Materia de estudio
Resumen de repaso redactado con ayuda de IA a partir de la normativa del tema. Ante cualquier duda, manda el texto publicado en el diario oficial.
El Tema 30 conecta tres derechos fundamentales con alta incidencia en la actividad policial diaria: la protección de datos, la intimidad y el secreto de las comunicaciones. Para la Ertzaintza, este bloque es especialmente relevante porque la Policía trata datos personales de forma constante y debe conocer los límites legales que rigen esa actividad. Las preguntas tipo test suelen centrarse en definiciones, plazos, derechos del interesado y el papel de la Agencia Española de Protección de Datos (AEPD).
Marco normativo
- Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD). Aplicable directamente en toda la UE desde el 25 de mayo de 2018.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Adapta el RGPD al ordenamiento español y amplía su contenido con derechos digitales específicos.
- Constitución Española: art. 18.1 (derecho a la intimidad personal y familiar), art. 18.3 (secreto de las comunicaciones) y art. 18.4 (limitación del uso de la informática para garantizar el honor y la intimidad).
Estructura del tema
1. Protección de datos personales
2. Derecho a la intimidad
3. Secreto de las comunicaciones
Conceptos clave
Dato personal
El RGPD, en su art. 4.1, define dato personal como «toda información sobre una persona física identificada o identificable». Se considera identificable a quien pueda ser determinado, directa o indirectamente, mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea, etc.).
Tratamiento de datos
El art. 4.2 RGPD define tratamiento como «cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos automatizados o no», incluyendo recogida, registro, organización, conservación, adaptación, extracción, consulta, comunicación, difusión o supresión.
Responsable del tratamiento
Art. 4.7 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.
Encargado del tratamiento
Art. 4.8 RGPD: persona física o jurídica que trate datos personales por cuenta del responsable.
Categorías especiales de datos
El art. 9.1 RGPD prohíbe el tratamiento de datos que revelen:
- Origen étnico o racial
- Opiniones políticas
- Convicciones religiosas o filosóficas
- Afiliación sindical
- Datos genéticos
- Datos biométricos dirigidos a identificar de forma unívoca a personas físicas
- Datos relativos a la salud
- Datos relativos a la vida sexual u orientación sexual
El tratamiento de estas categorías solo es posible en los supuestos tasados del art. 9.2 RGPD (consentimiento explícito, interés vital, obligación legal, entre otros).
Datos relativos a condenas e infracciones penales
El art. 10 RGPD establece que su tratamiento solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros.
Principios del tratamiento
El art. 5 RGPD recoge los principios que rigen todo tratamiento:
- Licitud, lealtad y transparencia
- Limitación de la finalidad: los datos se recogerán con fines determinados, explícitos y legítimos, y no se tratarán de manera incompatible con dichos fines.
- Minimización de datos: adecuados, pertinentes y limitados a lo necesario.
- Exactitud: deben ser exactos y, si fuera necesario, actualizados.
- Limitación del plazo de conservación: no se conservarán más tiempo del necesario para el fin.
- Integridad y confidencialidad: tratamiento con seguridad adecuada.
- Responsabilidad proactiva (accountability): el responsable debe poder demostrar el cumplimiento de estos principios.
Bases de licitud del tratamiento
El art. 6 RGPD establece que el tratamiento solo es lícito si se cumple al menos una de estas condiciones:
- Consentimiento del interesado
- Ejecución de un contrato
- Cumplimiento de una obligación legal
- Protección de intereses vitales
- Cumplimiento de una misión en interés público o ejercicio de poderes públicos
- Satisfacción de intereses legítimos del responsable (salvo que prevalezcan los del interesado)
Consentimiento
El art. 4.11 RGPD exige que sea libre, específico, informado e inequívoco. La LOPDGDD, en su art. 7, establece que el consentimiento de los menores de 14 años requiere el consentimiento del titular de la patria potestad o tutela.
Derechos del interesado
El RGPD reconoce los siguientes derechos (arts. 15 a 22):
- Derecho de acceso (art. 15): obtener confirmación de si se tratan sus datos y acceder a ellos.
- Derecho de rectificación (art. 16): rectificar datos inexactos.
- Derecho de supresión o «derecho al olvido» (art. 17): supresión de los datos cuando, entre otros motivos, ya no sean necesarios para el fin que motivó su recogida.
- Derecho a la limitación del tratamiento (art. 18): solicitar que se restrinja el tratamiento en determinadas circunstancias.
- Derecho a la portabilidad (art. 20): recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
- Derecho de oposición (art. 21): oponerse al tratamiento en cualquier momento por motivos relacionados con su situación particular.
Plazos de respuesta a los derechos (art. 12 RGPD)
El responsable responderá en el plazo de un mes desde la recepción de la solicitud. Este plazo puede prorrogarse otros dos meses cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de la prórroga en el plazo de un mes desde la recepción.
Autoridad de control: la AEPD
La Agencia Española de Protección de Datos (AEPD) es la autoridad de control en España, prevista en la LOPDGDD (arts. 44 y ss.). Actúa con plena independencia. Entre sus funciones: supervisar la aplicación del RGPD, investigar reclamaciones, imponer sanciones e informar al Parlamento.
Régimen sancionador
El art. 83 RGPD establece dos niveles de multas administrativas:
- Nivel inferior: hasta 10.000.000 € o, en el caso de una empresa, hasta el 2 % del volumen de negocio anual global del ejercicio anterior (el importe que sea mayor). Aplicable a infracciones de obligaciones del responsable y encargado, organismos de certificación, etc.
- Nivel superior: hasta 20.000.000 € o, en el caso de una empresa, hasta el 4 % del volumen de negocio anual global (el importe que sea mayor). Aplicable a infracciones de los principios básicos, derechos de los interesados, transferencias internacionales, etc.
Derecho a la intimidad y secreto de las comunicaciones
Intimidad personal y familiar
El art. 18.1 CE garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. Es un derecho fundamental de carácter personalísimo.
Secreto de las comunicaciones
El art. 18.3 CE garantiza el secreto de las comunicaciones, en especial de las postales, telegráficas y telefónicas, salvo resolución judicial. La intervención de comunicaciones requiere siempre autorización judicial previa; no basta la autorización gubernativa.
Protección frente al uso de la informática
El art. 18.4 CE establece que «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Este precepto es el fundamento constitucional de toda la normativa de protección de datos.
Datos numéricos y plazos que más se preguntan
- 25 de mayo de 2018: fecha de aplicación del RGPD.
- 5 de diciembre de 2018: fecha de aprobación de la LOPDGDD.
- 14 años: edad mínima para prestar consentimiento sin asistencia de representante legal (art. 7 LOPDGDD).
- 1 mes: plazo general de respuesta a solicitudes de derechos (art. 12 RGPD).
- 2 meses adicionales: prórroga máxima del plazo de respuesta (art. 12 RGPD).
- 10.000.000 € / 2 %: multa de nivel inferior (art. 83.4 RGPD).
- 20.000.000 € / 4 %: multa de nivel superior (art. 83.5 RGPD).
Errores típicos del opositor
- Confundir responsable (decide fines y medios) con encargado (trata por cuenta del responsable). Son figuras distintas con obligaciones diferentes.
- Creer que el consentimiento es la única base de licitud. El art. 6 RGPD recoge seis bases distintas.
- Situar la edad de consentimiento en 16 años: en España es 14 años por aplicación del art. 7 LOPDGDD (el RGPD permitía a los Estados fijarla entre 13 y 16).
- Confundir el derecho al olvido (supresión, art. 17 RGPD) con el derecho de acceso (art. 15 RGPD).
- Pensar que la intervención de comunicaciones puede autorizarla el Ministerio del Interior: la CE exige siempre resolución judicial (art. 18.3 CE).
- Aplicar las multas del RGPD de forma inversa: el 4 % corresponde a las infracciones más graves, no al nivel inferior.
Trucos mnemotécnicos
- «LMECIA» para los principios del art. 5 RGPD: Licitud, Minimización, Exactitud, Conservación limitada, Integridad/confidencialidad, Accountability (responsabilidad proactiva). Añade «Finalidad» entre L y M: «LFMECIA».
- «2-4 / 10-20»: nivel bajo → 2 % y 10 M€; nivel alto → 4 % y 20 M€. El doble siempre corresponde al nivel más grave.
- «14 en España, hasta 16 en Europa»: recuerda que el RGPD deja margen a los Estados (13-16 años) y España eligió 14.
- «1+2»: plazo de respuesta a derechos = 1 mes + prórroga de hasta 2 meses más.
- Para el secreto de comunicaciones: «sin juez, no hay acceso» (art. 18.3 CE).