Protección de datos personales y RGPD

1. Régimen jurídico

El derecho fundamental a la protección de datos deriva del art. 18.4 de la Constitución, que manda a la ley limitar el uso de la informática para garantizar el honor, la intimidad y el pleno ejercicio de los derechos. Hoy su régimen descansa en dos normas que se aplican juntas:

• El Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), directamente aplicable en toda la Unión.
• La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Su objeto es adaptar el ordenamiento español al RGPD y completarlo, y garantizar los derechos digitales de la ciudadanía (art. 1 LOPDGDD).

Conceptos básicos (art. 4 RGPD)

• Dato personal: toda información sobre una persona física identificada o identificable (el «interesado»).
• Tratamiento: cualquier operación sobre datos personales (recogida, registro, conservación, consulta, comunicación, supresión…), automatizada o no.
• Responsable: quien, solo o con otros, determina los fines y medios del tratamiento.
• Encargado: quien trata datos por cuenta del responsable.
• Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o clara acción afirmativa (art. 4.11 RGPD; art. 6.1 LOPDGDD).
• Violación de la seguridad: destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales.
• Seudonimización: tratamiento que impide atribuir los datos a un interesado sin información adicional guardada por separado.

La LOPDGDD también regula los datos de las personas fallecidas: familiares y herederos pueden pedir el acceso, la rectificación o la supresión, salvo que el fallecido lo hubiera prohibido expresamente o lo impida una ley (art. 3).

2. Principios

Principios del tratamiento (art. 5 RGPD)

Los datos personales serán:

1. Licitud, lealtad y transparencia.
2. Limitación de la finalidad: fines determinados, explícitos y legítimos; no se tratarán después de forma incompatible (el archivo de interés público, la investigación o la estadística no se consideran incompatibles).
3. Minimización de datos: adecuados, pertinentes y limitados a lo necesario.
4. Exactitud: exactos y, si fuera necesario, actualizados.
5. Limitación del plazo de conservación: no más tiempo del necesario.
6. Integridad y confidencialidad: seguridad adecuada.

Y además, responsabilidad proactiva: el responsable debe cumplirlos y ser capaz de demostrarlo (art. 5.2 RGPD).

La LOPDGDD concreta algunos: la inexactitud no es imputable al responsable que actuó con diligencia si, por ejemplo, obtuvo los datos del propio afectado o de un registro público (art. 4); y el deber de confidencialidad alcanza a todos los que intervienen en el tratamiento y se mantiene aunque haya terminado su relación con el responsable (art. 5).

Bases de licitud (art. 6.1 RGPD)

El tratamiento solo es lícito si se da al menos una de estas condiciones:

• a) Consentimiento para fines específicos.
• b) Ejecución de un contrato o medidas precontractuales.
• c) Cumplimiento de una obligación legal.
• d) Protección de intereses vitales.
• e) Misión de interés público o ejercicio de poderes públicos.
• f) Interés legítimo del responsable o de un tercero, si no prevalecen los derechos del interesado. No se aplica a las autoridades públicas en el ejercicio de sus funciones.

En España, la base c) exige una norma de Derecho de la UE o con rango de ley (art. 8.1 LOPDGDD), y la base e) que el tratamiento derive de una competencia atribuida por una norma con rango de ley (art. 8.2 LOPDGDD). Esto es clave para la Administración, que trata datos sobre todo en base a la ley y al interés público.

Consentimiento

• Debe poder demostrarse; puede retirarse en cualquier momento y debe ser tan fácil retirarlo como darlo (art. 7 RGPD).
• Si se pide para varias finalidades, debe constar de forma específica para todas (art. 6.2 LOPDGDD). No puede condicionarse un contrato a consentir usos ajenos a él (art. 6.3).
• Menores: el RGPD fija 16 años para los servicios de la sociedad de la información, pero permite a los Estados bajar la edad hasta 13 (art. 8 RGPD). En España, un menor puede consentir a partir de los 14 años; por debajo hace falta el consentimiento de quien ejerza la patria potestad o tutela (art. 7 LOPDGDD).

Categorías especiales de datos (art. 9 RGPD)

Está prohibido tratar datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, así como datos genéticos, biométricos para identificar, de salud o de vida u orientación sexual, salvo excepciones (consentimiento explícito, obligaciones laborales y de protección social, intereses vitales, datos hechos manifiestamente públicos, interés público esencial, asistencia sanitaria, etc.). En España, el solo consentimiento no basta cuando la finalidad principal sea identificar la ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9.1 LOPDGDD).