Ley Orgánica de Protección de Datos (LOPDGDD 3/2018): ¿qué cambia respecto al RGPD?

I. ¿Cuál es la Ley Orgánica de protección de datos y cuál es su objeto?

En España, la protección de datos personales se rige principalmente por el Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD), directamente aplicable, y por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta y completa sus disposiciones en el ordenamiento jurídico español.

El objeto de la LOPDGDD, recogido expresamente en su artículo 1, consiste en:

1. Adaptar el ordenamiento jurídico español al RGPD y completar sus disposiciones, garantizando el ejercicio del derecho fundamental a la protección de datos personales reconocido en el artículo 18.4 de la Constitución Española.
2. Garantizar los derechos digitales de la ciudadanía, también conforme al mandato constitucional del artículo 18.4.
3. Complementar el régimen europeo en aquellas materias respecto de las cuales el RGPD permite o exige una regulación nacional específica.

¿Su empresa o entidad pública necesita adaptar sus tratamientos de datos a la normativa vigente? En Administrativando Abogados contamos con experiencia en Derecho Administrativo, protección de datos y cumplimiento normativo, analizando procedimientos y obligaciones para reducir riesgos frente a eventuales actuaciones de la AEPD.

II. ¿Qué cambia la Ley orgánica de protección de datos respecto al RGPD?

Entre las principales especialidades que la Ley Orgánica de Protección de Datos introduce o desarrolla respecto del RGPD pueden destacarse las siguientes:

1. La edad para prestar consentimiento. El artículo 8 del RGPD establece, para los servicios de la sociedad de la información ofrecidos directamente a menores, una edad general de 16 años, permitiendo a los Estados miembros reducirla hasta los 13. España, mediante el artículo 7 de la LOPDGDD, fija en 14 años la edad a partir de la cual el menor puede consentir por sí mismo el tratamiento de sus datos, salvo aquellos supuestos en los que la ley exija la asistencia de quienes ejerzan la patria potestad o tutela.
2. Tratamiento de datos de personas fallecidas. El RGPD excluye de su ámbito los datos de las personas fallecidas. Sin embargo, el artículo 3 de la LOPDGDD permite que las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos y las personas expresamente designadas, puedan solicitar el acceso, rectificación o supresión de esos datos, con las limitaciones establecidas legalmente.
3. La figura del bloqueo de datos. El artículo 32 de la LOPDGDD establece que, cuando proceda la rectificación o supresión, el responsable debe bloquear los datos, impidiendo su tratamiento ordinario. Durante ese período sólo podrán conservarse a disposición de jueces y tribunales, Ministerio Fiscal y Administraciones Públicas competentes —incluidas las autoridades de protección de datos— para atender posibles responsabilidades derivadas del tratamiento.
4. Supuestos específicos de designación del Delegado de Protección de Datos. El artículo 34 de la LOPDGDD concreta una amplia relación de entidades obligadas a designar un Delegado de Protección de Datos, entre ellas colegios profesionales, centros docentes, determinadas entidades financieras y aseguradoras, centros sanitarios y otras organizaciones, complementando los criterios generales establecidos en el artículo 37 del RGPD.

Una de las aportaciones más relevantes de la normativa española es, además, la incorporación en el Título X de la LOPDGDD de un catálogo específico de derechos digitales, entre los que destacan:

1. Derecho a la desconexión digital. El artículo 88 reconoce a trabajadores y empleados públicos el derecho a la desconexión fuera del tiempo de trabajo para garantizar el respeto de los períodos de descanso, permisos y vacaciones, así como de su intimidad personal y familiar, obligando a las organizaciones a establecer políticas internas sobre su ejercicio.
2. Intimidad frente a dispositivos de videovigilancia y geolocalización. Los artículos 89 y 90 regulan la utilización empresarial de cámaras y sistemas de geolocalización, sometiéndola al respeto de los derechos fundamentales y al deber de información previa a los trabajadores.
3. Derechos relacionados con el entorno digital. La LOPDGDD reconoce, entre otros, derechos vinculados a la neutralidad de Internet, el acceso universal, la seguridad digital, la educación digital y la especial protección de los menores frente a los riesgos derivados del uso de Internet.

III. ¿Cómo condiciona la LOPDGDD los plazos de conservación de datos frente al RGPD?

El RGPD consagra en su artículo 5.1.e) el principio de limitación del plazo de conservación, conforme al cual los datos personales sólo deben mantenerse durante el tiempo necesario para cumplir los fines para los que fueron tratados. La LOPDGDD concreta esta exigencia mediante la figura del bloqueo de datos prevista en su artículo 32. Cuando proceda la rectificación o supresión, los datos no se destruyen necesariamente de forma inmediata, sino que deben quedar identificados y reservados, impidiendo su tratamiento ordinario y conservándose únicamente para atender posibles responsabilidades durante los correspondientes plazos de prescripción. Transcurridos dichos plazos, deberá procederse a su destrucción.

Por tanto, el plazo concreto de conservación dependerá de la finalidad del tratamiento y de las obligaciones legales aplicables en cada caso; por ejemplo, determinadas responsabilidades tributarias están sujetas, con carácter general, a un plazo de prescripción de cuatro años.

IV. ¿Qué particularidades introduce la normativa de protección de datos en la contratación pública?

Cuando la ejecución de un contrato público implique que el contratista trate datos personales por cuenta de la Administración, resulta aplicable el artículo 28 del RGPD, relativo a los encargados del tratamiento, junto con las especialidades previstas en el artículo 122 de la Ley 9/2017, de Contratos del Sector Público.

En estos casos, los pliegos deben incluir expresamente:

1. La finalidad para la que se ceden o tratan los datos personales.
2. La obligación del contratista de someterse a la normativa nacional y de la Unión Europea en materia de protección de datos.
3. La identificación de la ubicación de los servidores y del lugar desde el que se prestarán los servicios asociados, así como la obligación de comunicar cualquier cambio.
4. La identificación de eventuales subcontratistas encargados de los servidores o servicios asociados, cuando proceda.

Estas obligaciones deben calificarse en los pliegos como obligaciones contractuales esenciales, de modo que su incumplimiento puede constituir causa de resolución del contrato en los términos previstos por la LCSP.

V. ¿Qué prevé la LOPDGDD sobre la publicación de actos administrativos y edictos?

Para evitar una exposición innecesaria de datos personales en diarios oficiales y publicaciones administrativas, la Disposición adicional séptima de la LOPDGDD establece reglas específicas para identificar a los interesados:

1. Cuando se publica un acto administrativo que contiene datos personales, el interesado debe identificarse mediante su nombre y apellidos, añadiendo únicamente cuatro cifras numéricas aleatorias de su DNI, NIE, pasaporte o documento equivalente. Si existen varios afectados, dichas cifras deberán alternarse.
2. Cuando se trate de una notificación por medio de anuncios, especialmente en los supuestos del artículo 44 de la Ley 39/2015, la identificación se realizará exclusivamente mediante el número completo del DNI, NIE, pasaporte o documento equivalente, sin publicar conjuntamente el nombre y los apellidos.

En ningún caso deben publicarse conjuntamente el nombre y apellidos con el número completo del documento identificativo, precisamente para reducir los riesgos derivados de una exposición excesiva de datos personales.

VI. ¿Qué cambia la LOPDGDD respecto a las imágenes captadas por cámaras de videovigilancia con relación al RGPD?

El RGPD resulta plenamente aplicable al tratamiento de imágenes obtenidas mediante sistemas de videovigilancia, aunque no establece un régimen específico y detallado para esta actividad. La LOPDGDD, en su artículo 22, concreta determinadas reglas aplicables en España:

1. Captación de la vía pública: las cámaras instaladas con fines de seguridad sólo pueden captar imágenes de la vía pública en la medida en que resulte imprescindible para preservar la seguridad de las personas, bienes e instalaciones, sin perjuicio de las competencias atribuidas a las Fuerzas y Cuerpos de Seguridad.
2. Plazo de conservación: las imágenes deben suprimirse en el plazo máximo de un mes desde su captación, salvo cuando deban conservarse para acreditar la comisión de actos contra la integridad de personas, bienes o instalaciones. En estos casos deberán ponerse a disposición de la autoridad competente dentro de los plazos legalmente previstos.
3. Deber de información: debe colocarse en un lugar suficientemente visible un dispositivo informativo que advierta de la existencia del tratamiento, identifique al responsable y permita conocer cómo ejercer los derechos reconocidos por la normativa de protección de datos.

VII. ¿Cómo regula la LOPDGDD el tratamiento de datos en el ámbito de la salud y la investigación biomédica?

El RGPD considera los datos de salud y genéticos como categorías especiales de datos, cuyo tratamiento sólo resulta lícito cuando concurre alguna de las excepciones previstas en su artículo 9.2. La LOPDGDD, en su Disposición adicional decimoséptima, concreta el régimen aplicable en España a los tratamientos de datos de salud y, especialmente, a la investigación sanitaria y biomédica.

Entre otras previsiones, permite:

1. Utilizar datos seudonimizados con fines de investigación en salud y biomédica, siempre que se establezca una separación técnica y funcional entre quienes investigan y quienes conservan la información que permitiría la reidentificación, además de medidas específicas de confidencialidad y seguridad.
2. Reutilizar datos personales para investigaciones relacionadas con el área científica del estudio inicial, cuando se cumplan las condiciones legales de información y exista informe previo favorable del Comité de Ética de la Investigación. También se contemplan supuestos excepcionales en los que las autoridades sanitarias pueden realizar estudios sin consentimiento cuando exista una situación de especial relevancia y gravedad para la salud pública.

¿Necesita asesoramiento especializado en protección de datos o Derecho Administrativo? En Administrativando Abogados prestamos asistencia en procedimientos ante la AEPD, tratamientos de datos especialmente protegidos y proyectos de adaptación normativa, analizando la base jurídica, las garantías y las obligaciones aplicables en cada caso.