Apuntes sobre el tratamiento de datos por los partidos políticos para fines electorales en la nueva LOPD.

Como muchos de nuestros lectores sabrán, se está tramitando una nueva LOPD (aunque su nueva denominación es Ley Orgánica de Protección de Datos y de Garantías de Derechos Digitales, siempre la nombraré como “LOPD”, ya que no entiendo muy bien qué pinta el nuevo Título X sobre los citados derechos digitales en esta Ley), de la que se prevé que se apruebe a finales de este año, ya que se encuentra en la actualidad en fase de tramitación en el Senado.

(más…)


Abogados: codirección técnica de asuntos y corresponsabilidad art. 26 RGPD. ¿Cómo documentarlo?

Miniatura noticia

¿Es usted  abogado y lleva a medias con un compañero de otro despacho un asunto, sin relación de subordinación, sino en plano de igualdad? Es decir, ambos establecen de forma conjunta el enfoque del asunto, posición, planteamiento escritos, asumen de forma conjunta la dirección técnica del asunto. Si es así, muy posible que nos encontremos ante un supuesto de corresponsabilidad del artículo 26 RGPD.

De acuerdo con dicho precepto, los corresponsables deben

1.- Determinar de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados.

2.- El acuerdo indicado en el apartado 1 reflejará debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados. Se pondrán a disposición del interesado los aspectos esenciales del acuerdo.

3.Independientemente de los términos del acuerdo a que se refiere el apartado 1, los interesados podrán ejercer los derechos que les reconoce el presente Reglamento frente a, y en contra de, cada uno de los responsables.

Por tanto, no queda otra que ponerse a redactar para documentar lo anterior, recogiendo en el texto del acuerdo, como mínimo en mi opinión, los siguientes puntos: (más…)


¿Cuántos años puede un abogado guardar un expediente una vez finalizado? 5 ó 15 no es siempre la respuesta correcta

Miniatura noticia

Una de las preguntas más habituales que le suele plantear un cliente abogado al asesor en materia de protección de datos es la siguiente: “Desde que termino un expediente, ¿cuánto tiempo lo puedo conservar?’”… Bueno en el fondo lo que dicen es “oye, en treinta años de ejercicio no he tirado un expediente… ¿lo estoy haciendo bien?”

Y ahí le tienes que explicar que, dentro del principio de calidad en el tratamiento de los datos de carácter personal ya el artículo 4 de la LOPD establecía que eso de quedarte ad eternum con los expedientes, nones, porque su apartado 4 prevé que los datos de carácter personal deben ser cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la que fueron recabados o registrados.

Y luego sigues contándole que esa idea es la misma que se recoge dentro de los principios del artículo 5.1 del erregepedé:

Los datos personales serán mantenidos de forma que se permita la identificación de los afectados no más tiempo del necesario para los fines del tratamiento. Podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo de interés público, fines de investigación científica e histórica o fines estadísticos, sin perjuicio de la aplicación de las correspondientes medidas técnicas y organizativas apropiadas que impone el RGPD.

Una vez aclarado que el abogado no puede seguir guardando los expedientes toooooda su vida profesional (y no sirve como argumento el “es que va ser tirar un documento y justo llamarme el cliente para preguntarme si por casualidad guardo los papeles de ese asunto que le llevé hace 20 años”), la siguiente pregunta será “vale. ¿Y cuánto tiempo los puedo guardar”?

Y la respuesta será “possssss… no más tiempo del necesario para los fines del tratamiento”. De ahí podríamos deducir que finalizado (¡¡¡ y cobrado!!!) un asunto, ale, ya no lo puedo conservar más. Pero tenemos que pensar que el abogado siempre puede ser objeto de reclamación derivada de su actividad profesional, por lo que resulta de lo más conveniente poder conservar el expediente para, llegado el caso, poder hacer frente a esa reclamación y acreditar la corrección de nuestra actuación, conservación que viene amparada en mi opinión en la letra f) del apartado 1 del artículo 6 del erregepedé: el interés legítimo.

¿Y cuál es ese plazo durante el que le  pueden presentar al abogado una reclamación derivada de su actividad profesional? Siempre desde la perspectiva civil, tendré que acudir al Código Civil, y en concreto a sus artículos 1961 a 1975. Y como no hay un artículo específico que contemple un plazo determinado de prescripción para este tipo de acción, deberemos centrarnos en el 1964.2, que establece que

Las acciones personales que no tengan plazo especial prescriben a los cinco años desde que pueda exigirse el cumplimiento de la obligación. En las obligaciones continuadas de hacer o no hacer, el plazo comenzará cada vez que se incumplan.

Así que podría responderle al cliente que puede guardar los expedientes 5 años.

¿Y ya está? Pues no. Anda, ¿y por qué no?

Porque ese plazo de cinco años fue introducido por la Disposición final primera de la Ley 42/2015, de 5 de octubre, de reforma de la Ley 1/2000, de 7 de enero, de Ley de Enjuiciamiento Civil, siendo el plazo previsto en ese precepto antes de la reforma de quince años.

Eso nos tiene que llevar a fijarnos en cuándo entró en vigor esa modificación. La Ley 42/2015 se publicó en el BOE el 6 de octubre de 2015, y su Disposición final duodécima, apartado 1º, que establece la entrada en vigor de la norma el día siguiente al de su publicación en el BOE, es decir, el 7 de octubre de 2015.

A tenor de esa información podríamos comunicar al compañero y cliente que el plazo de prescripción e indirectamente de conservación del expediente dependerá de la fecha en la que éste se entienda finalizado. Así, si finalizó antes del 7 de octubre de 2015, el plazo sería de 15 años y si lo terminamos del 7 de octubre de 2015 en adelante el plazo se reduciría a 5 años.

¿Sería esa respuesta correcta? No. ¿Y a santo de qué?

Porque la Disposición Transitoria 5ª de la Ley 42/2015 regula el régimen de prescripción aplicables a las relaciones ya existentes en el momento de entrada en vigor de la Ley, y remite para ello al artículo 1939 del Código Civil:

El tiempo de prescripción de las acciones personales que no tengan señalado término especial de prescripción, nacidas antes de la fecha de entrada en vigor de esta Ley, se regirá por lo dispuesto en el artículo 1939 del Código Civil.

¿Y qué nos dice el artículo 1939 del Código Civil?

La prescripción comenzada antes de la publicación de este Código se regirá por las leyes anteriores al mismo; pero si desde que fuere puesto en observancia transcurriese todo el tiempo en él exigido para la prescripción, surtirá ésta su efecto, aunque por dichas leyes anteriores se requiriese mayor lapso de tiempo.

¿Y esto cómo se traduce en la práctica? En mi opinión de la siguiente forma:

Expedientes finalizados desde el 7 (inclusive) de octubre de 2015 en adelante, el plazo de prescripción (y de conservación) será de 5 años.

Expedientes finalizados antes del 7 de octubre de 2015:

  • Si desde el 7 de octubre de 2015 quedan menos de cinco años para que transcurra el plazo de quince años previsto en el art. 1964 antes de la reforma, lo que quede de plazo original.
  • Si desde el 7 de octubre de 2015 quedan más de cinco años para que transcurra el plazo de quince años previsto en el art. 1964 antes de la reforma, cinco años a contar desde el 7 de octubre de 2015, es decir, hasta el 7 de octubre de 2020.
  • Si antes del 7 de octubre ya había transcurrido el plazo de 15 años previsto en el art. 1964 antes de la reforma… hace tiempo, compañero, que no deberías estar en posesión del expediente.

Y todo ello, por supuesto, sin perder de vista que el plazo de prescripción de ejercicio de la acción se puede interrumpir, artículo 1973 del Código Civil, y ello supone, siendo la prescripción de acciones extintiva, el reinicio del plazo, lo que justificaría seguir manteniendo el expediente.

Por último, una advertencia: lo anteriormente expuesto no tiene en cuenta las obligaciones de conservación de determinada documentación que puede imponer la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y financiación del terrorismo, a la que me remito en cuanto al contenido y alcance de esas obligaciones.

Espero que os haya resultado de interés y, sobre todo, de utilidad.


¿Qué va a pasar con los contratos de encargado de tratamiento en vigor concertados antes del 25 de mayo de 2018?

Miniatura noticia

Actualización al pie de la entrada, 8 de agosto 2018.

A partir del 25 de mayo de 2018 todo contrato que se concierte que implique la prestación de un servicio que pueda considerarse como un tratamiento por  cuenta de terceros deberá  tener en cuenta todo lo recogido en el artículo 28 del RGPD.

Ahora bien, llegada esa fecha lo normal es que en cualquier organización nos encontremos con contratos de encargado de tratamiento en vigor concertados bajo el régimen de la LOPD y el RDLOPD que, lógicamente, no cumplen todas las prescripciones del nuevo reglamento europeo.

Dichos contratos no quedarían automáticamente revocados con la aplicabilidad del RGPD, sino que, de acuerdo con las previsiones de la nueva normativa española, actualmente en fase de tramitación, mantendrán su vigencia durante un plazo determinado, debiendo durante el mismo ser adaptados a las nuevas exigencias del RGPD si se quieren mantener pasado ese plazo transitorio.

Ese régimen transitorio se recogería en la disposición transitoria quinta del proyecto de LOPD en los siguientes términos: (más…)


Aproximación a los ficheros de morosos desde el RGPD y la LOPD 2.0

Miniatura noticia

Ya saben ustedes que el 25 de mayo de 2018 comienza el reinado del RGPD y que no son pocas las dudas que se sigue planteando la Administración pública, el sector productivo en general y, en especial, el sector profesional eleopediano, porque el RGPD no contiene la respuesta a todas las preguntas y la nueva LOPD 2.0, aparte de acumular un retraso considerable en su tramitación, sabemos cómo ha entrado en las Cortes, pero no cómo va salir, habida cuenta de la composición esta legislatura de las Cámaras. Si estuviéramos en una situación de mayoría absoluta parlamentaria del partido del Gobierno, el texto final de la norma no diferiría mucho del recogido en el proyecto, que vamos con prisa después de haber tirado a la basura un año entero. Pero ahora, salvo el título de la norma, nada está a salvo…

Una de las cuestiones que quedan “un poco mucho” en el aire es el de los ficheros de solvencia patrimonial y crédito (sí, los “ficheros de morosos”), los que el artículo 29 .2de la aún vigente LOPD define como sistemas de información sobre cumplimiento de obligaciones dinerarias, financieras o de crédito a través de datos suministrados por los acreedores o quienes actúen por su cuenta e interés.

En esta materia pasamos de una regulación bastante completita en los artículos 29 LOPD y 37 a 44 RDLOPD al silencio del RGPD (no hay previsiones directas) y un único artículo, el 20, en el proyecto de nueva LOPD (al que llamaremos en adelante “LOPD 2.0”) más la aportación puntual de su disposición adicional octava.

Ese artículo 20 de la LOPD 2.0 tampoco regula todos los aspectos desarrollados en los artículos antes citados del RDLOPD, así que podríamos preguntarnos cómo va a quedar el asunto entre unas cosas y otras. (más…)


El abogado ante el deber de información al cliente según el nuevo Reglamento General de Protección de Datos

Miniatura noticia

Una de las obligaciones básicas de todo aquel que recabe datos de carácter personal para llevar a cabo cualquier actividad profesional, comercial o empresarial, así como el desarrollo o prestación de las competencias de las Administraciones públicas es ofrecer a los interesados un determinado contenido informativo, que viene fijado en la legislación española en el artículo 5 LOPD.

Obviamente, el abogado para el desarrollo de sus servicios profesionales debe tratar datos de carácter personal, así que debe forzosamente observar el deber de información (o derecho de información desde la perspectiva del interesado, es decir, de la persona física cuyos datos vayamos a tratar).

La importancia de cumplir debidamente el deber de información es enorme, dado que incide directamente en la formación de la voluntad del interesado a la hora de consentir o no tratamiento de sus datos de carácter personal. El propio Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, destaca en su fundamento jurídico séptimo la relevancia de ese derecho a ser informado:

               De todo lo dicho resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. (más…)


¿Incide el nuevo Reglamento General de Protección de Datos en la legitimación del abogado para el tratamiento de datos de carácter personal especialmente protegidos de sus clientes?

Miniatura noticia

El abogado, para el desarrollo de las prestaciones objeto de su contratación necesita tratar datos de carácter personal. Como regla general, y como establece el apartado primero del artículo 6 de la LOPD, el tratamiento de los datos de carácter personal requerirá del consentimiento inequívoco del afectado, salvo que la ley no disponga otra cosa.

De acuerdo con lo anterior, ¿debe el abogado solicitar el consentimiento de su cliente para tratar sus datos de carácter personal? La respuesta es negativa, porque el apartado segundo del mismo precepto citado y el artículo 10 RDLOPD nos dicen que no será necesario contar con ese consentimiento cuando los datos de carácter personal se recaben por el responsable del tratamiento con ocasión de la celebración de un contrato o precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea parte el afectado y sean necesarios para su mantenimiento o cumplimiento.

Como el abogado recaba los datos personales de sus clientes a resultas del establecimiento con ellos de una relación contractual en virtud de la cual el cliente arrienda los servicios del abogado, podemos concluir que el tratamiento de esos datos no necesita del consentimiento del cliente de acuerdo con lo expuesto.

Ahora bien, el tema deja de ser  tan sencillo si entre los datos que se recaban y tratan se encuentra alguno calificable como especialmente protegido: ideología, religión, creencias, afiliación sindical, origen racial, salud y vida sexual, que la LOPD regula, a los efectos que nos ocupan, en el artículo 7. (más…)


Detalles del Reglamento Europeo P.Datos (versión Consejo junio 2015)

Miniatura noticia

Ya advertíamos en un post anterior sobre el texto actual de la reforma europea de Protección de Datos, el conocido como “Reglamento”, de las sugerencias del Grupo del Artículo 29 sobre el citado texto.

En este post, vamos a tratar de ir un paso más adelante, comentando algunas novedades, de esas que suelen pasar desapercibidas, calificadas como “curiosas”, así como algunos temas más que pueden provocar dificultades de aplicación práctica. (más…)


Autoridades de Protección de Datos a favor del DPO obligatorio en el Reglamento Europeo.

Miniatura noticia

Semana “movidita” la que hemos tenido en el “mundo del dato” con la publicación de lo que sería el texto del ya famoso Reglamento Europeo de Protección, con la versión del Consejo, y con la publicación del calendario de los llamados “trílogos”, o más bien, combate a tres bandas entre Comisión, Parlamento y Consejo para discutir el texto. (más…)


Últimas modificaciones del Reglamento Europeo de Protección de Datos.

Miniatura noticia

Se ha filtrado un documento con lo que sería el texto negociado y propuesto entre la Comisión y el Consejo del Reglamento Europeo de Protección de Datos (ver al respecto en el post anterior titulado “La Unión Europea rechaza la figura del Data Protection Officer -Delegado de Protección de Datos“-). (más…)