El 16 de junio de 2021 entró en vigor la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.
Esta Ley Orgánica supone la transposición, con un retraso de tres años, de la Directiva 2016/680 y se integra en el marco normativo de protección de datos, en el que se incluye el Reglamento 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y la libre circulación de estos datos, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de Derechos Digitales.
El objetivo de esta Ley Orgánica 7/2021 es fijar las reglas específicas, diferenciadas del Reglamento 2016/679, para la utilización de datos personales por parte de las Fuerzas y Cuerpos de Seguridad del Estado o de los Jueces y Tribunales con motivo de investigaciones o enjuiciamientos de tipo penal.
Una de las cuestiones que plantea esta norma es el deber de colaboración con las Fuerzas y Cuerpos de Seguridad del Estado cuando éstos soliciten la cesión de datos personales con fines de investigación y enjuiciamiento de infracciones penales o para la ejecución de éstas.
Dicha cuestión no se preveía en la Directiva 2016/680 y ha sido expresamente regulada en el artículo 7 de la Ley Orgánica 7/2021, con una serie de reglas diferenciando la actuación de autoridades judiciales, Ministerio Fiscal o Policía Judicial, del resto de supuestos.
Entonces, cabe preguntarse: ¿se debe cumplir cualquier solicitud de las Fuerzas y Cuerpos de Seguridad del Estado para que se les faciliten datos personales? ¿Existen limitaciones?
Pues bien, habrá que analizar cada petición de manera específica y valorar si se cumplen los requisitos establecidos en el citado artículo, diferenciando si se trata de una petición de la Policía Judicial, en cuyo caso deberá cumplir los requisitos del artículo 549.1 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, y deberá efectuarse de manera motivada, concreta y específica; del resto de los casos, en los que solo se puede recabar los datos personales cuando sean necesarios para la prevención, detección e investigación de infracciones penales y para la prevención y protección frente a un peligro real y grave para la seguridad pública.
Se sigue, por tanto, la línea establecida por el artículo 22.2 de la derogada Ley Orgánica 15/1999, que posibilitaba que la policía recabara datos sin consentimiento de los interesados cuando fueran necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, así como por los deberes de colaboración previstos en otras normas como la Ley Orgánica 2/1986, de Fuerzas y Cuerpos de Seguridad y la Ley Orgánica 4/2015, de Protección de la Seguridad Ciudadana.
Igualmente, la regulación prevista en el citado artículo 7 de la Ley Orgánica 7/2021 sigue los requisitos exigidos en diversas resoluciones de la Agencia Española de Protección de Datos sobre esta cuestión, esto es:
“a) Que quede debidamente acreditado que la obtención de los datos resulta necesaria para la prevención de un peligro real y grave para la seguridad pública o para la represión de infracciones penales y que, tratándose de datos especialmente protegidos, sean absolutamente necesarios para los fines de una investigación concreta.
b) Que se trate de una petición concreta y específica, al no ser compatible con lo señalado anteriormente el ejercicio de solicitudes masivas de datos.
c) Que la petición se efectúe con la debida motivación, que acredite su relación con los supuestos que se han expuesto.
d) Que los datos sean cancelados “cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento”.
Ahora bien, cuando una normativa exija expresamente el requisito de la autorización del Fiscal o Juez competente para acceder a una determinada información, es necesario que la solicitud de los datos personales cumpla esa condición.
Eso ocurrirá, por ejemplo, respecto del acceso a historiales clínicos (de conformidad con la Ley 41/2002, de Autonomía del Paciente y de Derechos y Obligaciones en materia de información y documentación clínica) o a datos derivados de comunicaciones que afectan al secreto de estas.
En consecuencia, es necesario revisar los requisitos de la Ley de Enjuiciamiento Criminal, en lo que respecta a las garantías establecidas en la investigación tecnológica, ya que en determinados casos se requiere de autorización judicial.
Asimismo, hay que tener en cuenta que la propia normativa establece que, cuando se reciba una solicitud de este tipo, no se debe informar al interesado cuyos datos personales se solicitan, con el fin de no perjudicar a la investigación.
Por otro lado, la propia normativa establece que habrá que seguir determinadas cautelas cuando la autoridad que solicita los datos pertenece a otro Estado, dependiendo de si el Estado forma parte del Espacio Económico Europeo, de si, para ese Estado, existe una Decisión de Adecuación emitida por la Comisión Europea, o de si se trata de otro caso.
En esos casos, con carácter adicional a la base legal para la solicitud de la información, se exigirá el cumplimiento de cautelas específicas propias de las transferencias internacionales de datos.
En resumen, en caso de recibir una solicitud para aportar una serie de datos personales de una autoridad policial, será necesario atender a:
- El encaje de dicha solicitud dentro de lo establecido en el art.7 de la ley 7/2021.
- La legitimación del solicitante para recabar estos datos, de conformidad con la normativa.
- El cumplimiento de los requisitos de la AEPD para estas peticiones.
- En caso de que se trate de una autoridad de otro Estado, comprobar la aplicación de los requisitos específicos.
Por último, en relación con este deber de colaboración, hay que reseñar que su incumplimiento puede implicar, sin perjuicio de otras posibles responsabilidades, incluso penales, una infracción de la Ley Orgánica 7/2021, que podrá ser muy grave o grave, según las circunstancias, con sanciones de hasta 1.000.000 Euros.
Diego Gutiérrez | Socio
Ana Guerrero | Abogada
Jesús Méndez | Abogado
Comentarios recientes