Los tratamientos concretos de datos

El art. 21.1 presume lícitos esos tratamientos, incluida la comunicación de los datos con carácter previo, siempre que sean necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad de los servicios. Por eso no hay que esperar a que la operación concluya para comunicar los datos, y la ley no pide el consentimiento de los afectados ni un aviso a la autoridad de control.

El art. 23.4 exime de la consulta cuando el afectado ha prestado su consentimiento, conforme a la ley orgánica, para recibir la comunicación de quien pretende realizarla: quien ha dicho que sí a esa empresa no necesita que se le busque en una lista de exclusión. La ley no prevé otra excepción: ni por el medio de envío, ni por una consulta hecha para otra campaña, ni por la condición profesional del destinatario.

El art. 21.2 manda a la cesionaria suprimir los datos con carácter inmediato y descarta de forma expresa la obligación de bloqueo prevista en la ley orgánica, así que la opción que los bloquea es justo la que la norma excluye. Tampoco hay que esperar la autorización de nadie ni devolver antes los datos a la cedente: la supresión es inmediata.

La regla del art. 22.2 es captar de la vía pública solo lo imprescindible para la seguridad. La excepción es una extensión mayor cuando sea necesaria para la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, y ni siquiera entonces puede captarse el interior de un domicilio privado. No la abren el acuerdo de una comunidad de propietarios, la naturaleza pública del responsable ni un cartel.

El art. 27.2 ofrece dos vías cuando falla alguna condición del apartado 1: el consentimiento del interesado o una norma con rango de ley, que regulará en su caso garantías adicionales. Por eso no basta un reglamento, aunque prevea garantías: hace falta rango de ley. Ni la Agencia ni el delegado de protección de datos pueden suplir esas dos vías.

El art. 20.3 deja fuera de la presunción que la entidad asocie la información crediticia a otras informaciones del deudor obtenidas de otras fuentes para perfilarlo, en particular con técnicas de calificación crediticia. Las otras tres conductas no solo están amparadas: el mismo artículo las prevé. Avisar de la impugnación, sin dar los datos concretos, y notificar la inclusión son deberes de la entidad, y la consulta cabe a quien recibe una solicitud de pago aplazado.

El art. 27.1 exige dos condiciones: que los responsables sean los órganos competentes para instruir el procedimiento sancionador, declarar las infracciones o imponer las sanciones, y que se traten solo los datos estrictamente necesarios para esa finalidad. Otra Administración, por mucho que le interesen los antecedentes, no cumple la primera, y la ley no centraliza estos datos en la Agencia ni en registros del Ministerio del Interior.

El art. 27.3 cierra el artículo con una sola habilitación más: la de abogados y procuradores, y solo con un fin, recoger la información que les facilitan sus clientes para ejercer sus funciones. No los habilita para investigar por su cuenta a un cliente, para hacer repertorios de resoluciones ni para comunicar nada a su colegio.

El art. 22.3 fija un plazo máximo de un mes para suprimir las imágenes que no hay que conservar, y lo cuenta desde su captación, no desde que alguien las revisa. Los tres meses y los quince días no son plazos de este artículo.

El art. 26 declara lícito que las Administraciones Públicas traten datos con fines de archivo en interés público y lo somete al RGPD y a la ley orgánica, con las especialidades que derivan de la Ley 16/1985, del Patrimonio Histórico Español, del Real Decreto 1708/2011, que regula el Sistema Español de Archivos, y de la legislación autonómica aplicable. La Ley 12/1989 es la de la función estadística, que la ley orgánica nombra a propósito de otro tratamiento.

El art. 24 declara lícitos los tratamientos necesarios para garantizar la protección de quienes informan sobre infracciones normativas, y los somete al RGPD, a la propia ley orgánica y a la ley reguladora de la protección de esas personas. La licitud nace de esa necesidad, no del consentimiento del informante, y la ley no la limita a los datos de la persona investigada ni a lo que haga un juez.

La presunción del art. 19.1 descansa en dos requisitos: que solo se traten los datos necesarios para localizar profesionalmente a la persona y que la finalidad sea únicamente mantener relaciones con la persona jurídica en la que presta sus servicios. Es una presunción de interés legítimo, salvo prueba en contrario, así que no depende del consentimiento del afectado; y la ley no exige comunicar el tratamiento a la autoridad de control ni ata la supresión al fin de la relación.

El art. 20.1.d) pone dos límites que se suman: los datos solo siguen en el sistema mientras dura el incumplimiento, y nunca más de cinco años contados desde el vencimiento de la obligación, no desde que la deuda entra en el sistema. Por eso una deuda pagada sale del sistema aunque no hayan pasado los cinco años, y por eso falla la opción que la mantiene cinco años pase lo que pase.

El art. 20.1.b) solo ampara deudas ciertas, vencidas y exigibles cuya existencia o cuantía no haya reclamado el deudor por vía administrativa o judicial, o mediante un procedimiento alternativo de resolución de disputas vinculante. Lo demás no la excluye: los datos los puede facilitar quien actúe por cuenta del acreedor, el aviso de la posible inclusión vale tanto en el contrato como al requerir el pago, y la ley no aparta las deudas por el tipo de contrato del que nacen.

El art. 23.4 obliga a consultar antes los sistemas de exclusión publicitaria que puedan afectar a la actuación y a excluir del tratamiento a quienes hayan manifestado su negativa a recibir esas comunicaciones; basta con consultar los que figuran en la relación que publica la autoridad de control. A la autoridad se le comunica la creación de un sistema de exclusión, y lo hace la entidad responsable del sistema, no quien hace la publicidad; y en esos sistemas se incorporan los afectados que no quieren recibirla, no quien la envía, que solo tiene que consultarlos.

El art. 22.3 da un máximo de setenta y dos horas y las cuenta desde que se tiene conocimiento de la existencia de la grabación, no desde la captación: unas imágenes pueden llevar días grabadas cuando alguien repara en que recogen un hecho. Por eso es falsa la opción de las setenta y dos horas desde la captación, aunque acierte la cifra.