3.1. Ámbito de aplicación, objeto y definición
El ámbito de aplicación de la LPD hasta ahora protegía la intimidad personal y familiar de los ciudadanos ante el tratamiento informatizado. A partir de ahora se incluyen los ficheros de datos, informatizados o no.
El art. 2 LPD comprende:
- Todos los datos de carácter personal registrados en soporte físico susceptibles de tratamiento.
- Y afecta a toda modalidad de uso posterior.
Supuestos en diferentes territorios
- Territorio español.
- Fuera del territorio.
- Fuera del territorio de la Unión Europea, se aplicara la legislación española transitoria.
Casos que quedan fuera de la Ley:
- Los ficheros mantenidos por personas físicas en actividades personales o domésticas.
- Los ficheros sometidos a la normativa sobre protección de materias clasificadas.
- Los ficheros establecidos para la investigación del territorio y de formas graves de delincuencia organizada.
El objeto de la Ley viene establecido en el art. 1: La presente LO tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de datos personales, las libertades públicas y los derechos fundamentales de las personas físicas y especialmente de su honor e intimidad personal y familiar.
La privacidad es el ámbito de la vida privada que se ve afectado por la posibilidad real de que las actuaciones cotidianas del ciudadano se observen y la información procedente de ellas se acumule y conserve.
La LPD tiene por objeto proteger el tratamiento de datos personales respecto del conjunto de libertades públicas y derechos fundamentales de las personas en el ámbito de su intimidad.
3.2. Requisitos subjetivos
Las partes que intervienen en la relación jurídica de tratamiento de datos son: el responsable del tratamiento, el encargado y el interesado.
El responsable del tratamiento es toda persona física o jurídica que decide sobre la finalidad, contenido y uso del tratamiento.
El encargado del tratamiento e la persona física o jurídica que presta sus servicios al responsable del tratamiento. Puede actuar sólo o conjuntamente.
El afectado o interesado es toda persona física titular de los datos que sean objeto del tratamiento.
3.3. Requisitos objetivos
A) Los datos de carácter personal
Estos consisten en cualquier información concerniente a personas físicas identificadas. Para que exista un dato de carácter personal se requiere la concurrencia de dos elementos:
- La información.
- La persona a la que concierne dicha información.
La LPD establece la distinción de otros dos elementos objetivos:
- El fichero.
- El tratamiento.
B) El fichero
Puede ser de titularidad pública o privada.
Los ficheros de titularidad pública son los que provienen de cualquier organismo de derecho público. La AP tiene derecho a recabar datos de carácter personal de los ciudadanos, a tratarlos y cederlos, en defensa del interés público.
La LPD establece dos tipos de ficheros creados por las Fuerzas y Cuerpos del Seguridad. Uno de carácter administrativo y otro de carácter policial.
Los ficheros de titularidad privada, son los que crea una persona, empresa o entidad para el logro de su actividad u objeto legítimo (art. 25 LPD) .
C) El tratamiento
El tratamiento de los datos de carácter personal pueden obedecer a una autorización legal o al consentimiento de las partes.
Consentimiento: toda manifestación de voluntad libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
3.4. Derechos y obligaciones de las personas
A) Al responsable del tratamiento
- El deber de adoptar medidas de seguridad.
- El deber de secreto.
- El deber de respeto a la calidad de los datos.
- El deber de ceder los datos.
B) Derechos y obligaciones del interesado
Derecho a no soportar valoraciones automáticas
Obedece este derecho en la Ley española al mandato del art. 15 de la Directiva 95/46/CE.
El art.13 LPD:
- El interesado tenga derecho a no verse sometido a una decisión con efectos jurídicos que le afecte de manera significativa.
- Puede impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento.
- Tengan derecho a obtener información de responsable del fichero sobre los criterios de valoración de su comportamiento.
- Sea el único en solicitar que tenga valor probatorio la valoración sobre el comportamiento de los ciudadanos.
Derecho de consulta al Registro General de Protección de Datos
El art. 14 LPD otorga este derecho a cualquier persona que desee recabar información de la existencia de tratamientos de datos de carácter personal, sus finalidades y la identidad del responsable del tratamiento.
Derecho de acceso
El derecho de acceso supone la obligación para el responsable del tratamiento de atender la solicitud de información que el interesado le exige de sus datos de carácter personal sometidos a tratamiento.
El interesado de forma gratuita tiene derecho:
- Informar de sus datos de carácter personal.
- Origen de dichos actos.
- Cesiones realizadas.
- Cesiones que se prevé hacer.
La información de la consulta de datos ha de realizarse:
- De forma legible e inteligente.
- Sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos.
Con la utilización de los siguientes medios:
- Visualización en pantalla.
- Escrito, copia, telecopia o fotocopia remitida por correo.
Derecho de rectificación
Es el derecho que tiene el interesado a exigir al responsable del tratamiento que cumpla con el principio de veracidad o calidad de los datos, cuando estos son erróneos.
Derecho de cancelación
Es el derecho que tienen el interesado a que se excluyan del tratamiento datos de carácter personal, que son erróneos o no le interesa que se sometan al tratamiento.
Derecho de oposición
El derecho de oposición lo que posibilita es que el tratamiento de datos de carácter personal no llegue a producirse.
Tutela de los derechos
La LPD establece un sistema de actuación que garantiza el buen uso de los datos de carácter personal a través de un sistema de vigilancia o control. Corresponde a la Agencia de Protección de Datos cumplir la tarea de vigilar la actuación de los operadores del tratamiento así como tutelar los derechos de las personas.
Derecho de indemnización
Los interesados que sufran daño o lesión en sus bienes o derechos, por el incumplimiento de lo dispuesto en la Ley por el encargado o responsable del tratamiento, tiene derecho a ser indemnizado (art. 19 LPD) .
3.5. Movimiento internacional de datos
La Directiva 95/46/CE establece que Los Estados miembros no podrán restringir ni prohibir la libre circulación de datos personales entre los Estados miembros por motivos relacionados con la protección garantizada.
Esta medida garantiza la protección de datos de carácter personal entre los Estados miembros de la Unión Europea.
La LPD exige que las transferencias internacionales se realicen con países terceros que garanticen un nivel de protección adecuado, o equiparable a la Ley y Directiva comunitaria.
Nivel de protección del país de destino:
- La naturaleza de los datos.
- La finalidad del tratamiento.
- Duración del tratamiento.
- País de origen.
- País de destino final.
- Normas de derecho generales o sectoriales.
- Contenido de los informes de la CUE.
- Normas profesionales.
- Medidas de seguridad en vigor.
3.6. La agencia de protección de datos
La agencia de protección es el organismo que vela por la defensa de los derechos de los interesados con garantía de que la Ley se va a cumplir.
En España la APD constituye un organismo con carácter de Autoridad administrativa independiente (art. 35 de la Ley).
Las personas que desempeñan puestos de trabajo en la APD son funcionarios de la AP, y tienen el deber de guardar el secreto.
Las funciones de la APD tiene tres funciones:
- Una función jurídica, aspectos relacionados con la defensa de los derechos de los afectados.
- Una función administrativa, regulan aspectos de la función de la agencia.
- Una función reguladora de la seguridad.
El Consejo Consultivo tiene la función de asesorar al Director de la APD, y lo constituyen:
- Un Diputado.
- Un Senador.
- Un representante de la Agencia Central..
- Un miembro de la Real Academia de la Historia.
- Un experto en materia.
- Un representante de los usuarios y consumidores.
- Un representante de cada CA.
- Un representante del sector de ficheros privados.
Su función es velar por la publicidad de la existencia de los ficheros de datos de carácter personal.
En el RGD se inscribirán:
- Los ficheros de que sean titulares las Administraciones Públicas.
- Los ficheros de titularidad privada.
- Las autorizaciones a que se refiere la Ley.
- Los códigos tipo.
- Los datos relativos a los ficheros.
3.7. Las Comunidades Autónomas
Reguladas por el art. 41 LPD.
Las Comunidades Autónomas tiene las mismas funciones que las Agencias de Protección de Datos Estatal. excepto:
- Publicar periódicamente una relación de ficheros.
- Redactar una memoria anual y remitida al MJ.
- Ejercer el control y adoptar las autorizaciones que proceda.
- Desempeñar las funciones de cooperación internacional en materia de protección de datos.
- Requerir a los responsables, la adopción de medidas que acuden el tratamiento de datos a las disposiciones de la Ley.
- Ejercer la potestad sancionadora en los términos de la Ley.
3.8. Infracciones y sanciones
Son infracciones leves:
- No remitir a la Agencia Española de Protección de Datos las notificaciones previstas en la Ley.
- No solicitar la inscripción del fichero de datos con carácter personal en el RGPD.
- No informar al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos son recabados por el interesado.
- La falta de cumplimiento de los deberes respecto a la transmisión de datos.
Son infracciones graves o muy graves:
- La falta de autorización normativa para iniciar el tratamiento de datos.
- La falta de consentimiento de las personas afectadas.
- La vulneración de los principios y garantías que la Ley determina sobre la utilización y tratamiento de los datos personales.
- Faltar el deber de guardar secreto.
- Impedir el ejercicio de los derechos de acceso, rectificación, cancelación y oposición.
- No cumplir con el deber de información, notificación o requerimiento, sobre los datos de carácter personal.
- Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las medidas de seguridad.
- Desobedecer al requerimiento de cese en el tratamiento.
- El incumplimiento de las notificaciones a la APD.
- No colaborar con la actividad inspectora.
- No contar con la debida autorización del Director de la Agencia Española de Protección de Datos a la hora de transmitir internacionalmente datos de carácter personal con destino a países que no proporcionan un nivel de protección.
A) Actuaciones previas
Se trata de diligencias administrativa que tienen por finalidad realizar las comprobaciones necesarias para la apertura del expediente sancionador.
B) Inicio del expediente
El expediente sancionador se inicia siempre por el Director de la APD.
C) Resolución
El Director de la APD, dictará resolución precisando los hechos imputados. Tal resolución se notificará al responsable para que si lo estima conveniente proceda a imponer recurso contencioso administrativo.
D) Los plazos para la resolución del expediente
Este plazo es de caducidad, si llega al vencimiento del plazo máximo sin notificarse o dictarse resolución expresa el procedimiento se archivaría.
3.9. Inconstitucionalidad de la Ley
La sentencia del TC, considera que la LPD vulnera el principio constitucional del art. 55.1 CE, al no establecer ningún límite al derecho a consentir la cesión de los datos personales ente Administraciones Públicas con fines distintos a los que motivaron su recogida, y a los que alcanza únicamente el consentimiento inicialmente por el afectado.
También declara anticonstitucional, no informar en los términos previstos en el art. 5.1 y 2, cuando la información del afectado impida o dificulte el cumplimiento de la función de control y verificación.
La solución del TC es imponer en la sentencia es exigir al legislador que sea el quién determine cuándo concurre ese bien o derecho que justifica la restricción del derecho a la protección de datos personales y en que circunstancias puede limitarse.
