Guía de estudio del Tema 12. Se apoya en el Reglamento (UE) 2016/679, de 27 de abril (RGPD), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Material de estudio: para cualquier uso oficial, acude al DOUE y al BOE.

0. Introducción

La protección de datos personales es uno de los derechos más relevantes de nuestro tiempo. En una sociedad en la que la Administración —y también las empresas— maneja ingentes cantidades de información sobre las personas (nombres, domicilios, datos de salud, situación económica, huellas digitales, hábitos de navegación), garantizar que esos datos se tratan de forma lícita, segura y respetuosa con los derechos de sus titulares es una exigencia esencial del Estado de Derecho. Para un empleado público, que a diario accede a datos de ciudadanos, este tema no es teoría: define qué puede y qué no puede hacer con la información que maneja.

El derecho a la protección de datos tiene rango constitucional. El artículo 18.4 de la Constitución dispone que "la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos". A partir de este precepto, el Tribunal Constitucional (en su célebre sentencia 292/2000) reconoció la protección de datos como un derecho fundamental autónomo, distinto del derecho a la intimidad: su objeto no es solo preservar la vida privada, sino garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino, para evitar un tráfico ilícito de los mismos o lesivo para su dignidad. Es la llamada "autodeterminación informativa".

La importancia de esta materia no ha dejado de crecer. En la economía digital, los datos personales se han convertido en un activo de enorme valor: alimentan la publicidad dirigida, los sistemas de recomendación, el big data y la inteligencia artificial. Cuanta más información se acumula y se cruza, mayor es el riesgo de perfilar, vigilar o discriminar a las personas. Frente a ello, la protección de datos no busca impedir el tratamiento —que es necesario y, a menudo, beneficioso—, sino encauzarlo con garantías: que se haga con una base legítima, con transparencia, con seguridad y respetando los derechos de las personas. La Unión Europea ha situado esta materia en el centro de su modelo digital, convirtiendo el RGPD en un referente mundial que muchos países han tomado como ejemplo.

Este tema se conecta con otros ya estudiados. Con el funcionamiento electrónico (Tema 11), porque las medidas de seguridad del Esquema Nacional de Seguridad sirven, a la vez, para proteger los datos personales. Y con la transparencia (Tema 7), con la que mantiene una relación de equilibrio: la publicidad de la actividad pública encuentra su límite, precisamente, en la protección de los datos personales de las personas afectadas. Transparencia y protección de datos son las dos caras de una misma moneda: saber lo que hacen las instituciones, sin que ello suponga exponer indebidamente la vida privada de las personas.

1. Marco normativo

La regulación vigente descansa sobre dos normas que deben estudiarse conjuntamente. La primera es el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), aplicable de forma directa en toda la Unión Europea desde el 25 de mayo de 2018. Al ser un reglamento europeo (recuérdese el Tema 10), es directamente aplicable en España sin necesidad de transposición, y unifica el régimen de protección de datos en todos los Estados miembros. La segunda es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta y complementa el RGPD en el ordenamiento español, desarrolla los aspectos que el Reglamento deja a los Estados y añade una novedad de gran calado: la garantía de los derechos digitales.

Conviene conocer la evolución histórica. La primera ley española en la materia fue la LORTAD (Ley Orgánica 5/1992, de regulación del tratamiento automatizado de los datos de carácter personal), a la que sucedió la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), que rigió durante casi dos décadas. La aprobación del RGPD obligó a sustituir aquella ley por la actual LO 3/2018. El cambio de modelo fue profundo: se pasó de un sistema basado en el control previo (inscripción de ficheros ante la Agencia) a otro basado en la responsabilidad proactiva del responsable, que debe garantizar y demostrar el cumplimiento por sí mismo.

La relación entre ambas normas es de complementariedad: el RGPD es la norma principal y la LO 3/2018 lo desarrolla en lo permitido. Cuando surge una duda, debe acudirse primero al Reglamento y, después, a la ley española. Además, existen autoridades de control —la Agencia Española de Protección de Datos y sus homólogas autonómicas— encargadas de velar por el cumplimiento, y una copiosa doctrina y jurisprudencia que perfilan su aplicación.

Conviene delimitar el ámbito de aplicación. En el plano material, el RGPD se aplica al tratamiento de datos personales total o parcialmente automatizado, así como al tratamiento no automatizado de datos que formen parte de un fichero o estén destinados a serlo (por ejemplo, un archivo en papel ordenado por criterios). Quedan fuera de su ámbito, entre otros, el tratamiento efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas (una agenda de contactos particular) y los tratamientos en el ámbito de la seguridad del Estado o la persecución de delitos, que tienen su normativa específica. En el plano territorial, el RGPD destaca por su vocación extraterritorial: se aplica no solo a los responsables y encargados establecidos en la Unión, sino también a los establecidos fuera de ella cuando ofrezcan bienes o servicios a personas que estén en la Unión o controlen su comportamiento. Gracias a ello, grandes plataformas tecnológicas con sede fuera de Europa quedan sujetas a las mismas reglas cuando tratan datos de personas que se encuentran en la Unión.

2. Conceptos básicos (art. 4 RGPD)

El artículo 4 del RGPD define los conceptos clave, cuyo dominio es imprescindible. El dato personal es toda información sobre una persona física identificada o identificable; se considera identificable a quien pueda determinarse, directa o indirectamente, en particular mediante un identificador como el nombre, un número de identificación, datos de localización o factores de su identidad física, fisiológica, genética, psíquica, económica, cultural o social. Importante: la protección de datos alcanza solo a las personas físicas, no a las jurídicas, y solo a las personas vivas (los datos de fallecidos tienen un régimen especial).

El tratamiento es cualquier operación realizada sobre datos personales, ya sea por medios automatizados o no: la recogida, registro, organización, estructuración, conservación, adaptación, extracción, consulta, utilización, comunicación por transmisión, difusión, cotejo, interconexión, limitación, supresión o destrucción. Es un concepto amplísimo: casi todo lo que se hace con un dato es "tratamiento".

El responsable del tratamiento es la persona física o jurídica, autoridad, servicio u organismo que, solo o junto con otros, determina los fines y medios del tratamiento (por ejemplo, un ministerio que decide tratar los datos de los solicitantes de una ayuda). El encargado del tratamiento es quien trata datos por cuenta del responsable (por ejemplo, una empresa a la que se contrata el servicio de nóminas). El interesado es la persona física titular de los datos. Otros conceptos relevantes son: el consentimiento (manifestación de voluntad libre, específica, informada e inequívoca); la seudonimización (tratar los datos de modo que ya no puedan atribuirse a una persona sin información adicional guardada por separado); la elaboración de perfiles (evaluación automatizada de aspectos personales); y la violación de la seguridad de los datos (la brecha que ocasiona destrucción, pérdida, alteración o acceso no autorizado). No debe confundirse la seudonimización (reversible) con la anonimización (irreversible), esta última fuera del ámbito de la norma, pues el dato anónimo ya no es personal.

La distinción entre responsable y encargado es una de las más importantes y conviene fijarla con ejemplos. El responsable decide el "por qué" y el "para qué" del tratamiento: una consejería que gestiona las becas es responsable de los datos de los solicitantes. El encargado se limita a tratar los datos siguiendo las instrucciones del responsable: la empresa de informática que aloja la aplicación de becas, o la que presta el servicio de mensajería para notificar, son encargados. Puede haber, además, corresponsables cuando dos o más entidades determinan conjuntamente los fines y medios. Identificar bien quién es responsable y quién encargado es esencial, porque de ello dependen las obligaciones de cada uno y el reparto de responsabilidades. Otros conceptos útiles son el de destinatario (a quien se comunican los datos) y el de tercero (persona distinta del interesado, el responsable, el encargado y las personas autorizadas para tratar los datos bajo su autoridad).

3. Los principios del tratamiento (art. 5 RGPD)

El artículo 5 del RGPD enuncia los principios que rigen todo tratamiento de datos, verdadero corazón de la materia. Son los siguientes:

• Licitud, lealtad y transparencia: los datos serán tratados de manera lícita (con una base jurídica), leal y transparente en relación con el interesado, que debe conocer quién trata sus datos y para qué.
• Limitación de la finalidad: los datos se recogerán con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines. No se pueden usar los datos recabados para una cosa con un propósito distinto e incompatible.
• Minimización de datos: los datos serán adecuados, pertinentes y limitados a lo necesario en relación con los fines. No se debe pedir más información de la imprescindible.
• Exactitud: los datos serán exactos y, si fuera necesario, actualizados; se adoptarán medidas para suprimir o rectificar sin dilación los datos inexactos.
• Limitación del plazo de conservación: los datos se mantendrán de forma que permitan la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento.
• Integridad y confidencialidad: los datos se tratarán de tal manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental.

A estos seis principios se añade, en el apartado 2 del artículo 5, el principio de responsabilidad proactiva (en inglés, accountability): el responsable del tratamiento será responsable del cumplimiento de los principios y deberá ser capaz de demostrarlo. Este es el gran cambio de paradigma del RGPD: ya no basta con cumplir, hay que poder acreditar que se cumple, mediante registros, políticas, evaluaciones y medidas documentadas. La LO 3/2018 desarrolla algunos de estos principios en sus artículos 4 a 10, destacando el deber de confidencialidad (art. 5), que obliga a los responsables, encargados y a todas las personas que intervienen en el tratamiento a guardar secreto, deber que subsiste incluso tras finalizar la relación con el responsable.

Unos ejemplos ayudan a fijar estos principios. Si un ayuntamiento recaba datos para tramitar una licencia de obras, no puede después usarlos para enviar propaganda electoral (limitación de la finalidad); si para una ayuda social basta con conocer los ingresos, no debe pedir el historial médico completo (minimización); si un ciudadano comunica su cambio de domicilio, debe actualizarse en los registros (exactitud); y una vez cumplida y prescrita la finalidad, los datos deben suprimirse o bloquearse, no conservarse indefinidamente (limitación del plazo). La LO 3/2018 introduce, en relación con la supresión, la figura del bloqueo de los datos: en lugar de borrarlos de inmediato, se reservan a disposición exclusiva de jueces, tribunales y administraciones competentes durante el plazo de prescripción de las posibles responsabilidades, tras lo cual se destruyen.

4. Las bases de legitimación del tratamiento (art. 6 RGPD)

Para que un tratamiento sea lícito debe apoyarse en, al menos, una de las bases jurídicas que enumera el artículo 6 del RGPD. No se pueden tratar datos "porque sí": siempre hace falta una legitimación. Las seis bases son:

• El consentimiento del interesado para uno o varios fines específicos.
• La ejecución de un contrato en el que el interesado es parte, o la aplicación de medidas precontractuales a petición de este.
• El cumplimiento de una obligación legal aplicable al responsable.
• La protección de intereses vitales del interesado o de otra persona física (por ejemplo, una urgencia médica).
• El cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable. Esta es la base habitual del tratamiento por parte de las Administraciones Públicas.
• La satisfacción de intereses legítimos del responsable o de un tercero, salvo que prevalezcan los derechos del interesado. Nota importante: esta última base no es aplicable al tratamiento que efectúan las autoridades públicas en el ejercicio de sus funciones.

El consentimiento merece atención especial. Conforme al artículo 7 del RGPD, debe ser libre, específico, informado e inequívoco, mediante una declaración o una clara acción afirmativa; no valen las casillas premarcadas ni el silencio. El interesado tiene derecho a retirarlo en cualquier momento, con la misma facilidad con que lo dio. En cuanto a la edad, el RGPD la fija en 16 años para consentir por sí mismo en los servicios de la sociedad de la información, pero permite a los Estados rebajarla; España la ha fijado en 14 años (artículo 7 de la LO 3/2018); por debajo de esa edad se requiere el consentimiento de los titulares de la patria potestad o tutela.

Un régimen reforzado se aplica a las categorías especiales de datos (artículo 9 del RGPD): los que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos y biométricos dirigidos a identificar de manera unívoca a una persona, y los datos relativos a la salud, a la vida sexual o a la orientación sexual. Su tratamiento está, en principio, prohibido, salvo que concurra alguna de las excepciones tasadas (consentimiento explícito, interés público esencial, fines de salud, etc.). También reciben protección reforzada los datos relativos a condenas e infracciones penales (artículo 10).

La LO 3/2018 precisa, en sus artículos 6 a 10, cómo operan algunas de estas bases en España. Su artículo 8 aclara que el tratamiento de datos podrá ampararse en el cumplimiento de una obligación legal exigible al responsable o en el cumplimiento de una misión de interés público o el ejercicio de poderes públicos, cuando así lo establezca una norma con rango de ley o de Derecho de la Unión. Esto es capital para las Administraciones: cuando un ayuntamiento gestiona el padrón, una universidad las matrículas o la Seguridad Social las prestaciones, no necesitan el consentimiento del ciudadano, porque su tratamiento se ampara en la ley y en el ejercicio de sus competencias. El consentimiento queda así reservado, en el sector público, para tratamientos que van más allá de las funciones legalmente atribuidas.

5. Los derechos de las personas (arts. 12 a 22 RGPD)

El RGPD reconoce a los interesados un catálogo de derechos que les permiten controlar el tratamiento de sus datos. La antigua terminología hablaba de "derechos ARCO" (acceso, rectificación, cancelación y oposición); hoy el catálogo es más amplio. Los principales son:

• Derecho de información (arts. 13 y 14): en el momento de recabar los datos, el responsable debe informar de su identidad, los fines y la base jurídica del tratamiento, los destinatarios, el plazo de conservación y los derechos que asisten al interesado. Es la manifestación del principio de transparencia.
• Derecho de acceso (art. 15): el interesado puede obtener confirmación de si se están tratando sus datos y, en su caso, acceder a ellos y a información sobre el tratamiento.
• Derecho de rectificación (art. 16): a que se corrijan los datos inexactos o se completen los incompletos.
• Derecho de supresión o "derecho al olvido" (art. 17): a que se borren los datos cuando ya no sean necesarios, se retire el consentimiento, se opongan al tratamiento o hayan sido tratados ilícitamente.
• Derecho a la limitación del tratamiento (art. 18): a que el tratamiento se "congele" en determinados supuestos (mientras se verifica la exactitud, por ejemplo).
• Derecho a la portabilidad (art. 20): a recibir los datos en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable.
• Derecho de oposición (art. 21): a oponerse, por motivos relacionados con su situación particular, a un tratamiento basado en el interés público o el interés legítimo, y en todo caso al tratamiento con fines de mercadotecnia.
• Derecho a no ser objeto de decisiones individuales automatizadas (art. 22): incluida la elaboración de perfiles, cuando produzcan efectos jurídicos o afecten significativamente al interesado.

El ejercicio de estos derechos se rige por reglas comunes (artículo 12 del RGPD). El responsable debe facilitar su ejercicio y responder sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción de la solicitud, plazo que podrá prorrogarse otros dos meses en casos de especial complejidad o número de solicitudes. La respuesta es, por regla general, gratuita; solo cuando las solicitudes sean manifiestamente infundadas o excesivas podrá cobrarse un canon razonable o negarse a actuar. Los artículos 11 a 18 de la LO 3/2018 concretan el ejercicio de estos derechos en España.

Merece detalle el derecho de información (arts. 13 y 14 del RGPD), que es la puerta de entrada de todos los demás: sin saber quién trata mis datos y para qué, no puedo ejercer el resto. La información debe facilitarse de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En la práctica se emplea el modelo de información por capas: una primera capa breve y visible en el momento de la recogida (identidad del responsable, finalidad, base jurídica y forma de ejercer los derechos) y una segunda capa más detallada a la que se remite (por ejemplo, mediante un enlace o un documento ampliado). La LO 3/2018 admite expresamente este sistema por capas. El ejercicio de los derechos puede hacerse por medios sencillos y gratuitos, y el responsable debe facilitarlo, no obstaculizarlo; si no atiende la solicitud, debe informar de los motivos y de la posibilidad de reclamar ante la autoridad de control.

6. Obligaciones del responsable y del encargado del tratamiento

El modelo del RGPD gira en torno a la responsabilidad proactiva: el responsable debe adoptar, por iniciativa propia, las medidas necesarias para garantizar y demostrar el cumplimiento. De ahí derivan una serie de obligaciones:

• Protección de datos desde el diseño y por defecto (art. 25): integrar las garantías desde la concepción de cada tratamiento y tratar, por defecto, solo los datos necesarios.
• Registro de las actividades de tratamiento (art. 30): llevar un registro interno de los tratamientos que realiza, con sus fines, categorías de datos y de interesados, destinatarios y medidas de seguridad. Sustituye a la antigua inscripción de ficheros ante la Agencia.
• Seguridad del tratamiento (art. 32): aplicar medidas técnicas y organizativas apropiadas al riesgo (seudonimización, cifrado, capacidad de garantizar confidencialidad, integridad, disponibilidad y resiliencia). En el sector público, estas medidas se articulan a través del Esquema Nacional de Seguridad (Tema 11).
• Notificación de violaciones de seguridad (arts. 33 y 34): ante una brecha (pérdida, robo o acceso no autorizado a datos), el responsable debe notificarla a la autoridad de control (la AEPD) sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas; y, cuando entrañe un alto riesgo para los derechos de las personas, comunicarla también a los afectados.
• Evaluación de impacto relativa a la protección de datos (art. 35): cuando un tratamiento entrañe un alto riesgo, debe realizarse un análisis previo de su impacto sobre los derechos de los afectados; y, si el riesgo residual sigue siendo alto, procede la consulta previa a la autoridad de control (art. 36).

Todo el sistema descansa en un enfoque basado en el riesgo: las medidas exigibles no son las mismas para un pequeño fichero de contactos que para un gran tratamiento de datos de salud. El responsable debe valorar el riesgo que el tratamiento supone para los derechos y libertades de las personas y adoptar medidas proporcionadas a ese riesgo. Este enfoque flexible sustituye al antiguo sistema rígido de niveles de seguridad predeterminados y responsabiliza a quien mejor conoce su tratamiento. Conviene subrayar que la seguridad no es solo técnica (cifrado, copias de seguridad, control de accesos), sino también organizativa (políticas internas, formación del personal, protocolos ante incidentes): la mayor parte de las brechas se deben a errores humanos, no a fallos tecnológicos.

Cuando el responsable recurre a un encargado del tratamiento (por ejemplo, un proveedor tecnológico), la relación debe regularse mediante un contrato (artículo 28 del RGPD) que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, y que obligue al encargado a tratar los datos únicamente siguiendo instrucciones del responsable, a garantizar la confidencialidad y la seguridad, y a suprimir o devolver los datos al finalizar. El encargado no puede usar los datos para fines propios.

Como instrumentos voluntarios de acreditación del cumplimiento, el RGPD prevé la adhesión a códigos de conducta aprobados y a mecanismos de certificación (sellos y marcas de protección de datos), que permiten al responsable demostrar más fácilmente que cumple la normativa y que refuerzan la confianza de los interesados.

7. Las transferencias internacionales de datos

Los datos personales circulan hoy por todo el mundo, por lo que el RGPD dedica un régimen específico a las transferencias internacionales, esto es, las comunicaciones de datos a destinatarios situados en países fuera del Espacio Económico Europeo o a organizaciones internacionales. La regla general es que estas transferencias solo son lícitas si se garantiza que el nivel de protección de las personas no se ve menoscabado. El Reglamento contempla, de forma escalonada, varias vías:

• Una decisión de adecuación de la Comisión Europea, que declara que un tercer país ofrece un nivel de protección equivalente al europeo; en tal caso, la transferencia puede realizarse libremente.
• En ausencia de decisión de adecuación, la aportación de garantías adecuadas, como las cláusulas contractuales tipo aprobadas por la Comisión o las normas corporativas vinculantes para grupos empresariales.
• En su defecto, determinadas excepciones tasadas para situaciones específicas (consentimiento explícito del interesado, ejecución de un contrato, razones de interés público, etc.).

Este régimen ha dado lugar a una intensa actividad jurisprudencial del Tribunal de Justicia de la Unión Europea, que ha llegado a anular decisiones de adecuación con Estados Unidos (asuntos "Schrems") por no garantizar un nivel de protección suficiente. La lección de fondo es clara: la protección que el RGPD garantiza a las personas viaja con sus datos y no puede eludirse trasladando el tratamiento a otro país.

8. El Delegado de Protección de Datos (DPD)

Una de las figuras clave del RGPD es el Delegado de Protección de Datos (DPD), regulado en los artículos 37 a 39 del RGPD y en los artículos 34 a 37 de la LO 3/2018. Su designación es obligatoria, entre otros supuestos, cuando el tratamiento lo lleva a cabo una autoridad u organismo público (con excepción de los tribunales en el ejercicio de su función judicial); cuando las actividades principales del responsable consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala; o cuando consistan en el tratamiento a gran escala de categorías especiales de datos. La LO 3/2018 amplía la lista de sujetos obligados en su artículo 34.

El DPD debe ser designado atendiendo a sus cualidades profesionales y conocimientos especializados, y actúa con independencia: no puede recibir instrucciones sobre el ejercicio de sus funciones ni ser sancionado o destituido por desempeñarlas. Sus funciones son informar y asesorar al responsable y a los empleados, supervisar el cumplimiento de la normativa, cooperar con la autoridad de control y actuar como punto de contacto de esta y de los interesados. Su designación debe comunicarse a la Agencia Española de Protección de Datos, que mantiene una lista pública de delegados. El DPD no asume la responsabilidad del cumplimiento —que sigue recayendo en el responsable—, sino que asesora y vigila.

Para poder desempeñar bien su función, el responsable debe garantizar su independencia y sus recursos: hacerle participar de forma adecuada y en el momento oportuno en todas las cuestiones relativas a la protección de datos, facilitarle el acceso a los datos y a las operaciones de tratamiento, y proporcionarle los medios necesarios para mantener sus conocimientos. El DPD está obligado a secreto o confidencialidad en el desempeño de sus funciones, y los interesados pueden dirigirse a él para todas las cuestiones relativas al tratamiento de sus datos y al ejercicio de sus derechos. Puede ser un empleado del responsable o desempeñar sus funciones en el marco de un contrato de servicios, y una misma persona (o un mismo delegado) puede dar servicio a varios organismos públicos, atendida su estructura organizativa y su tamaño.

9. La Agencia Española de Protección de Datos y el régimen sancionador

El cumplimiento de la normativa lo garantiza una autoridad de control. En España es la Agencia Española de Protección de Datos (AEPD), regulada en los artículos 44 a 47 de la LO 3/2018. La AEPD es una autoridad administrativa independiente de ámbito estatal (una de las que se estudiaron en el Tema 8, dentro del sector público institucional), con personalidad jurídica propia y plena independencia de los poderes públicos en el ejercicio de sus funciones. Le corresponde supervisar la aplicación de la normativa, atender las reclamaciones de los interesados, investigar, adoptar medidas y ejercer la potestad sancionadora, además de promover la concienciación y asesorar. Existen, en determinadas comunidades autónomas, autoridades autonómicas de protección de datos con competencias sobre el sector público de su ámbito: la Autoridad Catalana de Protección de Datos (APDCAT), la Agencia Vasca de Protección de Datos y el Consejo de Transparencia y Protección de Datos de Andalucía. Todas ellas cooperan entre sí y con la AEPD, que actúa como autoridad de control común y como representante de España en el Comité Europeo de Protección de Datos, órgano de la Unión que garantiza la aplicación coherente del RGPD en todos los Estados miembros.

El régimen sancionador es especialmente disuasorio. El artículo 83 del RGPD establece multas administrativas que pueden alcanzar, en las infracciones más graves, los 20 millones de euros o, tratándose de una empresa, el 4 % del volumen de negocio total anual mundial del ejercicio anterior (la cuantía que resulte mayor); las infracciones menos graves se sancionan hasta 10 millones o el 2 %. La LO 3/2018 clasifica las infracciones en muy graves, graves y leves (artículos 70 a 78), con plazos de prescripción de tres, dos y un año respectivamente. Debe matizarse que, cuando la infractora es una Administración Pública, el régimen es especial: en lugar de multa, se dicta una resolución que declara la infracción y establece las medidas que procede adoptar, y se depuran las responsabilidades disciplinarias que correspondan.

El ciudadano que considere vulnerados sus derechos dispone de una vía de reclamación. En primer lugar, puede dirigirse al Delegado de Protección de Datos de la entidad o presentar una reclamación ante la AEPD (o ante la autoridad autonómica competente). La Agencia, en el ejercicio de sus potestades de investigación, puede recabar información, realizar inspecciones y auditorías y acceder a los locales y equipos del responsable. Tras la instrucción, puede archivar la reclamación, requerir la adopción de medidas correctoras o incoar un procedimiento sancionador. Entre sus funciones destacan también la tutela de los derechos de los interesados cuando el responsable no los ha atendido, la emisión de informes y circulares, la elaboración de listas de tratamientos que requieren evaluación de impacto y la concienciación del público. Sus resoluciones agotan la vía administrativa y son recurribles ante la jurisdicción contencioso-administrativa. La AEPD publica, además, guías y herramientas muy útiles que ayudan a responsables y ciudadanos a comprender y aplicar la normativa.

10. Los derechos digitales (Título X de la LO 3/2018)

La gran novedad de la LO 3/2018 respecto del RGPD es la incorporación de un Título X dedicado a la garantía de los derechos digitales (artículos 79 a 97), que traslada los derechos de las personas al entorno de internet y de las nuevas tecnologías. Se trata de un catálogo pionero en Europa. Entre estos derechos destacan:

• El derecho a la neutralidad de internet y al acceso universal a la red, en condiciones de igualdad y sin discriminaciones.
• El derecho a la seguridad digital y a la educación digital, para garantizar un uso responsable y seguro de la tecnología, con especial atención a la formación del profesorado y del alumnado.
• La protección de los menores en internet, exigiendo el consentimiento de padres o tutores y velando por su interés superior.
• El derecho de rectificación y de actualización de informaciones en internet y en los medios de comunicación digitales.
• El derecho al olvido en las búsquedas de internet y en los servicios de redes sociales, que permite solicitar la retirada de datos personales obsoletos o lesivos, y el derecho de portabilidad en redes sociales.
• El derecho al testamento digital, que regula el destino de los contenidos y cuentas digitales de las personas fallecidas.

Especial relevancia tienen los derechos digitales en el ámbito laboral, que afectan directamente a los empleados, también a los públicos: el derecho a la intimidad frente al uso de dispositivos digitales puestos a disposición por el empleador (ordenadores, móviles), que limita la facultad de control del empresario; el derecho a la desconexión digital, que garantiza el respeto del tiempo de descanso y no obliga a responder comunicaciones fuera de la jornada; y el derecho a la intimidad frente a los sistemas de videovigilancia y de geolocalización en el trabajo, que solo pueden usarse con las debidas garantías y previa información. Estos derechos digitales demuestran que la protección de datos no es una materia estática, sino que evoluciona para dar respuesta a los retos de la sociedad digital.

Merece detenerse en el derecho a la desconexión digital (artículo 88 de la LO 3/2018), de creciente importancia. Los trabajadores y los empleados públicos tienen derecho a no atender comunicaciones (correos, mensajes, llamadas de trabajo) fuera de su tiempo de trabajo, en garantía del respeto a su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar. Las modalidades de ejercicio de este derecho deben concretarse mediante negociación colectiva o, en su defecto, mediante acuerdo entre la empresa y los representantes de los trabajadores; en las Administraciones Públicas se desarrolla en el ámbito de la negociación con las organizaciones sindicales. Por su parte, el derecho a la intimidad frente a los dispositivos de videovigilancia (artículo 89) permite a los empleadores usar cámaras para el control laboral, pero previa información a los trabajadores y con límites estrictos (no cabe, por regla general, instalarlas en zonas de descanso o esparcimiento). Y el derecho frente a la geolocalización (artículo 90) somete el uso de sistemas de localización en el trabajo a la previa información y a los límites de la finalidad. Estos derechos ponen de relieve el delicado equilibrio entre las facultades de control del empleador y la dignidad e intimidad de las personas trabajadoras.

11. El papel del empleado público auxiliar

Pocos temas son tan directamente aplicables al trabajo diario de un auxiliar administrativo como este. En su labor, el auxiliar trata datos personales constantemente: nombres, DNI, domicilios, datos económicos, de salud o familiares de los ciudadanos que acuden a la Administración. Por ello, la primera obligación es el deber de confidencialidad o secreto (artículo 5 de la LO 3/2018): no revelar ni utilizar la información a la que accede, deber que subsiste incluso después de dejar el puesto. El acceso a los datos debe limitarse a lo que el puesto estrictamente requiere: consultar los datos de un ciudadano por curiosidad, o los de un conocido o familiar, sin una necesidad justificada por el trabajo, constituye una infracción grave.

El auxiliar debe, además, respetar los principios del tratamiento: recabar solo los datos necesarios (minimización), usarlos únicamente para el fin previsto (limitación de la finalidad), mantenerlos exactos y actualizados, y no conservarlos más tiempo del preciso. Debe saber atender los derechos de los ciudadanos (informar sobre cómo ejercer el acceso, la rectificación o la supresión, y dar traslado de las solicitudes al órgano competente y, en su caso, al Delegado de Protección de Datos), no ceder datos a terceros sin una base legal que lo ampare, aplicar las medidas de seguridad establecidas (contraseñas, bloqueo de sesión, custodia de documentos) y avisar de inmediato ante cualquier posible brecha de seguridad, dada la exigencia de notificarla en 72 horas. En la relación con la transparencia, el auxiliar debe tener presente que la información pública se facilita previa disociación de los datos personales cuando proceda. En definitiva, proteger los datos de los ciudadanos es proteger su dignidad y su confianza en la Administración: una responsabilidad que atañe a todos y cada uno de los empleados públicos, y cuyo incumplimiento puede acarrear responsabilidad disciplinaria e, incluso, penal en los casos más graves de revelación de secretos.

12. Esquema-resumen

LA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL
│
├─ FUNDAMENTO: art. 18.4 CE → derecho fundamental autónomo (STC 292/2000)
│   └─ "autodeterminación informativa" (control sobre los propios datos)
│
├─ MARCO: RGPD (Regl. UE 2016/679, aplicable desde 25-may-2018, DIRECTO)
│         + LOPDGDD (LO 3/2018) que lo adapta y añade derechos digitales
│   └─ antecedentes: LORTAD (1992) y LOPD (LO 15/1999)
│
├─ CONCEPTOS (art. 4 RGPD): dato personal (persona física identificable),
│   tratamiento, responsable, encargado, interesado, seudonimización, brecha
│
├─ PRINCIPIOS (art. 5 RGPD): licitud/lealtad/transparencia · limitación de la
│   finalidad · minimización · exactitud · limitación de conservación ·
│   integridad y confidencialidad + RESPONSABILIDAD PROACTIVA (accountability)
│
├─ LEGITIMACIÓN (art. 6 RGPD): consentimiento · contrato · obligación legal ·
│   intereses vitales · misión de interés público/poderes públicos (la de las
│   AAPP) · interés legítimo (NO para autoridades públicas)
│   ├─ Consentimiento: libre, específico, informado e inequívoco; menores: 14 años
│   └─ Categorías especiales (art. 9): salud, ideología, religión, etnia… PROHIBIDAS salvo excepción
│
├─ DERECHOS (arts. 12-22 RGPD): información (13-14), acceso (15), rectificación
│   (16), supresión/olvido (17), limitación (18), portabilidad (20), oposición
│   (21), decisiones automatizadas (22) — plazo: 1 mes (+2); gratuito
│
├─ OBLIGACIONES: protección desde el diseño y por defecto (25), registro de
│   actividades (30), seguridad (32 → ENS), notificación de brechas (33-34: 72 h
│   a la AEPD), evaluación de impacto (35), encargado por contrato (28)
│
├─ DELEGADO DE PROTECCIÓN DE DATOS (DPD): OBLIGATORIO en el sector público;
│   independiente; informa, supervisa y coopera; se comunica a la AEPD
│
├─ AEPD: autoridad administrativa independiente; supervisa y sanciona
│   └─ Multas RGPD hasta 20 M€ o 4% del volumen de negocio; AAPP: sin multa,
│      resolución + responsabilidad disciplinaria
│
└─ DERECHOS DIGITALES (Título X LO 3/2018, arts. 79-97): neutralidad y acceso a
    internet, educación digital, olvido en buscadores/redes, testamento digital,
    y en el trabajo: intimidad ante dispositivos, DESCONEXIÓN DIGITAL, videovigilancia

Consejo final: distingue bien el RGPD (reglamento europeo directo) de la LO 3/2018 (que lo adapta y añade los derechos digitales). Memoriza los principios del art. 5, las seis bases del art. 6 (recordando que las AAPP se apoyan en la misión de interés público), el plazo de un mes para atender los derechos (prorrogable dos meses) y el dato estrella: las brechas de seguridad se notifican a la AEPD sin dilación indebida y, a más tardar, en 72 horas. No olvides tampoco la edad de consentimiento en España (14 años), las categorías especiales de datos del art. 9 y que en el sector público la infracción no se sanciona con multa, sino con resolución y responsabilidad disciplinaria.