Administrativos del Estado | Tema 15

Protección de datos personales: RGPD y LOPDGDD en las oposiciones al Estado

La protección de datos es un tema transversal que aparece en prácticamente todos los temarios de oposiciones a la Administración General del Estado. Su peso en examen se concentra en los siete principios del tratamiento, los derechos de los interesados y la distinción entre responsable, encargado y Delegado de Protección de Datos. Dominar la terminología del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) resulta imprescindible.

El fundamento constitucional se encuentra en el artículo 18.4 de la Constitución Española, que encomienda al legislador limitar el uso de la informática para garantizar el honor, la intimidad y el pleno ejercicio de los derechos de los ciudadanos.

Principios del tratamiento de datos personales

El artículo 5 del RGPD enumera los principios que rigen todo tratamiento de datos. Son siete y conviene memorizarlos con precisión, porque los exámenes preguntan tanto su contenido como su denominación exacta.

Licitud, lealtad y transparencia: el tratamiento requiere una base jurídica válida, debe ser justo para el interesado y este debe recibir información clara sobre qué datos se recogen y para qué.

Limitación de la finalidad: los datos se recogen con fines determinados, explícitos y legítimos. Un uso posterior incompatible con esos fines queda prohibido salvo que concurra otra base legitimadora.

Minimización de datos: solo se tratan los datos adecuados, pertinentes y estrictamente necesarios para el fin perseguido.

Exactitud: los datos inexactos deben suprimirse o rectificarse sin dilación.

Limitación del plazo de conservación: los datos se mantienen identificables solo durante el tiempo necesario para la finalidad. En la Administración, los plazos se concretan según las normas de archivo y documentación.

Integridad y confidencialidad: el responsable debe aplicar medidas técnicas y organizativas que protejan los datos frente a tratamientos no autorizados, pérdida o destrucción accidental.

Responsabilidad proactiva (accountability): no basta con cumplir la normativa; el responsable tiene que poder demostrar que la cumple. Esta obligación se materializa en registros de actividades, evaluaciones de impacto y políticas internas documentadas.

Derechos de los interesados: el acrónimo ARSULIPO

La normativa reconoce a los titulares de los datos un conjunto de derechos que en la práctica se identifican con la regla mnemotécnica ARSULIPO:

• Acceso: obtener confirmación de si sus datos están siendo tratados y, en su caso, acceder a ellos y conocer las circunstancias del tratamiento.
• Rectificación: corregir datos inexactos o completar los incompletos.
• Supresión (derecho al olvido): solicitar la eliminación cuando los datos ya no sean necesarios, se retire el consentimiento o el tratamiento sea ilícito.
• Limitación del tratamiento: suspender temporalmente el uso de los datos cuando se impugne su exactitud o el tratamiento sea ilícito pero el interesado se oponga a la supresión.
• Portabilidad: recibir los datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Oposición: negarse al tratamiento por motivos relacionados con su situación particular, incluido el marketing directo.

A estos se añade el derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos significativos.

Plazos de respuesta y limitaciones en el sector público

El responsable debe atender las solicitudes en el plazo máximo de un mes, ampliable otros dos meses en casos de especial complejidad. El ejercicio de estos derechos es gratuito. El derecho de supresión tiene un alcance más restringido en la Administración Pública, porque el tratamiento suele basarse en el cumplimiento de una obligación legal o una misión de interés público, lo que limita la posibilidad de borrar datos. Lo mismo ocurre con el derecho de portabilidad, cuya aplicación en el sector público es reducida.

Responsable del tratamiento

El responsable del tratamiento es la persona física o jurídica, autoridad pública, servicio u organismo que determina los fines y medios del tratamiento. En la Administración General del Estado, cada órgano actúa como responsable respecto de los tratamientos que gestiona.

Sus obligaciones principales incluyen:

• Aplicar medidas técnicas y organizativas apropiadas.
• Llevar un registro de actividades de tratamiento.
• Realizar evaluaciones de impacto cuando el tratamiento entrañe alto riesgo.
• Notificar las violaciones de seguridad a la autoridad de control en un plazo máximo de 72 horas.

Encargado del tratamiento

El encargado del tratamiento es quien trata datos por cuenta del responsable, siguiendo sus instrucciones documentadas. Un ejemplo típico es la empresa externa que gestiona el sistema de nóminas o las cámaras de videovigilancia de un organismo público.

La relación entre ambos debe formalizarse mediante un contrato o acto jurídico que regule el objeto, la duración, la naturaleza del tratamiento, las categorías de datos y las obligaciones de cada parte. El encargado no puede subcontratar a otro encargado sin autorización previa del responsable, y al finalizar la prestación debe suprimir o devolver todos los datos.

Delegado de Protección de Datos (DPD)

El Delegado de Protección de Datos es una figura obligatoria en todas las autoridades y organismos públicos, con la única excepción de los tribunales en ejercicio de su función judicial.

Funciones del DPD

• Informar y asesorar al responsable, al encargado y a los empleados sobre sus obligaciones.
• Supervisar el cumplimiento de la normativa de protección de datos.
• Asesorar sobre las evaluaciones de impacto.
• Cooperar con la autoridad de control y actuar como punto de contacto con ella y con los interesados.

Posición e independencia

El DPD debe gozar de la máxima independencia funcional. No puede ser destituido ni sancionado por el desempeño de sus funciones y rinde cuentas directamente al más alto nivel jerárquico del responsable o encargado. Se designa atendiendo a sus cualidades profesionales y conocimientos especializados en derecho y práctica de protección de datos.

Agencia Española de Protección de Datos (AEPD)

La AEPD es el organismo público independiente encargado de velar por el cumplimiento de la normativa de protección de datos en España. Ejerce funciones de supervisión, sanción, consulta y elaboración de instrucciones y recomendaciones.

Además de la AEPD, existen autoridades autonómicas con competencias sobre ficheros de titularidad pública autonómica o local en determinadas comunidades. El Comité Europeo de Protección de Datos coordina la aplicación uniforme del RGPD en toda la Unión Europea.

Los ciudadanos pueden presentar reclamaciones ante la AEPD de forma gratuita y por medios electrónicos cuando consideren vulnerados sus derechos.

Derechos digitales en la LOPDGDD

El Título X de la LOPDGDD incorpora un catálogo de derechos digitales adaptados a la sociedad tecnológica. Los más relevantes para oposiciones son:

• Neutralidad de Internet: trato no discriminatorio en el acceso y uso de la red.
• Acceso universal a Internet: reconocido como servicio de interés económico general.
• Seguridad digital: protección de las comunicaciones y dispositivos del usuario.
• Desconexión digital en el ámbito laboral: derecho de los empleados públicos y trabajadores a no estar conectados fuera de su horario.
• Derecho al olvido en buscadores y redes sociales: solicitar la supresión de datos personales publicados por terceros.
• Educación digital: formación en competencias digitales y uso crítico de la tecnología.
• Protección de menores en el entorno digital: garantías específicas frente al tratamiento de datos de menores y protección frente al ciberacoso.

¿En qué plazo debe el responsable del tratamiento notificar una violación de seguridad a la autoridad de control?

En un máximo de 72 horas desde que tenga constancia de la brecha. Además, cuando la violación entrañe un alto riesgo para los derechos y libertades de los afectados, también debe comunicarse a los propios interesados. Este plazo de 72 horas es uno de los datos numéricos más preguntados en examen.

¿Qué diferencia al responsable del encargado del tratamiento?

El responsable determina los fines y medios del tratamiento (decide para qué y cómo se tratan los datos). El encargado solo trata datos por cuenta del responsable, siguiendo sus instrucciones documentadas. La relación debe formalizarse mediante contrato, y el encargado no puede subcontratar sin autorización previa.

¿Puede un ciudadano ejercer el derecho de supresión frente a una Administración Pública sin restricciones?

No. El derecho de supresión tiene limitaciones relevantes en el sector público. Cuando el tratamiento sea necesario para cumplir una obligación legal o para el ejercicio de una misión realizada en interés público, la Administración puede denegar la supresión. Por eso este derecho tiene un alcance más restringido que en el sector privado, dato que los exámenes explotan con frecuencia.

¿Es obligatorio designar un Delegado de Protección de Datos en todos los organismos públicos?

Sí, con una única excepción: los tribunales que actúen en ejercicio de su función judicial. Fuera de ese supuesto, todas las autoridades y organismos públicos deben contar con un DPD, que goza de independencia funcional y no puede ser destituido ni sancionado por el cumplimiento de sus tareas.