El objeto de la ley orgánica y los principios de protección de datos

• El que hacen los órganos judiciales al tramitar los procesos de su competencia
• El que está sometido a la normativa sobre la protección de materias clasificadas
• El que hacen las Administraciones Públicas con fines de archivo en interés público
• El de los datos de contacto de las personas que prestan servicios en una empresa

La ley excluye tres grupos: lo que el propio Reglamento europeo deja fuera de su ámbito, los datos de las personas fallecidas (salvo lo que regula para ellos) y los tratamientos sometidos a la normativa de materias clasificadas. Los tratamientos de los órganos judiciales tienen reglas propias en la ley, pero no están excluidos de ella, y el archivo en interés público de las Administraciones y los datos de contacto en una empresa son tratamientos que la ley regula expresamente.

• Sus representantes legales o, en el marco de sus competencias, el Defensor del Pueblo
• Sus representantes legales o, en el marco de sus competencias, el Ministerio Fiscal
• Sus representantes legales o, en el marco de sus competencias, su colegio
• Sus representantes legales o, en el marco de sus competencias, la Agencia Española de Protección de Datos

Para los menores la ley añade a sus representantes legales y al Ministerio Fiscal, que puede actuar de oficio o a instancia de cualquier persona física o jurídica interesada. El Defensor del Pueblo supervisa a las Administraciones, pero no recibe aquí ninguna facultad, y la ley no nombra al colegio del menor ni a la Agencia.

• Por la Ley Orgánica del Poder Judicial, que excluye para ellos la aplicación del Reglamento europeo y de esta ley
• Por su legislación específica, si la hay, y solo supletoriamente por el Reglamento europeo y por esta ley
• Por la Ley 39/2015, del procedimiento administrativo común, y supletoriamente por esta ley orgánica
• Por el Reglamento europeo y esta ley, sin perjuicio de lo que les sea aplicable de la Ley Orgánica del Poder Judicial

Los órganos judiciales no quedan fuera del régimen general: el Reglamento europeo y la ley orgánica se les aplican, y la Ley Orgánica del Poder Judicial se suma en lo que corresponda. Una legislación específica que desplace al Reglamento no es su régimen, y la Ley 39/2015 regula el procedimiento administrativo, no la actividad jurisdiccional.

• El consentimiento explícito del afectado, aunque no lo prevea ninguna norma
• Una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal
• Una ley orgánica específica, sin que basten las normas de la Unión
• Una resolución de la Agencia Española de Protección de Datos que lo permita

Fuera de los fines penales, estos datos solo pueden tratarse con el amparo de una norma de la Unión, de la propia ley orgánica o de otra norma de rango legal. No hace falta una ley orgánica específica, porque vale cualquier norma de rango legal y también una de la Unión. El consentimiento del afectado no basta por sí solo, y la ley no prevé una resolución de la Agencia caso por caso.

• Acceder a todos sus datos, porque la prohibición solo vincula a la familia
• Ningún acceso: la prohibición alcanza también a los datos patrimoniales
• Acceder a sus datos de carácter patrimonial, pero no a los demás
• Pedir la supresión de sus datos, aunque no puedan acceder a ellos

La prohibición expresa del fallecido cierra el acceso, la rectificación y la supresión a familiares y herederos, pero tiene un límite: no afecta al derecho de los herederos a acceder a los datos patrimoniales del causante. No vincula solo a la familia, porque alcanza también a los herederos en todo lo demás, y no deja abierta la supresión, que se impide igual que el acceso.

• Cuando los dedujo de otros datos que ya tenía del afectado
• Cuando los recibió de otro responsable por una cesión pactada entre ambos
• Cuando los adquirió a una empresa que comercializa bases de datos
• Cuando los obtuvo el responsable de un registro público

La ley enumera cuatro orígenes en que la inexactitud no se imputa al responsable: el propio afectado, el mediador previsto por las normas del sector, la portabilidad ejercida por el afectado y el registro público. Recibir los datos de otro responsable solo entra si fue el afectado quien ejerció la portabilidad. Una cesión pactada entre empresas o una compra de bases de datos no están en la lista, y los datos que el responsable deduce por su cuenta tampoco.

• Mediante una ley orgánica
• Mediante una orden ministerial
• Mediante una circular de la Agencia
• Mediante real decreto

La ley orgánica reconoce que el fallecido puede designar a personas o instituciones y dejarles instrucciones, y encarga a un real decreto los requisitos para acreditar que esos mandatos son válidos y siguen vigentes y, en su caso, su registro. No lo reserva a otra ley orgánica, no lo deja a una orden de un ministerio y no lo atribuye a la Agencia por circular.

• Se mantiene aunque haya terminado su relación con la empresa
• Se extingue en el momento en que termina su relación con la empresa
• Se mantiene solo durante los dos años siguientes a su salida
• Se mantiene solo si lo pactó expresamente en su contrato de trabajo

El deber de confidencialidad no caduca con la relación: la ley dice que se mantiene aun cuando haya finalizado la relación del obligado con el responsable o el encargado. No depende de lo que se pactara en el contrato, porque nace de la ley, y no tiene un plazo de duración tras la salida.

• No, si adoptó las medidas razonables para suprimirlo o rectificarlo sin dilación
• Sí, porque responde de la exactitud de los datos que trata, sea cual sea su origen
• No, porque el error lo cometió el afectado, haya corregido después el dato o no
• Sí, salvo que el afectado comunique el error a la autoridad de control en un mes

Un dato obtenido directamente del afectado es uno de los casos en que la inexactitud no se imputa al responsable, pero con una condición: que haya adoptado todas las medidas razonables para suprimirlo o rectificarlo sin dilación. No es una exención incondicional por el hecho de que el error sea del afectado, ni depende de que este avise a nadie.