Protección de datos: principios y derechos
La Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) desarrolla en España el Reglamento (UE) 2016/679 (RGPD). Sus primeros artículos concretan los principios del tratamiento y las condiciones del consentimiento.
Exactitud y confidencialidad (arts. 4 y 5)
El art. 4.1, en relación con el art. 5.1.d) del RGPD, desarrolla el principio de exactitud: los datos deberán ser exactos y, si fuere necesario, actualizados. No hay que confundirlo con la licitud, lealtad y transparencia (art. 5.1.a RGPD) ni con la minimización (adecuados, pertinentes y limitados a lo necesario).
El art. 5.1 somete al deber de confidencialidad a los responsables y encargados del tratamiento y a todas las personas que intervengan en cualquier fase de este — no solo al delegado ni solo al responsable. Además, el art. 5.3 precisa que esta obligación se mantiene aun cuando hubiese finalizado la relación del obligado con el responsable o encargado, sin plazo de dos años ni límite vinculado al contrato de encargo.
El consentimiento (arts. 6 y 7)
El art. 6.1 define el consentimiento del afectado como toda manifestación de voluntad libre, específica, informada e inequívoca por la que acepta, mediante declaración o clara acción afirmativa, el tratamiento de sus datos. Quedan fuera el silencio, la aceptación tácita por uso continuado o una manifestación ambigua.
El art. 6.3 prohíbe supeditar la ejecución de un contrato a que el afectado consienta el tratamiento para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.
El art. 7.1 fija la edad para consentir por uno mismo: el tratamiento de datos de un menor solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años. Por debajo se exige el consentimiento de quien ostente la patria potestad o tutela. España rebajó así los dieciséis años que fija por defecto el RGPD; no son trece ni dieciocho.
Bases de legitimación específicas (arts. 8, 9 y 10)
El art. 8.1 exige que el tratamiento fundado en una obligación legal (art. 6.1.c RGPD) esté previsto por una norma de Derecho de la Unión Europea o una norma con rango de ley; no basta una disposición reglamentaria, una instrucción interna ni un real decreto.
El art. 9.1 advierte, para los datos que revelen ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico, que el solo consentimiento del afectado no basta para levantar la prohibición de tratamiento, sin perjuicio de los demás supuestos del art. 9.2 RGPD (norma con rango de ley, interés público esencial, intereses vitales…).
El art. 10.1 regula los datos de condenas e infracciones penales: para fines distintos de la prevención, investigación, detección o enjuiciamiento penal, solo cabe tratarlos si están amparados en una norma de Derecho de la Unión, en la propia LOPDGDD o en otras normas de rango legal — nunca por el mero consentimiento ni por autorización de la AEPD.
Deber de información (art. 11)
Cuando los datos se obtienen del propio afectado, el art. 11.2 exige facilitarle una información básica mínima: la identidad del responsable (y de su representante, en su caso), la finalidad del tratamiento y la posibilidad de ejercer los derechos de los arts. 15 a 22 del RGPD. No basta con el plazo de conservación, la identidad del encargado ni la dirección de la AEPD.
Puntos clave
- Exactitud (art. 4.1): datos exactos y actualizados si es necesario.
- Confidencialidad (art. 5.1): responsables, encargados y todo interviniente; pervive tras acabar la relación (art. 5.3).
- Consentimiento (art. 6.1): libre, específico, informado e inequívoco, por declaración o acción afirmativa; el silencio no vale.
- Art. 6.3: no condicionar el contrato a consentir fines ajenos a la relación contractual.
- Menores (art. 7.1): consentimiento propio desde los catorce años.
- Obligación legal (art. 8.1): norma UE o rango de ley.
- Categorías especiales (art. 9.1): el solo consentimiento no basta.
- Datos penales (art. 10.1): amparo en norma UE, LOPDGDD u otra de rango legal.
- Información básica (art. 11.2): identidad del responsable, finalidad y derechos de los arts. 15 a 22 RGPD.
