Marco Regulatorio del Tratamiento de Datos Personales en España

Marco Legal de la Protección de Datos Personales

Las Administraciones Públicas (AP) gestionan grandes cantidades de datos, por ello es fundamental proteger el manejo de los mismos. En España, contamos con la Ley Orgánica de Protección de Datos (LOPD) 15/1999 y su reglamento de desarrollo. El objetivo principal de esta normativa es regular el tratamiento de datos y ficheros de carácter personal, independientemente del soporte en el que sean tratados, así como los derechos de los ciudadanos sobre dichos datos y las obligaciones de quienes los manejan o crean.

Regulación en el Sector Público

En el sector público, la LOPD regula también el uso y manejo de la información y los ficheros con datos de carácter personal utilizados por las AP. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco sobre los siguientes aspectos:

• La existencia de un fichero o tratamiento de datos de carácter personal, la finalidad de la recogida de estos, y los destinatarios de la información.
• El carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
• La posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
• La identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

Tratamiento de Datos sin Recabación Directa

Se permite el tratamiento de datos de carácter personal sin haber sido recabados directamente del afectado o interesado, aunque el responsable del fichero (o su representante) debe informar dentro de los tres meses siguientes al inicio del tratamiento de datos. No es necesario informar si los datos han sido recogidos de fuentes accesibles al público y se destinan a publicidad o prospección comercial. En cada comunicación al interesado se le informará del origen de los datos, de la identidad del responsable y de los derechos que le asisten.

Consentimiento para el Tratamiento y Comunicación de Datos

El tratamiento de datos de carácter personal requiere el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. Los datos de carácter personal solo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario, con previo consentimiento del interesado.

Excepciones al Requisito de Consentimiento

El consentimiento exigido no es preciso en los siguientes casos:

1. Cuando esté autorizada la cesión en una ley.
2. Cuando se trate de datos recogidos de fuentes accesibles al público.
3. Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso, la comunicación será legítima solamente cuando se limite a la finalidad que la justifique.
4. Cuando la comunicación deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal, o jueces o tribunales o el Tribunal de Cuentas en el ejercicio de las funciones que tienen atribuidas. Tampoco es necesario cuando la comunicación tenga por destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
5. Cuando la cesión se produzca entre Administraciones Públicas (AP) y tenga por objeto el tratamiento de datos con fines históricos, científicos o estadísticos.
6. Cuando la cesión de los datos de carácter personal relativos a la salud sean necesarios para solucionar una urgencia que requiera acceder a un fichero o para realizar estudios epidemiológicos en los términos de la legislación sanitaria estatal o autonómica.

El consentimiento para comunicar datos de carácter personal a un tercero será nulo si la información no le permite conocer la finalidad o el tipo de actividad a la que se le comunican.

Órgano de Control

El órgano de control del cumplimiento de la normativa de protección de datos es la Agencia Española de Protección de Datos (AEPD), existiendo otras agencias de protección de datos de carácter autonómico en las Comunidades Autónomas de Madrid, Cataluña o País Vasco.

Funciones y Acceso a la Información

La AEPD es un ente de derecho público, con personalidad jurídica propia y plena capacidad jurídica y privada, y actúa con independencia de la Administración Pública en el ejercicio de sus funciones. Cualquier persona podrá conocer, solicitando información en el Registro General de Protección de Datos, la existencia de tratamiento de datos de carácter personal, sus finalidades y la identidad del responsable del fichero o tratamiento. La consulta es pública y gratuita.