01. Ley Orgánica 3/2018 - Protección de Datos Personales y garantía de los derechos digitales

0:01 Muy buenas en el vídeo de hoy vamos a ver la Ley Orgánica 3 2018, de 5 de diciembre, de protección de datos personales y garantía derechos digitales, como ya hemos visto, el Reglamento V 679 2016. Pues esto va a ir muy rápido, bueno, no tanto nos vamos a poner en algunas cosillas si no has estudiado el Reglamento previamente sí que te voy a recomendar que veas los vídeos y el resumen para tener una base previa de lo que vamos a tratar en el vídeo de hoy. Para complicarnos un poquito la asistencia, así ya comenzamos con esta norma, nos vamos al final. Como te habrás dado cuenta, es una ley orgánica, porque así lo dice su nombre, Ley Orgánica 3, 2018. ¿Pero si te fijas en la disposición final primera, vemos que más de la mitad de ella tiene carácter de ley ordinaria, Fíjate lo que no dices Mickey, cuántos de los artículos son de carácter ordinario dentro de esta Ley orgánica, si vemos también la disposición adicional tercera, nos habla del cómputo de plazos que se va a contar dentro de esta ley ordinaria, pero como este es un tema que ya controlas perfectamente por tu dominio de la 39 2015 lo pasamos rápido, qué tenemos aquí?

1:03 Plazo por días, plazo por semanas, ojo, meses o año. Y eso de que el último día de plazo, si es inhábil, se entenderá prorrogado al primer día hábil siguiente. Nada que no sepas todo esto, lo dominas perfectamente y siguiendo por el final, podemos consultar el título 10 de la norma que nos habla de la garantía de los derechos digitales. Hay 17 derechos en total de la era digital, 17 derechos digitales de la era digital, no solo derechos habituales que ya conoces, pero como ya nos preguntan cualquier cosa, yo lo dejo aquí por si acaso. Bueno, pues ahora sí cerramos el final, nos vamos al principio. Qué toca ver cuando iniciamos una norma, su objeto, fíjate lo que dice adaptar, adaptar el ordenamiento jurídico español al Reglamento UE 679 2016. Por eso te he recomendaba que antes de ver esta ley orgánica, estudiar o darle un vistazo al Reglamento, porque lo que hacemos es su adaptación para que nos entendamos de una forma sencilla.

2:04 El Reglamento va a ser la norma básica en protección de datos para toda Europa. Y esta Ley Orgánica 3 2018 es nuestra actuación específica de la protección de datos para España y por eso toda la Ley Orgánica está llena de referencias al Reglamento. Por tanto, su objeto es adaptar el ordenamiento jurídico español al Reglamento y, además, completar sus disposiciones y también garantizar los derechos digitales de la ciudadanía conforme a lo que dice la Constitución. En su artículo 18.4, si no te acuerdas, lo repasamos. Artículo 18.4 de la Constitución es la ley limitará el uso de la informática para garantizar el honor, la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de los derechos, la ley, en todo caso, Ley Orgánica 3, 2018. Bien, pues ya tenemos su objeto, vámonos a su ámbito de aplicación se.

3:00 Va a aplicar esta norma a cualquier tratamiento total o parcialmente automatizado de los datos personales, así como el tratamiento no automatizado. Contenido o que vaya a ser destinado a un fichero, o sea que se aplica el tratamiento total o parcialmente automatizado de datos personales, así como tratamiento no automatizado que vaya a ir a un fichero. También nos dice cuándo no va a ser de aplicación esta norma, pero que sepamos que sepas que cuando no es de aplicación esta norma. A la materia a la que se refiere, se va a regir por su normativa específica, si la hubiere y supletoriamente por el Reglamento y por la Ley Orgánica, que es lo que no va a estar dentro de de la aplicación de la Ley Orgánica de Protección de Datos, pues nos dice todo lo que está en el artículo 2.2 del Reglamento, los datos de las personas fallecidas, salvo una cosita que veremos ahora y los tratamientos sometidos a normativas de protección específicamente clasificadas.

4:04 A normativa de protección de materias clasificadas, perdón. ¿Cuáles son esas normativas de protección de materia clasificadas por si acaso? Y lo dejamos aquí una pregunta de examen que se va a regir por sus normativa específica y supletoriamente, por lo que tenemos en el Reglamento y la Ley Orgánica, pues lo del régimen electoral general, los tratamientos realizados de instituciones penitenciarias, el registro civil, el registro de la propiedad y el registro mercantil. Vale, como ya hemos dicho, los datos de la persona fallecida no son de aplicación dentro de esta Ley Orgánica, así como algo general, pero el artículo 3 sí que nos dice que las personas vinculadas al fallecido, familiares de hecho o herederos, sí que podrán dirigirse al responsable o al encargado para solicitar el acceso a los datos personales fallecidos, incluso su rectificación o supresión.

4:57 ¿Vale, o sea, que las familiares? Normales de hecho o el oxidero sí que pueden dirigirse para consultar esos datos de la persona fallecida. Cuidado con este detalle, salvo que el fallecido entendemos que antes de fallecer lo haya prohibido expresamente o así se establezca en una ley. Vale, pero esto tampoco afecta a que los herederos, aunque el fallecido en el área de proyectos expresamente no afecta a que los herederos puedan consultar sus datos de carácter patrimonial. Bien, pues ya tenemos su objeto, su ámbito de aplicación y este detalle para las personas fallecidas. Y con ello cerramos el título uno, que son las disposiciones generales y podemos pasar ya al título 2, que nos habla de los principios de protección de los datos.

5:38 ¿Este es rápido, vale? ¿El título? ¿2 lo pasamos rapidito, además porque ya lo hemos visto prácticamente todo en el Reglamento nos habla exactitud de los datos, te acuerdas, verdad? Los datos serán exactos y si fuese necesario, actualizados el deber de confidencialidad, tanto el responsable como el encargado como de cualquier persona que intervenga en cualquier fase del tratamiento de datos, ese deber de confidencialidad. La definición que también tenemos aquí en este título 2, la definición de interesado o afectado, dependiendo donde estemos mirando, nos dice que es de interesado o nos dice que es afectado, que es toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa. Estos son muchos detalles, el tratamiento de datos personales que le concierne, esa definición de consentimiento, o sea, que el interesado o el afectado sí da esa afirmación para que se puedan tratar sus datos personales. ¿De una forma libre, específica e informada e inequívoca que quede así en una declaración o una o una clara acción afirmativa tiene lo suyo, Eh?

6:44 Luego también tenemos aquí el consentimiento para menores de edad y aquí nos llegan muchas preguntas, que esto es bastante interesante, qué nos dice aquí el Reglamento, el Reglamento, el Reglamento V dice que el tratamiento de los datos personales de un niño se considera lícito cuando tenga como mínimo 16 años. Vale, pero también este Reglamento nos dice. Los Estados miembros, nosotros podríamos establecer por ley. Y orgánica nuestra 3 2018, una edad inferior para que se entienda lícito siempre que no sea inferior a 13 años, perfecto. Nosotros en nuestra Ley Orgánica de Protección de Datos en su artículo 7 tenemos que el tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de 14 años.

7:33 ¿Cumplimos con la norma? ¿Entonces Paco, si me preguntan sobre la edad de un menor? Pues yo te tengo que preguntar desde dónde viene la pregunta viene desde el Reglamento 16 años y da la posibilidad, por ley, de rebajar esa edad, siempre que no sea inferior a 13. Y si la pregunta viene desde la Ley Orgánica 14 años ya está, pues con esto podemos cerrar el título 2 principios de protección y ahora sí, saltar al título 3, que son los derechos de las personas. Esto sí son los derechos que conoces, los derechos reconocidos que en la Ley Orgánica, pues Fíjate los derechos reconocidos que tenemos en la Ley orgánica son exactamente los mismos derechos que hay en el Reglamento. Derecho de acceso, derecho de rectificación, derecho de supresión de olvido, derecho a la limitación del tratamiento, derecho a la portabilidad de los datos y derecho de oposición. Pues fíjate, jugando un poquito con las iniciales de estos derechos los he tirado al aire, los he movido así un poco y tal y como han caído al suelo, los he ordenado y me ha salido una regla mnemotécnica y me ha salido la palabra soplar, soplar con sus iniciales tenemos todos los derechos. Un poquito desordenados, supresión, portabilidad, limitación, acceso y rectificación, soplar. ¿Aquí lo tenemos, por si acaso nos llega esa pregunta que nos dice cuál de este derecho está reconocido dentro de la ley o dentro del Reglamento o cuál de estos derechos no está reconocido dentro de la ley y dentro del Reglamento? Yo me apunto el soplar al lado,

9:04 que se parece mucho a otras reglas hemotécnicas que tenemos y voy, supresión, olvido, portabilidad, limitación, acceso, rectificación y luego pues lo voy comprobando. Si quieres lo repasamos un poquito de forma rápida, vale, y ya los dejamos todo hecho derecho de acceso. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si están tratando o no los datos personales que le conciernen. ¿Se puede considerar repetitivo este derecho? Sí, si se realiza en más de una ocasión durante el plazo de 6 meses, salvo que haya causa legítima para ello. Y si mezclamos esto con el Reglamento porque entendemos que el derecho de acceso se ha considerado repetitivo porque has accedido más de una de más de una ocasión, el plazo de 6 meses aquí el responsable podría poner un canon razonable o negarse a actuar.

9:52 No es mala idea esto para aplicarlos con nuestras familias de vez en cuando, cuando nos piden una cosa en más de una ocasión, el plazo de 6 meses podríamos negarnos a actuar o ponerles un canon razonable, escucha. Ahí lo dejamos, pero volvemos, vale derecho a acceso si se están tratando o no, los datos personales, se puede considerar repetitivo si se accede a esa comprobación en un más de una vez en un plazo de 6 meses, salvo que haya causa legítima para ello. Y se considera así, puede haber un canon razonable o negarse a actuar por parte del responsable. Luego teníamos el derecho de rectificación que rectificar esos datos inexactos que, como ya sabemos, se va a realizar sin dilación indebida por parte del responsable derecho de supresión, que es el derecho al olvido, suprimir los datos personales que nos conciernan.

10:33 Que hay una serie de circunstancias para ello, luego derecho a la limitación del tratamiento, limitar el uso de nuestros datos personales también con una serie de circunstancias, el derecho a la portabilidad de los datos que os puedes transmitir, los datos personales de un responsable a otro y se va a realizar en un formato estructurado de uso común y de lectura mecánica. Y ya por último tendríamos el derecho de oposición, que es en cualquier momento. El interesado tendrá derecho a ponerse por motivos relacionados con su situación particular, a que sus datos personales sean tratados. También puede oponerse para elaboración de perfiles o para la merca, determina directa. Ya tenemos el repaso de los derechos. Pues bien, estos derechos podrán ejercerse directamente. El responsable está obligado a informar al afectado de los medios a la a su disposición que hay para ejercer estos derechos, debiendo ser fácilmente accesibles poder realizar estos derechos, luego el deber de responder a las solicitudes de estos derechos es del responsable y todas las actuaciones llevadas por el responsable para atender estas solicitudes de sus derechos tienen que ser gratuitas.

11:41 Salvo como ya sabes que se considere repetición en un plazo de 6 meses que puede poner un canon o negarse o que suponga un coste desproporcionado para la administración, entonces el afectado será el que asuma este coste. Pero inicialmente todas las actuaciones llevadas a cabo por el responsable para tener las solicitudes de los derechos serán gratuitas. Bien pues, con este repaso a los derechos podemos pasar a ver a nuestros queridos responsables y encargados del tratamiento. Y también al delegado de protección de datos. ¿Te acuerdas, verdad? ¿Ahora te pregunto, otra vez, te acuerdas sus definiciones? ¿Cuáles eran? Vamos con ello, responsable del tratamiento o repasito persona física o jurídica, autoridad pública o servicio público u otro organismo que solo o junto con otros determinen los fines y medios del tratamiento.

12:33 Ese era el responsable, persona física o jurídica el encargado del tratamiento, prácticamente lo mismo persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta. Del responsable del tratamiento ya tenemos el repaso de responsabilidad encargado. Pues bien, vamos al al título 5 de esta Ley Orgánica, el título 5 como tal está llenísimo de referencias al Reglamento y casi resulta más sencillo repasar el reglamento que comprender lo que tenemos aquí en los artículos. Yo creo que hacemos un resumen con la parte más importante de lo que tenemos aquí y lo demás relacionado con el responsable y el encargado, es mejor repasar el reglamento de los vídeos o del resumen que ya tenemos. Vamos con esos detalles, el responsable y el encargado deben garantizar y acreditar que el tratamiento de datos personales es conforme al Reglamento, a la Ley Orgánica y a sus normas de desarrollo.

13:34 Luego tenemos que también los responsables y el encargado o en su caso, sus representantes, deberán mantener un registro de actividades del tratamiento, salvo excepción. ¿Te acuerdas de esa excepción? ¿Cuándo podíamos exceptuar a una empresa o una organización? De ese registro de actividades, pues cuando esa empresa o esa organización emplean menos de 250 personas, también el responsable podrá bloquear los datos, estará obligado el responsable a bloquear los datos personales cuando proceda, su rectificación o su supresión y luego, en el artículo 33 nos habla exclusivamente de una cosita. El encargado del tratamiento es que nos dice que no se considera comunicación y esto lo marcamos.

14:21 No se considera comunicación el acceso por parte del encargado. A los datos personales cuando resulte necesario para la prestación de un servicio a un responsable. Le damos la vuelta cuando no se va a considerar comunicación de acceso por parte de un encargado. Pues cuando lo haga al acceso a los datos personales, cuando resulten necesarios para la prestación de un servicio a un responsable, ahí lo tenemos algo curioso, pero dejamos bien. Y ahora, Claro, los responsables y los encargados deberán designar a quién. A un delegado de protección de datos atendiendo a qué a cualidades profesionales, en particular a sus conocimientos especializados en derecho y a la práctica en la materia de protección de datos.

15:10 Ahí es cuando vamos a designar un delegado de protección de datos, lo vamos a designar siempre en lo que venga previsto en el artículo 37 del Reglamento, que habían 3 causas ahí, en el artículo 37 del Reglamento, y ahí vamos a tener a nuestro delegado cuando el tratamiento lo lleve a cabo una autoridad o un organismo público. Cuando hayan actividades que consistan en operación de tratamiento que requieran una observación habitual y sistemática de los interesados a gran escala, o cuando el tratamiento sea a gran escala de datos especiales, personales o datos relativos a las condenas e infracciones penales en esas 3 causas que tenemos en el artículo 37 del Reglamento, sí o sí, vamos a tener ese delegado y además, si revisamos el artículo 34 de la Ley Orgánica, tenemos un montón, un listado enorme de cuándo vamos a tener a nuestro Delegado de protección de datos.

16:02 Bien, pues. ¿Los responsables y los encargados que hayan designado un delegado y aquí sí que puede haber pregunta examen, deberán comunicarse en un plazo de 10 días a quien a la Agencia española de Protección de Datos volvemos a darle la vuelta, vale? La Agencia de la Agencia Española de Protección de Datos deberá ser comunicada en un plazo de 10 días por parte del responsable del encargado cuando hayan designado un delegado. Formularlo como queráis que aquí yo veo, pues una posible pregunta es el plazo de 10 días y aquí a la Agencia Española de Protección de Datos. Pues cosicas que nos quedan de la del delegado que tenemos en esta ley que va a actuar como interlocutor del responsable y del encargado ante la Agencia Española de Protección de Datos y también ante las autoridades autonómicas de protección de datos, que cuando el delegado se sea una persona física y esté integrada en la organización del responsable o del encargado, no pueda ser removido ni sancionado ni por el responsable ni por el encargado por desempeñar sus funciones, que se garantiza la Independencia de este legado dentro de cualquier administración, evitando, eso sí, en cualquier momento el conflicto de intereses y que tendrá acceso a los datos personales.

17:14 Y a los procesos del tratamiento, no pudiendo oponerse este acceso ni por el responsable ni por el encargado. Bueno, pues ya está, no está mal para el primer vídeo de la Ley Orgánica del 2018 de protección a datos personales y garantía de derechos digitales. Nos ha quedado bastante bien. Hacemos un resumen de lo que hemos visto. No todo es ley orgánica, hay parte de ley ordinaria, hay 17 derechos digitales de nueva era. Hemos visto su ámbito de aplicación y los que se rigen por su normativa específica también hemos visto la protección de los datos, los principios de la protección de los datos incluye. Los de la edad de 14 años en la Ley Orgánica que si nos íbamos al Reglamento eran 16 y por ley se podía bajar a 13.

17:59 Hemos visto los derechos que hay reconocidos, que son los mismos que están en el reglamento y los hemos remezcrado para que nos haga una regla nemotécnica con una palabra, soplar, supresión, oposición, portabilidad, limitación, acceso, rectificación, soplar. También hemos visto al responsable un poco, hemos visto un poco del encargado y también hemos visto al delegado de protección de datos cuando es necesario. ¿Y cuál es su posición? Pues ya está, ya está, ya está. Cerramos el primer vídeo de la Ley Orgánica 3 2018, de 5 de diciembre, de protección de datos, personas y garantía de derechos digitales. Pues nada, qué decirte, como siempre, que muchas, muchas, pues muchísimas gracias por siguiendo los vídeos, por estar los directos, por por por AP. Proyecto y por seguir trasteando, pues la aplicación de Testea, así que nada, el resumen ya está disponible en breve te pongo el podcast y nos vemos en el próximo vídeo hasta otra.