Protección de datos personales

El artículo 4 del RGPD define el vocabulario sobre el que se construye toda la normativa de protección de datos. El «dato personal» es cualquier información sobre una persona física identificada o identificable, mientras que «tratamiento» abarca prácticamente cualquier operación que se realice sobre esos datos: recogida, registro, conservación, modificación, consulta, comunicación o supresión, entre otras. La persona sobre la que versan los datos recibe el nombre de «interesado».

La norma distingue también entre quien decide para qué y cómo se tratan los datos —el «responsable del tratamiento»— y quien los trata por cuenta de aquel siguiendo sus instrucciones —el «encargado del tratamiento»—. Otros conceptos clave son el «consentimiento», que debe ser libre, específico, informado e inequívoco, y la «seudonimización», una técnica que impide atribuir los datos a una persona concreta sin recurrir a información adicional protegida por separado.

Datos clave

• Art. 4.1 RGPD: dato personal, información sobre persona física identificada o identificable
• Art. 4.7 y 4.8: responsable del tratamiento (decide fines y medios) frente a encargado (trata por cuenta de aquel)
• Art. 4.11: consentimiento, manifestación libre, específica, informada e inequívoca
• Art. 4.5: seudonimización, los datos no se atribuyen a un interesado sin información adicional separada

El artículo 5 del RGPD enuncia los principios que deben presidir cualquier tratamiento de datos personales. Los datos deben tratarse de forma lícita, leal y transparente respecto del interesado; recogerse con fines determinados, explícitos y legítimos, sin usarse después de forma incompatible con ellos; y limitarse a lo estrictamente necesario para esos fines, lo que se conoce como minimización de datos.

A estos principios se suman la exactitud —corrigiendo o suprimiendo sin demora los datos inexactos—, la limitación del plazo de conservación —no manteniendo los datos más tiempo del necesario— y la integridad y confidencialidad, que exige aplicar medidas técnicas y organizativas que garanticen su seguridad frente a accesos o tratamientos no autorizados. El responsable del tratamiento no solo debe cumplir estos principios, sino ser capaz de demostrarlo en todo momento: es el llamado principio de responsabilidad proactiva.

Datos clave

• Art. 5.1.a RGPD: licitud, lealtad y transparencia
• Art. 5.1.b y 5.1.c: limitación de la finalidad y minimización de datos
• Art. 5.1.e: limitación del plazo de conservación
• Art. 5.2: principio de responsabilidad proactiva (accountability)

Para que un tratamiento de datos personales sea lícito, el artículo 6 del RGPD exige que concurra al menos una de seis bases de legitimación. La más conocida es el consentimiento del interesado, pero no es la única ni siempre la más adecuada: el tratamiento también es lícito cuando resulta necesario para ejecutar un contrato con el interesado, para cumplir una obligación legal del responsable, para proteger intereses vitales de una persona, para cumplir una misión de interés público o en ejercicio de poderes públicos, o para satisfacer intereses legítimos del responsable o de un tercero.

Esta última base, el interés legítimo, tiene un límite importante: no puede invocarla una autoridad pública en el ejercicio de sus funciones, precisamente porque su actuación ya debe fundarse en las bases anteriores. Cuando la legitimación descansa en el cumplimiento de una obligación legal o en el ejercicio de poderes públicos, la propia norma que ampara el tratamiento debe fijar su finalidad de forma suficientemente precisa.

Datos clave

• Art. 6.1 RGPD: seis bases de legitimación (consentimiento, contrato, obligación legal, interés vital, interés público, interés legítimo)
• Art. 6.1, párrafo segundo: el interés legítimo no ampara el tratamiento de las autoridades públicas en sus funciones
• Art. 6.3: la base legal debe determinar la finalidad del tratamiento

El artículo 9 del RGPD prohíbe, como regla general, tratar una serie de datos considerados especialmente sensibles: los que revelan el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como los datos genéticos, biométricos orientados a identificar de forma unívoca, relativos a la salud o relativos a la vida sexual o la orientación sexual. Esta prohibición solo cede cuando concurre alguna de las excepciones tasadas por la propia norma, como el consentimiento explícito, la necesidad laboral o de seguridad social, o el interés público esencial.

La LO 3/2018 española añade una cautela adicional en su artículo 9: el mero consentimiento del afectado no basta, por sí solo, para levantar la prohibición cuando la finalidad principal del tratamiento sea identificar la ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico de la persona, precisamente para evitar situaciones discriminatorias encubiertas bajo un consentimiento formal.

Datos clave

• Art. 9.1 RGPD: categorías especiales de datos (origen étnico, opiniones políticas, religión, afiliación sindical, salud, vida sexual, datos genéticos y biométricos)
• Art. 9.2 RGPD: excepciones tasadas a la prohibición general
• Art. 9.1 LO 3/2018: el consentimiento por sí solo no basta cuando la finalidad principal es identificar ideología, sindicación, religión u origen étnico

El derecho de acceso, regulado en el artículo 15 del RGPD, permite al interesado obtener del responsable la confirmación de si se están tratando datos suyos y, en caso afirmativo, acceder a esos datos y a información adicional relevante: los fines del tratamiento, las categorías de datos afectadas, los destinatarios a los que se han comunicado o se comunicarán, el plazo previsto de conservación y la existencia de decisiones automatizadas, incluida la elaboración de perfiles.

El responsable debe facilitar una copia gratuita de los datos tratados; solo puede cobrar un canon razonable por copias adicionales solicitadas por el propio interesado. Junto al acceso, el artículo 16 reconoce el derecho de rectificación: el interesado puede exigir, sin dilación indebida, que se corrijan los datos inexactos que le conciernan, e incluso que se completen los datos incompletos mediante una declaración adicional.

Datos clave

• Art. 15 RGPD: derecho de acceso, confirmación del tratamiento y copia de los datos
• Art. 15.3: la primera copia es gratuita; canon razonable para copias adicionales
• Art. 16 RGPD: derecho de rectificación de datos inexactos o incompletos, sin dilación indebida

El derecho de supresión, conocido popularmente como «derecho al olvido», obliga al responsable a eliminar sin dilación indebida los datos personales cuando concurra alguna causa tasada en el artículo 17 del RGPD: que ya no sean necesarios para los fines que motivaron su recogida, que el interesado retire su consentimiento sin que exista otra base legal, que se oponga al tratamiento sin que existan motivos legítimos que prevalezcan, o que los datos se hayan tratado de forma ilícita. Este derecho tiene excepciones, como cuando el tratamiento es necesario para ejercer la libertad de expresión o para cumplir una obligación legal.

El derecho a la limitación, regulado en el artículo 18, ofrece una alternativa menos drástica: en lugar de suprimir los datos, se «congela» su tratamiento —salvo su mera conservación— mientras se resuelve una controversia, por ejemplo cuando el interesado impugna la exactitud de los datos o se opone a su supresión pero pide que se limite su uso en su lugar.

Datos clave

• Art. 17 RGPD: derecho de supresión o «derecho al olvido», causas tasadas y excepciones
• Art. 17.3.a: no se aplica cuando el tratamiento es necesario para la libertad de expresión e información
• Art. 18 RGPD: derecho a la limitación del tratamiento, solo se permite su conservación mientras dure la limitación

El derecho a la portabilidad, del artículo 20 del RGPD, permite al interesado recibir los datos que él mismo facilitó a un responsable en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable sin obstáculos, siempre que el tratamiento se base en el consentimiento o en un contrato y se realice por medios automatizados. Cuando sea técnicamente posible, el interesado puede pedir incluso que la transmisión se haga directamente entre ambos responsables.

El derecho de oposición, del artículo 21, permite oponerse en cualquier momento a tratamientos basados en el interés público o el interés legítimo, incluida la elaboración de perfiles; en el caso de la mercadotecnia directa, la oposición es absoluta y no admite ponderación de intereses. Finalmente, el artículo 22 reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos, salvo excepciones tasadas que exigen siempre salvaguardas como la intervención humana.

Datos clave

• Art. 20 RGPD: derecho a la portabilidad, solo si el tratamiento se basa en consentimiento o contrato y es automatizado
• Art. 21.2 RGPD: oposición absoluta cuando el tratamiento es para mercadotecnia directa
• Art. 22 RGPD: derecho a no ser objeto de decisiones automatizadas con efectos jurídicos, salvo excepciones con salvaguardas (intervención humana)

La Ley Orgánica 3/2018 tiene un doble objeto: adaptar el ordenamiento jurídico español al RGPD, completando sus disposiciones, y garantizar los derechos digitales de la ciudadanía conforme al artículo 18.4 de la Constitución, que reconoce el derecho fundamental a la protección de datos personales. Se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, y también al tratamiento no automatizado cuando los datos están o van a estar incluidos en un fichero.

La ley excluye expresamente de su ámbito los tratamientos ya excluidos del RGPD, los datos de personas fallecidas —salvo las previsiones específicas sobre el acceso de familiares o herederos— y los tratamientos sometidos a la normativa de materias clasificadas. De forma singular, la propia ley identifica los tratamientos realizados en el ámbito de instituciones penitenciarias como un supuesto que, al no estar comprendido en el Derecho de la Unión, se rige de forma supletoria por el RGPD y por la propia LO 3/2018.

Datos clave

• Art. 1 LO 3/2018: doble objeto, adaptación al RGPD y garantía de los derechos digitales (art. 18.4 CE)
• Art. 2.2: exclusiones, tratamientos ya excluidos del RGPD, datos de fallecidos y materias clasificadas
• Art. 2.3: los tratamientos en instituciones penitenciarias se rigen supletoriamente por el RGPD y la LO 3/2018
• Art. 3: derechos de familiares y herederos sobre los datos de personas fallecidas