Protección de Datos Personales en España: Evolución y Normativa Actual

1. Introducción a la Protección de Datos en España

1) El artículo 18.4 de la Constitución Española establece que la ley debe limitar el uso de la informática para proteger el honor, la intimidad y los derechos de los ciudadanos, lo que supuso un enfoque avanzado en su época en cuanto a la protección de datos personales. En España, esta protección comenzó con la LORTAD en 1992 y fue reforzada en 1999 con la Ley Orgánica 15/1999, que adaptó la normativa española a la Directiva europea 95/46/CE. Además, el artículo 8 de la Carta de los Derechos Fundamentales de la UE también reconoce este derecho.

2. Evolución Normativa

2) El 27 de abril de 2016 se adoptó el Reglamento General de Protección de Datos (RGPD), aplicable en España desde el 25 de mayo de 2018. Para adaptarse a él, se aprobó la Ley Orgánica 3/2018 (LOPDGDD), que derogó la anterior Ley Orgánica 15/1999. Esta nueva ley tiene como objetivo integrar el RGPD en el ordenamiento jurídico español, bajo el amparo del artículo 18.4 de la Constitución, y garantizar los derechos digitales de los ciudadanos. Se aplica a todo tratamiento automatizado o no automatizado de datos personales incluidos o destinados a un fichero.

3. Principios de la Normativa de Protección de Datos

3) La normativa sobre protección de datos establece que los datos personales deben ser exactos y estar actualizados. Los responsables y encargados del tratamiento están obligados al deber de confidencialidad, incluso después de finalizar su relación con la organización. El tratamiento de datos requiere el consentimiento del afectado, que debe ser libre, informado e inequívoco, y en el caso de menores, solo es válido si tienen más de 14 años (16 según el RGPD). También se permite el tratamiento cuando exista una obligación legal, interés público o ejercicio de poderes públicos. En cuanto a categorías especiales de datos, no basta con el consentimiento del afectado, ya que deben evitarse situaciones discriminatorias. El tratamiento de datos penales solo es válido si está amparado por normas legales específicas.

4. Transferencias de Datos Personales

1) Las transferencias de datos personales están reguladas principalmente por el Reglamento (UE) 2016/679 (RGPD), específicamente en su artículo 44. Estas pueden realizarse a terceros países u organizaciones internacionales, siempre que la Comisión Europea haya reconocido un nivel adecuado de protección, sin necesidad de autorización específica. En España, estas transferencias también se regulan en la Ley Orgánica 3/2018 (LOPDGDD) y en otras normas complementarias emitidas por el Gobierno, la Agencia Española de Protección de Datos y autoridades autonómicas competentes.

2) En materia de transferencias internacionales de datos, la Agencia Española de Protección de Datos (AEPD) tiene competencias para establecer cláusulas contractuales tipo, previa aprobación del Comité Europeo de Protección de Datos. Tanto la AEPD como las autoridades autonómicas pueden aprobar normas corporativas vinculantes, conforme al artículo 47 del RGPD. Estas deben ser solicitadas por entidades ubicadas en España y resolverse en un plazo máximo de nueve meses. Si no existe una decisión de adecuación por parte de la Comisión Europea, las transferencias deben contar con autorización previa de la AEPD o autoridades autonómicas, conforme al artículo 42 de la LOPDGDD, y el procedimiento debe resolverse en un máximo de seis meses.

3) Las transferencias internacionales de datos pueden basarse en una decisión de adecuación, emitida por la Comisión Europea cuando el país o sector receptor garantiza un nivel adecuado de protección. También pueden realizarse si se aportan garantías adecuadas, como normas corporativas vinculantes, cláusulas tipo aprobadas, instrumentos jurídicos exigibles o mecanismos de certificación. En ausencia de ambos supuestos, pueden hacerse bajo excepciones específicas, como el consentimiento explícito del interesado, la necesidad de ejecutar un contrato, razones de interés público, defensa legal o acceso a registros públicos.