2. La protección de datos de carácter personal.
2.1. Disposiciones generales del RGPD.
Objeto.
El Reglamento General de Protección de Datos (RGPD) establece:
-Las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales.
-Las normas relativas a la libre circulación de tales datos. La libre circulación del dato; personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al trata miento de datos personales.
El RGPD protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.
Ámbito de aplicación.
El RGPD es válido para el procesamiento de datos personales que es total o parcialmente automatizado, así como para el procesamiento no automatizado de datos personales que estén contenidos o destinados a ser incluidos en un registro. No obstante, el Reglamento no es aplicable a:
a) en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
b) por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del Tratado de la Unión Europea -TUE- (se refiere a disposiciones específicas sobre la política exterior y de seguridad común);
c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas;
d) Por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención.
El Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no.
El RGPD se aplica al tratamiento de datos personales en el contexto de las operaciones de un establecimiento del responsable o el encargado en la Unión, sin importar si el tratamiento ocurre en la Unión o en otro lugar. También se aplica al procesamiento de datos personales de interesados que residen en la Unión, llevado a cabo por un responsable o encargado no establecido en la Unión, cuando el tratamiento esté relacionado con:
- La oferta de bienes o servicios a estos interesados en la Unión, incluso si no se les requiere el pago.
- El monitoreo de su comportamiento, en la medida en que tenga lugar en la Unión. El RGPD también es aplicable al procesamiento de datos personales por parte de un responsable que no está establecido en la Unión, pero el derecho de los Estados miembros se aplica en virtud del derecho público internacional.
El Reglamento garantiza la protección de las personas físicas, sin importar su nacionalidad o lugar de residencia, en relación con el procesamiento de sus datos personales. Sin embargo, el RGPD no regula el tratamiento de datos personales relacionados con personas jurídicas, incluyendo empresas constituidas como personas jurídicas, como su nombre y forma legal, así como los datos de contacto.
El RGPD no se ocupa de la protección de datos personales de personas fallecidas. En su lugar, los Estados miembros tienen la autoridad para establecer regulaciones sobre el procesamiento de datos personales relacionados con individuos fallecidos. La LO 3/2018, por ejemplo, establece ciertas normas en su artículo 3 con respecto a los datos personales de personas fallecidas.
Definiciones.
En el contexto del RGPD, el artículo 4 define los siguientes términos de la siguiente manera:
- “Datos personales”: cualquier información relacionada con una persona física identificada o identificable (el “interesado”); una persona física identificable es aquella cuya identidad puede determinarse, ya sea directa o indirectamente, en particular a través de un identificador, como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o varios atributos que pertenecen a la identidad física, fisiológica, genética, psicológica, económica, cultural o social de esa persona.
- “Tratamiento”: cualquier operación o conjunto de operaciones realizadas en datos personales o conjuntos de datos personales, ya sea a través de medios automatizados o no, que incluye la recopilación, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, divulgación o cualquier otro medio que permita el acceso, comparación o interconexión, limitación, eliminación o destrucción.
- “Limitación del tratamiento”: el marcado de datos personales conservados con el propósito de restringir su tratamiento futuro.
- “Elaboración de perfiles”: cualquier forma de tratamiento automatizado de datos personales que implica el uso de datos personales para evaluar ciertos aspectos personales de una persona física, en particular para analizar o predecir aspectos relacionados con el desempeño laboral, situación financiera, salud, preferencias. personales, intereses, confiabilidad, comportamiento, ubicación o movimientos de esa persona física.
- “Seudonimización”: el tratamiento de datos personales de tal manera que ya no se pueden atribuir a un interesado sin el uso de información adicional, siempre que esta información adicional se mantenga por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no podrán ser atribuidos a una persona física identificable.
- “Fichero”: cualquier conjunto estructurado de datos personales que pueda ser accedido de acuerdo con criterios específicos, ya sea de manera centralizada, descentralizada o distribuida de manera funcional o geográfica.
- “responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, ya sea de manera individual o en conjunto con otros, determina las multas y medios del tratamiento. En situaciones en las que el derecho de la Unión o de los Estados miembros define las multas y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su designación pueden ser establecidos por el derecho de la Unión o de los Estados miembros.
- “Encargado del tratamiento” o “encargado”: la persona física o jurídica, autoridad pública, servicio u otro organismo que procesa datos personales en nombre del responsable del tratamiento.
- “Destinatario”: persona física o jurídica, autoridad pública, servicio u otro organismo al que se le comunica datos personales, ya sea un tercero o no. Sin embargo, las autoridades públicas que reciban datos personales en el contexto de una investigación específica según el derecho de la Unión o los Estados miembros no se consideran destinatarios, y el tratamiento de dichos datos por parte de estas autoridades públicas estará en conformidad con las normativas. de protección de datos aplicables a las multas del tratamiento.
- “Tercero”: persona física o jurídica, autoridad pública, servicio u organismo que es diferente al interesado, al responsable del tratamiento, al encargado del tratamiento ya las personas autorizadas para tratar datos personales bajo la autoridad directa del responsable o del encargado.
- “Consentimiento del interesado”: manifestación de voluntad libre, específica, informada e inequívoca mediante la cual el interesado acepta, ya sea mediante una declaración o una acción afirmativa clara, el tratamiento de datos personales relacionados con él.
- “Violación de la seguridad de los datos personales”: cualquier violación de la seguridad que resulte en la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, almacenados o tratados de otra manera, o en la comunicación o el acceso no autorizados a dichos datos.
- “Datos genéticos”: datos personales relacionados con las características genéticas heredadas o adquiridas de una persona física que proporcionan información única sobre su fisiología o salud, obtenida, en particular, a través del análisis de una muestra biológica de esa persona.
- “Datos biométricos”: datos personales obtenidos a través de un tratamiento técnico específico relacionados con las características físicas, fisiológicas o conductuales de una persona física que permiten o confirman su identificación única, como imágenes faciales o datos dactiloscópicos.
- “Datos relativos a la salud”: datos personales relacionados con la salud física o mental de una persona, incluyendo la prestación de servicios de atención médica, que revelan información sobre su estado de salud. Esto puede incluir cualquier dato único que identifique a una persona para fines de atención médica, información obtenida de pruebas o exámenes de partes del cuerpo o sustancias corporales, así como información relacionada con enfermedades, discapacidades, riesgos de enfermedades, historial médico, tratamiento clínico y estado fisiológico o biomédico de la persona, sin importar la fuente de esta información.
- “Establecimiento principal”: a) En referencia a un responsable del tratamiento con establecimientos en varios Estados miembros, se refiere al lugar de su administración central en la Unión, a menos que las decisiones sobre los multas y medios del tratamiento se tomen en otro establecimiento. del responsable en la Unión y este establecimiento tenga el poder de hacer cumplir dichas decisiones, en cuyo caso se considerará establecimiento principal al que haya tomado esas decisiones. b) En el caso de un encargado del tratamiento con establecimientos en varios Estados miembros, se refiere al lugar de su administración central en la Unión o, si no lo tiene, al establecimiento del encargado en la Unión donde se realizan las actividades principales de tratamiento en el contexto de las actividades de un establecimiento del encargado en la medida en que el encargado esté sujeto a obligaciones específicas según el RGPD.
- “Representante”: persona física o jurídica establecida en la Unión que ha sido designada por escrito por el responsable o el encargado del tratamiento para representarlos en relación con sus respectivas obligaciones bajo el RGPD.
- “Empresa”: persona física o jurídica dedicada a una actividad económica, independientemente de su forma legal, incluyendo sociedades o asociaciones que regularmente realizan una actividad económica.
- “Grupo empresarial”: grupo compuesto por una empresa que ejerce el control y sus empresas controladas.
- “Normas corporativas vinculantes”: políticas de protección de datos personales adoptadas por un responsable o encargado del tratamiento establecido en un Estado miembro para transferencias o un conjunto de transferencias de datos personales a un responsable o encargado en uno o más países terceros, dentro de un grupo empresarial o una unión de empresas dedicadas a una actividad económica conjunta.
- «autoridad de control»: la autoridad pública independiente establecida por un Estado miembro.
- “Autoridad de control interesada”: se refiere a la autoridad de control a la que afecta el tratamiento de datos personales debido a alguna de las siguientes situaciones: A) El responsable o el encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control. B) Los interesados que residen en el Estado miembro de esa autoridad de control se ven parcialmente afectados o es probable que se vean parcialmente afectados por el tratamiento. C) Se ha presentado una reclamación ante esa autoridad de control.
- “Tratamiento transfronterizo”: se refiere al tratamiento de datos personales que se lleva a cabo en el contexto de las actividades de establecimientos en más de un Estado miembro por parte de un responsable o encargado del tratamiento en la Unión. Esto se aplica cuando el responsable o el encargado tienen establecimientos en más de un Estado miembro. Además, se considera tratamiento transfronterizo cuando se realiza en el contexto de las actividades de un único establecimiento de un responsable o un encargado en la Unión, pero afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro.
- “Objeción pertinente y motivada”: se refiere a la objeción presentada contra una propuesta de decisión relacionada con la existencia o no de infracción del Reglamento o la conformidad con el presente Reglamento de acciones previstas en relación con el responsable o el encargado del tratamiento. Esta objeción debe demostrar claramente la importancia de los riesgos que implica el proyecto de decisión para los derechos y libertades fundamentales de los interesados y, en su caso, para la libre circulación de datos personales dentro de la Unión.
- “Servicio de la sociedad de la información”: hace referencia a cualquier servicio proporcionado normalmente a cambio de una remuneración, a distancia, por vía electrónica y petición individual de un destinatario de servicios. En esta definición, se entiende por:
- “A distancia” a un servicio prestado sin que las partes estén presentes simultáneamente.
- “Por vía electrónica” a un servicio enviado desde la fuente y recibido por el destinatario mediante equipos electrónicos de tratamiento y almacenamiento de datos, transmitido y recibido enteramente por hilos, radio, medios ópticos o cualquier otro medio electromagnético.
- “A petición individual de un destinatario de servicios” a un servicio prestado mediante transmisión de datos a petición individual.
- “Organización internacional”: se refiere a una organización internacional y sus entidades subordinadas de derecho público internacional o cualquier otro organismo creado mediante un acuerdo entre dos o más países o en virtud de dicho acuerdo.
2.2. Disposiciones generales de la LO 3/2018.
Objeto.
La Ley Orgánica 3/2018, de 5 de diciembre, tiene por objeto:
a) Adaptar el ordenamiento jurídico español al RGPD y completar sus disposiciones.
b) Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.
Las comunidades autónomas ostentan competencias de desarrollo normativo y ejecución del derecho fundamental a la protección de datos personales en su ámbito de actividad y a las autoridades autonómicas de protección de datos que se creen les corresponde contribuir a garantizar este derecho fundamental de la ciudadanía.
Naturaleza.
Conforme a su disposición final primera, la LO 3/2018 tiene el carácter de ley orgánica. No obstante, tienen carácter de ley ordinaria:
– El Título IV (disposiciones aplicables a tratamientos concretos).
El Título VII (autoridades de protección de datos); salvo los artículos 52 (deber de colaboración) y 53 (alcance de la actividad de investigación), que tienen carácter orgánico.
El Título VIII (procedimientos en caso de posible vulneración de la normativa de protección de datos).
– El Título IX (régimen sancionador).
Del Título X (garantía de los derechos digitales), los siguientes artículos:
*79 (los derechos en la Era digital),
*80 (derecho a la neutralidad de Internet),
*81 (derecho de acceso universal a Internet),
*82 (derecho a la seguridad digital),
*88 (derecho a la desconexión digital en el ámbito laboral),
*95 (derecho de portabilidad en servicios de redes sociales y servicios equivalentes)
*96 (derecho al testamento digital),
*97 (políticas de impulso de los derechos digitales).
-Las disposiciones adicionales, salvo la disposición adicional segunda (protección de datos y transparencia y acceso a la información pública) y la disposición adicional decimoséptima (tratamientos de datos de salud), que tienen carácter orgánico.
-Las disposiciones transitorias.
-Y las disposiciones finales, salvo las disposiciones finales primera (naturaleza de la presente Ley), segunda (título competencial), tercera (modificación de la LO del Régimen Electoral General), cuarta (modificación de la LO del Poder Judicial), octava (modificación de la LO de Universidades), décima (modificación de la LO de Educación) y decimosexta (entrada en vigor), que tienen carácter orgánico.
Con respecto a las leyes ordinarias, las leyes orgánicas, requieren el voto favorable de la mayoría absoluta de los miembros del Congreso de los Diputados en una votación final sobre el conjunto del proyecto aprobado. Las leyes orgánicas tienen además las siguientes limitaciones procedimentales: no cabe en materia de ley orgánica la delegación legislativa en Comisión (75.3), la iniciativa legislativa popular (87.3) ni la aprobación por decreto-ley (artículo 86, que enumera con otra terminología materias similares a las contenidas en el artículo 81).
En el caso de la LO 3/2018; las características de las leyes orgánicas son aplicables a las partes de esta ley que gozan del carácter de ley orgánica.
Ámbito de aplicación.
Lo establecido en los Títulos I a IX y en los artículos 89 a 94 de la LO 3/2018 es aplicable a cualquier procesamiento, ya sea total o parcialmente automatizado, de datos personales, así como al procesamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un archivo.
Esta ley orgánica no se aplica a:
A) Los tratamientos excluidos del ámbito de aplicación del RGPD.
B) El tratamiento de datos de personas fallecidas.
C) El tratamiento de datos sujetos a la normativa sobre protección de materias clasificadas.
Los tratamientos a los que no sea directamente aplicable el RGPD por afectar a actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión Europea, se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado RGPD y en la LO 3/2018. Se encuentran en esta situación entre otros:
- Los tratamientos realizados de acuerdo con la legislación orgánica del régimen electoral general.
- Los tratamientos realizados en el ámbito de instituciones penitenciarias.
- Los tratamientos derivados del Registro Civil, los Registros de la Propiedad y Mercantiles.
El tratamiento de datos realizado en el contexto de la tramitación de procesos judiciales por parte de los órganos judiciales competentes, así como aquel realizado dentro de la gestión de la Oficina Judicial, se regirá por lo establecido en el RGPD y la LO 3/2018, sin perjuicio de las disposiciones de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, que sean aplicables.
En lo que respeta a los datos de personas fallecidas, el artículo 3 de la LO 3/2018 establece lo siguiente:
- Las personas relacionadas con el difunto por razones familiares o, de hecho, así como sus herederos, pueden dirigirse al responsable o encargado del tratamiento para solicitar acceso a los datos personales de la persona fallecida y, si es necesario, su corrección o eliminación. Sin embargo, estas personas no podrán acceder a los datos del fallecido ni solicitar su corrección o eliminación si el difunto lo hubiera prohibido expresamente o si una ley así lo establece. Esta prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del difunto.
- Las personas o instituciones designadas expresamente por el difunto pueden solicitar, de acuerdo con las instrucciones recibidas, acceso a los datos personales del difunto y, si es necesario, su corrección o eliminación. Por real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos.
- En el caso de fallecimiento de menores, estas facultades pueden ser ejercidas por sus representantes legales o, en el ámbito de sus competencias, por el Ministerio Fiscal, que puede actuar de oficio o a solicitud de cualquier persona física o jurídica interesada. En el caso de fallecimiento de personas con discapacidad, estas facultades también pueden ser armadas, además de por las personas mencionadas anteriormente, por aquellos designados para llevar a cabo funciones de apoyo, si es que tales facultades se consideran incluidas en las medidas de apoyo proporcionadas. por el designado.
Cómputo de plazos.
Conforme a la disposición adicional 3ª de la LO 3/2018, los plazos establecidos en el RGPD o en dicha ley orgánica, con independencia de que se refieran a relaciones entre particulares o con entidades del sector público, se regirán por las siguientes reglas:
a) Cuando los plazos se señalen por días, se entiende que estos son hábiles, excluyéndose del cómputo los sábados, los domingos y los declarados festivos.
b) Si el plazo se fija en semanas, concluirá el mismo día de la semana en que se pro dujo el hecho que determina su iniciación en la semana de vencimiento.
c) Si el plazo se fija en meses o años, concluirá el mismodía en que se produjo el hecho que determina su iniciación en el mes o el ano de vencimiento. Si en el mes de vencimiento no hubiera día equivalente a aquel en que comienza el computo, se entenderá que el plazo expira el último día del mes.
d) Cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer día hábil siguiente.
