Celador | Tema 5

La Ley Orgánica 3/2018 de Protección de Datos: disposiciones generales, principios y derechos

La LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) es una norma fundamental en las oposiciones de celador. Los profesionales sanitarios manejan datos de pacientes a diario, por lo que conocer el marco legal de protección de datos resulta imprescindible tanto para el examen como para la práctica profesional.

Esta ley adapta el ordenamiento español al Reglamento (UE) 2016/679 (RGPD) y completa sus disposiciones, además de garantizar los derechos digitales de la ciudadanía.

Objeto y ámbito de aplicación

La LOPDGDD persigue dos objetivos concretos (art. 1):

• Adaptar el Derecho español al RGPD, completando sus disposiciones en materia de protección de personas físicas respecto al tratamiento de sus datos personales.
• Garantizar los derechos digitales conforme al mandato del artículo 18.4 de la Constitución.

El derecho fundamental a la protección de datos personales se ampara en el artículo 18.4 CE y se ejerce con arreglo al RGPD y a esta ley orgánica.

¿A qué tratamientos se aplica?

La ley se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, y también al tratamiento no automatizado de datos contenidos o destinados a ser incluidos en un fichero (art. 2.1).

Exclusiones

La ley no se aplica a tres supuestos (art. 2.2):

• Tratamientos excluidos por el propio RGPD (art. 2.2 del Reglamento).
• Tratamientos de datos de personas fallecidas (con la excepción del art. 3).
• Tratamientos sometidos a normativa sobre materias clasificadas.

Datos de personas fallecidas

El artículo 3 regula el acceso a datos de fallecidos. Las personas vinculadas por razones familiares o de hecho y los herederos pueden solicitar el acceso, rectificación o supresión de los datos del causante. Sin embargo, no podrán hacerlo si la persona fallecida lo prohibió expresamente o si una ley lo impide. Esta prohibición nunca afecta al derecho de los herederos a acceder a los datos de carácter patrimonial.

En caso de fallecimiento de menores, los representantes legales o el Ministerio Fiscal (de oficio o a instancia de parte) pueden ejercer estas facultades.

Principios de protección de datos

El Título II de la LOPDGDD desarrolla los principios que rigen todo tratamiento de datos personales.

Exactitud de los datos

Los datos deben ser exactos y actualizados (art. 4). La ley exonera al responsable del tratamiento cuando la inexactitud no le sea imputable, siempre que haya adoptado medidas razonables para suprimir o rectificar los datos sin dilación. Esto ocurre cuando los datos inexactos fueron obtenidos directamente del afectado, a través de un mediador o intermediario, en virtud del derecho a la portabilidad, o de un registro público.

Deber de confidencialidad

El artículo 5 establece que los responsables, encargados y todas las personas que intervengan en cualquier fase del tratamiento están sujetos al deber de confidencialidad. Este deber es complementario al secreto profesional y se mantiene incluso tras finalizar la relación con el responsable o encargado del tratamiento. Este punto tiene especial relevancia para celadores y demás personal sanitario.

Consentimiento del afectado

El consentimiento debe ser una manifestación de voluntad libre, específica, informada e inequívoca, expresada mediante declaración o acción afirmativa clara (art. 6). Si el tratamiento persigue una pluralidad de finalidades, el consentimiento debe constar de manera específica para todas ellas. La ley prohíbe supeditar la ejecución de un contrato al consentimiento para finalidades ajenas a la relación contractual.

Consentimiento de menores de edad

La edad mínima para consentir el tratamiento de datos personales es 14 años (art. 7). Para menores de 14 años, el consentimiento solo es lícito si lo presta el titular de la patria potestad o tutela.

Tratamiento por obligación legal o interés público

El artículo 8 exige que el tratamiento basado en obligación legal esté previsto en una norma de Derecho de la UE o en una norma con rango de ley. Lo mismo ocurre con el tratamiento fundado en interés público o ejercicio de poderes públicos: debe derivar de una competencia atribuida por norma con rango de ley.

Categorías especiales de datos

Para evitar situaciones discriminatorias, el solo consentimiento no basta para levantar la prohibición de tratar datos que identifiquen ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9). Los tratamientos de datos especiales fundados en Derecho español (letras g, h e i del art. 9.2 RGPD) requieren una norma con rango de ley que puede establecer requisitos adicionales de seguridad y confidencialidad. Esto incluye el tratamiento de datos de salud en la gestión sanitaria.

Datos de naturaleza penal

Los datos relativos a condenas e infracciones penales solo pueden tratarse, para fines distintos de la prevención o persecución penal, cuando lo ampare una norma de Derecho de la UE, esta ley orgánica u otra norma de rango legal (art. 10).

Derechos de las personas

El Título III regula los derechos de los afectados, organizados en dos capítulos: transparencia e información, y ejercicio de los derechos.

Transparencia e información al afectado

El responsable del tratamiento debe facilitar al afectado una información básica que incluya al menos la identidad del responsable, la finalidad del tratamiento y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD (art. 11). Cuando los datos se traten para elaborar perfiles, también debe informarse de esta circunstancia. Si los datos no proceden del propio afectado, la información básica incluirá además las categorías de datos y las fuentes de procedencia.

Disposiciones generales sobre el ejercicio de derechos

Los derechos reconocidos en los artículos 15 a 22 del RGPD se ejercen directamente o mediante representante legal o voluntario (art. 12). Los medios para ejercerlos deben ser fácilmente accesibles y no puede denegarse el ejercicio por el solo hecho de elegir un medio distinto al ofrecido. La prueba de haber respondido a la solicitud recae sobre el responsable. Las actuaciones son gratuitas como regla general. Los titulares de la patria potestad ejercen estos derechos en nombre de los menores de 14 años.

Derecho de acceso

El afectado puede conocer si se están tratando sus datos y obtener copia de ellos (art. 13). El acceso se entiende otorgado si el responsable facilita un sistema de acceso remoto, directo y seguro. Se puede considerar repetitivo el ejercicio de este derecho más de una vez en un plazo de seis meses, salvo causa legítima.

Derecho de rectificación

El afectado indica qué datos son inexactos y qué corrección procede, acompañando la documentación justificativa cuando sea necesario (art. 14).

Derecho de supresión

Se ejerce conforme al artículo 17 del RGPD (art. 15). Cuando la supresión derive del derecho de oposición frente a mercadotecnia directa, el responsable puede conservar los datos identificativos necesarios para impedir tratamientos futuros con esa finalidad.

Derecho a la limitación, portabilidad y oposición

El derecho a la limitación del tratamiento debe constar claramente en los sistemas de información del responsable (art. 16). El derecho a la portabilidad (art. 17) y el derecho de oposición (art. 18), incluidos los derechos frente a decisiones automatizadas y elaboración de perfiles, se ejercen conforme al RGPD.

¿A partir de qué edad puede un menor consentir por sí mismo el tratamiento de sus datos personales según la LOPDGDD?

A partir de los 14 años (art. 7). Por debajo de esa edad, el consentimiento solo es válido si lo presta el titular de la patria potestad o tutela, con el alcance que estos determinen.

¿El deber de confidencialidad se extingue cuando un trabajador deja de prestar servicios para el responsable del tratamiento?

No. El artículo 5.3 establece expresamente que las obligaciones de confidencialidad se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado del tratamiento.

¿Basta el consentimiento del afectado para tratar datos que revelen su ideología, afiliación sindical u origen étnico?

No. El artículo 9.1 de la LOPDGDD establece que, para evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar esas categorías especiales. Se necesita amparo en alguno de los restantes supuestos del artículo 9.2 del RGPD.

¿Cada cuánto tiempo puede ejercerse el derecho de acceso sin que se considere repetitivo?

Se puede considerar repetitivo si se ejerce más de una vez en un plazo de seis meses, salvo que exista causa legítima que justifique un ejercicio más frecuente (art. 13.3 LOPDGDD).