La AEPD y la Ley Orgánica 3/2018

La Agencia Española de Protección de Datos es la autoridad estatal de control independiente encargada de velar por el cumplimiento de la normativa sobre protección de datos. Es, por tanto, la autoridad de control española a la que se refiere el Reglamento cuando habla de notificaciones, reclamaciones y supervisión.

Su función se enuncia en términos de derecho fundamental: garantiza y tutela el derecho fundamental a la protección de datos de carácter personal de los ciudadanos. Esa formulación explica su independencia, porque un órgano que vigila cómo trata los datos la propia Administración no puede depender de ella.

La palabra que define a la AEPD es «independiente». Todo lo demás de su régimen jurídico se deduce de ahí.

La Ley Orgánica 3/2018 ordena sus principios en una lista propia, que no coincide con los seis principios del Reglamento y que conviene tener separada en la cabeza. Son siete epígrafes.

• Exactitud de los datos.
• Deber de confidencialidad.
• Consentimiento de los menores de edad.
• Categorías especiales de datos.
• Tratamiento de datos de naturaleza penal.
• Tratamiento basado en el consentimiento del afectado.
• Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos.

Vistos juntos se entiende su lógica: la ley española no repite el Reglamento, sino que baja al detalle en los puntos donde el Reglamento dejaba margen a los Estados, como la edad del consentimiento, los datos penales o el deber de confidencialidad.

Cuidado con «exactitud»: aparece como principio en las dos normas, y es el único que se repite literalmente en ambas listas.

En España, el tratamiento de los datos personales de un menor de edad únicamente puede fundarse en su propio consentimiento cuando sea mayor de 14 años. Por debajo de esa edad hace falta el consentimiento del titular de la patria potestad o tutela.

Ese 14 no viene del Reglamento europeo, sino de la decisión española. El Reglamento fija la edad general en 16 años y permite a cada Estado miembro rebajarla, con un suelo de 13. España la situó en 14, y ese contraste entre las dos cifras es una pregunta clásica.

14 en España, 16 como regla general europea, 13 como suelo que ningún Estado puede bajar.

La ley española regula expresamente el derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo. El punto conflictivo es siempre el mismo: la empresa ha grabado a un trabajador cometiendo un acto ilícito y quiere usar esa grabación.

La solución de la ley es práctica. Si se ha captado un acto ilícito de los trabajadores, el deber de informar se entiende cumplido cuando existiese al menos un dispositivo informativo en lugar visible que identifique, como mínimo, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos.

Dicho de otro modo: el clásico cartel de zona videovigilada, si está donde se ve y dice esas tres cosas, basta para que la grabación de un acto ilícito no quede invalidada por falta de información previa.

Tres contenidos mínimos del dispositivo informativo: existencia del tratamiento, identidad del responsable y posibilidad de ejercitar los derechos.

Frente a la regla anterior, que es flexible, la ley pone un límite que no admite excepción alguna. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

Aquí no hay ponderación posible: no cabe alegar sospecha de robo, ni consentimiento del comité de empresa, ni cartel informativo. La prohibición es absoluta y alcanza tanto a la imagen como al sonido, y tanto al sector privado como a los empleados públicos.

La enumeración (vestuarios, aseos, comedores) termina en «y análogos», así que no es una lista cerrada: lo determinante es que el lugar esté destinado al descanso o al esparcimiento.