Tema 12 del temario de Auxiliar Administrativo del Estado 2026

Artículo 1. Objeto de la ley

La ley orgánica tiene dos objetos: a) adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679, de 27 de abril de 2016, y completar sus disposiciones; b) garantizar los derechos digitales de la ciudadanía conforme al mandato del artículo 18.4 de la Constitución. El derecho fundamental de las personas físicas a la protección de datos personales, amparado por ese artículo 18.4, se ejerce con arreglo al Reglamento (UE) 2016/679 y a esta ley orgánica.

Artículo 2. Ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94

Los Títulos I a IX y los artículos 89 a 94 se aplican a todo tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. La ley no se aplica a los tratamientos excluidos por el artículo 2.2 del Reglamento general, a los de personas fallecidas (sin perjuicio del artículo 3) ni a los de materias clasificadas. Régimen electoral, instituciones penitenciarias y Registro Civil, de la Propiedad y Mercantiles: legislación específica y, supletoriamente, Reglamento y ley. Órganos judiciales y Ministerio Fiscal: Reglamento y ley.

Artículo 3. Datos de las personas fallecidas

Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir al responsable o encargado el acceso a sus datos y, en su caso, su rectificación o supresión, salvo prohibición expresa del fallecido o de una ley; esa prohibición no afecta al acceso de los herederos a los datos patrimoniales. También pueden las personas o instituciones designadas expresamente (requisitos por real decreto). Menores: además, representantes legales o Ministerio Fiscal, de oficio o a instancia de interesado. Con discapacidad: además, los designados para funciones de apoyo.

Artículo 4. Exactitud de los datos

Los datos serán exactos y, si fuere necesario, actualizados. La inexactitud no es imputable al responsable, siempre que haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, cuando los datos inexactos: a) se obtuvieron directamente del afectado; b) se obtuvieron de un mediador o intermediario previsto por las normas del sector, que asume las responsabilidades si comunica datos que no se correspondan con los facilitados por el afectado; c) se recibieron de otro responsable por el derecho a la portabilidad; d) se obtuvieron de un registro público.

Artículo 5. Deber de confidencialidad

Los responsables y encargados del tratamiento, así como todas las personas que intervengan en cualquier fase de este, están sujetos al deber de confidencialidad del artículo 5.1.f) del Reglamento (UE) 2016/679. Esta obligación general es complementaria de los deberes de secreto profesional, de conformidad con su normativa aplicable. Ambas obligaciones se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado del tratamiento.

Artículo 6. Tratamiento basado en el consentimiento del afectado

El consentimiento del afectado es toda manifestación de voluntad libre, específica, informada e inequívoca por la que acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos. Si el tratamiento se funda en el consentimiento para una pluralidad de finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas. No puede supeditarse la ejecución del contrato a que el afectado consienta tratamientos para finalidades sin relación con el mantenimiento, desarrollo o control de la relación contractual.

Artículo 7. Consentimiento de los menores de edad

El tratamiento de los datos de un menor de edad solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años, salvo que la ley exija la asistencia de los titulares de la patria potestad o tutela para celebrar el acto o negocio jurídico en cuyo contexto se recaba el consentimiento. Para los menores de catorce años, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen esos titulares.

Artículo 8. Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos

El tratamiento solo puede considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento, los tipos de datos y las cesiones que procedan, e imponer condiciones especiales como medidas adicionales de seguridad. Solo puede considerarse fundado en una misión realizada en interés público o en el ejercicio de poderes públicos cuando derive de una competencia atribuida por una norma con rango de ley.

Artículo 9. Categorías especiales de datos

A fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico; sí cabe tratarlos al amparo de los restantes supuestos del artículo 9.2 del Reglamento. Los tratamientos de sus letras g), h) e i) fundados en el Derecho español deben ampararse en una norma con rango de ley, que puede añadir requisitos de seguridad y confidencialidad y amparar tratamientos en el ámbito de la salud.

Artículo 10. Tratamiento de datos de naturaleza penal

El tratamiento de datos de condenas e infracciones penales, y procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o de la ejecución de sanciones penales, solo cabe si lo ampara una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal. El registro completo puede hacerse conforme a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. Fuera de eso, solo abogados y procuradores, con la información de sus clientes.

Artículo 11. Transparencia e información al afectado

Si los datos se obtienen del afectado, el responsable puede cumplir el deber de información dando la información básica e indicando una dirección electrónica u otro medio de acceso sencillo e inmediato al resto. La información básica contiene, al menos: identidad del responsable y de su representante, finalidad y posibilidad de ejercer los derechos; si hay elaboración de perfiles, también esa circunstancia y el derecho a oponerse a decisiones individuales automatizadas. Si los datos no se obtienen del afectado, se añaden las categorías de datos y las fuentes de las que procedan.

Artículo 12. Disposiciones generales sobre ejercicio de los derechos

Los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679 se ejercen directamente o por representante legal o voluntario. El responsable debe informar de los medios, que serán fácilmente accesibles, y no puede denegar el ejercicio solo porque el afectado opte por otro medio. El encargado puede tramitar las solicitudes si lo prevé el contrato o acto jurídico. La prueba de haber respondido recae en el responsable. Los titulares de la patria potestad pueden actuar por los menores de catorce años. Las actuaciones del responsable son gratuitas, con las salvedades que el artículo cita.

Artículo 13. Derecho de acceso

Si el responsable trata una gran cantidad de datos y el afectado no concreta, puede pedirle, antes de informar, que especifique los datos o actividades de tratamiento. El acceso se entiende otorgado con un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a la totalidad; basta comunicar cómo acceder. Puede considerarse repetitivo ejercerlo más de una vez en seis meses, salvo causa legítima. Si el afectado elige un medio distinto del ofrecido con coste desproporcionado, la solicitud es excesiva y él asume el exceso de costes.

Artículo 14. Derecho de rectificación

Al ejercer el derecho de rectificación, el afectado debe indicar en su solicitud dos cosas: a qué datos se refiere y la corrección que haya de realizarse. Además, cuando sea preciso, debe acompañar la documentación que justifique la inexactitud o el carácter incompleto de los datos objeto de tratamiento.

Artículo 15. Derecho de supresión

El derecho de supresión se ejerce conforme al artículo 17 del Reglamento (UE) 2016/679. Regla propia: cuando la supresión derive del ejercicio del derecho de oposición del artículo 21.2 del Reglamento, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.

Artículo 16. Derecho a la limitación del tratamiento

El derecho a la limitación del tratamiento se ejerce conforme al artículo 18 del Reglamento (UE) 2016/679. Regla propia: el hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.

Artículo 17. Derecho a la portabilidad

Artículo 18. Derecho de oposición

El derecho de oposición y los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercen de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679. El artículo no añade ninguna regla propia: se limita a remitir.

Artículo 19. Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales

Salvo prueba en contrario, se presume amparado en el artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto, y en su caso de función o puesto, de las personas físicas que presten servicios en una persona jurídica, si se refiere únicamente a los datos necesarios para su localización profesional y su finalidad es únicamente mantener relaciones con esa persona jurídica. Igual para empresarios individuales y profesionales liberales cuando los datos se refieran a ellos solo en esa condición y no se traten para relacionarse con ellos como personas físicas.

Artículo 20. Sistemas de información crediticia

Salvo prueba en contrario, es lícito tratar impagos en sistemas comunes de información crediticia si: los facilita el acreedor o quien actúe por su cuenta; son deudas ciertas, vencidas y exigibles no reclamadas; el acreedor informó al afectado en el contrato o al requerir el pago; duran mientras persista el incumplimiento, máximo cinco años desde el vencimiento; y la consulta está restringida. El sistema notifica la inclusión en los treinta días siguientes a recibir la deuda, con los datos bloqueados. Sistema y acreedores son corresponsables. La presunción no ampara el perfilado.

Artículo 21. Tratamientos relacionados con la realización de determinadas operaciones mercantiles

Salvo prueba en contrario, se presumen lícitos los tratamientos de datos, incluida su comunicación con carácter previo, derivados de una modificación estructural de sociedades o de la aportación o transmisión de negocio o de rama de actividad empresarial, si son necesarios para el buen fin de la operación y garantizan, cuando proceda, la continuidad en la prestación de los servicios. Si la operación no llega a concluirse, la entidad cesionaria debe suprimir los datos con carácter inmediato, sin obligación de bloqueo.

Artículo 22. Tratamientos con fines de videovigilancia

Personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes de cámaras para la seguridad de personas, bienes e instalaciones. La vía pública solo se capta en lo imprescindible, con mayor extensión para bienes o instalaciones estratégicos o infraestructuras de transporte, y nunca el interior de un domicilio privado. Se suprimen en un mes desde su captación, salvo para acreditar actos contra personas, bienes o instalaciones: entonces van a la autoridad competente en setenta y dos horas desde que se conoce la grabación. No hay bloqueo. Se informa con un dispositivo visible.

Artículo 23. Sistemas de exclusión publicitaria

Es lícito tratar datos para evitar el envío de comunicaciones comerciales a quienes se hayan negado u opuesto a recibirlas. Pueden crearse sistemas de información, generales o sectoriales, con solo los datos imprescindibles para identificar a los afectados. Sus responsables comunican la creación a la autoridad de control, que publica la relación en su sede electrónica. El responsable ante quien alguien rechace las comunicaciones comerciales debe informarle de estos sistemas. Quien haga mercadotecnia directa debe consultarlos antes, salvo que el afectado le hubiera dado su consentimiento.

Artículo 24. Tratamiento de datos para la protección de las personas que informen sobre infracciones normativas

Declara lícitos los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas. Esos tratamientos se rigen por tres normas: el Reglamento (UE) 2016/679, la propia Ley Orgánica 3/2018 y la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Artículo 25. Tratamiento de datos en el ámbito de la función estadística pública

La función estadística pública trata los datos según su legislación específica, el Reglamento (UE) 2016/679 y la ley orgánica. La comunicación de datos a los órganos estadísticos solo se ampara en el artículo 6.1 e) del Reglamento si la estadística la exige una norma de Derecho de la Unión Europea o figura en los instrumentos de programación estadística legalmente previstos. Los datos de los artículos 9 y 10 del Reglamento son de aportación estrictamente voluntaria y requieren consentimiento expreso. Los derechos de los artículos 15 a 22 pueden denegarse si hay secreto estadístico.

Artículo 26. Tratamiento de datos con fines de archivo en interés público por parte de las Administraciones Públicas

Declara lícito el tratamiento por las Administraciones Públicas de datos con fines de archivo en interés público. Se somete al Reglamento (UE) 2016/679 y a la Ley Orgánica 3/2018, con las especialidades derivadas de la Ley 16/1985, del Patrimonio Histórico Español, del Real Decreto 1708/2011, que establece el Sistema Español de Archivos, y de la legislación autonómica que resulte de aplicación.

Artículo 27. Tratamiento de datos relativos a infracciones y sanciones administrativas

El tratamiento de datos de infracciones y sanciones administrativas, incluidos los registros, exige dos condiciones: que el responsable sea el órgano competente para instruir el procedimiento sancionador, declarar la infracción o imponer la sanción, y que se limite a los datos estrictamente necesarios. Si falta alguna, hace falta consentimiento del interesado o autorización por norma con rango de ley. Fuera de esos casos, solo cabe si lo realizan abogados y procuradores para recoger la información facilitada por sus clientes para el ejercicio de sus funciones.

Artículo 28. Obligaciones generales del responsable y encargado del tratamiento

Responsables y encargados determinan las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme con el Reglamento (UE) 2016/679, la ley orgánica, sus normas de desarrollo y la legislación sectorial, y valoran si procede la evaluación de impacto y la consulta previa. Tendrán en cuenta los mayores riesgos de: discriminación, usurpación de identidad o fraude; privación de derechos; categorías especiales de datos; perfiles; menores y personas con discapacidad; tratamiento masivo, y transferencias habituales sin nivel adecuado de protección.

Artículo 29. Supuestos de corresponsabilidad en el tratamiento

Cuando hay varios corresponsables del tratamiento, las responsabilidades a las que se refiere el artículo 26.1 del Reglamento (UE) 2016/679 se determinan atendiendo a las actividades que efectivamente desarrolle cada uno de ellos. El único criterio que da el artículo es, pues, la actividad efectiva de cada corresponsable.

Artículo 30. Representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea

Si el Reglamento (UE) 2016/679 se aplica, por su artículo 3.2, a un responsable o encargado no establecido en la Unión Europea y el tratamiento se refiere a afectados que se hallen en España, la Agencia Española de Protección de Datos o las autoridades autonómicas podrán imponer al representante, solidariamente con aquel, las medidas del Reglamento. Ello no excluye la responsabilidad del responsable o encargado ni la acción de repetición del representante. De los daños y perjuicios del artículo 82 del Reglamento responden solidariamente responsables, encargados y representantes.

Artículo 31. Registro de las actividades de tratamiento

Responsables y encargados o, en su caso, sus representantes mantendrán el registro de actividades de tratamiento del artículo 30 del Reglamento (UE) 2016/679, salvo la excepción de su apartado 5. El registro podrá organizarse en torno a conjuntos estructurados de datos y especificará, según sus finalidades, las actividades de tratamiento. Si hay delegado de protección de datos, se le comunicará cualquier adición, modificación o exclusión. Los sujetos del artículo 77.1 publicarán un inventario accesible por medios electrónicos con la información del artículo 30 del Reglamento y su base legal.

Artículo 32. Bloqueo de los datos

El responsable debe bloquear los datos cuando los rectifique o suprima. Bloquear es identificarlos y reservarlos, con medidas técnicas y organizativas, para impedir su tratamiento, incluida su visualización, salvo su puesta a disposición de jueces y tribunales, Ministerio Fiscal o Administraciones Públicas competentes para exigir responsabilidades, solo por el plazo de prescripción de estas; después se destruyen. Si el sistema no permite el bloqueo o exige un esfuerzo desproporcionado, se hace un copiado seguro. Las autoridades de protección de datos pueden fijar excepciones.

Artículo 33. Encargado del tratamiento

El acceso del encargado a los datos necesarios para prestar el servicio no es comunicación de datos si se cumple la normativa. Es responsable, y no encargado, quien en su propio nombre y sin que conste que actúa por cuenta de otro establezca relaciones con los afectados (salvo encargos de contratación del sector público) y quien, figurando como encargado, use los datos para fines propios. Al acabar el servicio, el responsable decide si los datos se destruyen, se devuelven o se entregan a un nuevo encargado. El encargado puede conservarlos bloqueados si pudieran derivarse responsabilidades.

Artículo 34. Designación de un delegado de protección de datos

Deben designar delegado de protección de datos los responsables y encargados en los supuestos del artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, las entidades de las letras a) a o), como colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras, centros sanitarios, seguridad privada o federaciones deportivas con datos de menores. Los demás pueden hacerlo voluntariamente. Designaciones, nombramientos y ceses se comunican en diez días a la Agencia Española de Protección de Datos o a las autoridades autonómicas, que llevan una lista actualizada.

Artículo 35. Cualificación del delegado de protección de datos

El cumplimiento de los requisitos para designar al delegado de protección de datos, sea persona física o jurídica, podrá demostrarse, entre otros medios, mediante mecanismos voluntarios de certificación. Esos mecanismos tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.

Artículo 36. Posición del delegado de protección de datos

El delegado es interlocutor del responsable o encargado ante la AEPD y las autoridades autonómicas; puede inspeccionar procedimientos y emitir recomendaciones. Si es persona física integrada en la organización, no puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave. Se garantiza su independencia, evitando conflictos de intereses. Accede a datos y procesos sin que quepa oponerle confidencialidad o secreto. Si aprecia una vulneración relevante, la documenta y la comunica inmediatamente a los órganos de administración y dirección.

Artículo 37. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos

Si hay delegado designado, el afectado puede dirigirse a él antes de reclamar ante la AEPD o la autoridad autonómica; el delegado le comunicará la decisión en el plazo máximo de dos meses desde la recepción de la reclamación. Si el afectado reclama ante la autoridad, esta puede remitir la reclamación al delegado para que responda en un mes; si no comunica la respuesta, la autoridad continúa el procedimiento. El procedimiento ante la AEPD es el del Título VIII y sus normas de desarrollo; las comunidades autónomas regulan el suyo.

Artículo 38. Códigos de conducta

Los códigos de conducta vinculan a quienes se adhieran y pueden tener mecanismos de resolución extrajudicial de conflictos. Pueden promoverlos también empresas o grupos de empresas. Los adheridos someten al organismo de supervisión las reclamaciones que no consideren procedente atender; si este las rechaza o no se le someten, el afectado puede acudir a la AEPD o a la autoridad autonómica. Los aprueba la AEPD o la autoridad autonómica competente, que mantienen registros interconectados y accesibles por medios electrónicos. Un real decreto fijará el contenido del registro.

Artículo 39. Acreditación de instituciones de certificación

Sin perjuicio de las funciones y poderes de acreditación de la autoridad de control competente, la acreditación de las instituciones de certificación podrá ser llevada a cabo por la Entidad Nacional de Acreditación (ENAC). La ENAC comunicará a la Agencia Española de Protección de Datos y a las autoridades de protección de datos de las comunidades autónomas las concesiones, denegaciones o revocaciones de las acreditaciones, así como su motivación.

Artículo 1. Objeto

El Reglamento establece dos grupos de normas: las de protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las de libre circulación de tales datos. Protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.

Artículo 2. Ámbito de aplicación material

Se aplica al tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. No se aplica al tratamiento: en actividades no comprendidas en el Derecho de la Unión; por los Estados miembros en actividades del capítulo 2 del título V del TUE; por una persona física en actividades exclusivamente personales o domésticas; ni por las autoridades competentes con fines penales, incluida la protección frente a amenazas a la seguridad pública. A las instituciones de la Unión se les aplica el Reglamento (CE) n.º 45/2001.

Artículo 3. Ámbito territorial

1) Tratamiento en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, tenga lugar este en la Unión o no. 2) Tratamiento de datos de interesados que se encuentren en la Unión por responsable o encargado no establecido en ella, si se relaciona con la oferta de bienes o servicios a esos interesados en la Unión (se les requiera o no su pago) o con el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3) Responsable no establecido en la Unión sino en un lugar donde rige el Derecho de los Estados miembros por el Derecho internacional público.

Artículo 4. Definiciones

Recoge 26 definiciones. Datos personales: toda información sobre una persona física identificada o identificable (el interesado). Tratamiento: cualquier operación sobre datos personales, por procedimientos automatizados o no. Responsable: quien, solo o junto con otros, determina los fines y medios. Encargado: quien trata datos por cuenta del responsable. Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. Limitación del tratamiento: marcado de los datos conservados para limitar su tratamiento en el futuro.

Artículo 5. Principios relativos al tratamiento

Los datos serán: tratados de manera lícita, leal y transparente; recogidos con fines determinados, explícitos y legítimos (limitación de la finalidad); adecuados, pertinentes y limitados a lo necesario (minimización de datos); exactos y, si fuera necesario, actualizados (exactitud); mantenidos de forma que se permita identificar a los interesados no más tiempo del necesario, salvo fines de archivo, investigación o estadísticos conforme al artículo 89.1 (limitación del plazo de conservación); y tratados con seguridad adecuada (integridad y confidencialidad). El responsable responde de cumplirlo y debe ser capaz de demostrarlo (responsabilidad proactiva).

Artículo 6. Licitud del tratamiento

El tratamiento solo será lícito si se cumple al menos una condición: a) consentimiento para uno o varios fines específicos; b) ejecución de un contrato o medidas precontractuales a petición del interesado; c) obligación legal del responsable; d) intereses vitales del interesado o de otra persona física; e) misión en interés público o ejercicio de poderes públicos; f) intereses legítimos del responsable o de un tercero, si no prevalecen los del interesado, en particular si es un niño. La letra f) no se aplica a las autoridades públicas en el ejercicio de sus funciones.

Artículo 7. Condiciones para el consentimiento

Si el tratamiento se basa en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió. Si se da en una declaración escrita que también se refiera a otros asuntos, la solicitud se distinguirá claramente de ellos, de forma inteligible y de fácil acceso y con lenguaje claro y sencillo; no vincula la parte que infrinja el Reglamento. El interesado puede retirarlo en cualquier momento, sin afectar a la licitud del tratamiento basada en el consentimiento previo a la retirada; será informado de ello antes de consentir y será tan fácil retirarlo como darlo.

Artículo 8. Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información

Cuando se aplique el artículo 6.1.a) en la oferta directa a niños de servicios de la sociedad de la información, el tratamiento es lícito si el niño tiene como mínimo 16 años. Si es menor de 16, únicamente lo es si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela, y solo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior, siempre que no sea inferior a 13 años. El responsable hará esfuerzos razonables para verificarlo, teniendo en cuenta la tecnología disponible. No afecta al Derecho contractual de los Estados miembros.

Artículo 9. Tratamiento de categorías especiales de datos personales

Prohíbe tratar datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, y tratar datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos de salud o de la vida u orientación sexual. La prohibición no se aplica cuando concurre una de las circunstancias del apartado 2, letras a) a j), como el consentimiento explícito del interesado. Los Estados miembros podrán mantener o introducir condiciones adicionales para datos genéticos, biométricos o de salud.

Artículo 10. Tratamiento de datos personales relativos a condenas e infracciones penales

El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas, sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Un registro completo de condenas penales solo podrá llevarse bajo el control de las autoridades públicas.

Artículo 11. Tratamiento que no requiere identificación

Si los fines del tratamiento no requieren o ya no requieren que el responsable identifique al interesado, aquel no estará obligado a mantener, obtener o tratar información adicional para identificarlo con la única finalidad de cumplir el Reglamento. Cuando el responsable sea capaz de demostrar que no está en condiciones de identificarlo, le informará en consecuencia, de ser posible, y no se aplicarán los artículos 15 a 20, excepto cuando el interesado, para ejercer sus derechos en virtud de esos artículos, facilite información adicional que permita su identificación.

Artículo 12. Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado

El responsable facilita la información de forma concisa, transparente, inteligible y de fácil acceso, con lenguaje claro y sencillo, por escrito o por otros medios (verbalmente si el interesado lo solicita y se demuestra su identidad por otros medios). Responde a las solicitudes sin dilación indebida y, en cualquier caso, en un mes desde la recepción, prorrogable otros dos meses. Si no da curso, lo comunica a más tardar transcurrido un mes. Es gratuito, pero ante solicitudes manifiestamente infundadas o excesivas puede cobrar un canon razonable o negarse a actuar, y debe demostrarlo.

Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado

Cuando los datos se obtienen del interesado, el responsable le informa en el momento en que se obtienen: identidad y contacto del responsable y, en su caso, de su representante; contacto del delegado de protección de datos; fines y base jurídica; intereses legítimos; destinatarios, y transferencias a un tercer país. Además: plazo de conservación o criterios para fijarlo, derechos, retirada del consentimiento, reclamación ante una autoridad de control, si debe facilitar los datos y decisiones automatizadas. No se aplica cuando y en la medida en que el interesado ya disponga de la información.

Artículo 14. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado

Si los datos no se han obtenido del interesado, el responsable le informa, entre otros extremos, de fines y base jurídica, categorías de datos, destinatarios, derechos y fuente de la que proceden. Lo hace en un plazo razonable y a más tardar dentro de un mes; si los usa para comunicarse con el interesado, a más tardar en la primera comunicación; si prevé comunicarlos a otro destinatario, a más tardar cuando se comuniquen por primera vez. No se aplica, entre otros casos, si el interesado ya dispone de la información o si comunicarla resulta imposible o supone un esfuerzo desproporcionado.

Artículo 15. Derecho de acceso del interesado

El interesado puede obtener del responsable confirmación de si se tratan o no sus datos y, en tal caso, acceder a ellos y a esta información: fines, categorías de datos, destinatarios (en particular en terceros países u organizaciones internacionales), plazo previsto de conservación o criterios para fijarlo, derechos de rectificación, supresión, limitación y oposición, reclamación ante una autoridad de control, origen de los datos y decisiones automatizadas. El responsable facilita una copia; por cualquier otra puede percibir un canon razonable basado en los costes administrativos.

Artículo 16. Derecho de rectificación

El interesado tiene derecho a obtener del responsable del tratamiento, sin dilación indebida, la rectificación de los datos personales inexactos que le conciernan. Además, teniendo en cuenta los fines del tratamiento, tiene derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.

Artículo 17. Derecho de supresión («el derecho al olvido»)

El responsable debe suprimir sin dilación indebida los datos cuando: ya no sean necesarios para los fines; se retire el consentimiento y no haya otro fundamento jurídico; el interesado se oponga en los términos de la letra c); se hayan tratado ilícitamente; lo exija una obligación legal, o se obtuvieran en la oferta de servicios de la sociedad de la información. Si los hizo públicos, adopta medidas razonables para informar a los responsables que los traten. No se aplica si el tratamiento es necesario, entre otros casos, para la libertad de expresión e información o para reclamaciones.

Artículo 18. Derecho a la limitación del tratamiento

El interesado puede obtener la limitación cuando: impugne la exactitud de los datos, en un plazo que permita al responsable verificarla; el tratamiento sea ilícito y se oponga a la supresión y solicite en su lugar limitar su uso; el responsable ya no necesite los datos pero el interesado sí para reclamaciones, o se haya opuesto en virtud del artículo 21.1, mientras se verifica si prevalecen los motivos del responsable. Los datos limitados solo se tratan, salvo su conservación, con su consentimiento o en los demás casos del apartado 2. El responsable informa antes de levantar la limitación.

Artículo 19. Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento

El responsable del tratamiento comunica cualquier rectificación o supresión de datos personales o limitación del tratamiento, efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18, a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. Además, informa al interesado acerca de dichos destinatarios, si este así lo solicita.

Artículo 20. Derecho a la portabilidad de los datos

El interesado tiene derecho a recibir los datos personales que le incumban y que haya facilitado a un responsable, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable sin que lo impida el primero, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados. Tiene derecho a la transmisión directa de responsable a responsable cuando sea técnicamente posible. No se aplica al tratamiento necesario para una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.

Artículo 21. Derecho de oposición

El interesado puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento basado en el artículo 6.1, letras e) o f); el responsable deja de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan o para reclamaciones. Si el tratamiento tiene por objeto la mercadotecnia directa, puede oponerse en todo momento y los datos dejan de tratarse para dichos fines. El derecho se menciona explícitamente a más tardar en la primera comunicación, claramente y al margen de cualquier otra información.

Artículo 22. Decisiones individuales automatizadas, incluida la elaboración de perfiles

Todo interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar. No se aplica si es necesaria para celebrar o ejecutar un contrato con un responsable, la autoriza el Derecho de la Unión o de los Estados miembros con medidas adecuadas, o se basa en el consentimiento explícito. En los casos de contrato y consentimiento, el responsable garantiza como mínimo intervención humana, expresar su punto de vista e impugnarla.

Artículo 23. Limitaciones

El Derecho de la Unión o de los Estados miembros puede limitar, mediante medidas legislativas, las obligaciones y derechos de los artículos 12 a 22 y 34 (y del 5 en lo que se corresponda con los artículos 12 a 22) si la limitación respeta en lo esencial los derechos y libertades fundamentales y es necesaria y proporcionada en una sociedad democrática para salvaguardar los objetivos de las letras a) a j), como la seguridad del Estado, la defensa o la seguridad pública. La medida contendrá como mínimo, en su caso, las disposiciones de las letras a) a h) del apartado 2.

Artículo 24. Responsabilidad del responsable del tratamiento

El responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que el tratamiento es conforme con el Reglamento, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento y los riesgos para las personas físicas. Se revisarán y actualizarán cuando sea necesario. Cuando sean proporcionadas, incluirán las oportunas políticas de protección de datos. La adhesión a códigos de conducta (artículo 40) o a un mecanismo de certificación (artículo 42) podrá usarse como elemento para demostrar el cumplimiento.

Artículo 25. Protección de datos desde el diseño y por defecto

Desde el diseño: el responsable aplicará medidas técnicas y organizativas apropiadas, como la seudonimización, tanto al determinar los medios de tratamiento como en el propio tratamiento, para aplicar los principios de protección de datos, como la minimización. Por defecto: garantizará que solo se traten los datos necesarios para cada fin específico, obligación que se aplica a la cantidad de datos recogidos, la extensión del tratamiento, el plazo de conservación y la accesibilidad. Un mecanismo de certificación del artículo 42 podrá acreditar el cumplimiento.

Artículo 26. Corresponsables del tratamiento

Son corresponsables dos o más responsables que determinan conjuntamente los objetivos y los medios del tratamiento. Fijarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas, en particular sobre los derechos del interesado y la información de los artículos 13 y 14, salvo, y en la medida en que, las rija el Derecho de la Unión o de los Estados miembros. El acuerdo podrá designar un punto de contacto y sus aspectos esenciales se pondrán a disposición del interesado, que podrá ejercer sus derechos frente a, y en contra de, cada uno de los responsables.

Artículo 27. Representantes de responsables o encargados del tratamiento no establecidos en la Unión

Cuando se aplique el artículo 3, apartado 2, el responsable o el encargado designará por escrito un representante en la Unión. No se exige al tratamiento ocasional, sin manejo a gran escala de categorías especiales de datos o de datos de condenas e infracciones penales y que sea improbable que entrañe riesgo, ni a las autoridades u organismos públicos. Estará establecido en uno de los Estados miembros en que estén los interesados y atenderá, junto al responsable o al encargado, o en su lugar, las consultas. Su designación no impide las acciones contra el propio responsable o encargado.

Artículo 28. Encargado del tratamiento

El responsable elegirá únicamente un encargado con garantías suficientes. El encargado no recurrirá a otro sin autorización previa por escrito, específica o general, del responsable. El tratamiento se rige por contrato u otro acto jurídico, por escrito, inclusive en formato electrónico. Si el otro encargado incumple, el inicial sigue siendo plenamente responsable ante el responsable. La Comisión podrá fijar y una autoridad de control podrá adoptar cláusulas contractuales tipo. El encargado que infrinja el Reglamento al determinar fines y medios será considerado responsable de ese tratamiento.

Artículo 29. Tratamiento bajo la autoridad del responsable o del encargado del tratamiento

El encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar esos datos siguiendo instrucciones del responsable, a no ser que estén obligados a ello en virtud del Derecho de la Unión o de los Estados miembros.

Artículo 30. Registro de las actividades de tratamiento

Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento. Cada encargado y, en su caso, su representante, uno de todas las categorías de actividades de tratamiento por cuenta de un responsable. Constarán por escrito, inclusive en formato electrónico, y se pondrán a disposición de la autoridad de control que lo solicite. No obliga a la empresa u organización que emplee a menos de 250 personas, salvo que el tratamiento pueda entrañar un riesgo, no sea ocasional o incluya categorías especiales de datos o datos de condenas e infracciones penales.

Artículo 31. Cooperación con la autoridad de control

El responsable y el encargado del tratamiento y, en su caso, sus representantes cooperarán con la autoridad de control que lo solicite en el desempeño de sus funciones.

Artículo 32. Seguridad del tratamiento

El responsable y el encargado aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: seudonimización y cifrado; capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes; capacidad de restaurar la disponibilidad y el acceso de forma rápida; y un proceso de verificación, evaluación y valoración regulares. La adhesión a un código de conducta o a un mecanismo de certificación podrá servir para demostrar el cumplimiento del apartado 1.

Artículo 33. Notificación de una violación de la seguridad de los datos personales a la autoridad de control

El responsable notificará la violación de la seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas físicas; pasado ese plazo, indicará los motivos de la dilación. El encargado la notificará sin dilación indebida al responsable. Si no es posible facilitar la información simultáneamente, se facilitará de manera gradual. El responsable documentará cualquier violación.

Artículo 34. Comunicación de una violación de la seguridad de los datos personales al interesado

Si es probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable la comunica al interesado sin dilación indebida y en lenguaje claro y sencillo. No es necesaria si se cumple alguna de tres condiciones: medidas de protección aplicadas a los datos afectados, como el cifrado; medidas ulteriores que garanticen que ya no exista la probabilidad del alto riesgo, o esfuerzo desproporcionado, caso en que se opta por una comunicación pública o medida semejante.

Artículo 35. Evaluación de impacto relativa a la protección de datos

Cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable realiza, antes del tratamiento, una evaluación de impacto y recaba el asesoramiento del delegado de protección de datos, si ha sido nombrado. Se requiere en particular en los casos del apartado 3, como la observación sistemática a gran escala de una zona de acceso público. La autoridad de control establece y publica la lista de tratamientos que la requieren y puede publicar la de los que no. El apartado 7 fija su contenido mínimo.

Artículo 36. Consulta previa

El responsable consulta a la autoridad de control antes de proceder al tratamiento cuando la evaluación de impacto muestre que entrañaría un alto riesgo si no toma medidas para mitigarlo. Si la autoridad considera que el tratamiento podría infringir el Reglamento, asesora por escrito en ocho semanas desde la solicitud de la consulta, prorrogables seis semanas según la complejidad; de la prórroga informa en un mes desde la recepción de la solicitud, indicando los motivos. Los plazos pueden suspenderse hasta que obtenga la información solicitada.

Artículo 37. Designación del delegado de protección de datos

Responsable y encargado designan delegado de protección de datos siempre que el tratamiento lo lleve a cabo una autoridad u organismo público (excepto los tribunales en ejercicio de su función judicial), o sus actividades principales requieran observación habitual y sistemática de interesados a gran escala o consistan en el tratamiento a gran escala de categorías especiales o de datos de condenas e infracciones penales. Un grupo empresarial puede nombrar uno único si es fácilmente accesible desde cada establecimiento. Puede ser de plantilla o actuar por contrato de servicios.

Artículo 38. Posición del delegado de protección de datos

Responsable y encargado garantizan que el delegado participe de forma adecuada y en tiempo oportuno en todas las cuestiones de protección de datos personales, lo respaldan con recursos y acceso a datos y operaciones, y garantizan que no reciba ninguna instrucción en el desempeño de sus funciones. No será destituido ni sancionado por desempeñarlas y rinde cuentas directamente al más alto nivel jerárquico. Los interesados pueden ponerse en contacto con él; está obligado al secreto o la confidencialidad y puede desempeñar otras funciones que no den lugar a conflicto de intereses.

Artículo 39. Funciones del delegado de protección de datos

El delegado de protección de datos tiene como mínimo cinco funciones: informar y asesorar al responsable o encargado y a los empleados que se ocupen del tratamiento; supervisar el cumplimiento del Reglamento, de otras disposiciones y de las políticas del responsable o encargado, incluidas la asignación de responsabilidades, la concienciación y formación del personal y las auditorías; asesorar, si se le solicita, sobre la evaluación de impacto y supervisar su aplicación; cooperar con la autoridad de control, y actuar como su punto de contacto.

Artículo 40. Códigos de conducta

Estados miembros, autoridades de control, Comité y Comisión promueven los códigos de conducta. Pueden elaborarlos, modificarlos o ampliarlos las asociaciones y otros organismos representativos de categorías de responsables o encargados, que presentan el proyecto a la autoridad de control competente; esta dictamina, lo aprueba si considera suficientes las garantías y lo registra y publica si no se refiere a varios Estados miembros. Si guarda relación con varios, lo presenta antes al Comité. La Comisión puede decidir su validez general en la Unión. El Comité archiva los códigos en un registro.

Artículo 41. Supervisión de códigos de conducta aprobados

Puede supervisar el cumplimiento de un código de conducta un organismo con el nivel adecuado de pericia en relación con el objeto del código y acreditado por la autoridad de control competente. Para acreditarse ha de demostrar independencia y pericia, tener procedimientos de evaluación y supervisión y de tratamiento de reclamaciones, y demostrar que no hay conflicto de intereses. Ante una infracción del código toma las medidas oportunas, incluida la suspensión o exclusión, e informa a la autoridad de control. No se aplica al tratamiento de autoridades y organismos públicos.

Artículo 42. Certificación

Estados miembros, autoridades de control, Comité y Comisión promueven mecanismos de certificación, sellos y marcas de protección de datos. La certificación es voluntaria, está disponible a través de un proceso transparente y no limita la responsabilidad del responsable o encargado. La expiden los organismos de certificación o la autoridad de control competente, por un período máximo de tres años, renovable en las mismas condiciones mientras se cumplan los criterios. Si los criterios los aprueba el Comité, puede dar lugar al Sello Europeo de Protección de Datos.

Artículo 43. Organismo de certificación

Los organismos de certificación con un nivel adecuado de pericia en protección de datos expiden y renuevan las certificaciones una vez informada la autoridad de control. Los acredita la autoridad de control competente, el organismo nacional de acreditación o ambos. La acreditación se expide por un período máximo de cinco años y puede renovarse en las mismas condiciones si el organismo cumple los requisitos. Los organismos comunican a las autoridades de control las razones de la expedición o retirada de la certificación. La acreditación se revoca si sus condiciones no se cumplen.