Miguel Recio

La Directiva (UE) 2016/680 sobre protección de datos personales en el ámbito penal ha sido transpuesta a nuestro ordenamiento jurídico mediante la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.

Esta Ley Orgánica tiene por objeto regular el tratamiento de los datos personales para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluida la protección y prevención frente a las amenazas contra la seguridad pública, cuando dicho tratamiento se lleve a cabo por los órganos que tengan la consideración de autoridades competentes.

Las autoridades competentes son, en particular, las Fuerzas y Cuerpos de Seguridad; las Administraciones Penitenciarias; la Dirección Adjunta de Vigilancia Aduanera de la Agencia Estatal de Administración Tributaria; el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias; la Comisión de Vigilancia de Actividades de Financiación del Terrorismo, así como las Autoridades judiciales del orden jurisdiccional penal y el Ministerio Fiscal. La Ley Orgánica 7/2021 será aplicable al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, cuando alguna de dichas autoridades competentes lo hagan con los fines ya señalados. En otro caso, se aplicarán el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

Es importante destacar que en la Ley Orgánica 7/2021 se ha incluido el deber de colaboración con autoridades judiciales, al Ministerio Fiscal o a la Policía Judicial. En cumplimiento de este deber de colaboración, tanto las Administraciones Públicas como cualquier persona física o jurídica, están obligadas a proporcionar a aquéllas “los datos, informes, antecedentes y justificantes que les soliciten y que sean necesarios para la investigación y enjuiciamiento de infracciones penales o para la ejecución de las penas”, así como los “que les soliciten y que sean necesarios para la investigación y enjuiciamiento de infracciones penales o para la ejecución de las penas”. En relación con este deber de colaboración se prevé también cómo tendrá que ser la petición que efectúe cada una de dichas autoridades competentes y la excepción relativa a la información al interesado sobre la transmisión de sus datos personales a dichas autoridades competentes o el acceso a los datos por estas.

Las autoridades competentes, salvo los órganos jurisdiccionales o el Ministerio Fiscal cuando traten datos personales en el ejercicio de sus funciones jurisdiccionales, están obligadas a designar a un delegado de protección de datos. En cuanto a la posición y funciones del delegado de protección de datos, las disposiciones de la Ley Orgánica 7/2021 son prácticamente idénticas a las previstas en el RGPD, salvo por lo que se refiere a que podrá ser removido o sancionado cuando actúe con “dolo o negligencia grave en su ejercicio”. Además, las autoridades competentes tendrán que cumplir con las obligaciones exigibles, que son similares a las previstas en el RGPD y entre las que se encuentran, por ejemplo, asegurar la licitud del tratamiento, la protección de datos desde el diseño y por defecto, el registro de actividades del tratamiento, la evaluación de impacto relativa a la protección de datos o la seguridad de los datos personales.

Desde el punto de vista de las autoridades de control, son las previstas en la LOPDGDD. Estas son, según corresponda en atención a sus competencias, la Agencia Española de Protección de Datos (AEPD) y las autoridades autonómicas (País Vasco, Cataluña y Andalucía). En caso de infracción de la Ley Orgánica 7/2021 y de que el responsable infractor sea distinto de alguno de los enumerados en el artículo 77.1 de la LOPDGDD, se le podría imponer una sanción consistente en una multa de hasta un millón de euros. En el cálculo de la multa se aplicarán los criterios previstos tanto en el RGPD (art. 83.2) como en la LOPDGDD (art. 76.2). Y en cuanto al concurso de normas, se prevén varias reglas en cuanto a la aplicación de esta Ley, como lex specialis, con preferencia al RGPD y la LOPDGDD; la aplicación del precepto más amplio o general que sancione las infracciones subsumidas en aquél y, en defecto de los criterios previos, se aplicará el precepto que prevea la mayor sanción (art. 57 de la Ley Orgánica 7/2021).

Cabe destacar también que quedan derogados los artículos 23 y 24 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Estos artículos habían quedado en vigor en virtud de la disposición adicional decimocuarta de la LOPDGDD. Dado que la Ley Orgánica 7/2021 establece las excepciones y limitaciones al ejercicio de derechos, los citados artículos de la Ley Orgánica 15/1999 quedan derogados en virtud de la disposición derogatoria única.
 
Y, por último, con la publicación de la Ley Orgánica 7/2021 (BOE de 27 de mayo), España ha cumplido con su obligación de transponer la Directiva (UE) 2016/680, poniendo así fin a la multa coercitiva de 89.548,20 euros diarios por cada día de retraso en la transposición desde el 25 de febrero de 2021. Esta es la fecha en la que el Tribunal de Justicia de la Unión Europea condenó a España a pagar quince (15) millones de euros y la multa indicada por no haber transpuesto a tiempo la citada Directiva.