La Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, ha traspuesto al derecho español la Directiva Comunitaria 2016/680, casi tres años después de que venciese el plazo concedido para ello.
Ya en enero de 2019, la Comisión Europea requirió explícitamente a España para que cumpliera el deber de trasladar al ordenamiento interno la Directiva. Pero la omisión continuada de tal obligación derivó en que el Tribunal de Justicia de la UE acabase imponiendo a nuestro país una multa a tanto alzado de 15.000.000 € y otra sanción coercitiva de 89.000 € por cada día adicional de retraso.
Al margen de dichas vicisitudes, la nueva Ley Orgánica regula el tratamiento de datos personales en el desempeño de sus funciones por parte de las autoridades competentes en materia penal, incluidas la protección y prevención frente a las amenazas contra la seguridad pública. Tales autoridades son las Fuerzas y Cuerpos de Seguridad, las Administraciones Penitenciarias, la Dirección Adjunta de Vigilancia Aduanera de la AEAT, el SEPBLAC, la Comisión de Vigilancia de Actividades de Financiación del Terrorismo, las autoridades judiciales penales y el Ministerio Fiscal.
Pero el ámbito subjetivo de la norma es, en realidad, más amplio. Su art. 7 impone a todas las personas físicas o jurídicas, públicas o privadas, un deber general de colaboración con dichas autoridades, que se traduce en la obligación de proporcionarles todos los datos, informes, antecedentes y justificantes que les requieran en el desempeño de sus funciones.
Este deber de colaboración es casi incondicionado en relación con los requerimientos de información que se reciban de las autoridades judiciales o del Ministerio Fiscal y más limitado si el solicitante es la Policía Judicial o el resto de autoridades competentes. En estos dos últimos casos, además, la petición debe ser motivada, concreta y específica, lo cual excluye peticiones genéricas o que afecten a una pluralidad indeterminada de sujetos.
El deber de suministrar la información solicitada queda excepcionado en aquellos casos en que, para recabar los datos, fuese exigible autorización judicial. Así sucederá cuando se vean afectados derechos fundamentales, como, por ejemplo, si se requiriese el acceso a correos electrónicos o a listados de llamadas telefónicas, cuya revelación vulneraría el secreto de las comunicaciones.
En cualquier caso, la persona o entidad a la que la autoridad competente reclame los datos tiene prohibido informar al afectado de dicha petición o acceso. La ocultación al investigado será imprescindible, casi siempre, para que la indagación llegue a buen término, impidiendo que su intervención pueda frustrarla.
El incumplimiento de las obligaciones descritas es sancionado de forma contundente. La Ley contempla, como infracciones muy graves, tanto la negativa a facilitar a las autoridades competentes la información que soliciten en los supuestos legalmente previstos, como el hecho de informar al interesado de que se ha suministrado dicha información (art. 58 j), siendo infracción grave la falta de colaboración con las autoridades competentes cuando no constituya infracción muy grave (art. 59 j).
El importe de las sanciones previstas para el caso de incumplimiento no es baladí. Las infracciones muy graves son sancionadas con multa de 360.001 a 1.000.000 € y las graves de 60.001 a 360.000 € (art. 62). En la misma línea que la LO 3/2018, las multas no son aplicables a las personas y entidades públicas, sino sólo a los incumplimientos cometidos por las privadas.
A la vista del importe de las sanciones, resulta de la nueva norma un régimen jurídico cuya inobservancia puede acarrear para las empresas consecuencias económicas graves. Y ello en un contexto en el que, con mucha frecuencia, la investigación de delitos por las autoridades competentes se apoya en evidencias obtenidas mediante sistemas privados. Piénsese, por ejemplo, en la frecuencia con que, en el marco de sus investigaciones, las Fuerzas y Cuerpos de Seguridad requieren a los titulares de sistemas de videovigilancia para que faciliten imágenes grabadas o a propietarios de establecimientos hoteleros para que suministren datos de huéspedes.
Además, cuando una entidad privada recibe un requerimiento de información en el marco de una investigación penal, se la coloca en una disyuntiva no siempre sencilla. De una parte, se encuentra con la obligación de facilitar la información solicitada, en aplicación de su deber de colaboración con las autoridades. De otra, debe ponderar que, en la solicitud, concurran las condiciones legales que habilitan a las autoridades a reclamarle la información, (por ejemplo, si la petición es motivada, concreta y específica), ya que, en otro caso, el suministro de los datos personales podría dar lugar a una infracción de la normativa de protección de datos, con las graves consecuencias que ello podría tener para el requerido.
