Datos de carácter personal y tratamiento

¿Qué se entiende por datos de carácter personal?

Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo referente a personas físicas identificadas o identificables, como el nombre y apellidos, dirección, teléfono, firma, huella digital, correo electrónico, pero también la imagen, voz, etc. 

Véase la normativa reguladora.

• RGPD. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).
• LOPDGDD. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Mis datos están siendo tratados o van a ser tratados. ¿Qué se entiende por tratamiento de datos personales?

Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de ellos, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

¿Qué es un fichero? ¿Qué es el registro de actividades de tratamiento?

Un fichero es todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica.

Con la nueva normativa la inscripción de ficheros desaparece, y se exige llevar a cabo un “Registro de actividades de tratamiento”, que es un documento interno que define todos los tratamientos realizados y las medidas de seguridad aplicadas bajo la responsabilidad de cada responsable o encargado del tratamiento, o sus representantes. Estos deberán mantenerlo actualizado en todo momento ya que puede ser requerido por la autoridad de control (Agencia Española de Protección de Datos) en cualquier momento.

El “Registro de actividades de tratamiento” (RAT) puede organizarse en torno a conjuntos estructurados de datos, y debe especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el RGPD. Ver ley.

Dicho registro deberá contener la siguiente información:

• Nombre y datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
• Fines del tratamiento;
• Descripción de las categorías de interesados y de las categorías de datos personales;
• Categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
• En su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
• Cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos; y,
• Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.

¿Tengo derecho a ser informado del tratamiento de mis datos de carácter personal?

Sí.

Con carácter general, los interesados a los que se les solicite datos personales deben ser informados de modo expreso, preciso e inequívoco de:

• La identidad del responsable del tratamiento y de su representante, en su caso.
• Una descripción sencilla de la finalidad del tratamiento, incluyendo la elaboración de perfiles si existiese.
• La base jurídica para el tratamiento.
• La posibilidad de ejercitar el derecho de acceso, rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos.
• La previsión o no de cesión y/o de las transferencias a terceros países.
• La indicación de una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información, que especificará:
  • Una descripción ampliada de los fines del tratamiento.
  • Los datos de contacto del Delegado de Protección de Datos, en su caso.
  • El plazo de conservación de los datos.
  • La existencia de decisiones automatizadas, perfiles y lógica aplicable.
  • Un detalle de la base jurídica del tratamiento, en casos de obligación legal, interés público o interés legítimo.
  • La obligación, o no, de facilitar los datos y las consecuencias de no hacerlo.
  • El origen y la categoría de los datos cuando no se obtengan del propio interesado.
  • Los destinatarios o las categorías de destinatarios.
  • El derecho a presentar una reclamación ante la autoridad de control.

Además, cuando se utilicen cuestionarios u otros impresos para la recogida de los datos, en los mismos debe figurar, en forma claramente legible, las advertencias señaladas.

No obstante, lo anterior, no será necesario informar previamente:

• Si el interesado ya dispone de la información.
• En caso de que los datos no procedan del interesado:
  • Cuando la comunicación resulte imposible o suponga un esfuerzo desproporcionado.
  • Cuando el registro o la comunicación esté expresamente establecido por el Derecho de la Unión o de los Estados miembros.
  • Cuando los datos deban seguir teniendo carácter confidencial por un deber legal de secreto.

Ahora bien, esto no significa que desaparezcan los derechos del interesado, ya que podrá seguir ejerciendo sus derechos de acceso, rectificación, cancelación, oposición, limitación, portabilidad y supresión en cualquier momento.

Ver ley.

¿Mis datos personales pueden ser tratados o cedidos sin mi consentimiento? ¿Qué puedo hacer?

No, con carácter general. El consentimiento es una de las causas que legitima el tratamiento de los datos personales.

Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento explícito del interesado, es decir, bajo una manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen, o sobre alguna otra base legítima establecida conforme a Derecho.

Si el consentimiento se da en el contexto de una declaración escrita que se refiera a otros asuntos, la solicitud de consentimiento se prestará de tal forma que se distinga claramente del resto de asuntos, de forma inteligible y de fácil acceso, utilizando un lenguaje claro y sencillo.

Corresponde al responsable del tratamiento la prueba de la existencia del consentimiento por cualquier medio de prueba admisible en derecho.

Recuerda que, como interesado, tiene derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada (esto es, sin efectos retroactivos). Antes de dar el consentimiento, se debe estar informado de ello, y será tan fácil retirar el consentimiento como darlo.

Ante el tratamiento no consentido, el interesado debe ponerse en contacto con el responsable del tratamiento con la finalidad de ejercitar su derecho de supresión. Ver ley.

Véase el formulario para ejercer este derecho de supresión.

Más información sobre el derecho de supresión en el apartado 10.2.3 Derecho de supresión.

Ahora bien, hay que tener en cuenta que será posible el tratamiento de los datos sin necesidad del consentimiento del interesado en los supuestos de tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos.

Recuerda que puede ejercer el derecho de oposición como su nombre indica, implica que tiene derecho a oponerse a que el responsable realice un tratamiento de sus datos personales cuando sean objeto de tratamiento basado en una misión de interés público o en el interés legítimo, incluido en el caso de la elaboración de perfiles. Véase: Formulario ejercicio del derecho de oposición.

En tal caso, el responsable dejará de tratar tus datos, salvo que acredite motivos imperiosos que prevalezcan sobre tus intereses, tus derechos y tus libertades, o para la formulación, el ejercicio o la defensa de reclamaciones. O bien, cuando el tratamiento tenga como finalidad la mercadotecnia directa, incluida también la elaboración de perfiles. Así ejercitando este derecho de oposición para esta finalidad, tus datos personales dejarán de ser tratados para dichos fines. Ver ley.

Más información sobre el derecho a oposición en apartado 10.2.6 Derecho de oposición.

¿Pueden ser tratados los datos de los menores de edad sin su consentimiento?

No. Los datos de los menores de edad no pueden ser tratados sin su consentimiento.

Para los menores de catorce años es necesario obtener siempre el consentimiento de los padres o tutores legales, quienes podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles.

En cambio, los menores de entre catorce hasta dieciocho años pueden dar su consentimiento para la utilización de sus datos personales por sí mismos, salvo en aquellos casos en los que legalmente se exija la asistencia de los titulares de la patria potestad o tutela.

Si la empresa se retrasa injustificadamente en la devolución del dinero abonado por la persona consumidora y usuaria, ésta podrá reclamar que se le pague el doble del importe adeudado por la empresa, sin perjuicio a su derecho de ser indemnizado por los daños y perjuicios sufridos en lo que excedan de dicha cantidad.

La información dirigida a los menores debe expresarse en un lenguaje fácilmente comprensible por estos.

El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el menor, teniendo en cuenta la tecnología disponible. Por tanto, el responsable del tratamiento debe articular los procedimientos adecuados que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.