🛡️ Tema 23: Protección de datos personales y garantía de los derechos digitales

Auxiliar Administrativo/a de la Diputación Provincial de Cádiz (C2, oposición libre) · Bloque B

Resumen

Regulación legal. La protección de datos personales es un derecho fundamental que deriva del art. 18.4 de la Constitución, según el cual la ley limitará el uso de la informática para garantizar el honor y la intimidad. La norma principal es el Reglamento (UE) 2016/679, o Reglamento General de Protección de Datos (RGPD), que se aplica directamente. La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), tiene un doble objeto: adaptar el ordenamiento español al RGPD y completarlo, y garantizar los derechos digitales de la ciudadanía (art. 1). No se aplican, entre otros, a los tratamientos exclusivamente personales o domésticos (art. 2.2.c RGPD) ni a los datos de personas fallecidas, salvo lo previsto en el art. 3 LOPDGDD: familiares y herederos pueden pedir el acceso, la rectificación o la supresión, aunque si el fallecido lo prohibió, los herederos solo conservan el acceso a los datos patrimoniales.

Principios. El art. 5 del RGPD exige licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación, e integridad y confidencialidad, y el responsable debe cumplirlos y poder demostrarlo (responsabilidad proactiva). La LOPDGDD añade reglas sobre la exactitud (art. 4), un deber de confidencialidad que sigue después de terminar la relación (art. 5) y el consentimiento, que es libre, específico, informado e inequívoco (art. 6); los menores pueden consentir desde los catorce años (art. 7). Una Administración como la Diputación, en el ejercicio de sus funciones, no puede basarse en el interés legítimo (art. 6.1 RGPD): suele tratar los datos por obligación legal o por interés público o ejercicio de poderes públicos, y estas bases exigen una norma con rango de ley (art. 8 LOPDGDD). Para las categorías especiales (ideología, religión, salud...), el solo consentimiento no basta cuando la finalidad principal es identificar la ideología, la afiliación sindical, la religión, la orientación sexual, las creencias o el origen racial o étnico (art. 9).

Derechos de las personas (RGPD arts. 12-22; LOPDGDD arts. 11-18): información (se puede dar por capas, con una información básica de identidad del responsable, finalidad y derechos), acceso, rectificación, supresión («derecho al olvido»), limitación del tratamiento, portabilidad (solo para tratamientos automatizados basados en consentimiento o contrato) y oposición, además de no ser objeto de decisiones automatizadas. El responsable responde en un mes, prorrogable otros dos; la respuesta es, como regla general, gratuita, y puede considerarse repetitivo pedir el acceso más de una vez en seis meses. Para rectificar hay que indicar qué datos y qué corrección se pide, y si el responsable ofrece un acceso remoto, directo y seguro, el derecho de acceso se entiende atendido.

Disposiciones aplicables a tratamientos concretos (LOPDGDD, título IV): datos de contacto profesional y de empresarios individuales (art. 19), sistemas de información crediticia (datos de impagos durante cinco años como máximo, art. 20), operaciones mercantiles (art. 21), videovigilancia (art. 22: la vía pública solo en lo imprescindible, borrado en un mes y cartel informativo visible), sistemas de exclusión publicitaria (art. 23), canales de denuncias (art. 24), función estadística pública (art. 25), archivo en interés público por las Administraciones (art. 26) e infracciones y sanciones administrativas, que solo puede tratar el órgano competente para instruir o sancionar (art. 27).

Responsable y encargado del tratamiento. El responsable decide los fines y medios del tratamiento, y el encargado trata los datos por su cuenta (art. 4 RGPD). El encargo se formaliza por escrito, también en formato electrónico, y el encargado no puede recurrir a otro sin autorización escrita del responsable (art. 28 RGPD); si usa los datos para sus propios fines, pasa a ser responsable (art. 33 LOPDGDD). Ambos llevan el registro de actividades de tratamiento (las Administraciones publican además un inventario con la base legal, art. 31); el responsable debe bloquear los datos al rectificarlos o suprimirlos y destruirlos al prescribir las responsabilidades (art. 32) y notificar las brechas a la autoridad de control, de ser posible, en 72 horas (art. 33 RGPD). Además, responsable y encargado designan un delegado de protección de datos, que es obligatorio en toda autoridad u organismo público salvo los tribunales en función judicial; su nombramiento se comunica a la autoridad en diez días (art. 34 LOPDGDD).

Garantía de los derechos digitales (LOPDGDD, título X). Los derechos constitucionales son plenamente aplicables en Internet (art. 79). La ley reconoce, entre otros, la neutralidad y el acceso universal a Internet, la seguridad y la educación digital, la protección de los menores, la rectificación y la actualización de informaciones, y, en el trabajo (también para los empleados públicos), la intimidad en el uso de dispositivos digitales, la desconexión digital (con una política interna que el empleador elabora tras oír a los representantes), la intimidad frente a la videovigilancia y la grabación de sonidos (nunca en vestuarios, aseos o comedores) y frente a la geolocalización (con información previa, expresa, clara e inequívoca). Recoge también el derecho al olvido en buscadores y en redes sociales, la portabilidad en redes sociales y el testamento digital (arts. 80-97).

Claves para el examen

• Normas: RGPD (Reglamento UE 2016/679) + LO 3/2018 (LOPDGDD), que adapta el RGPD y garantiza los derechos digitales (art. 1). Base constitucional: art. 18.4 CE.
• Principios del art. 5 RGPD: licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; integridad y confidencialidad; responsabilidad proactiva.
• Las autoridades públicas no pueden basarse en el interés legítimo; el interés público y la obligación legal exigen una norma con rango de ley.
• Consentimiento: libre, específico, informado e inequívoco (no tiene que ser por escrito). Los menores consienten desde los 14 años.
• Plazo para responder a los derechos: 1 mes, prorrogable 2 más. Acceso repetitivo: más de una vez en 6 meses.
• Derecho al olvido = supresión (art. 17 RGPD). Portabilidad: solo con consentimiento o contrato y tratamiento automatizado.
• Videovigilancia: vía pública solo lo imprescindible; borrado en 1 mes; cartel visible (art. 22 LOPDGDD).
• Ficheros de morosos: como máximo 5 años desde el vencimiento de la deuda (art. 20).
• Infracciones y sanciones administrativas: las trata el órgano competente para instruir o sancionar (art. 27).
• El encargado que usa los datos para sus propios fines pasa a ser responsable. Necesita autorización escrita para subcontratar.
• Administraciones: inventario público de actividades con su base legal (art. 31.2); bloqueo de los datos y destrucción al prescribir las responsabilidades (art. 32).
• Brecha de seguridad: notificación a la autoridad en 72 horas. Nombramiento del delegado: comunicación en 10 días.
• Trabajo: desconexión digital, nada de cámaras ni micrófonos en vestuarios, aseos o comedores, y geolocalización con información expresa, clara e inequívoca.

Vídeos recomendados

• Principios en protección de datos Reglamento Europeo
• Resumen derechos Ley Orgánica protección de datos
• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.

📚 Temario: leyes y documentos oficiales

• BOE-A-2018-16673 Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado)
• DOUE-L-2016-80807 Reglamento (UE) 2016/679, Reglamento general de protección de datos (DOUE L 119, de 4/5/2016)
• EUR-Lex: Reglamento (UE) 2016/679 (CELEX 32016R0679)

← Tema 22 · Tema 24 →