960 - La protección de datos personales como derecho fundamental y su normativa de aplicación

Como punto de partida cabe citar el artículo 18, apartado 4, de la CE que contempla:

«4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos».

Se configura así la protección de datos personales como un derecho fundamental con amparo constitucional. El propio Tribunal Constitucional, en su sentencia n.º 290/2000, de 30 de noviembre, ECLI:ES:TC:2000/290, interpretó al respecto de este derecho:

«(...) como ya se anticipaba en la decisión de este Tribunal que se acaba de mencionar, que el derecho fundamental al que estamos haciendo referencia garantiza a la persona un poder de control y disposición sobre sus datos personales. Pues confiere a su titular un haz de facultades que son elementos esenciales del derecho fundamental a la protección de los datos personales, integrado por los derechos que corresponden al afectado a consentir la recogida y el uso de sus datos personales y a conocer los mismos. Y para hacer efectivo ese contenido, el derecho a ser informado de quién posee sus datos personales y con qué finalidad, así como el derecho a oponerse a esa posesión y uso exigiendo a quien corresponda que ponga fin a la posesión y empleo de tales datos.

En suma, el derecho fundamental comprende un conjunto de derechos que el ciudadano puede ejercer frente a quienes sean titulares, públicos o privados, de ficheros de datos personales, partiendo del conocimiento de tales ficheros y de su contenido, uso y destino, por el registro de los mismos. De suerte que es sobre dichos ficheros donde han de proyectarse, en última instancia, las medidas destinadas a la salvaguardia del derecho fundamental aquí considerado por parte de las Administraciones Públicas competentes».

Son dos las normas principales que regulan el tratamiento de datos personales:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales que desarrolla el citado reglamento en la normativa española (en adelante LOPDGDD).

Ambas normas están inspiradas en el principio de proactividad junto con el análisis de riesgos. En definitiva, vienen a recoger las conclusiones anteriores y a establecer un marco legal que no permita infracción alguna en el tratamiento de datos y que, de haberla, se penalice su comisión. 

Así mismo, el derecho a la protección de datos se rige o configura por unos elementos básicos, que el propio RGPD recoge y son:

• Principios del tratamiento de los datos: licitud, lealtad y transparencia (art. 5 del RGPD).

• Licitud del tratamiento: con especial atención a los tratamientos de categorías especiales, quedando prohibidos (salvo causas excepcionales) los que revelen el origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física (arts. 6 y 9 del RGPD).

• Lo que indica la norma es que este tratamiento especial requiere de consentimiento explícito. El consentimiento es un elemento decisivo para hablar de licitud en el tratamiento de datos: de forma explícita o tácita, y con singularidades para los casos en que sea un menor el interesado (arts. 6 a 10 de la LOPGDD). 

• Derechos de los titulares de los datos: transparencia, información, acceso, rectificación, supresión, limitación del tratamiento, portabilidad de datos, oposición y decisiones individuales automatizas, incluida la elaboración de perfiles (arts. 12 a 22 del RGPD).