🔐 Tema 10: Ley Orgánica 3/2018 de protección de datos

Ayuntamiento de Oviedo · Servicio de Extinción de Incendios y Salvamento (SEIS) · Agente Técnico/a Conductor/a Especialista del SEIS

Resumen

Qué es y para qué sirve. La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) tiene dos objetos (art. 1): adaptar el ordenamiento español al Reglamento (UE) 2016/679, el Reglamento general de protección de datos (RGPD), y completarlo; y garantizar los derechos digitales de la ciudadanía conforme al mandato del art. 18.4 de la Constitución. El derecho fundamental a la protección de datos, amparado por ese art. 18.4, se ejerce con arreglo al RGPD y a esta ley. Tiene 97 artículos en diez títulos; el último, el X, es el de los derechos digitales. Entró en vigor al día siguiente de su publicación en el BOE (disposición final decimosexta).

Ámbito (arts. 2 y 3). Se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales y al tratamiento no automatizado de datos contenidos o destinados a un fichero. No se aplica a los tratamientos que el propio RGPD excluye, a los datos de personas fallecidas ni a los tratamientos sometidos a la normativa de materias clasificadas. Sobre los fallecidos hay una regla propia: las personas vinculadas por razones familiares o de hecho y los herederos pueden pedir al responsable el acceso a los datos y, en su caso, su rectificación o supresión, salvo que el fallecido lo hubiera prohibido expresamente o lo impida una ley; esa prohibición no afecta al derecho de los herederos a acceder a los datos de carácter patrimonial.

Principios (título II, arts. 4 a 10). Exactitud: los datos serán exactos y, si fuere necesario, actualizados. Confidencialidad: responsables, encargados y todas las personas que intervengan en cualquier fase del tratamiento están sujetos al deber de confidencialidad, que se mantiene aunque termine su relación con el responsable o el encargado (art. 5). Consentimiento: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el afectado acepta el tratamiento mediante una declaración o una clara acción afirmativa (art. 6). Menores: el tratamiento solo puede fundarse en el consentimiento del menor cuando sea mayor de catorce años; por debajo hace falta el del titular de la patria potestad o tutela (art. 7). Si el tratamiento se basa en una obligación legal o en el ejercicio de poderes públicos, debe preverlo una norma de la Unión Europea o una norma con rango de ley (art. 8).

Datos especialmente protegidos. Para evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9.1). Los tratamientos de datos de salud y similares fundados en el Derecho español deben ampararse en una norma con rango de ley (art. 9.2). Los datos relativos a condenas e infracciones penales, para fines distintos de los policiales o judiciales, solo pueden tratarse con amparo en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal (art. 10).

Derechos de las personas (título III, arts. 11 a 18). El responsable puede cumplir el deber de información por capas: una información básica (identidad del responsable, finalidad del tratamiento y posibilidad de ejercer los derechos) y una dirección electrónica u otro medio para acceder al resto (art. 11). Los derechos son los de los arts. 15 a 22 del RGPD: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, además de los relativos a las decisiones individuales automatizadas. Se ejercen directamente o por representante; atenderlos es gratuito; la prueba de haber respondido recae sobre el responsable (art. 12), y los titulares de la patria potestad pueden ejercerlos en nombre de los menores de catorce años. El acceso puede considerarse repetitivo si se ejerce más de una vez en seis meses sin causa legítima (art. 13.3). Cuando el responsable rectifica o suprime datos debe bloquearlos: los identifica y reserva para impedir su tratamiento, salvo su puesta a disposición de jueces y tribunales, Ministerio Fiscal o Administraciones competentes, y solo durante el plazo de prescripción de las posibles responsabilidades; después se destruyen (art. 32).

Tratamientos concretos (título IV, arts. 19 a 27). La ley regula varios tratamientos específicos: los datos de contacto de quienes prestan servicios en una persona jurídica y los de empresarios individuales y profesionales liberales (art. 19); los sistemas de información crediticia, donde los datos de una deuda solo se mantienen mientras persista el incumplimiento y con un máximo de cinco años desde el vencimiento de la obligación (art. 20); los sistemas de exclusión publicitaria (art. 23), y la protección de las personas que informen sobre infracciones normativas (art. 24). El que más se pregunta es la videovigilancia (art. 22). Se pueden tratar imágenes de cámaras para preservar la seguridad de personas, bienes e instalaciones. De la vía pública solo puede captarse lo imprescindible, y nunca el interior de un domicilio privado. Las imágenes se suprimen en el plazo máximo de un mes desde su captación, salvo que deban conservarse para acreditar actos contra la integridad de personas, bienes o instalaciones; en ese caso se ponen a disposición de la autoridad competente en un máximo de setenta y dos horas desde que se conoce la existencia de la grabación. El deber de informar se cumple con un dispositivo informativo en lugar suficientemente visible que identifique, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos.

Responsable, encargado y delegado de protección de datos (título V). Responsables y encargados determinan las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento cumple la normativa (art. 28). Mantienen además un registro de actividades de tratamiento, y las Administraciones públicas y demás sujetos del art. 77.1, entre ellos las entidades locales, deben hacer público un inventario de sus actividades de tratamiento accesible por medios electrónicos (art. 31). El acceso del encargado a los datos necesarios para prestar su servicio al responsable no se considera comunicación de datos (art. 33.1). El delegado de protección de datos es obligatorio en los casos del art. 37.1 del RGPD y, en todo caso, en las entidades que enumera el art. 34.1 de la ley; su designación, nombramiento y cese se comunican en diez días a la Agencia Española de Protección de Datos o a la autoridad autonómica (art. 34.3). Es el interlocutor ante la autoridad de control, puede inspeccionar procedimientos y emitir recomendaciones, y no puede ser removido ni sancionado por desempeñar sus funciones salvo dolo o negligencia grave (art. 36). El afectado puede dirigirse a él antes de reclamar ante la Agencia, y el delegado le comunica la decisión en un máximo de dos meses; si es la Agencia quien le remite una reclamación, responde en un mes (art. 37). El delegado no está sujeto al régimen sancionador de la ley (art. 70.2).

Transferencias, Agencia Española de Protección de Datos, procedimiento y sanciones (títulos VI a IX). Las transferencias internacionales de datos se rigen por el Reglamento (UE) 2016/679, por la ley y por sus normas de desarrollo (art. 40). La Agencia es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que se relaciona con el Gobierno a través del Ministerio de Justicia (art. 44). Su Presidencia y su Adjunto tienen un mandato de cinco años, renovable por otro período igual; sus actos ponen fin a la vía administrativa y se recurren directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional (art. 48). En el procedimiento ante la Agencia (título VIII), la reclamación por no atender una solicitud de ejercicio de derechos se resuelve en seis meses desde que se notifica al reclamante la admisión a trámite, y pasado ese plazo puede considerarla estimada; el procedimiento sancionador dura como máximo doce meses desde el acuerdo de inicio, y después caduca (art. 64). Las infracciones muy graves prescriben a los tres años, las graves a los dos y las leves al año (arts. 72 a 74). Las sanciones de hasta 40.000 euros prescriben en un año, las de 40.001 a 300.000 a los dos años y las superiores a 300.000 a los tres (art. 78). Las Administraciones públicas, incluidas las entidades locales, tienen un régimen propio: la autoridad dicta una resolución que declara la infracción y establece las medidas para que cese o se corrijan sus efectos, y puede proponer actuaciones disciplinarias (art. 77).

Derechos digitales (título X, arts. 79 a 97). Los derechos y libertades de la Constitución y de los tratados son plenamente aplicables en Internet (art. 79). La ley reconoce, entre otros, la neutralidad de Internet (art. 80), el acceso universal (art. 81), la seguridad digital (art. 82), la educación digital (art. 83), el derecho al olvido en buscadores y en redes sociales (arts. 93 y 94) y el testamento digital (art. 96). En el trabajo, trabajadores y empleados públicos tienen derecho a la intimidad en el uso de los dispositivos digitales que les facilita el empleador (art. 87), a la desconexión digital fuera del tiempo de trabajo (art. 88) y a la intimidad frente a la videovigilancia y la geolocalización (arts. 89 y 90). El empleador puede usar cámaras para el control laboral informando antes de forma expresa, clara y concisa, pero en ningún caso se admiten sistemas de grabación de sonidos ni de videovigilancia en lugares de descanso o esparcimiento, como vestuarios, aseos, comedores y análogos (art. 89.2). Los convenios colectivos pueden añadir garantías (art. 91).

Claves para el examen

• Doble objeto: adaptar el ordenamiento al Reglamento (UE) 2016/679 y garantizar los derechos digitales (art. 1). Base constitucional: art. 18.4 CE.
• No se aplica a los datos de personas fallecidas, pero familiares, allegados y herederos pueden pedir acceso, rectificación o supresión (arts. 2.2 y 3).
• Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca (art. 6.1).
• El menor consiente por sí mismo si es mayor de catorce años (art. 7.1).
• El deber de confidencialidad sigue aunque termine la relación con el responsable (art. 5.3).
• El solo consentimiento no basta para datos cuya finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9.1).
• Información básica: identidad del responsable, finalidad y posibilidad de ejercer los derechos (art. 11.2).
• Ejercer los derechos es gratuito y la prueba de haber respondido recae sobre el responsable (art. 12).
• Acceso repetitivo: más de una vez en seis meses sin causa legítima (art. 13.3).
• Videovigilancia: supresión en un mes como máximo; si hay ilícito, a disposición de la autoridad en setenta y dos horas (art. 22.3).
• Delegado de protección de datos: comunicar su designación en diez días; responde al afectado en dos meses (arts. 34.3 y 37.1).
• Agencia Española de Protección de Datos: autoridad administrativa independiente; Presidencia de cinco años renovable una vez (arts. 44 y 48).
• Prescripción de las infracciones: muy graves 3 años, graves 2 años, leves 1 año (arts. 72 a 74).
• A las entidades locales no se les multa: resolución que declara la infracción y medidas para corregirla (art. 77).
• Nunca cámaras ni micrófonos en vestuarios, aseos, comedores y lugares de descanso (art. 89.2). Derecho a la desconexión digital (art. 88).

Vídeos recomendados

• Curso completo - Ley Orgánica 3/2018 de protección de datos personales
• LOPD Ley Orgánica 3/2018 de PROTECCION DE DATOS PERSONALES 🔐RGPD OPOSICIONES
• LEY de PROTECCION de DATOS 2️⃣
• Tema 11. Protección de datos. LO 3/2018, de Protección de datos personales. Nuevo Temario GC

← Tema 9 · Tema 11 →

📲 Compártelo con tu grupo de la oposición: WhatsApp · Telegram · Copiar enlace