1. Disposiciones generales
1.1. Objeto de la ley
1.1.1. Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016.
1.1.2. Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.
1.1.2.1. Artículo 18.4 de la constitución: La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.
1.2. Ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94.
1.2.1. Lo dispuesto en los Títulos I a IX y en los artículos 89 a 94 de la presente ley orgánica se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
1.2.2. Esta ley orgánica no será de aplicación:
1.2.2.1. A los tratamientos sometidos a la normativa sobre protección de materias clasificadas.
1.2.2.2. A los tratamientos excluidos del ámbito de aplicación del Reglamento general de protección de datos por su artículo 2.2, sin perjuicio de lo dispuesto en los apartados 3 y 4 de este artículo.
1.2.2.2.1. Articulo 2.2 Apartado 3:
1.2.2.2.2. Articulo 2.2 Apartado 4:
1.2.2.3. A los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3.
1.3. Datos de las personas fallecidas
1.3.1. Las persona vinculadas al fallecido así como sus herederos podrán solicitar acceso a los datos personales de la persona fallecida y en su caso, su rectificación o supresión.
1.3.1.1. como excepción a esto estas personas no podrán acceder a los datos cuando la persona fallecida lo hubiese prohibido explícitamente o así lo establezca la ley.Esta prohibición no afecta al derecho de los herederos a acceder a los datos patrimoniales.
1.3.2. Las personas o instituciones a las que el fallecido hubiese designado expresamente para ello podrán también solicitar, el acceso a los datos personales de este y, en su caso su rectificación o supresión.
1.3.3. En caso de fallecimiento de menores o personas con discapacidad, estas facultades podrán ejercerse también por sus representantes legales o, por el Ministerio Fiscal, que podrá actuar de oficio o a instancia de cualquier persona física o jurídica interesada.
2. Principios de la protección de datos.
2.1. Exactitud de los datos
2.1.1. Los datos serán exactos y, si fuere necesario, actualizados.
2.1.2. No será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
2.1.2.1. Hubiesen sido obtenidos por el responsable directamente del afectado.
2.1.2.2. Fuesen obtenidos de un registro público por el responsable.
2.1.2.3. Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador.
2.1.2.3.1. En este caso, el mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de comunicación al responsable de datos que no se correspondan con los facilitados por el afectado.
2.1.2.4. Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.
2.2. Deber de confidencialidad
2.2.1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2.2.1.1. artículo 5.1.f) Los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas.
2.2.2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
2.2.3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.
2.3. Tratamiento basado en el consentimiento del afectado.
2.3.1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.
2.3.2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.
2.3.3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.
2.4. Consentimiento de los menores de edad.
2.4.1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años.
2.4.1.1. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.
2.4.2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.
2.5. Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos.
2.5.1. Hacen referencia a normativa de rango superior.
2.5.1.1. Artículos refenreciados:
2.5.1.1.1. Artículo 6.1.c) y e) del Reglamento (UE) 2016/679
2.5.1.1.2. Capítulo IV del Reglamento (UE) 2016/679.
2.6. Categorías especiales de datos.
2.6.1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.
2.6.2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del Reglamento (UE) 2016/679,podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad.
2.6.2.1. En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.
2.7. Tratamiento de datos de naturaleza penal.
2.7.1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.
2.7.2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia.
2.7.2.1. Artículo 10 del Reglamento (UE) 2016/679: El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.
2.7.3. Los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.