Ya tenemos nueva LOPD, aunque esta vez tenga un nombre compuesto, con el añadido (no orgánico) de los derechos digitales y su garantía. Con más que un considerable atraso, después de la vigencia desde el 25 de mayo del RGPD, se publica en el BOE la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
Aunque su finalidad última sea la introducción en el ordenamiento jurídico interno del RGPD, ya directamente aplicable por su naturaleza jurídica, la LOPDGDD contiene sustanciales novedades, algunas de ellas vía modificación de otras normas, que conviene tener en consideración desde el minuto uno, y más a la vista de que su entrada en vigor se produce al día siguiente de su publicación en el BOE del 6 de diciembre (muy constitucional), o sea, el 7 de diciembre.
Por eso, a continuación, hemos hecho una breve reseña de las 10 principales novedades a las que prestar atención:
Legitimación de las Administraciones Públicas para usar y ceder datos personales
El art. 6 del RGPD contiene las bases de la legitimación para el uso de datos personales, de entre las cuales son dos las que sirven de base legal para su uso y, si hace falta, la cesión de datos por parte de las administraciones públicas. Por un lado, cuando el tratamiento sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento y, por otro lado, cuando el tratamiento sea necesario para el cumplimiento de una tarea realizada en interés público o en el ejercicio de poderes públicos otorgados al responsable del tratamiento.
Sobre este tema, la LOPDGDD introduce un nuevo artículo 8, relativo al “Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos”, que aclara cuando el tratamiento de datos personales se puede considerar fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos que prevé el artículo 6.1 c) RGPD. Será cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, norma que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como los ceses que siguen procedentes como consecuencia del cumplimiento de la obligación legal. Esta norma podrá igualmente imponer condiciones especiales al tratamiento, como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del RGPD.
Uso de nuestros datos para el proceso perfilativo partidos políticos
La LOPDGDD añade un nuevo art. 58 bis a la Ley Orgánica 5/1985, del 19 de junio, del régimen electoral general (LOREG), relativo al “Uso de medios tecnológicos y datos personales en las actividades personales”, que ha iniciado no pocas polémicas por la posible (indebida) utilización de estos datos que puedan hacer los partidos políticos, mediante técnicas de perfilación y que ha provocado incluso el pronunciamiento “preventivo” de la Agencia Española de Protección de Datos (AEPD), en su criterio sobre cuestiones electorales en el proyecto LOPD.
El nuevo precepto de la LOREG permite la recopilación de datos personales relativos a las opiniones políticas de las personas que se ocupen de los partidos políticos en el marco de sus actividades electorales, desde la consideración que se encuentra amparada en el interés público, con una condición, que se ofrezcan garantías adecuadas. Eso sí, no se concretan esas medidas, sino que se limita a señalar a continuación que los partidos políticos, coaliciones y agrupaciones electorales podrán usar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el período electoral. Las posibilidades que ofrecen en la actualidad el tratamiento masivo de datos mediante técnicas de Big Data y inteligencia artificial requieren prestar especial atención a esta cuestión.
Más funciones para el Delegado de Protección de Datos (DPD)
Con algunas modificaciones, la LOPDGDD mantiene la configuración del Delegado de Protección de Datos (DPD), con una novedad en su art. 37, relativo a la “Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos”, mediante el reconocimiento de su papel como órgano intermedio de control.
De esta manera, cuando el responsable o el encargado del tratamiento han designado un delegado de protección de datos, el afectado podrá, con carácter previo a la presentación de una reclamación contra aquellos ante la AEPD o, si es el caso, ante las autoridades autonómicas de protección de datos, dirigirse al DPD de la entidad contra la cual se reclame.
En este caso, el DPD comunicará al afectado la decisión que se haya adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación. Es decir, se configura como una autoridad de control, escenario que plantearía problemas en esos casos en que las AAPP hayan recorrido a la vía de la contratación externa, vía LCSP, para el ejercicio de estas funciones, dada la reserva del ejercicio de las funciones públicas de autoridad.
Redes sociales y protección de datos
La importancia que han adquirido las redes sociales en la vida cotidiana del conjunto de la sociedad sigue multiplicándose de una manera exponencial, y la información y datos personales que voluntariamente o involuntariamente se exponen exigen adoptar una posición activa para su protección, que en nuestro ordenamiento aún está poco regulada.
Su incorporación se produce a través del art. 94, relativo al “Derecho al olvido en servicios de redes sociales y servicios equivalentes”, recogiendo el derecho de toda persona a que sean suprimidos, con una simple solicitud, los datos personales que se hayan facilitado para su publicación para servicios de redes sociales y servicios de la sociedad de la información equivalentes, como las facilitadas por terceros para su publicación por los servicios de redes sociales y servicios de la sociedad de la información equivalentes cuando sean inadecuados, inexactos, no pertinentes, no actualizadas o excesivas o hayan resultado como tales por el transcurso del tiempo, teniendo en cuenta las finalidades por las cuales se recogieron o trataron, el tiempo transcurrido y la naturaleza e interés público de la información.
También se incorpora el “Derecho de portabilidad en servicios de redes sociales y servicios equivalentes”, en el art. 95, gracias al cual los usuarios de servicios de redes sociales y servicios de la sociedad de la información equivalentes tendrán derecho a recibir y transmitir los contenidos que hayan facilitado a los prestadores de estos servicios, así como al hecho de que los prestadores se transmitan directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible.
Nuevas obligaciones de transparencia
No hay duda de que la conexión entre la transparencia y la protección de datos, como se puede comprobar en cómo afecta el RGPD al portal de transparencia. Por este motivo la disposición adicional segunda de la LOPDGDD, relativa a la “Protección de datos, transparencia y acceso a la información pública” lleve a cabo la modificación de la Ley 19/2013, del 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno (LTBG).
Señala la modificación que la publicidad activa y el acceso a la información pública que regula la LTBG, así como las obligaciones de publicidad activa establecidas por la legislación autonómica que se someterán cuando la información contenga datos personales, al que disponen los art. 5.3 y 15 del LTBG, RGPD y en la misma ley orgánica, modificando así mismo el artículo 15 del LTBG para su ajuste normativo.
Se introducen, por otra parte, nuevas obligaciones en materia de publicidad activa en añadir un nuevo art. 6 bis, relativo al “Registro de actividades de tratamiento”, que establece que los sujetos enumerados en el art. 77.1 de la LOPDGDD, publicarán en su inventario de actividades de tratamiento en aplicación del artículo 31 de la misma.
Protección de datos de los difuntos
Aunque algunas CCAA ya se habían adentrado a explorar la gestión de los datos de las personas muertas en el entorno digital, no teníamos aún ningún marco legal básico que permitiera dar una respuesta adecuada a esta problemática. Con esta finalidad se incorpora en el art. 3, relativo a los “Datos de las personas fallecidas”, que prevé que las personas vinculadas al muerto por razones familiares o sus herederos podrán dirigirse al responsable o al encargado del tratamiento con tal de solicitar el acceso a los datos personales de aquella y, si es necesario, su rectificación o supresión.
Como excepción, las personas a las que hace referencia el parágrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona muerta lo haya prohibido expresamente o si así lo establece una ley. Esta prohibición no afectará al derecho de los herederos de acceder a los datos de carácter patrimonial del causante. Las personas o instituciones a las que el muerto hubiera designado expresamente para tal cuestión podrán también solicitar, de acuerdo con las instrucciones recibidas, el acceso a los datos personales de ésta y, si es necesario, su rectificación o supresión.
También se contemplan las especialidades en el caso de muerte de menores y de personas con discapacidad, a su lado y como uno de los derechos digitales en el art. 96, el “Derecho al testamento digital”.
Intermediación de datos en el procedimiento administrativo común (LPAC)
Uno de los temas más controversiales en la utilización de las Plataformas de Intermediación de Datos (PID), por las AAPP en ejecución del principio “once & only”, es la posible colisión entre el artículo 28 de la Ley 39/2015, del 1 de octubre, del procedimiento administrativo común de las administraciones públicas (LPAC) y el RGPD, porque este último veta el consentimiento tácito que es, en cierta medida, el que recoge este precepto en la redacción original.
Después de la modificación de los apartados 2 y 3 del artículo 28 de la LPAC se mantiene el reconocimiento a los interesado del derecho a no aportar documentos que ja se encuentren en el poder de la Administración actuante o que hayan estado elaborados por cualquier otra Administración. La Administración actuante podrá consultar o pedir estos documentos a menos que el interesado se oponga, sin que haya oposición cuando la aportación del documento se exigiera en el marco del ejercicio de potestades sancionadoras o de inspección. Por eso las AAPP tendrán que pedir los documentos electrónicamente a través de sus redes corporativas o mediante una consulta a las plataformas de intermediación de datos u otros sistemas electrónicos habilitados al efecto. Las AAPP tampoco requerirán a los interesados datos o documentos no exigidos por la normativa reguladora aplicable o que hayan estado aportados anteriormente por el interesado a cualquier Administración. Su obtención se realizará de la misma forma que el anterior caso, a menos que consista en el procedimiento la oposición expresa del interesado o la ley especial aplicable requiere su consentimiento expreso.
Esta nueva redacción se debe leer a la luz de lo que establece la Disposición adicional octava, relativa a la “potestad de verificación de las Administraciones Públicas”, que otorga esta legitimidad en señalar que cuando se formulen solicitudes por cualquier medio en el que el interesado declare datos personales que estén en poder de las administraciones públicas, el órgano destinatario de la solicitud podrá efectuar en el ejercicio de sus competencias las verificaciones necesarias para comprobar la exactitud de los datos.
Novedades en el régimen jurídico de los empleados (públicos y no públicos)
Los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y la salvaguardia de derechos digitales en el ámbito laboral, puede ser objeto de garantías adicionales en los términos que establece el art. 91, relativo a los “Derechos digitales en la negociación colectiva”, pero como a garantía básica y medida de protección de los trabajadores, se modifiquen las dos normas básicas que regulan las relaciones laborales.
Por un lado, en la disposición final decimotercera, se modifica el texto refundido de la Ley del Estatuto de los Trabajadores, aprobado por el Real Decreto Legislativo 2/2015, del 23 de octubre, relativo a su derecho a la intimidad en relación con el entorno digital y a la desconexión. Y en términos idénticos, para el sector público, en modificar la Ley del Estatuto Básico del Empleado Público, aprobado por el Real Decreto Legislativo 5/2015, del 30 de octubre, añadiendo una nueva letra j bis) en el art. 14, con la disposición final decimocuarta. En ambos casos, se recoge el derecho a la intimidad en el uso de dispositivos digitales puestos a su disposición y enfrente del uso de dispositivos de videovigilancia i geolocalización, así como la desconexión digital en términos que establece esta normativa.
Modificación de normas importantes
Además de las mencionadas normas que se han citado, LOREG, LPAC y LTBG, se introducen modificaciones en otras relevantes normas que conviene examinar:
- Disposición final cuarta. Modificación de la Ley Orgánica 6/1985, de 1 de julio, del poder judicial.
- Disposición final quinta. Modificación de la Ley 14/1986, de 25 de abril, General de Sanidad.
- Disposición final sexta. Modificación de la Ley 29/1998, de 13 de julio, reguladora de la jurisdicción contencioso administrativa.
- Disposición final séptima. Modificación de la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil
- Disposición final octava. Modificación de la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades.
- Disposición final novena. Modificación de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
- Disposición final décima. Modificación de la Ley Orgánica 2/2006, de 3 de mayo, de educación.
Introducción de los Derechos Digitales
Se incorpora un nuevo título X, con una nueva regulación, relativa a la «Garantía de los derechos digitales», en la que se recogen derechos que introducen en el ordenamiento jurídico aspectos necesarios para adaptar la norma en la sociedad actual cuya actividad pivota en gran medida en un entorno digital:
- Artículo 79. Los derechos a la Era digital.
- Artículo 80. Derecho a la neutralidad de Internet.
- Artículo 81. Derecho de acceso universal a Internet.
- Artículo 82. Derecho a la seguridad digital.
- Artículo 83. Derecho a la educación digital.
- Artículo 84. Protección de los menores en Internet
- Artículo 83 .Derecho a la educación digital.
- Artículo 84 .Protección los menores en Internet.
- Artículo 85. Derecho de rectificación en Internet.
- Artículo 86. Derecho a la actualización de informaciones en medios de comunicación digitales.
- Artículo 87. Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral.
- Artículo 88. Derecho a la desconexión digital en el ámbito laboral
- Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo y Derecho de rectificación en Internet
- Artículo 90. Derecho a la intimidad frente a la utilización de sistemas de geolocalización en el ámbito laboral.
- Artículo 91. Derechos digitales en la negociación colectiva.
- Artículo 92. Protección de datos de los menores en Internet.
- Artículo 93. Derecho al olvido en búsquedas de Internet.
- Artículo 94. Derecho al olvido en servicios de redes sociales y servicios equivalentes.
- Artículo 95. Derecho de portabilidad en servicios de redes sociales y servicios equivalentes.
- Artículo 96. Derecho al testamento digital.
- Artículo 97. Políticas de impulso de los derechos digitales.
Para terminar, simplemente recuerden que no todos los preceptos de la LOPDGDD disfrutan de la protección reforzada de la Ley Orgánica, ya que tal y como señala la disposición final primera tienen naturaleza de ley ordinaria: los títulos IV y VII, llevados de los artículos 52 y 53, que tienen carácter orgánico, los títulos VIII, IX y los artículos 79, 80, 81, 82, 88, 95, 96 y 97 del título X, las disposiciones adicionales, excepto la disposición adicional segunda y la disposición adicional decimoséptima, que tienen carácter orgánico, las disposiciones transitorias y las disposiciones finales, llevadas de las disposiciones finales primera, segunda, tercera, cuarta, octava, décima y decimosexta, que tienen carácter orgánico.
