Protección de datos personales 978-84-1397-920-5
9 788413 979205
textos legales
Protección de datos personales Infracciones y sanciones penales • Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 • Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales
Incluye Webgrafía, Bibliografía e Índice Analítico
textos legales
Protección de datos personales Infracciones y sanciones penales
– Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 – Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales Incluye Webgrafía, Bibliografía e Índice analítico
COMITÉ CIENTÍFICO DE LA EDITORIAL TIRANT LO BLANCH María José Añón Roig
Javier de Lucas Martín
Ana Cañizares Laso
Víctor Moreno Catena
Catedrática de Filosofía del Derecho de la Universidad de Valencia
Catedrático de Filosofía del Derecho y Filosofía Política de la Universidad de Valencia
Catedrática de Derecho Civil de la Universidad de Málaga
Catedrático de Derecho Procesal de la Universidad Carlos III de Madrid
Jorge A. Cerdio Herrán
Francisco Muñoz Conde
José Ramón Cossío Díaz
Angelika Nussberger
Catedrático de Teoría y Filosofía de Derecho. Instituto Tecnológico Autónomo de México Ministro en retiro de la Suprema Corte de Justicia de la Nación y miembro de El Colegio Nacional
Eduardo Ferrer Mac-Gregor Poisot Juez de la Corte Interamericana de Derechos Humanos Investigador del Instituto de Investigaciones Jurídicas de la UNAM
Owen Fiss
Catedrático emérito de Teoría del Derecho de la Universidad de Yale (EEUU)
José Antonio García-Cruces González Catedrático de Derecho Mercantil de la UNED
Luis López Guerra
Catedrático de Derecho Constitucional de la Universidad Carlos III de Madrid
Ángel M. López y López
Catedrático de Derecho Civil de la Universidad de Sevilla
Marta Lorente Sariñena
Catedrática de Historia del Derecho de la Universidad Autónoma de Madrid
Catedrático de Derecho Penal de la Universidad Pablo de Olavide de Sevilla Catedrática de Derecho Constitucional e Internacional en la Universidad de Colonia (Alemania) Miembro de la Comisión de Venecia
Héctor Olasolo Alonso
Catedrático de Derecho Internacional de la Universidad del Rosario (Colombia) y Presidente del Instituto Ibero-Americano de La Haya (Holanda)
Luciano Parejo Alfonso
Catedrático de Derecho Administrativo de la Universidad Carlos III de Madrid
Tomás Sala Franco
Catedrático de Derecho del Trabajo y de la Seguridad Social de la Universidad de Valencia
Ignacio Sancho Gargallo
Magistrado de la Sala Primera (Civil) del Tribunal Supremo de España
Tomás S. Vives Antón
Catedrático de Derecho Penal de la Universidad de Valencia
Ruth Zimmerling
Catedrática de Ciencia Política de la Universidad de Mainz (Alemania)
Procedimiento de selección de originales, ver página web: www.tirant.net/index.php/editorial/procedimiento-de-seleccion-de-originales
Protección de datos personales Infracciones y sanciones penales – Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 – Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales Incluye Webgrafía, Bibliografía e Índice analítico
JOSÉ MIGUEL HERNÁNDEZ LÓPEZ
Máster Universitario en Derechos Fundamentales Experto Universitario en Protección de Datos
tirant lo blanch Valencia, 2021
Copyright ® 2021 Todos los derechos reservados. Ni la totalidad ni parte de este libro puede reproducirse o transmitirse por ningún procedimiento electrónico o mecánico, incluyendo fotocopia, grabación magnética, o cualquier almacenamiento de información y sistema de recuperación sin permiso escrito del autor y del editor. En caso de erratas y actualizaciones, la Editorial Tirant lo Blanch publicará la pertinente corrección en la página web www.tirant.com incorporada a la ficha del libro. En www.tirant.com dispondrá de un servicio con los textos legales básicos y sectoriales actualizados como complemento de su libro. Los textos jurídicos que aparecen se ofrecen con una finalidad informativa o divulgativa. Tirant lo Blanch intentará cuidar por la actualidad, exactitud y veracidad de los mismos, si bien advierte que no son los textos oficiales y declina toda responsabilidad por los daños que puedan causarse debido a las inexactitudes o incorrecciones de los mismos. Los únicos textos considerados legalmente válidos son los que aparecen en las publicaciones oficiales de los correspondientes organismos autonómicos o nacionales.
© José Miguel Hernández López
© TIRANT LO BLANCH EDITA: TIRANT LO BLANCH C/ Artes Gráficas, 14 - 46010 - Valencia TELFS.: 96/361 00 48 - 50 FAX: 96/369 41 51 Email: tlb@tirant.com www.tirant.com Librería virtual: www.tirant.es ISBN: 978-84-1397-921-2 Si tiene alguna queja o sugerencia, envíenos un mail a: atencioncliente@tirant.com. En caso de no ser atendida su sugerencia, por favor, lea en www.tirant.net/index.php/ empresa/politicas-de-empresa nuestro procedimiento de quejas. Responsabilidad Social Corporativa: http://www.tirant.net/Docs/RSCTirant.pdf
SUMARIO ABREVIATURAS................................................................................. 9 PRÓLOGO......................................................................................... 11 § 1. DIRECTIVA (UE) 2016/680 DEL PARLAMENTO EUROPEO Y DEL CONSEJO DE 27 DE ABRIL DE 2016 RELATIVA A LA PROTECCIÓN DE LAS PERSONAS FÍSICAS EN LO QUE RESPECTA AL TRATAMIENTO DE DATOS PERSONALES POR PARTE DE LAS AUTORIDADES COMPETENTES PARA FINES DE PREVENCIÓN, INVESTIGACIÓN, DETECCIÓN O ENJUICIAMIENTO DE INFRACCIONES PENALES O DE EJECUCIÓN DE SANCIONES PENALES, Y A LA LIBRE CIRCULACIÓN DE DICHOS DATOS Y POR LA QUE SE DEROGA LA DECISIÓN MARCO 2008/977/JAI DEL CONSEJO................................. 17 § 2. LEY ORGÁNICA 7/2021, DE 26 DE MAYO, DE PROTECCIÓN DE DATOS PERSONALES TRATADOS PARA FINES DE PREVENCIÓN, DETECCIÓN, INVESTIGACIÓN Y ENJUICIAMIENTO DE INFRACCIONES PENALES Y DE EJECUCIÓN DE SANCIONES PENALES............................................................... 121 ANEXO I. BIBLIOGRAFÍA..................................................................... 223 I.1. GENERAL SOBRE PROTECCIÓN DE DATOS PERSONALES................... 223 I.2. ESPECÍFICA SOBRE PROTECCIÓN DE DATOS PERSONALES TRATADOS PARA FINES DE PREVENCIÓN, DETECCIÓN, INVESTIGACIÓN Y ENJUICIAMIENTO DE INFRACCIONES PENALES Y DE EJECUCIÓN DE SANCIONES PENALES................................................................... 224 ANEXO II. WEBGRAFÍA....................................................................... 227 ANEXO III. ÍNDICE ANALÍTICO............................................................. 229
ABREVIATURAS AEPD Art./s. BOE CEDH DPD INCIBE LOPDPyGDD LOPDPISP
n.o RGPD
SEPD STJUE TJUE UE
= Agencia Española de Protección de Datos = Artículo/s = Boletín Oficial del Estado = Convenio Europeo para la Protección de los Derechos Humanos y las Libertades Fundamentales = Delegado de Protección de Datos = Instituto Nacional de Ciberseguridad = Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales = Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales = Número = Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). = Supervisor Europeo de Protección de Datos = Sentencia del Tribunal de Justicia de la Unión Europea = Tribunal de Justicia de la Unión Europea = Unión Europea
PRÓLOGO «El medio más seguro, pero también el más difícil, de prevenir los delitos, es perfeccionar la educación de los ciudadanos.» (Cesare Beccaria, De los delitos y de las penas, 1764, Italia)1
El 25 de enero de 2012 la Comisión propuso al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones una reforma generalizada de las normas de protección de datos de la UE, con el fin de afianzar los derechos a la privacidad en Internet e impulsar la economía digital en Europa2. En concreto, se planteaba la aprobación de dos textos jurídicos, un reglamento que sustituyera a la Directiva 95/46/CE, y en el que se fijara el marco jurídico general de protección de datos de la UE, y una directiva que derogara la Decisión Marco 2008/977/JAI16 y fijara las normas sobre la protección de los datos personales tratados con fines de prevención,
1
2
Tomamos la cita de CESARE BECCARIA de la obra dirigida por HERSCH, JEANNE: El derecho de ser hombre, Madrid, Editorial Tecnos/UNESCO, 1984, página 189. Para solemnizar el vigésimo aniversario de la Declaración Universal de Derechos Humanos, la Conferencia General de la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (UNESCO) formuló el deseo de que se publicara una antología de textos surgidos de las tradiciones y épocas más diversas, y que finalmente se plasmó en este libro. COMUNICACIÓN DE LA COMISIÓN AL PARLAMENTO EUROPEO, AL CONSEJO, AL COMITÉ ECONÓMICO Y SOCIAL EUROPEO Y AL COMITÉ DE LAS REGIONES La protección de la privacidad en un mundo interconectado Un marco europeo de protección de datos para el siglo XXI /* COM/2012/09 final */ https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:52012DC0009& from=ES
12
José Miguel Hernández López
detección, investigación o persecución de delitos y para las actividades judiciales correspondientes. Cuatro años después, en 2016, se aprueban las dos normas que constituyen el actual marco de referencia en materia de protección de datos personales en la UE: • el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, RGPD), • y la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. En nuestro ordenamiento jurídico es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, la que adapta el Reglamento General de Protección de Datos (RGPD), en lo que respecta al tratamiento de los datos personales y a la libre circulación de estos datos. En cuanto a la transposición de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, debía de haberse realizado, conforme a su artículo 63, antes del 6 de mayo de 2018. La STJUE, de 25 de febrero de 2021, asunto C-658/19, Comisión/ España, señala que consta que, al expirar el plazo fijado en el dictamen motivado de la Comisión, el 25 de marzo de 2019, España no había
Prólogo
13
adoptado las medidas necesarias para garantizar la transposición de la Directiva ni comunicado dichas medidas a la Comisión. Por ello, el Tribunal de Justicia condena a España a abonar a la Comisión una suma a tanto alzado de 15.000.000 de euros y, si el incumplimiento declarado persiste en la fecha en que se dicte la sentencia, una multa coercitiva diaria de 89.000 euros desde esa fecha y hasta que se ponga fin al incumplimiento declarado. Finalmente, ya en 2021, se aprueba la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, que transpone la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (LOPDPISP). Finalidad y estructura de la presente publicación La presente edición pretende ser un texto de consulta para todas aquellas personas que deban tratar datos personales para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Para facilitar su estudio y consulta, además de los textos íntegros de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y de la Ley Orgánica 7/2021, de 26 de mayo, hemos añadido tres anexos. La bibliografía se recoge en el anexo I, con el fin de que todas las personas que lo requieran puedan profundizar de una forma más reflexiva en la materia. La hemos dividido en dos apartados, el primero dedicado a obras generales sobre protección de datos personales, y el segundo de una forma específica a las obras que estudian el tratamiento de datos personales para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. El anexo II, dedicado a la webgrafía,
14
José Miguel Hernández López
pretende facilitar las páginas web donde ampliar información. Por último, el anexo III contiene un índice analítico para facilitar la búsqueda de los conceptos más relevantes en la materia. Formación Qué duda cabe que la formación va a resultar esencial para garantizar la protección de los datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. En concreto, la palabra «formación» aparece en tres ocasiones citada por la Directiva. Especialmente relevante me parece la referencia recogida en el art. 34.b), dedicado a las funciones del delegado de protección de datos, donde se establece que el delegado deberá «supervisar el cumplimiento de lo dispuesto en la presente Directiva, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable del tratamiento en materia de protección de datos personales, incluidas la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes». En el mismo sentido se recoge en la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (art. 42.b). Reflexión final Quisiéramos terminar este prólogo con una reflexión. En el año 2020 se cumplieron ciento treinta años de la publicación del ensayo «The Right to Privacy», publicado en Harvard Law Review, en 1890, y considerado el artículo más citado e influyente sobre la privacidad. Samuel Warren (1852-1910), abogado, y Louis Brandeis (1856-1941),
Prólogo
15
juez del Tribunal Supremo Federal entre los años 1916-1939, son los autores de este trabajo sobre el derecho a la privacidad, donde defienden que «la protección de la sociedad debe venir, principalmente, del reconocimiento de los derechos de la persona»3. No podemos olvidar su reflexión si queremos hacer compatible la eficacia de la cooperación judicial en materia penal y la cooperación policial con la protección del derecho fundamental a la protección de datos personales. En San Cristóbal de La Laguna (Canarias), a 5 de junio de 2021 JOSÉ MIGUEL HERNÁNDEZ LÓPEZ
3
Tomamos la cita de SAMUEL WARREN y LOUIS BRANDEIS de la edición a cargo de BENIGNO PENDÁS, con traducción de PILAR BASELGA, El derecho a la intimidad, Madrid, Editorial Civitas, 1995, p. 72.
§ 1. Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo1 Índice Considerandos CAPÍTULO I. Disposiciones generales Artículo 1. Objeto y objetivos............................................................ 67 Artículo 2. Ámbito de aplicación........................................................ 68 Artículo 3. Definiciones..................................................................... 68 CAPÍTULO II. Principios Artículo 4. Principios relativos al tratamiento de datos personales........... 71 Artículo 5. Plazos de conservación y revisión........................................ 72 Artículo 6. Distinción entre diferentes categorías de interesados............. 72 Artículo 7. Distinción entre datos personales y verificación de la calidad de los datos personales......................................................................... 73 Artículo 8. Licitud del tratamiento...................................................... 74 Artículo 9. Condiciones de tratamiento específicas................................ 74 Artículo 10. Tratamiento de categorías especiales de datos personales...... 75
1
Publicada en el Diario Oficial de la Unión Europea L 119/89, de 4 de mayo de 2016. Corrección de errores, Diario Oficial de la Unión Europea L 127/8, de 23 de mayo de 2018.
Directiva (UE) 2016/680 del Parlamento Europeo
18
Artículo 11. Mecanismo de decisión individual automatizado.................. 75 CAPÍTULO III. Derechos del interesado Artículo 12. Comunicación y modalidades del ejercicio de los derechos de los interesados................................................................................ 76 Artículo 13. Información que debe ponerse a disposición del interesado o que se le debe proporcionar............................................................... 77 Artículo 14. Derecho de acceso del interesado a los datos personales....... 78 Artículo 15. Limitaciones al derecho de acceso..................................... 79 Artículo 16. Derecho de rectificación o supresión de datos personales y limitación de su tratamiento.............................................................. 80 Artículo 17. Ejercicio de los derechos del interesado y comprobación por la autoridad de control......................................................................... 82 Artículo 18. Derechos del interesado en las investigaciones y los procesos penales.......................................................................................... 82 CAPÍTULO IV. Responsable del tratamiento y encargado del tratamiento Sección 1. Obligaciones generales Artículo 19. Obligaciones del responsable del tratamiento...................... 83 Artículo 20. Protección de datos desde el diseño y por defecto............... 83 Artículo 21. Corresponsables del tratamiento........................................ 84 Artículo 22. Encargado del tratamiento................................................ 85 Artículo 23. Tratamiento bajo la autoridad del responsable o del encargado del tratamiento............................................................................... 86 Artículo 24. Registros de las actividades de tratamiento......................... 86 Artículo 25. Registro de operaciones................................................... 88 Artículo 26. Cooperación con la autoridad de control............................. 88 Artículo 27. Evaluación de impacto relativa a la protección de datos........ 88 Artículo 28. Consulta previa a la autoridad de control............................ 89 Sección 2. Seguridad de los datos personales Artículo 29. Seguridad del tratamiento................................................ 90 Artículo 30. Notificación a la autoridad de control de una violación de la seguridad de los datos personales....................................................... 92 Artículo 31. Comunicación de una violación de la seguridad de los datos personales al interesado.................................................................... 93
19
Directiva (UE) 2016/680 del Parlamento Europeo
Sección 3. Delegado de protección de datos Artículo 32. Designación del delegado de protección de datos................. 94 Artículo 33. Posición del delegado de protección de datos...................... 95 Artículo 34. Funciones del delegado de protección de datos.................... 95 CAPÍTULO V. Transferencias de datos personales a terceros países u organizaciones internacionales Artículo 35. Principios generales de las transferencias de datos personales................................................................................................. 96 Artículo 36. Transferencias basadas en una decisión de adecuación.......... 98 Artículo 37. Transferencias mediante garantías apropiadas...................... 100 Artículo 38. Excepciones para situaciones específicas............................. 101 Artículo 39. Transferencias de datos personales a destinatarios establecidos en terceros países...................................................................... 102 Artículo 40. Cooperación internacional en el ámbito de la protección de datos personales.............................................................................. 103 CAPÍTULO VI. Autoridades de control independientes Sección 1. Independencia Artículo 41. Autoridad de control....................................................... 104 Artículo 42. Independencia................................................................ 105 Artículo 43. Condiciones generales aplicables a los miembros de la autoridad de control................................................................................. 105 Artículo 44. Normas relativas al establecimiento de la autoridad de control................................................................................................ 106 Sección 2. Competencia, funciones y poderes Artículo 45. Competencia.................................................................. 107 Artículo 46. Funciones...................................................................... 108 Artículo 47. Poderes......................................................................... 109 Artículo 48. Notificación de infracciones.............................................. 111 Artículo 49. Informe de actividad....................................................... 111 CAPÍTULO VII. Cooperación Artículo 50. Asistencia mutua............................................................ 111 Artículo 51. Funciones del Comité Europeo de Protección de Datos.......... 113
Directiva (UE) 2016/680 del Parlamento Europeo
20
CAPÍTULO VIII. Recursos, responsabilidad y sanciones Artículo 52. Derecho a presentar una reclamación ante una autoridad de control........................................................................................... 115 Artículo 53. Derecho a la tutela judicial efectiva contra una autoridad de control........................................................................................... 115 Artículo 54. Derecho a la tutela judicial efectiva contra el responsable o el encargado del tratamiento................................................................. 116 Artículo 55. Representación de los interesados..................................... 116 Artículo 56. Derecho a indemnización................................................. 117 Artículo 57. Sanciones...................................................................... 117 CAPÍTULO IX. Actos de ejecución Artículo 58. Procedimiento de comité................................................. 117 CAPÍTULO X. Disposiciones finales Artículo 59. Derogación de la Decisión Marco 2008/977/JAI................... 117 Artículo 60. Actos jurídicos de la Unión en vigor................................... 118 Artículo 61. Relación con acuerdos internacionales celebrados con anterioridad en el ámbito de la cooperación judicial en materia penal y de la cooperación policial......................................................................... 118 Artículo 62. Informes de la Comisión................................................... 118 Artículo 63. Transposición................................................................. 119 Artículo 64. Entrada en vigor............................................................. 120 Artículo 65. Destinatarios.................................................................. 120