Protección de datos (RGPD y LOPDGDD) para el TAI: lo que cae del Bloque I

El RGPD (Reglamento General de Protección de Datos) y la LOPDGDD (Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales) son el marco legal que regula cómo trata datos personales cualquier administración pública, y en el temario TAI aparecen dentro del Bloque I, en la parte dedicada a la Administración Electrónica y la organización del Estado. No hace falta memorizar la ley entera: lo que se repite en examen es un grupo concreto de conceptos: los principios del tratamiento, los derechos de las personas conocidos como ARCO-POL, la figura del Delegado de Protección de Datos (DPD) y la diferencia entre responsable y encargado del tratamiento. Si ya has estudiado el Esquema Nacional de Seguridad, esto es la otra cara de la misma moneda: mientras el ENS protege los sistemas, el RGPD protege a las personas cuyos datos circulan por esos sistemas.

¿Qué relación hay entre el RGPD y la LOPDGDD?

El RGPD es un reglamento de la Unión Europea, en vigor desde mayo de 2018, y se aplica directamente en todos los países miembros sin necesidad de que cada uno lo traduzca a una ley propia. La LOPDGDD es la norma española que lo completa: desarrolla aspectos que el RGPD deja abiertos a cada Estado, como el régimen sancionador aplicable a las administraciones públicas, la regulación concreta del DPD en el sector público o la actualización de los derechos digitales de las personas. Para el examen, conviene tener claro que uno no sustituye al otro: se aplican juntos, y en la Administración Pública española es habitual que una pregunta combine ambos textos.

¿Cuáles son los principios del tratamiento de datos?

El artículo 5 del RGPD recoge los principios que debe cumplir cualquier tratamiento de datos personales, también en el sector público. Son la base de casi todo lo demás:

• Licitud, lealtad y transparencia: el tratamiento necesita una base legal y la persona debe poder saber qué se hace con sus datos.
• Limitación de la finalidad: los datos se recogen para un fin concreto y explícito, y no se pueden usar después para otra cosa distinta sin más.
• Minimización de datos: solo se piden los datos necesarios para ese fin, ni uno más.
• Exactitud: los datos deben mantenerse actualizados y corregirse si están equivocados.
• Limitación del plazo de conservación: no se guardan más tiempo del necesario.
• Integridad y confidencialidad: hay que protegerlos frente a accesos no autorizados, pérdida o destrucción.
• Responsabilidad proactiva (accountability): quien trata los datos debe poder demostrar que cumple todo lo anterior, no basta con decir que cumple.

¿Qué son los derechos ARCO-POL?

Antes del RGPD se hablaba de derechos ARCO: Acceso, Rectificación, Cancelación y Oposición. El RGPD y la LOPDGDD amplían y actualizan esa lista, y en el TAI conviene conocerla completa:

• Acceso: saber si se están tratando datos propios y obtener una copia de ellos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión (el antiguo "cancelación", también llamado derecho al olvido): pedir que se eliminen los datos cuando ya no son necesarios o el tratamiento no tiene base legal.
• Oposición: oponerse a un tratamiento concreto por motivos relacionados con la situación personal.
• Portabilidad: recibir los datos en un formato estructurado para transmitirlos a otro responsable.
• Limitación del tratamiento: pedir que los datos se conserven pero no se usen mientras se resuelve una reclamación o discrepancia.

En la Administración Pública, estos derechos se ejercen normalmente a través de la sede electrónica del organismo correspondiente, y el plazo general de respuesta es de un mes, ampliable en casos justificados.

¿Qué diferencia hay entre responsable y encargado del tratamiento?

Es una de las preguntas clásicas de examen porque se presta a confusión. El responsable del tratamiento es quien decide para qué y cómo se tratan los datos: por ejemplo, un ayuntamiento que gestiona el padrón municipal. El encargado del tratamiento es un tercero que trata esos datos por cuenta del responsable, siguiendo sus instrucciones, sin decidir por su cuenta: por ejemplo, una empresa externa que mantiene el sistema informático donde se aloja ese padrón. La relación entre ambos debe quedar recogida en un contrato o documento equivalente (el llamado contrato de encargo de tratamiento), que fija qué puede y qué no puede hacer el encargado con esos datos.

¿Qué es el Delegado de Protección de Datos (DPD) y cuándo es obligatorio?

El DPD (o DPO, por sus siglas en inglés) es la figura encargada de supervisar que una organización cumple la normativa de protección de datos. Sus funciones principales son informar y asesorar al responsable y a los empleados, supervisar el cumplimiento, cooperar con la autoridad de control y actuar como punto de contacto tanto con esa autoridad como con las personas cuyos datos se tratan. Debe actuar con independencia funcional, sin recibir instrucciones sobre cómo desempeñar su labor.

Mientras que en el sector privado la obligatoriedad del DPD depende de ciertos criterios (volumen de datos, tipo de tratamiento), la LOPDGDD establece que, con carácter general, las administraciones públicas están obligadas a designar un DPD, con independencia de su tamaño. Es una de las diferencias más preguntadas entre el régimen general del RGPD y su desarrollo español.

¿Cómo se aplica el RGPD en la Administración Pública española?

En la práctica, cualquier organismo público que trate datos personales debe mantener un Registro de Actividades de Tratamiento (RAT), donde queda documentado qué datos trata, con qué finalidad y durante cuánto tiempo. Para los tratamientos que puedan suponer un riesgo alto para las personas, es necesario realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) antes de ponerlos en marcha.

La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD), que supervisa el cumplimiento y resuelve reclamaciones. Un matiz importante para el TAI: la LOPDGDD prevé un régimen distinto para las administraciones públicas frente a las empresas privadas. En lugar de las multas económicas que sí pueden imponerse a una empresa, los incumplimientos de organismos públicos suelen resolverse con apercibimientos y propuestas de medidas correctoras, sin perjuicio de que pueda derivarse responsabilidad disciplinaria para el personal implicado.

Preguntas frecuentes

¿Es lo mismo el RGPD que la LOPDGDD?

No, aunque van de la mano. El RGPD es un reglamento europeo de aplicación directa en toda la Unión, y la LOPDGDD es la ley española que lo desarrolla y adapta a particularidades como el régimen sancionador del sector público o la regulación del DPD en las administraciones.

¿Hace falta el consentimiento del ciudadano para que la Administración trate sus datos?

No siempre. El consentimiento es solo una de las bases legales posibles. En la Administración Pública, buena parte de los tratamientos se basan en otras causas, como el cumplimiento de una obligación legal o el ejercicio de poderes públicos, sin necesidad de pedir consentimiento expreso para cada trámite.

¿Qué es una brecha de seguridad y hay que notificarla?

Es cualquier incidente que afecte a la seguridad de los datos personales: un acceso no autorizado, una pérdida o una destrucción accidental, entre otros. El responsable debe notificarla a la AEPD en un plazo de 72 horas desde que tiene conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas afectadas.

¿Qué pasa si un empleado público accede a datos sin autorización?

Además de las posibles consecuencias para el organismo frente a la AEPD, el empleado puede incurrir en responsabilidad disciplinaria interna, y en determinados casos, también en responsabilidad penal, si el acceso indebido a datos personales constituye delito.

¿En qué bloque del TAI entra el RGPD, y hay que estudiarlo también en otros bloques?

El grueso de RGPD y LOPDGDD se ubica en el Bloque I, dentro de la parte de Administración Electrónica y organización del Estado. Es un contenido autónomo: no hace falta haber visto antes el Esquema Nacional de Seguridad ni la Ley 39/2015 para entenderlo, aunque conviene no confundir los tres bloques normativos entre sí, porque el examen tiende a mezclar preguntas de todos ellos.