Los principios del tratamiento

Antes de entrar en derechos, plazos y sanciones, la normativa de protección de datos fija seis principios que condicionan cualquier tratamiento. No son declaraciones de buenas intenciones: cada uno tiene un nombre propio y el examen suele preguntar justamente por ese nombre, dando la definición y pidiendo la etiqueta.

Un ejemplo aclara los dos que más se confunden. Si una tienda pide el DNI y el número de móvil para tramitar una garantía, la minimización pregunta si de verdad hacen falta los dos datos; la limitación del plazo de conservación pregunta cuánto tiempo pueden seguir guardándolos una vez terminada la garantía. Uno mira a la cantidad, el otro al tiempo.

Estos principios vienen del Reglamento (UE) 2016/679, de 27 de abril de 2016, conocido como RGPD, aplicable desde el 25 de mayo de 2018. En España lo desarrolla y complementa la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Limitación de la finalidad y limitación del plazo de conservación se llaman casi igual y son cosas distintas: la primera acota para qué, la segunda hasta cuándo.

Hay datos que revelan aspectos de la persona especialmente sensibles a la discriminación. Con ellos la norma no se limita a poner condiciones: prohíbe su tratamiento de entrada, y solo después admite excepciones. Es la lógica inversa a la del resto de datos.

• El origen étnico o racial.
• Las opiniones políticas.
• Las convicciones religiosas o filosóficas.
• La afiliación sindical.
• Los datos genéticos y los datos biométricos dirigidos a identificar de manera unívoca a una persona física.
• Los datos relativos a la salud.
• Los datos relativos a la vida sexual o a la orientación sexual de una persona física.

Conviene leer despacio la quinta línea, porque es la que se retuerce en los exámenes. No están prohibidos todos los datos biométricos y genéticos, sino los que van dirigidos a identificar de manera unívoca a una persona física. Ese matiz («dirigidos a identificar de manera unívoca») es lo que distingue una huella dactilar usada para abrir una puerta de una simple medición sin capacidad identificativa.

La lista es cerrada y no incluye los datos económicos, de solvencia ni los de condenas penales, por muy sensibles que suenen.

La prohibición no es absoluta. Deja de aplicarse cuando concurre alguna de estas dos circunstancias, y las dos comparten la misma idea de fondo: o el interesado no puede decidir y hay algo más urgente en juego, o el propio interesado ya renunció a la reserva.

• Que el tratamiento sea necesario para proteger intereses vitales, cuando el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento.
• Que el tratamiento se refiera a datos personales que el interesado ha hecho manifiestamente públicos.

El primer supuesto es el del paciente inconsciente en urgencias: no puede consentir, y sus datos de salud son justo lo que hace falta para atenderle. El segundo es el del cargo público que declara abiertamente su afiliación sindical: si él mismo lo ha hecho público, la prohibición pierde su razón de ser.

En el primer supuesto la incapacidad puede ser física o jurídica, no solo física. Es el detalle que se recorta en las preguntas.

Un tratamiento solo es lícito si se cumple al menos una de seis condiciones. La palabra importante es «al menos una»: no hacen falta varias, y ninguna es superior a las demás. El consentimiento encabeza la lista, pero es una base entre seis, no la regla general.

• Que el interesado haya dado su consentimiento para uno o varios fines específicos.
• Que el tratamiento sea necesario para la ejecución de un contrato en el que el interesado es parte.
• Que sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.
• Que sea necesario para proteger intereses vitales del interesado o de otra persona física.
• Que sea necesario para el interés público o en el ejercicio de poderes públicos conferidos al responsable.
• Que sea necesario para la satisfacción de intereses del responsable, siempre que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado.

La última es la única que exige una ponderación: hay que pesar el interés del responsable contra los derechos del interesado, y si ganan estos últimos, la base no sirve. La norma señala expresamente un caso en el que ese peso se inclina: cuando el interesado sea un niño.

Pagar la nómina de un empleado o emitir una factura no necesita consentimiento: se apoyan en el contrato y en la obligación legal, que son bases distintas y autónomas.