Guardia Civil | Tema 11

Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales

La LO 3/2018 (LOPDGDD) es una norma recurrente en las oposiciones a Guardia Civil. Adapta al ordenamiento español el Reglamento (UE) 2016/679 (RGPD) y garantiza los derechos digitales conforme al artículo 18.4 de la Constitución. Dominar sus principios, derechos, plazos y la estructura de la AEPD resulta decisivo para el examen.

Objeto y ámbito de aplicación

La ley tiene un objeto doble: adaptar el RGPD al derecho español y garantizar los derechos digitales de la ciudadanía.

Se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales y al tratamiento no automatizado de datos contenidos o destinados a un fichero.

Quedan excluidos los tratamientos fuera del ámbito del RGPD, los datos de personas fallecidas (con excepciones) y los sometidos a normativa de materias clasificadas.

Datos de personas fallecidas

Los familiares, personas vinculadas de hecho y herederos pueden solicitar acceso, rectificación o supresión de los datos del fallecido, salvo prohibición expresa de este. Esa prohibición nunca afecta al derecho de los herederos a acceder a datos de carácter patrimonial. En caso de fallecimiento de menores, actúan sus representantes legales o el Ministerio Fiscal de oficio.

Principios de protección de datos

La ley recoge siete principios nucleares:

• Exactitud: datos exactos y actualizados. La responsabilidad recae en el responsable del tratamiento.
• Deber de confidencialidad: se extiende a toda persona que intervenga en el tratamiento y subsiste tras finalizar la relación con el responsable.
• Consentimiento del afectado: manifestación de voluntad libre, específica, informada e inequívoca. Para varias finalidades, debe constar consentimiento separado para cada una.
• Consentimiento de menores: los mayores de 14 años pueden consentir por sí mismos. Por debajo de esa edad, se requiere el consentimiento del titular de la patria potestad o tutela.

El tratamiento por obligación legal o interés público exige una norma de Derecho de la UE o una norma con rango de ley. En cuanto a categorías especiales de datos (ideología, afiliación sindical, religión, orientación sexual, creencias, origen racial o étnico), el solo consentimiento no basta para levantar la prohibición de tratamiento.

Derechos de las personas: ARSUPOL

Los derechos básicos se agrupan en las siglas ARSUPOL: Acceso, Rectificación, Supresión, Portabilidad, Oposición y Limitación. Se ejercen directamente o mediante representante legal o voluntario. Las actuaciones del responsable para atender estos derechos son gratuitas, salvo solicitudes repetitivas o medio desproporcionado.

Derecho de acceso

Si el responsable trata gran cantidad de datos, puede pedir al afectado que concrete su solicitud. El ejercicio del derecho de acceso se considera repetitivo si se ejerce más de una vez en 6 meses, salvo causa legítima.

Derecho de rectificación y supresión

Para la rectificación, el afectado debe indicar los datos afectados y aportar documentación justificativa cuando sea preciso. Tras la supresión derivada de oposición, el responsable puede conservar los datos identificativos necesarios para impedir tratamientos futuros de mercadotecnia directa.

Tratamientos concretos: videovigilancia

Las personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes mediante cámaras para preservar la seguridad de personas, bienes e instalaciones. Solo se captará vía pública en lo imprescindible para esa finalidad.

Los datos de videovigilancia deben suprimirse en el plazo máximo de 1 mes desde su captación. Si acreditan actos contra la integridad de personas o bienes, se pondrán a disposición de la autoridad competente en un máximo de 72 horas. El deber de información se cumple con un dispositivo informativo visible que indique la existencia del tratamiento y la identidad del responsable.

Responsable, encargado y delegado de protección de datos

El responsable del tratamiento debe bloquear los datos cuando proceda a su rectificación o supresión. El bloqueo impide cualquier tratamiento salvo la puesta a disposición de jueces, tribunales, Ministerio Fiscal o Administraciones competentes, y solo durante el plazo de prescripción de las posibles responsabilidades.

El encargado del tratamiento accede a datos para prestar un servicio al responsable. Quien actúe en nombre propio y establezca relaciones con los afectados será considerado responsable, no encargado.

Delegado de protección de datos (DPD)

La ley establece un listado de entidades obligadas a designar DPD: colegios profesionales, centros docentes, universidades, empresas de seguridad privada, centros sanitarios, operadores de juego electrónico y federaciones deportivas que traten datos de menores, entre otros.

Las designaciones, nombramientos y ceses deben comunicarse a la AEPD en el plazo de 10 días. El DPD no puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave, y se garantiza su independencia dentro de la organización.

Cuando el afectado reclama directamente al DPD, este dispone de 2 meses para comunicar la decisión. Si la reclamación llega a través de la AEPD, el plazo del DPD se reduce a 1 mes.

La Agencia Española de Protección de Datos

La AEPD es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia. Se relaciona con el Gobierno a través del Ministerio de Justicia y representa a España en el Comité Europeo de Protección de Datos.

Presidencia y Adjunto

Nombrados por el Consejo de Ministros a propuesta del Ministerio de Justicia, previa ratificación de la Comisión de Justicia del Congreso por mayoría de 3/5 (primera votación) o mayoría absoluta (segunda votación, con votos de al menos dos grupos parlamentarios). Su mandato dura 5 años, renovable por otro período igual.

Sus actos ponen fin a la vía administrativa y se recurren ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Potestades de investigación

Los funcionarios investigadores tienen la consideración de agentes de la autoridad y están obligados a guardar secreto incluso tras cesar en sus funciones. El acceso al domicilio constitucionalmente protegido requiere consentimiento del titular o autorización judicial.

Procedimientos por vulneración de la normativa

La ley distingue tres tipos de procedimiento con plazos diferenciados:

• Falta de atención al ejercicio de derechos: se inicia por acuerdo de admisión a trámite. Plazo de resolución: 6 meses. El silencio es estimatorio.
• Determinación de infracción: se inicia por acuerdo de inicio. Plazo máximo: 12 meses. Transcurrido el plazo, se produce caducidad y archivo.
• Apercibimiento y medidas correctivas: plazo máximo de 6 meses, con caducidad si se supera.

Las actuaciones previas de investigación no pueden superar los 18 meses desde la admisión a trámite o desde el acuerdo de inicio cuando la AEPD actúe de oficio.

La decisión sobre admisión o inadmisión a trámite debe notificarse al reclamante en 3 meses. Si no se notifica, se entiende que la tramitación prosigue.

¿A partir de qué edad puede un menor consentir por sí mismo el tratamiento de sus datos personales según la LOPDGDD?

A partir de los 14 años. Por debajo de esa edad, el consentimiento solo será lícito si lo presta el titular de la patria potestad o tutela.

¿Qué plazo máximo tiene el procedimiento sancionador por posible infracción del RGPD y qué ocurre si se supera?

El procedimiento tiene una duración máxima de 12 meses desde el acuerdo de inicio. Si se supera ese plazo, se produce la caducidad del procedimiento y el archivo de actuaciones.

¿Cuál es la diferencia de plazo cuando el afectado reclama directamente al delegado de protección de datos frente a cuando la reclamación llega al DPD a través de la AEPD?

Si el afectado se dirige directamente al DPD, este tiene 2 meses para comunicar la decisión. Si la reclamación la remite la AEPD, el plazo se reduce a 1 mes; si transcurre sin respuesta, la autoridad de protección continúa el procedimiento.

¿Qué mayoría se exige en la Comisión de Justicia del Congreso para ratificar al Presidente de la AEPD?

En primera votación se requiere mayoría de 3/5 de los miembros de la Comisión de Justicia. Si no se alcanza, se procede a segunda votación inmediata por mayoría absoluta, con la condición de que los votos favorables procedan de al menos dos grupos parlamentarios distintos.