Los principios del tratamiento y su licitud

• Las desplazan en los contratos de servicios en línea con niños
• Hacen nulo el contrato si el niño no alcanza la edad que exige el Reglamento
• No les afectan, tampoco a las de validez o formación del contrato
• Solo las desplazan si el Estado ha fijado una edad propia

Las condiciones del artículo 8 deciden cuándo es lícito el tratamiento de los datos del niño, no si el contrato es válido. Por eso el Reglamento deja a salvo el Derecho contractual de cada Estado, como las normas sobre la validez, formación o efectos de los contratos con un niño. Que el tratamiento no sea lícito no anula por sí mismo el contrato.

• Bajo supervisión de autoridades públicas, o si lo permite una norma de la Unión o estatal con garantías
• Siempre que el interesado haya dado su consentimiento explícito para uno o más fines especificados
• Solo si el propio interesado los ha hecho manifiestamente públicos, por ejemplo en sus redes sociales
• Únicamente con fines de archivo en interés público, de investigación científica o histórica o estadísticos

El artículo 10 añade una condición a la base del artículo 6.1: que el tratamiento se haga bajo la supervisión de las autoridades públicas o que lo autorice el Derecho de la Unión o de los Estados miembros con garantías adecuadas para los derechos y libertades de los interesados. Ni el consentimiento explícito del interesado, ni que él mismo haya hecho públicos los datos, ni los fines de archivo o estadística son la condición que fija este artículo.

• Limitación de la finalidad
• Exactitud
• Minimización de datos
• Integridad y confidencialidad

Los datos tienen que ser adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento: pedir la profesión o el estado civil para un curso de natación recoge más de lo que el fin exige, y eso es lo que veta la minimización. La limitación de la finalidad no falla aquí: el fin (gestionar el curso) es determinado y legítimo; lo que sobra son los datos, no el fin. Que sean exactos o estén seguros tampoco arregla haberlos pedido sin necesidad.

• Cuando el responsable sea una autoridad pública en el ejercicio de sus funciones
• Cuando el interesado no haya pedido su supresión en el plazo de un año desde su recogida
• Cuando se hayan recogido con el consentimiento explícito del interesado para ese fin
• Cuando se traten solo con fines de archivo en interés público, de investigación o estadísticos

La regla de la limitación del plazo de conservación es no mantener los datos identificables más tiempo del necesario. La salvedad es una sola: períodos más largos cuando se traten exclusivamente con fines de archivo en interés público, de investigación científica o histórica o estadísticos, conforme al artículo 89.1 y con las medidas técnicas y organizativas apropiadas. Ni ser autoridad pública, ni el silencio del interesado, ni su consentimiento alargan la conservación.

• Exactos y, si fuera necesario, actualizados
• Exactos y actualizados en todo caso
• Exactos según los declare el interesado
• Exactos y revisados una vez al año

El principio de exactitud pide datos exactos y actualizados solo si fuera necesario: la actualización depende de los fines del tratamiento, no es una obligación de revisarlos siempre o cada cierto tiempo. Tampoco se cumple dando por bueno lo que declare el interesado: la iniciativa de corregir lo inexacto es del responsable.

• Al que realizan las autoridades públicas en el ejercicio de sus funciones
• Al que afecta a los datos personales de un niño, cualquiera que sea su edad
• Al que lleva a cabo un encargado por cuenta del responsable
• Al que se realiza con fines de mercadotecnia directa dirigida a clientes

El párrafo segundo del artículo 6.1 excluye expresamente la letra f) para las autoridades públicas en el ejercicio de sus funciones: su tratamiento tiene que apoyarse en otra base, como la misión de interés público o el ejercicio de poderes públicos. Los datos de un niño no excluyen el interés legítimo: son un elemento que pesa en la ponderación («en particular cuando el interesado sea un niño»), no una prohibición.

• Invalida la declaración entera
• Solo deja de vincular si se reclama
• No es vinculante esa parte
• Vincula hasta que se retire el consentimiento

La solicitud de consentimiento tiene que distinguirse claramente de los demás asuntos, de forma inteligible y con un lenguaje claro y sencillo, y la parte que infrinja el Reglamento no es vinculante. La consecuencia recae sobre esa parte, no sobre la declaración entera, y no depende de que el interesado reclame ni de que retire su consentimiento.

• Los datos genéticos
• Los relativos a la vida sexual
• Los que revelen la afiliación sindical
• Los relativos a condenas penales

La lista del artículo 9.1 es cerrada: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos dirigidos a identificar de manera unívoca, salud y vida u orientación sexual. Los datos de condenas e infracciones penales no forman parte de ella: tienen su propio régimen en el artículo 10, que no los somete a la prohibición del 9.1 ni a sus excepciones.

• Tener rango de ley orgánica y contar con un informe de la autoridad de control
• Contar con el consentimiento de los interesados a los que vaya a aplicarse
• Un objetivo de interés público, y ser proporcional al fin legítimo perseguido
• Prever que el responsable designe un delegado de protección de datos

Cuando la base del tratamiento es una obligación legal o una misión de interés público, la establece el Derecho de la Unión o el del Estado miembro, y ese Derecho tiene que cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. El Reglamento no exige un rango normativo concreto ni un informe de la autoridad de control, y pedir el consentimiento de los afectados sería cambiar de base de licitud.