El objeto del Reglamento general y sus definiciones

• Que se obtienen, en particular, del análisis de una muestra biológica
• Que permiten o confirman la identificación única de la persona
• Que revelan información sobre el estado de salud de la persona
• Que se refieren a características genéticas heredadas o adquiridas

Los datos biométricos se obtienen por un tratamiento técnico específico de las características físicas, fisiológicas o conductuales de una persona y permiten o confirman su identificación única, como las imágenes faciales o las huellas dactilares. La muestra biológica y las características heredadas o adquiridas son de la definición de datos genéticos, y revelar el estado de salud es lo propio de los datos relativos a la salud.

• No, salvo que la consulta quede registrada
• No, salvo que la consulta sea automatizada
• Solo si los datos se conservan después de la consulta
• Sí: la consulta es una de las operaciones de tratamiento

El tratamiento es cualquier operación sobre datos personales, por procedimientos automatizados o no, y la definición enumera la consulta junto a la recogida, la conservación, la utilización o la supresión. No hace falta modificar ni comunicar los datos, ni que la operación sea automatizada: mirar un expediente con datos personales ya es tratarlos.

• Que determina los fines y medios del tratamiento
• Que trata los datos personales por cuenta de otro
• Que recibe una comunicación de datos personales
• Que supervisa el cumplimiento del Reglamento

El responsable es quien decide para qué y cómo se tratan los datos: determina los fines y medios del tratamiento. Tratar los datos por cuenta de otro es lo que define al encargado; recibir una comunicación de datos, al destinatario; y supervisar el cumplimiento dentro de la organización es una función del delegado de protección de datos.

• Los de los interesados que se encuentren en la Unión
• Los de los interesados que tengan su residencia habitual en la Unión
• Los de los interesados que tengan la ciudadanía de la Unión
• Los de los interesados que hayan contratado en la Unión

El artículo 3.2 mira dónde se encuentra el interesado, no su nacionalidad ni su residencia: basta con que se encuentre en la Unión. El texto publicado en el Diario Oficial en 2016 decía «que residan en la Unión», pero la corrección de errores de 23 de mayo de 2018 lo cambió por «que se encuentren», que es el texto que rige.

• La de responsable del tratamiento
• La de encargado del tratamiento
• La de tercero
• La de representante

El encargado es quien trata datos personales por cuenta del responsable. Aquí el responsable es el ayuntamiento, y la empresa trata los datos de sus empleados por encargo suyo. No es tercero, porque la definición de tercero excluye expresamente al encargado, ni representante, que es la persona que designa por escrito un responsable o encargado no establecido en la Unión.

• Solo si les cobra por el servicio que les presta
• En la medida en que el comportamiento tenga lugar en la Unión
• Solo si ha designado un representante en la Unión
• Siempre, tenga lugar donde tenga lugar el comportamiento

El segundo supuesto del artículo 3.2 es el control del comportamiento, y lleva su propio límite: se aplica en la medida en que ese comportamiento tenga lugar en la Unión. Ni el pago ni el representante son condiciones: designar un representante es una obligación que nace de estar sujeto al Reglamento, no un requisito para estarlo.

• Solo mediante una declaración firmada por escrito
• Mediante una declaración o con su silencio tras ser informado
• Mediante una declaración o una clara acción afirmativa
• Solo mediante una declaración ante el propio responsable

El interesado acepta el tratamiento mediante una declaración o una clara acción afirmativa, como marcar una casilla. No se exige forma escrita ni firma, pero sí un acto positivo: el silencio o la inacción no son una acción afirmativa, por mucho que antes se haya informado al interesado.

• Sí, porque el tratamiento está automatizado
• Sí, porque los datos son de personas identificadas
• No, porque es una actividad exclusivamente personal
• Solo si conserva esos datos durante más de un año

El artículo 2.2.c) deja fuera el tratamiento que hace una persona física en actividades exclusivamente personales o domésticas, como una agenda de contactos privada. Da igual que el tratamiento sea automatizado o que los datos identifiquen a personas concretas: la exclusión va por la clase de actividad, no por la forma del tratamiento. Tampoco fija el Reglamento ningún plazo que haga entrar ese tratamiento en su ámbito.

• Sí, en los mismos términos que los de las personas físicas
• No: protege los derechos y libertades de las personas físicas
• Sí, pero solo los de las personas jurídicas sin ánimo de lucro
• Solo cuando lo disponga el Derecho del Estado miembro

El artículo 1 dice a quién protege el Reglamento: a las personas físicas, y en particular su derecho a la protección de los datos personales. Las personas jurídicas quedan fuera: los datos de una empresa como tal no son datos personales, y el artículo no distingue por el ánimo de lucro ni deja la cuestión al Derecho de cada Estado.