Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales
La entrada en vigor de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, ha supuesto una relevante novedad en el ámbito del Derecho y el Proceso Penal.
El objeto de la norma, según dispone su Exposición de Motivos, es la regulación del tratamiento de los datos personales (tanto de personas físicas vivas como de personas físicas fallecidas) para la consecución de los fines de prevención, detección, investigación, enjuiciamiento de infracciones penales y ejecución de sanciones penales, incluyéndose igualmente la protección y prevención frente a los riesgos contra la seguridad pública.
Los destinatarios de la ley son las denominadas autoridades competentes, definidas a efectos de la norma como autoridades públicas con competencias legalmente encomendadas para la consecución de los fines perseguidos. Concretamente, serán autoridades competentes a efectos de la ley:
- las Fuerzas y Cuerpos de Seguridad;
- las autoridades judiciales del orden jurisdiccional penal y el Ministerio Fiscal, en el marco del tratamiento de los datos personales llevado a cabo con ocasión de la tramitación de las actuaciones o procesos de los que sean competentes;
- las Administraciones Penitenciarias;
- la Dirección Adjunta de Vigilancia Aduanera;
- el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias;
- la Comisión de Vigilancia de Actividades de Financiación del Terrorismo.
La finalidad principal de la norma es que los datos personales objeto de la misma reciban por parte de las autoridades competentes un trato acorde con los fines prevenidos, persiguiendo igualmente establecer los más elevados estándares de protección de los derechos fundamentales y las libertades de los ciudadanos, en cumplimiento de lo dispuesto en el artículo 8.1 de la Carta de los Derechos Fundamentales de la Unión Europea, así como en el artículo 16.1 del Tratado de Funcionamiento de la Unión Europea y el artículo 18.4 de la Constitución Española.
Los principios que enmarcan la protección de datos, y que corresponde garantizar a los responsables de su tratamiento, se identifican con los que presiden el Reglamento General de Protección de Datos, salvo ciertas especialidades propias del concreto ámbito regulado por la norma.
En aplicación de estos principios, los datos personales objeto de la norma serán tratados:
- De manera lícita y leal;
- Recogidos con fines determinados, explícitos y legítimos, y no serán tratados de forma incompatible con esos fines;
- Adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados;
- Exactos y, si fuera necesario, actualizados, adoptándose todas las medidas razonables para que se supriman o rectifiquen, sin dilación indebida, los datos personales que sean inexactos con respecto a los fines para los que son tratados;
- Conservados de forma que permitan identificar al interesado durante un período no superior al necesario para los fines para los que son tratados;
- Tratados de manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental.
En cuanto a los plazos de conservación de los datos, la ley establece que el responsable de su tratamiento los conservará solamente durante el tiempo que resulte necesario para dar debido cumplimiento a las finalidades perseguidas por la norma, debiendo revisar la necesidad de conservarlos, como máximo, cada tres años, atendiendo en estos casos a la edad del afectado, el carácter de los datos y a la conclusión de una investigación o procedimiento penal.
En todo caso, el plazo máximo para la supresión de los datos será de veinte años, salvo que concurran factores como la existencia de investigaciones abiertas o delitos que no hayan prescrito, la no conclusión de la ejecución de la pena, reincidencia, necesidad de protección de las víctimas u otras circunstancias motivadas que hagan necesario la conservación y el tratamiento de los datos para el cumplimiento de los fines previstos.
Por otro lado, la ley establece asimismo una categorización de los interesados cuyos datos personales son objeto de tratamiento, distinguiendo entre las siguientes personas (sin impedir la aplicación del derecho a la presunción de inocencia tal como lo garantiza el artículo 24 de la Constitución Española):
- Personas respecto de las cuales existan motivos fundados para presumir que hayan cometido, puedan cometer o colaborar en la comisión de una infracción penal.
- Personas condenadas o sancionadas por una infracción penal.
- Víctimas o afectados por una infracción penal o que puedan serlo.
- Terceros involucrados en una infracción penal como son: personas que puedan ser citadas a testificar en investigaciones relacionadas con infracciones o procesos penales ulteriores, personas que puedan facilitar información sobre dichas infracciones, o personas de contacto o asociados de una de las personas mencionadas en las letras a) y b).
En este mismo sentido, la norma exige que el tratamiento de categorías especiales de datos, como son los relativos al origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical o los genéticos o biométricos, se limitará a aquellos supuestos en que resulta estrictamente necesario y concurran las condiciones indicadas en el art. 13.1 de la ley.
A fin de garantizar el cumplimiento de sus disposiciones, la ley establece un régimen sancionador específico y aplicable a los incumplimientos de la norma, al que se encuentran sujetos los responsables y los encargados de los tratamientos, los representantes de los encargados no establecidos en el territorio de la Unión Europea, y el resto de las personas físicas o jurídicas obligadas por el contenido del deber de colaboración proclamado por la norma, no incluyéndose entre éstos a los delegados de protección de datos.
En este sentido, la ley establece que las infracciones muy graves serán castigadas con multa 360.001 a 1.000.000 euros, las infracciones graves con multa de 60.001 a 360.000 euros y las infracciones leve con multa de 6.000 a 60.000 euros.
Por último, cabe mencionar que mediante las disposiciones finales de la ley se introducen una serie de modificaciones normativas en distintas leyes relacionadas con el ámbito del derecho penal, como son la Ley Orgánica 1/1979, de 26 de septiembre, General Penitenciaria, en relación con los tratamientos para la ejecución de la pena, la Ley 50/1981, de 30 de diciembre, reguladora del Estatuto Orgánico del Ministerio Fiscal, y la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial.
