Source: https://xnet-x.net/proteccion-datos-censo-propaganda-electoral/
Timestamp: 2020-07-16 14:14:40+00:00

Document:
Abusos en el ámbito electoral: protección de datos en el censo
4 – CÓMO HEMOS LLEGADO A QUE NOS PAREZCA NORMAL QUE LOS DATOS DEL PADRÓN MUNICIPAL ACABEN EN MANOS DE LOS PARTIDOS POLÍTICOS
RECOMENDACIONES DE BUENAS PRÁCTICAS PARA LAS ADMINISTRACIONES PÚBLICAS
Anteriores a las modificaciones de la Ley para crear un marco más favorable al respeto de las libertades fundamentales
Apuntes sobre los tratamientos llevados a cabo por parte de los Ayuntamientos
a. Recogida de los datos: Inscripción al Padrón Municipal de habitantes
b. Comunicación de los datos: al Instituto Nacional de Estadística. Actualización de los datos del Padrón Municipal de Habitantes
Apuntes sobre los tratamientos llevados a cabo por parte de la Oficina del Censo Electoral
a. Comunicación de los datos: Inscripción al Censo Electoral y comunicación recibida de Ayuntamientos y Registros Civiles
b. Comunicación de los datos: Distribución de Copias del Censo a los partidos políticos y tratamiento por parte de los partidos
Apuntes sobre el ejercicio de derechos por parte de la ciudadanía
a. Derechos que pueden ejercerse en cualquier momento
b. Derechos cuyo ejercicio se limita al período electoral
ANÁLISIS DE LA JURISPRUDENCIA RELEVANTE
El derecho a la protección de datos es un derecho fundamental que garantiza a las personas el control sobre sus datos, sobre su uso y su destino. Debe ser respetado tanto por parte de entidades públicas como privadas. Aún así, hay excepciones previstas por la normativa a la aplicación de determinadas obligaciones que deberían cumplir, cuya consecuencia principal es que las personas pierdan el control efectivo sobre sus datos. Para que esto sea admisible desde el punto de vista de las libertades fundamentales, debe de haber muy buenos motivos para dichas excepciones.
En la normativa, existen excepciones en el caso de los datos que las personas inscriben en el Padrón de su Ayuntamiento, es decir, toda la población empadronada. Estos datos pasan a constituir el censo electoral. Existe una tradición decimonónica consentida por la ley que consiste en ceder esta base de datos exhaustiva de la población (incluyendo las direcciones privadas de víctimas, activistas, periodistas, abogados, etc.) a los partidos políticos, de toda índole política, incluso los más extremistas. Esta tradición que quizás pudo tener sentido cuando no existía otro modo de que las personas conocieran los programas electorales, ha perdurado con la televisión y ahora perdura con internet.
Tras examinar las Leyes que regulan tanto el padrón municipal de habitantes como el censo electoral, se puede deducir el flujo de los datos, desde que la persona se inscribe en el padrón de habitantes hasta la comunicación de estos datos a los partidos políticos. Es el siguiente:
CIUDADANO → AYUNTAMIENTO (Padrón) → INSTITUTO NACIONAL DE ESTADÍSTICA → AYUNTAMIENTO + REGISTRO CIVIL (para la actualización de los datos del Padrón) → OFICINA DEL CENSO ELECTORAL (Censo) → PARTIDOS POLÍTICOS.
Los datos que se proporcionan a los partidos políticos de cada elector son los siguientes: Nombre y apellidos, provincia y municipio de residencia, distrito, sección y mesa electoral, domicilio, fecha de nacimiento y nacionalidad para los electores extranjeros. Y en caso de los electores que viven en el extranjero, se incluye si se ha solicitado el voto, dónde se está inscrito a efectos electorales, domicilio, país de residencia y fecha de nacimiento.
Claro está que sería conveniente modificar la Ley del Régimen Electoral General para derogar esta comunicación y no permitir más la cesión masiva de datos que viene produciéndose desde 1985.
Así debería ser si queremos una democracia en la que sea la ciudadanía la que tenga el control sobre sus instituciones y no al revés.
La ley que rige los tratamientos de datos personales en período electoral es la Ley Orgánica del Régimen Electoral General, aplicándose la Ley Orgánica de Protección de Datos y garantía de los derechos digitales y el Reglamento Europeo de Protección de Datos de forma subsidiaria, es decir, sólo en lo que la primera no ha previsto(1), pero incluso aquí el Tribunal Constitucional dictaminó que lo previsto en la LOREG no era suficiente para proteger debidamente los datos de la ciudadanía en la Sentencia 76/2019, de 22 de mayo, que declaró inconstitucional la recogida de datos ideológicos por los partidos y agrupaciones políticas. Pero el constitucional no entró a valorar la comunicación de datos del censo a los partidos, al no ser considerados “datos de categorías especiales”, es decir, datos sensibles.
Así, se perpetúa la comunicación a los partidos políticos por la LOREG, sin que la influencia del nuevo Reglamento europeo General de Protección de Datos haya servido para reflexionar sobre prácticas abusivas de los poderes públicos que se perpetúan en el tiempo. Al aprobar la nueva Ley Orgánica de Protección de Datos sólo se ha previsto la posibilidad de oponerse a que los datos sean enviados a los partidos, cuando creemos que debería ser al revés si queremos ser fieles al principio de privacidad desde el diseño y por defecto: se debería poder pedir ceder estos datos a los partidos para recibir la publicidad electoral y no haber de oponerse para no recibirla. Además el modo de ejercer este derecho de oposición (mediante certificado electrónico) puede dificultar que gran parte de la ciudadanía lo ejerza efectivamente.
El RGPD tampoco no protege en este caso, dejando esta circunstancia en mano de los Estados y debilitando el principio de la privacidad desde el diseño y por defecto que es uno de sus principios básicos.
Además de producirse dicha comunicación, en la mayoría de los casos las personas no son informadas cuando se inscriben al Padrón Municipal de habitantes de las futuras comunicaciones de sus datos personales a otras administraciones ni a los partidos políticos ni tampoco para qué van a utilizar sus datos estas entidades. Esto vulnera uno de los principios esenciales del Reglamento Europeo de Protección de Datos, el principio de transparencia, que implica el conocimiento por parte de las personas, cuando proporcionan sus datos, de los usos a los que estos estarán destinados y a quienes serán comunicados en su caso, además de la obligación de ofrecer la posibilidad de oponerse a ello.
En base a todas estas consideraciones, pedimos un cambio en la ley para una democracia actualizada y mejor.
Fruto del análisis realizado, para garantizar y proteger el derecho de las personas a conocer y controlar el destino y uso de sus datos, en línea con la legislación europea sobre la protección de datos personales, desde XNet recomendamos:
•	Derogar la comunicación a los partidos políticos de los datos recogidos en el Censo electoral
Los datos personales no deberían ser objeto de cesión masiva a los partidos políticos por parte de las autoridades públicas. Debe eliminarse dicha comunicación que se lleva a cabo por defecto y a la que actualmente uno debe oponerse de forma expresa.
Podría preverse la fórmula contraria a la existente actualmente: quien quiera recibir propaganda electoral que así lo indique, sin que los datos del resto de la ciudadanía pasen a manos de los partidos políticos.
ANTERIORES A LA MODIFICACIÓN DE LA LEY PARA IMPULSAR SU APLICACIÓN
•	En el momento de la recogida de datos de empadronamiento, informar correctamente a la ciudadanía sobre las distintas finalidades para las que se van a utilizar sus datos ulteriormente así como las comunicaciones de datos que se llevaran a cabo de forma previsible y las finalidades de las mismas, indicando, si es necesario la Ley en que están previstas. Estudiar fórmulas que permitan la opción de oposición en el acto.
Derogación de los apartados 5 y 6 del artículo 41 de la Ley Orgánica del Régimen Electoral General.
“(…) 5. Los representantes de cada candidatura podrán obtener dentro de los dos días siguientes a la proclamación de su candidatura una copia del censo del distrito correspondiente, ordenado por mesas, en soporte apto para su tratamiento informático, que podrá ser utilizado exclusivamente para los fines previstos en la presente Ley. Alternativamente los representantes generales podrán obtener en las mismas condiciones una copia del censo vigente de los distritos donde su partido, federación o coalición presente candidaturas. Asimismo, las Juntas Electorales de Zona dispondrán de una copia del censo electoral utilizable, correspondiente a su ámbito.
6. Excepcionalmente y por razones debidamente justificadas, podrá excluirse a las personas que pudieran ser objeto de amenazas o coacciones que pongan en peligro su vida, su integridad física o su libertad, de las copias del censo electoral a que se refiere el apartado 5 del presente artículo.”
Para alcanzar el fin propuesto debemos solicitar, además, la enmienda o derogación, según los casos, de las disposiciones reglamentarias que desarrollan el artículo 41.5 de la LOREG.
Derogación de los puntos primero a sexto relativos a la solicitud de copias del Censo Electoral de la Orden de 3 de febrero de 1987 por la que se regula la distribución de copias del Censo Electoral en soporte magnético y la expedición de certificados de inscripción en el Censo Electoral
Una vez terminada la revisión anual del Censo Electoral, cada Comunidad Autónoma podrá obtener, en cinta magnética, una sola copia del referido censo, a petición del Órgano competente de la Comunidad Autónoma. La petición habrá de ser dirigida al Director de la Oficina del Censo Electoral.
1. En la convocatoria de elecciones, los representantes generales de cada partido, federación o coalición podrán obtener, a partir del día de la proclamación de candidatos, una copia en cinta magnética del Censo Electoral de los distritos donde la respectiva entidad política haya presentado candidatos.
2. En el caso de que, dentro del período anual de revisión del Censo Electoral, se convoquen varios procesos electorales aquellos partidos, federaciones o coaliciones que hayan obtenido ya copia del Censo Electoral en soporte magnético, no podrán volver a solicitar nueva copia, salvo que se justifique el deterioro de la copia anterior.
Si un partido o coalición no hubiera solicitado a través de su representante general el Censo Electoral de la totalidad de los distritos en que se presenta, el representante de la candidatura de cada distrito podrá obtener una copia en cinta magnética del censo de su correspondiente distrito, en las condiciones indicadas en el punto precedente.
1. El plazo para solicitar las copias del Censo Electoral en soporte magnético por los partidos políticos, federaciones, coaliciones o agrupaciones de electores, será el que medie entre el día de la designación de representante y el de la proclamación de candidatos, quedando condicionada la solicitud a la confirmación de la referida proclamación.
2. La entrega de la copia solicitada se efectuará en la Sede Central de la Oficina del Censo Electoral si se trata de una petición que abarque más de una distrito electoral o en la correspondiente Delegación Provincial de la misma, cuando la petición sea uniprovincial y será realizada al representante de la entidad política solicitante, o a persona suficientemente autorizada por éste.
Los derechos reconocidos en los dos puntos anteriores corresponden, en materia de referéndum, a los grupos políticos comprendidos en el artículo 11. 2 de la Ley Orgánica de las distintas modalidades de referéndum.
Quienes hayan obtenido copias del Censo Electoral en soporte magnético, quedan sometidos a la prohibición de facilitar cualquier tipo de información particularizada sobre datos personales incluidos en el censo, conforme a lo dispuesto en el artículo 41. 2 de la Ley 5/1985.”
Enmienda del artículo 5 del Real Decreto 1799/2003, de 26 de diciembre, por el que se regula el contenido de las listas electorales y de las copias del censo electoral, que quedaría redactado como sigue:
“Artículo 5. Copias del censo electoral.
1. Las copias del censo electoral que se faciliten en virtud de lo dispuesto en el artículo 41, apartado 4, de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, contendrán a los electores ordenados de igual forma que en las listas de votación, con las exclusiones que correspondan por la aplicación del artículo 6 de este real decreto.
2. Los datos de cada elector serán los siguientes:
2.1 Electores residentes en España (españoles y nacionales de otros Estados con derecho de voto en España).
2.2 Electores residentes-ausentes que viven en el extranjero:
3. En las copias para las Juntas Electorales de Zona se incluirá el número del identificador personal: Documento Nacional de Identidad, pasaporte o inscripción en el Registro Central de Extranjeros.”
Multitud de tratamientos son realizados por los Ayuntamientos tras la inscripción al Padrón municipal. En este informe nos concentraremos en los tratamientos relacionados con las distintas transmisiones de datos del flujo de datos mencionado, analizando los datos que son recogidos y comunicados, la base jurídica que los legitima, su finalidad y la información que se proporciona, o no, a los interesados.
La inscripción al padrón municipal de habitantes es una obligación que debe cumplir “toda persona que viva en España” y que se encuentra establecida en el artículo 15 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local (en adelante, LRBRL):
“Toda persona que viva en España está obligada a inscribirse en el Padrón del municipio en el que resida habitualmente. Quien viva en varios municipios deberá inscribirse únicamente en el que habite durante más tiempo al año.
La condición de vecino se adquiere en el mismo momento de su inscripción en el Padrón.”
Vemos, por lo tanto, que la Ley impone la obligación a la población de inscribirse al padrón, el cumplimiento de obligaciones legales constituyendo una base jurídica legitimadora del tratamiento de acuerdo con el Reglamento (UE) 2016/679 General de Protección de Datos (en adelante, RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (en adelante, LOPDGDD).
Aun así, la LRBRL obliga a las personas y no a las instituciones, por lo tanto, la recogida de los datos para la inscripción del padrón se fundamentaría en el ejercicio de poderes públicos del Ayuntamiento, previsto también tanto en el RGPD como en la LOPDGDD:
Artículo 6.1.c) RGPD: “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.”
Artículo 8.1 LOPDGDD: “El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.”
Artículo 6.1.e) RGPD: “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.”
Artículo 8.2 LOPDGDD: “El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.”
Los datos recogidos para realizar la inscripción en el Padrón se encuentran enumerados en el artículo 16.2 de la LRBRL según el cual es obligatorio solicitar ciertos datos, además de lo que “puedan ser necesarios para la elaboración del Censo Electoral”, dejando que sea otra norma la que establezca cuales son necesarios para la elaboración del censo.
“La inscripción en el Padrón municipal contendrá como obligatorios sólo los siguientes datos:
•	Número de la tarjeta de residencia en vigor, expedida por las autoridades españolas, o en su defecto, número del documento acreditativo de la identidad o del pasaporte en vigor expedido por las autoridades del país de procedencia, tratándose de ciudadanos nacionales de Estados Miembros de la Unión Europea, de otros Estados parte en el Acuerdo sobre el Espacio Económico Europeo o de Estados a los que, en virtud de un convenio internacional se extienda el régimen jurídico previsto para los ciudadanos de los Estados mencionados.
•	Número de identificación de extranjero que conste en documento, en vigor, expedido por las autoridades españolas o, en su defecto, por no ser titulares de éstos, el número del pasaporte en vigor expedido por las autoridades del país de procedencia, tratándose de ciudadanos nacionales de Estados no comprendidos en el inciso anterior de este párrafo, salvo que, por virtud de Tratado o Acuerdo Internacional, disfruten de un régimen específico de exención de visado en materia de pequeño tráfico fronterizo con el municipio en el que se pretenda el empadronamiento, en cuyo caso, se exigirá el correspondiente visado.
h) Cuantos otros datos puedan ser necesarios para la elaboración del Censo Electoral, siempre que se garantice el respeto a los derechos fundamentales reconocidos en la Constitución.”
La finalidad del tratamiento también se encuentra establecida en el artículo 16.1 de la LRBRL, sirviendo como prueba de la residencia en el municipio.
“El Padrón municipal es el registro administrativo donde constan los vecinos de un municipio. Sus datos constituyen prueba de la residencia en el municipio y del domicilio habitual en el mismo. Las certificaciones que de dichos datos se expidan tendrán carácter de documento público y fehaciente para todos los efectos administrativos.
La inscripción en el Padrón Municipal sólo surtirá efecto de conformidad con lo dispuesto en el artículo 15 de esta ley por el tiempo que subsista el hecho que la motivó y, en todo caso, deberá ser objeto de renovación periódica cada dos años cuando se trate de la inscripción de extranjeros no comunitarios sin autorización de residencia permanente. […]”
Sobre la información que debe proporcionarse a los interesados, es importante tener en cuenta el principio de transparencia establecido en el artículo 5 del RGPD, referido, en gran parte, a la información de qué deben disponer los interesados cuando sus datos personales van a ser objeto de tratamiento, para que puedan controlar los usos que se hacen de estos datos y quién tiene acceso a los mismos, o en otras palabras, a quién pueden ser comunicados. Este principio se ha visto reforzado con la entrada en vigor del RGPD, que ha incrementado las obligaciones informativas de los responsables y en consecuencia el derecho de información de los interesados. El artículo 12 y los considerandos 39 y 58 del RGPD concretan este principio y establecen que esta información debe permitir que el interesado sepa y comprenda cual es la finalidad del tratamiento y los datos que se recogen, detalles que en este caso se encuentran establecidos en la Ley, además de informar sobre la identidad del responsable. La información debe ser gratuita, clara, transparente, accesible y fácil de entender, utilizando un lenguaje sencillo, pudiendo utilizar incluso iconos.
Artículo 12. Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado.
“1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
(…) 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito.
(…) 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. (…)”
Considerando (39) “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento.
Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.”
Considerando (58) “El principio de transparencia exige que toda información dirigida al público o al interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante un sitio web. Ello es especialmente pertinente en situaciones en las que la proliferación de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el interesado saber y comprender si se están recogiendo, por quién y con qué finalidad, datos personales que le conciernen, como es en el caso de la publicidad en línea. Dado que los niños merecen una protección específica, cualquier información y comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y sencillo que sea fácil de entender.”
Los artículos 13 y 14 del RGPD y el artículo 11 de la LOPDGDD establecen la información concreta que debe proporcionarse a los interesados según si el responsable del tratamiento, en este caso el Ayuntamiento, recoge los datos directamente de los interesados o por el contrario son recogidos de otras fuentes. En este caso, el Ayuntamiento recoge directamente de los interesados los datos, por lo tanto, son aplicables los artículos 13 del RGPD y 11.1 y 2 de la LOPDGDD.
Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado.
La única excepción existente para no tener que proporcionar dicha información es que el interesado ya disponga de ella. Como podrá observarse, el resto de entidades entre las que se comparte la información del Padrón, el Ayuntamiento y el Registro Civil son los únicos que deben informar a los interesados ya que otras excepciones son aplicables en su caso. Así es necesario incidir en la obligación de los Ayuntamientos de informar de los destinatarios de los datos o categorías de destinatarios de los datos.
Por su parte, el artículo 11 de la LOPDGDD reduce considerablemente la información que debe proporcionarse en un primer momento al interesado, en la cual no incluye los posibles destinatarios de los datos:
Así, los interesados sólo podrán saber quienes son los posibles destinatarios de los datos cuando soliciten mayor información sobre el tratamiento de sus datos o cuando consulten el Registro de Actividades del Tratamiento dónde también deben preverse “las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales” (artículo 30.1.d) del RGPD), que de acuerdo con el artículo 31.2 de la LOPDGDD debe hacerse público por parte de las entidades previstas en el artículo 77.1 de la misma, entre las cuales se encuentran las “entidades que integran la Administración Local”. Concretamente, el Registro de Actividades del Tratamiento debe publicarse en la sede de transparencia de la entidad, de acuerdo con la Disposición Final 11ª de la LOPDGDD.
El artículo 16.3 de la LRBRL menciona que los datos del Padrón se comunicarán a otras Administraciones públicas que lo soliciten sin consentimiento del afectado cuando sean necesarios para el ejercicio de sus respectivas competencias.
“3. Los datos del Padrón Municipal se cederán a otras Administraciones públicas que lo soliciten sin consentimiento previo al afectado solamente cuando les sean necesarios para el ejercicio de sus respectivas competencias, y exclusivamente para asuntos en los que la residencia o el domicilio sean datos relevantes. También pueden servir para elaborar estadísticas oficiales sometidas al secreto estadístico, en los términos previstos en la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública y en las leyes de estadística de las comunidades autónomas con competencia en la materia.”
Vemos que la práctica más común cuando se informa a los interesados para indicar cuáles son los destinatarios de los datos es hacer mención a categorías genéricas como “otras Administraciones Públicas” o mencionar solamente los destinatarios, sin mencionar la base jurídica concreta que legitima la comunicación de datos, es decir, la ley que la establece, ni la finalidad concreta del tratamiento. Creemos que debería rectificarse urgentemente esta práctica para que los interesados puedan saber en todo momento cual es el destino de sus datos personales, por quién serán utilizados y puedan oponerse a ello.
b. Comunicación de los datos: al Instituto Nacional de Estadística. Actualización de los datos del Padrón Municipal de Habitantes.
La comunicación de los datos recogidos por los Ayuntamientos para la inscripción al Padrón municipal de habitantes al Instituto Nacional de Estadística se encuentra prevista en el artículo 17.3 de la LRBRL:
“Los Ayuntamientos remitirán al Instituto Nacional de Estadística los datos de sus respectivos Padrones, en la forma que reglamentariamente se determine por la Administración General del Estado, a fin de que pueda llevarse a cabo la coordinación entre los Padrones de todos los municipios.
El Instituto Nacional de Estadística remitirá trimestralmente a los Institutos estadísticos de las comunidades autónomas u órganos competentes en la materia, y en su caso, a otras Administraciones públicas los datos relativos a los padrones en los municipios de su ámbito territorial en los que se produzcan altas o bajas de extranjeros en las mismas condiciones señaladas en el artículo 16.3 de esta ley.”
El artículo entonces supone la base jurídica para la comunicación de los datos de los Ayuntamientos al Instituto Nacional de Estadística (en adelante, INE), ya que es obligación de los Ayuntamientos remitir esta información de acuerdo con el mismo. Así el tratamiento se encuentra legitimado por el cumplimiento de una obligación legal aplicable al responsable del tratamiento (artículo 6.1.c) del RGPD y 8.1 de la LOPDGDD).
Como menciona el artículo, la finalidad es la de elaborar estadísticas de población a nivel nacional y actualizar los datos que serán finalmente enviados por los Ayuntamientos a la Oficina del Censo Electoral. El INE por lo tanto recoge los datos de todos los Ayuntamientos para cruzarlos y ver si hay diferencias entre ellos. Por ejemplo, si alguien empadronado en el municipio X se encuentra empadronado más tarde en el municipio Y, cuando el INE remita de nuevo los datos a los Ayuntamientos, el municipio X deberá modificar los datos que tiene sobre la persona que está empadronada en otro municipio. La obligación de actualizar los datos del Padrón Municipal de Habitantes por parte de los Ayuntamientos se encuentra prevista en el artículo 17.1 y 2 de la LRBRL:
“1. La formación, mantenimiento, revisión y custodia del Padrón municipal corresponde al Ayuntamiento, de acuerdo con lo que establezca la legislación del Estado.
Si un ayuntamiento no llevara a cabo dichas actuaciones, el Instituto Nacional de Estadística, previo informe del Consejo de Empadronamiento, podrá requerirle previamente concretando la inactividad, y si fuere rechazado, sin perjuicio de los recursos jurisdiccionales que procedan, podrá acudir a la ejecución sustitutoria prevista en el artículo 60 de la presente ley.”
La cuestión que debe tratase aquí es si el INE debe informar a los interesados sobre la comunicación de los datos por parte de los Ayuntamientos y el tratamiento que lleva a cabo. El artículo 14 del RGPD y el artículo 11.3 de la LOPDGDD recogen la obligación de informar en caso de no recoger los datos directamente del interesado, añadiendo que debe informarse de la fuente de los datos y las categorías de datos que se tratan.
Pero el artículo 14.5 del RGPD establece excepciones a la aplicación de este deber, entre las cuales se encuentra la prevista en la letra c):
“5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que: (…)
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, (…)”
Por lo tanto, el INE no debe informar individualmente a los interesados porque la comunicación de los datos se encuentra establecida por el Derecho del Estado Español y si no lo ha advertido el Ayuntamiento al momento de recoger la información, este es un tratamiento que la ciudadanía no conoce al momento de proporcionar sus datos personales y sobre el que no goza de control alguno.
Podría discutirse que el INE debe informar a los interesados del tratamiento de sus datos por tratarlos para finalidades distintas de las indicadas o previstas en el momento de la recogida por el Ayuntamiento de acuerdo con el artículo 13.3 del RGPD que establece que el responsable del tratamiento deberá facilitar al interesado, antes de realizar el tratamiento con finalidades distintas de las de la recogida, la información sobre estas finalidades:
“3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.”
En efecto, el artículo 6.4 y el considerando 50 del RGPD establecen que sólo podrán tratarse los datos para fines distintos de los de la recogida cuando el tratamiento posterior de los mismos sea compatible con los fines de su recogida inicial, teniendo en cuenta el contexto de recogida de los datos y la naturaleza de los mismos, la relación del interesado con el responsable del tratamiento y las expectativas razonables del interesado respecto al tratamiento de sus datos.
Artículo 6. Licitud del tratamiento.
“4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
Considerando (50) “El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. En tal caso, no se requiere una base jurídica aparte, distinta de la que permitió la obtención de los datos personales. Si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los cometidos y los fines para los cuales se debe considerar compatible y lícito el tratamiento ulterior se pueden determinar y especificar de acuerdo con el Derecho de la Unión o de los Estados miembros. Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles. La base jurídica establecida en el Derecho de la Unión o de los Estados miembros para el tratamiento de datos personales también puede servir de base jurídica para el tratamiento ulterior. (…)”
Para los tratamientos de datos personales que hacen referencia a la Ley Orgánica del Régimen Electoral General (en adelante, LOREG) deberá tenerse en cuenta todo lo previsto en la misma porque el artículo 2.3 de la LOPDGDD establece que su aplicación en este caso sólo será supletoria:
“(…) 3. Los tratamientos a los que no sea directamente aplicable el Reglamento (UE) 2016/679 por afectar a actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión Europea, se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado reglamento y en la presente ley orgánica. Se encuentran en esta situación, entre otros, los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, los tratamientos realizados en el ámbito de instituciones penitenciarias y los tratamientos derivados del Registro Civil, los Registros de la Propiedad y Mercantiles.”
Esta regulación no solo se refiere a la contenida en la LOREG sino también a la multitud de disposiciones reglamentarias sobre el censo electoral a las que esta se remite.
El artículo 32 de la LOREG establece que la inscripción en el censo electoral es obligatoria y que son los Ayuntamientos quienes tramitan de oficio la inscripción en el mismo de quienes residen en su término municipal.
“1. La inscripción en el censo electoral es obligatoria. Además del nombre y los apellidos, único dato necesario para la identificación del elector en el acto de la votación, sin perjuicio de lo dispuesto en el artículo 85, se incluirá entre los restantes datos censales el número del Documento Nacional de Identidad.
2. Los Ayuntamientos tramitan de oficio la inscripción de los residentes en su término municipal.”
Según este mismo artículo los únicos datos que son necesarios para la elaboración del censo son el nombre, apellidos y DNI, y para acreditar la identidad el día de la votación deberá hacerse mediante el DNI o en su defecto el pasaporte o permiso de conducir o tarjeta de residencia en el caso de extranjeros (artículo 85 de la LOREG). Estos datos se encuentran detallados en el artículo 2.1 del Real Decreto 157/1996, de 2 de febrero, por el que se dispone la actualización mensual del censo electoral y se regulan los datos necesarios para la inscripción en el mismo.
“1. La inscripción en el censo electoral contendrá los siguientes datos:
Número del documento nacional de identidad. […]”
Artículo 3: Información del Registro Civil.
“Los encargados del Registro Civil comunicarán mensualmente a las delegaciones provinciales de la Oficina del Censo Electoral cualquier circunstancia que pueda afectar a las inscripciones en el censo electoral, en particular por:
e) Declaración de modificación judicial de la capacidad en la que se prive expresamente a la persona con capacidad modificada judicialmente del derecho de sufragio activo.”
Por lo tanto, puede observarse que los datos que contiene el censo son similares a los previstos por el artículo 16.2 de la LRBRL y el legislador no ha hecho uso de la habilitación prevista por el mismo.
La finalidad del tratamiento por parte de la Oficina del Censo Electoral es la de gestionar las personas físicas que tienen reconocido su derecho al sufragio activo y se encuentra determinada por el artículo 31.1. de la LOREG:
“1. El censo electoral contiene la inscripción de quienes reúnen los requisitos para ser elector y no se hallen privados, definitiva o temporalmente, del derecho de sufragio.”
Para la cuestión relativa a la información de los interesados, la LOREG no establece nada al efecto y por lo tanto, la Oficina del Censo Electoral debería seguir las normas previstas tanto por el RGPD como por la LOPDGDD. En este punto vemos que los datos no son obtenidos por la Oficina del Censo directamente del interesado y por lo tanto es de aplicación el artículo 14 del RGPD y la misma excepción aplicable en el caso del INE. En consecuencia, la Oficina del Censo Electoral no debe informar a los electores sobre el tratamiento de sus datos aunque esta afirmación podría discutirse al ser tratados los datos con finalidades distintas de las de su recogida.
b. Actualización de los datos del Censo Electoral
En lo que respecta a la actualización de los datos, que también debería llevarse a cabo de acuerdo con los principios previstos en el artículo 5 del RGPD, la LOREG establece una regulación específica en sus artículos 34 y siguientes:
Además, existe una regulación específica de la actualización de los datos del censo por medio del Real Decreto 157/1996, de 2 de febrero, antes mencionado, la Orden EHA/642/2011, de 25 de marzo, del Ministerio de Economía y Hacienda, por la que se dictan normas técnicas para la actualización mensual del Censo Electoral(2) y la Resolución de 19 de julio de 1996, de la Dirección de la Oficina del Censo Electoral, por la que se aprueban los modelos referidos en la Orden de 24 de abril de 1996 por la que se dictan normas técnicas para la actualización del censo electoral(3).
Artículo 1: Procedimiento para la actualización mensual del censo electoral.
“1. La Oficina del Censo Electoral procederá a realizar la actualización del censo electoral con referencia al día primero de cada mes, conforme establece el artículo 34 de la Ley Orgánica del Régimen Electoral General.
2. A tal fin, los ayuntamientos remitirán mensualmente a las delegaciones provinciales de la Oficina del Censo Electoral la información de las altas, bajas y modificaciones de los datos de los residentes en sus respectivos términos municipales, conforme establece el artículo 35 de la Ley Orgánica del Régimen Electoral General. […]”
b. Comunicación de los datos: Distribución de Copias del Censo a los partidos políticos y tratamiento por parte de los partidos.
Cuando el Tribunal Constitucional declaró inconstitucional(4) el apartado 1 del artículo 58bis de la LOREG, incorporado por la Disposición final tercera, apartado dos de la LOPDGDD, y durante los meses precedentes a la sentencia, se discutió ampliamente sobre la facultad de los partidos políticos de recoger datos de los electores de sus perfiles de redes sociales u otras fuentes, pero no se discutió tanto sobre la comunicación de datos a los partidos políticos de los datos incluidos en el censo y de las consecuencias que esta comunicación puede tener sobre los electores.
Esta comunicación de datos se encuentra prevista en el artículo 41.5 de la LOREG que establece que los representantes de cada candidatura podrán obtener una copia del censo en formato informático.
“5. Los representantes de cada candidatura podrán obtener dentro de los dos días siguientes a la proclamación de su candidatura una copia del censo del distrito correspondiente, ordenado por mesas, en soporte apto para su tratamiento informático, que podrá ser utilizado exclusivamente para los fines previstos en la presente Ley. Alternativamente los representantes generales podrán obtener en las mismas condiciones una copia del censo vigente de los distritos donde su partido, federación o coalición presente candidaturas. Asimismo, las Juntas Electorales de Zona dispondrán de una copia del censo electoral utilizable, correspondiente a su ámbito.
Las Juntas Electorales, mediante resolución motivada, podrán suspender cautelarmente la entrega de las copias del censo a los representantes antes citados cuando la proclamación de sus candidaturas haya sido objeto de recurso o cuando se considere que podrían estar incursas en alguna de las circunstancias previstas en el artículo 44.4 de esta Ley.”
El primer apartado del artículo 41 de la LOREG habilita a que se regule mediante Real Decreto el contenido de las listas electorales y de las copias del censo, lo cual se hizo mediante el Real Decreto 1799/2003, de 26 de diciembre, por el que se regula el contenido de las listas electorales y de las copias del censo electoral, cuyo artículo 5 contiene los plazos en que se entregarán a las candidaturas las copias y los datos que las mismas contendrán:
“1. Las copias del censo electoral que se faciliten en virtud de lo dispuesto en el artículo 41, apartados 4 y 5, de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, contendrán a los electores ordenados de igual forma que en las listas de votación, con las exclusiones que correspondan por la aplicación del artículo 6 de este real decreto.
g) Fecha de nacimiento: día, mes y año. (…)”
Además, encontramos la Orden de 3 de febrero de 1987 por la que se regula la distribución de copias del Censo Electoral en soporte magnético y la expedición de certificados de inscripción en el Censo Electoral, y la Instrucción 4/2009, de 17 de diciembre, de la Junta Electoral Central, sobre actuaciones de la Oficina del Censo Electoral en relación a la entrega de copias del censo electoral a las candidaturas y al envío de la documentación para ejercer el voto por correo donde se establece el plazo para solicitar las copias del censo en su primer punto:
“1. Plazo para que los representantes de las candidaturas puedan solicitar las copias del censo electoral.
El plazo normal para que los representantes de las candidaturas puedan solicitar las copias del censo electoral a que tienen derecho en aplicación de lo dispuesto en el artículo 41.5 de la LOREG es el que establece el artículo 4.º de la Orden de 3 de febrero de 1987, del Ministerio de Economía y Hacienda, por la que se regula la distribución de copias del censo electoral en soporte magnético y la expedición de certificados de inscripción en el censo electoral; es decir, el plazo que media entre el día de la designación de representante y el de la proclamación de candidatos, quedando condicionada la solicitud de copias a la confirmación de la referida proclamación.
En tanto permanezca vigente la referida Orden Ministerial de 3 de febrero de 1987 es preciso hacer una interpretación de dicha previsión reglamentaria a la luz del derecho fundamental a la participación política reconocido en el artículo 23 de la Constitución, lo que lleva a entender que las solicitudes presentadas tras la finalización de ese plazo puedan, excepcionalmente, ser atendidas por la Oficina del Censo Electoral, previa autorización expresa de la Junta Electoral Provincial competente, siempre que, en el momento de la solicitud, la entrega de la copia del censo pudiera todavía servir para el cumplimiento de los fines previstos legalmente.”
Sin embargo, ni la base jurídica que legitima el tratamiento, ni la finalidad de esta comunicación de datos no se establece en ninguno de los tres textos mencionados, ni tampoco se establece obligación, por parte de los partidos políticos de informar a los electores sobre el tratamiento de sus datos. Entendemos, por lo tanto, que es de aplicación la LOPDGDD en lo no previsto por la LOREG, al ser aplicable supletoriamente.
Sobre la base jurídica del tratamiento, el artículo 41 de la LOREG establece que los partidos políticos podrán obtener una copia del censo, lo que constituye una posibilidad y no una obligación legal (artículo 6.1.c del RGPD y 8.1 de la LOPDGDD). Tampoco es aplicable la base jurídica del consentimiento (artículo 6.1.a del RGPD) porque, como se verá más adelante, la ciudadanía tiene el derecho de oponerse a que su nombre se incluya en la lista pero no deben consentir a ello. La comunicación de datos por parte de la Oficina del Censo goza de base jurídica del tratamiento al tratarse de una competencia atribuida por una norma con rango de ley, pero no goza de base jurídica el tratamiento por parte de los partidos políticos, salvo considerar que se encuentra legitimado por el interés legítimo de los mismos (artículo 6.1.f) del RGPD).
El artículo 5 del RGPD establece el principio de “limitación de la finalidad” según el cual los datos personales serán “recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines”.
Para modificar la LOREG para que no establezca dicha comunicación de datos podemos además apoyarnos en el principio de minimización de datos establecido por el artículo 5.1.c) del RGPD y el principio de privacidad desde el diseño y por defecto del artículo 25 del RGPD.
Para más complejidad – e incumplimientos – debe incidirse en el hecho de que los partidos, una vez disponen de los datos del censo deben cumplir con ciertas medidas previstas por la normativa que desarrolla la LOREG. Una de estas medidas, de acuerdo con la Orden de 3 de febrero de 1987 por la que se regula la distribución de copias del Censo Electoral en soporte magnético y la expedición de certificados de inscripción en el Censo Electoral, es la prohibición de facilitar cualquier tipo de información particularizada sobre datos personales incluidos en el censo, conforme el artículo 41.2 de la LOREG.
También se prevé, en la Instrucción 4/2009 antes mencionado un compromiso de utilización de las copias del censo y la obligación de inmediata eliminación de las mismas tras la conclusión del proceso electoral:
“3. Compromiso de utilización de las copias del censo electoral y exención de la obligación de devolución de éstas.
El artículo 41.5 de la LOREG señala que las copias del censo electoral que pueden obtener los representantes de las candidaturas deben facilitarse en soporte apto para su tratamiento informático, añadiendo que dichas copias sólo podrán ser utilizadas exclusivamente para los fines previstos en la citada ley. […]
A la vista de las consideraciones anteriores, esta Junta Electoral Central ha decidido modificar su anterior doctrina, eliminando el deber de devolución de los soportes entregados a las candidaturas. A cambio, se estima necesario reforzar el compromiso de los representantes de las candidaturas de no conservación de la información total o parcial relativa a las copias del censo electoral.
En conclusión, debe entenderse suprimida la obligación de los representantes de las candidaturas de devolver las copias del censo electoral entregadas, si bien, en el momento de su recepción los responsables de la candidatura habrán de firmar una declaración en la que asumirán el compromiso de no utilizar las copias del censo electoral para fines no previstos en la LOREG, y la obligación de inmediata eliminación de dicha información tras la conclusión del proceso electoral.”
Esta eliminación sin embargo, choca con lo previsto en la Orden de 3 de febrero de 1987, también mencionada anteriormente, la cual en su punto segundo, en el apartado segundo dispone lo siguiente:
“2. En el caso de que, dentro del período anual de revisión del Censo Electoral, se convoquen varios procesos electorales aquellos partidos, federaciones o coaliciones que hayan obtenido ya copia del Censo Electoral en soporte magnético, no podrán volver a solicitar nueva copia, salvo que se justifique el deterioro de la copia anterior.”
Consideramos que estas medidas no son suficientes teniendo en cuenta la voluntad tanto del RGPD como de la LOPDGDD de mejorar la protección de los datos personales de la ciudadanía y abogamos por lo tanto por la modificación de la LOREG en los términos mencionados.
Deben diferenciarse dos momentos de ejercicio de los derechos en el régimen establecido por la LOREG y su normativa de desarrollo:
El derecho de acceso es el derecho que tiene cada elector de solicitar un certificado personal de inscripción en el Censo Electoral, ya sea para conocer los datos personales que figuren en el mismo o por otros motivos particulares. Este derecho se encuentra previsto en distintos artículos de la LOREG:
•	El artículo 38.1 de la LOREG prevé que “Con los datos consignados en los artículos anteriores, las Delegaciones Provinciales de la Oficina del Censo Electoral mantendrán a disposición de los interesados el censo actualizado para su consulta permanente, que podrá realizarse a través de los Ayuntamientos, Consulados o en la propia Delegación Provincial.”
•	El artículo 41 de la LOREG regula, como se ha observado, el acceso al censo por parte de los partidos políticos, entre otros.
•	Los artículos 72 y 73 de la LOREG regulan la emisión de certificados de inscripción en el censo para el voto por correo, su contenido desarrollándose por los Reales Decretos 1732/1985 y 1733/1985, ambos del 24 de septiembre.
La Orden de 3 de febrero de 1987 por la que se regula la distribución de copias del Censo Electoral en soporte magnético y la expedición de certificados de inscripción en el Censo Electoral, prevé específicamente el modo de solicitud del acceso por parte de los electores a los datos que constan en el Censo electoral, concretamente para solicitar la certificación de inscripción en el Censo Electoral:
“1. El elector que solicite certificación de inscripción en el Censo Electoral, deberá hacer constar en la solicitud los datos indicados en el punto 7.o 1 de esta Orden (además del nombre y apellidos de ésta, la fecha y el lugar de nacimiento (municipio y provincia) y la residencia de dicha persona en la fecha de referencia del Censo Electoral vigente, con expresión de la vía urbana y número, así como el municipio y la provincia en que estaba inscrito en el Padrón Municipal de Habitantes como residente).
2. La solicitud deberá hacerse personalmente en la Delegación de la Oficina del Censo Electoral correspondiente a la provincia a la que pertenece el municipio en el que se encuentra inscrito en el Censo Electoral.
Se exigirá, junto con la solicitud, la presentación del documento nacional de identidad, pasaporte o permiso de conducir, para comprobación de los datos del elector.
3. En caso de enfermedad o incapacidad que impida la formulación personal de la solicitud, ésta podrá ser efectuada en nombre del elector, por persona debidamente autorizada, acreditando ésta su identidad y representación con documento autenticado por Notario o para los españoles residentes en el extranjero autenticado por el Cónsul.”
“En el caso de que la certificación se solicite para acreditar la cualidad de elector de un candidato o interventor, la solicitud podrá ser formulada por el representante del partido, federación, coalición o agrupación, designado de acuerdo con el artículo 43 de la Ley 5/1985, debiendo aportar documento sobre conformidad del elector para su presentación como candidato o interventor y haciendo constar en la misma los datos indicados en el punto 7.o, 1 de esta Orden.”
La Instrucción de 20 de enero de 2004, de la Junta Electoral Central, sobre consulta vía Internet de los datos del censo electoral, en este sentido prevé que “Los Ayuntamientos que faciliten a los electores a través de Internet el acceso a sus datos censales deberán incluir a tal fin los mismos datos de cada elector que figuren en las listas en soporte papel.”
También encontramos la Instrucción 7/2007, de 12 de abril, de la Junta Electoral Central, sobre la certificación censal específica prevista en el artículo 85.1 de la LOREG.
Otro derecho que puede ejercerse en cualquier momento es el de rectificación, previsto por el artículo 38.2 y 3 de la LOREG, como el derecho a reclamar sobre los datos censales, y:
“2. Las reclamaciones sobre los datos censales se dirigirán a las Delegaciones Provinciales de la Oficina del Censo Electoral, que resolverán en el plazo de cinco días a contar desde la recepción de aquéllas.
Los representantes de las candidaturas o representantes de los partidos, federaciones y coaliciones podrán impugnar el censo de las circunscripciones que hubieren registrado un incremento de residentes significativo y no justificado que haya dado lugar a la comunicación a que se refiere el artículo 30.c), dentro del plazo de cinco días siguientes al momento en que tuvieren conocimiento de la referida comunicación.
3. La Oficina del Censo Electoral adoptará las medidas oportunas para facilitar la tramitación por los Ayuntamientos y Consulados de las consultas y reclamaciones. […]”
Hay especificaciones para el ejercicio del derecho de acceso en período electoral previstas en el artículo 39 de la LOREG:
“2. Los ayuntamientos y consulados estarán obligados a mantener un servicio de consulta de las listas electorales vigentes de sus respectivos municipios y demarcaciones durante el plazo de ocho días, a partir del sexto día posterior a la convocatoria de elecciones.
(…) 7. La Oficina del Censo Electoral remitirá a todos los electores una tarjeta censal con los datos actualizados de su inscripción en el censo electoral y de la Sección y Mesa en la que le corresponde votar, y comunicará igualmente a los electores afectados las modificaciones de Secciones, locales o Mesas, a que se refiere el artículo 24 de la presente Ley Orgánica.”
El derecho de reclamación en período electoral incluye no sólo el derecho de rectificación y el derecho de oposición a ser incluido en las copias del censo remitidas a los partidos y también está previsto en el artículo 39 de la LOREG:
“3.Dentro del plazo anterior(5), cualquier persona podrá formular reclamación dirigida a la Delegación Provincial de la Oficina del Censo Electoral sobre sus datos censales, si bien solo podrán ser tenidas en cuenta las que se refieran a la rectificación de errores en los datos personales, a los cambios de domicilio dentro de una misma circunscripción o a la no inclusión del reclamante en ninguna Sección del Censo de la circunscripción pese a tener derecho a ello. También serán atendidas las solicitudes de los electores que se opongan a su inclusión en las copias del censo electoral que se faciliten a los representantes de las candidaturas para realizar envíos postales de propaganda electoral. No serán tenidas en cuenta para la elección convocada las que reflejen un cambio de residencia de una circunscripción a otra, realizado con posterioridad a la fecha de cierre del censo para cada elección, debiendo ejercer su derecho en la sección correspondiente a su domicilio anterior.[…]
6. La Delegación Provincial de la Oficina del Censo Electoral, en un plazo de tres días, resolverá las reclamaciones presentadas y ordenará las rectificaciones pertinentes, que habrán de ser expuestas al público el décimo séptimo día posterior a la convocatoria. Asimismo se notificará la resolución adoptada a cada uno de los reclamantes y a los Ayuntamientos y Consulados correspondientes.”
El procedimiento a seguir para la reclamación en período electoral se encuentra regulado, según el tipo de elecciones, en dos Ordenes del Ministerio de Economía y Hacienda distintas: La Orden de 21 de marzo de 1991 por la que se regula el proceso de reclamación administrativa en período electoral y la Orden de 15 de abril de 1994 por la que se regula el proceso de reclamación administrativa en período electoral para las elecciones al Parlamento Europeo.
El derecho fundamental a la protección de datos está presente en la jurisprudencia española desde 1993, pero su definición más clara tuvo lugar con la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, la cual contenía las definiciones del derecho a la protección de datos contenidas en la jurisprudencia anterior en sus fundamentos jurídicos 6 y 7:
“el derecho fundamental a la protección de datos persigue garantizar a esa persona sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado.”
“El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Esta garantía impone a los poderes públicos la prohibición de que se conviertan en fuentes de esa información sin las debidas garantías; y también el deber de prevenir los riesgos que puedan derivarse del acceso o divulgación indebidas de dicha información. Pero ese poder de disposición sobre los propios datos personales nada vale si el afectado desconoce quiénes los poseen, y con qué fin.”
“el derecho a la protección de datos atribuye a su titular un haz de facultades consistente en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos, a la intimidad, y que sirven a la capital función que desempeña un poder de control sobre sus datos personales, lo que sólo es posible y efectivo imponiendo a terceros los mencionados se requiera el previo consentimiento para la recogida y uso de los datos personales, el derecho a saber y ser informado sobre el destino y uso de esos datos y el derecho a acceder, rectificar y cancelar dichos datos. En definitiva, el poder de disposición sobre los datos personales (STC 254/1993, F.J. 7).”
“De todo lo dicho resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.
En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos.”
Así, el Tribunal Constitucional incluye en el contenido esencial del derecho fundamental a la protección de datos lo siguiente:
•	La posibilidad de conocer quién trata los datos y para qué, que actualmente se traduciría por el principio de transparencia y derecho de información previstos en la normativa.
•	La facultad de decidir qué datos se proporcionan a terceros y de consentir su tratamiento (recogida, obtención, acceso, almacenamiento, uso, ya sea por quién los recoge o por parte de terceos) de los datos personales. Aunque ahora la normativa prevé que no sólo el consentimiento puede autorizar el tratamiento de datos personales, hay quién aún defiende que sólo podrán tratarse los datos con el consentimiento del interesado y que las otras bases jurídicas del tratamiento previstas en el ordenamiento jurídico constituyen restricciones al derecho a la protección de datos personales que deben estar debidamente justificadas, cumplir con lo previsto en el artículo 23 del RGPD y establecidas por Ley de acuerdo con la doctrina constitucional.
•	La facultad de oponerse al tratamiento por parte de terceros y por determinados fines, que actualmente se traduciría por el derecho de oposición previsto en la normativa.
Cualquier restricción de cualquiera de estos componentes del derecho a la protección de datos deberá estar establecido por Ley porque los límites a los derechos fundamentales deben cumplir con la reserva de Ley prevista en el artículo 53.1 de la Constitución, la cual implica que toda limitación de un derecho fundamental, en este caso el de protección de datos personales, debe establecerse por Ley, y según la STC 292/2000, FJ 11, debe ser “necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, respetuoso con el contenido esencial del derecho fundamental restringido (SSTC 57/1994, de 28 de febrero, FJ 6; 18/1999, de 22 de febrero FJ 2).” Cuanto al fin legítimo, la STC 292/2000, en su FJ 15, se refiere al mismo como “la protección de otros derechos o bienes constitucionales (STC 104/2000, de 13 de abril, FJ 8 y las allí citadas)”.
Estos límites, de acuerdo con el mismo fundamento jurídico 11, “o bien pueden ser restricciones directas del derecho fundamental mismo, (…), o bien pueden ser restricciones al modo, tiempo o lugar de ejercicio del derecho fundamental. En el primer caso, regular esos límites es una forma de desarrollo del derecho fundamental. En el segundo, los límites que se fijan lo son a la forma concreta en la que cabe ejercer el haz de facultades en cuestión, constituyendo una manera de regular su ejercicio, lo que puede hacer el legislador ordinario a tenor de lo dispuesto en el art. 53.1 C.E.”
La STC 292/2000, FJ 14, declaró inconstitucional el artículo 21.1 de la antigua LOPD 15/1999 porque no fijó “por sí misma, como le impone la Constitución, (art. 53.1 C.E.), los límites al derecho a consentir la cesión de datos personales entre Administraciones Públicas para fines distintos a los que motivaron originariamente su recogida, y a los que alcanza únicamente el consentimiento inicialmente prestado por el afectado (art. 11 L.O.P.D., en relación con lo dispuesto en los arts. 4, 6 y 34.e L.O.P.D.), sino que se ha limitado a identificar la norma que puede hacerlo en su lugar.”
Así, consideró que no solicitar el consentimiento del interesado para que las administraciones públicas se comunicasen los datos de la ciudadanía para usos distintos de los de la recogida, suponía un límite a la protección de los datos personales que debía estar regulado por Ley y no reglamentariamente, como establecía el artículo 21.1 de la antigua LOPD. Lo explicaba en la Sentencia del Tribunal Constitucional 17/2013, de 31 de enero, en su fundamento jurídico 4, del siguiente modo:
“Con arreglo a tales criterios en la STC 292/2000 declaramos inconstitucional un determinado inciso del apartado 1 del art. 21 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, por cuanto regulaba la posibilidad de que una norma reglamentaria permitiera la cesión de datos entre Administraciones públicas para ser empleados en el ejercicio de competencias o para materias distintas a las que motivaron su originaria recogida sin necesidad de recabar previamente el consentimiento del interesado (art. 11.1 LOPD, en relación con lo dispuesto en los arts. 4.1 y 2 y 5.4 y 5), soslayando de esta forma la obligada reserva de ley derivada del art. 53.1 para el establecimiento de la regulación y los límites de un derecho fundamental.
En conclusión, tal como establece nuestra doctrina, es claro que la Ley Orgánica de protección de datos no permite la comunicación indiscriminada de datos personales entre Administraciones públicas dado que, además, estos datos están, en principio, afectos a finalidades concretas y predeterminadas que son las que motivaron su recogida y tratamiento. Por tanto, la cesión de datos entre Administraciones públicas sin consentimiento del afectado, cuando se cedan para el ejercicio de competencias distintas o que versen sobre materias distintas de aquellas que motivaron su recogida, únicamente será posible, fuera de los supuestos expresamente previstos por la propia Ley Orgánica de protección de datos, si existe previsión legal expresa para ello [art. 11.2 a) en relación con el 6.1 LOPD] ya que, a tenor de lo dispuesto en el art. 53.1 CE, los límites al derecho a consentir la cesión de los datos a fines distintos para los que fueron recabados están sometidos a reserva de ley. Reserva legal que, como es obvio, habrá de cumplir con los restantes requisitos derivados de nuestra doctrina –esencialmente, basarse en bienes de dimensión constitucional y respetar las exigencias del principio de proporcionalidad– para poder considerar conforme con la Constitución la circunstancia de que la norma legal en cuestión no contemple, por tanto, la necesidad de contar con el consentimiento del afectado para autorizar la cesión de datos.”
Sin embargo, en la Sentencia del Tribunal Constitucional 17/2013 no se declara inconstitucional el acceso a los datos necesarios que consten en la Agencia Tributaria, la Seguridad Social o el Padrón Municipal, para la actuación de la Administración estatal en el ámbito de la Ley Orgánica de derechos y libertades de los extranjeros, ni el acceso a los datos del Padrón Municipal por parte de la Dirección General de la Policía, sino que se establece su constitucionalidad siempre que se interpreten en los términos de los fundamentos jurídicos 7 y 9 respectivamente.
En lo que respecta al fundamento jurídico 7, el mismo autoriza el acceso a los mencionados datos condicionándolo a que el acceso esté relacionado con un determinado expediente, tratándose entonces de un acceso específico en cada caso, para los datos que sean exclusivamente necesarios o pertinentes para la resolución del mismo. Por lo tanto, no puede procederse a un acceso masivo a todos los datos personales que custodian estas administraciones.
Sobre el fundamento jurídico 9, el Tribunal Constitucional admite su constitucionalidad porque se establece por Ley, cumpliendo con la reserva de Ley, y la misma prevé la finalidad perseguida y que el acceso se realizará “con las máximas medidas de seguridad” y quedará constancia en al Dirección General de Policía de cada acceso, la identificación de usuario, fecha y hora en que se realizó, así como de los datos consultados” y que dichas medidas “son susceptibles de control”, añadiendo que “el acceso solamente será posible, en las condiciones antes dichas, cuando el concreto dato en cuestión resulte pertinente y necesario en relación con la finalidad que ha justificado el acceso, quedando garantizada la posibilidad de analizar si, en cada caso concreto, el acceso tenía amparo en lo establecido en la ley pues, en caso contrario, no resultará posible su uso.” Por lo tanto, el acceso a los datos tampoco puede ser masivo y debe cumplir con ciertas exigencias tales como la justificación del acceso respecto a la finalidad perseguida.
Aún así, existe un voto particular de la Sentencia del Tribunal Constitucional 17/2013 del Magistrado Pablo Pérez Tremps, contrario a lo dispuesto en el fundamento jurídico 9 por considerar la interpretación de la mayoría como indeterminada y poco ajustada al juicio de proporcionalidad:
“ En primer término, debe decirse que la interpretación conforme que realiza la sentencia no consigue colmar la indeterminación de la norma impugnada, lo que impide garantizar la proporcionalidad e idoneidad de la medida en cuestión. Así, sin ánimo de ser exhaustivo, puede decirse que existen profundas indeterminaciones en relación con el sujeto habilitado para el acceso, así como con la forma, objeto y garantías del acceso. Por ejemplo, se habilita de forma general a la Dirección General de la Policía para acceder a los datos, sin que la norma, ni la interpretación conforme, aclaren si el acceso se permite al titular de ese órgano (el Director General de la Policía) o a cualquier órgano o unidad integrados en dicha dirección, aunque la lectura completa de la norma permite deducir que podrá acceder cualquier miembro de la Dirección General de la Policía, en la medida en que se establece en la propia disposición impugnada que «quedará constancia en la Dirección General de la Policía de cada acceso, la identificación de usuario, fecha y hora en que se realizó, así como de los datos consultados». Esto supone un amplio universo de sujetos habilitados, lo que va en detrimento de la proporcionalidad de la medida y del mandato de predeterminación de las medidas limitativas de derechos fundamentales.
Por último, aunque la norma prevé que el acceso se realizará con las «máximas medidas de seguridad», éstas no se concretan, más allá de que quedará constancia de cada acceso, de la identidad del accedente, de la fecha y hora del acceso y de los datos consultados. La posición de la mayoría afirma que el acceso, y la motivación que lo inspira, «estará sujeta a control mediante los mecanismos previstos en el ordenamiento jurídico, en especial, a través del control jurisdiccional contencioso-administrativo, y entiende que habrá de evitarse que se produzca un uso torticero de la facultad de acceso, así como un acceso indiscriminado o masivo. Todas estas previsiones, no obstante, resultan excesivamente indeterminadas e insuficientes. Por dar sólo un ejemplo, no se contempla que el propio afectado pueda conocer que se ha producido el acceso y, en consecuencia, queda indefenso respecto de una medida limitativa de un derecho fundamental ante la que no puede protegerse plenamente en caso de un eventual acceso indebido en su información padronal.”
Además de cuestionar los términos utilizados por la Ley, que considera indeterminados, del mismo modo que la interpretación del Tribunal, el Magistrado plantea que el Tribunal no tuvo presente la imposibilidad de los interesados de conocer el acceso por parte de la Policía a sus datos personales inscritos lo que limita su derecho a la protección de datos personales porque al no conocer el tratamiento por parte de la Policía tampoco puede oponerse al mismo.
Sobre el derecho de información de los interesados, el cual ha sido reforzado con el Reglamento (UE) 2016/679 General de Protección de Datos, hay jurisprudencia del Tribunal Constitucional, anterior al RGPD y a las Sentencias mencionadas, que ya definía qué facultades se incluyen en el principio de transparencia, incluyendo dentro de su ámbito de aplicación las Administraciones Públicas. Un ejemplo de esta jurisprudencia lo encontramos en la Sentencia del Tribunal Constitucional 254/1999, de 20 de julio, en su Fundamento Jurídico 7º(6):
“(…) Las facultades precisas para conocer la existencia, los fines y los responsables de los ficheros automatizados dependientes de una Administración pública donde obran datos personales de un ciudadano son absolutamente necesarias para que los intereses protegidos por el art. 18 C.E., y que dan vida al derecho fundamental a la intimidad, resulten real y efectivamente protegidos. Por ende, dichas facultades de información forman parte del contenido del derecho a la intimidad, que vincula directamente a todos los poderes públicos y ha de ser salvaguardado por este Tribunal, haya sido o no desarrollado legislativamente (STC 11/1981, fundamento jurídico 8º, y 101/1991, fundamento jurídico 2º).”
Teniendo en cuenta la jurisprudencia analizada, el hecho que la inscripción al padrón es obligatoria y que por lo tanto, y como ya advertía la sentencia 17/2013, en su fundamento jurídico 8, “constituye una excepción al principio básico de la necesidad del consentimiento del ciudadano para la legalidad del tratamiento”, que hoy se ampara bajo la base jurídica del interés público o ejercicio de poderes públicos, y que no se informa correctamente a los interesados de la comunicación de estos datos a los partidos políticos en el momento de su recogida, siendo privados así del derecho a oponerse a su tratamiento y comunicación, además de no ser datos necesarios para el cumplimiento de las misiones que los partidos realizan con los mismos, de acuerdo con los principios de minimización de datos y de privacidad desde el diseño y por defecto, debería suprimirse la comunicación de datos prevista por la LOREG a los partidos políticos de los datos del censo electoral, que además supone un acceso masivo a los mismos y no limitado a los datos necesarios.
En lo referido a los datos necesarios en el contexto electoral, debe tenerse en cuenta un Dictamen CNS 48/2019 de la Autoritat Catalana de Protecció de Dades(7) (en adelante, APDCAT) que haciendo referencia al principio de minimización de datos recuerda que:
“deben realizarse únicamente los tratamientos de datos que resulten necesarios o proporcionados en atención a la finalidad que los motiva.
De este modo, si la finalidad perseguida en un determinado contexto (en nuestro caso, el envío de información electoral) puede ser lograda sin necesidad de llevar a cabo un tratamiento de datos personales, sin verse por ello alterada o perjudicada dicha finalidad, debería optarse necesariamente por esta posibilidad, atendiendo a que el tratamiento de datos de carácter personal supone, como consagra el Tribunal Constitucional en su sentencia 292/2000, una limitación al derecho del afectado a disponer de la información referida a su persona.”
Así la APDCAT concluye que sólo son necesarios para el envío de propaganda electoral por correo electrónico el nombre, apellidos y dirección de correo electrónico, y el resto de datos que constan en el censo no deben ser comunicados a las candidaturas. Además, el dictamen recuerda que el colegio deberá tomar medidas para permitir que los colegiados puedan oponerse a dicho tratamiento. Finalmente, en base al mismo razonamiento, la APDCAT dispone que no es necesario comunicar a las candidaturas el censo electoral de colegiados porque el envío de comunicaciones electorales puede realizarse sin que se produzca dicho tratamiento de datos. Debe recordarse que en el contexto del dictamen la APDCAT tubo en cuenta la normativa específica que regula los tratamientos de datos personales en período electoral, consistente en la Ley 7/2006, de 31 de mayo, del ejercicio de profesiones titulada y colegios profesionales y los Estatutos del colegio profesional que planteó la consulta, que priman por encima de la normativa de protección de datos personales al tratarse de una regulación más específica.
Finalmente, debemos mencionar la Sentencia del Tribunal Constitucional 76/2019, de 22 de mayo, dónde también se analizó la aplicación de la normativa de protección de datos consistente en la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales y del Reglamento (UE) 2016/679 General de Protección de Datos, en el contexto de la Ley Orgánica del Régimen Electoral General (en adelante, LOREG), sobretodo en el aspecto relativo a las garantías que esta última establece respecto al tratamiento de datos personales. En este sentido la sentencia, en sus fundamentos de derecho 8 y 9, admite que es la propia LOREG la que debe establecer las garantías mínimas (consistentes en la legitimación, delimitación del tratamiento y garantías y medidas que deben aplicarse) para el tratamiento:
“Por tanto, la resolución de la presente impugnación exige que aclaremos una duda suscitada con respecto al alcance de nuestra doctrina sobre las garantías adecuadas, que consiste en determinar si las garantías adecuadas frente al uso de la informática deben contenerse en la propia ley que autoriza y regula ese uso o pueden encontrarse también en otras fuentes normativas. (…)
Las garantías adecuadas deben estar incorporadas a la propia regulación legal del tratamiento, ya sea directamente o por remisión expresa y perfectamente delimitada a fuentes externas que posean el rango normativo adecuado. (…) Ese mandato de predeterminación respecto de elementos esenciales, vinculados también en último término al juicio de proporcionalidad de la limitación del derecho fundamental, no puede quedar deferido a un ulterior desarrollo legal o reglamentario, ni tampoco se puede dejar en manos de los propios particulares. (…)
En efecto, como expondremos a continuación, la insuficiencia de la ley no puede ser colmada por vía interpretativa a partir de las pautas e indicaciones que se puedan extraer de los citados textos normativos (i). Tampoco puede ser colmada por el titular de una potestad normativa limitada como es la Agencia Española de Protección de Datos (ii) o mediante una interpretación conforme (iii). Finalmente, una remisión implícita como la pretendida tampoco resultaría coherente con el marco regulador europeo (iv), perspectiva que, como se dijo, no puede ser irrelevante para nuestro enjuiciamiento constitucional.
(i) Es evidente que si la norma incluyera una remisión para la integración de la ley con las garantías adecuadas establecidas en normas de rango inferior a la ley, sería considerada como una deslegalización que sacrifica la reserva de ley ex art. 53.1 CE, y, por este solo motivo, debería ser declarada inconstitucional y nula. (…)
Pero lo mismo ocurre si, como sostiene el abogado del Estado, la norma incluye una remisión para la integración de la ley con las garantías adecuadas establecidas en dos textos normativos sin mayores precisiones, esto es, sin reglas claras y precisas que delimiten efectiva y eficazmente las garantías adecuadas que se consideran aplicables; más aún, cuando tales textos normativos, por un lado, se componen de noventa y nueve artículos (el RGPD) y noventa y siete artículos, veintidós disposiciones adicionales, seis disposiciones transitorias, una disposición derogatoria única y dieciséis disposiciones finales (la LOPDGDD), y, por otro lado, ninguna de ellas se refiere específicamente a las garantías adecuadas para la protección de la categoría especial de datos que son los relativos a las opiniones políticas de las personas. Eso dejaría la decisión en manos, no del legislador, sino exclusivamente a disposición de la determinación reglamentaria del Gobierno o bien, en ausencia de este último, del aplicador del derecho, el cual tendría que deducir por su cuenta cuáles de las garantías previstas en ambas normas de remisión resultan aplicables al tratamiento en cuestión. Todo ello supondría una insuficiencia manifiesta en el contenido mínimo exigible, en condiciones de certeza y previsibilidad, a la configuración legal del derecho fundamental a la protección de datos personales.
(ii) La insuficiencia legal que venimos analizando tampoco puede ser colmada, en ejercicio de sus potestades, por la Agencia Española de Protección de Datos. (…) Por tanto, la circunstancia de que, con posterioridad a la interposición del presente recurso contra la ley, la Presidencia de la Agencia Española de Protección de Datos haya aprobado la Circular 1/2019, de 7 de marzo, para abordar esa laguna, tal como se indicó anteriormente, no puede subsanar la insuficiencia constitucional de la que adolece el art. 58 bis LOREG introducido por la Ley Orgánica 3/2018 por lo que se refiere a la recopilación de datos personales relativos a las opiniones políticas en el marco de actividades electorales. (…)
(iii) La falta de previsión legal de un elemento cuya previsión es necesaria para que se pueda considerar que se respeta el contenido esencial, tampoco se puede superar con la técnica de la interpretación conforme, pues esta técnica, que viene impuesta por el principio de conservación de la ley, se aplica cuanto existen “varias interpretaciones posibles igualmente razonables” y permite descartar aquella o aquellas que darían lugar a que el precepto incurriera en inconstitucionalidad [SSTC 168/2016, de 6 de octubre, FJ 4 b); y 97/2018, de 19 de septiembre, FJ 7, por todas]. En el presente caso no estamos ante “varias interpretaciones posibles igualmente razonables”, sino ante la insuficiencia de regulación detectada en una norma de desarrollo de un derecho fundamental.
iv) Por último, debemos recordar que el Reglamento General de Protección de Datos establece las garantías mínimas, comunes o generales para el tratamiento de datos personales que no son especiales. En cambio, no establece por sí mismo el régimen jurídico aplicable a los tratamientos de datos personales especiales, ni en el ámbito de los Estados miembros ni para el Derecho de la Unión. Por ende, tampoco fija las garantías que deben observar los diversos tratamientos posibles de datos sensibles, adecuadas a los riesgos de diversa probabilidad y gravedad que existan en cada caso; (…) Es patente que ese establecimiento de medidas adecuadas y específicas solo puede ser expreso. Si la norma interna que regula el tratamiento de datos personales relativos a opiniones políticas, no prevé esas garantías adecuadas, sino que, todo lo más, se remite implícitamente a las garantías generales contenidas en el Reglamento General de Protección de Datos, no puede considerarse que haya llevado a cabo la tarea normativa que aquel le exige.
9. De lo anterior se concluye que la ley no ha identificado la finalidad de la injerencia para cuya realización se habilita a los partidos políticos, ni ha delimitado los presupuestos ni las condiciones de esa injerencia, ni ha establecido las garantías adecuadas que para la debida protección del derecho fundamental a la protección de datos personales reclama nuestra doctrina, por lo que se refiere a la recopilación de datos personales relativos a las opiniones políticas por los partidos políticos en el marco de sus actividades electorales.”
Puesto que esta misma sentencia dictamina en su fundamento jurídico 6 que “el nivel y la naturaleza de las garantías adecuadas no se pueden determinar de una vez para todas, pues, por un lado, deben revisarse y actualizarse cuando sea necesario y, por otro lado, el principio de proporcionalidad obliga a verificar si, con el desarrollo de la tecnología, aparecen posibilidades de tratamiento que resultan menos intrusivas o potencialmente menos peligrosas para los derechos fundamentales”, insistimos en nuestra voluntad de derogar la comunicación de datos a los partidos políticos para así garantizar una mayor protección de la intimidad y los datos personales de toda la ciudadanía.
Si un ayuntamiento no llevara a cabo dichas actuaciones, el Instituto Nacional de Estadística, previo informe del Consejo de Empadronamiento, podrá requerirle previamente concretando la inactividad, y si fuere rechazado, sin perjuicio de los recursos jurisdiccionales que procedan, podrá acudir a la ejecución sustitutoria prevista en el artículo 60 de la presente ley.
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
Considerando (26)
Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. Por lo tanto los principios de protección de datos no deben aplicarse a la información anónima, es decir información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo. En consecuencia, el presente Reglamento no afecta al tratamiento de dicha información anónima, inclusive con fines estadísticos o de investigación.
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
Considerando (31)
Las autoridades públicas a las que se comunican datos personales en virtud de una obligación legal para el ejercicio de su misión oficial, como las autoridades fiscales y aduaneras, las unidades de investigación financiera, las autoridades administrativas independientes o los organismos de supervisión de los mercados financieros encargados de la reglamentación y supervisión de los mercados de valores, no deben considerarse destinatarios de datos si reciben datos personales que son necesarios para llevar a cabo una investigación concreta de interés general, de conformidad con el Derecho de la Unión o de los Estados miembros. Las solicitudes de comunicación de las autoridades públicas siempre deben presentarse por escrito, de forma motivada y con carácter ocasional, y no deben referirse a la totalidad de un fichero ni dar lugar a la interconexión de varios ficheros. El tratamiento de datos personales por dichas autoridades públicas debe ser conforme con la normativa en materia de protección de datos que sea de aplicación en función de la finalidad del tratamiento.
Considerando (41)
Considerando (45)
Cuando se realice en cumplimiento de una obligación legal aplicable al responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una base en el Derecho de la Unión o de los Estados miembros. El presente Reglamento no requiere que cada tratamiento individual se rija por una norma específica. Una norma puede ser suficiente como base para varias operaciones de tratamiento de datos basadas en una obligación legal aplicable al responsable del tratamiento, o si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. La finalidad del tratamiento también debe determinase en virtud del Derecho de la Unión o de los Estados miembros. Además, dicha norma podría especificar las condiciones generales del presente Reglamento por las que se rige la licitud del tratamiento de datos personales, establecer especificaciones para la determinación del responsable del tratamiento, el tipo de datos personales objeto de tratamiento, los interesados afectados, las entidades a las que se pueden comunicar los datos personales, las limitaciones de la finalidad, el plazo de conservación de los datos y otras medidas para garantizar un tratamiento lícito y leal. Debe determinarse también en virtud del Derecho de la Unión o de los Estados miembros si el responsable del tratamiento que realiza una misión en interés público o en el ejercicio de poderes públicos debe ser una autoridad pública u otra persona física o jurídica de Derecho público, o, cuando se haga en interés público, incluidos fines sanitarios como la salud pública, la protección social y la gestión de los servicios de sanidad, de Derecho privado, como una asociación profesional.
Considerando (50)
El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. En tal caso, no se requiere una base jurídica aparte, distinta de la que permitió la obtención de los datos personales. Si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los cometidos y los fines para los cuales se debe considerar compatible y lícito el tratamiento ulterior se pueden determinar y especificar de acuerdo con el Derecho de la Unión o de los Estados miembros. Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles. La base jurídica establecida en el Derecho de la Unión o de los Estados miembros para el tratamiento de datos personales también puede servir de base jurídica para el tratamiento ulterior. Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos personales, el responsable del tratamiento, tras haber cumplido todos los requisitos para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en particular las expectativas razonables del interesado basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista.
Si el interesado dio su consentimiento o el tratamiento se basa en el Derecho de la Unión o de los Estados miembros que constituye una medida necesaria y proporcionada en una sociedad democrática para salvaguardar, en particular, objetivos importantes de interés público general, el responsable debe estar facultado para el tratamiento ulterior de los datos personales, con independencia de la compatibilidad de los fines. En todo caso, se debe garantizar la aplicación de los principios establecidos por el presente Reglamento y, en particular, la información del interesado sobre esos otros fines y sobre sus derechos, incluido el derecho de oposición. La indicación de posibles actos delictivos o amenazas para la seguridad pública por parte del responsable del tratamiento y la transmisión a la autoridad competente de los datos respecto de casos individuales o casos diversos relacionados con un mismo acto delictivo o amenaza para la seguridad pública debe considerarse que es en interés legítimo del responsable. Con todo, debe prohibirse esa transmisión en interés legítimo del responsable o el tratamiento ulterior de datos personales si el tratamiento no es compatible con una obligación de secreto legal, profesional o vinculante por otro concepto.
b) negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.
Considerando (58)
El principio de transparencia exige que toda información dirigida al público o al interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante un sitio web. Ello es especialmente pertinente en situaciones en las que la proliferación de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el interesado saber y comprender si se están recogiendo, por quién y con qué finalidad, datos personales que le conciernen, como es en el caso de la publicidad en línea. Dado que los niños merecen una protección específica, cualquier información y comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y sencillo que sea fácil de entender.
c)en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales.
a) A los tratamientos excluidos del ámbito de aplicación del Reglamento general de protección de datos por su artículo 2.2, sin perjuicio de lo dispuesto en los apartados 3 y 4 de este artículo.
3. Cuando los datos personales no hubieran sido obtenidos del afectado, el responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquel la información básica señalada en el apartado anterior, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.
Se modifica la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, en los siguientes términos:
«Artículo 6 bis. Registro de actividades de tratamiento
Los sujetos enumerados en el artículo 77.1 de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales, publicarán su inventario de actividades de tratamiento en aplicación del artículo 31 de la citada Ley Orgánica.»
«1. Si la información solicitada contuviera datos personales que revelen la ideología, afiliación sindical, religión o creencias, el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso.
Si la información incluyese datos personales que hagan referencia al origen racial, a la salud o a la vida sexual, incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley.»
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.
6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.
Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.
Artículo treinta y cuatro. Carácter y vigencia del censo electoral
Artículo treinta y cinco. Actualización del Censo Electoral
Artículo treinta y siete. Actualización del Censo a cargo del Registro Civil y del Registro de Penados y Rebeldes
2. Las reclamaciones sobre los datos censales se dirigirán a las Delegaciones Provinciales de la Oficina del Censo Electoral, que resolverán en el plazo de cinco días a contar desde la recepción de aquéllas.
Artículo treinta y nueve. Rectificación del Censo en período electoral
3. Ningún partido, federación, coalición o agrupación de electores puede presentar más de una lista de candidatos en una circunscripción para la misma elección. Los partidos federados o coaligados no pueden presentar candidaturas propias en una circunscripción si en la misma concurre, para idéntica elección, candidatos de las federaciones o coaliciones a que pertenecen.
Artículo cincuenta y ocho bis. Utilización de medios tecnológicos y datos personales en las actividades electorales
4. Cuando la Mesa, a pesar de la exhibición de alguno de los documentos previstos en el apartado 1, tenga duda, por si o a consecuencia de la reclamación que en el acto haga públicamente un interventor, apoderado u otro elector, sobre la identidad del individuo que se presenta a votar, la Mesa a la vista de los documentos acreditativos y del testimonio que puedan presentar los electores presentes, decide por mayoría. En todo caso se mandará pasar tanto de culpa al Tribunal competente para que exija la responsabilidad del que resulte usurpador de nombre ajeno o del que lo haya negado falsamente.
Real Decreto 1732/1985, de 24 de septiembre, por el que se regulan las Condiciones de los Locales y las Características oficiales de los elementos materiales a Utilizar en los Procesos electorales.
Real Decreto 1733/1985, de 24 de septiembre, sobre Solicitud del Voto por correo en caso de Enfermedad o incapacidad que impida formularla personalmente.
Orden, del Ministerio de Economía y Hacienda, de 3 de febrero de 1987, por la que se regula la distribución de copias del Censo Electoral en soporte magnético y la expedición de certificados de inscripción en el Censo Electoral.
Orden, del Ministerio de Economía y Hacienda, de 21 de marzo de 1991, por la que se regula el proceso de reclamación administrativa en período electoral.
Orden, del Ministerio de Economía y Hacienda, de 15 de abril de 1994, por la que se regula el proceso de reclamación administrativa en período electoral para las elecciones al Parlamento Europeo.
Orden, del Ministerio de Economía y Hacienda, Instrucción 7/2007, de 12 de abril, de la Junta Electoral Central, sobre la certificación censal específica prevista en el artículo 85.1 de la LOREG.
Resolución, de la Dirección de la Oficina del Censo Electoral, de 19 de julio de 1996, por la que se aprueban los modelos referidos en la Orden de 24 de abril de 1996 por la que se dictan normas técnicas para la actualización del censo electoral.
Orden EHA/642/2011, del Ministerio de Economía y Hacienda, de 25 de marzo, por la que se dictan normas técnicas para la actualización mensual del Censo Electoral.Instrucción, de 20 de enero de 2004, de la Junta Electoral Central, sobre consulta vía Internet de los datos del censo electoral.
Artículo 2.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
https://www.boe.es/boe/dias/2011/03/26/pdfs/BOE-A-2011-5462.pdf
http://www.juntaelectoralcentral.es/cs/jec/documentos/RES_1996_0_1.pdf
STC 76/2019, de 22 de mayo de 2019.
https://www.boe.es/boe/dias/2019/06/25/pdfs/BOE-A-2019-9548.pdf
Artículo 39.2 de la LOREG: “ocho días, a partir del sexto día posterior a la convocatoria de elecciones”.
http://hj.tribunalconstitucional.es/docs/BOE/BOE-T-1993-21425.pdf
https://apdcat.gencat.cat/web/.content/Resolucio/Resolucions_Cercador/Dictamens/2019/Documents/ca_cns_2019_048.pdf
← Participamos en el Grupo de Expertos para la Carta de Derechos Digitales de la Secretaria de Estado de Digitalización e Inteligencia Artificial del Ministerio de Economía
Publicamos la cuarta entrega de nuestra serie #DatosPorLiebre sobre Privacidad, Protección de Datos y Abusos Institucionalizados →

References: artículo 41
 artículo 41
 artículo 11
 artículo 41
 artículo 5
 Real Decreto 
 artículo 41
 artículo 6
 artículo 15

Artículo 6

Artículo 8
 artículo 6

Artículo 6

Artículo 8
 artículo 6
 artículo 16
 artículo 16
 artículo 15
 artículo 5
 artículo 12

Artículo 12
 artículo 11

Artículo 13
 artículo 11
 artículo 31
 artículo 77
 artículo 16
 artículo 17
 artículo 16
 artículo 17
 artículo 60
 artículo 14
 artículo 11
 artículo 14
 artículo 13
 artículo 6

Artículo 6
 artículo 23
 artículo 2
 artículo 32
 artículo 85
 artículo 2
 Real Decreto 

Artículo 3
 artículo 16
 artículo 31
 artículo 14
 artículo 5
 Real Decreto 
 Resolución 

Artículo 1
 artículo 34
 artículo 35
 artículo 58
 artículo 41
 resolución 
 artículo 44
 artículo 41
 Real Decreto 
 Real Decreto 
 artículo 5
 artículo 41
 artículo 6
 artículo 41
 artículo 4
 artículo 23
 artículo 41
 artículo 5
 artículo 5
 artículo 25
 artículo 41
 artículo 41
 artículo 38
 artículo 41
 artículo 43
 artículo 85
 artículo 38
 artículo 30
 artículo 39
 artículo 24
 artículo 39
 resolución 
 artículo 23
 artículo 53
 artículo 21
 artículo 21
 resolución 
 resolución 
 artículo 60
 artículo 92
 artículo 49
 artículo 2
 artículo 14
 artículo 77
 artículo 31
 resolución 
 resolución 

Real Decreto 

Real Decreto 
 artículo 85

Artículo 2

Artículo 39