La protección de datos personales y su régimen jurídico: principios, derechos, responsable y encargado del tratamiento, delegado de protección de datos y autoridades de protección de datos. Derechos digitales

Tema desarrollado para el primer ejercicio del Cuerpo General Administrativo de la Administración del Estado (subgrupo C1, ingreso libre). El contenido está verificado contra el texto consolidado del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El programa evaluable exacto es el del Anexo de tu convocatoria.

Índice

• 1. El derecho fundamental y su marco normativo
• 2. Conceptos básicos
• 3. Los principios del tratamiento
• 4. La licitud: bases, consentimiento y categorías especiales
• 5. Los derechos de las personas
• 6. Responsable y encargado del tratamiento
• 7. El delegado de protección de datos
• 8. Las autoridades de control y el régimen sancionador
• 9. Los derechos digitales (Título X)
• Esquema de repaso
• Ideas fuerza

1. El derecho fundamental a la protección de datos y su marco normativo

La protección de datos personales es un derecho fundamental autónomo reconocido en el artículo 18.4 de la Constitución, conforme al cual «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». El Tribunal Constitucional, en su conocida sentencia 292/2000, configuró este derecho como un derecho distinto e independiente del derecho a la intimidad del artículo 18.1: no protege solo los datos íntimos, sino cualquier dato personal, y su contenido esencial es el poder de disposición y control de la persona sobre sus propios datos —lo que la doctrina llama «autodeterminación informativa»—. Su objeto no es un ámbito de reserva frente a terceros, sino un haz de facultades: saber quién tiene mis datos, para qué los usa, y poder consentir, acceder, rectificar o cancelar.

El marco normativo vigente tiene dos piezas fundamentales que se aplican conjuntamente. La primera y de rango superior es el Reglamento (UE) 2016/679, de 27 de abril de 2016, Reglamento General de Protección de Datos (RGPD), plenamente aplicable desde el 25 de mayo de 2018. Al ser un reglamento europeo es directamente aplicable en todos los Estados miembros, sin necesidad de transposición, y prevalece sobre el Derecho nacional. La segunda es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el ordenamiento español al RGPD, completa sus disposiciones en los márgenes que el propio Reglamento deja a los Estados y, como novedad de gran calado, reconoce y garantiza los derechos digitales de la ciudadanía (su Título X). La LOPDGDD derogó la anterior Ley Orgánica 15/1999. A este bloque se añade el reglamento europeo de aplicación y la normativa sectorial.

Conviene fijar la relación entre ambas normas: el RGPD contiene el grueso de la regulación material (principios, licitud, derechos, obligaciones, autoridades), y la ley orgánica española no lo repite, sino que lo desarrolla allí donde el Reglamento habilita al legislador nacional (por ejemplo, la edad del consentimiento del menor, los supuestos de designación obligatoria del delegado, o la regulación de la Agencia Española de Protección de Datos). Por eso un mismo derecho aparece a menudo en los dos textos: el RGPD lo enuncia y la LOPDGDD precisa cómo se ejerce en España.

2. Conceptos básicos

El artículo 4 del RGPD define los conceptos sobre los que se construye todo el sistema. Son de memorización obligada:

• Dato personal: toda información sobre una persona física identificada o identificable («el interesado»). Es identificable quien pueda determinarse directa o indirectamente, en particular mediante un identificador (nombre, número, datos de localización, identificador en línea) o por elementos de su identidad física, fisiológica, genética, psíquica, económica, cultural o social. Quedan fuera los datos de personas jurídicas y los de personas fallecidas (estos con reglas especiales de la LOPDGDD).
• Tratamiento: cualquier operación sobre datos personales, automatizada o no —recogida, registro, conservación, consulta, comunicación, difusión, supresión, etc.—.
• Responsable del tratamiento: quien determina los fines y los medios del tratamiento (el «quién decide»).
• Encargado del tratamiento: quien trata datos por cuenta del responsable siguiendo sus instrucciones (el «quién ejecuta»).
• Interesado o afectado: la persona física titular de los datos.
• Seudonimización: tratar los datos de modo que ya no puedan atribuirse a un interesado sin usar información adicional guardada por separado; no equivale a anonimización (el dato seudonimizado sigue siendo dato personal).
• Consentimiento: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento, mediante declaración o clara acción afirmativa.

El ámbito de aplicación abarca el tratamiento total o parcialmente automatizado y el no automatizado de datos contenidos o destinados a un fichero. Territorialmente, el RGPD se aplica a los tratamientos en el contexto de un establecimiento en la Unión y, además, a responsables o encargados no establecidos en la Unión cuando ofrezcan bienes o servicios a interesados que estén en ella o controlen su comportamiento (criterio de extraterritorialidad).

Conviene distinguir el dato personal del dato anónimo: la normativa de protección de datos solo se aplica a los datos personales; el dato anonimizado de forma irreversible ya no permite identificar a nadie y, por tanto, queda fuera del RGPD, a diferencia del dato seudonimizado, que sigue siendo dato personal. También es frecuente la figura de la corresponsabilidad (corresponsables del tratamiento): cuando dos o más responsables determinan conjuntamente los fines y medios, deben repartirse de forma transparente sus obligaciones mediante un acuerdo, sin perjuicio de que el interesado pueda ejercer sus derechos frente a cualquiera de ellos.

3. Los principios del tratamiento

El artículo 5 del RGPD establece los principios que rigen todo tratamiento. Son el corazón del sistema y objeto habitual de examen. Los datos personales serán:

• Licitud, lealtad y transparencia: tratados de manera lícita, leal y transparente en relación con el interesado.
• Limitación de la finalidad: recogidos con fines determinados, explícitos y legítimos, y no tratados ulteriormente de manera incompatible con ellos.
• Minimización de datos: adecuados, pertinentes y limitados a lo necesario para los fines.
• Exactitud: exactos y, si fuere necesario, actualizados; se suprimirán o rectificarán sin dilación los inexactos.
• Limitación del plazo de conservación: mantenidos de forma que se identifique a los interesados no más tiempo del necesario.
• Integridad y confidencialidad: tratados de manera que se garantice una seguridad adecuada, incluida la protección frente al tratamiento no autorizado o ilícito y frente a su pérdida o destrucción.

A estos seis principios el artículo 5.2 añade el de responsabilidad proactiva o «accountability»: el responsable es responsable del cumplimiento de todos los anteriores y debe ser capaz de demostrarlo. Este principio invierte la lógica del sistema anterior: ya no hay que inscribir ficheros ni pedir autorizaciones previas a la autoridad, sino que el responsable debe él mismo analizar los riesgos, adoptar medidas y documentarlas para poder acreditar en cualquier momento que cumple. De aquí derivan la protección de datos desde el diseño y por defecto (art. 25), el registro de actividades, la evaluación de impacto y el delegado de protección de datos. La LOPDGDD precisa además, en su artículo 4, el principio de exactitud, y en su artículo 5, el deber de confidencialidad de responsables, encargados y de todo el que intervenga en cualquier fase del tratamiento, que subsiste aun terminada la relación con el responsable.

4. La licitud: bases jurídicas, consentimiento y categorías especiales

Todo tratamiento necesita una base de licitud. El artículo 6 del RGPD enumera seis bases, y basta con que concurra una sola para que el tratamiento sea lícito:

1. El consentimiento del interesado para uno o varios fines específicos.
2. La ejecución de un contrato en que el interesado es parte, o medidas precontractuales a petición suya.
3. El cumplimiento de una obligación legal del responsable.
4. La protección de intereses vitales del interesado o de otra persona física.
5. El cumplimiento de una misión de interés público o el ejercicio de poderes públicos conferidos al responsable.
6. La satisfacción de intereses legítimos del responsable o de un tercero, salvo que prevalezcan los derechos del interesado (esta base no la pueden invocar las autoridades públicas en el ejercicio de sus funciones).

Un error frecuente es creer que siempre hace falta consentimiento: no es así; el consentimiento es solo una de las seis bases, y en la actuación de las Administraciones lo habitual es que la base sea el cumplimiento de una obligación legal o el ejercicio de poderes públicos, no el consentimiento. Cuando la base es el consentimiento, este debe poder demostrarse (art. 7), ha de ser tan fácil retirarlo como darlo, y no cabe el consentimiento tácito ni las casillas premarcadas.

Regla especial para los menores: el RGPD fija en 16 años la edad del consentimiento para los servicios de la sociedad de la información, pero permite a los Estados rebajarla hasta los 13. España, en el artículo 7 de la LOPDGDD, la ha fijado en 14 años: el menor puede consentir por sí mismo desde los catorce; por debajo se requiere el consentimiento del titular de la patria potestad o tutela.

Las categorías especiales de datos (el antiguo «dato sensible») están reguladas en el artículo 9 del RGPD: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos identificativos, datos de salud y datos sobre vida u orientación sexual. Su tratamiento está, con carácter general, prohibido, salvo que concurra alguna de las excepciones del apartado 2 (consentimiento explícito, interés público esencial, medicina preventiva, etc.). El artículo 9 de la LOPDGDD refuerza esta protección precisando que, para levantar la prohibición cuando la finalidad principal sea identificar la ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial, el solo consentimiento no basta.

5. Los derechos de las personas

El RGPD reconoce a los interesados un catálogo de derechos, a veces recordado por la regla mnemotécnica de los «derechos ARCO+» (acceso, rectificación, cancelación —hoy supresión— y oposición, más los nuevos). Antes de los derechos «de acción» está el deber de información: el responsable debe informar al interesado, en el momento de recabar los datos, de su identidad, de la finalidad y base jurídica del tratamiento, de los destinatarios, del plazo de conservación y de cómo ejercer sus derechos (art. 13 RGPD). La LOPDGDD (art. 11) admite un modelo de información por capas: una información básica en primer término y el resto accesible por un enlace o medio sencillo. Los derechos son:

• Acceso (art. 15): obtener confirmación de si se tratan sus datos y, en su caso, acceder a ellos y a información sobre fines, categorías, destinatarios y plazos.
• Rectificación (art. 16): que se rectifiquen sin dilación los datos inexactos y se completen los incompletos.
• Supresión o «derecho al olvido» (art. 17): que se supriman los datos cuando ya no sean necesarios, se retire el consentimiento, haya oposición, se hayan tratado ilícitamente, etc.
• Limitación del tratamiento (art. 18): que se «marquen» los datos y se suspenda su tratamiento en ciertos supuestos (impugnación de la exactitud, tratamiento ilícito sin querer la supresión, etc.).
• Portabilidad (art. 20): recibir los datos que haya facilitado en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable. Solo procede cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados.
• Oposición (art. 21): oponerse por motivos relativos a su situación particular; en la mercadotecnia directa la oposición es incondicional.
• Decisiones individuales automatizadas y elaboración de perfiles (art. 22): no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente, salvo excepciones tasadas.

Reglas comunes de ejercicio (art. 12 RGPD): el responsable debe responder sin dilación indebida y, en todo caso, en el plazo de un mes desde la solicitud, prorrogable dos meses más por la complejidad o el número de solicitudes; la actuación es, por regla general, gratuita (puede cobrarse un canon razonable o negarse ante solicitudes manifiestamente infundadas o excesivas). El interesado puede ejercer sus derechos directamente o por representante (art. 12 LOPDGDD), y, si no obtiene satisfacción, puede presentar una reclamación ante la autoridad de control.

6. El responsable y el encargado del tratamiento

El responsable es quien decide los fines y medios del tratamiento; el encargado es quien trata datos por cuenta del responsable siguiendo sus instrucciones (por ejemplo, una empresa de nóminas, un proveedor de alojamiento en la nube o una gestoría). La relación entre ambos debe formalizarse en un contrato de encargo (art. 28 RGPD) que fije el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos y las obligaciones del encargado, que solo tratará los datos según instrucciones del responsable y no podrá subcontratar sin autorización.

Sobre el responsable —y, en su medida, el encargado— pesan las principales obligaciones de responsabilidad proactiva:

• Registro de actividades de tratamiento (art. 30): documento interno que sustituye a la antigua inscripción de ficheros. No están obligadas a llevarlo, en principio, las organizaciones de menos de 250 trabajadores, salvo que el tratamiento entrañe riesgo, no sea ocasional o incluya categorías especiales.
• Seguridad del tratamiento (art. 32): medidas técnicas y organizativas apropiadas al riesgo (seudonimización, cifrado, disponibilidad, resiliencia, pruebas periódicas).
• Protección de datos desde el diseño y por defecto (art. 25): integrar la protección de datos desde la concepción del tratamiento y tratar por defecto solo los datos necesarios.
• Evaluación de impacto (EIPD) (art. 35): obligatoria cuando el tratamiento entrañe un alto riesgo para los derechos y libertades (nuevas tecnologías, tratamiento a gran escala de categorías especiales, observación sistemática de zonas públicas).
• Notificación de violaciones de seguridad («brechas») (arts. 33 y 34): el responsable debe notificar la brecha a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tenga constancia; y, cuando la brecha entrañe un alto riesgo, comunicarla también al interesado.

7. El delegado de protección de datos

El delegado de protección de datos (DPD) —el Data Protection Officer o DPO— es una figura central del RGPD (arts. 37 a 39). Es un garante interno del cumplimiento que informa, asesora y supervisa, y actúa como punto de contacto con la autoridad de control y con los interesados. Su designación es obligatoria cuando: a) el tratamiento lo lleve a cabo una autoridad u organismo público (salvo tribunales en su función judicial); b) las actividades principales consistan en un tratamiento que requiera una observación habitual y sistemática a gran escala; o c) las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos. El artículo 34 de la LOPDGDD añade una lista de entidades españolas obligadas en todo caso (colegios profesionales, centros docentes, universidades, entidades de comunicaciones electrónicas, entidades de crédito, aseguradoras, etc.).

El DPD debe designarse en función de sus cualidades profesionales y conocimientos especializados. Su posición (art. 38) exige que se le implique adecuadamente y a tiempo en todas las cuestiones de protección de datos, que no reciba instrucciones sobre el ejercicio de sus funciones, que no pueda ser destituido ni sancionado por desempeñarlas y que rinda cuentas al más alto nivel jerárquico. Puede ser interno o externo (persona física o, mediante contrato de servicios, una organización) y compaginar sus funciones con otras, siempre que no den lugar a conflicto de intereses. Sus funciones (art. 39) son informar y asesorar, supervisar el cumplimiento, ofrecer asesoramiento sobre la evaluación de impacto y cooperar con la autoridad de control. Es importante subrayar que el DPD no es el responsable del cumplimiento: la responsabilidad sigue siendo del responsable o encargado; el DPD asesora y supervisa. La LOPDGDD (art. 37) prevé además que, cuando se haya designado un DPD, el afectado pueda dirigirse a él con carácter previo a reclamar ante la Agencia, y el delegado deberá comunicarle la decisión en el plazo máximo de dos meses.

8. Las autoridades de control y el régimen sancionador

La autoridad de control estatal es la Agencia Española de Protección de Datos (AEPD), regulada en los artículos 44 y siguientes de la LOPDGDD. Es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia, que actúa con plena independencia de los poderes públicos y se relaciona con el Gobierno a través del Ministerio de Justicia. La dirige su Presidencia, auxiliada por un Adjunto; ambos son nombrados por el Gobierno, a propuesta del Ministerio de Justicia, entre personas de reconocida competencia, por un mandato de cinco años. Sus funciones y potestades (art. 47 LOPDGDD, en relación con los arts. 57 y 58 RGPD) son de supervisión, investigación, resolución de reclamaciones, sanción, autorización y asesoramiento; dispone de poderes de investigación (auditorías, requerimientos de información) y de poderes correctivos (advertencias, apercibimientos, limitaciones, órdenes y multas).

Junto a la AEPD existen autoridades autonómicas de protección de datos en las comunidades que las han creado —la Autoridad Catalana, la Agencia Vasca y el Consejo de Transparencia y Protección de Datos de Andalucía—, competentes respecto de los tratamientos de sus propias Administraciones autonómicas y locales. La AEPD y las autoridades autonómicas cooperan y celebran reuniones semestrales de coordinación (art. 58 LOPDGDD). En el plano europeo, la coherencia se garantiza mediante el Comité Europeo de Protección de Datos y el mecanismo de ventanilla única para los tratamientos transfronterizos.

El régimen sancionador descansa en el artículo 83 del RGPD, que fija dos tramos de multas administrativas: hasta 10 millones de euros o el 2 % del volumen de negocio total anual mundial para determinadas infracciones, y hasta 20 millones de euros o el 4 % —la cuantía que sea mayor— para las infracciones más graves (vulneración de principios, de bases de licitud o de los derechos de los interesados). La LOPDGDD clasifica las infracciones en muy graves, graves y leves y regula sus plazos de prescripción (tres años, dos años y un año, respectivamente).

El procedimiento se inicia habitualmente por una reclamación del interesado ante la AEPD, que puede acordar la inadmisión, el archivo, la práctica de actuaciones previas de investigación o la apertura de un procedimiento sancionador. La Agencia dispone de un plazo para resolver, transcurrido el cual opera la caducidad o el silencio en los términos legalmente previstos, y sus resoluciones ponen fin a la vía administrativa, siendo recurribles ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional. Como manifestación de la responsabilidad proactiva, la LOPDGDD contempla, junto a las sanciones económicas, la posibilidad de apercibimiento y de imponer medidas correctoras, atendiendo a criterios de graduación como la intencionalidad, la reincidencia, la naturaleza de los datos afectados o las medidas adoptadas para mitigar el daño.

Un aspecto que suele preguntarse es el régimen especial de las Administraciones públicas: cuando el infractor es una autoridad o un organismo público, la AEPD no impone multa, sino que dicta una resolución que declara la infracción y establece las medidas que procede adoptar, dando traslado al órgano competente para la eventual apertura de un procedimiento disciplinario. Esta diferencia de trato responde a la lógica de que sancionar económicamente a una Administración equivaldría a trasladar el coste a los propios ciudadanos.

9. Los derechos digitales (Título X de la LOPDGDD)

La gran novedad de la LOPDGDD fue incorporar, en su Título X (arts. 79 a 97), un catálogo de derechos digitales que trasciende la mera protección de datos y da rango legal a garantías propias de la sociedad de la información. El artículo 79 proclama el principio rector: los derechos y libertades de la Constitución y de los tratados son plenamente aplicables en Internet. Los principales derechos son:

• Derecho a la neutralidad de Internet (art. 80) y derecho de acceso universal a Internet (art. 81), en condiciones asequibles, de calidad y no discriminatorias, procurando superar la brecha de género, social y geográfica.
• Derecho a la seguridad digital (art. 82) y derecho a la educación digital (art. 83), que el sistema educativo debe garantizar.
• Protección de los menores en Internet (art. 84).
• Derecho de rectificación en Internet (art. 85) y derecho a la actualización de informaciones en medios digitales (art. 86).
• Derechos en el ámbito laboral: el derecho a la intimidad en el uso de dispositivos digitales facilitados por el empleador (art. 87), el derecho a la desconexión digital fuera de la jornada (art. 88), y la intimidad frente a la videovigilancia y la grabación de sonidos (art. 89) y frente a los sistemas de geolocalización (art. 90) en el trabajo, con garantías adicionales que pueden fijar los convenios colectivos (art. 91).
• Derecho al olvido en búsquedas de Internet (art. 93) y en redes sociales y servicios equivalentes (art. 94), que traduce a nuestro Derecho la doctrina del Tribunal de Justicia de la UE.
• Derecho de portabilidad en redes sociales (art. 95) y derecho al testamento digital (art. 96), que regula el acceso a los contenidos digitales de las personas fallecidas por sus herederos o allegados.

El Título X se cierra con el artículo 97, que ordena al Gobierno impulsar, en colaboración con las comunidades autónomas, un Plan de Acceso a Internet y políticas de fomento de estos derechos. En conjunto, este bloque convierte a la ley española en una de las pioneras en dar reconocimiento legal expreso a los derechos digitales.

Esquema de repaso

DERECHO FUNDAMENTAL — art. 18.4 CE (STC 292/2000: autodeterminacion informativa)
MARCO NORMATIVO
  RGPD (UE) 2016/679 — aplicable desde 25-mayo-2018, directamente aplicable
  LOPDGDD 3/2018 — adapta y completa el RGPD + Titulo X (derechos digitales)

PRINCIPIOS (art. 5 RGPD)
  licitud/lealtad/transparencia · limitacion de la finalidad · minimizacion
  exactitud · limitacion del plazo · integridad y confidencialidad
  + RESPONSABILIDAD PROACTIVA (accountability, art. 5.2)

LICITUD (art. 6) — 6 bases, basta una:
  consentimiento · contrato · obligacion legal · interes vital
  mision de interes publico/poderes publicos · interes legitimo
  Menor: consentimiento propio desde 14 anos (art. 7 LOPDGDD)
  Categorias especiales (art. 9): prohibidas salvo excepcion

DERECHOS (arts. 13-22) — plazo de respuesta: 1 mes (+2)
  informacion · acceso · rectificacion · supresion (olvido)
  limitacion · portabilidad · oposicion · decisiones automatizadas

FIGURAS
  Responsable (decide fines y medios) — Encargado (por cuenta; contrato art. 28)
  Obligaciones: registro actividades · seguridad · EIPD · brecha 72 h
  DPD (arts. 37-39): obligatorio en sector publico; asesora y supervisa

AUTORIDADES
  AEPD — autoridad administrativa independiente, mandato 5 anos, Min. Justicia
  Autonomicas: Cataluna, Pais Vasco, Andalucia
  Sanciones (art. 83): hasta 10M€/2% y hasta 20M€/4%

DERECHOS DIGITALES (Titulo X, arts. 79-97)
  neutralidad · acceso universal · educacion · rectificacion en Internet
  intimidad y desconexion digital laboral · olvido · testamento digital

Ideas fuerza

• La protección de datos es un derecho fundamental autónomo del art. 18.4 CE, distinto de la intimidad: su contenido es la autodeterminación informativa (STC 292/2000).
• El marco son dos normas conjuntas: el RGPD (UE, directamente aplicable, regulación material) y la LOPDGDD 3/2018 (lo adapta y completa, y añade los derechos digitales).
• Seis principios del art. 5 (finalidad, minimización, exactitud, conservación, integridad, licitud) más la responsabilidad proactiva: el responsable debe cumplir y demostrarlo.
• El consentimiento es solo una de las seis bases del art. 6; en la Administración lo normal es la obligación legal o los poderes públicos. El menor consiente desde los 14 años.
• Los derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición) se resuelven en un mes; las brechas de seguridad se notifican en 72 horas.
• El DPD es obligatorio en el sector público; asesora y supervisa pero no asume la responsabilidad. La AEPD es una autoridad independiente con mandato de cinco años; las multas llegan a 20M€ o el 4%.
• El Título X de la LOPDGDD reconoce los derechos digitales: acceso a Internet, educación digital, olvido, y en el trabajo la intimidad y la desconexión digital.