BOE de 6.12.2018

-Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Nota: Esta norma tiene un doble objetivo. Por un lado, adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos) (véase la entrada de este blog del día 4.5.2018), y completar sus disposiciones, así como garantizar los derechos digitales de la ciudadanía de acuerdo con el art. 18.4 de la Constitución (art. 1).
De acuerdo con el art. 2, núms. 3 y 4, los tratamientos a los que no sea aplicable el Reglamento (UE) 2016/679, por afectar a actividades no comprendidas en el ámbito de aplicación del Derecho de la UE, se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el Reglamento y en esta ley orgánica. Este es el caso, entre otros, de los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, los tratamientos realizados en el ámbito de instituciones penitenciarias y los tratamientos derivados del Registro Civil, los Registros de la Propiedad y Mercantiles. El tratamiento de datos llevado a cabo con ocasión de la tramitación por los órganos judiciales de los procesos de los que sean competentes, así como el realizado dentro de la gestión de la Oficina Judicial, se regirán por lo dispuesto en el Reglamento (UE) 2016/679 y esta ley orgánica, sin perjuicio de las disposiciones de la LOPJ que le sean aplicables.

En esta ley orgánica caben destacar las siguientes disposiciones:
-Art. 30: regula la figura de los representantes de los responsables o encargados del tratamiento no establecidos en la UE.
-Título VI (arts. 40 a 43): regula la transferencias internacionales de datos.
-Art. 56: atribuye a la Agencia Española de Protección de Datos (AEPD) la titularidad y el ejercicio de las funciones relacionadas con la acción exterior del Estado en materia de protección de datos.
-Título VII, capítulo 2, sección 2ª (arts. 60 a 62): se ocupa de la coordinación en el marco de los procedimientos establecidos en el Reglamento (UE) 2016/679.
-Art. 69.2: en relación con la adopción de medidas provisionales y de garantía de derechos, establece que cuando la AEPD considere que la continuación del tratamiento de los datos personales, su comunicación o transferencia internacional comportara un menoscabo grave del derecho a la protección de datos personales, podrá ordenar a los responsables o encargados de los tratamientos el bloqueo de los datos y la cesación de su tratamiento y, en caso de incumplirse por estos dichos mandatos, proceder a su inmovilización.
-Art. 72.1, letra l): considera infracción muy grave, con prescripción a los tres años, la transferencia internacional de datos personales a un destinatario que se encuentre en un tercer país o a una organización internacional, cuando no concurran las garantías, requisitos o excepciones establecidos en los arts. 44 a 49 del Reglamento (UE) 2016/679.
-Título X: regula la garantía de los derechos digitales, recogiéndose los siguientes derechos: derechos en la Era digital (art. 79); derecho a la neutralidad de Internet (art. 80); derecho de acceso universal a Internet (art. 81); derecho a la seguridad digital (art. 82); derecho a la educación digital (art. 83); protección de los menores en Internet (art. 84); derecho de rectificación en Internet (art. 85); derecho a la actualización de informaciones en medios de comunicación digitales (art. 86); derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral (art. 87); derecho a la desconexión digital en el ámbito laboral (art. 88); derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo (art. 89); derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral (art. 90); derechos digitales en la negociación colectiva (art. 91); protección de datos de los menores en Internet (art. 92); derecho al olvido en búsquedas de Internet (art. 93); derecho al olvido en servicios de redes sociales y servicios equivalentes (art. 94); derecho de portabilidad en servicios de redes sociales y servicios equivalentes (art. 95); derecho al testamento digital (art. 96); políticas de impulso de los derechos digitales (art. 97).
-DA 5ª: establece la autorización judicial en relación con decisiones de la Comisión Europea en materia de transferencia internacional de datos, que cumplan determinados requisitos.
En este sentido, la DF 6ª modifica la Ley 29/1998 reguladora de la Jurisdicción Contencioso-administrativa, introduciendo un nuevo art. 122 ter, en el que se regula el procedimiento de autorización judicial de conformidad de una decisión de la Comisión Europea en materia de transferencia internacional de datos.
-DA 7ª: reglamenta la complicada cuestión de la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos. Este tema afecta, entre otras cuestiones, a la publicación en los Diarios Oficiales de los resultados de procesos selectivos de personal de las Administraciones Públicas, o también a la publicación de las calificaciones obtenidas por los alumnos en las asignaturas que cursan.
-DA 13ª: se ocupa de las transferencias internacionales de datos tributarios.
-DA 16ª: enumera una serie de actos que son considerado prácticas agresivas a los efectos previstos en el art. 8 de la Ley 3/1991, de 10 de enero, de Competencia Desleal.
-DA 17ª: regula el tratamientos de datos de salud.
En relación con la reutilización con fines de investigación en materia de salud y biomédica de datos personales recogidos con anterioridad a la entrada en vigor de esta ley orgánica, véase la DT 6ª (abajo)
Por su parte, la DF 5ª añade un nuevo capítulo II al título VI (art. 105 bis) de la Ley 14/1986, de 25 de abril, General de Sanidad, mediante el cual remite el tratamiento de datos personales en la investigación en salud a lo dispuesto en la DA 17ª de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales.
Igualmente, la DF 9ª modifica el art. 15.3 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en el que se regula el acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia.
-DA 22ª: regula el acceso a los archivos públicos y eclesiásticos.
-DT 4ª: prevé que los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva.
-DT 6ª: considera lícita y compatible la reutilización con fines de investigación en salud y biomédica de datos personales recogidos lícitamente con anterioridad a la entrada en vigor de esta ley orgánica cuando concurran determinadas circunstancias.
-DF 6ª, núm. 4: introduce un nuevo art. 122 ter en la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el que se regula el procedimiento de autorización judicial de conformidad de una decisión de la Comisión Europea en materia de transferencia internacional de datos.
-DF 7ª: modifica el art. 15 bis de la Ley de Enjuiciamiento Civil, en el que se regula la intervención de la Comisión Europea, la Comisión Nacional de los Mercados y la Competencia y los órganos competentes de las comunidades autónomas en el ámbito de sus competencias en procesos de defensa de la competencia y de protección de datos.

Con carácter general, queda derogada la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, así como el Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos (véase la entrada de este blog del día 30.7.2018) (DD única).

La ley entrará en vigor mañana (DF 16ª).

[BOE n. 294 de 6.12.2018]