Carlos B Fernández. Con esta norma se adapta el ordenamiento jurídico español al  Reglamento general  de protección de datos (RGPD) y se completan sus disposiciones. Además, la Ley reconoce y garantiza un nuevo conjunto de derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.

Esta norma entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».

Con su publicación culmina un proceso iniciado el 24 de junio de 2017 cuando el Consejo de Ministros recibió del Ministerio de Justicia el Anteproyecto de Ley Orgánica de Protección de datos de Carácter Personal.

Tras ser objeto de diversos dictámenes, entre ellos los muy relevantes del Consejo de Estado y del Consejo General del Poder Judicial, a comienzos de noviembre de 2017 el mismo Consejo de Ministros aprobó el Proyecto de Ley Orgánica de Protección de Datos, que fue remitido al Congreso el 14 de ese mes.

El proyecto fue objeto de sucesivas prórrogas para la presentación de enmiendas, que se prolongaron hasta comienzos de abril de 2018. El resultado fueron más de 360 propuestas de modificación que afectaban a la práctica totalidad de su articulado. La moción de censura que el 1 de junio de ese año derribó al Gobierno de Mariano Rajoy provocó un cambio importante en la tramitación del proyecto de Ley, pues el PP dejó, de hecho, la dirección de la misma al PSOE, el cual incorporó numerosas novedades al texto, en su mayoría pactadas con el PP y el resto de grupos políticos. Ello determinó el nada habitual resultado de que el texto final del Proyecto fuese aprobado por unanimidad de la Cámara el 26 de octubre.

Remitido al Senado, donde se presentaron 32 enmiendas que fueron rechazadas en la votación final, la Ley quedó fue finalmente aprobada el pasado 21 de noviembre, con solo el voto en contra del grupo parlamentario de Podemos.

Puede resultar interesante comparar el contenido del texto de los sucesivos estado de la norma:

Estructura y contenido y de la LOPDGDD

La norma consta de 97 artículos, organizados en 10 títulos; 22 disposiciones adicionales; 6 transitorias; 1 derogatoria y 16 finales.

El Título I, artículos 1 a 3, relativo a las disposiciones generales, regula el objeto y el ámbito de aplicación de la ley y establece que el derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica.

Incluye la regulación de los datos de las personas fallecidas, pues, tras excluir del ámbito de aplicación de la ley su tratamiento, se permite que las personas vinculadas al fallecido por razones familiares o de hecho o sus herederos puedan solicitar el acceso a los mismos, así como su rectificación o supresión, en su caso con sujeción a las instrucciones del fallecido.

También excluye del ámbito de aplicación los tratamientos que se rijan por disposiciones específicas.

El Título II (arts. 4 a 10) regula los principios de protección de datos: exactitud de los datos; deber de confidencialidad; el tratamiento basado en el consentimiento del afectado; el consentimiento de los menores de edad; el  tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos; las categorías especiales de datos y el tratamiento de datos de naturaleza penal.

Destacan  en particular las posibles habilitaciones legales para el tratamiento fundadas en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Este es el caso, por ejemplo, de las bases de datos reguladas por ley y gestionadas por autoridades públicas que responden a objetivos específicos de control de riesgos y solvencia, supervisión e inspección del tipo de la Central de Información de Riesgos del Banco de España regulada por la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, o de los datos, documentos e informaciones de carácter reservado que obren en poder de la Dirección General de Seguros y Fondos de Pensiones de conformidad con lo previsto en Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras.

Se podrán igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras, cuando ello derive del ejercicio de potestades públicas o del cumplimiento de una obligación legal y sólo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el reglamento europeo, cuando derive de una competencia atribuida por la ley.

Se mantiene la prohibición de consentir tratamientos con la finalidad principal de almacenar información identificativa de determinadas categorías de datos especialmente protegidos, como la creación de «listas negras» de sindicalistas.

La Ley consagra el principio de reserva de ley para el tratamiento de categorías especiales de datos, pero dejando a salvo las distintas habilitaciones legales actualmente existentes, tal y como se indica específicamente, respecto de la legislación sanitaria y aseguradora, en la disposición adicional decimoséptima que, además, introduce una serie de previsiones encaminadas a garantizar el adecuado desarrollo de la investigación en materia de salud, y en particular la biomédica, ponderando los indudables beneficios que la misma aporta a la sociedad con las debidas garantías del derecho fundamental a la protección de datos.

El Título III, sobre los derechos de las personas, se organiza en dos capítulos, el primero, “Transparencia e información” (art. 11) recoge la denominada «información por capas» ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masivo de datos (tales como las «cookies»), facilitando al afectado la información básica, si bien, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. En el segundo Capítulo de este Título, “Ejercicio de los derechos” (arts. 12 a 18), se contienen las disposiciones generales sobre ejercicio de los derechos y se regula el ejercicio de los derechos de acceso; rectificación; supresión.; a la limitación del tratamiento; a la portabilidad y de oposición.

El Título IV (arts. 19 a 27), contiene las disposiciones aplicables a un relación de tratamientos concretos que, según la exposición de motivos, “en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos”. Dentro de ellos se incluye, en primer lugar, aquellos tratamientos respecto de los que el legislador establece una presunción iuris tantum de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, como el de los datos de contacto, de empresarios individuales y de profesionales liberales; de los sistemas de información crediticia y el de los tratamientos relacionados con la realización de determinadas operaciones mercantiles.

Junto a estos supuestos se recogen otros tratamientos, como los tratamientos con fines de videovigilancia, los ficheros de exclusión publicitaria o los sistemas de denuncias internas, en los que la licitud del tratamiento proviene de la existencia de un interés público, en los términos establecidos en el artículo 6.1 e) del Reglamento (UE) 2016/679.

Finalmente, se hace referencia en este título a la licitud de otros tratamientos regulados en el Capítulo IX del Reglamento, como los relacionados con la función estadística o con fines de archivo de interés general, así como el tratamiento de datos relativos a infracciones y sanciones administrativas.

El Título V se ocupa del responsable y del encargado del tratamiento y se divide en cuatro capítulos. El primero (“Disposiciones generales. Medidas de responsabilidad activa”), arts. 28 a 32, regula las obligaciones generales del responsable y encargado del tratamiento; los supuestos de corresponsabilidad; el representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea; el registro de las actividades de tratamiento y el cuestionado bloqueo de los datos.

El Capítulo dos (“Encargado del tratamiento”), consta de un único artículo con el mismo título.

El Capítulo tres (“Delegado de protección de datos”, arts. 34 a 37), regula diversos aspectos de esta relevante figura, como su designación; su cualificación; su posición dentro de las organizaciones y su intervención en caso de reclamación ante las autoridades de protección de datos.

Finalmente, el Capítulo cuatro de este Título se ocupa de los “Códigos de conducta y certificación” (arts. 38 y 39).

En el Título VI (arts. 40 a 43) se contienen las normas aplicables a las transferencias internacionales de datos, adaptando lo previsto en el RGPD en cuanto a los procedimientos a través de los cuales las autoridades de protección de datos pueden aprobar modelos contractuales o normas corporativas vinculantes, supuestos de autorización de una determinada transferencia, o información previa

El Título VII (“Autoridades de protección de datos”) se estructura en dos capítulos. El primero dedicado a la Agencia Española de Protección de Datos, se divide en tres secciones. La primera, (“Disposiciones generales”, arts. 44 a 50), regula su régimen jurídico, presupuestario y de personal; sus funciones y potestades; la Presidencia de la Agencia, su Consejo Consultivo y la publicidad de sus actuaciones.

La Sección 2.ª (arts. 51 a 56), se refiere a las potestades de investigación de la AEPD y sus planes de auditoría preventiva, regulando su ámbito y personal; el deber de colaboración con ella; el alcance de su actividad de investigación; sus planes de auditoría.

Y la Sección 3.ª de este Capítulo (arts. 55 y 56), contempla las potestades de regulación y las Circulares de la AEPD, así como su acción exterior.

Dentro del mismo Título VII, su Capítulo II regula las Autoridades autonómicas de protección de datos, en dos secciones. La primera (arts. 57 a 59), se dedica a las disposiciones generales que las regulan, a la cooperación institucional y a los tratamientos contrarios al Reglamento (UE) 2016/679. La segunda (arts. 60 a 62), regula la coordinación de sus actividades en el marco de los procedimientos establecidos en el Reglamento, como sucede en los casos de emisión de dictamen o de resolución de conflictos por el Comité Europeo de Protección de Datos; así como en caso de tratamientos transfronterizos.

El Título VIII (arts. 63 a 69), se refiere los procedimientos sancionadores por vulneración de la  normativa de protección de datos: su régimen jurídico; la iniciación y duración del procedimiento; la admisión a trámite de las reclamaciones; el alcance territorial; las actuaciones previas de investigación y las medidas provisionales y de garantía de los derechos aplicables. Destaca la importancia de la determinación, con carácter previo a la tramitación de cualquier procedimiento, de si el tratamiento tiene o no carácter transfronterizo y, en caso afirmativo, la autoridad de protección de datos que ha de considerarse principal.

A continuación el Título IX regula el fundamental régimen sancionador. En los arts. 70 a 78 se regulan los sujetos responsables; se tipifican las infracciones y se identifican las muy graves, graves y leves, a los solos efectos, se destaca “de determinar los plazos de prescripción, teniendo la descripción de las conductas típicas como único objeto la enumeración de manera ejemplificativa de  algunos de los actos sancionables que deben entenderse incluidos dentro de los tipos generales establecidos en la norma europea”); la prescripción de las infracciones (“partiendo de la exigencia constitucional del conocimiento de los hechos que se imputan a la persona, pero teniendo en cuenta la problemática derivada de los procedimientos establecidos en el reglamento europeo, en función de si el procedimiento se tramita exclusivamente por la Agencia Española de Protección de Datos o si se acude al procedimiento coordinado del artículo 60 del Reglamento general de protección de datos”); las sanciones y medidas correctivas y la prescripción de las sanciones.

Finalmente, la Ley incorpora un Título X (arts. 79 a 97), denominado “Garantía de los derechos digitales”, a fin de “reconocer y garantizar un elenco de derechos digitales de los ciudadanos conforme al mandato establecido en la Constitución”.

Según el preámbulo de la Ley este título obedece a la necesidad de “abordar el reconocimiento de un sistema de garantía de los derechos digitales que, inequívocamente, encuentra su anclaje en el mandato impuesto por el apartado cuarto del artículo 18 de la Constitución Española y que, en algunos casos, ya han sido perfilados por la jurisprudencia ordinaria, constitucional y europea”, todo ello en tanto “una deseable futura reforma de la Constitución” no incluya “la actualización de la Constitución a la era digital y, específicamente, [eleve] a rango constitucional una nueva generación de derechos digitales”.

Bajo estas premisas la nueva ley reconoce nuevos derechos como el de neutralidad de Internet; el de acceso universal a la Red; el derecho a la seguridad digital; el derecho a la educación digital y la protección de los menores en Internet; el derecho de rectificación en Internet y el de actualización de informaciones en medios de comunicación digitales; el derecho al olvido en búsquedas de Internet y en servicios de redes sociales y servicios equivalentes; el derecho de portabilidad en servicios de redes sociales y servicios equivalentes el también nuevo derecho al testamento digital.

Destacadamente, se añaden una serie de nuevos derechos en el ámbito laboral, como el derecho a la intimidad y al uso de dispositivos digitales; el derecho a la desconexión digital en el ámbito laboral; el derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo; el derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral y los derechos digitales en la negociación colectiva.

En cuanto a las disposiciones adicionales, regulan cuestiones como las medidas de seguridad en el ámbito del sector público; el cómputo de plazos; la incorporación de deudas a sistemas de información crediticia; la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos; la potestad de verificación de las Administraciones Públicas; el tratamiento de datos de salud y las prácticas agresivas en materia de protección de datos.

La disposición derogatoria única afecta expresamente a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal así como al Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos y, genéricamente, a “cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE) 2016/679 y la presente ley orgánica”.

Las disposiciones transitorias están dedicadas, entre otras cuestiones, al estatuto de la Agencia Española de Protección de Datos, el régimen transitorio de los procedimientos o los tratamientos sometidos a la Directiva (UE) 2016/680; los contratos de encargado del tratamiento y la reutilización con fines de investigación en materia de salud y biomédica de datos personales recogidos con anterioridad a la entrada en vigor de esta ley.

Por último, las disposiciones finales modifican:

• la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil (se modifica el art. 15 bis. Intervención en procesos de defensa de la competencia y de protección de datos)
• la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (nuevo apartado 7 del art. 10; nuevo apartado 5 del art. 11; nuevo apartado 4 del art. 12 y nuevo art. 122 ter. Procedimiento de autorización judicial de conformidad de una decisión de la Comisión Europea en materia de transferencia internacional de datos)
• la Ley Orgánica, 6/1985, de 1 de julio, del Poder Judicial (nuevo apartado 3 del art. 58;  nueva letra f) del art. 66; nueva letra k) al apartado 1 y nuevo apartado 7 del art. 74 y nuevo apartado 7 del art. 90)
• la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (se añade un art. 6 bis. Registro de actividades de tratamiento y se modifica el apartado 1 del art. 15);
• la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General (art. 39.3 y nuevo art. 58 bis. (Utilización de medios tecnológicos y datos personales en las actividades electorales);
• la Ley 14/1986, de 25 de abril, General de Sanidad (se introduce un nuevo Capítulo II –Tratamiento de datos de la investigación en salud, con un nuevo art. 105 bis, en su Título VI);
• la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (se modifica el apartado 3 del art. 16);
• la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (se modifican los apartados 2 y 3 del art. 28);
• la Ley Orgánica 2/2006, de 3 de mayo, de Educación (nueva letra l) en el apartado 1 del art. 2);
• la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades (nueva letra l) en el apartado 2 del art. 46);
• el Texto Refundido de la Ley del Estatuto de los Trabajadores, aprobado por Real Decreto Legislativo 2/2015, de 23 de octubre (se añade un nuevo artículo 20 bis. Derechos de los trabajadores a la intimidad en relación con el entorno digital y a la desconexión)
• y el Texto Refundido de la Ley del Estatuto Básico del Empleado Público, aprobado por Real Decreto Legislativo 5/2015, de 30 de octubre (se añade un nueva letra j bis en el art. 14).

Desarrollo reglamentario:

La Disposición final 15.ª de la Ley habilita al Gobierno para desarrollar lo dispuesto en los artículos

• Art. 3 (Datos de las personas fallecidas), en relación con los requisitos y condiciones para acreditar la validez y vigencia de los mandatos e instrucciones relativos a las personas fallecidas y, en su caso, el registro de los mismos.
• Art. 38 (Códigos de conducta), en relación con el contenido del registro y las especialidades del procedimiento de aprobación de los códigos de conducta.
• Art. 63 (Régimen jurídico), en relación con los procedimientos en caso de posible vulneración de la normativa de protección de datos que tramite la AEPD al amparo del Título VIII de la norma.
• Art. 96 (Derecho al testamento digital), en relación con los requisitos y condiciones para acreditar la validez y vigencia de los mandatos e instrucciones relativos al testamento digital y, en su caso, el registro de los mismos.
• Disposición final 6.ª (Incorporación de deudas a sistemas de información crediticia), en relación con la actualización de las cuantías de las deudas que se pueden incorporar a esos sistemas, a los que se refiere el art. 20.1 de la Ley.

Igualmente la Ley Orgánica menciona la posibilidad de la existencia de “normas de desarrollo” de sus contenidos en diferentes materias:

• Art. 28.1. Obligaciones generales del responsable y encargado del tratamiento.
• Art. 33.1. Encargado del tratamiento
• Art. 37.2, 2.º párrafo, y 3. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos.
• Art. 40. Régimen de las transferencias internacionales de datos.
• Art. 45.1. Régimen jurídico [de la AEPD]
• Art. 47. Funciones y potestades de la Agencia Española de Protección de Datos.
• Art. 63.2 Régimen jurídico [de los Procedimientos en caso de posible vulneración de la normativa de protección de datos] (y Disposición adicional cuarta. Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes)

Además, el Gobierno deberá aprobar por Real Decreto el Estatuto de la Agencia Española de Protección de Datos (art. 45. Régimen jurídico [de la AEPD]). Hasta ese momento, el Estatuto de la Agencia, aprobado por Real Decreto 428/1993, de 26 de marzo, continuará vigente en lo que no se oponga a lo establecido en el Título VIII de esta ley orgánica (Disp. Trans. Primera). 

Derogación normativa

Además de la habitual referencia genérica a que la Ley deroga “cuantas disposiciones de igual o inferior rango contradigan, se opongan o resulten incompatibles” con lo dispuesto en el RGPD y en la Ley, esta deroga expresamente la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y el Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la UE sobre protección de datos.

No obstante, la disposición adicional 14.ª (Normas dictadas en desarrollo del artículo 13 de la Directiva 95/46/CE) declara vigentes los artículos 23 y 24 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, “en tanto no sean expresamente modificadas, sustituidas o derogadas”.

Por su parte, la Disposición transitoria cuarta (Tratamientos sometidos a la Directiva (UE) 2016/680), establece que los tratamientos sometidos a la Directiva (UE) 2016/680, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular su artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva.

Una Ley no tan orgánica

Si bien disposición final 1.ª (Naturaleza de la presente ley), declara que la misma “tiene el carácter de ley orgánica”, a continuación exceptúa de tal condición, atribuyendo el “carácter de ley ordinaria” a buena parte de su contenido, en concreto:

• el Título IV,
• el Título VII, salvo los artículos 52 y 53 que tienen carácter orgánico,
• el Título VIII,
• el Título IX,
• los artículos 79, 80, 81, 82, 88, 95, 96 y 97 del Título X,
• las disposiciones adicionales, salvo la disposición adicional segunda y la disposición adicional decimoséptima, que tienen carácter orgánico,
• las disposiciones transitorias,
• y las disposiciones finales, salvo las disposiciones finales primera, segunda, tercera, cuarta, octava, décima y decimosexta, que tienen carácter orgánico

Igualmente, la disposición transitoria 4.ª (Tratamientos sometidos a la Directiva (UE) 2016/680) declara que los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, “continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva”.