Acceso usuarios
Tanto el Reglamento General de Protección de Datos como la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales, al regular la relación entre el responsable del tratamiento y el encargado del tratamiento establecen todo un catálogo de obligaciones. Entre ellas, que el encargado no puede contratar con otro encargado si no existe autorización previa por parte del responsable.
Siguiendo con el contenido de la norma europea, dos de sus apartados fundamentales lo constituyen tanto la regulación sobre la legitimación para el tratamiento de datos personales como la figura del delegado de protección de datos. Sobre la legitimación, el artículo 6 regula las bases legitimadoras para el tratamiento de datos personales, siendo una de ellas la ejecución de un contrato. En ocasiones, esta base no cubre todo el tratamiento de datos personales, como puede ocurrir para las grabaciones de imágenes, en que será necesario la solicitud de un consentimiento previo y libre. En cuanto al delegado de protección de datos, se establece que sus funciones no pueden ser compatibles con aquellas que supongan un conflicto de intereses.
Y respecto al contenido de la norma española, en su Título X contiene los denominados «Derechos digitales», de los que podemos diferenciar dos grupos, puesto que uno de ellos, se les aplica la normativa de protección de datos de datos personales, y el otro no. Entre los del primer grupo se encuentra el artículo 90 sobre el «Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral», que posibilita su uso para el ejercicio de funciones de control de los trabajadores o empleados públicos, siempre y cuando se haya informado de manera previa a los afectados.
Analizamos en este artículo cuatro resoluciones sancionadoras de la AEPD que versan sobre todos estos temas.
Both the General Data Protection Regulation and Organic Law 3/2018, of 5 December, on the Protection of Personal Data and guarantee of digital rights, by regulating the relationship between the data controller and the data processor, establish a whole catalogue of obligations. Among them, that the manager cannot contract with another manager if there is no prior authorization from the person in charge.
Continuing with the content of the European regulation, two of its fundamental sections are both the regulation on the legitimacy for the processing of personal data and the figure of the data protection officer. Regarding legitimation, Article 6 regulates the legal bases for the processing of personal data, one of them being the execution of a contract. Sometimes, this database does not cover all the processing of personal data, as may be the case for image recordings, where the request for prior and free consent will be necessary. As for the data protection officer, it is established that their functions cannot be compatible with those that involve a conflict of interest.
And with regard to the content of the Spanish regulation, Title X contains the so-called «Digital Rights», of which we can differentiate two groups, since one of them is subject to the regulations on the protection of personal data and the other is not. Among those in the first group is Article 90 on the «Right to privacy in the face of the use of geolocation systems in the workplace», which makes it possible to use them for the exercise of control functions of workers or public employees, as long as those affected have been informed in advance.
In this article, we analyse four sanctioning resolutions of the AEPD that deal with all these issues.
