Tema 5. Protección de datos. Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: Objeto, ámbito de aplicación y principios; Derechos de las personas. La Agencia Española de Protección de Datos.

1. Protección de Datos

La protección de datos es un aspecto crucial en la gestión de la información personal. Implica la implementación de medidas y procedimientos destinados a salvaguardar la privacidad y los derechos de los individuos, asegurando que la recopilación, tratamiento y almacenamiento de datos personales se realicen de manera lícita y segura.

1.1 Normativa sobre Protección de Datos

1.1.1 Estatal: Constitución Española

La protección de datos de carácter personal es un derecho fundamental reconocido en el artículo 18 de la Constitución Española. Este artículo establece varias garantías:

Se garantiza el derecho al honor, a la intimidad personal y familiar, y a la propia imagen.
El domicilio es inviolable, ninguna entrada o registro podrá hacerse sin el consentimiento del titular o resolución judicial, salvo en caso de flagrante delito.
Se garantiza el secreto de las comunicaciones, especialmente las postales, telegráficas y telefónicas, salvo resolución judicial.
La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

1.1.2 Unión Europea

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, conocido como Reglamento General de Protección de Datos (RGPD), es una normativa esencial que regula la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Este reglamento introduce varias novedades:

Un enfoque basado en la responsabilidad y la transparencia.
Requisitos estrictos sobre el consentimiento.
Derechos reforzados para los individuos, como el derecho al olvido y la portabilidad de los datos.
Obligaciones específicas para los responsables y encargados del tratamiento, incluyendo la designación de un delegado de protección de datos en ciertas circunstancias.

1.1.3 Leyes Nacionales

La legislación nacional complementa y adapta las normativas europeas al contexto español. Las leyes más relevantes son:

Ley Orgánica 5/1992, de 29 de octubre, reguladora del tratamiento automatizado de datos personales (LORTAD), que fue derogada por la Ley Orgánica 15/1999.
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, derogada por la Ley Orgánica 3/2018.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantías de Derechos Digitales, que adapta la normativa española al RGPD y amplía las garantías de protección de datos.

1.1.4 Real Decreto

El Real Decreto 428/1993, de 26 de marzo, aprueba el Estatuto de la Agencia Española de Protección de Datos. Este decreto regula la estructura y funcionamiento de la AEPD, autoridad que supervisa la aplicación de la normativa de protección de datos en España.

1.1.5 Autonómica

La Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía, establece normas específicas sobre la protección de datos en el ámbito autonómico, asegurando que la gestión de la información por parte de las administraciones públicas andaluzas sea transparente y respetuosa con los derechos de los ciudadanos.

1.2 Reglamento General de Protección de Datos (RGPD)

El RGPD es un marco normativo de gran relevancia que armoniza las leyes de protección de datos en toda la Unión Europea. Su implementación asegura una protección uniforme de los datos personales y fortalece los derechos de los individuos. El RGPD es aplicable a todas las organizaciones que procesan datos de ciudadanos de la UE, independientemente de su ubicación.

1.2.1 Consentimiento

El consentimiento es un pilar fundamental del RGPD. Para que sea válido, debe ser una manifestación de voluntad libre, específica, informada e inequívoca del interesado. No puede deducirse del silencio o la inacción, y debe ser verificable. Además, el consentimiento para menores requiere la autorización de los padres o tutores hasta los 14 años en España.

1.2.2 Evaluaciones de Impacto sobre la Protección de Datos

Las Evaluaciones de Impacto sobre la Protección de Datos (EIPD) son obligatorias cuando un tratamiento de datos puede implicar un alto riesgo para los derechos y libertades de las personas. Su objetivo es identificar y mitigar estos riesgos antes de iniciar el tratamiento. Las EIPD deben ser realizadas de forma sistemática y documentada, incluyendo medidas para mitigar los riesgos identificados.

1.2.3 Certificación

El RGPD promueve la certificación como un mecanismo para demostrar el cumplimiento de sus requisitos. Las certificaciones pueden ser otorgadas por autoridades de protección de datos o entidades acreditadas, proporcionando una garantía adicional de que las prácticas de tratamiento de datos cumplen con los estándares de protección establecidos por el reglamento.

1.2.4 Delegados de Protección de Datos

El delegado de protección de datos (DPO) es una figura clave en la implementación del RGPD. Debe ser designado por todas las autoridades públicas y por organizaciones cuya actividad principal implique el tratamiento a gran escala de datos sensibles o la observación sistemática y regular de personas a gran escala. El DPO supervisa el cumplimiento de la normativa de protección de datos, asesora sobre las obligaciones legales y actúa como punto de contacto con las autoridades de control.

1.2.5 Relación entre Responsables y Encargados

El RGPD establece que debe existir un contrato que defina claramente las obligaciones del responsable y del encargado del tratamiento. Este contrato debe incluir, entre otros aspectos, las instrucciones sobre el tratamiento, la confidencialidad, las medidas de seguridad, y la posibilidad de realizar auditorías. El objetivo es asegurar que el encargado del tratamiento actúe en todo momento conforme a las directrices del responsable y en cumplimiento con la normativa.

1.2.6 Responsabilidad Activa

La responsabilidad activa es un principio del RGPD que requiere que las organizaciones implementen medidas proactivas para garantizar el cumplimiento con la normativa de protección de datos. Esto incluye:

Protección de datos desde el diseño: Incorporar medidas de protección desde la fase inicial del diseño de productos y servicios.
Protección de datos por defecto: Asegurar que solo se recojan y procesen los datos necesarios para cada propósito específico.
Medidas de seguridad: Implementar medidas técnicas y organizativas adecuadas para proteger los datos.
Mantenimiento de un registro de actividades de tratamiento: Documentar todas las actividades de tratamiento de datos personales.
Realización de evaluaciones de impacto: Evaluar y mitigar los riesgos asociados al tratamiento de datos.
Nombramiento de un delegado de protección de datos: Designar un DPO cuando sea requerido.
Notificación de violaciones de seguridad: Informar a las autoridades y a los afectados en caso de violaciones de seguridad de los datos.
Promoción de códigos de conducta y esquemas de certificación: Adoptar y promover prácticas de cumplimiento mediante la certificación y códigos de conducta.

1.3 Definiciones

Es fundamental comprender las definiciones clave en el ámbito de la protección de datos, tal como se establecen en el RGPD y la Ley Orgánica 3/2018. Algunas de las definiciones más relevantes incluyen:

Afectado o interesado: Persona física titular de los datos que son objeto del tratamiento.
Bloqueo de datos: Identificación y reserva de los datos personales para impedir su tratamiento.
Cancelación: Procedimiento mediante el cual el responsable cesa en el uso de los datos, implicando su bloqueo y posterior supresión.
Cesión o comunicación de datos: Tratamiento de datos que implica su revelación a una persona distinta del interesado.
Consentimiento del interesado: Manifestación de voluntad libre, específica, informada e inequívoca del interesado, mediante la cual acepta el tratamiento de sus datos personales.
Dato disociado: Información que no permite la identificación del interesado.
Datos personales: Cualquier información relacionada con una persona física identificada o identificable.
Encargado del tratamiento: Persona o entidad que trata datos personales por cuenta del responsable del tratamiento.
Fichero: Conjunto organizado de datos personales accesibles según criterios determinados.
Responsable del tratamiento: Persona o entidad que decide sobre la finalidad y medios del tratamiento de datos personales.
Transferencia internacional de datos: Transmisión de datos personales a un país tercero fuera del Espacio Económico Europeo.
Tratamiento de datos: Cualquier operación realizada sobre datos personales, como la recogida, registro, conservación, consulta, uso, comunicación o supresión.

2. Ley Orgánica 3/2018 de Protección de Datos Personales y Garantías de Derechos Digitales

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantías de Derechos Digitales, adapta el ordenamiento jurídico español al Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD) y garantiza los derechos digitales de la ciudadanía. Esta ley es esencial para asegurar que la normativa europea se aplique de manera efectiva en España y para proteger los derechos de los ciudadanos en el entorno digital.

2.1 Estructura

La Ley Orgánica 3/2018 se estructura de la siguiente manera:

Preámbulo: Introduce los objetivos y fundamentos de la ley.
97 Artículos distribuidos en 10 Títulos:
- Título I: Disposiciones Generales (Art. 1-3)
- Título II: Principios de Protección de Datos (Art. 4-10)
- Título III: Derechos de las Personas (Art. 11-18)
- Título IV: Disposiciones Aplicables a Tratamientos Concretos (Art. 19-27)
- Título V: Responsable y Encargado del Tratamiento (Art. 28-39)
- Título VI: Transferencias Internacionales de Datos (Art. 40-43)
- Título VII: Autoridades de Protección de Datos (Art. 44-62)
- Título VIII: Procedimientos en Caso de Posible Vulneración de la Normativa de Protección de Datos (Art. 63-69)
- Título IX: Régimen Sancionador (Art. 70-78)
- Título X: Garantías de los Derechos Digitales (Art. 79-97)
6 Disposiciones Adicionales
1 Disposición Derogatoria
10 Disposiciones Finales

2.2 Objeto de la Ley

La Ley Orgánica 3/2018 tiene un doble objetivo:

Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679: La ley española debe alinearse con el RGPD para asegurar una protección uniforme de los datos personales en toda la Unión Europea.
Garantizar los derechos digitales de la ciudadanía: De acuerdo con el mandato establecido en el artículo 18.4 de la Constitución Española, la ley incluye disposiciones específicas para proteger los derechos de los ciudadanos en el entorno digital.

2.3 Ámbito de Aplicación

El ámbito de aplicación de la Ley Orgánica 3/2018 incluye:

Tratamientos Automatizados y No Automatizados: Se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
Exclusiones: La ley no se aplica a:
- Tratamientos realizados por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas.
- Tratamientos sometidos a la normativa sobre protección de materias clasificadas.
- Tratamientos realizados por autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales.

2.4 Datos de las Personas Fallecidas

Uno de los aspectos novedosos de la Ley Orgánica 3/2018 es la regulación de los datos personales de las personas fallecidas:

Acceso, Rectificación y Supresión: Las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos, pueden solicitar el acceso, rectificación o supresión de los datos personales del fallecido. Sin embargo, si el fallecido lo hubiera prohibido expresamente o así lo establece una ley, estas solicitudes no serán atendidas.
Designación de Personas para la Gestión de Datos: El fallecido puede designar personas o instituciones para gestionar sus datos personales post mortem, siguiendo las instrucciones recibidas por el fallecido.
Menores y Personas con Discapacidad: En caso de fallecimiento de menores, sus representantes legales o el Ministerio Fiscal pueden ejercer estos derechos. Para personas con discapacidad, también pueden ejercer estos derechos quienes hayan sido designados para prestar apoyo al fallecido.

2.5 Principios de la Protección de Datos

Los principios fundamentales de la protección de datos establecidos en el Título II de la Ley Orgánica 3/2018 incluyen:

Exactitud de los Datos (Artículo 4): Los datos deben ser exactos y, si es necesario, actualizados. El responsable del tratamiento debe adoptar medidas razonables para que los datos inexactos se supriman o rectifiquen sin dilación.
Deber de Confidencialidad (Artículo 5): Los responsables y encargados del tratamiento, así como todas las personas que intervengan en cualquier fase del tratamiento, están sujetos al deber de confidencialidad. Esta obligación persiste incluso después de finalizada la relación con el responsable o encargado del tratamiento.
Tratamiento Basado en el Consentimiento del Afectado (Artículo 6): El consentimiento debe ser una manifestación de voluntad libre, específica, informada e inequívoca del afectado. Para múltiples finalidades, el consentimiento debe ser específico para cada una.
Consentimiento de los Menores de Edad (Artículo 7): El tratamiento de datos personales de menores solo puede basarse en su consentimiento si son mayores de catorce años. Para menores de catorce años, es necesario el consentimiento de los padres o tutores.
Tratamiento por Obligación Legal, Interés Público o Ejercicio de Poderes Públicos (Artículo 8): El tratamiento de datos personales puede considerarse lícito si se basa en el cumplimiento de una obligación legal o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
Categorías Especiales de Datos (Artículo 9): El tratamiento de datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual solo puede realizarse bajo ciertas condiciones específicas.
Tratamiento de Datos de Naturaleza Penal (Artículo 10): El tratamiento de datos personales relativos a condenas e infracciones penales solo puede llevarse a cabo bajo condiciones estrictas y con base legal clara.

3. Derechos de las Personas

La Ley Orgánica 3/2018 de Protección de Datos Personales y Garantías de Derechos Digitales, junto con el Reglamento General de Protección de Datos (RGPD), establece una serie de derechos para los individuos en relación con sus datos personales. Estos derechos permiten a las personas tener un mayor control sobre cómo se utilizan sus datos y garantizan la protección de su privacidad.

3.1 Derechos de Acceso, Rectificación, Supresión, Limitación y Oposición

Estos derechos permiten a los individuos gestionar sus datos personales de manera efectiva. Cada uno de estos derechos se detalla a continuación:

Derecho de Acceso

El derecho de acceso permite a las personas conocer y obtener información sobre sus datos personales que están siendo tratados por una organización. Incluye:

Confirmación de si se están tratando o no datos personales.
Información sobre los fines del tratamiento, las categorías de datos personales que se tratan, los destinatarios o categorías de destinatarios a quienes se han comunicado o se comunicarán los datos.
El plazo previsto de conservación de los datos personales o, si no es posible, los criterios utilizados para determinar este plazo.
La existencia del derecho a solicitar la rectificación o supresión de datos personales, la limitación de su tratamiento, u oponerse a dicho tratamiento.
Información sobre el origen de los datos cuando no se hayan obtenido del propio interesado.
La existencia de decisiones automatizadas, incluida la elaboración de perfiles.

Derecho de Rectificación

El derecho de rectificación permite a los individuos solicitar la corrección de datos personales inexactos o incompletos. Los responsables del tratamiento deben garantizar que cualquier dato incorrecto sea corregido sin demora. Este derecho incluye:

La actualización de datos personales que sean incorrectos.
La complementación de datos personales incompletos, a través de una declaración adicional.

Derecho de Supresión (Derecho al Olvido)

El derecho de supresión, también conocido como el derecho al olvido, permite a las personas solicitar la eliminación de sus datos personales en determinadas circunstancias, tales como:

Cuando los datos ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados.
Si el interesado retira el consentimiento en el que se basa el tratamiento y este no se basa en otro fundamento jurídico.
Cuando el interesado se opone al tratamiento y no existen otros motivos legítimos para el tratamiento.
Si los datos personales han sido tratados ilícitamente.
Cuando los datos personales deban suprimirse para cumplir con una obligación legal.
Si los datos personales se han obtenido en relación con la oferta de servicios de la sociedad de la información a menores.

Derecho a la Limitación del Tratamiento

El derecho a la limitación del tratamiento permite a los individuos restringir el uso de sus datos personales en determinadas circunstancias, tales como:

Cuando el interesado impugna la exactitud de los datos personales, durante un período que permita al responsable verificar la exactitud de los mismos.
Si el tratamiento es ilícito y el interesado se opone a la supresión de los datos personales y solicita en su lugar la limitación de su uso.
Cuando el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones.
Si el interesado se ha opuesto al tratamiento, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

Derecho de Oposición

El derecho de oposición permite a los individuos oponerse al tratamiento de sus datos personales en determinadas circunstancias:

Cuando el tratamiento se base en intereses legítimos o el cumplimiento de una misión de interés público o en el ejercicio de poderes públicos conferidos al responsable, el interesado puede oponerse al tratamiento por motivos relacionados con su situación particular.
Si los datos personales se tratan con fines de mercadotecnia directa, el interesado puede oponerse en cualquier momento a dicho tratamiento, lo que incluye la elaboración de perfiles en la medida en que esté relacionada con la mercadotecnia directa.

3.2 Derecho a la Portabilidad de los Datos

El derecho a la portabilidad de los datos permite a los individuos recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y transmitir esos datos a otro responsable del tratamiento sin impedimentos. Este derecho se aplica cuando:

El tratamiento se basa en el consentimiento del interesado o en la ejecución de un contrato.
El tratamiento se realiza por medios automatizados.

El objetivo de este derecho es facilitar la transferencia de datos personales de un sistema a otro, promover la interoperabilidad entre los servicios y empoderar a los individuos para que mantengan el control sobre sus datos personales.

3.3 Derecho a No Ser Objeto de Decisiones Automatizadas

El derecho a no ser objeto de decisiones automatizadas, incluidas la elaboración de perfiles, protege a los individuos de ser sometidos a decisiones que puedan tener efectos jurídicos sobre ellos o les afecten significativamente de manera similar, basadas únicamente en el tratamiento automatizado de datos personales. Este derecho incluye:

La posibilidad de que el interesado solicite la intervención humana en el proceso de toma de decisiones.
El derecho a expresar su punto de vista y a impugnar la decisión.

Excepciones a este derecho se aplican si la decisión:

Es necesaria para la celebración o ejecución de un contrato entre el interesado y un responsable del tratamiento.
Está autorizada por una ley de la Unión o del Estado miembro aplicable al responsable del tratamiento.
Se basa en el consentimiento explícito del interesado.

Ejercicio de los Derechos

El ejercicio de estos derechos debe ser facilitado por los responsables del tratamiento de datos personales. Las personas pueden ejercer sus derechos directamente o a través de un representante legal o voluntario. Los responsables del tratamiento deben:

Informar claramente a los individuos sobre sus derechos y los medios para ejercerlos.
Proporcionar respuestas a las solicitudes de ejercicio de derechos de manera gratuita, salvo que las solicitudes sean manifiestamente infundadas o excesivas.
Responder a las solicitudes sin dilación indebida y, en todo caso, en el plazo de un mes desde la recepción de la solicitud, plazo que puede prorrogarse en dos meses más en casos de complejidad.

4. La Agencia Española de Protección de Datos

La Agencia Española de Protección de Datos (AEPD) es una autoridad administrativa independiente encargada de velar por la privacidad y la protección de los datos personales en España. Su misión principal es garantizar el cumplimiento de la normativa sobre protección de datos y proteger los derechos y libertades de las personas en relación con sus datos personales.

4.1 Funciones y Potestades

La AEPD desempeña una amplia variedad de funciones y potestades para asegurar el cumplimiento de la normativa de protección de datos, tanto a nivel nacional como en el contexto de la normativa europea, específicamente el Reglamento General de Protección de Datos (RGPD). Sus principales funciones incluyen:

Supervisión y Control

Supervisión del Cumplimiento: La AEPD supervisa la correcta aplicación de la normativa de protección de datos, asegurando que tanto entidades públicas como privadas cumplan con las obligaciones establecidas.
Auditorías y Evaluaciones: Realiza auditorías y evaluaciones periódicas de los sistemas de tratamiento de datos de las organizaciones para verificar su conformidad con la ley.

Resolución de Reclamaciones

Gestión de Reclamaciones: Recibe y gestiona reclamaciones presentadas por los interesados en relación con posibles infracciones de la normativa de protección de datos.
Mediación y Resolución: Actúa como mediador en disputas entre los interesados y los responsables del tratamiento, ofreciendo soluciones y resolviendo conflictos.

Asesoramiento y Orientación

Asesoramiento Jurídico: Proporciona orientación y asesoramiento a los responsables y encargados del tratamiento sobre el cumplimiento de la normativa de protección de datos.
Guías y Herramientas: Publica guías, directrices y herramientas prácticas para facilitar la implementación de medidas de protección de datos en las organizaciones.

Promoción de la Concienciación

Campañas de Sensibilización: Lleva a cabo campañas de sensibilización y educación para promover la conciencia sobre la importancia de la protección de datos personales entre la ciudadanía y las organizaciones.
Formación y Capacitación: Ofrece programas de formación y capacitación para responsables de protección de datos y otros profesionales implicados en el tratamiento de datos personales.

Cooperación Internacional

Colaboración con Otras Autoridades: Colabora con otras autoridades de protección de datos a nivel europeo e internacional para garantizar la coherencia en la aplicación de la normativa y abordar cuestiones transfronterizas.
Participación en el Comité Europeo de Protección de Datos: La AEPD participa activamente en el Comité Europeo de Protección de Datos (EDPB), contribuyendo a la elaboración de directrices y decisiones que afectan a la protección de datos en toda la Unión Europea.

4.2 Régimen Jurídico y Presupuestario

La AEPD cuenta con un régimen jurídico y presupuestario específico que garantiza su independencia y eficacia en el ejercicio de sus funciones.

Personalidad Jurídica y Autonomía

Autoridad Independiente: La AEPD es una autoridad administrativa independiente con personalidad jurídica propia y plena capacidad pública y privada. Actúa con total independencia de los poderes públicos y está adscrita al Ministerio de Justicia para fines meramente administrativos.
Regulación Interna: Su funcionamiento y estructura interna se regulan mediante el Real Decreto 428/1993, que aprueba su Estatuto. Este Estatuto define sus competencias, organización y procedimientos internos.

Régimen Económico

Presupuesto Propio: La AEPD elabora y aprueba su presupuesto, que se integra de manera independiente en los Presupuestos Generales del Estado. Esto garantiza su autonomía financiera.
Fuentes de Financiación: La AEPD se financia a través de asignaciones del presupuesto estatal, ingresos derivados de sus actividades (como tasas por servicios prestados) y sanciones impuestas por infracciones de la normativa de protección de datos.

Personal

Empleados Públicos y Contratados: El personal de la AEPD está compuesto por funcionarios públicos y empleados contratados, regulados por la normativa general del empleo público y laboral.
Formación Continua: Se promueve la formación continua del personal de la AEPD para garantizar un alto nivel de competencia y actualización en materia de protección de datos.

Órganos de Gobierno

Presidencia: La AEPD está dirigida por un presidente, nombrado por el Gobierno a propuesta del Ministerio de Justicia, que actúa con plena independencia y no está sujeto a instrucciones en el desempeño de sus funciones. El presidente es responsable de dictar resoluciones, circulares y directrices.
Consejo Consultivo: El presidente de la AEPD está asesorado por un consejo consultivo compuesto por representantes de diversas entidades y expertos en protección de datos, que emiten opiniones y recomendaciones sobre cuestiones relevantes.

Funciones Específicas

Inspección y Sanción: La AEPD tiene la potestad de realizar inspecciones, iniciar procedimientos sancionadores y, en su caso, imponer sanciones por infracciones de la normativa de protección de datos.
Registro de Actividades de Tratamiento: Mantiene y actualiza el registro de actividades de tratamiento, donde se inscriben los tratamientos de datos personales llevados a cabo por las entidades obligadas.

Coordinación con Otras Autoridades

Relaciones Institucionales: La AEPD mantiene relaciones de cooperación con otras autoridades de protección de datos, tanto a nivel nacional como internacional, para asegurar una aplicación coherente y efectiva de la normativa.
Participación en Foros Internacionales: Participa en foros y organismos internacionales relacionados con la protección de datos, contribuyendo a la armonización de normas y prácticas a nivel global.

La AEPD juega un papel crucial en la protección de los derechos de privacidad de los ciudadanos, garantizando que sus datos personales se traten de manera adecuada y segura. Su independencia, autoridad y capacidad de sanción son fundamentales para el cumplimiento efectivo de la normativa de protección de datos en España.

5. Infracciones y Sanciones

La Ley Orgánica 3/2018 de Protección de Datos Personales y Garantías de Derechos Digitales establece un régimen sancionador detallado para asegurar el cumplimiento de la normativa de protección de datos. Este régimen incluye una clasificación de las infracciones, las sanciones correspondientes y el procedimiento sancionador que debe seguirse en caso de incumplimiento.

5.1 Tipos de Faltas

Las infracciones se clasifican en tres categorías: leves, graves y muy graves, en función de la naturaleza, gravedad y duración de la infracción, así como del daño causado a los derechos de los interesados. Esta clasificación determina la severidad de las sanciones aplicables.

Infracciones Leves

Son aquellas que, sin ser graves o muy graves, constituyen un incumplimiento de las obligaciones establecidas en la normativa de protección de datos. Ejemplos de infracciones leves incluyen:

No proporcionar la información requerida al interesado sobre el tratamiento de sus datos.
No atender las solicitudes de ejercicio de derechos de los interesados (como acceso, rectificación o supresión) dentro del plazo establecido.
No mantener los registros de actividades de tratamiento conforme a la normativa.

Infracciones Graves

Las infracciones graves son aquellas que suponen un incumplimiento más significativo de la normativa, con un impacto mayor sobre los derechos de los interesados. Ejemplos de infracciones graves incluyen:

Tratar datos personales sin el consentimiento del interesado cuando este es necesario.
No implementar las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado.
No notificar a la AEPD y a los interesados sobre violaciones de seguridad de los datos personales cuando es obligatorio hacerlo.

Infracciones Muy Graves

Las infracciones muy graves son aquellas que implican un incumplimiento grave y flagrante de la normativa, con consecuencias significativas para los derechos y libertades de los interesados. Ejemplos de infracciones muy graves incluyen:

Tratar datos personales de manera ilegítima o realizar un tratamiento sin base jurídica.
Transferir datos personales a países terceros sin las garantías adecuadas.
No cooperar con la AEPD en el ejercicio de sus funciones de supervisión.

5.2 Sanciones

Las sanciones por incumplimiento de la normativa de protección de datos varían en función de la gravedad de la infracción. Las sanciones pueden ser económicas, pero también pueden incluir otras medidas correctivas.

Sanciones Económicas

Las sanciones económicas se establecen en dos niveles según la gravedad de la infracción:

Infracciones Leves: Pueden ser sancionadas con multas de hasta 40.000 euros.
Infracciones Graves: Pueden ser sancionadas con multas de hasta 300.000 euros.
Infracciones Muy Graves: Pueden ser sancionadas con multas de hasta 20 millones de euros o el 4% del volumen de negocios global anual del ejercicio financiero anterior, lo que sea mayor, en el caso de empresas.

Otras Medidas Correctivas

Además de las sanciones económicas, la AEPD puede imponer una serie de medidas correctivas para asegurar el cumplimiento de la normativa, tales como:

Amonestaciones: Advertencias formales sobre el incumplimiento de la normativa.
Suspensión del Tratamiento: Ordenar la suspensión temporal o definitiva del tratamiento de datos.
Rectificación o Supresión: Exigir la rectificación o supresión de datos personales en casos de incumplimiento.
Restricción de Transferencias: Prohibir o restringir las transferencias de datos a países terceros sin garantías adecuadas.
Medidas Técnicas y Organizativas: Ordenar la implementación de medidas técnicas y organizativas específicas para asegurar la protección de datos.

5.3 Infracciones de las Administraciones Públicas

Las administraciones públicas también están sujetas a la normativa de protección de datos y pueden ser sancionadas por incumplimientos. Sin embargo, existen particularidades en el régimen sancionador aplicable a estas entidades:

Responsabilidad Disciplinaria: En lugar de sanciones económicas, los responsables y encargados del tratamiento en las administraciones públicas pueden enfrentar medidas disciplinarias conforme a la normativa del empleo público.
Publicidad de Sanciones: Las resoluciones sancionadoras contra administraciones públicas pueden hacerse públicas para garantizar la transparencia y el control por parte de la ciudadanía.

5.4 Procedimiento Sancionador

El procedimiento sancionador establecido por la AEPD sigue una serie de fases para garantizar el debido proceso y la defensa de los derechos de las partes implicadas.

Fase de Investigación

Iniciación: El procedimiento puede iniciarse de oficio o como resultado de una reclamación presentada por un interesado.
Investigación Preliminar: La AEPD realiza una investigación preliminar para determinar si existen indicios de infracción. Esta fase puede incluir la solicitud de información y documentos, así como la realización de inspecciones.

Fase de Instrucción

Instrucción del Procedimiento: Si se determinan indicios suficientes de infracción, se inicia la fase de instrucción formal. Se designa un instructor que recopila pruebas y documenta los hechos relevantes.
Notificación: Se notifica al presunto infractor sobre el inicio del procedimiento y se le da la oportunidad de presentar alegaciones y pruebas en su defensa.

Resolución

Propuesta de Resolución: Una vez completada la instrucción, el instructor elabora una propuesta de resolución, que incluye la descripción de los hechos, la valoración de las pruebas y la propuesta de sanción o medidas correctivas.
Resolución Final: La AEPD emite una resolución final, que puede confirmar, modificar o archivar la propuesta de resolución. Esta resolución puede incluir sanciones económicas y/o medidas correctivas.

Recursos

Recursos Administrativos: El infractor puede interponer recursos administrativos contra la resolución de la AEPD, siguiendo los procedimientos establecidos en la normativa administrativa.
Recursos Judiciales: Si se agotan los recursos administrativos, el infractor puede recurrir la resolución ante los tribunales de justicia.

5.5 Inmovilización de Ficheros

En ciertos casos, la AEPD puede ordenar la inmovilización de ficheros de datos personales como medida preventiva para evitar daños mayores mientras se resuelve el procedimiento sancionador. La inmovilización implica:

Suspensión Temporal: Los datos inmovilizados no pueden ser tratados hasta que se resuelva el procedimiento sancionador.
Medidas de Seguridad: Se deben adoptar medidas para garantizar la seguridad y protección de los datos inmovilizados.

Esta medida se aplica en situaciones donde existe un riesgo significativo para los derechos y libertades de los interesados, y es fundamental para prevenir el uso indebido de los datos personales mientras se investiga y resuelve la infracción.