Ya hace tres años que se publicó la Organic Law 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en adelante, LOPD 7/2021), y poco se ha sabido de la implantación de esta Ley.
El motivo por el cual se ha olvidado esta norma es que su aplicación es muy limitada, pero ello no es óbice para que deba dársele su importancia
Ámbito de aplicación:
Para delimitar el ámbito de aplicación de la LOPD 7/2021, hay que partir de un supuesto donde no se aplica el RGPD que en su artículo 2.2d, el cual indica que “el presente Reglamento no se aplica al tratamiento de datos personales por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención”. Este supuesto ha originado que se dedique una Ley concreta a regular el tratamiento de datos con estos fines.
¿Esto implica que no se pueden tartar datos de naturaleza penal si no es bajo el amparo de la LOPD 7/2021?
La respuesta es que sí. Si se pueden tratar datos de naturaleza penal de acuerdo al artículo 10 Art. 10 del RGPD (Tratamiento de datos personales relativos a condenas e infracciones penales) el cual indica que “sólo podrá llevarse a cabo el tratamiento de datos penales en dos supuestos:
- bajo la supervisión de las autoridades públicas o
- cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados”.
Es decir, el tratamiento de datos relativos a condenas e infracciones penales, o lo supervisa una autoridad pública o se hace con apego a una Ley
Pero entonces ¿Qué datos de naturaleza penal regula la LOPD 7/2021?
Tal cómo se indica en el título de la norma, su aplicación tendrá efecto cuando esos datos se utilicen para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Cuando no tengan estos fines, tal y como indica el artículo 10 de la LOPDGDD (Tratamiento de datos de naturaleza penal): “El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo:
- cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.
- cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones”
Finalmente, hay que precisar que, para que la LOPD 7/2021 se aplique, aparte de los fines indicados, el tratamiento debe ser realizado por una autoridad competente. La propia norma en su artículo 4 (Autoridades competentes) establece:
“En particular, tendrán esa consideración, en el ámbito de sus respectivas competencias, las siguientes autoridades:
a) Las Fuerzas y Cuerpos de Seguridad.
b) Las Administraciones Penitenciarias.
c) La Dirección Adjunta de Vigilancia Aduanera de la Agencia Estatal de Administración Tributaria.
d) El Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias.
e) La Comisión de Vigilancia de Actividades de Financiación del Terrorismo.
2. También tendrán consideración de autoridades competentes las Autoridades judiciales del orden jurisdiccional penal y el Ministerio Fiscal”.
En este último supuesto (autoridades judiciales y Ministerio Fiscal) aunque se regirá por esta Ley, siempre que tenga los fines mencionados, no hay que olvidar que se debe aplicar conjuntamente con:
– la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial
– la Ley 50/1981, de 30 de diciembre, por la que se regula el Estatuto Orgánico del Ministerio Fiscal, y
– las leyes procesales que le sean aplicables
También incidir que en este último supuesto (autoridades judiciales y Ministerio Fiscal), las autoridades de protección de datos (nacional y autonómicas) no serán competentes para controlar estas operaciones de tratamiento, sino que será competente el Consejo General del Poder Judicial
También incidir, que se regula tanto si el tratamiento es automatizado, como manual o mixto.
En conclusión, esta norma regula al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, realizado por las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública
En cuanto a su regulación detallada sigue, más o menos, los mismos aspectos que se regulan en el RGPD:
- Principles relating to treatment
- Categorías especiales de datos
- Deber de información
- Ejercicio de derechos
- Obligaciones del Responsable del Tratamiento
- Privacidad desde el diseño y por defecto
- Corresponsabilidad del tratamiento
- Data Protection Officer
- Encargo de tratamiento
- Registro de actividades de tratamiento
- Evaluación de Impacto de Protección de Datos y consulta previa
- Seguridad del tratamiento
- Notificación de violaciones de seguridad
- Transferencias internacionales de datos
Todos estos aspectos se regulan de manera similar, pero las diferencias se tratarán en siguientes artículos
Finalmente, existen dos aspectos que no se regulan en el RGPD y que tendrá un análisis detallado: el deber de colaboración y la Videovigilancia por Fuerzas y Cuerpos de Seguridad, los cuáles también trataremos en próximos artículos.
If you would like more information about Regulatory Compliance and Data Protection, visit our blog
