Materia de estudio
Resumen de repaso redactado con ayuda de IA a partir de la normativa del tema. Ante cualquier duda, manda el texto publicado en el diario oficial.
La protección de datos de carácter personal es una materia de creciente presencia en los exámenes de Guardia Civil. Su regulación combina el Reglamento (UE) 2016/679 (RGPD), de aplicación directa en toda la Unión Europea, y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), que lo adapta al ordenamiento español e incorpora los derechos digitales. El opositor debe dominar ambas normas de forma coordinada.
Marco normativo
- Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). Entró en aplicación el 25 de mayo de 2018.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Publicada en el BOE el 6 de diciembre de 2018.
El RGPD es directamente aplicable en España; la LOPDGDD lo complementa y desarrolla en los márgenes que el propio Reglamento permite a los Estados miembros.
Conceptos clave
Dato personal
El art. 4.1 RGPD define dato personal como «toda información sobre una persona física identificada o identificable». Se considera identificable a quien pueda ser determinado, directa o indirectamente, mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea, etc.).
Tratamiento
Conforme al art. 4.2 RGPD, cualquier operación o conjunto de operaciones realizadas sobre datos personales: recogida, registro, organización, estructuración, conservación, adaptación, extracción, consulta, utilización, comunicación, difusión, supresión o destrucción.
Responsable del tratamiento
Persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento (art. 4.7 RGPD).
Encargado del tratamiento
Persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable (art. 4.8 RGPD).
Distinción clave en el examen: el responsable decide el «para qué» y el «cómo»; el encargado ejecuta el tratamiento por encargo del responsable.
Consentimiento
El art. 4.11 RGPD lo define como «toda manifestación de voluntad libre, específica, informada e inequívoca». El art. 7 RGPD exige que sea demostrable por el responsable. El silencio o las casillas premarcadas no constituyen consentimiento.
Edad mínima para prestar consentimiento en servicios de la sociedad de la información: 14 años, conforme al art. 7 LOPDGDD.
Categorías especiales de datos
El art. 9 RGPD prohíbe, como regla general, el tratamiento de datos que revelen:
- Origen étnico o racial
- Opiniones políticas
- Convicciones religiosas o filosóficas
- Afiliación sindical
- Datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona física
- Datos relativos a la salud
- Datos relativos a la vida sexual u orientación sexual
Solo se permite su tratamiento en los supuestos tasados del art. 9.2 RGPD (consentimiento explícito, obligación legal, interés vital, etc.).
Datos relativos a condenas e infracciones penales
Regulados en el art. 10 RGPD: su tratamiento solo puede llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros.
Principios del tratamiento
El art. 5 RGPD recoge los principios que rigen todo tratamiento de datos personales:
- Licitud, lealtad y transparencia
- Limitación de la finalidad: los datos se recogerán con fines determinados, explícitos y legítimos, y no serán tratados de manera incompatible con dichos fines.
- Minimización de datos: adecuados, pertinentes y limitados a lo necesario.
- Exactitud: deben mantenerse actualizados; los inexactos deben suprimirse o rectificarse.
- Limitación del plazo de conservación: no se conservarán más tiempo del necesario para los fines del tratamiento.
- Integridad y confidencialidad: tratamiento con seguridad adecuada.
- Responsabilidad proactiva (accountability): el responsable es competente para demostrar el cumplimiento de todos los principios anteriores.
Derechos de la ciudadanía
Derechos ARSLOPO
La LOPDGDD agrupa los derechos del interesado bajo el acrónimo habitual en la práctica:
- Acceso (art. 15 RGPD): obtener confirmación de si se tratan sus datos y, en caso afirmativo, acceder a ellos.
- Rectificación (art. 16 RGPD): obtener la rectificación de datos inexactos.
- Supresión (art. 17 RGPD): el llamado «derecho al olvido»; supresión cuando los datos ya no sean necesarios, se retire el consentimiento, etc.
- Limitación del tratamiento (art. 18 RGPD): el interesado puede solicitar que el tratamiento quede restringido en determinados supuestos.
- Oposición (art. 21 RGPD): oponerse al tratamiento por motivos relacionados con su situación particular.
- Portabilidad (art. 20 RGPD): recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
- Decisiones individuales automatizadas (art. 22 RGPD): no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o le afecten significativamente.
Plazos para responder a los derechos
- Plazo general: 1 mes desde la recepción de la solicitud (art. 12.3 RGPD).
- Prórroga posible: 2 meses adicionales cuando la complejidad o el número de solicitudes lo requiera, comunicándolo al interesado en el primer mes.
La Agencia Española de Protección de Datos (AEPD)
- Es la autoridad de control en España, conforme al art. 57 LOPDGDD.
- Actúa con plena independencia.
- Competencias: supervisión, investigación, imposición de sanciones, atención de reclamaciones.
Régimen sancionador
El art. 83 RGPD establece dos niveles de multas administrativas:
- Nivel inferior: hasta 10 000 000 € o, en el caso de una empresa, hasta el 2 % del volumen de negocio anual global del ejercicio anterior (el importe que sea mayor).
- Nivel superior: hasta 20 000 000 € o, en el caso de una empresa, hasta el 4 % del volumen de negocio anual global del ejercicio anterior (el importe que sea mayor).
Delegado de Protección de Datos (DPD)
Regulado en los arts. 37 a 39 RGPD y desarrollado en los arts. 34 a 37 LOPDGDD.
Designación obligatoria para:
- Autoridades u organismos públicos (salvo tribunales en ejercicio de su función judicial).
- Responsables o encargados cuya actividad principal requiera una observación habitual y sistemática de interesados a gran escala.
- Responsables o encargados que traten a gran escala categorías especiales de datos (art. 9 RGPD) o datos relativos a condenas penales (art. 10 RGPD).
Funciones principales (art. 39 RGPD):
- Informar y asesorar al responsable y al encargado.
- Supervisar el cumplimiento del RGPD.
- Cooperar con la autoridad de control y actuar como punto de contacto.
Datos numéricos y plazos que más se preguntan
- Fecha de aplicación del RGPD: 25 de mayo de 2018
- Fecha de publicación de la LOPDGDD en el BOE: 6 de diciembre de 2018
- Edad mínima para consentir en servicios digitales: 14 años (art. 7 LOPDGDD)
- Plazo para responder derechos ARSLOPO: 1 mes, prorrogable 2 meses más (art. 12.3 RGPD)
- Multa nivel inferior: 10 M€ o 2 % del volumen de negocio
- Multa nivel superior: 20 M€ o 4 % del volumen de negocio
Errores típicos del opositor
- Confundir responsable y encargado: el responsable decide los fines; el encargado solo ejecuta.
- Creer que el silencio equivale a consentimiento: el art. 7 RGPD exige manifestación inequívoca; el silencio y las casillas premarcadas no son válidos.
- Mezclar los plazos: el plazo base es 1 mes, la prórroga son 2 meses adicionales (no 3 meses en total desde el inicio, sino 1 + 2).
- Olvidar que el RGPD es un Reglamento europeo (directamente aplicable), no una Directiva (que requiere transposición).
- Situar la edad de consentimiento en 16 años: en España la LOPDGDD la fija en 14 años.
Trucos mnemotécnicos
- ARSLOPO → Acceso, Rectificación, Supresión, Limitación, Oposición, Portabilidad, Oposición a decisiones automatizadas.
- 2-4 / 10-20: multas en millones de euros y porcentajes van de menor a mayor: nivel bajo = 2 % / 10 M€; nivel alto = 4 % / 20 M€. Recuerda: «dos y diez, cuatro y veinte».
- Para recordar quién es el responsable: es el que «Responde ante la AEPD» porque decide los fines.
- La LOPDGDD se publicó el 6-12-2018: el 6 de diciembre, mismo mes que la Constitución Española (6 de diciembre de 1978), aunque con 40 años de diferencia.