Publicada la nueva Ley Orgánica de protección de datos y garantía de los derechos digitales

​​Con vigencia desde el 7-12-2018 se ha publicado la LO 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. Esta norma adapta el contenido del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, que ha sido aplicable desde el 25-5-2018.

La nueva norma consta de 97 artículos, estructurados en 10 títulos, 22 disposiciones adicionales, 6 transitorias,  una disposición derogatoria y 16 disposiciones finales con el siguiente contenido:

1. Título I, relativo a las disposiciones generales (art.1 a 3).  Se regula el derecho fundamental de las personas físicas a la protección de datos personales; y se regulan los datos de las personas fallecidas, permitiendo que las personas vinculadas puedan solicitar el acceso a los mismos, así como su rectificación o supresión, en su caso con sujeción a las instrucciones del fallecido.

2. Título II, sobre los principios de protección de datos (art. 4 a 10).  Así se recogen los principios de exactitud de datos, de confidencialidad, el tratamiento de datos amparado por la ley, las categorías especiales de datos y el tratamiento de datos de naturaleza penal.

3. Título III, dedicado a los derechos de las personas (art.11 a 18). Mediante este artículo se adapta al Derecho español el principio de transparencia en el tratamiento de datos, que supone el derecho de los afectados a ser informados acerca del tratamiento y recoge la denominada «información por capas» ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masivo de datos, facilitando al afectado la información básica, si bien, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. Además, se regulan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad.

4. Título IV en el que se recogen las disposiciones aplicables a tratamientos concretos (art. 19 a 27). Además, se recogen los supuestos de videovigilancia, los ficheros de exclusión publicitaria o los sistemas de denuncias internas. También se regula el tratamiento relacionado con la función estadística o con fines de archivo de interés general.

5. Título V se refiere al responsable y al encargado del tratamiento (art. 28 a 39). Se divide en cuatro capítulos:  sobre las medidas de responsabilidad activa; sobre el encargado del tratamiento; sobre el delegado de protección de datos; y sobre los códigos de conducta y la acreditación de instituciones de certificación.

6.  Título VI, relativo a las transferencias internacionales de datos (art. 40 a 43).

7. Título VII, sobre las autoridades de protección de datos (art. 44 a 62). Se regula el régimen de la AEPD y refleja la existencia de las autoridades autonómicas de protección de datos.

8. Título VIII que regula los procedimientos en caso de posible vulneración de la normativa de protección de datos (art. 63 a 69).

9. Título IX, que contempla el régimen sancionador (art. 70 a 78).

10. Titulo X, sobre los derechos digitales (art. 79 a 97). Con carácter general se regulan el derecho a la neutralidad de la Red y el acceso universal o los derechos a la seguridad y educación digital así como los derechos al olvido, a la portabilidad y al testamento digital. Con relación al ámbito laboral se regulan los siguientes derechos de los trabajadores y empleados públicos:

a)  A la  intimidad en el uso de los dispositivos digitales puestos a su disposición por su empleador. Se permite que el empleador acceda a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos. Además, se establece la obligación de que los empleadores establezcan criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente. En su elaboración deberán participar los representantes de los trabajadores.

El acceso por el empleador al contenido de dispositivos digitales requiere que se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados; y los trabajadores deben ser informados de los criterios de utilización (art. 87).

b) A la desconexión digital a fin de garantizar, fuera del tiempo de trabajo legal o convencionalmente establecido, el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar.  El ejercicio de este derecho debe atender a la naturaleza y objeto de la relación laboral, y debe potenciar el derecho a la conciliación de la actividad laboral y la vida personal y familiar y sujetarse a lo establecido en la negociación colectiva o, en su defecto, a lo acordado entre la empresa y los representantes de los trabajadores.

El empleador, previa audiencia de los representantes de los trabajadores, debe elaborar una política interna dirigida a trabajadores (incluidos los que ocupen puestos directivos) en la que definan las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización del personal sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática. También se debe preservar el derecho a la desconexión digital en los supuestos en que se efectué trabajo a distancia (art. 88)

c) A la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo. Se prevé que el empleador, en el ejercicio de la facultad de control, pueda tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo.  Para ello obliga al empleador a informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o a los empleados públicos y, en su caso, a sus representantes, acerca de esta medida.

Si se hubiese captado la comisión de un acto ilícito el deber de informar se entiende cumplido cuando existiese un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos de acceso supresión y rectificación de datos.

Se prohíbe la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

También se admite la utilización de sistemas de grabación de sonidos en el lugar de trabajo cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad y el de intervención mínima.

d) A la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral. Se prevé que el empleador, para el ejercicio de las facultades de control, pueda tratar los datos obtenidos a través de este sistema. El empleador debe manifestar a los trabajadores o empleados públicos de forma expresa, clara e inequívoca a y, en su caso, a sus representantes, acerca de la existencia y características de estos dispositivos (art.90).

e) En la negociación colectiva, estableciendo que los convenios colectivos puedan establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y la salvaguarda de derechos digitales en el ámbito laboral (art.91).

Para hacer efectivos todos estos derechos, además, se añade un nuevo artículo 20.bis al ET sobre el derecho de los trabajadores a la intimidad en relación con el entorno digital y a la desconexión (LO 3/2018 disp.final 13ª)​.

La nueva LOPD deroga expresamente la L ​15/1999, y el RDL 5/2018, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos y, genéricamente, a cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Rgto (UE) 2016/679 y la presente ley orgánica.

NOTA: Con relación a la LOPD/99, hay que tener presente que:

1. Las normas dictadas en aplicación de la Dir 95/46/CE art.13, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que hubiesen entrado en vigor con anterioridad a 25-5-2018, y en particular la LOPD/99 art.23 y 24, siguen vigentes en tanto no sean expresamente modificadas, sustituidas o derogadas (LOPD disp.adic.14ª).

2. Los tratamientos sometidos a la Dir (UE) 2016/680, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI, continuarán rigiéndose por la LO 15/1999, y en particular, la LO 15/1999 art.22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada Directiva (LOPD disp.trans.4ª).