El objeto de la ley orgánica y los principios de protección de datos

• Con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley
• Con arreglo a esta ley orgánica, que prevalece sobre el Reglamento europeo
• Con arreglo al Reglamento (UE) 2016/679 y a su reglamento estatal de desarrollo
• Con arreglo a esta ley orgánica y a la ley de transparencia de 2013

El derecho fundamental, amparado por el artículo 18.4 de la Constitución, se ejerce con arreglo a las dos normas a la vez: el Reglamento europeo, directamente aplicable, y la ley orgánica que lo adapta y completa. La ley orgánica no se presenta como norma que prevalezca sobre el Reglamento, sino como su complemento, y no menciona ningún reglamento estatal de desarrollo del Reglamento europeo.

• El responsable, como único obligado
• El mediador o intermediario
• El afectado que facilitó los datos
• El responsable y el mediador a partes iguales

Cuando las normas del sector permiten que un mediador recoja los datos en nombre propio para pasarlos al responsable, la ley carga sobre ese mediador las responsabilidades por comunicar datos que no coinciden con los que dio el afectado. El afectado no responde de lo que otro alteró, y la ley no reparte la responsabilidad entre los dos ni la deja solo en el responsable.

• Las personas o instituciones que el fallecido designó expresamente
• El notario ante el que el fallecido otorgó su último testamento
• La asociación de consumidores de la que el fallecido era socio
• La Agencia Española de Protección de Datos, actuando de oficio

El fallecido puede dejar designadas a personas o instituciones para que pidan el acceso y, en su caso, la rectificación o la supresión, y actúan con arreglo a las instrucciones que recibieron. La ley no da esa facultad a quien autorizó el testamento ni a una asociación por el solo hecho de que el fallecido perteneciera a ella, y la Agencia no actúa aquí en nombre de nadie.

• Sus representantes legales o, en el marco de sus competencias, el Defensor del Pueblo
• Sus representantes legales o, en el marco de sus competencias, el Ministerio Fiscal
• Sus representantes legales o, en el marco de sus competencias, su colegio
• Sus representantes legales o, en el marco de sus competencias, la Agencia Española de Protección de Datos

Para los menores la ley añade a sus representantes legales y al Ministerio Fiscal, que puede actuar de oficio o a instancia de cualquier persona física o jurídica interesada. El Defensor del Pueblo supervisa a las Administraciones, pero no recibe aquí ninguna facultad, y la ley no nombra al colegio del menor ni a la Agencia.

• Por la Ley Orgánica del Poder Judicial, que excluye para ellos la aplicación del Reglamento europeo y de esta ley
• Por su legislación específica, si la hay, y solo supletoriamente por el Reglamento europeo y por esta ley
• Por la Ley 39/2015, del procedimiento administrativo común, y supletoriamente por esta ley orgánica
• Por el Reglamento europeo y esta ley, sin perjuicio de lo que les sea aplicable de la Ley Orgánica del Poder Judicial

Los órganos judiciales no quedan fuera del régimen general: el Reglamento europeo y la ley orgánica se les aplican, y la Ley Orgánica del Poder Judicial se suma en lo que corresponda. Una legislación específica que desplace al Reglamento no es su régimen, y la Ley 39/2015 regula el procedimiento administrativo, no la actividad jurisdiccional.

• El consentimiento explícito del afectado, aunque no lo prevea ninguna norma
• Una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal
• Una ley orgánica específica, sin que basten las normas de la Unión
• Una resolución de la Agencia Española de Protección de Datos que lo permita

Fuera de los fines penales, estos datos solo pueden tratarse con el amparo de una norma de la Unión, de la propia ley orgánica o de otra norma de rango legal. No hace falta una ley orgánica específica, porque vale cualquier norma de rango legal y también una de la Unión. El consentimiento del afectado no basta por sí solo, y la ley no prevé una resolución de la Agencia caso por caso.

• Sí, salvo que la Agencia Española de Protección de Datos lo autorice de forma expresa
• No, pueden tratarse si se amparan en otro de los supuestos del artículo 9.2 del Reglamento
• Sí, y la prohibición solo cede cuando es el propio afectado quien hace públicos esos datos
• No, pueden tratarse siempre que el responsable sea una Administración Pública en funciones

La regla solo le quita al consentimiento la fuerza de levantar por sí solo la prohibición; no cierra las demás vías. Esos datos pueden tratarse al amparo de los restantes supuestos del artículo 9.2 del Reglamento europeo, cuando procedan. La ley no crea una autorización de la Agencia ni convierte en suficiente el hecho de que el responsable sea una Administración.

• Regular el acceso de la ciudadanía a la información pública
• Regular la firma electrónica de la ciudadanía y las empresas
• Garantizar los derechos digitales de la ciudadanía
• Regular la reutilización de la información del sector público

La ley orgánica declara dos objetos: adaptar el ordenamiento al Reglamento europeo y completarlo, y garantizar los derechos digitales conforme al mandato del artículo 18.4 de la Constitución, que es lo que desarrolla su título X. El acceso a la información pública, la firma electrónica y la reutilización de la información del sector público tienen sus propias leyes y no forman parte de este objeto.

• Una norma con rango de ley, sin que baste una norma de la Unión Europea
• Cualquier disposición general, incluidos los reglamentos y las órdenes
• Una norma de Derecho de la Unión Europea o una norma con rango de ley
• Una ley orgánica, por afectar a un derecho fundamental

La obligación legal que sirve de base al tratamiento tiene que estar prevista en una norma de la Unión Europea o en una norma con rango de ley. No basta un reglamento ni una orden, pero tampoco se exige ley orgánica, y una norma de la Unión vale tanto como una ley.