CNP Escala Básica | Tema 26

Protección de datos personales: RGPD y LO 3/2018 para opositores de la Escala Básica

La protección de datos de carácter personal es un tema transversal en las oposiciones a la Escala Básica del CNP. Aparece vinculado al artículo 18 de la Constitución y genera preguntas tipo test sobre principios del tratamiento, bases de licitud, edad de consentimiento de menores y diferencias entre el RGPD y la ley orgánica española. Dominar las definiciones del artículo 4 del RGPD y los principios del artículo 5 resulta decisivo.

Marco normativo y evolución legislativa

El derecho a la protección de datos se reconoce en el artículo 18.4 CE, que ordena al legislador limitar el uso de la informática para garantizar el honor, la intimidad y el pleno ejercicio de los derechos. El Tribunal Constitucional, en su STC 292/2000, lo configuró como un derecho autónomo e independiente que otorga a la persona el control sobre sus datos, su uso y su destino.

La normativa ha pasado por tres fases: la LO 5/1992 (LORTAD), la LO 15/1999 (LOPD) y la normativa vigente compuesta por el Reglamento (UE) 2016/679 (RGPD), de aplicación directa desde el 25 de mayo de 2018, y la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el ordenamiento español al RGPD y deroga la LO 15/1999.

Disposiciones generales del RGPD

El RGPD establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos. Se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos contenidos o destinados a un fichero.

No se aplica al ejercicio de actividades exclusivamente personales o domésticas, a actividades comprendidas en la política exterior y de seguridad común de la UE, ni al tratamiento por autoridades competentes con fines de prevención, investigación o enjuiciamiento de infracciones penales.

Definiciones clave (artículo 4 RGPD)

El RGPD define datos personales como toda información sobre una persona física identificada o identificable. El tratamiento abarca cualquier operación realizada sobre datos: recogida, registro, organización, conservación, consulta, comunicación, supresión o destrucción. El responsable del tratamiento es quien determina los fines y medios; el encargado trata datos por cuenta del responsable. El consentimiento es toda manifestación de voluntad libre, específica, informada e inequívoca.

Disposiciones generales de la LO 3/2018

La LO 3/2018 tiene por objeto adaptar el ordenamiento español al RGPD y garantizar los derechos digitales de la ciudadanía conforme al artículo 18.4 CE. Se estructura en un Preámbulo, 10 Títulos con 97 artículos, 23 disposiciones adicionales, 6 transitorias, 1 derogatoria y 16 finales.

Naturaleza mixta

No toda la LO 3/2018 tiene carácter de ley orgánica. Son ley ordinaria el Título IV (tratamientos concretos), el Título VII (autoridades de protección, salvo arts. 52 y 53), el Título VIII (procedimientos), el Título IX (régimen sancionador) y determinados artículos del Título X sobre derechos digitales. Las comunidades autónomas ostentan competencias de desarrollo normativo en su ámbito.

Ámbito de aplicación

Se aplica a cualquier tratamiento total o parcialmente automatizado y al no automatizado contenido en un fichero. No se aplica a tratamientos excluidos del RGPD, a datos de personas fallecidas ni a tratamientos sometidos a normativa de materias clasificadas. Los tratamientos del régimen electoral, instituciones penitenciarias o Registro Civil se rigen supletoriamente por el RGPD y la LO 3/2018.

Datos de personas fallecidas

Las personas vinculadas al fallecido por razones familiares o de hecho pueden solicitar el acceso, la rectificación o la supresión de sus datos, salvo que el fallecido lo hubiese prohibido expresamente. En caso de fallecimiento de menores, también puede actuar el Ministerio Fiscal.

Principios de la protección de datos

El artículo 5 del RGPD establece siete principios fundamentales:

• Licitud, lealtad y transparencia: tratamiento lícito, leal y transparente en relación con el interesado.
• Limitación de la finalidad: datos recogidos con fines determinados, explícitos y legítimos.
• Minimización de datos: datos adecuados, pertinentes y limitados a lo necesario.
• Exactitud: datos exactos y actualizados. La LO 3/2018 exime de responsabilidad al responsable cuando los datos inexactos fueron obtenidos directamente del afectado, de un mediador o de un registro público.

Junto a estos, el principio de limitación del plazo de conservación impide mantener datos más tiempo del necesario; el de integridad y confidencialidad exige garantizar la seguridad contra tratamiento no autorizado; y el de responsabilidad proactiva obliga al responsable a demostrar el cumplimiento del Reglamento.

Licitud del tratamiento y consentimiento

El tratamiento solo es lícito si se cumple al menos una de las condiciones del artículo 6 RGPD: consentimiento del interesado, ejecución de un contrato, cumplimiento de una obligación legal, protección de intereses vitales, cumplimiento de una misión de interés público o satisfacción de intereses legítimos del responsable.

Consentimiento

El consentimiento debe ser libre, específico, informado e inequívoco, manifestado mediante una declaración o una clara acción afirmativa. El silencio, las casillas ya marcadas o la inacción no constituyen consentimiento. El responsable debe ser capaz de demostrar que el interesado lo otorgó. Debe ser explícito para datos sensibles (art. 9.2.a), decisiones automatizadas (art. 22.2.c) y transferencias internacionales (art. 49.1.a).

Consentimiento de menores

El RGPD fija la edad mínima en 16 años para consentir el tratamiento de datos en servicios de la sociedad de la información, permitiendo a los Estados rebajarla hasta 13 años. La LO 3/2018, en su artículo 7, fija la edad en 14 años para España: por debajo de esa edad, el consentimiento corresponde al titular de la patria potestad o tutela.

¿Cuál es la edad mínima para que un menor pueda consentir el tratamiento de sus datos personales en España y cuál es el mínimo que permite el RGPD?

En España, la LO 3/2018 fija la edad en 14 años (art. 7). El RGPD establece como regla general los 16 años, pero permite a los Estados miembros rebajarla hasta un mínimo de 13 años. España optó por los 14. Por debajo de esa edad, el consentimiento debe prestarlo el titular de la patria potestad o tutela.

¿Qué diferencia hay entre el responsable y el encargado del tratamiento según el RGPD?

El responsable es quien determina los fines y medios del tratamiento (el "para qué" y el "cómo"). El encargado trata datos personales por cuenta del responsable, siguiendo sus instrucciones. Un ejemplo típico: una Administración Pública (responsable) contrata a una empresa de informática (encargado) para gestionar su base de datos de pacientes.

¿En qué tres supuestos el RGPD exige que el consentimiento sea explícito, no solo inequívoco?

El consentimiento debe ser explícito (no basta con una acción afirmativa genérica) en tres casos: tratamiento de categorías especiales de datos sensibles (art. 9.2.a), adopción de decisiones automatizadas con efectos jurídicos (art. 22.2.c) y transferencias internacionales de datos basadas en el consentimiento (art. 49.1.a). La diferencia entre inequívoco y explícito es un matiz recurrente en examen.

¿Qué ocurre con los datos de una persona fallecida según la LO 3/2018?

Las personas vinculadas al fallecido por razones familiares o de hecho pueden dirigirse al responsable para solicitar el acceso, la rectificación o la supresión de sus datos. Sin embargo, si la persona fallecida lo hubiese prohibido expresamente, nadie podrá acceder ni solicitar la rectificación o supresión, salvo que una ley lo establezca. En caso de menores fallecidos, el Ministerio Fiscal también puede actuar de oficio.