El objeto de la ley orgánica y los principios de protección de datos

La ley excluye tres grupos: lo que el propio Reglamento europeo deja fuera de su ámbito, los datos de las personas fallecidas (salvo lo que regula para ellos) y los tratamientos sometidos a la normativa de materias clasificadas. Los tratamientos de los órganos judiciales tienen reglas propias en la ley, pero no están excluidos de ella, y el archivo en interés público de las Administraciones y los datos de contacto en una empresa son tratamientos que la ley regula expresamente.

El derecho fundamental, amparado por el artículo 18.4 de la Constitución, se ejerce con arreglo a las dos normas a la vez: el Reglamento europeo, directamente aplicable, y la ley orgánica que lo adapta y completa. La ley orgánica no se presenta como norma que prevalezca sobre el Reglamento, sino como su complemento, y no menciona ningún reglamento estatal de desarrollo del Reglamento europeo.

La ley orgánica reconoce que el fallecido puede designar a personas o instituciones y dejarles instrucciones, y encarga a un real decreto los requisitos para acreditar que esos mandatos son válidos y siguen vigentes y, en su caso, su registro. No lo reserva a otra ley orgánica, no lo deja a una orden de un ministerio y no lo atribuye a la Agencia por circular.

El deber de confidencialidad no caduca con la relación: la ley dice que se mantiene aun cuando haya finalizado la relación del obligado con el responsable o el encargado. No depende de lo que se pactara en el contrato, porque nace de la ley, y no tiene un plazo de duración tras la salida.

Cuando las normas del sector permiten que un mediador recoja los datos en nombre propio para pasarlos al responsable, la ley carga sobre ese mediador las responsabilidades por comunicar datos que no coinciden con los que dio el afectado. El afectado no responde de lo que otro alteró, y la ley no reparte la responsabilidad entre los dos ni la deja solo en el responsable.

La regla solo le quita al consentimiento la fuerza de levantar por sí solo la prohibición; no cierra las demás vías. Esos datos pueden tratarse al amparo de los restantes supuestos del artículo 9.2 del Reglamento europeo, cuando procedan. La ley no crea una autorización de la Agencia ni convierte en suficiente el hecho de que el responsable sea una Administración.

El registro completo de las condenas, las infracciones penales y los procedimientos y medidas conexos se remite a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. No se hace en el Registro Civil, no se deja a los ficheros policiales y no lo regula la Agencia por circular.

El deber no se limita a quien decide el tratamiento o a quien lo ejecuta por encargo: alcanza a todas las personas que intervengan en cualquier fase, también al personal de unos y otros. Tampoco es un deber propio del delegado de protección de datos, ni recae solo en el responsable.

Por debajo de la edad que fija la ley, el consentimiento que cuenta es el de quien ejerce la patria potestad o la tutela, y el alcance del tratamiento lo determina él mismo. La ley no deja que el menor consienta por su madurez, no da ningún papel de ratificación al Ministerio Fiscal y no pide autorización de la Agencia.

La ley abre la puerta a dos grupos a la vez: los vinculados al fallecido por razones familiares o de hecho, lo que incluye a una pareja no casada, y sus herederos. No exige acreditar ningún interés ante la Agencia, y la solicitud se dirige al responsable o al encargado del tratamiento, que es quien tiene los datos. Pueden pedir el acceso y, en su caso, la rectificación o la supresión.

Para los menores la ley añade a sus representantes legales y al Ministerio Fiscal, que puede actuar de oficio o a instancia de cualquier persona física o jurídica interesada. El Defensor del Pueblo supervisa a las Administraciones, pero no recibe aquí ninguna facultad, y la ley no nombra al colegio del menor ni a la Agencia.

La lista del artículo 9.1 es cerrada y tiene seis piezas: ideología, afiliación sindical, religión, orientación sexual, creencias y origen racial o étnico. La salud es una categoría especial de datos, pero no está entre aquellas para las que la ley orgánica dice que el solo consentimiento no basta. Ese precepto no es la lista de las categorías especiales, sino la de estos datos.

La ley suma a quienes fueron designados para funciones de apoyo, con una condición: que esas facultades se entiendan comprendidas en las medidas de apoyo que prestaban. Si las medidas no las comprendían, la designación no basta. No pide autorización judicial, y no espera a que falten familiares o herederos: el designado se suma a quienes ya podían ejercerlas.

Para el interés público y los poderes públicos la ley pide que el tratamiento derive de una competencia atribuida por una norma con rango de ley. No basta que el propio órgano se la dé por reglamento, no hace falta autorización de la Agencia, y el consentimiento del afectado no es lo que funda esta base, que existe precisamente sin él.

La ley prohíbe supeditar la ejecución del contrato a que el afectado consienta tratamientos para finalidades sin relación con el mantenimiento, el desarrollo o el control de la relación contractual. La publicidad de terceros no la tiene. La prohibición no se salva informando antes ni dejando retirar después el consentimiento, y la ley no la levanta por comunicárselo a la Agencia.

La obligación legal que sirve de base al tratamiento tiene que estar prevista en una norma de la Unión Europea o en una norma con rango de ley. No basta un reglamento ni una orden, pero tampoco se exige ley orgánica, y una norma de la Unión vale tanto como una ley.

Fuera de los fines penales, estos datos solo pueden tratarse con el amparo de una norma de la Unión, de la propia ley orgánica o de otra norma de rango legal. No hace falta una ley orgánica específica, porque vale cualquier norma de rango legal y también una de la Unión. El consentimiento del afectado no basta por sí solo, y la ley no prevé una resolución de la Agencia caso por caso.

La propia ley explica la regla: el consentimiento solo no levanta la prohibición de tratar esos datos «a fin de evitar situaciones discriminatorias», porque identificar la ideología, la religión o el origen de una persona es lo que permite tratarla peor por ello. La regla no se limita a los menores ni a los perfiles comerciales, y no es una garantía de la libertad de expresión.

La ley orgánica declara dos objetos: adaptar el ordenamiento al Reglamento europeo y completarlo, y garantizar los derechos digitales conforme al mandato del artículo 18.4 de la Constitución, que es lo que desarrolla su título X. El acceso a la información pública, la firma electrónica y la reutilización de la información del sector público tienen sus propias leyes y no forman parte de este objeto.

La ley enumera cuatro orígenes en que la inexactitud no se imputa al responsable: el propio afectado, el mediador previsto por las normas del sector, la portabilidad ejercida por el afectado y el registro público. Recibir los datos de otro responsable solo entra si fue el afectado quien ejerció la portabilidad. Una cesión pactada entre empresas o una compra de bases de datos no están en la lista, y los datos que el responsable deduce por su cuenta tampoco.