El objeto de la ley orgánica y los principios de protección de datos

La prohibición expresa del fallecido cierra el acceso, la rectificación y la supresión a familiares y herederos, pero tiene un límite: no afecta al derecho de los herederos a acceder a los datos patrimoniales del causante. No vincula solo a la familia, porque alcanza también a los herederos en todo lo demás, y no deja abierta la supresión, que se impide igual que el acceso.

La ley enumera cuatro orígenes en que la inexactitud no se imputa al responsable: el propio afectado, el mediador previsto por las normas del sector, la portabilidad ejercida por el afectado y el registro público. Recibir los datos de otro responsable solo entra si fue el afectado quien ejerció la portabilidad. Una cesión pactada entre empresas o una compra de bases de datos no están en la lista, y los datos que el responsable deduce por su cuenta tampoco.

La ley orgánica reconoce que el fallecido puede designar a personas o instituciones y dejarles instrucciones, y encarga a un real decreto los requisitos para acreditar que esos mandatos son válidos y siguen vigentes y, en su caso, su registro. No lo reserva a otra ley orgánica, no lo deja a una orden de un ministerio y no lo atribuye a la Agencia por circular.

El deber de confidencialidad no caduca con la relación: la ley dice que se mantiene aun cuando haya finalizado la relación del obligado con el responsable o el encargado. No depende de lo que se pactara en el contrato, porque nace de la ley, y no tiene un plazo de duración tras la salida.

Un dato obtenido directamente del afectado es uno de los casos en que la inexactitud no se imputa al responsable, pero con una condición: que haya adoptado todas las medidas razonables para suprimirlo o rectificarlo sin dilación. No es una exención incondicional por el hecho de que el error sea del afectado, ni depende de que este avise a nadie.

La ley orgánica fija la edad en «mayor de catorce años», con una salvedad: no basta el consentimiento del menor cuando la ley exige la asistencia de los titulares de la patria potestad o tutela para celebrar el acto en cuyo contexto se recaba. Los dieciséis años son los que fija el Reglamento europeo para la oferta directa de servicios de la sociedad de la información a niños, con margen para que cada Estado los baje hasta los trece; la ley orgánica no usa ni una cifra ni la otra.

La ley abre la puerta a dos grupos a la vez: los vinculados al fallecido por razones familiares o de hecho, lo que incluye a una pareja no casada, y sus herederos. No exige acreditar ningún interés ante la Agencia, y la solicitud se dirige al responsable o al encargado del tratamiento, que es quien tiene los datos. Pueden pedir el acceso y, en su caso, la rectificación o la supresión.

La regla solo le quita al consentimiento la fuerza de levantar por sí solo la prohibición; no cierra las demás vías. Esos datos pueden tratarse al amparo de los restantes supuestos del artículo 9.2 del Reglamento europeo, cuando procedan. La ley no crea una autorización de la Agencia ni convierte en suficiente el hecho de que el responsable sea una Administración.

La ley prohíbe supeditar la ejecución del contrato a que el afectado consienta tratamientos para finalidades sin relación con el mantenimiento, el desarrollo o el control de la relación contractual. La publicidad de terceros no la tiene. La prohibición no se salva informando antes ni dejando retirar después el consentimiento, y la ley no la levanta por comunicárselo a la Agencia.

El fallecido puede dejar designadas a personas o instituciones para que pidan el acceso y, en su caso, la rectificación o la supresión, y actúan con arreglo a las instrucciones que recibieron. La ley no da esa facultad a quien autorizó el testamento ni a una asociación por el solo hecho de que el fallecido perteneciera a ella, y la Agencia no actúa aquí en nombre de nadie.

Los tratamientos total o parcialmente automatizados entran siempre; los no automatizados, solo si los datos están en un fichero o van a incluirse en él. Lo que decide no es quién trata los datos ni cuánto tiempo los guarda, sino el fichero: unas notas sueltas en papel que no se van a ordenar en ninguno quedan fuera.

Los dos deberes se suman: el de confidencialidad que impone la protección de datos es complementario del secreto profesional que la normativa de cada profesión establezca. Ninguno sustituye ni desplaza al otro, y quien ya está obligado por secreto profesional no queda por eso libre del deber de confidencialidad.

Cuando un mismo consentimiento cubre varias finalidades, tiene que constar de forma específica e inequívoca que se da para todas ellas. Consentir la finalidad principal no extiende el consentimiento a las demás, y la ley no exige forma notarial ni una renovación periódica.

Cuando las normas del sector permiten que un mediador recoja los datos en nombre propio para pasarlos al responsable, la ley carga sobre ese mediador las responsabilidades por comunicar datos que no coinciden con los que dio el afectado. El afectado no responde de lo que otro alteró, y la ley no reparte la responsabilidad entre los dos ni la deja solo en el responsable.

La ley suma a quienes fueron designados para funciones de apoyo, con una condición: que esas facultades se entiendan comprendidas en las medidas de apoyo que prestaban. Si las medidas no las comprendían, la designación no basta. No pide autorización judicial, y no espera a que falten familiares o herederos: el designado se suma a quienes ya podían ejercerlas.

La ley orgánica declara dos objetos: adaptar el ordenamiento al Reglamento europeo y completarlo, y garantizar los derechos digitales conforme al mandato del artículo 18.4 de la Constitución, que es lo que desarrolla su título X. El acceso a la información pública, la firma electrónica y la reutilización de la información del sector público tienen sus propias leyes y no forman parte de este objeto.

La lista del artículo 9.1 es cerrada y tiene seis piezas: ideología, afiliación sindical, religión, orientación sexual, creencias y origen racial o étnico. La salud es una categoría especial de datos, pero no está entre aquellas para las que la ley orgánica dice que el solo consentimiento no basta. Ese precepto no es la lista de las categorías especiales, sino la de estos datos.

La ley permite que una norma con rango de ley ampare estos tratamientos cuando lo exija la gestión de la asistencia sanitaria y social, tanto pública como privada, o la ejecución de un contrato de seguro del que el afectado sea parte. Ni deja fuera la asistencia privada ni vale un seguro en el que el afectado no es parte, y lo que ampara el tratamiento es la ley, no un consentimiento ante la autoridad sanitaria.

Para el interés público y los poderes públicos la ley pide que el tratamiento derive de una competencia atribuida por una norma con rango de ley. No basta que el propio órgano se la dé por reglamento, no hace falta autorización de la Agencia, y el consentimiento del afectado no es lo que funda esta base, que existe precisamente sin él.

El registro completo de las condenas, las infracciones penales y los procedimientos y medidas conexos se remite a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. No se hace en el Registro Civil, no se deja a los ficheros policiales y no lo regula la Agencia por circular.