Auxiliares Administrativos | Tema 12

Protección de datos personales: RGPD y LOPDGDD en las Administraciones Públicas

La protección de datos es uno de los temas más transversales en oposiciones de auxiliar administrativo. Aparece tanto en convocatorias de la AGE como de corporaciones locales, y suele generar entre 2 y 4 preguntas de examen centradas en principios, derechos de los interesados y figuras del tratamiento. Su regulación básica se encuentra en el Reglamento (UE) 2016/679 (RGPD) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

El artículo 18.4 de la Constitución Española reconoce este derecho fundamental al establecer que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos.

Principios del tratamiento de datos personales

El artículo 5 del RGPD fija siete principios que todo tratamiento debe cumplir. Memorizarlos es imprescindible para el examen:

Licitud, lealtad y transparencia: el tratamiento requiere una base jurídica válida (consentimiento, interés público, obligación legal, etc.) y debe ser claro para el interesado. En la Administración local, la base más habitual es el cumplimiento de una misión de interés público.

Limitación de la finalidad: los datos se recogen para fines determinados, explícitos y legítimos. No pueden reutilizarse para propósitos incompatibles con los originales.

Minimización de datos: solo se recaban los datos adecuados, pertinentes y estrictamente necesarios. Un registro de entrada de visitantes, por ejemplo, no necesita recoger el estado civil.

Exactitud: los datos deben ser correctos y actualizarse cuando sea preciso. Los inexactos se suprimirán o rectificarán sin dilación.

Limitación del plazo de conservación: los datos se mantienen mientras sean necesarios para la finalidad. Después, deben eliminarse o anonimizarse.

Integridad y confidencialidad: se aplican medidas técnicas y organizativas que protejan los datos frente a accesos no autorizados, pérdida o destrucción.

Responsabilidad proactiva (accountability): el responsable no solo cumple la normativa, sino que debe poder demostrarlo documentalmente.

Derechos de los interesados: el acrónimo ARSULIPO

La normativa reconoce un conjunto de derechos que los ciudadanos pueden ejercer ante el responsable del tratamiento. Se conocen con el acrónimo ARSULIPO:

• Acceso: conocer si se tratan datos propios, con qué finalidad y durante cuánto tiempo.
• Rectificación: corregir datos inexactos o completar los incompletos.
• Supresión (derecho al olvido): solicitar la eliminación de datos cuando ya no son necesarios o se retira el consentimiento.
• Limitación: pedir la suspensión temporal del tratamiento en supuestos concretos (p. ej., mientras se verifica la exactitud de los datos).

Además de estos cuatro, el RGPD añade:

• Portabilidad: recibir los datos en formato estructurado y de lectura mecánica para trasladarlos a otro responsable. Su aplicación en el sector público es muy limitada.
• Oposición: negarse al tratamiento por motivos vinculados a la situación particular del interesado.
• No ser objeto de decisiones automatizadas: incluida la elaboración de perfiles sin intervención humana que produzcan efectos jurídicos.

El plazo de respuesta para el ejercicio de estos derechos es de un mes desde la recepción de la solicitud. El ejercicio es gratuito.

Responsable del tratamiento

El responsable del tratamiento es la persona física o jurídica, autoridad pública u organismo que determina los fines y medios del tratamiento. En el ámbito municipal, el Ayuntamiento actúa como responsable respecto a los datos de vecinos, empleados y proveedores.

Sus obligaciones principales incluyen:

• Llevar un registro de actividades de tratamiento.
• Aplicar medidas técnicas y organizativas adecuadas.
• Realizar evaluaciones de impacto cuando el tratamiento entrañe alto riesgo.
• Notificar las brechas de seguridad a la autoridad de control en un máximo de 72 horas.
• Designar un Delegado de Protección de Datos cuando sea obligatorio.

Encargado del tratamiento

El encargado del tratamiento es quien trata datos por cuenta del responsable, siguiendo sus instrucciones. Un caso típico: la empresa externa contratada para gestionar las nóminas municipales o el mantenimiento de cámaras de videovigilancia.

La relación entre responsable y encargado debe formalizarse mediante un contrato o acto jurídico que regule el objeto, duración, finalidad, tipo de datos tratados y obligaciones de seguridad. El encargado no puede subcontratar a otro encargado sin autorización previa del responsable y, al finalizar el servicio, debe suprimir o devolver todos los datos.

Delegado de Protección de Datos (DPD)

El Delegado de Protección de Datos es una figura obligatoria en todas las Administraciones Públicas (salvo tribunales en ejercicio de función judicial). Sus funciones son:

• Informar y asesorar al responsable, al encargado y a los empleados sobre sus obligaciones legales.
• Supervisar el cumplimiento de la normativa de protección de datos.
• Asesorar sobre evaluaciones de impacto.
• Cooperar con la autoridad de control y actuar como punto de contacto con ella y con los interesados.

El DPD debe gozar de independencia funcional: no puede ser destituido ni sancionado por el ejercicio de sus funciones y rinde cuentas directamente al nivel jerárquico más alto de la organización. Se designa atendiendo a sus cualificaciones profesionales y conocimientos especializados en Derecho y práctica de protección de datos.

Agencia Española de Protección de Datos (AEPD)

La AEPD es el organismo público independiente que vela por el cumplimiento de la normativa de protección de datos en España. Ejerce funciones de supervisión, sanción, consulta y regulación (dicta instrucciones y recomendaciones).

Recibe y resuelve reclamaciones de los ciudadanos, investiga posibles infracciones e impone sanciones. En el caso de las Administraciones Públicas, las sanciones económicas se sustituyen por apercibimientos y medidas correctoras, pudiendo derivar en responsabilidad disciplinaria para los empleados públicos implicados.

A nivel autonómico, algunas comunidades disponen de autoridad propia de protección de datos. A nivel europeo, el Comité Europeo de Protección de Datos promueve la aplicación uniforme del RGPD en toda la UE.

Derechos digitales en la LOPDGDD

El Título X de la LOPDGDD incorpora un catálogo de derechos digitales adaptados al entorno tecnológico:

• Neutralidad de Internet: trato no discriminatorio en el acceso y uso de la red.
• Acceso universal a Internet: reconocido como servicio de interés económico general.
• Seguridad digital: protección de las comunicaciones y dispositivos del usuario.
• Desconexión digital en el ámbito laboral: los empleados públicos y trabajadores no están obligados a responder comunicaciones fuera de su horario.

La ley también regula el derecho al olvido en buscadores y redes sociales, la protección de menores en el entorno digital, el derecho a la educación digital y el testamento digital, que permite decidir el destino de los datos personales tras el fallecimiento.

¿Cuál es el plazo máximo para que el responsable notifique una brecha de seguridad a la autoridad de control?

El responsable debe notificar la violación de seguridad a la AEPD (o autoridad de control competente) en un plazo máximo de 72 horas desde que tenga constancia de ella. Si además la brecha entraña alto riesgo para los derechos de los interesados, también debe comunicárselo directamente a los afectados.

¿Puede la AEPD imponer multas económicas a un Ayuntamiento por infracción del RGPD?

No en sentido estricto. A las Administraciones Públicas no se les aplican las multas económicas previstas en el RGPD. En su lugar, la AEPD impone apercibimientos y medidas correctoras. Eso sí, el empleado público responsable de la infracción puede incurrir en responsabilidad disciplinaria.

¿Qué diferencia al responsable del encargado del tratamiento?

El responsable decide los fines y medios del tratamiento (el "para qué" y el "cómo"). El encargado solo ejecuta el tratamiento por cuenta del responsable, siguiendo sus instrucciones documentadas. La relación se formaliza obligatoriamente mediante contrato, y el encargado no puede subcontratar sin autorización previa del responsable.

¿El derecho a la portabilidad de datos tiene la misma aplicación en el sector público que en el privado?

No. El derecho a la portabilidad tiene un alcance muy limitado en las Administraciones Públicas. Solo se aplica cuando el tratamiento se basa en el consentimiento o en la ejecución de un contrato y se efectúa por medios automatizados. Como la base habitual del tratamiento público es el interés público o la obligación legal, la portabilidad raramente resulta ejercitable frente a un Ayuntamiento.