Principios de protección de datos

El mapa del tema

El rango regula, sucesivamente, exactitud de los datos, confidencialidad, consentimiento general, consentimiento de menores, tratamiento por obligación legal o interés público, categorías especiales y datos de naturaleza penal. Cada materia incorpora requisitos propios para fundamentar o limitar el tratamiento. (art. 10, art. 4, art. 5, art. 6, art. 7, art. 8, art. 9)

Artículo 4: regla de exactitud

El artículo 4 establece que los datos deben ser exactos y, cuando sea necesario, actualizados. La regla se formula por referencia al artículo 5.1.d) del Reglamento (UE) 2016/679 y se proyecta sobre los datos objeto de tratamiento. (art. 4)

El artículo 4 contempla que la inexactitud puede referirse a datos obtenidos directamente del afectado, recibidos de un intermediario, transmitidos por portabilidad o procedentes de un registro público. La no imputación al responsable queda condicionada a adoptar medidas razonables de supresión o rectificación sin dilación. (art. 4)

Artículo 5: sujetos obligados

El deber de confidencialidad alcanza a responsables y encargados del tratamiento, así como a todas las personas que intervengan en cualquier fase de este. El artículo vincula expresamente ese deber con el artículo 5.1.f) del Reglamento (UE) 2016/679. (art. 5)

La obligación general de confidencialidad complementa los deberes de secreto profesional conforme a la normativa aplicable. Asimismo, las obligaciones reguladas no desaparecen por finalizar la relación del obligado con el responsable o encargado del tratamiento. (art. 5)

Artículo 6: definición de consentimiento

El consentimiento del afectado consiste en una manifestación de voluntad libre, específica, informada e inequívoca. La aceptación del tratamiento puede expresarse mediante una declaración o una clara acción afirmativa, siempre respecto de datos personales que conciernen al afectado. (art. 6)

Cuando se pretenda fundar el tratamiento en el consentimiento para una pluralidad de finalidades, debe constar específicamente e inequívocamente que ese consentimiento se otorga para todas ellas. El artículo exige, por tanto, una constancia referida a la totalidad de las finalidades previstas. (art. 6)

Artículo 7: menores mayores de catorce años

El tratamiento de datos personales de un menor de edad puede fundarse únicamente en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija asistencia de quienes ostenten la patria potestad o tutela para celebrar el acto o negocio jurídico. (art. 7)

El tratamiento basado en consentimiento de datos de menores de catorce años solo es lícito si consta el consentimiento del titular de la patria potestad o tutela. El alcance de ese consentimiento se determina por los propios titulares de la patria potestad o tutela. (art. 7)

Artículo 8: obligación legal exigible

Un tratamiento solo puede considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley. Esta norma puede determinar condiciones generales y tipos de datos. (art. 8)

El tratamiento basado en una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable requiere que derive de una competencia atribuida por una norma con rango de ley. El artículo formula este requisito para los términos del artículo 6.1 e) del Reglamento. (art. 8)

Artículo 9: consentimiento insuficiente

Para evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición del tratamiento cuya finalidad principal sea identificar determinadas categorías de datos. El precepto enumera ideología, afiliación sindical, religión, orientación sexual, creencias y origen racial o étnico. (art. 9)

Los tratamientos contemplados en las letras g), h) e i) del artículo 9.2 del Reglamento, cuando se funden en Derecho español, deben estar amparados en una norma con rango de ley. Esa norma puede establecer requisitos adicionales relativos a seguridad y confidencialidad. (art. 9)

Artículo 10: regla de cobertura penal

El tratamiento de datos relativos a condenas e infracciones penales, procedimientos y medidas conexas, para fines distintos de los expresamente indicados, solo puede llevarse a cabo si está amparado en Derecho de la Unión, en la ley orgánica o en otras normas de rango legal. (art. 10)

Fuera de los supuestos anteriores, los tratamientos de datos sobre condenas, infracciones, procedimientos y medidas conexas solo son posibles cuando los realizan abogados y procuradores. Además, deben tener por objeto recoger la información facilitada por sus clientes para ejercer sus funciones. (art. 10)

Trampas de examen

• Sería incorrecto afirmar que el artículo 4 solo contempla datos obtenidos directamente del afectado. El precepto incluye también datos recibidos de un mediador o intermediario, obtenidos mediante portabilidad y extraídos de un registro público por el responsable. (art. 4)
• No debe confundirse la finalización de la relación profesional con la desaparición del deber de confidencialidad. El artículo 5 dispone expresamente que las obligaciones establecidas se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado. (art. 5)
• No es admisible supeditar la ejecución de un contrato al consentimiento para finalidades sin relación con el mantenimiento, desarrollo o control de la relación contractual. La prohibición se refiere a esas finalidades no vinculadas, no a cualquier tratamiento de datos personales. (art. 6)
• No basta con recordar que el menor debe ser mayor de catorce años para consentir. El artículo 7 exceptúa los casos en que la ley exige la asistencia de los titulares de la patria potestad o tutela para celebrar el acto o negocio jurídico correspondiente. (art. 7)
• El tratamiento basado en una misión de interés público o en poderes públicos no se fundamenta únicamente en invocar esos fines. El artículo 8 exige que derive de una competencia atribuida por una norma con rango de ley. (art. 8)

Chuleta final

• Para recordar los orígenes de datos inexactos del artículo 4, identifica cuatro vías: obtención directa del afectado, mediador o intermediario, recepción de otro responsable por portabilidad y registro público. La lista aparece en las letras a) a d) del apartado segundo. (art. 4)
• El artículo 5 puede resumirse en tres ideas: sujetos obligados, complementariedad con el secreto profesional y permanencia tras finalizar la relación. Este esquema permite ordenar los tres apartados sin añadir requisitos no previstos en el texto. (art. 5)
• El artículo 6 reúne tres reglas prácticas: definición del consentimiento, especificidad ante pluralidad de finalidades y límite a la vinculación contractual. Memorizar la secuencia definición, finalidades y contrato ayuda a distinguir cada apartado del artículo. (art. 6)
• La regla mnemotécnica del artículo 7 es catorce: mayor de catorce años para que el menor consienta por sí mismo; menores de catorce años, consentimiento del titular de la patria potestad o tutela. Deben recordarse también las excepciones legales del primer apartado. (art. 7)
• El artículo 8 se organiza en dos fundamentos: obligación legal exigible e interés público o poderes públicos. En ambos casos aparece una exigencia de norma con rango de ley, aunque el primer apartado también admite una norma de Derecho de la Unión Europea. (art. 8)
• Para estudiar el artículo 9, separa el consentimiento insuficiente para ciertas finalidades identificativas de la exigencia de ley para los tratamientos de las letras g), h) e i). El segundo bloque permite requisitos adicionales de seguridad y confidencialidad. (art. 9)
• El artículo 10 se memoriza por su estructura: cobertura normativa para el tratamiento, registro completo conforme a la regulación del sistema administrativo de apoyo a Justicia y posibilidad residual para abogados y procuradores en el objeto indicado. (art. 10)
• El artículo 9 prevé específicamente que una norma con rango de ley pueda amparar tratamientos en el ámbito de la salud. La previsión se conecta con la gestión de sistemas y servicios de asistencia sanitaria y social o con la ejecución de un contrato de seguro. (art. 9)

Preguntas frecuentes