Materia de estudio
Resumen de repaso redactado con ayuda de IA a partir de la normativa del tema. Ante cualquier duda, manda el texto publicado en el diario oficial.
El Tema 8 es uno de los más técnicos del temario de Policía Foral de Navarra. La protección de datos, la intimidad y el secreto de las comunicaciones son derechos fundamentales que el agente debe conocer tanto para respetar los derechos de los ciudadanos como para actuar correctamente en el ejercicio de sus funciones. Las preguntas tipo test suelen centrarse en definiciones, plazos, principios y derechos reconocidos en el RGPD y en la LO 3/2018.
Marco normativo
- Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD). Aplicable directamente en España desde el 25 de mayo de 2018.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Adapta y desarrolla el RGPD en el ordenamiento español. Publicada en el BOE el 6 de diciembre de 2018.
- Constitución Española: el art. 18.1 CE reconoce el derecho a la intimidad personal y familiar; el art. 18.3 CE garantiza el secreto de las comunicaciones; el art. 18.4 CE establece que la ley limitará el uso de la informática para garantizar el honor, la intimidad y los derechos de los ciudadanos.
Nota: el RGPD es norma de aplicación directa y prevalece sobre la LOPDGDD en caso de conflicto. La LOPDGDD complementa y concreta el RGPD.
Conceptos clave
Dato personal
El art. 4.1 RGPD define dato personal como «toda información sobre una persona física identificada o identificable». Se considera identificable a quien pueda ser determinado, directa o indirectamente, mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea) o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.
Tratamiento de datos
El art. 4.2 RGPD define tratamiento como «cualquier operación o conjunto de operaciones realizadas sobre datos personales», ya sea por procedimientos automatizados o no: recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación, difusión, supresión o destrucción.
Responsable del tratamiento
El art. 4.7 RGPD lo define como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y medios del tratamiento.
Encargado del tratamiento
El art. 4.8 RGPD lo define como quien trata datos personales por cuenta del responsable. La relación entre ambos debe formalizarse mediante un contrato u otro acto jurídico vinculante (art. 28 RGPD).
Datos especialmente protegidos (categorías especiales)
El art. 9.1 RGPD prohíbe el tratamiento de datos que revelen:
- Origen étnico o racial
- Opiniones políticas
- Convicciones religiosas o filosóficas
- Afiliación sindical
- Datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona
- Datos relativos a la salud
- Datos relativos a la vida sexual u orientación sexual
El art. 10 RGPD añade los datos relativos a condenas e infracciones penales, cuyo tratamiento solo puede realizarse bajo la supervisión de autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros.
Principios del tratamiento (art. 5 RGPD)
Los datos personales deben ser:
- Licitud, lealtad y transparencia: tratados de manera lícita, leal y transparente en relación con el interesado.
- Limitación de la finalidad: recogidos con fines determinados, explícitos y legítimos, y no tratados ulteriormente de manera incompatible con dichos fines.
- Minimización de datos: adecuados, pertinentes y limitados a lo necesario en relación con los fines.
- Exactitud: exactos y, si fuera necesario, actualizados.
- Limitación del plazo de conservación: mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento.
- Integridad y confidencialidad: tratados de tal manera que se garantice su seguridad adecuada.
El art. 5.2 RGPD establece el principio de responsabilidad proactiva (accountability): el responsable será responsable del cumplimiento de estos principios y capaz de demostrarlo.
Bases jurídicas del tratamiento (art. 6 RGPD)
El tratamiento solo es lícito si se cumple al menos una de estas condiciones:
- Consentimiento del interesado.
- Ejecución de un contrato en el que el interesado es parte.
- Obligación legal aplicable al responsable.
- Intereses vitales del interesado u otra persona física.
- Misión en interés público o ejercicio de poderes públicos.
- Intereses legítimos del responsable o de un tercero (salvo que prevalezcan los derechos del interesado).
Derechos de los interesados
Derechos reconocidos en el RGPD
- Derecho de acceso (art. 15 RGPD): el interesado puede obtener confirmación de si se tratan o no sus datos y, en tal caso, acceder a ellos.
- Derecho de rectificación (art. 16 RGPD): obtener sin dilación indebida la rectificación de datos inexactos.
- Derecho de supresión o «al olvido» (art. 17 RGPD): obtener la supresión de los datos cuando, entre otros motivos, ya no sean necesarios para los fines para los que fueron recogidos.
- Derecho a la limitación del tratamiento (art. 18 RGPD).
- Derecho a la portabilidad (art. 20 RGPD): recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
- Derecho de oposición (art. 21 RGPD).
Plazos de respuesta (art. 12 RGPD)
El responsable debe responder al ejercicio de derechos en el plazo de un mes desde la recepción de la solicitud. Este plazo puede prorrogarse otros dos meses cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable debe informar de la prórroga dentro del primer mes.
Delegado de Protección de Datos (DPD)
Regulado en los arts. 37 a 39 RGPD y desarrollado en los arts. 34 a 37 LOPDGDD.
Designación obligatoria (art. 37.1 RGPD) para:
- Autoridades u organismos públicos.
- Responsables cuya actividad principal consista en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala.
- Responsables que traten a gran escala categorías especiales de datos (art. 9) o datos relativos a condenas penales (art. 10).
Funciones del DPD (art. 39 RGPD):
- Informar y asesorar al responsable y a los empleados.
- Supervisar el cumplimiento del RGPD.
- Cooperar con la autoridad de control.
- Actuar como punto de contacto con la autoridad de control.
El DPD puede ser empleado del responsable o actuar en el marco de un contrato de servicios (art. 37.6 RGPD). El responsable debe publicar los datos de contacto del DPD y comunicarlos a la autoridad de control (art. 37.7 RGPD).
Autoridad de control en España
La Agencia Española de Protección de Datos (AEPD) es la autoridad de control competente en España, conforme al art. 57 RGPD y al art. 44 LOPDGDD.
Datos numéricos y plazos que más se preguntan
- RGPD aplicable desde: 25 de mayo de 2018.
- LOPDGDD publicada: 6 de diciembre de 2018 (LO 3/2018).
- Plazo de respuesta a derechos: 1 mes (prorrogable 2 meses más).
- Notificación de brechas de seguridad a la autoridad de control: 72 horas desde que el responsable tenga constancia (art. 33.1 RGPD).
- Notificación al interesado de la brecha: sin dilación indebida cuando sea probable que entrañe un alto riesgo (art. 34.1 RGPD).
- Edad mínima para prestar consentimiento en servicios de la sociedad de la información: 14 años (art. 7 LOPDGDD).
Derecho a la intimidad y secreto de las comunicaciones
- Art. 18.1 CE: derecho al honor, a la intimidad personal y familiar y a la propia imagen.
- Art. 18.3 CE: «Se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial».
- La intervención de comunicaciones requiere siempre autorización judicial. No existe excepción administrativa.
- El art. 18.4 CE habilita al legislador para limitar el uso de la informática, fundamento constitucional de toda la normativa de protección de datos.
Errores típicos del opositor
- Confundir responsable (decide los fines) con encargado (trata por cuenta del responsable).
- Creer que el plazo de respuesta a derechos es de 15 días: es de un mes.
- Olvidar que la notificación de brechas de seguridad a la AEPD es en 72 horas, no en 24 ni en 48.
- Confundir la edad de consentimiento digital (14 años en España, art. 7 LOPDGDD) con la mayoría de edad civil (18 años).
- Pensar que el secreto de las comunicaciones puede levantarse por autoridad administrativa: solo cabe mediante resolución judicial.
- Confundir el DPD (figura del RGPD) con el responsable del fichero de la antigua LOPD (derogada).
Trucos mnemotécnicos
- Los 6 principios del art. 5 RGPD → «LIMELI»: Licitud, Integridad, Minimización, Exactitud, Limitación de finalidad, lImitación de conservación.
- Las 6 bases jurídicas del art. 6 RGPD → «CEOIMI»: Consentimiento, Ejecución de contrato, Obligación legal, Intereses vitales, Misión pública, Intereses legítimos.
- 72 horas para brechas: piensa en «3 días» para no olvidar el plazo de notificación a la AEPD.
- 14 años: la edad de consentimiento digital coincide con la edad penal en España, fácil de asociar.
- Responsable = decide; Encargado = ejecuta: el responsable tiene el mando, el encargado obedece.