Disposiciones aplicables a tratamientos concretos

El mapa del tema

El artículo 19 trata contactos profesionales; el 20, información crediticia; el 21, operaciones mercantiles; el 22, videovigilancia; el 23, exclusión publicitaria; el 24, informantes; el 25, estadística pública; el 26, archivo público; y el 27, infracciones y sanciones administrativas. (art. 19, art. 20, art. 21, art. 22, art. 23, art. 24, art. 25, art. 26, art. 27)

Datos de contacto de personas que prestan servicios

El tratamiento de datos de contacto y, en su caso, de función o puesto de personas físicas que presten servicios en una persona jurídica se presume amparado por el artículo 6.1.f) del Reglamento cuando concurran los requisitos establecidos. (art. 19)

La presunción del artículo 19 también opera para datos de empresarios individuales y profesionales liberales cuando se traten únicamente en esa condición, sin utilizarlos para entablar una relación con ellos como personas físicas. (art. 19)

Deudas incluidas en sistemas de información crediticia

Para la presunción de licitud en sistemas comunes de información crediticia, las deudas deben ser ciertas, vencidas y exigibles. Además, su existencia o cuantía no debe haber sido objeto de reclamación administrativa, judicial o de un procedimiento alternativo vinculante. (art. 20)

Los datos sobre incumplimientos dinerarios, financieros o de crédito solo pueden mantenerse mientras persista el incumplimiento. El artículo 20 fija además un límite máximo de cinco años desde la fecha de vencimiento de la obligación correspondiente. (art. 20)

Operaciones mercantiles no concluidas

Si una operación de modificación estructural, aportación o transmisión de negocio no llega a concluirse, la entidad cesionaria debe suprimir de inmediato los datos. Para ese supuesto, el artículo 21 excluye expresamente la obligación de bloqueo. (art. 21)

Los tratamientos derivados de una operación de modificación estructural de sociedades, o de aportación o transmisión de negocio o rama de actividad, se presumen lícitos cuando sean necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad del servicio. (art. 21)

Captación de vía pública por videovigilancia

La videovigilancia solo puede captar imágenes de la vía pública en la medida imprescindible para preservar la seguridad de personas, bienes e instalaciones. Una extensión superior se contempla para bienes, instalaciones estratégicas o infraestructuras vinculadas al transporte, sin captar el interior de domicilios privados. (art. 22)

Como regla, los datos obtenidos mediante videovigilancia deben suprimirse en un máximo de un mes desde su captación. Si han de conservarse para acreditar actos contra personas, bienes o instalaciones, las imágenes deben ponerse a disposición de la autoridad competente en setenta y dos horas. (art. 22)

Consulta previa de sistemas de exclusión publicitaria

Quienes pretendan realizar comunicaciones de mercadotecnia directa deben consultar previamente los sistemas de exclusión publicitaria que puedan afectar a su actuación. Deben excluir del tratamiento a los afectados que hayan manifestado oposición o negativa, salvo el supuesto de consentimiento indicado. (art. 23)

Cuando un afectado manifiesta que no desea el tratamiento de sus datos para remitir comunicaciones comerciales, el responsable debe informarle de los sistemas de exclusión publicitaria existentes. Puede remitirse a la información publicada por la autoridad de control competente. (art. 23)

Protección de informantes sobre infracciones normativas

Los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas son lícitos. Su régimen se vincula al Reglamento (UE) 2016/679, a la ley orgánica y a la ley reguladora de protección de informantes y lucha contra la corrupción. (art. 24)

El artículo 24 se refiere específicamente a los tratamientos de datos personales necesarios para proteger a quienes informen sobre infracciones normativas. La licitud declarada por el precepto se ciñe a los tratamientos necesarios para garantizar esa protección. (art. 24)

Comunicación de datos para estadística pública

La comunicación de datos a órganos competentes en materia estadística solo se entiende amparada en el artículo 6.1.e) del Reglamento cuando la estadística exigida derive de una norma de Derecho de la Unión Europea o esté incluida en instrumentos de programación estadística legalmente previstos. (art. 25)

Los organismos competentes para la función estadística pública pueden denegar solicitudes de ejercicio de los derechos previstos en los artículos 15 a 22 del Reglamento cuando los datos estén amparados por las garantías del secreto estadístico previstas en la legislación estatal o autonómica. (art. 25)

Archivo público en interés público

El tratamiento por las Administraciones Públicas de datos con fines de archivo en interés público es lícito. Se somete al Reglamento (UE) 2016/679 y a la ley orgánica, con las especialidades derivadas de la normativa citada sobre patrimonio histórico, archivos y legislación autonómica aplicable. (art. 26)

La regla del artículo 26 atribuye la licitud del tratamiento de datos con fines de archivo en interés público a las Administraciones Públicas. El precepto no formula esa declaración general para otros sujetos distintos de las Administraciones Públicas. (art. 26)

Regla general para infracciones y sanciones administrativas

El tratamiento de datos relativos a infracciones y sanciones administrativas exige que el responsable sea órgano competente para instruir, declarar infracciones o imponer sanciones. También debe limitarse a los datos estrictamente necesarios para la finalidad perseguida. (art. 27)

Fuera de los supuestos previstos en los apartados anteriores, los tratamientos de datos relativos a infracciones y sanciones administrativas solo son posibles cuando los realicen abogados y procuradores para recoger la información facilitada por sus clientes en el ejercicio de sus funciones. (art. 27)

Trampas de examen

• No debe confundirse la finalidad de seguridad con una habilitación ilimitada para grabar la vía pública. El artículo 22 condiciona esa captación a que sea imprescindible para la finalidad de preservar la seguridad de personas, bienes o instalaciones. (art. 22)
• La presunción de licitud de los sistemas de información crediticia no se apoya en cualquier deuda. El artículo 20 exige que la existencia o cuantía de la deuda no haya sido objeto de reclamación administrativa, judicial o de un procedimiento alternativo vinculante. (art. 20)
• La consulta previa de sistemas de exclusión publicitaria es la regla para comunicaciones de mercadotecnia directa, pero el propio artículo 23 establece una excepción. No es necesario realizarla cuando el afectado haya prestado su consentimiento para recibir la comunicación al remitente. (art. 23)
• Cuando una operación mercantil prevista en el artículo 21 no llegue a concluirse, la entidad cesionaria debe suprimir inmediatamente los datos. Es incorrecto añadir que debe aplicarse el bloqueo, porque el precepto excluye expresamente esa obligación para este supuesto. (art. 21)
• La declaración de licitud del artículo 26 está formulada para el tratamiento por las Administraciones Públicas con fines de archivo en interés público. Por tanto, al estudiar el precepto debe atenderse a ese ámbito subjetivo expresamente enunciado. (art. 26)

Chuleta final

• Para recordar el artículo 19: datos necesarios para localización profesional y finalidad limitada a mantener relaciones con la persona jurídica donde presta servicios el afectado. La presunción no describe una finalidad general para relacionarse con la persona física como tal. (art. 19)
• La cifra clave del artículo 20 es cinco años: los datos de incumplimiento solo se mantienen mientras persista el incumplimiento y, en todo caso, existe ese límite máximo contado desde el vencimiento de la obligación dineraria, financiera o de crédito. (art. 20)
• La asociación breve para el artículo 21 es operación no concluida, supresión inmediata y sin bloqueo. Esta consecuencia se dirige a la entidad cesionaria cuando la operación de modificación estructural, aportación o transmisión no llegue a concluirse. (art. 21)
• Para videovigilancia, memoriza el plazo ordinario de un mes desde la captación para suprimir los datos. La conservación excepcional se vincula a acreditar actos contra la integridad de personas, bienes o instalaciones. (art. 22)
• El artículo 23 conecta dos ideas: evitar comunicaciones comerciales a quien se opone y consultar previamente los sistemas de exclusión publicitaria. La consecuencia operativa es excluir del tratamiento a quienes hayan manifestado oposición o negativa. (art. 23)
• El núcleo del artículo 24 es la licitud de los tratamientos necesarios para proteger a personas que informen sobre infracciones normativas. El precepto remite su régimen al Reglamento, a la ley orgánica y a la ley reguladora mencionada. (art. 24)
• La clave del artículo 25 para los derechos de los afectados es el secreto estadístico. Los organismos competentes pueden denegar solicitudes de ejercicio de derechos cuando los datos estén amparados por las garantías previstas en la legislación estatal o autonómica. (art. 25)
• El esquema básico del artículo 27 exige dos elementos para el tratamiento de infracciones y sanciones administrativas: responsable competente para el procedimiento sancionador y tratamiento limitado a los datos estrictamente necesarios para la finalidad perseguida. (art. 27)

Preguntas frecuentes