Test: Proteccion de datos (LO 3/2018 LOPDGDD, RGPD)

La protección de datos personales es materia recurrente en los exámenes de Guardia Civil. Su regulación combina el Reglamento (UE) 2016/679 (RGPD), de aplicación directa en toda la Unión Europea desde el 25 de mayo de 2018, y la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el RGPD al ordenamiento español. El opositor debe dominar ambas normas de forma integrada.

Marco normativo

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD): aplicable desde el 25 de mayo de 2018. Norma de rango reglamentario europeo, directamente aplicable en todos los Estados miembros sin necesidad de transposición.
• LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): publicada en el BOE el 6 de diciembre de 2018. Adapta y completa el RGPD en España. Tiene rango de ley orgánica porque afecta a derechos fundamentales (art. 18.4 CE).
• Fundamento constitucional: art. 18.4 CE, que encomienda a la ley limitar el uso de la informática para garantizar el honor, la intimidad personal y familiar y el pleno ejercicio de los derechos de los ciudadanos.

Conceptos clave

Dato personal

Conforme al art. 4.1 RGPD, dato personal es «toda información sobre una persona física identificada o identificable». Se considera identificable a quien pueda ser determinado, directa o indirectamente, en particular mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea) o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.

Importante: solo protege a personas físicas, no a personas jurídicas.

Tratamiento

El art. 4.2 RGPD define tratamiento como «cualquier operación o conjunto de operaciones realizadas sobre datos personales», ya sea por procedimientos automatizados o no: recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación, difusión, supresión o destrucción.

Responsable del tratamiento

Art. 4.7 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento.

Encargado del tratamiento

Art. 4.8 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos personales por cuenta del responsable. La relación entre ambos debe formalizarse mediante un contrato u otro acto jurídico vinculante (art. 28 RGPD).

Delegado de Protección de Datos (DPD)

• Figura regulada en los arts. 37 a 39 RGPD y en los arts. 34 a 37 LOPDGDD.
• Su designación es obligatoria para: autoridades y organismos públicos; responsables o encargados cuya actividad principal requiera observación habitual y sistemática a gran escala; responsables o encargados que traten a gran escala categorías especiales de datos o datos relativos a condenas e infracciones penales (art. 37.1 RGPD).
• Puede ser empleado del responsable o actuar en virtud de un contrato de servicios (art. 37.6 RGPD).
• Sus funciones principales (art. 39 RGPD): informar y asesorar; supervisar el cumplimiento; cooperar con la autoridad de control; actuar como punto de contacto con la autoridad de control.
• No puede ser sancionado ni destituido por el ejercicio de sus funciones (art. 38.3 RGPD).

Categorías especiales de datos

El art. 9.1 RGPD prohíbe, con carácter general, el tratamiento de datos que revelen:

• Origen étnico o racial
• Opiniones políticas
• Convicciones religiosas o filosóficas
• Afiliación sindical
• Datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona
• Datos relativos a la salud
• Datos relativos a la vida sexual o la orientación sexual

El art. 9.2 RGPD establece las excepciones (consentimiento explícito, interés vital, interés público, etc.).

Consentimiento

Art. 4.11 RGPD: «toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos personales».

• El consentimiento debe ser libre, específico, informado e inequívoco.
• Para categorías especiales: el consentimiento debe ser explícito (art. 9.2.a RGPD).
• Edad para el consentimiento en servicios de la sociedad de la información: el RGPD fija el umbral en 16 años (art. 8.1 RGPD). La LOPDGDD lo reduce a 14 años en España (art. 7 LOPDGDD).

Derechos de los interesados

Los derechos reconocidos en los arts. 15 a 22 RGPD son:

• Derecho de acceso (art. 15): conocer si se tratan datos propios y obtener copia.
• Derecho de rectificación (art. 16): corregir datos inexactos o incompletos.
• Derecho de supresión o «derecho al olvido» (art. 17): obtener la supresión de los datos.
• Derecho a la limitación del tratamiento (art. 18): restringir el tratamiento en determinados supuestos.
• Derecho a la portabilidad (art. 20): recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Derecho de oposición (art. 21): oponerse al tratamiento en cualquier momento por motivos relacionados con su situación particular.
• Derechos relacionados con decisiones individuales automatizadas (art. 22): no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles.

Datos numéricos y plazos que más se preguntan

• Notificación de violación de seguridad a la autoridad de control: en un plazo máximo de 72 horas desde que el responsable tenga constancia de ella (art. 33.1 RGPD). Si supera ese plazo, debe acompañarse de la justificación del retraso.
• Notificación al interesado: cuando la violación entrañe un alto riesgo para sus derechos y libertades, debe comunicarse sin dilación indebida (art. 34.1 RGPD).
• Edad para el consentimiento digital en España: 14 años (art. 7 LOPDGDD).
• Edad en el RGPD (referencia general): 16 años (art. 8.1 RGPD).
• Aplicación del RGPD: desde el 25 de mayo de 2018.
• Publicación de la LOPDGDD en el BOE: 6 de diciembre de 2018.
• Sanciones máximas RGPD (art. 83 RGPD):
  • Infracciones más graves: hasta 20 000 000 € o el 4 % del volumen de negocio anual global del ejercicio anterior (la cuantía que sea más elevada).
  • Infracciones menos graves: hasta 10 000 000 € o el 2 % del volumen de negocio anual global (la cuantía que sea más elevada).

Autoridad de control en España

La Agencia Española de Protección de Datos (AEPD) es la autoridad de control independiente en España, regulada en los arts. 44 a 48 LOPDGDD. Actúa con plena independencia. Sus funciones incluyen supervisar la aplicación del RGPD, investigar reclamaciones e imponer sanciones.

Errores típicos del opositor

• Confundir responsable (decide fines y medios) con encargado (trata por cuenta del responsable). La distinción es el control sobre la finalidad.
• Creer que el RGPD protege también a personas jurídicas: solo protege a personas físicas.
• Confundir el plazo de notificación de brechas de seguridad: son 72 horas, no 24 ni 48.
• Mezclar la edad de consentimiento: 14 años en España (LOPDGDD), 16 años en el RGPD como referencia general.
• Olvidar que el consentimiento para categorías especiales debe ser explícito, no meramente inequívoco.
• Confundir el DPD con el responsable del tratamiento: el DPD asesora y supervisa, pero no decide sobre el tratamiento.

Trucos mnemotécnicos

• «ARSLOPOD» para los derechos del interesado: Acceso, Rectificación, Supresión, Limitación, Oposición, Portabilidad, Oposición a decisiones automatizadas. (Adapta el orden para memorizarlo.)
• 72 horas = 3 días: la brecha de seguridad se notifica en 3 días a la AEPD.
• 4 % y 20 millones para las sanciones más graves; 2 % y 10 millones para las menos graves. Regla: el porcentaje y los millones se duplican al subir de nivel.
• 14 en España, 16 en Europa: la LOPDGDD baja dos años la edad respecto al RGPD.
• El DPD no puede ser destituido por hacer su trabajo: es el «inspector interno intocable».