Artículo 5 RGPD - Principios relativos al tratamiento

1. Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);

b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);

e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).

Considerandos relevantes

Preguntas frecuentes

Respuestas breves a preguntas habituales sobre esta disposición. Constituyen información general y no asesoramiento jurídico.

El apartado 1 exige que los datos personales sean tratados de manera lícita, leal y transparente, recogidos con fines determinados, explícitos y legítimos, adecuados, pertinentes y limitados a lo necesario, exactos y actualizados cuando sea necesario, mantenidos de forma que permita la identificación durante no más tiempo del necesario, y tratados con una seguridad adecuada. El apartado 2 añade que el responsable del tratamiento será responsable del cumplimiento de todo ello y capaz de demostrarlo.

No. La letra b) del apartado 1 prohíbe únicamente el tratamiento ulterior que sea incompatible con los fines para los que se recogieron los datos, y considera compatible el tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos cuando se realiza de conformidad con el artículo 89, apartado 1. Para otros fines nuevos, la compatibilidad se valora con arreglo a los factores del artículo 6, apartado 4.

La letra e) del apartado 1 permite mantener los datos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento. La conservación más prolongada solo se admite con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos conforme al artículo 89, apartado 1, con sujeción a medidas técnicas y organizativas apropiadas, y la anonimización sustrae los datos por completo al principio, puesto que la identificación ya no es posible.

El responsable no solo debe cumplir los principios del apartado 1, sino ser capaz de demostrar ese cumplimiento. Esta dimensión probatoria se concreta en otros lugares del Reglamento, en particular a través del registro de las actividades de tratamiento del artículo 30, del deber de protección de datos desde el diseño del artículo 25 y, cuando proceda, de las evaluaciones de impacto relativas a la protección de datos del artículo 35.

El artículo 6 dota de contenido concreto al elemento de licitud de la letra a) del artículo 5, apartado 1, puesto que el tratamiento sin base jurídica válida es ilícito. Los demás principios se aplican cumulativamente por encima de cualquier base jurídica, de modo que un tratamiento apoyado en un fundamento sólido del artículo 6 infringe aun así el Reglamento si vulnera, por ejemplo, la minimización de datos o la limitación del plazo de conservación, y las infracciones de los principios básicos quedan sujetas al nivel superior de multas del artículo 83, apartado 5, letra a).