor, a la intimidad personal y familiar y a la propia imagen del art. 18.1 CE, pero ha sido perfilada por la jurisprudencia constitucional como derecho fundamental autónomo —el llamado derecho a la autodeterminación informativa— vid. STC 292/2000.

Artículo 18 CE · Honor, intimidad, imagen, domicilio, comunicaciones y limitación de la informática

1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen.

2. El domicilio es inviolable. Ninguna entrada o registro podrá hacerse en él sin consentimiento del titular o resolución judicial, salvo en caso de flagrante delito.

3. Se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial.

4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

El art. 18.4 CE es un mandato constitucional al legislador para que limite el uso de la informática en garantía del honor, la intimidad y los demás derechos fundamentales. La ley a la que remite el 18.4 ha tenido tres versiones sucesivas en el ordenamiento español: la LO 5/1992 LORTAD, la LO 15/1999 LOPD y, hoy, la LO 3/2018 LOPDGDD, que se complementa con el RGPD europeo de aplicación directa.

Artículo 8 CDFUE · Protección de datos de carácter personal

1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación.

3. El respeto de estas normas estará sujeto al control de una autoridad independiente.

Artículo 16 TFUE · Protección de datos en el Derecho de la Unión

1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

2. El Parlamento Europeo y el Consejo establecerán, con arreglo al procedimiento legislativo ordinario, las normas sobre protección de las personas físicas respecto del tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión, así como por los Estados miembros en el ejercicio de las actividades comprendidas en el ámbito de aplicación del Derecho de la Unión, y sobre la libre circulación de estos datos. El respeto de dichas normas estará sometido al control de autoridades independientes.

Las normas que se adopten en virtud del presente artículo se entenderán sin perjuicio de las normas específicas previstas en el artículo 39 del Tratado de la Unión Europea.

El art. 8 CDFUE eleva la protección de datos a la categoría de derecho fundamental de la Unión, distinto del derecho al respeto de la vida privada y familiar del art. 7 CDFUE. El art. 16 TFUE habilita al legislador europeo (Parlamento Europeo + Consejo, procedimiento legislativo ordinario) para adoptar las normas de desarrollo y exige el control por autoridades independientes —habilitación de la que nace, precisamente, el RGPD.

2. Las dos normas de cabecera del régimen jurídico

El régimen jurídico vigente se asienta sobre dos instrumentos de rango y naturaleza distintos que operan de manera complementaria, no alternativa:

El RGPD es directamente aplicable sin necesidad de transposición (art. 288, párrafo segundo, TFUE: «el reglamento […] será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro»); los Estados miembros conservan, no obstante, un margen normativo para concretar los aspectos que el propio Reglamento les remite expresamente. La LOPDGDD ejercita ese margen: no es una norma de transposición —los reglamentos UE no se transponen—, sino una norma de adaptación y desarrollo del RGPD en el ordenamiento español que, además, incorpora un Título X dedicado a los derechos digitales que excede la materia armonizada europea.

La disposición final 1.ª LOPDGDD desglosa la naturaleza jurídica de la ley con detalle: la regla general es el carácter orgánico, pero tienen carácter de ley ordinaria el Título IV; el Título VII (salvo arts. 52 y 53); el Título VIII; el Título IX; los arts. 79, 80, 81, 82, 88, 95, 96 y 97 del Título X; las disposiciones adicionales (salvo la 2.ª y la 17.ª); las disposiciones transitorias; y las disposiciones finales (salvo la 1.ª, 2.ª, 3.ª, 4.ª, 8.ª, 10.ª y 16.ª).

3. Conceptos clave del RGPD — art. 4

El art. 4 RGPD contiene veintiséis definiciones. Las quince primeras son las que vertebran toda la materia y se reproducen literalmente del DOUE L 119:

Artículo 4 RGPD · Definiciones (nº 1-15)

A efectos del presente Reglamento se entenderá por:

1. «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2. «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

3. «limitación del tratamiento»: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro;

4. «elaboración de perfiles»: toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física;

5. «seudonimización»: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable;

6. «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

7. «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;

8. «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;

9. «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento;

10. «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado;

11. «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;

12. «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;

13. «datos genéticos»: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona;

14. «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;

15. «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;

4. Datos de las personas fallecidas — art. 3 LOPDGDD

El RGPD ampara únicamente a las personas físicas vivas: los fallecidos no son «interesados» a efectos del Reglamento. La LOPDGDD reconoce, no obstante, en su art. 3 —ubicado en el Título I (Disposiciones generales), no en el Título III de derechos del interesado— un régimen específico de acceso, rectificación o supresión de los datos personales del causante por parte de determinados legitimados.

Artículo 3 LOPDGDD · Datos de las personas fallecidas

1. Las personas vinculadas al fallecido por razones familiares o de hecho así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión.

Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Dicha prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante.

2. Las personas o instituciones a las que el fallecido hubiese designado expresamente para ello podrán también solicitar, con arreglo a las instrucciones recibidas, el acceso a los datos personales de este y, en su caso su rectificación o supresión.

Mediante real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos.

3. En caso de fallecimiento de menores, estas facultades podrán ejercerse también por sus representantes legales o, en el marco de sus competencias, por el Ministerio Fiscal, que podrá actuar de oficio o a instancia de cualquier persona física o jurídica interesada.

En caso de fallecimiento de personas con discapacidad, estas facultades también podrán ejercerse, además de por quienes señala el párrafo anterior, por quienes hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se entendieran comprendidas en las medidas de apoyo prestadas por el designado.

Epígrafe 2 — Principios de protección de datos

Los principios que rigen el tratamiento de datos personales se enumeran en el art. 5 RGPD y se desarrollan en el Título II de la LOPDGDD (arts. 4-10), con normas específicas sobre exactitud, confidencialidad, consentimiento, consentimiento de menores, bases distintas del consentimiento, categorías especiales y datos de naturaleza penal.

1. Los seis principios del art. 5 RGPD y la responsabilidad proactiva

Artículo 5 RGPD · Principios relativos al tratamiento

1. Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);

b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);

e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).

2. Las seis bases jurídicas del tratamiento — art. 6 RGPD

El art. 5.1.a RGPD impone que el tratamiento sea lícito. El art. 6 RGPD concreta esa licitud exigiendo que concurra al menos una de seis bases jurídicas o «condiciones de licitud», ninguna superior a las demás:

Artículo 6.1 RGPD · Licitud del tratamiento

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

3. Desarrollo nacional de bases distintas del consentimiento — art. 8 LOPDGDD

Artículo 8 LOPDGDD · Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos

1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.

2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.

El art. 8 LOPDGDD desarrolla en el ordenamiento español las bases del 6.1.c y 6.1.e RGPD, exigiendo en ambos casos que el fundamento esté en norma con rango de ley (Derecho de la Unión o ley nacional). No basta una norma reglamentaria.

4. El consentimiento del afectado — art. 6 LOPDGDD

El consentimiento es la primera base jurídica del art. 6.1 RGPD y es la única que el propio Reglamento define en su art. 4.11. La LOPDGDD reproduce esa definición en su art. 6 y añade dos reglas específicas sobre pluralidad de finalidades y prohibición de la supeditación contractual.

Artículo 6 LOPDGDD · Tratamiento basado en el consentimiento del afectado

1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.

2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.

3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.

5. El consentimiento de los menores de edad — art. 7 LOPDGDD + art. 8 RGPD

Artículo 7 LOPDGDD · Consentimiento de los menores de edad

1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años.

Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.

2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.

Artículo 8.1 RGPD · Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información

1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó.

Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.

6. La exactitud — art. 4 LOPDGDD

El art. 4 LOPDGDD desarrolla el principio de exactitud del art. 5.1.d RGPD aclarando cuándo la inexactitud no es imputable al responsable: cuando los datos inexactos se obtuvieron de cuatro fuentes específicas y el responsable adoptó todas las medidas razonables para suprimirlos o rectificarlos sin dilación.

Artículo 4 LOPDGDD · Exactitud de los datos

1. Conforme al artículo 5.1.d) del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.

2. A los efectos previstos en el artículo 5.1.d) del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:

a) Hubiesen sido obtenidos por el responsable directamente del afectado.

b) Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador que recoja en nombre propio los datos de los afectados para su transmisión al responsable. El mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de comunicación al responsable de datos que no se correspondan con los facilitados por el afectado.

c) Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.

d) Fuesen obtenidos de un registro público por el responsable.

7. El deber de confidencialidad — art. 5 LOPDGDD

Artículo 5 LOPDGDD · Deber de confidencialidad

1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.

2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.

3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.

El art. 5 LOPDGDD desarrolla el principio de integridad y confidencialidad del art. 5.1.f RGPD añadiendo dos reglas específicas: (i) el deber es complementario —no sustitutivo— de los deberes de secreto profesional aplicables (médico, abogado, sacerdote, periodista, funcionarial…), y (ii) se mantiene tras la extinción de la relación del obligado con el responsable o encargado.

8. Categorías especiales de datos — art. 9 RGPD + art. 9 LOPDGDD

El art. 9 RGPD parte de una prohibición general del tratamiento de las categorías especiales y enumera diez excepciones a esa prohibición (apartado 2, letras a-j). El art. 9 LOPDGDD añade un matiz nacional a la excepción del consentimiento (9.2.a) y exige norma con rango de ley para tres de las excepciones (9.2.g, h, i).

Artículo 9.1 RGPD · Prohibición de tratamiento de categorías especiales

1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.

Excepciones a la prohibición · a-j (art. 9.2 RGPD)

Artículo 9 LOPDGDD · Categorías especiales de datos

1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda.

2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad.

En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.

9. Datos de naturaleza penal — art. 10 RGPD + art. 10 LOPDGDD

Artículo 10 RGPD · Tratamiento de datos personales relativos a condenas e infracciones penales

El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.

Artículo 10 LOPDGDD · Tratamiento de datos de naturaleza penal

1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.

2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia.

3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.

Epígrafe 3 — Derechos de las personas

El Título III de la LOPDGDD (arts. 11 a 18) regula los derechos de las personas en materia de protección de datos. No los crea: los derechos sustantivos están reconocidos en el Capítulo III del RGPD (arts. 12 a 22), directamente aplicable. La LOPDGDD se limita a desarrollar y modular su ejercicio en el ordenamiento español —de ahí que casi todos sus artículos remitan expresamente al artículo correlativo del Reglamento—. La relación es, una vez más, la del RGPD como base y la LOPDGDD como norma de desarrollo.

El Título III se divide en dos capítulos: el Capítulo I (Transparencia e información, art. 11) y el Capítulo II (Ejercicio de los derechos, arts. 12 a 18).

1. El catálogo de derechos y su correspondencia con el RGPD

Los derechos del afectado se ejercen ante el responsable del tratamiento y son seis derechos sustantivos, más el derecho a no ser objeto de decisiones individuales automatizadas. Cada uno tiene su artículo en la LOPDGDD y su correlativo en el RGPD:

El art. 11 LOPDGDD cubre la transparencia e información (correlativo de los arts. 13-14 RGPD) y el art. 12 LOPDGDD las disposiciones generales de ejercicio (correlativo del art. 12 RGPD, sobre modalidades, plazos y gratuidad). Entre los derechos sustantivos del RGPD queda además el art. 19 RGPD (obligación de notificación de la rectificación, supresión o limitación a cada destinatario), que la LOPDGDD no reproduce en artículo propio.

2. Transparencia e información — arts. 11 y 12 LOPDGDD (resumen)

El art. 11 LOPDGDD permite al responsable cumplir el deber de información de los arts. 13 y 14 RGPD mediante un modelo por capas: facilita al afectado una información básica —identidad del responsable y de su representante, finalidad del tratamiento y posibilidad de ejercer los derechos de los arts. 15 a 22 RGPD— e indica una dirección electrónica u otro medio para acceder de forma sencilla e inmediata a la restante información. Si va a haber elaboración de perfiles, la información básica lo comprenderá también, con mención del derecho a oponerse a las decisiones automatizadas del art. 22 RGPD. Cuando los datos no se hayan obtenido del afectado (art. 14 RGPD), la información básica incluye además las categorías de datos tratadas y las fuentes de las que proceden.

El art. 12 LOPDGDD fija las reglas generales de ejercicio: los derechos de los arts. 15-22 RGPD pueden ejercerse directamente o por medio de representante legal o voluntario; el responsable debe informar de los medios disponibles, que han de ser fácilmente accesibles, sin que quepa denegar el ejercicio por el solo hecho de que el afectado opte por otro medio; el encargado puede tramitar las solicitudes por cuenta del responsable si así se pactó; la prueba del cumplimiento del deber de responder recae sobre el responsable; los titulares de la patria potestad pueden ejercer los derechos en nombre de los menores de catorce años; y las actuaciones del responsable para atender estas solicitudes son, con carácter general, gratuitas (art. 12.7 LOPDGDD, sin perjuicio de los arts. 12.5 y 15.3 RGPD).

En cuanto a los plazos de respuesta, la LOPDGDD remite al art. 12 RGPD: el responsable atiende la solicitud sin dilación indebida y, en todo caso, en el plazo de un mes desde su recepción, prorrogable en dos meses más (hasta un máximo de tres) atendida la complejidad y el número de solicitudes, informando al interesado de la prórroga y de sus motivos dentro del primer mes.

3. Derecho de acceso — art. 13 LOPDGDD / art. 15 RGPD

El art. 15 RGPD reconoce al interesado el derecho a obtener del responsable confirmación de si se están tratando o no sus datos y, en tal caso, acceso a esos datos y a información sobre los fines, las categorías, los destinatarios, el plazo de conservación, sus derechos y el origen de los datos. El art. 13 LOPDGDD desarrolla su ejercicio:

Artículo 13 LOPDGDD · Derecho de acceso

1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679.

Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud.

2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho.

No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.

3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello.

4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.

4. Derecho de rectificación — art. 14 LOPDGDD / art. 16 RGPD

El art. 16 RGPD permite obtener sin dilación indebida la rectificación de los datos inexactos y que se completen los que sean incompletos. El art. 14 LOPDGDD precisa la carga que asume el solicitante:

Artículo 14 LOPDGDD · Derecho de rectificación

Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento.

5. Derecho de supresión («derecho al olvido») — art. 15 LOPDGDD / art. 17 RGPD

El art. 17 RGPD —conocido como «derecho al olvido»— reconoce el derecho a obtener la supresión de los datos cuando ya no sean necesarios, se retire el consentimiento, medie oposición, el tratamiento sea ilícito o exista una obligación legal, con las excepciones del propio artículo (libertad de expresión, obligación legal, interés público, fines de archivo o de reclamaciones). El art. 15 LOPDGDD añade una regla sobre conservación tras la oposición:

Artículo 15 LOPDGDD · Derecho de supresión

1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.

2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.

6. Derecho a la limitación del tratamiento — art. 16 LOPDGDD / art. 18 RGPD

El art. 18 RGPD permite al interesado obtener la limitación del tratamiento (los datos se marcan y se conservan, pero no se tratan, salvo excepciones) en cuatro supuestos: impugnación de la exactitud, tratamiento ilícito con oposición al borrado, datos ya innecesarios que el interesado necesita para reclamaciones, u oposición pendiente de verificación. El art. 16 LOPDGDD exige constancia de esa limitación:

Artículo 16 LOPDGDD · Derecho a la limitación del tratamiento

1. El derecho a la limitación del tratamiento se ejercerá de acuerdo con lo establecido en el artículo 18 del Reglamento (UE) 2016/679.

2. El hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.

7. Derecho a la portabilidad — art. 17 LOPDGDD / art. 20 RGPD

El art. 20 RGPD reconoce el derecho a recibir los datos que el interesado haya facilitado en un formato estructurado, de uso común y lectura mecánica y a transmitirlos a otro responsable, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados. El art. 17 LOPDGDD se limita a una remisión íntegra:

Artículo 17 LOPDGDD · Derecho a la portabilidad

El derecho a la portabilidad se ejercerá de acuerdo con lo establecido en el artículo 20 del Reglamento (UE) 2016/679.

8. Derecho de oposición y decisiones automatizadas — art. 18 LOPDGDD / arts. 21 y 22 RGPD

El art. 21 RGPD permite al interesado oponerse en cualquier momento, por motivos relacionados con su situación particular, a un tratamiento basado en el interés público o el interés legítimo; frente a la mercadotecnia directa la oposición es incondicional y determina el cese del tratamiento con ese fin. El art. 22 RGPD reconoce, además, el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado —incluida la elaboración de perfiles— que produzca efectos jurídicos o le afecte significativamente de modo similar, salvo que sea necesaria para un contrato, la autorice el Derecho aplicable o se base en el consentimiento explícito. El art. 18 LOPDGDD remite conjuntamente a ambos:

Artículo 18 LOPDGDD · Derecho de oposición

El derecho de oposición, así como los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercerán de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679.

Epígrafe 4 — Disposiciones aplicables a tratamientos concretos

El Título IV de la LOPDGDD (arts. 19 a 27) no crea derechos nuevos: es un catálogo de tratamientos específicos en los que el legislador español, aprovechando el margen que le deja el RGPD, fija las condiciones en que ese tratamiento concreto se considera lícito. Es uno de los títulos que la disposición final 1.ª declara de carácter ordinario (no orgánico). Dos técnicas se repiten a lo largo del título:

• Presunción de licitud iuris tantum —«salvo prueba en contrario, se presumirá lícito / amparado»— en los tratamientos de datos de contacto profesional (art. 19), información crediticia (art. 20) y operaciones mercantiles (art. 21).
• Remisión a una legislación específica que se aplica con preferencia, en los tratamientos con fines estadísticos (art. 25), de archivo (art. 26) o de protección de denunciantes (art. 24).

Tres artículos concentran las reglas que operan de forma más autónoma —información crediticia (art. 20), videovigilancia (art. 22) y exclusión publicitaria (art. 23)— y se desarrollan a continuación con su texto literal; el resto se sistematiza en la tabla final.

1. Sistemas de información crediticia — art. 20

Los ficheros de morosos (los llamados sistemas comunes de información crediticia, como ASNEF o RAI) tratan datos de incumplimientos de pago. El art. 20 presume lícito ese tratamiento solo si concurren, acumulativamente, una serie de requisitos que blindan al deudor, entre ellos dos plazos que son el núcleo del precepto.

Artículo 20 · Sistemas de información crediticia

1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:

a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.

b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.

c) Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe.

La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.

d) Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.

El apartado 1 continúa con dos requisitos más: la letra e) restringe la consulta del fichero a quien mantenga con el afectado una relación contractual que implique el abono de una cuantía o le haya solicitado un contrato de financiación, pago aplazado o facturación periódica; y la letra f) obliga a quien consultó el sistema a informar al afectado del resultado cuando, a raíz de la consulta, se le hubiera denegado el contrato. El apartado 2 convierte a la entidad que mantiene el sistema y al acreedor en corresponsables del tratamiento (art. 26 RGPD), correspondiendo al acreedor garantizar que concurren los requisitos de la inclusión. El apartado 3 aclara que la presunción no ampara el perfilado del deudor con información adicional obtenida de otras fuentes (técnicas de calificación crediticia).

2. Tratamientos con fines de videovigilancia — art. 22

El art. 22 habilita a cualquier persona física o jurídica, pública o privada, a captar imágenes con cámaras para preservar la seguridad de personas, bienes e instalaciones, y fija el plazo de conservación que es la regla más característica del precepto.

Artículo 22 · Tratamientos con fines de videovigilancia

1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.

2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior.

No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado.

3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.

No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica.

Los restantes apartados completan el régimen: el apartado 4 entiende cumplido el deber de información (art. 12 RGPD) mediante un dispositivo informativo visible que identifique el tratamiento, al responsable y la posibilidad de ejercer los derechos de los arts. 15 a 22 RGPD; el apartado 5 excluye del ámbito del RGPD la grabación por un particular del interior de su propio domicilio (salvo que la vigilancia la realice una empresa de seguridad contratada); el apartado 7 deja a salvo la Ley 5/2014 de Seguridad Privada; y el apartado 8 remite la videovigilancia por el empleador al art. 89 LOPDGDD.

3. Sistemas de exclusión publicitaria — art. 23

Son las listas Robinson: ficheros en los que se inscribe quien no quiere recibir publicidad, para que las empresas los consulten y excluyan a esas personas de sus campañas. El art. 23 declara lícito su tratamiento e impone la obligación de consulta previa a quien haga mercadotecnia directa.

Artículo 23 · Sistemas de exclusión publicitaria

1. Será lícito el tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas.

2. Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación, excluyendo del tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa al mismo. A estos efectos, para considerar cumplida la obligación anterior será suficiente la consulta de los sistemas de exclusión incluidos en la relación publicada por la autoridad de control competente.

No será necesario realizar la consulta a la que se refiere el párrafo anterior cuando el afectado hubiera prestado, conforme a lo dispuesto en esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.

El resto del artículo articula el funcionamiento del sistema: el segundo párrafo del apartado 1 permite crear estos sistemas, generales o sectoriales, a las asociaciones y organismos de alta representatividad del art. 40.2 RGPD, incluyendo servicios de preferencia; el apartado 2 obliga a las entidades responsables a comunicar su creación a la autoridad de control, que publica una relación de los sistemas existentes; y el apartado 3 impone al responsable que reciba una oposición del afectado el deber de informarle de los sistemas de exclusión existentes.

4. Los demás tratamientos del Título IV — arts. 19, 21, 24, 25, 26 y 27

Los seis artículos restantes se resuelven con una presunción de licitud o con una remisión a la legislación sectorial aplicable. Su regla nuclear:

Epígrafe 5 — Responsable y encargado del tratamiento

El Título V de la LOPDGDD (arts. 28 a 39) regula la posición del responsable y del encargado del tratamiento desde la lógica de la responsabilidad activa o proactiva del art. 5.2 RGPD: no basta con cumplir, hay que poder demostrarlo. Se estructura en cuatro capítulos: disposiciones generales y medidas de responsabilidad activa (Cap. I, arts. 28-32), encargado del tratamiento (Cap. II, art. 33), delegado de protección de datos (Cap. III, arts. 34-37) y códigos de conducta y certificación (Cap. IV, arts. 38-39).

1. Obligaciones generales y enfoque de riesgo — art. 28

El art. 28 LOPDGDD abre el Título con las obligaciones generales de responsables y encargados. Remite a los arts. 24 y 25 del RGPD —de los que procede el principio de protección de datos desde el diseño y por defecto (art. 25 RGPD)— para que aquéllos determinen las medidas técnicas y organizativas apropiadas que garanticen y acrediten que el tratamiento es conforme con el RGPD, la LOPDGDD, sus normas de desarrollo y la legislación sectorial. En particular, deben valorar si procede la evaluación de impacto en la protección de datos y la consulta previa (Sección 3 del Capítulo IV del RGPD).

El apartado 2 impone un enfoque basado en el riesgo: al fijar esas medidas se ponderan los mayores riesgos de determinados supuestos —tratamientos que puedan generar discriminación, usurpación de identidad o fraude; que priven al afectado del control de sus datos; que recaigan sobre categorías especiales o datos de infracciones; que impliquen elaboración de perfiles; que afecten a colectivos vulnerables (menores, personas con discapacidad); tratamientos masivos; o transferencias habituales a terceros Estados sin nivel adecuado de protección—.

El art. 29 precisa que, en la corresponsabilidad del art. 26.1 RGPD, las responsabilidades se reparten atendiendo a las actividades que efectivamente desarrolle cada corresponsable. El art. 30 regula a los representantes de responsables o encargados no establecidos en la Unión Europea (art. 3.2 RGPD), que responden solidariamente con el responsable o encargado, sin perjuicio de la acción de repetición.

2. El registro de actividades de tratamiento — art. 31

Artículo 31 · Registro de las actividades de tratamiento

1. Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5.

El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado reglamento.

Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro.

2. Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal.

El contenido concreto del registro se rige por el art. 30 RGPD; la LOPDGDD añade dos reglas propias: la comunicación al DPD de toda alteración del registro y, para los sujetos del art. 77.1 (sector público y asimilados), el deber de publicar un inventario accesible por medios electrónicos con la información del art. 30 RGPD y su base legal. La excepción que exime de llevar registro es la del art. 30.5 RGPD (empresas u organizaciones de menos de 250 empleados, con las condiciones allí previstas).

3. El bloqueo de los datos — art. 32

El art. 32 obliga al responsable a bloquear los datos cuando proceda a su rectificación o supresión. El bloqueo consiste en la identificación y reserva de los datos, con medidas técnicas y organizativas, para impedir su tratamiento —incluida su visualización—, salvo su puesta a disposición de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes (en particular las autoridades de protección de datos) para exigir posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas; transcurrido ese plazo, debe procederse a la destrucción de los datos. Los datos bloqueados no pueden tratarse para ninguna finalidad distinta. Cuando el sistema no permita el bloqueo o exija un esfuerzo desproporcionado, se realiza un copiado seguro que acredite autenticidad, fecha de bloqueo y no manipulación (32.4). La AEPD y las autoridades autonómicas pueden fijar excepciones a la obligación de bloqueo (32.5).

4. El encargado del tratamiento — art. 33

El art. 33 desarrolla la figura del encargado del tratamiento, cuyo régimen básico está en el art. 28 del RGPD. El acceso del encargado a los datos necesarios para prestar un servicio al responsable no se considera comunicación (cesión) de datos, siempre que se cumpla el RGPD, la LOPDGDD y sus normas de desarrollo (33.1). Al finalizar la prestación, el responsable decide si los datos se destruyen, se le devuelven o se entregan a un nuevo encargado, salvo que una previsión legal obligue a conservarlos, en cuyo caso se devuelven al responsable (33.3); el encargado puede conservarlos, debidamente bloqueados, mientras puedan derivarse responsabilidades (33.4). En el sector público, las competencias de encargado pueden atribuirse a un órgano administrativo mediante una norma reguladora que incorpore el contenido del art. 28.3 RGPD (33.5).

5. El delegado de protección de datos: designación obligatoria — art. 34

Artículo 34 · Designación de un delegado de protección de datos

1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades:

a) Los colegios profesionales y sus consejos generales.

b) Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.

c) Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.

d) Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.

e) Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.

f) Los establecimientos financieros de crédito.

g) Las entidades aseguradoras y reaseguradoras.

h) Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.

i) Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.

j) Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.

k) Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.

l) Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.

Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.

m) Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.

n) Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.

ñ) Las empresas de seguridad privada.

o) Las federaciones deportivas cuando traten datos de menores de edad.

2. Los responsables o encargados del tratamiento no incluidos en el párrafo anterior podrán designar de manera voluntaria un delegado de protección de datos, que quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica.

3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria.

4. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos.

5. En el cumplimiento de las obligaciones de este artículo los responsables y encargados del tratamiento podrán establecer la dedicación completa o a tiempo parcial del delegado, entre otros criterios, en función del volumen de los tratamientos, la categoría especial de los datos tratados o de los riesgos para los derechos o libertades de los interesados.

6. Cualificación y posición del delegado — arts. 35 y 36

La cualificación del DPD (art. 35) se rige por los requisitos del art. 37.5 RGPD y puede acreditarse, entre otros medios, mediante certificación; la posición y garantías del cargo se fijan en el art. 36.

Artículo 35 · Cualificación del delegado de protección de datos

El cumplimiento de los requisitos establecidos en el artículo 37.5 del Reglamento (UE) 2016/679 para la designación del delegado de protección de datos, sea persona física o jurídica, podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.

Artículo 36 · Posición del delegado de protección de datos

1. El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus competencias.

2. Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio. Se garantizará la independencia del delegado de protección de datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses.

3. En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso a los datos personales y procesos de tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto, incluyendo el previsto en el artículo 5 de esta ley orgánica.

4. Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento.

7. Intervención del delegado en reclamaciones — art. 37

Artículo 37 · Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos

1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame.

En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación.

2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de un mes.

Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo.

3. El procedimiento ante la Agencia Española de Protección de Datos será el establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. Asimismo, las comunidades autónomas regularán el procedimiento correspondiente ante sus autoridades autonómicas de protección de datos.

8. Códigos de conducta y certificación — arts. 38 y 39

El Capítulo IV cierra el Título V. El art. 38 regula los códigos de conducta (sección 5.ª del Capítulo IV del RGPD), que son vinculantes para quienes se adhieren, pueden dotarse de mecanismos de resolución extrajudicial de conflictos y son aprobados por la AEPD o la autoridad autonómica competente. El art. 39 atribuye la acreditación de las instituciones de certificación (art. 43.1 RGPD) a la Entidad Nacional de Acreditación (ENAC), sin perjuicio de las funciones y poderes de acreditación de la autoridad de control (arts. 57 y 58 RGPD).

Epígrafe 6 — Transferencias internacionales de datos

El Título VI de la LOPDGDD (arts. 40 a 43) regula las transferencias internacionales de datos, esto es, las comunicaciones de datos personales a destinatarios situados en terceros países (fuera del Espacio Económico Europeo) u organizaciones internacionales. Es un título muy breve y de remisión: el grueso del régimen sustantivo está en el Capítulo V del RGPD (arts. 44 a 50), y la LOPDGDD se limita a fijar las fuentes aplicables (art. 40) y las tres modalidades de intervención de la Agencia Española de Protección de Datos —adopción de instrumentos, autorización previa e información previa (arts. 41, 42 y 43)—.

1. La regla general: remisión al Capítulo V del RGPD (arts. 44 a 50)

El esquema de las transferencias internacionales lo construye el RGPD y opera por orden de prelación (los artículos que siguen se citan como remisión, sin reproducir su literal):

• Art. 44 RGPD — principio general. Toda transferencia a un tercer país u organización internacional solo es lícita si se cumplen las condiciones del Capítulo V, de modo que no se menoscabe el nivel de protección garantizado por el Reglamento.
• Art. 45 RGPD — decisión de adecuación. Vía preferente: la Comisión Europea declara que el país, territorio u organización de destino ofrece un nivel de protección adecuado. Si existe tal decisión, la transferencia no requiere ninguna autorización específica.
• Arts. 46 y 47 RGPD — garantías adecuadas. A falta de decisión de adecuación, la transferencia solo cabe si el responsable o encargado aporta garantías adecuadas: cláusulas tipo de protección de datos adoptadas por la Comisión (art. 46.2.c) o por una autoridad de control y aprobadas por la Comisión (art. 46.2.d), normas corporativas vinculantes o binding corporate rules (art. 47), códigos de conducta o mecanismos de certificación.
• Art. 49 RGPD — excepciones para situaciones específicas. Solo de forma residual, cuando no hay ni adecuación ni garantías, la transferencia puede ampararse en excepciones tasadas (consentimiento explícito e informado del interesado del riesgo, ejecución de un contrato, razones de interés público, reclamaciones, intereses vitales, registros públicos) y, en su último párrafo, los intereses legítimos imperiosos del responsable —excepción a la que remite el art. 43 LOPDGDD—.
• Art. 50 RGPD — cooperación internacional entre autoridades de control para la protección de datos.

2. El régimen del Título VI y el papel de la AEPD — art. 40

El art. 40 no crea un régimen paralelo: enumera las fuentes que gobiernan las transferencias y reafirma que a la propia transferencia se le aplican los principios de protección de datos.

Artículo 40 · Régimen de las transferencias internacionales de datos

Las transferencias internacionales de datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica y sus normas de desarrollo aprobadas por el Gobierno, y en las circulares de la Agencia Española de Protección de Datos y de las autoridades autonómicas de protección de datos, en el ámbito de sus respectivas competencias.

En todo caso se aplicarán a los tratamientos en que consista la propia transferencia las disposiciones contenidas en dichas normas, en particular las que regulan los principios de protección de datos.

Sobre esa base, la LOPDGDD atribuye a la AEPD (y a las autoridades autonómicas) tres modalidades de intervención con régimen y plazos distintos:

3. Adopción de instrumentos por la AEPD — art. 41

Artículo 41 · Supuestos de adopción por la Agencia Española de Protección de Datos

1. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos podrán adoptar, conforme a lo dispuesto en el artículo 46.2.c) del Reglamento (UE) 2016/679, cláusulas contractuales tipo para la realización de transferencias internacionales de datos, que se someterán previamente al dictamen del Comité Europeo de Protección de Datos previsto en el artículo 64 del citado reglamento.

2. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos podrán aprobar normas corporativas vinculantes de acuerdo con lo previsto en el artículo 47 del Reglamento (UE) 2016/679.

El procedimiento se iniciará a instancia de una entidad situada en España y tendrá una duración máxima de nueve meses. Quedará suspendido como consecuencia de la remisión del expediente al Comité Europeo de Protección de Datos para que emita el dictamen al que se refiere el artículo 64.1.f) del Reglamento (UE) 2016/679, y continuará tras su notificación a la Agencia Española de Protección de Datos o a la autoridad autonómica de protección de datos competente.

4. Transferencias sometidas a autorización previa — art. 42

Cuando el destino no cuenta con decisión de adecuación ni la transferencia se ampara en las garantías del artículo anterior o del art. 46.2 RGPD, hace falta autorización previa de la AEPD, que solo puede otorgarse en dos supuestos tasados.

Artículo 42 · Supuestos sometidos a autorización previa de las autoridades de protección de datos

1. Las transferencias internacionales de datos a países u organizaciones internacionales que no cuenten con decisión de adecuación aprobada por la Comisión o que no se amparen en alguna de las garantías previstas en el artículo anterior y en el artículo 46.2 del Reglamento (UE) 2016/679, requerirán una previa autorización de la Agencia Española de Protección de Datos o, en su caso, autoridades autonómicas de protección de datos, que podrá otorgarse en los siguientes supuestos:

a) Cuando la transferencia pretenda fundamentarse en la aportación de garantías adecuadas con fundamento en cláusulas contractuales que no correspondan a las cláusulas tipo previstas en el artículo 46.2, letras c) y d), del Reglamento (UE) 2016/679.

b) Cuando la transferencia se lleve a cabo por alguno de los responsables o encargados a los que se refiere el artículo 77.1 de esta ley orgánica y se funde en disposiciones incorporadas a acuerdos internacionales no normativos con otras autoridades u organismos públicos de terceros Estados, que incorporen derechos efectivos y exigibles para los afectados, incluidos los memorandos de entendimiento.

El procedimiento tendrá una duración máxima de seis meses.

2. La autorización quedará sometida a la emisión por el Comité Europeo de Protección de Datos del dictamen al que se refieren los artículos 64.1.e), 64.1.f) y 65.1.c) del Reglamento (UE) 2016/679. La remisión del expediente al citado comité implicará la suspensión del procedimiento hasta que el dictamen sea notificado a la Agencia Española de Protección de Datos o, por conducto de la misma, a la autoridad de control competente, en su caso.

5. Transferencias sometidas a información previa — art. 43

Artículo 43 · Supuestos sometidos a información previa a la autoridad de protección de datos competente

Los responsables del tratamiento deberán informar a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, de cualquier transferencia internacional de datos que pretendan llevar a cabo sobre la base de su necesidad para fines relacionados con intereses legítimos imperiosos perseguidos por aquéllos y la concurrencia del resto de los requisitos previstos en el último párrafo del artículo 49.1 del Reglamento (UE) 2016/679. Asimismo, informarán a los afectados de la transferencia y de los intereses legítimos imperiosos perseguidos.

Esta información deberá facilitarse con carácter previo a la realización de la transferencia.

Lo dispuesto en este artículo no será de aplicación a las actividades llevadas a cabo por las autoridades públicas en el ejercicio de sus poderes públicos, de acuerdo con el artículo 49.3 del Reglamento (UE) 2016/679.

Epígrafe 7 — Autoridades de protección de datos

El Título VII de la LOPDGDD (arts. 44 a 62) regula las autoridades de control que el RGPD exige en su Capítulo VI (arts. 51 y ss. RGPD): un modelo dual con una autoridad estatal —la Agencia Española de Protección de Datos (AEPD), Capítulo I, arts. 44-56— y las autoridades autonómicas de protección de datos (Capítulo II, arts. 57-62). El Título tiene, por regla general, carácter de ley ordinaria (disp. final 1.ª), salvo los arts. 52 y 53, que son orgánicos.

1. La AEPD: naturaleza y régimen jurídico

La AEPD es el eje del sistema estatal. Su naturaleza jurídica —autoridad administrativa independiente— y su régimen se fijan en los arts. 44 y 45, artículos nucleares de este Título.

Artículo 44 · Naturaleza y disposiciones generales de la AEPD

1. La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal, de las previstas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos en el ejercicio de sus funciones.

Su denominación oficial, de conformidad con lo establecido en el artículo 109.3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, será «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente».

Se relaciona con el Gobierno a través del Ministerio de Justicia.

2. La Agencia Española de Protección de Datos tendrá la condición de representante común de las autoridades de protección de datos del Reino de España en el Comité Europeo de Protección de Datos.

3. La Agencia Española de Protección de Datos, el Consejo General del Poder Judicial y en su caso, la Fiscalía General del Estado, colaborarán en aras del adecuado ejercicio de las respectivas competencias que la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, les atribuye en materia de protección de datos personales en el ámbito de la Administración de Justicia.

Artículo 45 · Régimen jurídico

1. La Agencia Española de Protección de Datos se rige por lo dispuesto en el Reglamento (UE) 2016/679, la presente ley orgánica y sus disposiciones de desarrollo.

Supletoriamente, en cuanto sea compatible con su plena independencia y sin perjuicio de lo previsto en el artículo 63.2 de esta ley orgánica, se regirá por las normas citadas en el artículo 110.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

2. El Gobierno, a propuesta de la Agencia Española de Protección de Datos, aprobará su Estatuto mediante real decreto.

En el plano económico, presupuestario y de personal (art. 46), la AEPD elabora y aprueba su propio presupuesto, que el Gobierno integra —con independencia— en los Presupuestos Generales del Estado; su personal es funcionario o laboral (sujeto al TREBEP) y su gestión económico-financiera se somete al control de la Intervención General de la Administración del Estado y del Tribunal de Cuentas.

2. Funciones y potestades de la AEPD

El art. 47 sintetiza el papel de la AEPD por remisión al RGPD: le corresponde supervisar la aplicación de la normativa de protección de datos, ejerciendo las funciones del art. 57 RGPD y las potestades (investigadoras, correctivas, de autorización y consultivas) del art. 58 RGPD.

Artículo 47 · Funciones y potestades de la AEPD

Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo.

Asimismo, corresponde a la Agencia Española de Protección de Datos el desempeño de las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.

A estas se suman potestades propias reguladas más adelante en el Título: las potestades de regulación mediante «Circulares de la AEPD» (art. 55), que fijan los criterios de actuación de la autoridad y son obligatorias una vez publicadas en el BOE; y las funciones de acción exterior del Estado en materia de protección de datos (art. 56), incluida su condición de representante común en el Comité Europeo de Protección de Datos (art. 68.4 RGPD).

3. La Presidencia de la AEPD y su Adjunto (art. 48)

La AEPD la dirige la Presidencia, que ostenta su representación y dicta sus resoluciones, circulares y directrices (art. 48.1), auxiliada por un Adjunto. Presidencia y Adjunto son nombrados por el Consejo de Ministros mediante real decreto, a propuesta del Ministerio de Justicia y previa ratificación por la Comisión de Justicia del Congreso por mayoría de tres quintos (o mayoría absoluta en segunda votación con votos de al menos dos grupos parlamentarios).

Artículo 48.2 · El Adjunto a la Presidencia

2. La Presidencia de la Agencia Española de Protección de Datos estará auxiliada por un Adjunto en el que podrá delegar sus funciones, a excepción de las relacionadas con los procedimientos regulados por el título VIII de esta ley orgánica, y que la sustituirá en el ejercicio de las mismas en los términos previstos en el Estatuto Orgánico de la Agencia Española de Protección de Datos.

Ambos ejercerán sus funciones con plena independencia y objetividad y no estarán sujetos a instrucción alguna en su desempeño. Les será aplicable la legislación reguladora del ejercicio del alto cargo de la Administración General del Estado.

Artículo 48.5 · Mandato y cese

5. El mandato de la Presidencia y del Adjunto de la Agencia Española de Protección de Datos tiene una duración de cinco años y puede ser renovado para otro período de igual duración.

La Presidencia y el Adjunto solo cesarán antes de la expiración de su mandato, a petición propia o por separación acordada por el Consejo de Ministros, por:

a) Incumplimiento grave de sus obligaciones,

b) incapacidad sobrevenida para el ejercicio de su función,

c) incompatibilidad, o

d) condena firme por delito doloso.

En los supuestos previstos en las letras a), b) y c) será necesaria la ratificación de la separación por las mayorías parlamentarias previstas en el apartado 3 de este artículo.

Los actos y disposiciones de la Presidencia ponen fin a la vía administrativa y son recurribles, directamente, ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional (art. 48.6).

4. Consejo Consultivo y publicidad de resoluciones

La Presidencia está asesorada por un Consejo Consultivo (art. 49) de composición plural —Diputado, Senador, representante del CGPJ, de la AGE, de cada Comunidad Autónoma con autoridad propia, expertos de la FEMP, del Consejo de Consumidores, de organizaciones empresariales y sindicales, etc.—, cuyos miembros nombra por orden el Ministro de Justicia. Se reúne, al menos, una vez al semestre y sus decisiones no tienen en ningún caso carácter vinculante.

Artículo 50 · Publicidad

La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos sancionadores y a los procedimientos de apercibimiento, las que archiven las actuaciones previas de investigación, las dictadas respecto de las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto.

5. Potestades de investigación y planes de auditoría (arts. 51-55)

La actividad de investigación de la AEPD se canaliza por las actuaciones del Título VIII y por planes de auditoría preventiva. El art. 51 fija quién la ejerce y con qué estatuto.

Artículo 51 · Ámbito y personal competente

1. La Agencia Española de Protección de Datos desarrollará su actividad de investigación a través de las actuaciones previstas en el Título VIII y de los planes de auditoría preventivas.

2. La actividad de investigación se llevará a cabo por los funcionarios de la Agencia Española de Protección de Datos o por funcionarios ajenos a ella habilitados expresamente por su Presidencia.

3. En los casos de actuaciones conjuntas de investigación conforme a lo dispuesto en el artículo 62 del Reglamento (UE) 2016/679, el personal de las autoridades de control de otros Estados Miembros de Unión Europea que colabore con la Agencia Española de Protección de Datos ejercerá sus facultades con arreglo a lo previsto en la presente ley orgánica y bajo la orientación y en presencia del personal de esta.

4. Los funcionarios que desarrollen actividades de investigación tendrán la consideración de agentes de la autoridad en el ejercicio de sus funciones, y estarán obligados a guardar secreto sobre las informaciones que conozcan con ocasión de dicho ejercicio, incluso después de haber cesado en él.

El resto de la Sección 2.ª desarrolla el aparato investigador sin necesidad de reproducirlo literalmente: el deber de colaboración de Administraciones Públicas (incluidas las tributarias y de la Seguridad Social) y particulares (art. 52); el alcance de la investigación —inspecciones, examen de documentos, acceso a equipos, con autorización judicial para entrar en el domicilio constitucionalmente protegido— (art. 53); las actuaciones a través de sistemas digitales por videoconferencia (art. 53 bis); y los planes de auditoría preventiva, de los que pueden derivar directrices de obligado cumplimiento para el sector o responsable auditado (art. 54).

6. Las autoridades autonómicas de protección de datos (arts. 57-62)

El Capítulo II reconoce que las Comunidades Autónomas pueden crear su propia autoridad de protección de datos. Actualmente existen tres: la Autoridad Catalana de Protección de Datos (APDCAT), la Agencia Vasca de Protección de Datos (AVPD) y el Consejo de Transparencia y Protección de Datos de Andalucía (CTPDA). El art. 57 delimita su ámbito material —esencialmente, el sector público autonómico y local de su territorio—.

Artículo 57 · Autoridades autonómicas de protección de datos

1. Las autoridades autonómicas de protección de datos personales podrán ejercer, las funciones y potestades establecidas en los artículos 57 y 58 del Reglamento (UE) 2016/679, de acuerdo con la normativa autonómica, cuando se refieran a:

a) Tratamientos de los que sean responsables las entidades integrantes del sector público de la correspondiente Comunidad Autónoma o de las Entidades Locales incluidas en su ámbito territorial o quienes presten servicios a través de cualquier forma de gestión directa o indirecta.

b) Tratamientos llevados a cabo por personas físicas o jurídicas para el ejercicio de las funciones públicas en materias que sean competencia de la correspondiente Administración Autonómica o Local.

c) Tratamientos que se encuentren expresamente previstos, en su caso, en los respectivos Estatutos de Autonomía.

2. Las autoridades autonómicas de protección de datos podrán dictar, en relación con los tratamientos sometidos a su competencia, circulares con el alcance y los efectos establecidos para la Agencia Española de Protección de Datos en el artículo 55 de esta ley orgánica.

La relación entre ambos niveles se articula mediante cooperación institucional (art. 58): la Presidencia de la AEPD convoca a las autoridades autonómicas, con reuniones semestrales obligatorias y deber recíproco de intercambio de información. Si la AEPD aprecia que un tratamiento competencia autonómica vulnera el RGPD, puede requerir a la autoridad autonómica para que adopte medidas en el plazo de un mes y, en su defecto, acudir a la jurisdicción contencioso-administrativa (art. 59). En los procedimientos europeos —dictamen del Comité (art. 60), tratamientos transfronterizos (art. 61) y resolución de conflictos (art. 62)—, todas las comunicaciones con el Comité Europeo de Protección de Datos se practican por conducto de la AEPD, que actúa como cauce único asistida por un representante de la autoridad autonómica.

Epígrafe 8 — Procedimientos en caso de posible vulneración de la normativa de protección de datos

El Título VIII de la LO 3/2018 (arts. 63 a 69) regula los procedimientos que tramita la Agencia Española de Protección de Datos (AEPD) cuando un afectado reclama que no se ha atendido el ejercicio de sus derechos o cuando la propia Agencia investiga una posible infracción. Es uno de los Títulos que la disposición final 1.ª declara de carácter ordinario (no orgánico). No es un procedimiento autónomo cerrado: se apoya en el RGPD, en la propia ley orgánica, en el reglamento que la desarrolle y, con carácter subsidiario, en las normas generales de procedimiento administrativo (Ley 39/2015 y Ley 40/2015). La materia gira en torno a plazos —de admisión, de resolución y de caducidad—, que son el núcleo que conviene fijar con precisión.

1. Régimen jurídico y ámbito de aplicación — art. 63

Artículo 63 · Ámbito, normas aplicables y remisión al reglamento

1. Las disposiciones de este Título serán de aplicación a los procedimientos tramitados por la Agencia Española de Protección de Datos en los supuestos en los que un afectado reclame que no ha sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, así como en los que aquella investigue la existencia de una posible infracción de lo dispuesto en el mencionado reglamento y en la presente ley orgánica.

2. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.

3. El Gobierno regulará por real decreto los procedimientos que tramite la Agencia Española de Protección de Datos al amparo de este Título, asegurando en todo caso los derechos de defensa y audiencia de los interesados.

El apartado 1 delimita los dos objetos posibles del procedimiento (falta de atención de un derecho de los arts. 15-22 RGPD, o investigación de una posible infracción), que el art. 64 desdoblará en tipos con plazos distintos. El apartado 2 fija la jerarquía de fuentes: primero RGPD y LO 3/2018, después su desarrollo reglamentario y, solo subsidiariamente y si no las contradicen, las normas generales de procedimiento (Ley 39/2015).

2. Los dos tipos de procedimiento y sus plazos — art. 64

El art. 64 distingue el procedimiento por falta de atención de derechos (apartado 1) del procedimiento sobre posible infracción (apartado 2), y añade el supuesto del apercibimiento (apartado 3). Cada uno tiene su propio plazo y su propio efecto al transcurrir.

Artículo 64.1 · Procedimiento por falta de atención de derechos (plazo de seis meses)

1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica.

En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.

Artículo 64.2 · Procedimiento sobre posible infracción (plazo de doce meses)

2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado.

Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica.

Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.

Artículo 64.3 · Apercibimiento y medidas correctivas (plazo de seis meses)

3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado.

El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.

Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.

Los apartados 4, 5 y 6 completan el régimen sin aportar nuevos plazos de resolución: el 64.4 contempla la tramitación cuando la reclamación llega comunicada por la autoridad de control de otro Estado miembro y la AEPD es autoridad de control principal (arts. 56 y 60 RGPD); el 64.5 ordena la suspensión automática de los plazos cuando deba recabarse información, consulta o pronunciamiento preceptivo de un órgano de la Unión o de otras autoridades de control; y el 64.6 permite suspender el cómputo, mediante resolución motivada, cuando resulte indispensable recabar información de un órgano jurisdiccional.

3. La admisión a trámite de las reclamaciones — art. 65

Antes de tramitar, la AEPD evalúa la admisibilidad de la reclamación (art. 65.1). El artículo distingue las causas de inadmisión obligatoria (65.2) de las potestativas (65.3) y fija el plazo de notificación de la decisión (65.5).

Artículo 65.2 · Causas de inadmisión obligatoria

2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción.

Artículo 65.3 · Inadmisión potestativa por medidas correctivas

3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:

a) Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.

b) Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.

Artículo 65.5 · Plazo de notificación de la decisión sobre admisión (tres meses)

5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos, sin perjuicio de la facultad de la Agencia de archivar posteriormente y de forma expresa la reclamación.

Los apartados no reproducidos regulan la fase previa: el 65.4 permite a la AEPD, antes de decidir sobre la admisión, remitir la reclamación al delegado de protección de datos, al organismo de supervisión de códigos de conducta o al de resolución extrajudicial de conflictos (arts. 37 y 38.2); cuando no exista delegado ni adhesión a esos mecanismos, la remisión se hace al responsable o encargado, que debe responder en el plazo de un mes. El 65.6 habilita a archivar la reclamación ya admitida si el responsable demuestra haber adoptado medidas y procede una solución más moderada.

4. Alcance territorial, actuaciones previas y acuerdo de inicio — arts. 66 a 68

Alcance territorial (art. 66). Con carácter previo a cualquier otra actuación —incluida la admisión a trámite—, la AEPD debe examinar su competencia y determinar el carácter nacional o transfronterizo del procedimiento. Si concluye que no es autoridad de control principal, remite sin más trámite la reclamación a la autoridad que considere competente, lo notifica al reclamante, y ese acuerdo implica el archivo provisional del procedimiento.

Actuaciones previas de investigación (art. 67). Es la fase que puede preceder al acuerdo de inicio; su regla-clave es el plazo máximo:

Artículo 67 · Actuaciones previas de investigación (duración máxima de dieciocho meses)

1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento.

La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales.

2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa.

Acuerdo de inicio del procedimiento sancionador (art. 68). Concluidas en su caso las actuaciones previas, corresponde a la Presidencia de la AEPD dictar el acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora, en el que se concretan los hechos, la identificación de la persona o entidad, la infracción que hubiera podido cometerse y su posible sanción. Cuando la Agencia sea autoridad de control principal (art. 60 RGPD), el proyecto de acuerdo se somete al procedimiento de cooperación previsto en ese artículo.

5. Medidas provisionales y de garantía de los derechos — art. 69

Durante la investigación o ya iniciado el procedimiento sancionador, la AEPD puede adoptar medidas cautelares proporcionadas, incluida la atención inmediata del derecho reclamado antes incluso de iniciar el procedimiento.

Artículo 69 · Medidas provisionales, bloqueo, inmovilización y atención anticipada del derecho

1. Durante la realización de las actuaciones previas de investigación o iniciado un procedimiento para el ejercicio de la potestad sancionadora, la Agencia Española de Protección de Datos podrá acordar motivadamente las medidas provisionales necesarias y proporcionadas para salvaguardar el derecho fundamental a la protección de datos y, en especial, las previstas en el artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado.

2. En los casos en que la Agencia Española de Protección de Datos considere que la continuación del tratamiento de los datos personales, su comunicación o transferencia internacional comportara un menoscabo grave del derecho a la protección de datos personales, podrá ordenar a los responsables o encargados de los tratamientos el bloqueo de los datos y la cesación de su tratamiento y, en caso de incumplirse por estos dichos mandatos, proceder a su inmovilización.

3. Cuando se hubiese presentado ante la Agencia Española de Protección de Datos una reclamación que se refiriese, entre otras cuestiones, a la falta de atención en plazo de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, la Agencia Española de Protección de Datos podrá acordar en cualquier momento, incluso con anterioridad a la iniciación del procedimiento para el ejercicio de la potestad sancionadora, mediante resolución motivada y previa audiencia del responsable del tratamiento, la obligación de atender el derecho solicitado, prosiguiéndose el procedimiento en cuanto al resto de las cuestiones objeto de la reclamación.

6. Cuadro de plazos del Título VIII y efecto sobre la prescripción

El acuerdo de inicio del procedimiento sancionador —y, en su caso, las actuaciones previas de investigación— produce, conforme a las reglas generales, la interrupción del plazo de prescripción de las infracciones, cuya regulación no está en este Título VIII sino en el Título IX (régimen sancionador) de la LO 3/2018, al que hay que remitirse para los plazos de prescripción de infracciones y sanciones.