Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.

Ley Orgánica 3/2018: Protección de Datos y Garantía de Derechos Digitales

• La Ley Orgánica 3/2018, de 5 de diciembre, se centra en la protección de datos personales y la garantía de los derechos digitales.
• Es crucial haber estudiado el Reglamento (UE) 2016/679 antes de abordar esta ley, ya que la Ley Orgánica es una adaptación del reglamento al ordenamiento jurídico español.

Carácter Orgánico y Ordinario de la Ley

• Aunque se denomina Ley Orgánica, una parte significativa de ella tiene carácter de ley ordinaria.
• Más de la mitad de los artículos de esta ley son de carácter ordinario, según se indica en la disposición final primera.
• La disposición adicional tercera aborda el cómputo de plazos, tema regulado por la ley ordinaria.

Derechos Digitales

• El título 10 de la norma se dedica a la garantía de los derechos digitales, que comprende un total de 17 derechos en la era digital.
• Estos derechos difieren de los derechos habituales ya conocidos.

Objeto y Ámbito de Aplicación

• Objeto: Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679, completar sus disposiciones y garantizar los derechos digitales de la ciudadanía, conforme al artículo 18.4 de la Constitución.
• Ámbito de Aplicación: Se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado destinado a un fichero.

Excepciones a la Aplicación de la Ley

• La norma no se aplica a lo establecido en el artículo 2.2 del Reglamento, a los datos de personas fallecidas (con excepciones) y a los tratamientos sometidos a normativas de protección específicamente clasificadas.
• Las normativas de protección de materia clasificada (régimen electoral general, tratamientos en instituciones penitenciarias, registro civil, registro de la propiedad y registro mercantil) se rigen por su normativa específica y, supletoriamente, por el Reglamento y la Ley Orgánica.

Datos de Personas Fallecidas

• Como regla general, los datos de personas fallecidas no entran en el ámbito de aplicación de esta Ley Orgánica.
• Sin embargo, el artículo 3 permite que familiares o herederos accedan, rectifiquen o supriman los datos personales del fallecido, salvo que este lo haya prohibido expresamente o así se establezca en una ley.
• Incluso si el fallecido lo prohibió, los herederos pueden consultar los datos de carácter patrimonial.

Principios de Protección de Datos

• Exactitud de los datos: Deben ser exactos y, si es necesario, actualizados.
• Deber de confidencialidad: Tanto el responsable como el encargado del tratamiento, así como cualquier persona que participe en el tratamiento de datos, están sujetos a este deber.
• Consentimiento: Definido como una manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento de sus datos personales, ya sea mediante una declaración o una clara acción afirmativa.

Consentimiento para Menores de Edad

• El Reglamento (UE) establece que el tratamiento de datos de un niño se considera lícito a partir de los 16 años, aunque permite a los Estados miembros fijar una edad inferior no inferior a 13 años mediante ley.
• La Ley Orgánica española fija la edad en 14 años, cumpliendo con el reglamento.

Derechos de las Personas

• Los derechos reconocidos en la Ley Orgánica son los mismos que en el Reglamento: acceso, rectificación, supresión (olvido), limitación del tratamiento, portabilidad de los datos y oposición.
• SOPLAR: Nemotécnica para recordar los derechos: supresión/olvido, oposición, portabilidad, limitación, acceso, rectificación.
  • Derecho de acceso: El interesado tiene derecho a obtener confirmación de si se están tratando o no sus datos personales. Si se considera repetitivo (más de una vez en 6 meses), el responsable puede imponer un canon razonable o negarse a actuar, salvo que haya causa legítima.
  • Derecho de rectificación: Rectificar datos inexactos sin dilación indebida por parte del responsable.
  • Derecho de supresión: Derecho al olvido, suprimir los datos personales que conciernan al interesado bajo ciertas circunstancias.
  • Derecho a la limitación del tratamiento: Limitar el uso de los datos personales en determinadas situaciones.
  • Derecho a la portabilidad de los datos: Transmitir los datos personales de un responsable a otro en un formato estructurado, de uso común y de lectura mecánica.
  • Derecho de oposición: Oponerse en cualquier momento, por motivos relacionados con su situación particular, a que sus datos personales sean tratados, incluyendo la elaboración de perfiles o la mercadotecnia directa.
• El responsable está obligado a informar al afectado sobre los medios disponibles para ejercer estos derechos, que deben ser fácilmente accesibles.
• Las actuaciones llevadas a cabo por el responsable para atender las solicitudes de estos derechos deben ser gratuitas, salvo en casos de repetición o coste desproporcionado.

Responsables y Encargados del Tratamiento, Delegado de Protección de Datos

• Responsable del tratamiento: Persona física o jurídica, autoridad pública, servicio público u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.
• Encargado del tratamiento: Persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.
• El responsable y el encargado deben garantizar y acreditar que el tratamiento de datos personales es conforme al Reglamento, la Ley Orgánica y sus normas de desarrollo.
• Deben mantener un registro de actividades del tratamiento, salvo excepciones (empresas con menos de 250 empleados).
• El responsable está obligado a bloquear los datos personales cuando proceda su rectificación o su supresión.
• No se considera comunicación el acceso por parte del encargado a los datos personales cuando resulte necesario para la prestación de un servicio al responsable.
• Los responsables y encargados deben designar a un delegado de protección de datos (DPO) atendiendo a cualidades profesionales y conocimientos especializados en derecho y protección de datos.
• La designación de un DPO es obligatoria en los casos previstos en el artículo 37 del Reglamento (autoridad u organismo público, operaciones de tratamiento que requieran observación habitual y sistemática a gran escala, tratamiento a gran escala de datos especiales o relativos a condenas e infracciones penales), así como en los casos detallados.
• La designación del DPO debe ser comunicada a la Agencia Española de Protección de Datos en un plazo de 10 días.
• El DPO actúa como interlocutor entre el responsable/encargado y la Agencia Española de Protección de Datos, así como las autoridades autonómicas de protección de datos.
• Cuando el DPO es una persona física integrada en la organización, no puede ser removido ni sancionado por desempeñar sus funciones, garantizando su independencia y evitando conflictos de intereses.
• El DPO tiene acceso a los datos personales y a los procesos del tratamiento, sin que el responsable ni el encargado puedan oponerse a este acceso.