El objeto de la ley orgánica y los principios de protección de datos

Para los menores la ley añade a sus representantes legales y al Ministerio Fiscal, que puede actuar de oficio o a instancia de cualquier persona física o jurídica interesada. El Defensor del Pueblo supervisa a las Administraciones, pero no recibe aquí ninguna facultad, y la ley no nombra al colegio del menor ni a la Agencia.

El deber de confidencialidad no caduca con la relación: la ley dice que se mantiene aun cuando haya finalizado la relación del obligado con el responsable o el encargado. No depende de lo que se pactara en el contrato, porque nace de la ley, y no tiene un plazo de duración tras la salida.

Para el interés público y los poderes públicos la ley pide que el tratamiento derive de una competencia atribuida por una norma con rango de ley. No basta que el propio órgano se la dé por reglamento, no hace falta autorización de la Agencia, y el consentimiento del afectado no es lo que funda esta base, que existe precisamente sin él.

La ley orgánica fija la edad en «mayor de catorce años», con una salvedad: no basta el consentimiento del menor cuando la ley exige la asistencia de los titulares de la patria potestad o tutela para celebrar el acto en cuyo contexto se recaba. Los dieciséis años son los que fija el Reglamento europeo para la oferta directa de servicios de la sociedad de la información a niños, con margen para que cada Estado los baje hasta los trece; la ley orgánica no usa ni una cifra ni la otra.

La norma que impone la obligación puede fijar las condiciones generales del tratamiento, los tipos de datos y las cesiones que se deriven de cumplirla, y también condiciones especiales, como medidas adicionales de seguridad. Lo que hace es concretar el tratamiento, no sacarlo de las garantías: ni lo sustrae al control de la autoridad, ni dispensa de la confidencialidad, ni exime de las sanciones.

El derecho fundamental, amparado por el artículo 18.4 de la Constitución, se ejerce con arreglo a las dos normas a la vez: el Reglamento europeo, directamente aplicable, y la ley orgánica que lo adapta y completa. La ley orgánica no se presenta como norma que prevalezca sobre el Reglamento, sino como su complemento, y no menciona ningún reglamento estatal de desarrollo del Reglamento europeo.

Los tratamientos total o parcialmente automatizados entran siempre; los no automatizados, solo si los datos están en un fichero o van a incluirse en él. Lo que decide no es quién trata los datos ni cuánto tiempo los guarda, sino el fichero: unas notas sueltas en papel que no se van a ordenar en ninguno quedan fuera.

La regla solo le quita al consentimiento la fuerza de levantar por sí solo la prohibición; no cierra las demás vías. Esos datos pueden tratarse al amparo de los restantes supuestos del artículo 9.2 del Reglamento europeo, cuando procedan. La ley no crea una autorización de la Agencia ni convierte en suficiente el hecho de que el responsable sea una Administración.

Cuando un mismo consentimiento cubre varias finalidades, tiene que constar de forma específica e inequívoca que se da para todas ellas. Consentir la finalidad principal no extiende el consentimiento a las demás, y la ley no exige forma notarial ni una renovación periódica.

La obligación legal que sirve de base al tratamiento tiene que estar prevista en una norma de la Unión Europea o en una norma con rango de ley. No basta un reglamento ni una orden, pero tampoco se exige ley orgánica, y una norma de la Unión vale tanto como una ley.

La propia ley explica la regla: el consentimiento solo no levanta la prohibición de tratar esos datos «a fin de evitar situaciones discriminatorias», porque identificar la ideología, la religión o el origen de una persona es lo que permite tratarla peor por ello. La regla no se limita a los menores ni a los perfiles comerciales, y no es una garantía de la libertad de expresión.

La ley abre una sola vía al margen de las normas que amparen el tratamiento: la de abogados y procuradores, y solo para recoger la información que les dan sus clientes para ejercer sus funciones. Las empresas que contratan, los medios de comunicación y las aseguradoras no reciben esa autorización en este artículo.

Los dos deberes se suman: el de confidencialidad que impone la protección de datos es complementario del secreto profesional que la normativa de cada profesión establezca. Ninguno sustituye ni desplaza al otro, y quien ya está obligado por secreto profesional no queda por eso libre del deber de confidencialidad.

La ley suma a quienes fueron designados para funciones de apoyo, con una condición: que esas facultades se entiendan comprendidas en las medidas de apoyo que prestaban. Si las medidas no las comprendían, la designación no basta. No pide autorización judicial, y no espera a que falten familiares o herederos: el designado se suma a quienes ya podían ejercerlas.

La ley orgánica declara dos objetos: adaptar el ordenamiento al Reglamento europeo y completarlo, y garantizar los derechos digitales conforme al mandato del artículo 18.4 de la Constitución, que es lo que desarrolla su título X. El acceso a la información pública, la firma electrónica y la reutilización de la información del sector público tienen sus propias leyes y no forman parte de este objeto.

La ley prohíbe supeditar la ejecución del contrato a que el afectado consienta tratamientos para finalidades sin relación con el mantenimiento, el desarrollo o el control de la relación contractual. La publicidad de terceros no la tiene. La prohibición no se salva informando antes ni dejando retirar después el consentimiento, y la ley no la levanta por comunicárselo a la Agencia.

La ley orgánica reconoce que el fallecido puede designar a personas o instituciones y dejarles instrucciones, y encarga a un real decreto los requisitos para acreditar que esos mandatos son válidos y siguen vigentes y, en su caso, su registro. No lo reserva a otra ley orgánica, no lo deja a una orden de un ministerio y no lo atribuye a la Agencia por circular.

El fallecido puede dejar designadas a personas o instituciones para que pidan el acceso y, en su caso, la rectificación o la supresión, y actúan con arreglo a las instrucciones que recibieron. La ley no da esa facultad a quien autorizó el testamento ni a una asociación por el solo hecho de que el fallecido perteneciera a ella, y la Agencia no actúa aquí en nombre de nadie.

La ley abre la puerta a dos grupos a la vez: los vinculados al fallecido por razones familiares o de hecho, lo que incluye a una pareja no casada, y sus herederos. No exige acreditar ningún interés ante la Agencia, y la solicitud se dirige al responsable o al encargado del tratamiento, que es quien tiene los datos. Pueden pedir el acceso y, en su caso, la rectificación o la supresión.

Cuando las normas del sector permiten que un mediador recoja los datos en nombre propio para pasarlos al responsable, la ley carga sobre ese mediador las responsabilidades por comunicar datos que no coinciden con los que dio el afectado. El afectado no responde de lo que otro alteró, y la ley no reparte la responsabilidad entre los dos ni la deja solo en el responsable.