El objeto del Reglamento general y sus definiciones

El artículo 3.2 mira dónde se encuentra el interesado, no su nacionalidad ni su residencia: basta con que se encuentre en la Unión. El texto publicado en el Diario Oficial en 2016 decía «que residan en la Unión», pero la corrección de errores de 23 de mayo de 2018 lo cambió por «que se encuentren», que es el texto que rige.

El interesado acepta el tratamiento mediante una declaración o una clara acción afirmativa, como marcar una casilla. No se exige forma escrita ni firma, pero sí un acto positivo: el silencio o la inacción no son una acción afirmativa, por mucho que antes se haya informado al interesado.

El tratamiento total o parcialmente automatizado entra siempre en el ámbito material; el manual, solo si los datos están contenidos en un fichero o destinados a incluirse en él. Lo que decide es el fichero, no quién trata los datos ni de qué clase son. Por eso no es cierto que el Reglamento ignore el papel: unas fichas ordenadas por criterios sí quedan dentro.

El artículo 3.3 extiende el Reglamento al responsable que no está establecido en la Unión sino en un lugar donde el Derecho de los Estados miembros se aplica en virtud del Derecho internacional público. Una decisión de adecuación sirve para transferir datos a un país tercero, no para someter a sus responsables al Reglamento; y ni ser candidato a la adhesión ni ratificar un convenio internacional cambian el ámbito territorial.

El Reglamento persigue a la vez dos fines: proteger a las personas físicas y garantizar la libre circulación de los datos. Como todos los Estados miembros aplican las mismas normas, la protección de las personas no puede alegarse para frenar la circulación dentro de la Unión. La idea de comparar el nivel de protección del destino pertenece a las transferencias a terceros países, no a la circulación entre Estados miembros.

El primer criterio del ámbito territorial es el establecimiento: el Reglamento se aplica al tratamiento hecho en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no. Dónde estén los servidores no cambia nada, y este criterio no pide nada sobre dónde viven los clientes.

El consentimiento es una manifestación de voluntad libre, específica, informada e inequívoca. Específica significa que se presta para un tratamiento concreto, así que un consentimiento genérico no vale. Ni la forma escrita ni la intervención de un fedatario están entre las cualidades que exige la definición.

Seudonimizar es tratar los datos de modo que ya no puedan atribuirse a un interesado sin información adicional, siempre que esa información figure por separado y esté protegida con medidas técnicas y organizativas. La atribución sigue siendo posible con esa clave, y por eso no es una anonimización irreversible. Guardar la información adicional junto a los datos, aunque se cifre, incumple justo la condición de que figure por separado.

El artículo 2.2.c) deja fuera el tratamiento que hace una persona física en actividades exclusivamente personales o domésticas, como una agenda de contactos privada. Da igual que el tratamiento sea automatizado o que los datos identifiquen a personas concretas: la exclusión va por la clase de actividad, no por la forma del tratamiento. Tampoco fija el Reglamento ningún plazo que haga entrar ese tratamiento en su ámbito.

La elaboración de perfiles es toda forma de tratamiento automatizado que usa datos personales para evaluar aspectos personales de una persona física, como su rendimiento profesional, su situación económica o sus preferencias. La definición no exige que el tratamiento produzca efectos jurídicos sobre la persona, ni que falte toda intervención humana, ni que se traten categorías especiales de datos.

El responsable es quien decide para qué y cómo se tratan los datos: determina los fines y medios del tratamiento. Tratar los datos por cuenta de otro es lo que define al encargado; recibir una comunicación de datos, al destinatario; y supervisar el cumplimiento dentro de la organización es una función del delegado de protección de datos.

El artículo 1 dice a quién protege el Reglamento: a las personas físicas, y en particular su derecho a la protección de los datos personales. Las personas jurídicas quedan fuera: los datos de una empresa como tal no son datos personales, y el artículo no distingue por el ánimo de lucro ni deja la cuestión al Derecho de cada Estado.

La violación de la seguridad es toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados. La pérdida accidental basta: no hace falta intención ni que se pruebe que alguien llegó a acceder a los datos, y la definición no distingue por la clase de datos.

El segundo supuesto del artículo 3.2 es el control del comportamiento, y lleva su propio límite: se aplica en la medida en que ese comportamiento tenga lugar en la Unión. Ni el pago ni el representante son condiciones: designar un representante es una obligación que nace de estar sujeto al Reglamento, no un requisito para estarlo.

Los datos biométricos se obtienen por un tratamiento técnico específico de las características físicas, fisiológicas o conductuales de una persona y permiten o confirman su identificación única, como las imágenes faciales o las huellas dactilares. La muestra biológica y las características heredadas o adquiridas son de la definición de datos genéticos, y revelar el estado de salud es lo propio de los datos relativos a la salud.

El tratamiento es cualquier operación sobre datos personales, por procedimientos automatizados o no, y la definición enumera la consulta junto a la recogida, la conservación, la utilización o la supresión. No hace falta modificar ni comunicar los datos, ni que la operación sea automatizada: mirar un expediente con datos personales ya es tratarlos.

Un fichero es todo conjunto estructurado de datos personales accesibles con arreglo a criterios determinados, y la definición añade que da igual cómo esté organizado: centralizado, descentralizado o repartido de forma funcional o geográfica. Lo que cuenta es la estructura y la posibilidad de acceder por criterios, no que todo esté en un mismo sitio; repartirlo entre sedes, entre Estados o entre áreas de la organización no lo saca de la definición.

Destinatario es aquel a quien se comunican datos personales, se trate o no de un tercero; por eso lo es también quien no es tercero, como un encargado, y lo es la empresa que recibe datos de otra. La única salvedad de la definición son las autoridades públicas que reciben datos en el marco de una investigación concreta conforme al Derecho de la Unión o de los Estados miembros.