Los tratamientos concretos de datos

El art. 25.2, de acuerdo con la Ley 12/1989, de la Función Estadística Pública, hace de aportación estrictamente voluntaria los datos de los arts. 9 y 10 del RGPD, y por eso solo pueden recogerse previo consentimiento expreso. Que una norma de la Unión exija la estadística o que esté en la programación estadística legal son los casos en que la comunicación de los demás datos se ampara en el interés público: no alcanzan a estos.

El art. 25.3 permite denegar el ejercicio de esos derechos cuando los datos están amparados por las garantías del secreto estadístico previstas en la legislación estatal o autonómica. Que la estadística figure en la programación estadística legalmente prevista importa para otra cosa: para que la comunicación de los datos a los órganos estadísticos se ampare en el interés público. Ni la falta de un interés acreditado ni la publicación de los resultados abren la denegación.

El art. 20.1.d) pone dos límites que se suman: los datos solo siguen en el sistema mientras dura el incumplimiento, y nunca más de cinco años contados desde el vencimiento de la obligación, no desde que la deuda entra en el sistema. Por eso una deuda pagada sale del sistema aunque no hayan pasado los cinco años, y por eso falla la opción que la mantiene cinco años pase lo que pase.

El art. 27.3 cierra el artículo con una sola habilitación más: la de abogados y procuradores, y solo con un fin, recoger la información que les facilitan sus clientes para ejercer sus funciones. No los habilita para investigar por su cuenta a un cliente, para hacer repertorios de resoluciones ni para comunicar nada a su colegio.

El art. 21.1 presume lícitos esos tratamientos, incluida la comunicación de los datos con carácter previo, siempre que sean necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad de los servicios. Por eso no hay que esperar a que la operación concluya para comunicar los datos, y la ley no pide el consentimiento de los afectados ni un aviso a la autoridad de control.

El art. 21.2 manda a la cesionaria suprimir los datos con carácter inmediato y descarta de forma expresa la obligación de bloqueo prevista en la ley orgánica, así que la opción que los bloquea es justo la que la norma excluye. Tampoco hay que esperar la autorización de nadie ni devolver antes los datos a la cedente: la supresión es inmediata.

El art. 20.1.b) solo ampara deudas ciertas, vencidas y exigibles cuya existencia o cuantía no haya reclamado el deudor por vía administrativa o judicial, o mediante un procedimiento alternativo de resolución de disputas vinculante. Lo demás no la excluye: los datos los puede facilitar quien actúe por cuenta del acreedor, el aviso de la posible inclusión vale tanto en el contrato como al requerir el pago, y la ley no aparta las deudas por el tipo de contrato del que nacen.

La regla del art. 22.2 es captar de la vía pública solo lo imprescindible para la seguridad. La excepción es una extensión mayor cuando sea necesaria para la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, y ni siquiera entonces puede captarse el interior de un domicilio privado. No la abren el acuerdo de una comunidad de propietarios, la naturaleza pública del responsable ni un cartel.

El art. 22.3 fija un plazo máximo de un mes para suprimir las imágenes que no hay que conservar, y lo cuenta desde su captación, no desde que alguien las revisa. Los tres meses y los quince días no son plazos de este artículo.

El art. 27.2 ofrece dos vías cuando falla alguna condición del apartado 1: el consentimiento del interesado o una norma con rango de ley, que regulará en su caso garantías adicionales. Por eso no basta un reglamento, aunque prevea garantías: hace falta rango de ley. Ni la Agencia ni el delegado de protección de datos pueden suplir esas dos vías.

El art. 24 declara lícitos los tratamientos necesarios para garantizar la protección de quienes informan sobre infracciones normativas, y los somete al RGPD, a la propia ley orgánica y a la ley reguladora de la protección de esas personas. La licitud nace de esa necesidad, no del consentimiento del informante, y la ley no la limita a los datos de la persona investigada ni a lo que haga un juez.

El art. 22.5, al amparo de la exclusión doméstica del art. 2.2.c) del RGPD, deja fuera el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. La exclusión no abarca a la entidad de seguridad privada contratada para vigilar un domicilio que tenga acceso a las imágenes, que es la opción tentadora, ni lo que la cámara capte fuera de la vivienda. Una comunidad de propietarios tampoco es una persona física en su domicilio.

El art. 27.1 exige dos condiciones: que los responsables sean los órganos competentes para instruir el procedimiento sancionador, declarar las infracciones o imponer las sanciones, y que se traten solo los datos estrictamente necesarios para esa finalidad. Otra Administración, por mucho que le interesen los antecedentes, no cumple la primera, y la ley no centraliza estos datos en la Agencia ni en registros del Ministerio del Interior.

El art. 22.3 da un máximo de setenta y dos horas y las cuenta desde que se tiene conocimiento de la existencia de la grabación, no desde la captación: unas imágenes pueden llevar días grabadas cuando alguien repara en que recogen un hecho. Por eso es falsa la opción de las setenta y dos horas desde la captación, aunque acierte la cifra.

Según el art. 22.4, el dispositivo, colocado en un lugar suficientemente visible, identifica al menos tres cosas: que existe el tratamiento, quién es el responsable y que se pueden ejercer los derechos de los arts. 15 a 22 del RGPD. Puede añadir un código o una dirección de internet con el resto de la información, que el responsable debe tener a disposición de los afectados. La ubicación de las cámaras, el tiempo de conservación, el delegado o la empresa instaladora no forman parte de ese mínimo, y la ley no exige ninguna autorización previa.

La presunción del art. 19.1 descansa en dos requisitos: que solo se traten los datos necesarios para localizar profesionalmente a la persona y que la finalidad sea únicamente mantener relaciones con la persona jurídica en la que presta sus servicios. Es una presunción de interés legítimo, salvo prueba en contrario, así que no depende del consentimiento del afectado; y la ley no exige comunicar el tratamiento a la autoridad de control ni ata la supresión al fin de la relación.