LO 3/2018 de Protección de Datos Personales y garantía de los derechos digitales

La Ley Orgánica 3/2018, de 5 de diciembre, tiene un doble objeto: por un lado, adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 —conocido como RGPD o Reglamento general de protección de datos— y completar sus disposiciones; por otro, garantizar los derechos digitales de la ciudadanía conforme al mandato del artículo 18.4 de la Constitución Española. El derecho fundamental a la protección de datos personales, amparado precisamente por ese precepto constitucional, se ejerce con arreglo a lo establecido en el RGPD y en la propia ley orgánica.

El ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94 abarca cualquier tratamiento total o parcialmente automatizado de datos personales, así como el tratamiento no automatizado de datos contenidos o destinados a ser incluidos en un fichero. Quedan excluidos los tratamientos que el RGPD excluye de su propio ámbito (por ejemplo, los de seguridad nacional), los datos de personas fallecidas —salvo lo previsto en el artículo 3— y los tratamientos sometidos a normativa sobre materias clasificadas. Los tratamientos judiciales y los del Ministerio Fiscal, aunque se rigen por el RGPD y por la LO 3/2018, se someten también a las normas específicas de la Ley Orgánica 6/1985 del Poder Judicial y de la Ley 50/1981 del Estatuto Orgánico del Ministerio Fiscal.

Datos clave

• Art. 1.a): adaptar el ordenamiento español al Reglamento (UE) 2016/679 y completar sus disposiciones
• Art. 1.b): garantizar los derechos digitales al amparo del art. 18.4 CE
• Art. 2.1: se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales
• Art. 2.2.a): exclusión — tratamientos excluidos por el art. 2.2 del RGPD
• Art. 2.2.b): exclusión — datos de personas fallecidas (salvo art. 3)
• Art. 2.2.c): exclusión — tratamientos sometidos a normativa sobre materias clasificadas
• Base constitucional: art. 18.4 CE (límite legal al uso de la informática)

Aunque el tratamiento de datos de personas fallecidas queda excluido del ámbito general de la ley (art. 2.2.b), el artículo 3 regula de forma específica quién puede acceder a esos datos y en qué condiciones. Las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos, pueden dirigirse al responsable o encargado del tratamiento para solicitar el acceso a los datos personales del causante y, en su caso, su rectificación o supresión.

Esta facultad tiene un límite expreso: no se podrá ejercer cuando el propio fallecido la hubiese prohibido en vida o cuando una ley lo impida. Sin embargo, la prohibición del fallecido no afecta al derecho de los herederos a acceder a los datos de carácter patrimonial. Además, la ley permite que el fallecido designe en vida a personas o instituciones concretas para gestionar sus datos postmortem, con arreglo a las instrucciones que les hubiera dado; mediante real decreto se establecerán los requisitos para acreditar la validez de esos mandatos. En los casos de fallecimiento de menores, las facultades de acceso pueden ejercerlas también sus representantes legales o el Ministerio Fiscal; y en caso de fallecimiento de personas con discapacidad, también quienes hubieran sido designados para prestarles apoyo.

Datos clave

• Art. 3.1: familiares, personas de hecho y herederos pueden pedir acceso, rectificación o supresión de datos del fallecido
• Límite: prohibición expresa del fallecido o ley que lo impida
• Excepción a la prohibición: datos patrimoniales son siempre accesibles por los herederos
• Art. 3.2: el fallecido puede designar personas/instituciones para gestionar sus datos con instrucciones específicas
• Art. 3.3: fallecimiento de menores → también los representantes legales o el Ministerio Fiscal
• Art. 3.3: fallecimiento de personas con discapacidad → también los apoyos designados

El Título II desarrolla los principios de protección de datos recogidos en el RGPD, adaptándolos a las particularidades del ordenamiento español. El artículo 4 concreta el principio de exactitud del artículo 5.1.d) del RGPD: los datos deben ser exactos y, si es necesario, actualizados. La ley exonera al responsable del tratamiento de responsabilidad por la inexactitud cuando no le sea imputable, siempre que haya adoptado todas las medidas razonables para suprimirla o rectificarla sin dilación. La exoneración opera en cuatro supuestos: cuando los datos inexactos fueron obtenidos directamente del propio afectado; cuando provienen de un mediador o intermediario autorizado por el sector, siendo la responsabilidad del intermediario; cuando el responsable los recibió de otro responsable en el ejercicio del derecho a la portabilidad; y cuando los datos fueron obtenidos de un registro público.

El artículo 5 impone el deber de confidencialidad a los responsables y encargados del tratamiento y a todas las personas que intervengan en cualquier fase del mismo, en los términos del artículo 5.1.f) del RGPD. Esta obligación es complementaria de los deberes de secreto profesional que correspondan según la normativa aplicable, y subsiste incluso cuando haya finalizado la relación del obligado con el responsable o encargado del tratamiento.

Datos clave

• Art. 4: principio de exactitud = datos exactos y, si procede, actualizados (art. 5.1.d RGPD)
• Art. 4.2: inexactitud NO imputable al responsable si adoptó medidas razonables de supresión o rectificación
• Cuatro supuestos de exoneración: datos obtenidos del afectado / de mediador o intermediario / por portabilidad de otro responsable / de registro público
• Art. 5.1: deber de confidencialidad para responsables, encargados y cualquier persona que intervenga en el tratamiento
• Art. 5.2: complementario al secreto profesional de cada sector
• Art. 5.3: el deber de confidencialidad persiste tras el fin de la relación con el responsable o encargado

El artículo 6 define el consentimiento del afectado como toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos personales (con arreglo al art. 4.11 del RGPD). La ley elimina así el denominado «consentimiento tácito» que la normativa anterior permitía. Cuando el tratamiento se pretenda fundar en el consentimiento para varias finalidades, este debe constar de manera específica e inequívoca para cada una de ellas. Además, no se podrá supeditar la ejecución de un contrato al consentimiento para tratar datos con fines que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.

El artículo 7 establece que el consentimiento del menor solo es válido si tiene catorce o más años de edad. Por debajo de ese umbral, el tratamiento de datos basado en el consentimiento solo será lícito si lo presta el titular de la patria potestad o tutela, con el alcance que estos determinen. Se exceptúan los supuestos en que la propia ley exija la asistencia de los progenitores o tutores para celebrar el acto o negocio jurídico en cuyo contexto se recaba el consentimiento.

Datos clave

• Art. 6.1: consentimiento = manifestación de voluntad libre, específica, informada e inequívoca
• Suprime el «consentimiento tácito»: se exige declaración o clara acción afirmativa
• Art. 6.2: para varias finalidades → consentimiento específico e inequívoco para cada una
• Art. 6.3: no se puede condicionar el contrato al consentimiento para fines no vinculados al mismo
• Art. 7.1: edad mínima para consentir por sí mismo = 14 años
• Art. 7.2: menores de 14 años → consentimiento válido solo si lo presta el titular de la patria potestad o tutela

El artículo 8 regula las dos bases de legitimación del tratamiento distintas del consentimiento que tienen mayor relevancia para las Administraciones Públicas. Por un lado, el tratamiento fundado en el cumplimiento de una obligación legal solo es admisible cuando así lo prevea una norma de Derecho de la UE o una norma con rango de ley; esa norma podrá determinar las condiciones del tratamiento, los tipos de datos, las cesiones procedentes y podrá imponer medidas adicionales de seguridad. Por otro, el tratamiento basado en una misión de interés público o en el ejercicio de poderes públicos solo puede fundarse en una competencia atribuida por ley con rango suficiente; no basta la autorización reglamentaria.

El artículo 9 matiza el régimen de las categorías especiales de datos —ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico— estableciendo que el solo consentimiento del afectado no basta para levantar la prohibición de tratamiento cuando la finalidad principal sea identificar esas características. Las habilitaciones para tratar categorías especiales previstas en las letras g), h) e i) del artículo 9.2 del RGPD (interés público, salud y fines de investigación sanitaria) deben ampararse en una norma con rango de ley. El artículo 10 limita el tratamiento de datos relativos a condenas e infracciones penales para fines distintos de los penales a los supuestos amparados por el Derecho de la UE, por la propia LO 3/2018 u otras normas de rango legal; el registro completo de antecedentes penales se ajustará al Sistema de registros administrativos de apoyo a la Administración de Justicia. Fuera de esos casos, solo los abogados y procuradores pueden tratar esos datos al objeto de recoger información de sus clientes para el ejercicio de sus funciones.

Datos clave

• Art. 8.1: obligación legal como base de legitimación → requiere norma UE o ley interna con rango de ley
• Art. 8.2: misión de interés público o ejercicio de poderes públicos → competencia atribuida por norma con rango de ley
• Art. 9.1: categorías especiales = ideología, afiliación sindical, religión, orientación sexual, creencias, origen racial o étnico
• Art. 9.1: el consentimiento solo NO levanta la prohibición si la finalidad principal es identificar esas características
• Art. 9.2: habilitaciones de las letras g), h) e i) del art. 9.2 RGPD → deben ampararse en norma con rango de ley
• Art. 10.1: datos penales solo tratables para fines distintos a los penales si lo autoriza norma UE o ley interna
• Art. 10.3: tratamiento de datos penales fuera de esos marcos → solo por abogados y procuradores para defender a sus clientes