Los principios del tratamiento y su licitud

La carga de la prueba es del responsable: si se apoya en el consentimiento, tiene que poder demostrar que el interesado consintió. No le toca al interesado probar que no lo dio, ni se traslada al encargado que trata los datos por cuenta del responsable o a la autoridad de control.

El artículo 7.4 no prohíbe por sí mismo esa condición, sino que obliga a tenerla en cuenta «en la mayor medida posible» al evaluar si el consentimiento se dio libremente. Por eso no es irrelevante, aunque el cliente pueda no contratar; pero tampoco es una nulidad automática que ahorre la evaluación, y vale para cualquier interesado, no solo para los niños.

Si el responsable demuestra que no puede identificar al interesado, se lo comunica, de ser posible, y los artículos 15 a 20 dejan de aplicarse. La puerta se reabre si el propio interesado, para ejercer sus derechos, facilita información adicional que permita identificarlo. No es una exclusión absoluta, ni obliga al responsable a identificarlo por su cuenta.

Los datos tienen que ser adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento: pedir la profesión o el estado civil para un curso de natación recoge más de lo que el fin exige, y eso es lo que veta la minimización. La limitación de la finalidad no falla aquí: el fin (gestionar el curso) es determinado y legítimo; lo que sobra son los datos, no el fin. Que sean exactos o estén seguros tampoco arregla haberlos pedido sin necesidad.

El artículo 10 añade una condición a la base del artículo 6.1: que el tratamiento se haga bajo la supervisión de las autoridades públicas o que lo autorice el Derecho de la Unión o de los Estados miembros con garantías adecuadas para los derechos y libertades de los interesados. Ni el consentimiento explícito del interesado, ni que él mismo haya hecho públicos los datos, ni los fines de archivo o estadística son la condición que fija este artículo.

El principio de exactitud pide datos exactos y actualizados solo si fuera necesario: la actualización depende de los fines del tratamiento, no es una obligación de revisarlos siempre o cada cierto tiempo. Tampoco se cumple dando por bueno lo que declare el interesado: la iniciativa de corregir lo inexacto es del responsable.

Para los datos ordinarios, los intereses vitales son una base de licitud sin más condición. Para las categorías especiales, el Reglamento añade una: que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; si puede consentir, esta excepción no sirve. Los intereses protegidos pueden seguir siendo los de otra persona física, y no se exige comunicación ni autorización de ninguna autoridad.

La regla del Reglamento son 16 años; por debajo, el consentimiento tiene que darlo o autorizarlo el titular de la patria potestad o tutela. Los Estados pueden fijar por ley una edad inferior, pero con un suelo: no menos de 13. El 13 es, por tanto, el mínimo al que se puede bajar, no la regla; y el 14 no es la edad que fija el Reglamento, sino una de las que un Estado puede elegir dentro de ese margen.

El Reglamento no obliga a identificar a nadie solo para poder cumplirlo: si los fines no requieren (o ya no requieren) la identificación, el responsable no tiene que mantener, obtener ni tratar información adicional con ese único objeto. Lo contrario obligaría a tratar más datos de los necesarios, justo lo que el Reglamento quiere evitar.

La base contractual cubre dos supuestos: la ejecución de un contrato en el que el interesado es parte y la aplicación de medidas precontractuales a petición de este. Por eso no hace falta que el contrato esté ya celebrado, pero sí que sea el interesado quien pida esas medidas. No se exige consentimiento añadido, que sería otra base distinta, ni autorización de la autoridad de control.

El artículo 9.4 solo abre ese margen para tres clases de datos: genéticos, biométricos y relativos a la salud. Para las demás que aparecen en las opciones, el Reglamento no prevé esa facultad de los Estados.

El párrafo segundo del artículo 6.1 excluye expresamente la letra f) para las autoridades públicas en el ejercicio de sus funciones: su tratamiento tiene que apoyarse en otra base, como la misión de interés público o el ejercicio de poderes públicos. Los datos de un niño no excluyen el interés legítimo: son un elemento que pesa en la ponderación («en particular cuando el interesado sea un niño»), no una prohibición.

Las condiciones del artículo 8 deciden cuándo es lícito el tratamiento de los datos del niño, no si el contrato es válido. Por eso el Reglamento deja a salvo el Derecho contractual de cada Estado, como las normas sobre la validez, formación o efectos de los contratos con un niño. Que el tratamiento no sea lícito no anula por sí mismo el contrato.

La regla de la limitación del plazo de conservación es no mantener los datos identificables más tiempo del necesario. La salvedad es una sola: períodos más largos cuando se traten exclusivamente con fines de archivo en interés público, de investigación científica o histórica o estadísticos, conforme al artículo 89.1 y con las medidas técnicas y organizativas apropiadas. Ni ser autoridad pública, ni el silencio del interesado, ni su consentimiento alargan la conservación.

El Reglamento mide la retirada con el consentimiento mismo: será tan fácil retirarlo como darlo. Exigir un escrito a quien consintió con un clic, imponer un preaviso o dejar que el responsable elija un medio más engorroso rompen esa igualdad.

La responsabilidad proactiva tiene dos caras: el responsable responde de que se cumplan los principios del apartado 1 y tiene que ser capaz de demostrarlo. No es una notificación previa de los tratamientos a la autoridad, ni impone por sí misma un delegado o una auditoría externa: cómo demuestra el cumplimiento lo decide el responsable con los instrumentos que el Reglamento le da.

La solicitud de consentimiento tiene que distinguirse claramente de los demás asuntos, de forma inteligible y con un lenguaje claro y sencillo, y la parte que infrinja el Reglamento no es vinculante. La consecuencia recae sobre esa parte, no sobre la declaración entera, y no depende de que el interesado reclame ni de que retire su consentimiento.

La retirada produce efectos hacia delante: lo tratado mientras el consentimiento estaba vigente sigue siendo lícito. No convierte en ilícito lo anterior ni obliga a que nadie lo revise o lo confirme. El interesado, además, tiene que ser informado de esta regla antes de dar su consentimiento.

El consentimiento explícito es la primera de las circunstancias que levantan la prohibición del artículo 9.1, pero con una salvedad: el Derecho de la Unión o de los Estados miembros puede establecer que, para ciertos datos o fines, la prohibición no puede levantarla el interesado. Por eso no basta «en todo caso», pero tampoco es cierto que el consentimiento no sirva nunca; y vale para cualquiera de las categorías, no solo para la salud.

La excepción para fundaciones, asociaciones y organismos sin ánimo de lucro de finalidad política, filosófica, religiosa o sindical se ciñe a su círculo: los miembros actuales o antiguos y las personas que mantengan contactos regulares con ellos en relación con sus fines. Los antiguos miembros también entran, y los datos no pueden comunicarse fuera del organismo sin el consentimiento de los interesados.