El pasado 7 de diciembre, entró en vigor la nueva Ley Orgánica 3/2018 de Protección de datos y de Garantías de los Derechos digitales, de 5 de diciembre, habiendo transcurrido algo más de seis meses desde que comenzó a aplicarse el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016.
Además de destinarse a adaptar el ordenamiento español al Reglamento Europeo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de esos datos, completa sus disposiciones e incorpora algunas novedades.
La norma consta de 97 artículos, organizados en 10 títulos; 22 disposiciones adicionales; 6 transitorias; 1 derogatoria y 16 finales.
El Título I, artículos 1 a 3, relativo a las disposiciones generales, regula el objeto y el ámbito de aplicación de la ley y establece que el derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica.
Incluye la regulación de los datos de las personas fallecidas, pues, tras excluir del ámbito de aplicación de la ley su tratamiento, se permite que las personas vinculadas al fallecido por razones familiares o de hecho o sus herederos puedan solicitar el acceso a los mismos, así como su rectificación o supresión, en su caso con sujeción a las instrucciones del fallecido.
El Título II (arts. 4 a 10) regula los principios de protección de datos: exactitud de los datos; deber de confidencialidad; el tratamiento basado en el consentimiento del afectado; el consentimiento de los menores de edad; el tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos; las categorías especiales de datos y el tratamiento de datos de naturaleza penal.
El Título III, sobre los derechos de las personas, se organiza en dos capítulos, el primero, “Transparencia e información” (art. 11) recoge la denominada «información por capas», facilitando al afectado la información básica, si bien, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. En el segundo Capítulo de este Título, “Ejercicio de los derechos” (arts. 12 a 18), se contienen las disposiciones generales sobre ejercicio de los derechos y se regula el ejercicio de los derechos de acceso; rectificación; supresión.; a la limitación del tratamiento; a la portabilidad y de oposición.
El Título IV (arts. 19 a 27), contiene las disposiciones aplicables a un relación de tratamientos concretos que, según la exposición de motivos, “en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos”. Dentro de ellos se incluye, en primer lugar, aquellos tratamientos respecto de los que el legislador establece una presunción iuris tantum de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, como el de los datos de contacto, de empresarios individuales y de profesionales liberales; de los sistemas de información crediticia y el de los tratamientos relacionados con la realización de determinadas operaciones mercantiles.
Junto a estos supuestos se recogen otros tratamientos, como los tratamientos con fines de videovigilancia, los ficheros de exclusión publicitaria o los sistemas de denuncias internas, en los que la licitud del tratamiento proviene de la existencia de un interés público, en los términos establecidos en el artículo 6.1 e) del Reglamento (UE) 2016/679.
Finalmente, se hace referencia en este título a la licitud de otros tratamientos regulados en el Capítulo IX del Reglamento, como los relacionados con la función estadística o con fines de archivo de interés general, así como el tratamiento de datos relativos a infracciones y sanciones administrativas.
El Título V se ocupa del responsable y del encargado del tratamiento y se divide en cuatro capítulos.
El primero (“Disposiciones generales. Medidas de responsabilidad activa”), arts. 28 a 32, regula las obligaciones generales del responsable y encargado del tratamiento; los supuestos de corresponsabilidad; el representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea; el registro de las actividades de tratamiento y el cuestionado bloqueo de los datos.
El Capítulo dos (“Encargado del tratamiento”), consta de un único artículo con el mismo título.
El Capítulo tres (“Delegado de protección de datos”, arts. 34 a 37), regula diversos aspectos de esta relevante figura, como su designación; su cualificación; su posición dentro de las organizaciones y su intervención en caso de reclamación ante las autoridades de protección de datos.
Finalmente, el Capítulo cuatro de este Título se ocupa de los “Códigos de conducta y certificación” (arts. 38 y 39).
En el Título VI (arts. 40 a 43) se contienen las normas aplicables a las transferencias internacionales de datos, adaptando lo previsto en el RGPD en cuanto a los procedimientos a través de los cuales las autoridades de protección de datos pueden aprobar modelos contractuales o normas corporativas vinculantes, supuestos de autorización de una determinada transferencia, o información previa
El Título VII (“Autoridades de protección de datos”) se estructura en dos capítulos. El primero dedicado a la Agencia Española de Protección de Datos
Dentro del mismo Título VII, su Capítulo II regula las Autoridades autonómicas de protección de datos.
El Título VIII (arts. 63 a 69), se refiere los procedimientos sancionadores por vulneración de la normativa de protección de datos: su régimen jurídico; la iniciación y duración del procedimiento; la admisión a trámite de las reclamaciones; el alcance territorial; las actuaciones previas de investigación y las medidas provisionales y de garantía de los derechos aplicables.
A continuación el Título IX regula el fundamental régimen sancionador. En los arts. 70 a 78 se regulan los sujetos responsables; se tipifican las infracciones y se identifican las muy graves, graves y leves, a los solos efectos.
Finalmente, la Ley incorpora un Título X (arts. 79 a 97), denominado “Garantía de los derechos digitales”, a fin de “reconocer y garantizar un elenco de derechos digitales de los ciudadanos conforme al mandato establecido en la Constitución”. En el boletín del mes de febrero trataremos más en profundidad este título.
En cuanto a las disposiciones adicionales, regulan cuestiones como las medidas de seguridad en el ámbito del sector público; el cómputo de plazos; la incorporación de deudas a sistemas de información crediticia; la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos; la potestad de verificación de las Administraciones Públicas; el tratamiento de datos de salud y las prácticas agresivas en materia de protección de datos.
La disposición derogatoria única afecta expresamente a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal así como al Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos y, genéricamente, a “cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE) 2016/679 y la presente ley orgánica”.
Consultora Jurídica en Protección de Datos
Deja un comentario