“Los datos son la materia prima (en el sentido que le da Marx al término) que debe ser extraída, y las actividades de los usuarios, la fuente natural de esa materia prima”

(Nick Srnicek, Capitalismo de plataformas, Caja Negra, Buenos Aires, 2018, pp. 42 y 122)

El BOE del pasado jueves 6 de diciembre publicó la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), cuya entrada en vigor se produjo el día 7 de diciembre. Esta regulación deroga la anterior LOPD de 1999 (LO 15/1999) y el reciente Real Decreto Ley 5/2018. Se da cumplimiento, así, a la necesaria adaptación normativa del Derecho interno a las previsiones del Reglamento (UE) 2016/679 (RGPD, en lo sucesivo).

Tiempo habrá de analizar detenidamente esta LOPDGDD. Mi única pretensión en estos momentos es resaltar telegráficamente algunos de aquellos aspectos que, por lo que afecta a la Administración Pública y a su sector público institucional (sin adentrarme en el sector salud), incorporan novedades importantes en relación con lo tratado en el propio RGPD o, en su caso, regulan otras previsiones que conviene tener presentes para una cabal interpretación de este nuevo marco normativo dual (RGPD/LOPDGDD) de la protección de datos personales con el que necesariamente deberá obrar el aplicador del Derecho a partir de ahora en el ámbito público. Antes una importante precisión: el RGPD, salvo en aquellas materias en las que permita excepcionalmente una regulación que restrinja sus previsiones por una norma de Derecho interno (supuestos tasados), es la disposición normativa que –dad su naturaleza- dispone de primacía aplicativa en caso de antinomia, desplazando en ese caso a cualquier norma de Derecho interno, Ley Orgánica incluida. Por tanto, que nadie piense (si es que hay alguien que a estas alturas lo pretende) que “estudiando” solo la LOPDGDD podrá resolver los problemas que se susciten en materia de protección de datos. Eso ya es el pasado. Cualquier operador público deberá actuar a partir de ahora con dos pantallas normativas (RGPD/LOPDGDD), con las precisiones antes expuestas.

En este sentido, debe ponerse de relieve que –como reconociera en su día José Luís Rodríguez Álvarez- el RGPD (una disposición normativa del Derecho de la Unión Europea) es en verdad la norma que desarrolla y regula directamente el derecho fundamental a la protección de datos recogido en la CE (algo insólito en materia de regulación primaria de los derechos fundamentales), adoptando la LOPDGDD un papel meramente complementario o auxiliar. El propio preámbulo de la Ley lo deja bien claro al afirmar que “más que de incorporación cabría hablar de ‘desarrollo’ o complemento del Derecho de la Unión Europea”. Por consiguiente, la propia LOPDGDD admite en el citado preámbulo su carácter vicarial, puesto que advierte que su aprobación se explica por razones de salvaguardar el principio de seguridad jurídica “tanto para la depuración del ordenamiento nacional como para el desarrollo o complemento” del RGPD.

Este nuevo marco normativo ha venido además adornado por la inclusión (estirando hasta el infinito el artículo 18.4 CE) de los denominados derechos digitales cuyo parentesco con el objeto de la Ley se visualiza exclusivamente en el dato personal como medio a través del cual se pueden ejercer o, en otros muchos casos, entorpecer o dificultar, el ejercicio de determinados derechos fundamentales de la persona física que se ven plenamente afectados por el mundo de Internet y por las redes sociales, cuando no por la propia revolución tecnológica. No trataré en esta entrada de esta cuestión, puesto que ya la abordé en un Post anterior (https://bit.ly/2QH4z4x ) y sobre este mismo tema han reflexionado recientemente diferentes Blogs (por ejemplo: Rojo Torrecilla https://bit.ly/2Acyd93; o Campos Acuña (https://bit.ly/2Uw3YlE , entre otras muchas referencias). Está por ver, en cualquier caso, que mediante regulaciones nacionales (en este caso por Ley, anticipándose a su anunciado reflejo constitucional) se puedan garantizar plenamente el ejercicio y los efectos de derechos con proyección global. Al menos se intenta.

A modo de apretada síntesis, algunos puntos de interés de esta nueva normativa interpretada a la luz del RGPD serían los siguientes:

• El ámbito de aplicación de la Ley (artículo 2) se ha debido adaptar, un tanto tortuosamente, a la inserción en el último tramo de los derechos digitales
• La regulación de las personas fallecidas (artículo 3) ofrece novedades de interés, a lo que cabe añadir, con dimensión preventiva, el derecho al testamento digital (artículo 96).
• Los principios relativos al tratamiento se regulan en el artículo 5 RGPD, salvo el principio de “exactitud de los datos” que se complementa con una detallada regulación recogida en el artículo 4 LOPDGDD.
• El tratamiento basado en el consentimiento del afectado se regula en el artículo 6, de conformidad con lo establecido en el RGPD. Sobre este punto conviene advertir que, según la AEPD (Informe 175/2018), el consentimiento del interesado no es una base legítima para el tratamiento de datos por las Administraciones Públicas, pues el tratamiento solo debe basarse en lo dispuesto en normas con rango de ley y en las competencias reconocidas por estas (concretamente en los apartados c) y e) del artículo 6 RGPD), lo cual no deja de plantear serias dudas en el ámbito local de gobierno (actividades, prestaciones o servicios) que no deriven de una competencia propia o delegada o de la cláusula general de atribución de competencias (CEAL), así como en determinadas actuaciones puntuales o actividades materiales de las Administraciones Públicas que, en principio, algunas de ellas cabe presumir que sí requerirían consentimiento del afectado (o de quienes ejerzan la patria potestad, piénsese en menores). El citado Informe es, sin embargo, muy contundente. En este aspecto el artículo 8 regula el tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos, exigiendo siempre una norma con rango de ley como cauce habilitante. El artículo 28 LPAC, asimismo, ha eliminado toda referencia al consentimiento y solo habla, por ejemplo, de “oposición expresa” (lo que reconduce al ejercicio del derecho de oposición por el interesado, una evidente carga). Todo lo anterior deja fuera a las ordenanzas locales y plantea la duda, además, de si cabe que las Normas Forales (siempre que se puedan considerar como normas con fuerza de ley) sean base legítima de esos tratamientos. Las garantías formales vuelven a dominar sobre los aspectos materiales. Se intuyen problemas.
• Particular importancia tiene la determinación de la edad de 14 años como umbral del consentimiento del menor. Ver asimismo el artículo 12.6 (ejercicio de los derechos de los menores); 84 (protección de los menores en Internet); 92 (Protección de datos de los menores); y disposición adicional decimonovena (derechos de los menores ante Internet).
• En lo que afecta a categorías especiales de datos el reenvío al artículo 9.2 RGPD es completo, salvo la exigencia de que los tratamientos establecidos en los apartados g), h) e i) del citado precepto “deberán estar amparado por una norma con rango de ley” (artículo 9 LOPDGDD)
• Cabe tener en cuenta la regulación complementaria que en materia de transparencia e información al afectado se contiene en el artículo 11.
• En cuanto al ejercicio de los derechos (regulación recogida en los artículos 12 a 18, con algún complemento en los artículos 93, 94 y 95 LOPDGDD) cabe significar que hay un reenvío general al RGPD (artículos 15 a 22), con algunas precisiones (especialmente, aunque no solo, en materia de derecho de acceso)
• De las disposiciones aplicables a tratamientos concretos interesa ahora destacar los artículos 22 (fines de videovigilancia, con una detallada e importante regulación), 24 (sistemas de información de denuncias internas, cuyos principios son también aplicables a las Administraciones Públicas que creen tales sistemas), 25 (función estadística) y 26 (fines de archivo en interés público). Sobre estos dos últimos aspectos es imprescindible el trabajo de Ascen Moro publicado en su día. Asimismo cabe destacar el tratamiento de los datos relativos a infracciones y sanciones administrativas (artículo 27).
• Particular importancia tienen, por lo que afecta al nuevo modelo de gestión de protección de datos en el sector público (asentado en un enfoque de riesgos) las obligaciones generales del responsable y del encargado del tratamiento recogidas en el artículo 28, especialmente por lo que se refiere a los criterios para determinar los mayores riesgos en la adopción de las medidas organizativas y técnicas (artículos 24 y 25 RGPD)
• La figura del encargado del tratamiento se regula específicamente en el artículo 33, con una mención expresa a la proyección estructural de la figura en las Administraciones Públicas (33.4) y, en relación con los contratos del encargado de tratamiento, cabe destacar la importante disposición transitoria quinta, recogida ya en el RDL 5/2018, pero al que se le ha incorporado un párrafo nuevo (vigencia de los contratos hasta 2022, pero cualquiera de las partes podrá exigir la modificación).
• El bloqueo de datos tiene una regulación específica en el artículo 32.
• La figura del Delegado de Protección de Datos reitera algunas de las características recogidas en el RGPD (artículos 37 a 39), pero con algunas exigencias adicionales:
  • La comunicación a la autoridad de control en el plazo de diez días del nombramiento y cese del DPD (artículo 34.3)
  • La dedicación a tiempo completo o parcial del DPD, en función del tipo de datos que se traten (artículo 34.5)
  • La “obtención de titulación universitaria” (¿se refiere a postgrados?) para demostrar a través de mecanismos de certificación el cumplimiento de los requisitos del artículo 37.5 RGPD
  • La garantía, siempre que se trate de persona física, de no remoción y de independencia, evitando cualquier conflicto de intereses del DPD (Art. 36.2), lo que puede poner en duda algunos nombramientos en función del tipo de tareas que se desarrollen (dedicación parcial).
  • La facultad del DPD de inspeccionar los procedimientos relacionados con el objeto de la Ley y emitir recomendaciones (artículo 36)
  • La facultad de documentar y comunicar a los órganos competentes la existencia de una vulneración relevante en materia de protección de datos.
  • Y el régimen de intervención del DPD en los supuestos de reclamaciones ante las autoridades de control (artículo 37)
• Los códigos de conducta e instituciones de certificación, cuya aplicabilidad a las instituciones públicas según el RGPD es limitada, se regulan en los artículos 38 y 38.
• En materia de régimen sancionador aplicable al sector público, se ha de tener en cuenta lo establecido en el artículo 77, donde se sigue con alguna novedad importante el viejo esquema de la LOPD de 1999; esto es, la exención del régimen general con algunas modulaciones (régimen light). A saber:
  • El ámbito de aplicación de ese régimen se extiende a todas las Administraciones Públicas, organismos públicos, fundaciones y consorcios, así como (blindaje político puro) a los grupos parlamentarios y a los grupos políticos locales. Pero no, adviértase, a las sociedades mercantiles vinculadas a la Administración matriz, a las que se les aplicaría el régimen general de sanciones del RGPD y de la Ley Orgánica.
  • Si el responsable o encargado cometieran alguna infracción sería sancionado con apercibimiento y adopción, en su caso, de las medidas pertinentes. La notificación se trasladará también a los interesados.
  • La autoridad de control “propondrá” (atentos a la fórmula verbal) también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello, que se tramitarán según la normativa sancionadora aplicable.
  • En cualquier caso, si la infracción es imputable a una autoridad o directivo, y se acredita que se apartaron de los informes técnicos o recomendaciones sobre el tratamiento (la figura del DPD, emerge), “en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará su publicación en el Boletín Oficial correspondiente”. Nada se dice del Portal de Transparencia o página Web.
• La disposición adicional primera recoge una regulación sobre las medidas de seguridad en el ámbito del sector público, que extiende su aplicabilidad también a las empresas (en este caso sí) y fundaciones del sector público, así como a los servicios prestados en régimen de concesión, encomienda de gestión o contrato.
• La disposición adicional tercera regula el cómputo de plazos (LPAC).
• Importante es la regulación contenida en la DA 7ª, sobre identificación del interesado en las notificaciones de anuncios y publicaciones de actos administrativos:
  • Publicación por medio de un acto administrativo con datos personales: nombre y apellidos y 4 cifras numéricas aleatorias del DNI u otro documento. Si es una pluralidad de afectados, las cifras se alternan.
  • Notificación por medio de anuncios: identificación afectado por el número completo del DNI u otro documento.
  • Si el afectado carece de DNI u otro documento, se le identificará por nombra y apellidos.

(Ver regulación específica víctimas de violencia de género: DA 7ª, 2.

• La DA 12ª regula una serie de disposiciones específicas aplicables a los tratamientos de los registros de personal del sector público (tratamientos con cobertura en el artículo 6.1 c) RGPD).
• Dentro de las modificaciones de diferentes leyes que se realizan en las disposiciones finales, conviene poner el foco por lo que ahora interesa en las siguientes:
  • La polémica inclusión del artículo 58 bis LOREG, que está dando y dará mucho que hablar, donde se prevé que tiene interés público (“únicamente cuando se ofrezcan garantías adecuadas”) “la recopilación (rectius, ‘tratamiento’) de datos personales relativos a las opiniones políticas” realizado por los partidos políticos en sus actividades electorales, que podrán así “utilizar datos personales obtenidos en páginas Web y otras fuentes de acceso público (estoy tentado de cerrar este Blog) “para la realización de actividades políticas durante el período electoral”. El derecho de oposición se carga sobre el ciudadano por mucho que se facilite su uso. En casa del herrero (LOPD “garantista” y con muchos derechos digitales), “cuchillo de palo” (atropello a una categoría especial de datos: la ideología política). La voracidad y el descaro de los partidos políticos no tiene límites. Tampoco en esta Ley. Una regulación intencionadamente gaseosa que no salvaguarda la protección de datos personales.
  • Se modifica la LTAIBG (Ley 19/2013), incorporando un nuevo artículo 6 bis (Publicidad del inventario de actividades de tratamiento), así como se da nueva redacción al artículo 15 (información de categorías especiales de datos y datos relativos a las infracciones penales o administrativas)
  • Particular relevancia tiene la modificación del artículo 28 LPAC (Ley 39/2015), en sus párrafos 2 (derecho no aportar documentos en poder de la Administración, quien podrá consultar o recabar si el interesado no se opusiera a ello) y 3 (se elimina en ambos casos la referencia a “se presumirán”). Sobre esta nueva redacción véanse los comentarios de Víctor Almonacid (https://bit.ly/2C0pbws) y el ya citado de Campos Acuña.
  • Se incorpora un el nuevo artículo 20 bis del Estatuto de los Trabajadores (una ubicación muy gráfica, como ha reconocido  el profesor Eduardo Rojo Torrecilla), donde se recogen una serie de derechos digitales de los trabajadores en línea con lo establecido en la LOPDGDD.
  • Se añade una nueva letra j) bis al TREBEP, con el mismo reconocimiento de los derechos digitales antes citados.

En suma, es una mera muestra de algunas de las cuestiones clave (no están ni muchos menos todas) de la regulación de la LOPDGDD que complementa (no lo olviden) lo establecido en el RGPD. Una vez que la citada Ley está publicada en el BOE y plenamente en vigor, aunque sea unos meses después de la plena aplicabilidad del RGPD y tras una larga tramitación parlamentaria en el Congreso de los Diputados (pues en el Senado la tramitación ha sido expeditiva y sin aceptarse ni una sola enmienda), deberá objeto de un estudio más sosegado y completo. Algo que habrá de hacerse con tiempo. Valgan las líneas anteriores como un mero aperitivo para situar al lector sobre este nuevo marco