Test: Protección de datos (LOPDGDD, RGPD)

La protección de datos es materia transversal en cualquier organización pública o privada que maneje información personal. En AENA, como entidad que gestiona datos de millones de pasajeros, trabajadores y proveedores, este tema tiene aplicación directa y práctica. El examinador suele preguntar definiciones, plazos, derechos y obligaciones del responsable del tratamiento.

Marco normativo

Dos normas rigen esta materia de forma complementaria:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD). Es de aplicación directa en todos los Estados miembros desde el 25 de mayo de 2018.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Adapta el RGPD al ordenamiento español y amplía derechos en el ámbito digital.

La LOPDGDD no deroga el RGPD: lo complementa y desarrolla. En caso de conflicto, prevalece el RGPD por ser norma de la Unión Europea de aplicación directa.

Conceptos clave

Dato personal

Según el art. 4.1 RGPD, dato personal es «toda información sobre una persona física identificada o identificable». Una persona es identificable cuando puede determinarse su identidad, directa o indirectamente, mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea) o mediante factores propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.

Categorías especiales de datos

El art. 9 RGPD prohíbe el tratamiento de datos que revelen:

• Origen étnico o racial
• Opiniones políticas
• Convicciones religiosas o filosóficas
• Afiliación sindical
• Datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona
• Datos relativos a la salud
• Datos relativos a la vida sexual u orientación sexual

Solo se pueden tratar con consentimiento explícito del interesado u otras bases legales tasadas (art. 9.2 RGPD).

Responsable del tratamiento

Art. 4.7 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento.

Encargado del tratamiento

Art. 4.8 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos personales por cuenta del responsable. La relación entre responsable y encargado debe formalizarse mediante contrato (art. 28 RGPD).

Tratamiento

Art. 4.2 RGPD: «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no». Incluye recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, uso, comunicación, difusión, supresión o destrucción.

Consentimiento

Art. 4.11 RGPD: «toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos personales».

El consentimiento no puede ser tácito. El silencio o las casillas premarcadas no constituyen consentimiento válido (considerando 32 RGPD).

La LOPDGDD, en su art. 7, establece que el consentimiento de los menores de 14 años debe ser prestado por sus padres o tutores. A partir de los 14 años, el menor puede consentir por sí mismo.

Principios del tratamiento

El art. 5 RGPD recoge los principios que rigen todo tratamiento de datos:

• Licitud, lealtad y transparencia: el tratamiento debe tener base jurídica y el interesado debe ser informado.
• Limitación de la finalidad: los datos se recogen para fines determinados, explícitos y legítimos, y no se tratan de forma incompatible con dichos fines.
• Minimización de datos: los datos deben ser adecuados, pertinentes y limitados a lo necesario.
• Exactitud: los datos deben ser exactos y, si fuera necesario, actualizados.
• Limitación del plazo de conservación: los datos no deben conservarse más tiempo del necesario para la finalidad.
• Integridad y confidencialidad: tratamiento con seguridad adecuada, incluida la protección contra tratamiento no autorizado o ilícito y contra pérdida, destrucción o daño accidental.
• Responsabilidad proactiva (accountability): el responsable es competente para demostrar el cumplimiento de todos los principios anteriores.

Derechos de los interesados

Los derechos reconocidos en el RGPD (arts. 15 a 22) y desarrollados en la LOPDGDD (arts. 13 a 18) son:

• Derecho de acceso (art. 15 RGPD): el interesado puede obtener confirmación de si se tratan sus datos y acceder a ellos.
• Derecho de rectificación (art. 16 RGPD): corrección de datos inexactos o incompletos.
• Derecho de supresión o «derecho al olvido» (art. 17 RGPD): supresión de datos cuando ya no sean necesarios, se retire el consentimiento o el tratamiento sea ilícito, entre otros supuestos.
• Derecho a la limitación del tratamiento (art. 18 RGPD): el interesado puede solicitar que el tratamiento quede restringido en determinadas circunstancias.
• Derecho a la portabilidad (art. 20 RGPD): recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable. Solo aplica cuando el tratamiento se basa en consentimiento o contrato y se efectúa por medios automatizados.
• Derecho de oposición (art. 21 RGPD): oponerse al tratamiento en cualquier momento por motivos relacionados con su situación particular.

Obligaciones del responsable

Registro de actividades de tratamiento

Art. 30 RGPD: los responsables y encargados deben mantener un registro de las actividades de tratamiento. Están exentas las organizaciones con menos de 250 empleados, salvo que el tratamiento pueda entrañar un riesgo para los derechos y libertades, no sea ocasional o incluya categorías especiales de datos.

Evaluación de impacto (EIPD)

Art. 35 RGPD: obligatoria cuando el tratamiento pueda suponer un alto riesgo para los derechos y libertades de las personas físicas. Especialmente cuando se utilice tratamiento automatizado a gran escala, se traten categorías especiales de datos o se realice vigilancia sistemática a gran escala de zonas de acceso público.

Delegado de Protección de Datos (DPD)

Arts. 37 a 39 RGPD y arts. 34 a 37 LOPDGDD. El DPD es obligatorio para:

• Autoridades u organismos públicos.
• Responsables o encargados cuya actividad principal consista en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
• Responsables o encargados cuya actividad principal consista en el tratamiento a gran escala de categorías especiales de datos.

El DPD puede ser empleado o actuar en virtud de contrato de servicios. Sus funciones incluyen informar y asesorar, supervisar el cumplimiento, cooperar con la autoridad de control y actuar como punto de contacto.

Notificación de brechas de seguridad

• Art. 33 RGPD: el responsable debe notificar la brecha a la autoridad de control en un plazo máximo de 72 horas desde que tenga constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades.
• Art. 34 RGPD: si la brecha entraña un alto riesgo, debe comunicarse también al interesado sin dilación indebida.

Autoridad de control en España

La Agencia Española de Protección de Datos (AEPD) es la autoridad de control independiente en España, conforme al art. 57 RGPD y al Título VIII de la LOPDGDD. Supervisa el cumplimiento, tramita reclamaciones e impone sanciones.

Régimen sancionador

El art. 83 RGPD establece dos niveles de multas administrativas:

• Nivel inferior: hasta 10.000.000 € o, en el caso de una empresa, hasta el 2 % del volumen de negocio total anual global del ejercicio financiero anterior (el importe que sea mayor). Aplica a infracciones de obligaciones del responsable y encargado, organismos de certificación y supervisión.
• Nivel superior: hasta 20.000.000 € o hasta el 4 % del volumen de negocio total anual global (el importe que sea mayor). Aplica a infracciones de los principios básicos, derechos de los interesados y transferencias internacionales.

Datos numéricos y plazos que más se preguntan

• Fecha de aplicación del RGPD: 25 de mayo de 2018
• Fecha de la LOPDGDD: 5 de diciembre de 2018
• Edad mínima para consentir sin representante legal (LOPDGDD, art. 7): 14 años
• Plazo de notificación de brecha a la AEPD: 72 horas (art. 33 RGPD)
• Sanción máxima nivel inferior: 10.000.000 € o 2 % del volumen de negocio
• Sanción máxima nivel superior: 20.000.000 € o 4 % del volumen de negocio

Errores típicos del opositor

• Confundir responsable (decide los fines) con encargado (trata por cuenta del responsable). La distinción es el art. 4.7 y 4.8 RGPD.
• Creer que el consentimiento puede ser tácito o por omisión. No es válido.
• Aplicar el plazo de 72 horas para notificar al interesado. Ese plazo es solo para la autoridad de control; la comunicación al interesado es «sin dilación indebida» cuando el riesgo es alto.
• Confundir el derecho a la portabilidad (solo para tratamientos automatizados basados en consentimiento o contrato) con el derecho de acceso (más amplio).
• Situar la edad de consentimiento en 16 años: en España la LOPDGDD la fija en 14 años, no en 16.

Trucos mnemotécnicos

• LMFEC-IR: Licitud, Minimización, Finalidad, Exactitud, Conservación limitada, Integridad y Responsabilidad proactiva → los 7 principios del art. 5 RGPD.
• 72 horas → AEPD; alto riesgo → también al interesado: dos destinatarios, dos umbrales.
• 2 % / 10 M€ = nivel bajo; 4 % / 20 M€ = nivel alto: el porcentaje y la cifra se duplican al subir de nivel.
• 14 años en España: la LOPDGDD rebajó la edad respecto al umbral de referencia del RGPD (que permitía hasta 16 años a los Estados miembros).
• Responsable = Rige los fines; Encargado = Ejecuta el tratamiento: la inicial R de Responsable coincide con la de Rige.