Test: Protección de datos en la Administración de Justicia (LO 3/2018, RGPD)

La protección de datos personales en la Administración de Justicia es un tema transversal de creciente peso en los exámenes de Tramitación Procesal y Administrativa. Su estudio exige dominar dos planos normativos que conviven: el europeo (RGPD) y el nacional (LO 3/2018), con las especialidades propias del ámbito judicial recogidas en la LOPJ. Las preguntas test suelen centrarse en definiciones, plazos, derechos del interesado y el papel de la Agencia Española de Protección de Datos (AEPD).

Marco normativo

Los tres pilares normativos del tema son:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). Aplicable directamente en todos los Estados miembros desde el 25 de mayo de 2018.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Adapta el RGPD al ordenamiento español y deroga la anterior LO 15/1999.
• Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (LOPJ), que regula el tratamiento de datos en el ámbito estrictamente jurisdiccional, donde el RGPD no se aplica directamente (art. 2.2.d RGPD excluye las actividades de los órganos jurisdiccionales en el ejercicio de su función judicial).

Distinción clave para el test: El RGPD y la LO 3/2018 rigen los tratamientos de datos en la Administración de Justicia en su vertiente administrativa (gestión de personal, recursos humanos, etc.). Los tratamientos realizados por los órganos jurisdiccionales en el ejercicio de la potestad jurisdiccional se rigen por la LOPJ y por la normativa procesal específica.

Estructura del tema

1. Ámbito de aplicación del RGPD (art. 2 y 3 RGPD)

• Material: se aplica al tratamiento total o parcialmente automatizado de datos personales, y al tratamiento no automatizado cuando los datos estén incluidos o destinados a un fichero (art. 2.1 RGPD).
• Territorial: se aplica a responsables o encargados establecidos en la UE, y también cuando el tratamiento se dirija a personas en la UE (art. 3 RGPD).
• Exclusiones relevantes: actividades de seguridad nacional (art. 2.2.a RGPD) y actividades de los órganos jurisdiccionales en el ejercicio de su función judicial (art. 2.2.d RGPD).

2. Principios del tratamiento (art. 5 RGPD)

El art. 5 RGPD recoge los principios que rigen todo tratamiento:

• Licitud, lealtad y transparencia.
• Limitación de la finalidad: los datos se recogen con fines determinados, explícitos y legítimos.
• Minimización de datos: adecuados, pertinentes y limitados a lo necesario.
• Exactitud: actualizados y rectificados sin dilación.
• Limitación del plazo de conservación: no más tiempo del necesario para la finalidad.
• Integridad y confidencialidad: seguridad adecuada frente a tratamientos no autorizados, pérdida o destrucción.
• Responsabilidad proactiva (accountability): el responsable debe poder demostrar el cumplimiento de todos los principios anteriores.

3. Bases jurídicas del tratamiento (art. 6 RGPD)

El tratamiento solo es lícito si se basa en alguna de estas causas:

• Consentimiento del interesado.
• Ejecución de un contrato.
• Cumplimiento de una obligación legal.
• Protección de intereses vitales.
• Misión en interés público o ejercicio de poderes públicos.
• Intereses legítimos del responsable (no aplicable a autoridades públicas en el ejercicio de sus funciones).

En la Administración de Justicia, la base habitual es el cumplimiento de una obligación legal o el ejercicio de poderes públicos (art. 6.1.c y 6.1.e RGPD).

Conceptos clave

Dato personal

Según el art. 4.1 RGPD: «toda información sobre una persona física identificada o identificable». Se considera identificable a quien pueda ser identificado directa o indirectamente, en particular mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea) o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.

Categorías especiales de datos (art. 9 RGPD)

Datos que revelan origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos dirigidos a identificar de forma unívoca a una persona, datos relativos a la salud, y datos relativos a la vida u orientación sexual. Su tratamiento está prohibido con carácter general, salvo excepciones tasadas en el art. 9.2 RGPD.

Datos relativos a condenas e infracciones penales (art. 10 RGPD)

Solo pueden tratarse bajo la supervisión de las autoridades públicas o cuando el Derecho de la UE o de los Estados miembros lo autorice. En España, la LO 3/2018 desarrolla esta previsión.

Responsable del tratamiento

Art. 4.7 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.

Encargado del tratamiento

Art. 4.8 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable. La relación entre responsable y encargado debe formalizarse mediante contrato u otro acto jurídico (art. 28 RGPD).

Delegado de Protección de Datos (DPD)

• Su designación es obligatoria para las autoridades y organismos públicos (art. 37.1.a RGPD y art. 34.1 LO 3/2018).
• Funciones: informar y asesorar, supervisar el cumplimiento, cooperar con la autoridad de control y actuar como punto de contacto (art. 39 RGPD).
• El DPD no responde personalmente por el incumplimiento del RGPD: la responsabilidad recae en el responsable o encargado.
• Debe comunicarse su identidad y datos de contacto a la AEPD (art. 37.7 RGPD).

Derechos de los interesados y plazos

Los derechos reconocidos en el RGPD (arts. 15 a 22) y desarrollados en la LO 3/2018 (arts. 12 a 18) son:

• Derecho de acceso (art. 15 RGPD): obtener confirmación de si se tratan datos y copia de los mismos.
• Derecho de rectificación (art. 16 RGPD): corrección de datos inexactos.
• Derecho de supresión o «al olvido» (art. 17 RGPD).
• Derecho a la limitación del tratamiento (art. 18 RGPD).
• Derecho a la portabilidad (art. 20 RGPD): solo cuando el tratamiento se base en el consentimiento o en un contrato y se realice por medios automatizados.
• Derecho de oposición (art. 21 RGPD).

Plazos para responder a los derechos (art. 12.3 RGPD y art. 12 LO 3/2018)

• Plazo general: 1 mes desde la recepción de la solicitud.
• Prórroga posible: 2 meses adicionales (total: 3 meses) cuando la complejidad o el número de solicitudes lo justifique, comunicándolo al interesado en el primer mes.
• Si no se atiende la solicitud: el responsable debe informar al interesado sin dilación y a más tardar en 1 mes.

La Agencia Española de Protección de Datos (AEPD)

• Es la autoridad de control en España (art. 57 RGPD y art. 44 LO 3/2018).
• Actúa con plena independencia.
• Competencias: supervisar la aplicación del RGPD y la LO 3/2018, tramitar reclamaciones, imponer sanciones, emitir directrices.
• Las Comunidades Autónomas con competencias en materia de protección de datos (Cataluña, País Vasco, Andalucía) tienen sus propias autoridades autonómicas de control, con competencia sobre los ficheros de las Administraciones autonómicas y locales de su territorio.

Datos numéricos y plazos que más se preguntan

• 25 de mayo de 2018: fecha de aplicación del RGPD.
• 5 de diciembre de 2018: fecha de la LO 3/2018.
• 1 mes: plazo ordinario para responder a derechos del interesado.
• 3 meses (1 + 2): plazo máximo con prórroga.
• 72 horas: plazo para notificar una brecha de seguridad a la autoridad de control (art. 33.1 RGPD).
• Art. 37.1.a RGPD: designación obligatoria de DPD para autoridades y organismos públicos.
• Art. 5 RGPD: principios del tratamiento (7 principios).
• Art. 9 RGPD: categorías especiales de datos.

Errores típicos del opositor

• Confundir responsable y encargado: el responsable decide los fines; el encargado trata por cuenta del responsable.
• Creer que el RGPD se aplica directamente a los órganos jurisdiccionales en el ejercicio de su función judicial: no es así (art. 2.2.d RGPD). Rige la LOPJ.
• Confundir el plazo de 72 horas (brechas de seguridad a la AEPD) con el de 1 mes (respuesta a derechos).
• Atribuir responsabilidad personal al DPD por incumplimientos: la responsabilidad es del responsable o encargado del tratamiento.
• Creer que el derecho a la portabilidad es universal: solo opera cuando el tratamiento se basa en consentimiento o contrato y es automatizado.

Trucos mnemotécnicos

• «LMLE-MIC» para los principios del art. 5 RGPD: Licitud, Minimización, Limitación de finalidad, Exactitud, Mínimo plazo de conservación, Integridad/confidencialidad, Countability (accountability).
• «72-1-3»: 72 horas para brechas → 1 mes para derechos → 3 meses con prórroga.
• «El responsable decide; el encargado ejecuta»: frase para no confundir los roles del art. 4.7 y 4.8 RGPD.
• «LOPJ para el juez; RGPD+LO3 para el resto»: regla rápida para delimitar el régimen aplicable dentro de la Administración de Justicia.