Reglamento (UE) 2016/679 (RGPD): disposiciones generales, principios y derechos del interesado (arts. 1 a 23)
El Reglamento General de Protección de Datos es una norma de aplicación directa en todos los Estados miembros de la UE desde el 25 de mayo de 2018. Derogó la Directiva 95/46/CE y constituye el marco jurídico fundamental sobre tratamiento de datos personales. En las oposiciones al Cuerpo de Gestión de la Seguridad Social aparece con frecuencia en preguntas sobre definiciones, principios y derechos del interesado.
Objeto y ámbito de aplicación
El RGPD tiene un doble objeto: establecer las normas de protección de las personas físicas respecto al tratamiento de sus datos personales y garantizar la libre circulación de esos datos dentro de la Unión. Esta libre circulación no puede restringirse por motivos de protección de datos.
Ámbito material (art. 2)
Se aplica al tratamiento total o parcialmente automatizado de datos personales, y también al tratamiento no automatizado cuando los datos estén contenidos o destinados a incluirse en un fichero. Quedan fuera cuatro supuestos: actividades ajenas al Derecho de la UE, actividades de política exterior y seguridad común (capítulo 2, título V del TUE), actividades exclusivamente personales o domésticas, y tratamientos con fines de prevención e investigación de infracciones penales.
Ámbito territorial (art. 3)
El Reglamento se aplica a responsables o encargados establecidos en la UE, con independencia de dónde se realice el tratamiento. También alcanza a responsables no establecidos en la UE cuando ofrezcan bienes o servicios a interesados en la Unión o monitoricen su comportamiento dentro de ella.
Definiciones clave del artículo 4
El artículo 4 contiene 26 definiciones. Las más preguntadas en examen son:
- Datos personales: toda información sobre una persona física identificada o identificable.
- Tratamiento: cualquier operación sobre datos personales (recogida, registro, conservación, consulta, supresión, etc.).
- Consentimiento del interesado: manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o acción afirmativa clara.
- Seudonimización: tratamiento que impide atribuir datos a un interesado sin información adicional, conservada por separado con medidas técnicas y organizativas.
Otras definiciones relevantes: responsable del tratamiento (determina fines y medios), encargado del tratamiento (trata datos por cuenta del responsable), violación de seguridad (destrucción, pérdida, alteración o acceso no autorizado), y elaboración de perfiles (tratamiento automatizado para evaluar aspectos personales).
Principios relativos al tratamiento (art. 5)
El artículo 5 establece seis principios y un metaprincipio:
- Licitud, lealtad y transparencia: el tratamiento debe ser lícito y transparente para el interesado.
- Limitación de la finalidad: los datos se recogen con fines determinados, explícitos y legítimos, sin tratamiento ulterior incompatible (salvo archivo en interés público, investigación o estadística).
- Minimización de datos: datos adecuados, pertinentes y limitados a lo necesario.
- Exactitud: datos exactos y actualizados; los inexactos deben rectificarse o suprimirse sin dilación.
- Limitación del plazo de conservación: identificación de interesados solo durante el tiempo necesario.
- Integridad y confidencialidad: seguridad adecuada frente a tratamiento no autorizado, pérdida o daño accidental.
El apartado 2 consagra la responsabilidad proactiva (accountability): el responsable debe cumplir estos principios y ser capaz de demostrarlo.
Bases de licitud del tratamiento (art. 6)
El tratamiento solo es lícito si concurre al menos una de estas seis bases: consentimiento del interesado, ejecución de un contrato, cumplimiento de una obligación legal, protección de intereses vitales, cumplimiento de una misión de interés público o ejercicio de poderes públicos, e interés legítimo del responsable o un tercero. Esta última base no se aplica al tratamiento realizado por autoridades públicas en el ejercicio de sus funciones.
Consentimiento (arts. 7 y 8)
El responsable debe poder demostrar que el interesado consintió. Si el consentimiento se incluye en una declaración escrita con otros asuntos, debe distinguirse claramente. El interesado puede retirar el consentimiento en cualquier momento, y debe ser tan fácil retirarlo como darlo. La retirada no afecta a la licitud del tratamiento previo.
Para menores en relación con servicios de la sociedad de la información, la edad mínima es 16 años (los Estados miembros pueden rebajarla hasta un mínimo de 13 años). Si el niño es menor de esa edad, el consentimiento lo presta el titular de la patria potestad o tutela.
Categorías especiales de datos (art. 9) y datos penales (art. 10)
El artículo 9 prohíbe como regla general el tratamiento de datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos dirigidos a identificación unívoca, datos de salud, y datos sobre vida u orientación sexual.
La prohibición se levanta en diez supuestos tasados, entre ellos el consentimiento explícito, obligaciones en el ámbito laboral y de seguridad social, protección de intereses vitales, o razones de interés público en salud pública.
Los datos relativos a condenas e infracciones penales (art. 10) solo pueden tratarse bajo supervisión de autoridades públicas o cuando lo autorice el Derecho de la UE o de los Estados miembros. El registro completo de condenas penales queda exclusivamente bajo control de las autoridades públicas.
Derechos del interesado (arts. 12 a 22)
Transparencia y plazos (art. 12)
La información debe facilitarse de forma concisa, transparente, inteligible y con lenguaje claro. El responsable dispone de un mes desde la recepción de la solicitud para responder, prorrogable otros dos meses en caso de complejidad. Las actuaciones son gratuitas, salvo solicitudes manifiestamente infundadas o excesivas, en cuyo caso puede cobrarse un canon razonable o negarse a actuar.
Derecho de acceso (art. 15)
El interesado puede obtener confirmación de si se tratan sus datos y, en su caso, acceder a ellos junto con información sobre fines, categorías, destinatarios, plazos de conservación y existencia de decisiones automatizadas. La primera copia es gratuita; las sucesivas pueden conllevar un canon razonable.
Rectificación, supresión y limitación (arts. 16, 17 y 18)
El derecho de rectificación permite corregir datos inexactos y completar los incompletos. El derecho de supresión (derecho al olvido) obliga a eliminar datos cuando ya no son necesarios, se retira el consentimiento, se opone el interesado o se han tratado ilícitamente, entre otros supuestos. No se aplica cuando el tratamiento sea necesario para la libertad de expresión, una obligación legal, salud pública, fines de archivo o la defensa de reclamaciones.
El derecho a la limitación del tratamiento procede, entre otros casos, cuando el interesado impugna la exactitud de los datos o el tratamiento es ilícito pero prefiere la limitación a la supresión.
Portabilidad, oposición y decisiones automatizadas (arts. 20, 21 y 22)
El derecho a la portabilidad permite recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable, cuando el tratamiento se base en consentimiento o contrato y se efectúe por medios automatizados.
El derecho de oposición permite oponerse al tratamiento basado en interés público o interés legítimo. Si se trata de mercadotecnia directa, la oposición es absoluta y los datos dejan de tratarse para ese fin.
El artículo 22 reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente, salvo que sea necesario para un contrato, esté autorizado por ley o medie consentimiento explícito.
Limitaciones a los derechos (art. 23)
El Derecho de la UE o de los Estados miembros puede limitar mediante medidas legislativas el alcance de los derechos (arts. 12 a 22) y del artículo 5 cuando sea necesario y proporcionado para salvaguardar la seguridad del Estado, la defensa, la seguridad pública, la prevención de infracciones penales, intereses económicos o financieros importantes, la independencia judicial o la protección de derechos de otros, entre otras causas.
Así te lo pueden preguntar
¿Qué edad mínima fija el RGPD para el consentimiento del menor en servicios de la sociedad de la información, y hasta dónde pueden rebajarla los Estados miembros?
El RGPD establece 16 años como edad mínima (art. 8.1). Los Estados miembros pueden reducirla por ley, pero nunca por debajo de 13 años. Si el menor no alcanza la edad fijada, el consentimiento debe prestarlo o autorizarlo el titular de la patria potestad o tutela.
¿La base de licitud del interés legítimo (art. 6.1.f) se aplica al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones?
No. El propio artículo 6.1 excluye expresamente la aplicación de la letra f) al tratamiento que realicen las autoridades públicas en el ejercicio de sus funciones. Estas deben amparar su tratamiento en otras bases, como el cumplimiento de una obligación legal o una misión de interés público.
¿Cuál es el plazo que tiene el responsable para atender una solicitud de ejercicio de derechos y cuándo puede cobrar por ello?
El responsable debe responder en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses por complejidad o volumen. Las actuaciones son gratuitas. Solo puede cobrar un canon razonable o negarse a actuar cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo. La carga de probar ese carácter recae sobre el responsable.
¿En qué se diferencia el derecho de supresión del derecho a la limitación del tratamiento?
El derecho de supresión (art. 17) implica la eliminación efectiva de los datos personales. El derecho a la limitación (art. 18) no suprime los datos, sino que los marca para que solo puedan tratarse con consentimiento del interesado, para reclamaciones, protección de derechos de terceros o interés público importante. La limitación es útil, por ejemplo, cuando el interesado impugna la exactitud de los datos y el responsable necesita tiempo para verificarlos.
Explora temas relacionados
Empieza ya con Algor
Transforma tus materiales en recorridos de aprendizaje estructurados, visuales y personalizados.
.svg)
