I. El tratamiento de datos penitenciarios bajo el paraguas de la LO 7/2021
En lo penitenciario, el marco normativo de la protección de datos se encuentra articulado de modo complejo. En primer lugar, tenemos el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (LA LEY 6637/2016), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (LA LEY 5793/1995) (Reglamento general de protección de datos (LA LEY 6637/2016)). De cumplimiento obligado en todos los países de la Unión, no necesitaba realmente de implementación interna. Sin embargo, sí supuso la sustitución de gran parte de la LO 15/99 (LA LEY 4633/1999) de protección de datos por la ahora vigente LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LA LEY 19303/2018).
A su vez, aplica al ámbito penitenciario la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (LA LEY 6638/2016), relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos, que deroga la Decisión Marco 2008/977/JAI (LA LEY 19814/2008) del Consejo, y que ha sido implementada en nuestro ordenamiento a través de la LO 7/2021, de 26 de mayo (LA LEY 11831/2021), de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.
Como vemos, a nivel europeo, se ha dado un impulso a la regulación en la materia de protección de datos, en la medida que lo que era una mera directiva se ha transformado en reglamento y lo que era una mera decisión marco ha asumido la forma de directiva. El rango normativo aumenta y con ello, las obligaciones que la UE nos impone.
Felicitándonos de la mayor armonización que lo anterior supone, lo cierto es que, en medios específicos como el penitenciario, implica un choque de perspectivas que debemos gestionar. Ello en la medida en que confluyen dos normas diferentes —el Reglamento y la Directiva— que se aplican dependiendo de la finalidad del concreto tratamiento de datos que abordemos. Así, si bien no hay dudas generales sobre el tratamiento de determinados datos —los relativos a los funcionarios caen en la órbita del Reglamento y la LO 3/2018 (LA LEY 19303/2018); los de los internos en la de la Directiva y la LO 7/2021 (LA LEY 11831/2021)—, lo cierto es que ante supuestos prácticos complejos, observamos que muchos de esos tratamientos pueden considerarse híbridos. Por ejemplo, los datos de salud de las personas condenas. Sin duda, se trata de datos obtenidos con motivo de la ejecución de una sanción penal, pero no podemos decir que la finalidad de su tratamiento esté siempre relacionada con la misma. Si decidimos aplicar a un interno un aislamiento provisional vía sanción disciplinaria, conocer su salud sí está directamente relacionado con la ejecución de la pena. Sin embargo, si ese tratamiento de datos sanitarios se realiza con la misma finalidad que la de cualquier otro ciudadano —esto es, cuidar de la salud o llevar a cabo una determinada revisión—, aparecen indicadores claros que nos dicen que el objeto de ese tratamiento nada tiene que ver con la ejecución penal.
La situación que describimos y la determinación de la norma específica a aplicar, no es algo anecdótico. Si entendemos que un tratamiento de datos cae en la órbita del Reglamento, la disponibilidad sobre los datos personales y el poder jurídico del consentimiento, es muy superior al que se observa en el ámbito de aplicación de la Directiva. De ahí que no sirva hablar de cuerpos administrativos sometidos a una u otra norma, sino que lo propio sea atender a los tratamientos específicos que en cada caso abordemos. Y dentro de los tratamientos de datos que refiramos, lo adecuado será analizar si los mismos —como en el de la salud de los internos— pueden tener fines diferentes y regímenes jurídicos diferentes, según cada supuesto.
Es importante destacar que la equiparación del régimen jurídico de los datos relativos a la ejecución de la condena y los tratados con fines policiales, no supone la equiparación de sus finalidades
A la vez, es importante destacar que la equiparación del régimen jurídico de los datos relativos a la ejecución de la condena y los tratados con fines policiales, no supone la equiparación de sus finalidades. Nada tienen que ver la una con la otra (2) . En el mismo sentido, es fundamental considerar que las cesiones de datos entre uno y otro medio —el penitenciario y el policial— habrán de seguir acotadas. Así, se distinguen tres supuestos de cesión. En primer lugar, de acuerdo con el art. 6.2 LO 7/21 (LA LEY 11831/2021), se establece que «los datos personales recogidos por las autoridades competentes no serán tratados para otros fines distintos de los establecidos en el artículo 1, salvo que dicho tratamiento esté autorizado por el Derecho de la Unión Europea o por la legislación española. Cuando los datos personales sean tratados para otros fines, se aplicará el Reglamento General de Protección de Datos (LA LEY 6637/2016) y la Ley Orgánica 3/2018, de 5 de diciembre (LA LEY 19303/2018), a menos que el tratamiento se efectúe como parte de una actividad que quede fuera del ámbito de aplicación del Derecho de la Unión Europea». Como vemos, se trata de casos en que se piden datos de personas privadas de libertad por autoridades diferentes a las del art. 1 LO 7/21 (LA LEY 11831/2021) —es decir, no policiales (3) — y que sólo se pueden ceder si concurren los requisitos de los arts. 6 (LA LEY 19303/2018) y 8 LO 3/2018 (LA LEY 19303/2018) —consentimiento expreso o norma legal que prevea y fundamente la cesión—. Esto es, el régimen de la LO 7/2021 (LA LEY 11831/2021) nos lleva al más estricto y garantista de la LO 3/2018 (LA LEY 19303/2018).
En segundo lugar, conforme al art. 6.3 LO 7/2021 (LA LEY 11831/2021), «los datos personales podrán ser tratados por el mismo responsable o por otro, para fines establecidos en el artículo 1 distintos de aquel para el que hayan sido recogidos, en la medida en que concurran cumulativamente las dos circunstancias siguientes: a) Que el responsable del tratamiento sea competente para tratar los datos para ese otro fin, de acuerdo con el Derecho de la Unión Europea o la legislación española. b) Que el tratamiento sea necesario y proporcionado para la consecución de ese otro fin, de acuerdo con el Derecho de la Unión Europea o la legislación española». En este caso, la norma se refiere a supuestos en que una autoridad de las del art. 1 LO 7/2021cede datos a otra autoridad de las incluidas en el mismo precepto, para fines que no son los habitualmente propios —nos sirve como ejemplo el caso en que la Administración Penitenciaria cede a un cuerpo policial un dato recabado para la ejecución penal—. Como se deriva del precepto, los requisitos para proceder a la cesión son menos rigurosos. A estos supuestos no se aplica el régimen de la LO 3/2018 (LA LEY 19303/2018), sino que basta con que se den las condiciones previstas en la propia LO 7/2021 (LA LEY 11831/2021), aunque con carácter acumulativo. Por último, el art. 7 LO 7/21 (LA LEY 11831/2021), sobre el deber de colaboración, regula el supuesto de petición de datos cualificada, en que las Fuerzas y Cuerpos de Seguridad ejercen funciones de policía judicial (4) .
En este contexto, podemos decir que las cesiones de datos de personas privadas de libertad han de analizarse siempre de manera individualizada, caso por caso, con dos fines concretos. El primero, determinar en cuál de los supuestos nos encontramos. El segundo, valorar, dentro del supuesto que se trate y con ese carácter lo más individualizado posible, si la cesión que nos solicitan cumple los requisitos legales establecidos para proceder a la misma. Y por supuesto, limitando las cesiones a lo mínimo necesario, con la comprensión de que los tratamientos de datos de carácter especial —entre los que se incluyen los informes psicológicos— habrán de ser específicamente valorados conforme a criterios más estrictos y determinados (5) . Todo ello nos devuelve a la necesaria individualización penitenciaria (6) , no sólo relevante a efectos de clasificación y tratamiento penitenciario, sino también en el tratamiento específico de los datos personales de quienes se encuentran privados de libertad (7) .
II. Ligazón normativa entre prisiones y extranjería
Volviendo al inicio, y a pesar de la postura crítica que mantenemos con esta situación (8) , la unión que la norma establece entre la comisión de un delito y la expulsión del territorio nacional, es prácticamente automática. Lo anterior, vía la expulsión penal del art. 89 del CP (LA LEY 3996/1995), vía la expulsión administrativa del art. 57.2 de la LOEx (LA LEY 126/2000) (9) . De acuerdo con el primero de los preceptos referidos, en lo que más nos interesa: «1. Las penas de prisión de más de un año impuestas a un ciudadano extranjero serán sustituidas por su expulsión del territorio español. Excepcionalmente, cuando resulte necesario para asegurar la defensa del orden jurídico y restablecer la confianza en la vigencia de la norma infringida por el delito, el juez o tribunal podrá acordar la ejecución de una parte de la pena que no podrá ser superior a dos tercios de su extensión, y la sustitución del resto por la expulsión del penado del territorio español. En todo caso, se sustituirá el resto de la pena por la expulsión del penado del territorio español cuando aquél acceda al tercer grado o le sea concedida la libertad condicional. 2. Cuando hubiera sido impuesta una pena de más de cinco años de prisión, o varias penas que excedieran de esa duración, el juez o tribunal acordará la ejecución de todo o parte de la pena, en la medida en que resulte necesario para asegurar la defensa del orden jurídico y restablecer la confianza en la vigencia de la norma infringida por el delito. En estos casos, se sustituirá la ejecución del resto de la pena por la expulsión del penado del territorio español, cuando el penado cumpla la parte de la pena que se hubiera determinado, acceda al tercer grado o se le conceda la libertad condicional. (…) 4. No procederá la sustitución cuando, a la vista de las circunstancias del hecho y las personales del autor, en particular su arraigo en España, la expulsión resulte desproporcionada. La expulsión de un ciudadano de la Unión Europea solamente procederá cuando represente una amenaza grave para el orden público o la seguridad pública en atención a la naturaleza, circunstancias y gravedad del delito cometido, sus antecedentes y circunstancias personales. Si hubiera residido en España durante los diez años anteriores procederá la expulsión cuando, además: a) Hubiera sido condenado por uno o más delitos contra la vida, libertad, integridad física y libertad e indemnidad sexuales castigados con pena máxima de prisión de más de cinco años y se aprecie fundadamente un riesgo grave de que pueda cometer delitos de la misma naturaleza. b) Hubiera sido condenado por uno o más delitos de terrorismo u otros delitos cometidos en el seno de un grupo u organización criminal. En estos supuestos será en todo caso de aplicación lo dispuesto en el apartado 2 de este artículo. (…)».
Por su parte, el art. 57.2 LOEx (LA LEY 126/2000) aborda la expulsión administrativa por comisión de delito en los siguientes términos: «2. Asimismo, constituirá causa de expulsión, previa tramitación del correspondiente expediente, que el extranjero haya sido condenado, dentro o fuera de España, por una conducta dolosa que constituya en nuestro país delito sancionado con pena privativa de libertad superior a un año, salvo que los antecedentes penales hubieran sido cancelados». A pesar de su literalidad taxativa, la STS 30/2022, de 18 de enero (LA LEY 2479/2022), destaca que la exclusión de «la naturaleza sancionadora de la expulsión prevista en el art. 57.2, no supone en este caso una merma de las garantías procedimentales (…), ni tampoco del deber de motivación, ponderación y respeto al principio de proporcionalidad propios del ejercicio de la potestad sancionadora ya que tales exigencias han de regir, asimismo, en todo caso, aun derivadas de un origen distinto, en la aplicación de la medida de expulsión que ha de estar siempre alejada de cualquier automatismo, como recuerda reiterada y constante jurisprudencia» (10) . Y es que, la medida de expulsión proyecta una afección directa sobre derechos fundamentales tan relevantes como el derecho a la intimidad personal y familiar (art. 18 CE (LA LEY 2500/1978)) y otros principios constitucionales (art. 39 CE (LA LEY 2500/1978)). Por ello, el TS determina en la referida sentencia que «aunque la medida de expulsión prevista en el art. 57.2 LOEx (LA LEY 126/2000) no revista naturaleza sancionadora, su imposición no deriva "ope legis" de forma automática de la condena por delito doloso prevista en el precepto ya que el grado de gravamen que tal medida representa en intereses constitucionalmente salvaguardados impone la necesidad, en todo caso, de motivación, individualización, ponderación de todas las circunstancias personales y familiares concurrentes, y la aplicación del principio de proporcionalidad entre la finalidad perseguida por la medida y los principios constitucionales y derechos fundamentales a los que afecta».
Sea como sea, lo cierto es que, en base a la anterior normativa, la comisión de un hecho delictivo tiene incidencia directa en la imposición de la medida de expulsión
Sea como sea, lo cierto es que, en base a la anterior normativa, la comisión de un hecho delictivo tiene incidencia directa en la imposición de la medida de expulsión. Por ello, es frecuente que los Servicios de Extranjería de las Delegaciones y Subdelegaciones de Gobierno, pidan información a los centros penitenciarios en el momento de la ejecución de la expulsión, a fin de conocer si concurren motivos para la efectividad de la misma (11) .
III. El criterio que proponemos
Las peticiones de información penitenciaria a efectos de ejecución de una expulsión son variadas y sobre todo amplias. En esta lucha entre normas tendentes a facilitar la expulsión de quien delinque y la necesidad de releer las mismas en términos garantistas —a través, especialmente, de su interpretación jurisprudencial—, todo dato que pueda fundamentar una decisión de expulsión parece bienvenido. Por ello, es fundamental en este punto que la Administración Penitenciaria se mueva dentro del ámbito normativo que le marca su misión pública. En concreto, de acuerdo al art. 1 de la LOGP (LA LEY 2030/1979), «las instituciones penitenciarias reguladas en la presente Ley tienen como fin primordial la reeducación y la reinserción social de los sentenciados a penas y medidas penales privativas de libertad, así como la retención y custodia de detenidos, presos y penados. Igualmente tienen a su cargo una labor asistencial y de ayuda para internos y liberados». Así, conforme a esta misión, de entre los diferentes aspectos que se han de valorar a efectos de ejecutar una expulsión —principalmente, y según los preceptos antes transcritos (arts. 89 CP (LA LEY 3996/1995) y 57.2 LOEx (LA LEY 126/2000)), los relativos a la afección de la seguridad ciudadana y la intensidad del arraigo en nuestro país—, la Administración Penitenciaria habrá de abstenerse de emitir valoraciones relativas a la primera, centrando su aportación en aquellos aspectos derivados de la evolución penitenciaria de la persona interesada que pudieran servir para determinar su arraigo en términos de capacidad de reinserción social (12) . Esta autolimitación es fundamental si no se quiere caer en el ejercicio indebido de funciones no penitenciarias que se salen del marco del art. 1 de la LOGP (LA LEY 2030/1979) y recaen más en el ámbito del art. 11 de la LO
2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad. En el sentido que defendemos, peticiones relativas a incidentes dentro de la prisión, sanciones disciplinarias u otras que pudieran relacionarse indirectamente con la seguridad ciudadana, debieran ser desatendidas o mejor, reconducidas al criterio anterior. Ni la seguridad de las prisiones se puede equiparar con la seguridad ciudadana, ni los datos que se recaban en cuanto a la primera —y que recaen, estos sí, dentro de la misión de la Administración Penitenciaria— sirven a efectos de valorar la relación de una persona con la segunda.
Expuesto el criterio, nos resta averiguar, dentro del art. 6 de la LO 7/21 (LA LEY 11831/2021), el supuesto concreto de actuación que en estos casos desarrollamos. Y es aquí donde, de nuevo, se detecta la complejidad de la normativa. De un lado, el art. 6.2 LO 7/21 (LA LEY 11831/2021), se encarga de evitar que «los datos personales recogidos por las autoridades competentes» sean tratados «para otros fines distintos de los establecidos en el artículo 1, salvo que dicho tratamiento esté autorizado por el Derecho de la Unión Europea o por la legislación española», remitiéndose para ello al régimen general de la LO 3/2018 (LA LEY 19303/2018) y el RGDP. De otro lado, el art. 6.3 LO 7/2021 (LA LEY 11831/2021), permite que los datos personales sean tratados «por el mismo responsable o por otro, para fines establecidos en el artículo 1 distintos de aquel para el que hayan sido recogidos», siempre que concurran cumulativamente las dos circunstancias que antes expusimos y que rebajan las exigencias de la LO 3/2018 (LA LEY 19303/2018) en cuanto a la cesión. En los casos que abordamos, se da la paradoja de que los Servicios de Extranjería están compuestos por miembros de las Fuerzas y Cuerpos de Seguridad, pero su función, entendemos, recae más en el ámbito de la tramitación de expedientes administrativos y dista de la del art. 1 de la LO 7/2021 (LA LEY 11831/2021) y los fines «de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública». Por tanto, siendo normativamente más relevante la finalidad del tratamiento de datos que el sujeto responsable de los mismos, parece que debemos optar por aplicar el apartado 2 del art. 6 LO 7/21 (LA LEY 11831/2021), frente a su apartado 3.
En definitiva, y dejando al margen las categorías especiales de datos, el tratamiento sólo podrá tener lugar por consentimiento del titular del dato (13) o concurrencia de obligación legal, interés público o ejercicio de poderes públicos en los términos del art. 8 de la LO 3/2018 (LA LEY 19303/2018). Conforme a este precepto: «1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679 (LA LEY 6637/2016), cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679 (LA LEY 6637/2016). 2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679 (LA LEY 6637/2016), cuando derive de una competencia atribuida por una norma con rango de ley». Dentro del marco valorativo en que nos movemos siempre que hablamos de la protección de datos, y con las precauciones que ello conlleva, parece que la situación normativa que los arts. 89 del CP (LA LEY 3996/1995) y 57.2 de la LOEx (LA LEY 126/2000) generan, ubicaría el supuesto de hecho expuesto más en el ámbito específico de este precepto que en el del consentimiento expreso.