Materia de estudio
Resumen del tema con citas literales de la normativa oficial. Lee los apuntes y luego pon a prueba lo que has aprendido en el test.
La protección de datos personales es un derecho fundamental reconocido en el art. 18.4 CE, que encomienda al legislador limitar el uso de la informática para garantizar el honor, la intimidad personal y familiar y el pleno ejercicio de los derechos. La LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) adapta el ordenamiento español al Reglamento (UE) 2016/679 (RGPD). Este tema es recurrente en los exámenes de Auxilio Judicial, especialmente en lo relativo a definiciones, derechos del interesado, plazos y la Agencia Española de Protección de Datos (AEPD).
Marco normativo
- Constitución Española de 1978, art. 18.4: reconoce el derecho a la protección de datos como derecho fundamental.
- Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD): norma de aplicación directa en todos los Estados miembros desde el 25 de mayo de 2018.
- LO 3/2018, de 5 de diciembre (LOPDGDD): publicada en el BOE el 6 de diciembre de 2018; adapta y completa el RGPD en España. Consta de 97 artículos, organizados en 10 títulos, más disposiciones adicionales, transitorias, derogatorias y finales.
Estructura del tema
1. Concepto de dato personal
El art. 4.1 RGPD define dato personal como «toda información sobre una persona física identificada o identificable». Se considera identificable a quien pueda ser determinado, directa o indirectamente, mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea) o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.
2. Categorías especiales de datos
El art. 9 RGPD prohíbe, con carácter general, el tratamiento de datos que revelen:
- Origen étnico o racial.
- Opiniones políticas.
- Convicciones religiosas o filosóficas.
- Afiliación sindical.
- Datos genéticos y datos biométricos dirigidos a identificar de forma unívoca a una persona física.
- Datos relativos a la salud.
- Datos relativos a la vida sexual o la orientación sexual.
El art. 9.2 RGPD establece las excepciones a esta prohibición (consentimiento explícito, obligaciones en materia de Derecho laboral, interés vital, etc.).
3. Principios del tratamiento
El art. 5 RGPD recoge los principios que rigen todo tratamiento de datos personales:
- Licitud, lealtad y transparencia.
- Limitación de la finalidad: los datos se recogerán con fines determinados, explícitos y legítimos.
- Minimización de datos: adecuados, pertinentes y limitados a lo necesario.
- Exactitud: se mantendrán actualizados.
- Limitación del plazo de conservación: no se conservarán más tiempo del necesario para la finalidad.
- Integridad y confidencialidad: tratamiento con seguridad adecuada.
- Responsabilidad proactiva (accountability): el responsable del tratamiento debe poder demostrar el cumplimiento de estos principios (art. 5.2 RGPD).
4. Licitud del tratamiento
El art. 6 RGPD establece las bases jurídicas que legitiman el tratamiento:
- Consentimiento del interesado.
- Ejecución de un contrato.
- Cumplimiento de una obligación legal.
- Protección de intereses vitales.
- Cumplimiento de una misión en interés público o ejercicio de poderes públicos.
- Intereses legítimos del responsable o de un tercero.
Derechos del interesado
Los derechos reconocidos en el RGPD y desarrollados en la LOPDGDD son los siguientes:
Derecho de acceso (art. 15 RGPD / art. 13 LOPDGDD)
El interesado tiene derecho a obtener confirmación de si se están tratando sus datos y, en tal caso, a acceder a ellos.
Derecho de rectificación (art. 16 RGPD / art. 14 LOPDGDD)
Permite obtener la rectificación de los datos inexactos que le conciernan.
Derecho de supresión o «derecho al olvido» (art. 17 RGPD / art. 15 LOPDGDD)
El interesado puede solicitar la supresión de sus datos cuando, entre otros motivos, ya no sean necesarios para la finalidad para la que fueron recogidos o retire el consentimiento.
Derecho a la limitación del tratamiento (art. 18 RGPD / art. 16 LOPDGDD)
Permite solicitar que el tratamiento quede restringido en determinadas circunstancias (impugnación de la exactitud, tratamiento ilícito, etc.).
Derecho a la portabilidad (art. 20 RGPD / art. 17 LOPDGDD)
El interesado puede recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable. Solo aplica cuando el tratamiento se basa en el consentimiento o en un contrato y se efectúa por medios automatizados.
Derecho de oposición (art. 21 RGPD / art. 18 LOPDGDD)
El interesado puede oponerse al tratamiento de sus datos en cualquier momento, por motivos relacionados con su situación particular.
Plazo de respuesta a los derechos
El art. 12 RGPD fija el plazo general en un mes desde la recepción de la solicitud, prorrogable por otros dos meses más cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable debe informar de la prórroga en el plazo del primer mes.
La Agencia Española de Protección de Datos (AEPD)
Naturaleza y regulación
Los arts. 44 a 48 LOPDGDD regulan la AEPD. Es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia y plena capacidad pública y privada (art. 44.1 LOPDGDD).
Órganos de la AEPD
Conforme al art. 48 LOPDGDD, los órganos de la AEPD son:
- La Presidencia.
- El Consejo Consultivo.
El/la Presidente/a es nombrado/a por el Gobierno mediante Real Decreto, a propuesta del/de la titular del Ministerio competente, entre personas de reconocida competencia profesional. Su mandato es de cinco años, sin posibilidad de renovación (art. 49 LOPDGDD).
Funciones principales (art. 57 RGPD)
- Supervisar y hacer cumplir el RGPD y la LOPDGDD.
- Promover la sensibilización pública.
- Asesorar al Parlamento y al Gobierno.
- Tramitar reclamaciones de los interesados.
- Investigar infracciones.
- Imponer sanciones administrativas.
Datos numéricos y plazos que más se preguntan
- Art. 18.4 CE: fundamento constitucional del derecho a la protección de datos.
- 25 de mayo de 2018: fecha de aplicación del RGPD.
- 6 de diciembre de 2018: publicación de la LOPDGDD en el BOE.
- 97 artículos y 10 títulos: estructura de la LOPDGDD.
- 1 mes (prorrogable 2 meses más): plazo para responder a los derechos del interesado (art. 12 RGPD).
- 5 años: mandato del Presidente de la AEPD, sin renovación (art. 49 LOPDGDD).
- 14 años: edad a partir de la cual el menor puede prestar consentimiento para el tratamiento de sus datos en servicios de la sociedad de la información (art. 7.1 LOPDGDD).
- Sanciones RGPD (art. 83 RGPD):
- Infracciones menos graves: hasta 10.000.000 € o el 2 % del volumen de negocio anual global.
- Infracciones más graves: hasta 20.000.000 € o el 4 % del volumen de negocio anual global.
Errores típicos del opositor
- Confundir el RGPD (reglamento europeo, aplicación directa) con la LOPDGDD (ley orgánica española que lo desarrolla y adapta). El RGPD prevalece sobre la LOPDGDD en caso de contradicción.
- Creer que el derecho al olvido permite suprimir cualquier dato: solo procede en los supuestos tasados del art. 17 RGPD.
- Confundir el derecho de acceso con el derecho de portabilidad: el acceso permite conocer qué datos se tratan; la portabilidad permite recibirlos en formato reutilizable y transferirlos. La portabilidad solo opera con tratamientos automatizados basados en consentimiento o contrato.
- Indicar que el plazo de respuesta a los derechos es de 15 días: ese plazo era el de la normativa anterior (LOPD 1999, derogada). Ahora es 1 mes (art. 12 RGPD).
- Atribuir a la AEPD competencia sobre los ficheros de los órganos jurisdiccionales en el ejercicio de su función jurisdiccional: estos quedan fuera de su ámbito de control ordinario.
Trucos mnemotécnicos
- LMELI-P: los seis principios del art. 5 RGPD → Licitud, Minimización, Exactitud, Limitación de finalidad, Integridad/confidencialidad, Plazo de conservación.
- ARSOP + Limitación: los derechos del interesado → Acceso, Rectificación, Supresión, Oposición, Portabilidad + Limitación del tratamiento.
- “Dos veces diez, dos veces veinte”: sanciones del RGPD → 10 M€ / 2 % (leves) y 20 M€ / 4 % (graves).
- “14 años para consentir en internet”: la edad mínima del art. 7.1 LOPDGDD es 14, no 16 (que es la edad del RGPD por defecto cuando el Estado no la rebaja).
- “Cinco sin vuelta”: el mandato del Presidente de la AEPD es de 5 años y no es renovable.