Las disposiciones adicionales de la ley orgánica de protección de datos

• Nada, salvo que el interesado lo autorice expresamente por escrito
• Solo pedir a la Agencia Española de Protección de Datos que los compruebe
• Darlos por exactos sin comprobarlos, porque los declaró el interesado
• Hacer las verificaciones necesarias para comprobar su exactitud

La ley reconoce una potestad de verificación: el órgano que recibe la solicitud puede comprobar, en el ejercicio de sus competencias, que los datos declarados son exactos. No necesita una autorización expresa del interesado para hacerlo, no pasa por la Agencia y tampoco está obligado a dar por buena la declaración sin más.

• Nunca: la investigación en salud exige siempre el consentimiento
• Cuando lo autorice en cada caso la Agencia Española de Protección de Datos
• Cuando los datos procedan de historias clínicas ya cerradas y archivadas
• En situaciones de excepcional relevancia y gravedad para la salud pública

Es una excepción al consentimiento con dos límites: solo para las autoridades sanitarias y las instituciones públicas con competencias en vigilancia de la salud pública, y solo en situaciones de excepcional relevancia y gravedad. No exige una autorización de la Agencia caso por caso, y lo que la habilita es la gravedad de la situación, no el origen de los datos.

• El día siguiente al de su publicación en el Boletín Oficial del Estado
• A los veinte días de su publicación en el Boletín Oficial del Estado
• El 25 de mayo de 2018, cuando empezó a aplicarse el Reglamento europeo
• A los tres meses de su publicación en el Boletín Oficial del Estado

La ley orgánica no se acoge a los veinte días que el Código Civil prevé cuando una ley no dice nada: fija su propia entrada en vigor, el día siguiente al de su publicación, y como se publicó el 6 de diciembre de 2018, rige desde el día 7. El 25 de mayo de 2018 es otra fecha: aquella desde la que se aplica el Reglamento europeo.

• A todas las Administraciones públicas, como condición básica del Estado
• A la Administración General del Estado y a las comunidades autónomas
• A la Administración General del Estado y a sus organismos públicos
• A la Administración General del Estado y a las entidades locales

La disposición final segunda dicta la ley al amparo de las condiciones básicas del artículo 149.1.1.ª de la Constitución, pero saca de ese carácter básico unas piezas que solo se aplican a la Administración General del Estado y a sus organismos públicos: entre ellas, el título VIII. La ley no extiende esa aplicación a las comunidades autónomas ni a las entidades locales.

• La Ley de Promoción de la Autonomía Personal
• La Ley de Prevención de Riesgos Laborales
• La Ley General de la Seguridad Social
• La Ley de Protección Jurídica del Menor

La lista de la disposición adicional decimoséptima reúne leyes sanitarias —General de Sanidad, autonomía del paciente, salud pública, medicamentos…— y otras en las que la salud pesa, como la de prevención de riesgos laborales, la de entidades aseguradoras y la de derechos de las personas con discapacidad. Ni la de autonomía personal y dependencia, ni la de Seguridad Social, ni la del menor están en ella.

• La séptima (identificación en las publicaciones) y la decimoséptima (datos de salud)
• La segunda (transparencia y acceso a la información) y la decimoséptima (datos de salud)
• La segunda (transparencia y acceso a la información) y la tercera (cómputo de plazos)
• La primera (seguridad en el sector público) y la séptima (identificación en las publicaciones)

La ley es orgánica, pero la disposición final primera rebaja a ordinaria buena parte de ella, y entre lo rebajado están las adicionales, salvo la segunda, la de la transparencia y el acceso a la información, y la decimoséptima, la de los datos de salud. La séptima y la tercera, por mucho que se pregunten, son ley ordinaria.

• Las de la Administración pública de origen, ajustadas al Esquema Nacional de Seguridad
• Las que el propio tercero decida, según su análisis de riesgos como empresa privada
• Las que fije el contrato o la concesión, sin sujeción al Esquema Nacional de Seguridad
• Las que apruebe en cada caso la Agencia Española de Protección de Datos, a petición suya

El tercero no se trae sus propias medidas ni puede pactar unas al margen del Esquema Nacional de Seguridad: las suyas tienen que corresponderse con las de la Administración de origen y ajustarse a ese Esquema. La Agencia no aprueba medidas caso por caso.

• Con su nombre y apellidos y cuatro cifras aleatorias de su documento
• Con su nombre y apellidos y el número completo de su documento
• Solo con su nombre y apellidos, sin ningún dato de su documento
• Exclusivamente con el número completo de su documento de identidad

En la notificación por anuncios el afectado se identifica solo por el número completo del DNI, el NIE, el pasaporte o el documento equivalente, sin el nombre. Juntar el nombre y los apellidos con el número completo es justo lo que la ley prohíbe en todo caso. Identificar solo por el nombre queda para quien no tiene ninguno de esos documentos.

• En días naturales, porque la relación es solo entre particulares
• En días hábiles, excluidos solo los domingos y los festivos
• En días hábiles, excluidos los sábados, los domingos y los festivos
• En días naturales, salvo que el último día del plazo sea festivo

La ley orgánica aplica las mismas reglas de cómputo a los plazos del Reglamento europeo y a los suyos, sean entre particulares o con el sector público: los días son hábiles, y fuera quedan los sábados, los domingos y los festivos. Que la relación sea privada no los convierte en naturales, y el sábado también se excluye.