Bienvenida y Guía de Compra
Este manual premium de estudio ha sido concebido para cubrir el programa oficial de oposiciones de España relativo a la Ley Orgánica 3/2018 — Protección de Datos y Derechos Digitales. Ha sido diseñado específicamente para maximizar el rendimiento de estudio en convocatorias estatales, autonómicas y locales.
🎨 Sistema de Estudio Visual Activo
Para facilitar tu memorización, cada capítulo cuenta con el sistema de colores de subrayado y cajas especiales:
- 🟢 Verde: Plazos, días y términos de examen obligatorios.
- 🟡 Amarillo: Definiciones literales y conceptos clave.
- 🔴 Rojo: Supuestos de nulidad y prohibiciones críticas.
- 💡 Trucos mnemotécnicos: Reglas cortas de retención inmediata.
- ⚠️ Trampas frecuentes: Las preguntas confusas de exámenes previos.
Tema I — Objeto y Ámbito de Aplicación de la LOPDGDD
Estimados opositores, bienvenidos a este primer tema esencial en vuestra preparación para las pruebas de acceso a la función pública. Abordaremos hoy los pilares fundamentales de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), una norma que, lejos de ser un mero apéndice, constituye el desarrollo y la adaptación de nuestro ordenamiento jurídico al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). La comprensión profunda de su objeto y ámbito de aplicación es la piedra angular para dominar el resto del temario.
La protección de datos personales no es una cuestión baladí; es un derecho fundamental reconocido en el artículo 18.4 de nuestra Constitución Española, que establece que "la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos". Este mandato constitucional, junto con la Carta de los Derechos Fundamentales de la Unión Europea y el propio RGPD, configura un marco jurídico robusto que la LOPDGDD viene a concretar en el ámbito español, introduciendo además la novedosa garantía de los derechos digitales.
En este tema, analizaremos con la máxima rigurosidad técnica los preceptos que delimitan el alcance de la LOPDGDD, estableciendo qué tratamientos de datos quedan sujetos a su imperio y cuáles no, así como los principios que deben regir toda actividad de tratamiento. Es fundamental comprender la interrelación constante entre la LOPDGDD y el RGPD, siendo la primera una norma complementaria y de desarrollo de la segunda, y nunca una norma que la contradiga o disminuya su nivel de protección.
1. Objeto de la Ley Orgánica 3/2018 (Artículo 1 LOPDGDD)
El artículo 1 de la LOPDGDD establece de manera clara el propósito fundamental de la ley. Su redacción es concisa pero cargada de significado, y refleja la doble dimensión de la norma:
«La presente ley orgánica tiene por objeto adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y garantizar los derechos digitales de la ciudadanía de acuerdo con el artículo 18.4 de la Constitución Española.»
De este precepto podemos extraer dos objetivos primordiales:
- ▶ La adaptación del ordenamiento jurídico español al RGPD: Esto significa que la LOPDGDD desarrolla aquellos aspectos que el RGPD permite a los Estados miembros concretar o especificar (lo que se conoce como "margen de maniobra" o "cláusulas abiertas"). La LOPDGDD complementa al RGPD, pero nunca lo sustituye. El RGPD es de aplicación directa y prevalente.
- ▶ La garantía de los derechos digitales de la ciudadanía: Este es el aspecto más innovador y distintivo de la LOPDGDD. El Título X de la ley dedica una serie de artículos a reconocer y garantizar derechos como el derecho a la neutralidad de la red, el derecho de acceso universal, el derecho a la seguridad digital, el derecho a la educación digital, el derecho al olvido en búsquedas de internet y servicios de redes sociales y equivalentes, el derecho a la portabilidad, entre otros. Estos derechos buscan proteger a las personas en el entorno digital, actualizando la protección del artículo 18.4 CE a la realidad tecnológica actual.
Es crucial entender que la LOPDGDD opera en un marco de complementariedad con el RGPD. Donde el RGPD establece una norma de aplicación directa, la LOPDGDD no puede contradecirla. Su función es precisar y desarrollar aquellos aspectos que el legislador europeo dejó a la potestad de los Estados miembros, y establecer un régimen sancionador específico para España, además de los citados derechos digitales.
2. Ámbito de Aplicación Material (Artículo 2 LOPDGDD)
El artículo 2 de la LOPDGDD delimita el ámbito material de aplicación de la ley, remitiéndose directamente al RGPD. Esto subraya la primacía del reglamento europeo en esta materia. No obstante, establece ciertas exclusiones que son importantes conocer.
«1. La presente ley orgánica será de aplicación al tratamiento de datos personales que se efectúe en el marco de las actividades comprendidas en el ámbito de aplicación del Reglamento (UE) 2016/679.
2. Esta ley orgánica no será de aplicación a los tratamientos de datos personales sometidos a la normativa de seguridad nacional, defensa o seguridad pública ni a los realizados por órganos jurisdiccionales en el ejercicio de su función jurisdiccional, ni a los realizados en el marco de actividades personales o domésticas.
3. La presente ley orgánica será de aplicación a los tratamientos de datos personales efectuados por las autoridades competentes a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluida la protección frente a las amenazas para la seguridad pública y su prevención, cuando dichos tratamientos estén sometidos al ámbito de aplicación del Título VI de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.
4. A los tratamientos de datos personales efectuados por las instituciones, órganos y organismos de la Unión Europea se les aplicará el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE.
5. La presente ley orgánica no será de aplicación a los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3 sobre el ejercicio de los derechos de acceso, rectificación y supresión por parte de los herederos o personas vinculadas por razones familiares o de hecho.
6. Las referencias efectuadas en esta ley orgánica a los tratamientos de datos personales se entenderán realizadas a cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no automatizados, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
Del apartado 1 se desprende que el ámbito material de la LOPDGDD es el mismo que el del RGPD. Esto implica que la ley se aplica a cualquier tratamiento de datos personales (definido en el apartado 6 y en el art. 4.2 RGPD) realizado por medios total o parcialmente automatizados, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero (estructura organizada de datos personales, art. 4.6 RGPD).
Las exclusiones del apartado 2 son cruciales para el opositor:
- ▶ Seguridad nacional, defensa o seguridad pública: Estos ámbitos se rigen por su normativa específica, no por la LOPDGDD ni el RGPD.
- ▶ Órganos jurisdiccionales en el ejercicio de su función jurisdiccional: La independencia judicial implica que sus tratamientos se someten a la Ley Orgánica del Poder Judicial y a la legislación procesal.
- ▶ Actividades personales o domésticas: Un ejemplo claro sería una agenda de contactos personal. La clave es que no haya una actividad profesional o comercial detrás.
El apartado 3 introduce una precisión importante sobre los tratamientos para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales. Estos se rigen por la Ley Orgánica 7/2021, que transpone la Directiva (UE) 2016/680 (conocida como "Directiva de policía y justicia"), y no directamente por la LOPDGDD o el RGPD, aunque comparten principios fundamentales.
3. Ámbito de Aplicación Territorial (Artículo 3 LOPDGDD)
El artículo 3 de la LOPDGDD aborda el ámbito territorial de aplicación, remitiéndose nuevamente al RGPD, lo que demuestra la voluntad de mantener una coherencia normativa a nivel europeo.
«La presente ley orgánica será de aplicación a los tratamientos de datos personales sometidos al ámbito de aplicación territorial del Reglamento (UE) 2016/679, de acuerdo con lo establecido en su artículo 3.»
Para entender el ámbito territorial de la LOPDGDD, debemos acudir al artículo 3 del RGPD, que establece los siguientes criterios:
- ▶ Criterio de establecimiento: El RGPD se aplica al tratamiento de datos personales realizado en el contexto de las actividades de un establecimiento de un responsable o encargado del tratamiento en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no (art. 3.1 RGPD).
- ▶ Criterio de oferta de bienes o servicios/seguimiento de comportamiento: El RGPD se aplica al tratamiento de datos personales de interesados que se encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con la oferta de bienes o servicios a dichos interesados en la Unión, o con el seguimiento de su comportamiento en la medida en que este tenga lugar en la Unión (art. 3.2 RGPD). Este es el llamado criterio de extraterritorialidad.
- ▶ Criterio de Derecho Internacional Público: El RGPD se aplica al tratamiento de datos personales por parte de un responsable no establecido en la Unión, pero en un lugar donde se aplique el Derecho de un Estado miembro en virtud del Derecho internacional público (art. 3.3 RGPD).
Introducción: La Piedra Angular de la Protección de Datos
Estimados opositores, bienvenidos a este segundo tema de nuestro programa, un pilar fundamental para la comprensión y aplicación de la normativa de protección de datos personales. En un mundo cada vez más digitalizado, donde la información es un activo de valor incalculable, la protección de los datos personales se erige como un derecho fundamental, esencial para la dignidad y autonomía de la persona. La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en consonancia con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), establece un marco jurídico robusto cimentado en una serie de principios que actúan como directrices ineludibles para cualquier tratamiento de datos. Estos principios no son meras recomendaciones, sino auténticos mandatos que deben informar toda la actividad de los responsables y encargados del tratamiento, garantizando que el derecho fundamental a la protección de datos no sea una quimera, sino una realidad palpable.
El presente tema se centra en cuatro de estos principios cardinales: la licitud, lealtad y transparencia; la limitación de la finalidad; la minimización de datos; y la exactitud. Estos conceptos, aunque aparentemente sencillos, encierran una complejidad jurídica y práctica que exige un conocimiento profundo para su correcta aplicación y para superar con éxito las pruebas de cualquier oposición. Son la base sobre la que se construye la confianza entre los ciudadanos y las entidades que manejan su información, y su incumplimiento puede acarrear graves consecuencias, tanto para los derechos de los interesados como para la reputación y el régimen sancionador de los responsables.
Analizaremos cada uno de ellos con la rigurosidad y el detalle que caracteriza a un catedrático de Derecho, desglosando su significado, sus implicaciones y su interconexión, siempre con la vista puesta en la preparación de nuestros futuros servidores públicos.
I. El Principio de Licitud, Lealtad y Transparencia: La Triple Base del Tratamiento
El primer principio que abordamos es, quizás, el más amplio y fundamental, ya que establece la condición de partida para cualquier tratamiento de datos. El Artículo 5.1.a) del RGPD y el Artículo 4 de la LOPDGDD disponen que los datos personales serán «tratados de manera lícita, leal y transparente en relación con el interesado». Esta tríada de conceptos constituye la espina dorsal de la legitimidad de cualquier operación de tratamiento.
- ▶ Licitud: Un tratamiento es lícito cuando se fundamenta en alguna de las bases jurídicas establecidas en el Artículo 6 del RGPD. Sin una de estas bases, el tratamiento es ilegal. Las bases son:
- ▶ Consentimiento del interesado.
- ▶ Ejecución de un contrato o precontrato.
- ▶ Cumplimiento de una obligación legal.
- ▶ Protección de intereses vitales del interesado o de otra persona física.
- ▶ Cumplimiento de una misión de interés público o el ejercicio de poderes públicos.
- ▶ Satisfacción de intereses legítimos del responsable (salvo que prevalezcan los intereses o derechos y libertades fundamentales del interesado).
- ▶ Lealtad: Implica que el tratamiento de datos debe ser justo, honrado y realizado de buena fe. No debe engañar ni sorprender al interesado. Los datos deben utilizarse de la forma en que el interesado razonablemente esperaría, basándose en la información que se le ha proporcionado.
- ▶ Transparencia: Exige que el responsable del tratamiento proporcione al interesado información clara, concisa, inteligible y de fácil acceso sobre el tratamiento de sus datos. Esto incluye la identidad del responsable, los fines del tratamiento, la base jurídica, los destinatarios, los plazos de conservación y los derechos del interesado. La información debe ser fácilmente comprensible, especialmente para los niños.
El Artículo 4 de la LOPDGDD reitera esta formulación del RGPD, estableciendo que:
«1. El tratamiento de datos personales será lícito únicamente si concurre alguna de las condiciones previstas en el artículo 6 del Reglamento (UE) 2016/679 y, en su caso, en el artículo 9 del mismo para las categorías especiales de datos.
2. Los datos personales serán tratados de manera leal y transparente en relación con el interesado.»
II. El Principio de Limitación de la Finalidad: El "Para Qué" del Tratamiento
Una vez establecida la licitud, el siguiente principio aborda el propósito del tratamiento. El Artículo 5.1.b) del RGPD y el Artículo 4 de la LOPDGDD establecen el principio de limitación de la finalidad, que exige que los datos personales sean «recogidos con fines determinados, explícitos y legítimos, y no serán tratados posteriormente de manera incompatible con dichos fines».
- ▶ Fines determinados, explícitos y legítimos: Esto significa que antes de recoger cualquier dato, el responsable debe tener claro para qué los va a utilizar. Estos fines deben ser específicos (no genéricos), estar claramente definidos y ser conformes a la ley. No cabe la recolección de datos "por si acaso" pudieran ser útiles en el futuro.
- ▶ Incompatibilidad con los fines iniciales: La prohibición de un tratamiento posterior incompatible es crucial. Si los datos se recogieron para un fin específico (ej. gestión de un pedido), no pueden utilizarse posteriormente para un fin distinto (ej. marketing directo) sin una nueva base de licitud y, en su caso, una nueva información al interesado.
El propio RGPD contempla algunas excepciones a esta prohibición de incompatibilidad, considerando que el tratamiento posterior para fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos no se considerará incompatible con los fines iniciales, siempre que se apliquen las garantías adecuadas, como la seudonimización o anonimización.
La LOPDGDD, en su Artículo 4.3, especifica que:
«3. Los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados posteriormente de manera incompatible con dichos fines. El tratamiento posterior de los datos personales con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos no se considerará incompatible con los fines iniciales, de conformidad con el artículo 89.1 del Reglamento (UE) 2016/679, siempre que se apliquen las garantías adecuadas.»
III. El Principio de Minimización de Datos: La Esencia de la Proporcionalidad
Este principio aborda la cantidad y el tipo de datos que deben recogerse. El Artículo 5.1.c) del RGPD y el Artículo 4 de la LOPDGDD establecen que los datos personales serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados».
- ▶ Adecuados: Los datos deben ser apropiados para el fin perseguido.
- ▶ Pertinentes: Los datos deben guardar relación directa con el fin.
- ▶ Limitados a lo necesario: Este es el núcleo del principio. Solo se deben recopilar y tratar aquellos datos estrictamente indispensables para alcanzar el fin declarado. Cualquier dato adicional es excesivo y, por tanto, incumple este principio.
Este principio implica una evaluación constante de la necesidad de los datos. Antes de recopilar un dato, debe preguntarse: ¿Es este dato absolutamente esencial para lograr el objetivo que me he propuesto? Si la respuesta es no, entonces no debe recogerse.
El Artículo 4.4 de la LOPDGDD reproduce este mandato:
«4. Los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.»
IV. El Principio de Exactitud: La Fiabilidad de la Información
La calidad de los datos es tan importante como su cantidad y su finalidad. El Artículo 5.1.d) del RGPD y el Artículo 4 de la LOPDGDD establecen el principio de exactitud, exigiendo que los datos personales sean «exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan».
- ▶ Exactitud y actualización: Los datos deben reflejar la realidad de la persona en el momento del tratamiento. Si hay cambios (ej. domicilio, estado civil), los datos deben actualizarse para mantener su exactitud. La obligación de actualización es "si fuera necesario", lo que implica que depende del fin del tratamiento.
- ▶ Medidas razonables para supresión o rectificación: El responsable del tratamiento tiene una obligación activa de garantizar la exactitud. Si detecta datos inexactos, o es informado de ellos, debe adoptar "todas las medidas razonables" para suprimirlos o rectificarlos "sin dilación". Esto implica establecer procedimientos internos para la gestión de la calidad de los datos.
La inexactitud de los datos puede llevar a decisiones erróneas que afecten negativamente al interesado, por lo que este principio es fundamental para la protección de sus derechos y libertades.
El Artículo 4.5 de la LOPDGDD establece lo siguiente:
«5. Los datos personales serán exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan.»
V. Interconexión y Carácter Fundamental de los Principios
Es crucial entender que los principios de protección de datos no operan de forma aislada, sino que están intrínsecamente interconectados y forman un sistema coherente. El cumplimiento de uno de ellos suele depender o influir en el cumplimiento de los demás.
- ▶ La licitud es la puerta de entrada: sin una base legal, no puede haber tratamiento.
- ▶ La transparencia alimenta la licitud (especialmente en el consentimiento) y la lealtad, asegurando que el interesado conozca el "qué", "para qué" y "cómo" de sus datos.
- ▶ La limitación de la finalidad define el marco de uso, que a su vez condiciona la minimización (solo los datos necesarios para ese fin) y la exactitud (solo los datos exactos relevantes para ese fin).
- ▶ La minimización contribuye a la seguridad (menos datos, menos riesgo) y a la lealtad (no se recogen datos innecesarios).
- ▶ La exactitud es fundamental para que el tratamiento sea justo y no perjudique al interesado, reforzando la lealtad.
Estos principios son la manifestación concreta del derecho fundamental a la protección de datos personales reconocido en el Artículo 18.4 de la Constitución Española y en el Artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Su observancia es indispensable para garantizar que el tratamiento de datos respete la autonomía, la privacidad y la dignidad de las personas.
Tema III — Legitimación y Consentimiento
Estimados opositores, bienvenidos a este tercer tema, de capital importancia en el estudio de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Abordaremos hoy uno de los pilares esenciales de la protección de datos: la legitimación para el tratamiento de datos. Sin una base jurídica sólida, cualquier tratamiento de datos personales deviene ilícito, con las gravísimas consecuencias que ello conlleva. Este tema no solo es fundamental desde una perspectiva teórica, sino que su correcta comprensión es absolutamente crítica para la aplicación práctica de la normativa y, por ende, para el éxito en vuestro examen.
La LOPDGDD, como saben, complementa y desarrolla el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos o RGPD). Por tanto, la legitimación debe ser analizada desde una doble perspectiva: la del RGPD, que establece las bases generales aplicables en toda la Unión Europea, y la de la LOPDGDD, que introduce especificidades y adaptaciones al ordenamiento jurídico español, siempre dentro del marco de habilitación que el propio Reglamento permite.
Nuestro objetivo es desglosar las bases jurídicas para el tratamiento de datos, prestando especial atención al consentimiento —incluido el consentimiento del menor con la particularidad de los 14 años en España— y al interés legítimo del responsable, que son, sin duda, las figuras que generan mayor controversia y requieren una mayor precisión técnica.
1. El Principio de Licitud y las Bases Jurídicas del Tratamiento de Datos (Art. 6 RGPD y Art. 6 LOPDGDD)
El principio de licitud es el primero de los principios relativos al tratamiento de datos personales enunciados en el artículo 5.1.a) del RGPD, y establece que los datos personales serán tratados de manera lícita, leal y transparente en relación con el interesado. La licitud implica, fundamentalmente, que todo tratamiento debe apoyarse en una de las bases jurídicas establecidas en el artículo 6 del RGPD. Sin esta base, el tratamiento es ilegal.
El artículo 6 del RGPD enumera las seis bases jurídicas que legitiman el tratamiento de datos personales. La LOPDGDD, en su artículo 6, reproduce y desarrolla estas bases, aportando clarificaciones y particularidades al contexto español.
Artículo 6 del Reglamento General de Protección de Datos (RGPD):
«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- ▶ a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- ▶ b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- ▶ c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- ▶ d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- ▶ e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- ▶ f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento de las letras c) y e) del apartado 1, determinando con mayor precisión los requisitos específicos de tratamiento y otras medidas para garantizar un tratamiento lícito y leal.
3. La base para el tratamiento a que se refieren las letras c) y e) del apartado 1 deberá establecerse en el Derecho de la Unión o en el Derecho de los Estados miembros que se aplique al responsable del tratamiento. El fin del tratamiento deberá determinarse en dicha base jurídica o, en lo que respecta al tratamiento a que se refiere la letra e) del apartado 1, ser necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de las normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable del tratamiento; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar los datos y los fines de dicha comunicación; la limitación de la finalidad; los plazos de conservación y las operaciones y procedimientos de tratamiento, incluidas las medidas para garantizar un tratamiento lícito y leal, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o el Derecho de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
4. Cuando el tratamiento para un fin distinto de aquel para el que los datos personales fueron recogidos no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcionada en una sociedad democrática para salvaguardar los objetivos a que se refiere el artículo 23, el responsable del tratamiento, a fin de determinar si el tratamiento para otro fin es compatible con el fin inicial para el que se recogieron los datos personales, tendrá en cuenta, entre otras cosas:
- ▶ a) todo vínculo entre los fines para los que se recogieron los datos personales y los fines del tratamiento ulterior previsto;
- ▶ b) el contexto en el que se recogieron los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- ▶ c) la naturaleza de los datos personales, en particular si se tratan categorías especiales de datos personales con arreglo al artículo 9, o datos relativos a condenas e infracciones penales con arreglo al artículo 10;
- ▶ d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- ▶ e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.»
La LOPDGDD, en su artículo 6, reitera las condiciones de licitud del tratamiento, pero introduce precisiones importantes, especialmente en lo que respecta al interés legítimo y otras situaciones particulares.
Artículo 6 de la Ley Orgánica 3/2018 (LOPDGDD):
«1. El tratamiento de datos personales solo podrá considerarse lícito cuando se cumpla alguna de las condiciones siguientes:
- ▶ a) Que el interesado hubiera dado su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos.
- ▶ b) Que el tratamiento sea necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.
- ▶ c) Que el tratamiento sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.
- ▶ d) Que el tratamiento sea necesario para proteger intereses vitales del interesado o de otra persona física.
- ▶ e) Que el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
- ▶ f) Que el tratamiento sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo anterior no será de aplicación al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones.
2. El tratamiento de datos personales para la satisfacción de intereses legítimos del responsable o de un tercero requerirá un análisis previo de la ponderación de los intereses y derechos de los interesados, que deberá estar a disposición de la autoridad de control cuando esta lo solicite.
3. El tratamiento de datos de contacto y de empresarios individuales para el mantenimiento de relaciones de cualquier índole con la persona física a la que se refieran los datos podrá fundarse en el interés legítimo del responsable del tratamiento, siempre que este interés no prevalezca sobre los intereses o los derechos y libertades fundamentales del interesado.
4. El tratamiento de datos personales para fines de archivo en interés público, investigación científica o histórica o fines estadísticos podrá fundarse en el interés legítimo del responsable del tratamiento, siempre que este interés no prevalezca sobre los intereses o los derechos y libertades fundamentales del interesado.
5. El tratamiento de datos personales relativos a la solvencia patrimonial y al crédito podrá fundarse en el interés legítimo del responsable del tratamiento, siempre que este interés no prevalezca sobre los intereses o los derechos y libertades fundamentales del interesado.»
Es crucial seleccionar la base jurídica adecuada para cada finalidad del tratamiento y documentar dicha elección. La falta de una base jurídica válida es una infracción muy grave.
2. El Consentimiento como Base Legitimadora (Art. 4.11 y Art. 7 RGPD; Art. 6.1.a y Art. 7 LOPDGDD)
El consentimiento es, quizás, la base jurídica más conocida y, a menudo, la primera en la que se piensa, aunque no siempre sea la más adecuada o necesaria. Su definición y requisitos son estrictos y su incumplimiento invalida el tratamiento.
Artículo 4.11 del RGPD define el consentimiento del interesado como:
«toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.»
Esta definición nos permite desglosar las características esenciales del consentimiento:
Artículo 7 del RGPD establece las condiciones para el consentimiento:
«1. Cuando el tratamiento se base en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiere a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo.
3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se dio libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita a la prestación del consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.»
La LOPDGDD, en su artículo 6.1.a, reitera la necesidad del consentimiento. El artículo 7 de la LOPDGDD se centra en el consentimiento de los menores, que analizaremos a continuación.
3. El Consentimiento del Menor de Edad (Art. 8 RGPD y Art. 7 LOPDGDD)
El tratamiento de datos de menores de edad requiere una protección especial, dado que los menores pueden ser menos conscientes de los riesgos, consecuencias y salvaguardias que implica el tratamiento de datos personales. El RGPD establece una edad general, pero permite a los Estados miembros modularla.
Artículo 8 del RGPD:
«1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño solo será lícito si este tiene al menos 16 años. Si el niño es menor de 16 años, tal tratamiento solo será lícito si el titular de la patria potestad o tutela sobre el niño autoriza o consiente su tratamiento.
2. Los Estados miembros podrán establecer por ley una edad inferior a tales efectos, siempre que esta no sea inferior a 13 años.
3. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.
4. Lo dispuesto en el apartado 1 no afectará al Derecho general de los contratos de los Estados miembros, como las normas relativas a la validez, la formación o los efectos de un contrato en relación con un niño.»
España ha ejercido la habilitación del apartado 2 del artículo 8 del RGPD, estableciendo una edad específica en la LOPDGDD.
Artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD):
«1. El tratamiento de los datos personales de un menor de edad solo podrá fundarse en su consentimiento cuando este sea mayor de catorce años.
2. Se presumirá válido el consentimiento prestado por el menor a partir de los catorce años para aquellos servicios de la sociedad de la información que se dirijan a tal colectivo.
3. Cuando el menor sea menor de catorce años, solo será lícito el tratamiento si consta el consentimiento del titular de la patria potestad o tutela, con el alcance que establezca la ley.
4. En el caso de que el tratamiento se dirija a menores de edad, el responsable del tratamiento deberá establecer procedimientos que permitan verificar de forma efectiva la edad del menor y la autenticidad del consentimiento prestado por el titular de la patria potestad o tutela, en su caso.»
La LOPDGDD establece una presunción de validez del consentimiento a partir de los 14 años para los servicios de la sociedad de la información dirigidos a menores. Esto simplifica la gestión para los responsables, pero no exime de la obligación de informar de forma clara y adaptada a la edad del menor.
Es fundamental que los responsables implementen mecanismos robustos para verificar la edad del menor y, en su caso, la autenticidad del consentimiento de los padres o tutores. Esto evita tratamientos ilícitos y posibles sanciones.
4. El Interés Legítimo del Responsable del Tratamiento (Art. 6.1.f RGPD y Art. 6.2 LOPDGDD)
El interés legítimo es una de las bases jurídicas más flexibles, pero también la que requiere una mayor diligencia y un análisis de ponderación riguroso por parte del responsable del tratamiento. No es un "comodín" para tratar datos sin consentimiento.
El artículo 6.1
Tema IV — Derechos de las Personas: Acceso y Rectificación
Estimados opositores, bienvenidos a este análisis exhaustivo de los derechos de acceso y rectificación, pilares fundamentales en la protección de datos personales. Como catedrático de Derecho Administrativo y Constitucional y director académico experto en oposiciones, mi objetivo es dotarles de una comprensión profunda y rigurosa, al nivel que exige la Administración Pública y que les permitirá destacar en cualquier examen. Estos derechos, consagrados tanto a nivel constitucional como en la normativa europea y nacional, representan la manifestación más directa del control que el ciudadano debe tener sobre su información personal.
La irrupción del Reglamento General de Protección de Datos (RGPD) y su desarrollo en España a través de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), ha reforzado significativamente el marco de garantías para los interesados. Los derechos de acceso y rectificación, si bien no son novedosos, han visto su alcance y procedimiento de ejercicio clarificados y potenciados, convirtiéndose en herramientas esenciales para asegurar la exactitud y la transparencia en el tratamiento de datos. Dominar su articulado, sus plazos y sus implicaciones es crucial para cualquier operador jurídico.
1. Marco Normativo y Principios Rectores de los Derechos
La protección de datos personales en España tiene su génesis en el artículo 18.4 de la Constitución Española, que establece que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. Este precepto constitucional sirve de base para todo el entramado normativo posterior.
A nivel europeo, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), constituye la piedra angular de la protección de datos en la Unión Europea. Los derechos de acceso y rectificación se regulan específicamente en sus artículos 15 y 16, respectivamente.
En el ámbito nacional, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), desarrolla y complementa el RGPD, adaptando su aplicación al ordenamiento jurídico español. Los derechos objeto de este tema se encuentran regulados en el Título III, Capítulo II, concretamente en los artículos 13 y 14 para el derecho de acceso y rectificación, y en el artículo 12 para las disposiciones generales sobre el ejercicio de los derechos.
Los principios rectores que deben guiar el ejercicio y la atención de estos derechos son la transparencia, la lealtad, la gratuidad (como regla general) y la facilidad para su ejercicio. El responsable del tratamiento debe facilitar al interesado el ejercicio de sus derechos, proporcionándole información clara, concisa y comprensible.
2. El Derecho de Acceso: Contenido y Procedimiento
El derecho de acceso es uno de los pilares de la protección de datos, permitiendo al interesado conocer si sus datos personales están siendo tratados y, en caso afirmativo, obtener una copia de los mismos y una serie de informaciones esenciales sobre dicho tratamiento.
Según el artículo 15 del RGPD, el interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, acceso a los datos personales y a la siguiente información:
- ▶ Los fines del tratamiento.
- ▶ Las categorías de datos personales de que se trate.
- ▶ Los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales.
- ▶ El plazo previsto de conservación de los datos personales o, si no fuera posible, los criterios utilizados para determinar este plazo.
- ▶ La existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento.
- ▶ El derecho a presentar una reclamación ante una autoridad de control.
- ▶ Cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen.
- ▶ La existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, del RGPD, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
La LOPDGDD, en su artículo 13, complementa y detalla el ejercicio de este derecho, estableciendo que el derecho de acceso se entenderá otorgado por la identificación de los fines del tratamiento, las categorías de datos objeto de tratamiento, los destinatarios, el plazo de conservación, el origen de los datos, la existencia de decisiones automatizadas y los derechos que asisten al interesado. Se especifican las modalidades de acceso:
- ▶ El responsable facilitará una copia de los datos personales objeto de tratamiento.
- ▶ Si el interesado solicita el acceso por medios electrónicos, la información se facilitará en un formato electrónico de uso común, salvo que solicite otra cosa.
Es importante señalar que, si el responsable tratase una gran cantidad de datos relativos al interesado, podrá solicitarle que especifique los datos o actividades de tratamiento a los que se refiere la solicitud, sin que ello implique restringir el alcance del derecho de acceso.
3. El Derecho de Rectificación: Fundamento y Requisitos
El derecho de rectificación garantiza que los datos personales tratados sean exactos y completos, permitiendo al interesado corregir cualquier inexactitud o completar datos incompletos.
El artículo 16 del RGPD establece que el interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.
La LOPDGDD, en su artículo 14, detalla aspectos procedimentales de este derecho:
- ▶ En la solicitud de rectificación, el interesado deberá indicar a qué datos se refiere y la corrección que deba realizarse, acompañando la documentación que justifique la inexactitud o el carácter incompleto de los datos.
- ▶ Cuando los datos personales sean rectificados, el responsable del tratamiento comunicará la rectificación a todos los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado.
Es fundamental que el interesado aporte la información necesaria para la rectificación, ya que el responsable no tiene la obligación de investigar la veracidad de los datos, sino de actuar sobre la base de la información proporcionada por el interesado.
4. Disposiciones Comunes al Ejercicio de los Derechos
El artículo 12 de la LOPDGDD establece las disposiciones generales aplicables al ejercicio de todos los derechos reconocidos en el RGPD y en la propia LOPDGDD, incluyendo acceso y rectificación.
Legitimación:
- ▶ El ejercicio de los derechos corresponde al interesado o a su representante legal o voluntario.
- ▶ En el caso de personas fallecidas, el artículo 3 de la LOPDGDD otorga a sus herederos o a personas vinculadas por razones familiares o de hecho, así como al Ministerio Fiscal, la facultad de solicitar el acceso, rectificación o supresión de los datos del fallecido. Esta facultad no se ejercerá si el fallecido lo hubiese prohibido expresamente o así lo establezca una ley.
Forma de Ejercicio:
- ▶ Los derechos se ejercerán mediante solicitud dirigida al responsable del tratamiento o, en su caso, al delegado de protección de datos (DPD).
- ▶ El responsable deberá facilitar medios sencillos y gratuitos para el ejercicio de los derechos.
Gratuidad y Excepciones:
- ▶ El ejercicio de los derechos será gratuito.
- ▶ No obstante, el responsable podrá cobrar un canon razonable basado en los costes administrativos si las solicitudes son manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo. En estos casos, el responsable podrá también negarse a actuar respecto de la solicitud. La carga de la prueba de que la solicitud es manifiestamente infundada o excesiva recaerá en el responsable.
Identificación del Solicitante:
- ▶ El responsable podrá solicitar información adicional necesaria para confirmar la identidad del interesado cuando tenga dudas razonables al respecto.
Información al Interesado:
- ▶ El responsable informará al interesado sobre las actuaciones derivadas de su solicitud sin dilación indebida y, en todo caso, en el plazo de un mes desde la recepción de la solicitud.
- ▶ Este plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.
5. Procedimiento Detallado para el Ejercicio de los Derechos
El procedimiento para el ejercicio de los derechos de acceso y rectificación se articula en torno a una serie de pasos que garantizan la eficacia de la tutela del interesado.
1. Solicitud al Responsable del Tratamiento:
- ▶ El interesado debe dirigir su solicitud al responsable del tratamiento de los datos o, en su caso, al Delegado de Protección de Datos (DPD) si la entidad lo tiene designado. Es recomendable utilizar los canales que el responsable haya habilitado a tal efecto, que deben ser sencillos y accesibles.
2. Contenido de la Solicitud:
- ▶ La solicitud debe contener, al menos:
- ▶ Nombre y apellidos del interesado.
- ▶ Domicilio a efectos de notificaciones.
- ▶ Petición en que se concreta la solicitud (ej. "solicito acceso a todos mis datos personales tratados por su entidad", o "solicito la rectificación de mi fecha de nacimiento, que es incorrecta").
- ▶ Fecha y firma del solicitante.
- ▶ Documento acreditativo de la identidad (copia de DNI, NIE, pasaporte).
- ▶ En el caso de rectificación, la documentación que justifique la inexactitud o el carácter incompleto de los datos.
3. Identificación del Solicitante:
- ▶ El responsable debe verificar la identidad del solicitante para evitar accesos o modificaciones no autorizadas. Si existen dudas razonables, podrá solicitar información adicional.
4. Plazos de Respuesta y Silencio Administrativo:
- ▶ El responsable debe responder en el plazo de un mes. Este plazo puede prorrogarse por dos meses adicionales si la solicitud es compleja o hay muchas solicitudes. La prórroga debe ser notificada al interesado en el plazo del primer mes, indicando los motivos.
- ▶ En el caso de no recibir respuesta en el plazo establecido, el silencio administrativo en materia de protección de datos
Introducción: El Reforzamiento de los Derechos Digitales en la LOPDGDD
Estimados opositores, en el presente tema nos adentraremos en el estudio pormenorizado de una tríada de derechos fundamentales en el ámbito de la protección de datos personales: el derecho de supresión (popularmente conocido como "derecho al olvido"), el derecho de limitación del tratamiento y el derecho a la portabilidad de los datos. Estos derechos, consagrados en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y desarrollados en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), representan pilares esenciales en la autonomía y el control que los ciudadanos ostentan sobre su información personal en la era digital.
La LOPDGDD, en su Título II, bajo la rúbrica "Derechos de las personas", complementa y especifica el régimen del RGPD, adaptándolo al ordenamiento jurídico español y, en algunos casos, ampliando su alcance, especialmente en lo que respecta a los derechos digitales. Es crucial comprender que estos derechos no son meras facultades, sino auténticas garantías jurídicas que permiten al interesado exigir al responsable del tratamiento una actuación concreta sobre sus datos, dotándole de un poder real frente a los tratamientos automatizados y la proliferación de información en línea.
El estudio de estos derechos requiere no solo una comprensión teórica de sus definiciones y condiciones de ejercicio, sino también un análisis práctico de las situaciones en las que pueden ser invocados, las excepciones que los limitan y los procedimientos para su efectiva garantía. La rigurosidad en la cita de los preceptos legales y la comprensión de sus interrelaciones serán clave para superar con éxito las pruebas.
1. El Derecho de Supresión o "Derecho al Olvido" (Art. 17 RGPD y Art. 15 LOPDGDD)
El derecho de supresión, comúnmente denominado "derecho al olvido", es la facultad del interesado de obtener del responsable del tratamiento la supresión de los datos personales que le conciernen sin dilación indebida, cuando concurra alguna de las circunstancias establecidas legalmente. Este derecho es una manifestación directa del principio de minimización de datos y de la necesidad de que los datos sean exactos y pertinentes para los fines para los que fueron recogidos.
1.1. Fundamento y Condiciones de Ejercicio (Art. 17 RGPD)
El artículo 17 del RGPD establece las condiciones bajo las cuales el interesado tiene derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernen. Estas circunstancias son:
- ▶ Que los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo.
- ▶ Que el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico.
- ▶ Que el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o se oponga al tratamiento con arreglo al artículo 21, apartado 2 (marketing directo).
- ▶ Que los datos personales hayan sido tratados ilícitamente.
- ▶ Que los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento.
- ▶ Que los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1 (consentimiento de un niño).
1.2. Excepciones al Derecho de Supresión (Art. 17.3 RGPD)
Es fundamental conocer las excepciones a este derecho, ya que el responsable del tratamiento puede negarse a suprimir los datos cuando el tratamiento sea necesario para:
- ▶ El ejercicio de la libertad de expresión y de información.
- ▶ El cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
- ▶ Razones de interés público en el ámbito de la salud pública.
- ▶ Fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, siempre que la supresión pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento.
- ▶ La formulación, el ejercicio o la defensa de reclamaciones.
1.3. El Derecho al Olvido en Servicios de la Sociedad de la Información (Art. 15 LOPDGDD)
La LOPDGDD especifica la aplicación del derecho al olvido en el entorno digital, abordando dos escenarios clave:
1.3.1. Derecho al Olvido en Buscadores de Internet
El artículo 15.1 LOPDGDD establece que toda persona tiene derecho a que los motores de búsqueda de internet eliminen de las listas de resultados que se obtengan tras una búsqueda efectuada a partir de su nombre los enlaces publicados que contengan información relativa a esa persona cuando:
- ▶ La información sea inadecuada, no pertinente o excesiva.
- ▶ Haya transcurrido un plazo razonable desde su publicación.
- ▶ La información sea inexacta o no esté actualizada.
Este derecho no impedirá el acceso a la información publicada en la fuente original, sino que limitará su visibilidad a través de los buscadores. La LOPDGDD exige que se tengan en cuenta factores como el carácter público de la persona, la naturaleza de la información y el interés público en su conocimiento.
1.3.2. Derecho al Olvido en Redes Sociales y Servicios Equivalentes
El artículo 15.2 LOPDGDD reconoce el derecho a obtener de los prestadores de servicios de redes sociales y servicios equivalentes la supresión de los datos personales que hubiesen facilitado los propios usuarios o los que hubiesen sido facilitados por terceros. Este derecho incluye la posibilidad de retirar el consentimiento para el tratamiento de los datos.
Se establecen consideraciones específicas para datos publicados por terceros, donde el prestador del servicio deberá adoptar las medidas necesarias para hacer efectivo el derecho de supresión, siempre que no prevalezcan los derechos a la libertad de expresión e información.
2. El Derecho de Limitación del Tratamiento (Art. 18 RGPD y Art. 16 LOPDGDD)
El derecho de limitación del tratamiento es la facultad del interesado de obtener del responsable del tratamiento la limitación del tratamiento de sus datos personales. Esto significa que los datos, aunque no se eliminen, dejan de ser tratados para los fines habituales, quedando "marcados" para un tratamiento futuro limitado a ciertos fines.
2.1. Fundamento y Condiciones de Ejercicio (Art. 18 RGPD)
El artículo 18 del RGPD establece que el interesado tiene derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
- ▶ El interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos.
- ▶ El tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y, en su lugar, solicite la limitación de su uso.
- ▶ El responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado sí los necesite para la formulación, el ejercicio o la defensa de reclamaciones.
- ▶ El interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
2.2. Efectos de la Limitación del Tratamiento (Art. 18.2 RGPD)
Cuando el tratamiento se ha limitado, dichos datos personales solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro.
El responsable del tratamiento deberá informar al interesado antes de levantar la limitación del tratamiento.
2.3. Especificación en la LOPDGDD (Art. 16 LOPDGDD)
El artículo 16 de la LOPDGDD reitera y complementa lo dispuesto en el RGPD, estableciendo que el derecho a la limitación del tratamiento regulado en el artículo 18 del RGPD se ejercerá en los términos y con las consecuencias previstas en el mismo. No introduce modificaciones sustanciales, pero refuerza la aplicabilidad directa del RGPD en esta materia.
3. El Derecho a la Portabilidad de los Datos (Art. 20 RGPD y Art. 17 LOPDGDD)
El derecho a la portabilidad de los datos es la facultad del interesado de recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado.
3.1. Fundamento y Condiciones de Ejercicio (Art. 20 RGPD)
El artículo 20 del RGPD establece que el interesado tiene derecho a recibir los datos personales que le incumben y que haya facilitado a un responsable del tratamiento, cuando se cumplan las siguientes condiciones:
- ▶ El tratamiento esté basado en el consentimiento (artículo 6.1.a o 9.2.a RGPD) o en un contrato (artículo 6.1.b RGPD).
- ▶ El tratamiento se efectúe por medios automatizados.
Este derecho no será aplicable cuando el tratamiento sea necesario para el cumplimiento de una misión de interés público o en el ejercicio de poderes públicos conferidos al responsable.
3.2. Alcance y Modalidades de la Portabilidad
- ▶ Formato: Los datos deben entregarse en un formato estructurado, de uso común y lectura mecánica. Esto facilita la interoperabilidad entre diferentes servicios.
- ▶ Transmisión directa: El interesado tiene derecho a que los datos personales se transmitan directamente de un responsable a otro cuando sea técnicamente posible.
- ▶ Datos incluidos: Abarca los datos personales que el interesado haya facilitado activamente (ej. nombre, email) y los datos generados por su actividad (ej. historial de compras, datos de uso). No incluye los datos derivados o inferidos por el responsable a partir de los datos facilitados.
El ejercicio de este derecho no afectará negativamente a los derechos y libertades de otros. En particular, no afectará al derecho de supresión.
3.3. Especificación en la LOPDGDD (Art. 17 LOPDGDD)
El artículo 17 de la LOPDGDD dispone que el derecho a la portabilidad de los datos regulado en el artículo 20 del RGPD se ejercerá en los términos y con las consecuencias previstas en el mismo. Al igual que con la limitación, la LOPDGDD refuerza la aplicación directa del RGPD, sin introducir particularidades adicionales sustantivas.
4. El Derecho de Oposición (Art. 21 RGPD y Art. 18 LOPDGDD)
El derecho de oposición es la facultad del interesado de oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento. Este derecho tiene un carácter más amplio que el derecho de supresión, ya que permite al interesado impedir el tratamiento de sus datos incluso cuando este sea lícito.
4.1. Fundamento y Condiciones de Ejercicio (Art. 21 RGPD)
El artículo 21 del RGPD contempla varias modalidades de oposición:
4.1.1. Oposición General (Art. 21.1 RGPD)
El interesado tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) (misión de interés público o ejercicio de poderes públicos) o f) (interés legítimo). En tal caso, el responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.
4.1.2. Oposición al Marketing Directo (Art. 21.2 y 21.3 RGPD)
Cuando el tratamiento de datos personales tenga por objeto el marketing directo, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan para dicho marketing. Se trata de un derecho absoluto: si el interesado se opone al tratamiento para fines de marketing directo, los datos personales dejarán de tratarse para dichos fines. No cabe invocar motivos legítimos imperiosos.
4.1.3. Oposición a Fines de Investigación o Estadísticos (Art. 21.6 RGPD)
Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho a oponerse, por motivos relacionados con su situación particular, al tratamiento de datos personales que le conciernan, salvo que el tratamiento sea necesario para el cumplimiento de una misión realizada por razones de interés público.
4.2. Especificación en la LOPDGDD (Art. 18 LOPDGDD)
El artículo 18 de la LOPDGDD reproduce en gran medida lo dispuesto en el RGPD para el derecho de oposición, pero añade una importante particularidad en su apartado 2:
Artículo 18.2 LOPDGDD: "Cuando el tratamiento de datos personales se realice con fines de videovigilancia, el interesado tendrá derecho a oponerse al tratamiento, salvo que el responsable del tratamiento acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones."
Esta especificación para la videovigilancia es relevante en el contexto español y subraya la importancia de este derecho en situaciones de monitorización constante.
5. Disposiciones Comunes al Ejercicio de los Derechos (Art. 12 RGPD y Arts. 12-14 LOPDGDD)
El RGPD y la LOPDGDD establecen un marco común para el ejercicio de todos los derechos de los interesados, garantizando que el proceso sea accesible, transparente y eficaz.
5.1. Modalidades de Ejercicio (Art. 12 RGPD)
- ▶ Facilidad de ejercicio: El responsable deberá facilitar el ejercicio de los derechos. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite otro medio.
- ▶ Gratuidad: El ejercicio de los derechos será gratuito. No obstante, cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo, el responsable podrá cobrar un canon razonable en función de los costes administrativos o negarse a actuar respecto de la solicitud.
- ▶ Identificación: Cuando el responsable tenga dudas razonables sobre la identidad de la persona física que presenta la solicitud, podrá solicitar información adicional necesaria para confirmar la identidad del interesado.
5.2. Plazos de Respuesta (Art. 12.3 RGPD y Art. 12 LOPDGDD)
El responsable del tratamiento facilitará al interesado información sobre las actuaciones realizadas en relación con su solicitud sin dilación indebida y, en todo caso, en el plazo de un
Tema VI — Categorías Especiales de Datos: Tratamiento de datos de salud, opiniones políticas, afiliación sindical y datos genéticos o biométricos.
Estimados opositores, bienvenidos a este estudio profundo sobre uno de los pilares más sensibles y complejos de la normativa de protección de datos: las categorías especiales de datos. Como catedrático de Derecho Administrativo y Constitucional y director académico, mi objetivo es dotarles de una comprensión exhaustiva, no solo del 'qué', sino del 'por qué' y el 'cómo' de estas regulaciones. La rigurosidad en esta materia es crucial, ya que su tratamiento indebido no solo acarrea las sanciones más elevadas, sino que afecta directamente a la esfera más íntima de la persona. Este tema es una constante en los exámenes y requiere una precisión quirúrgica en su dominio, combinando el Reglamento General de Protección de Datos (RGPD) con las especificaciones de nuestra Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
1. El Marco Normativo de las Categorías Especiales de Datos: RGPD y LOPDGDD
La protección de datos personales en la Unión Europea se rige por el Reglamento (UE) 2016/679, conocido como RGPD, que establece un marco armonizado y de alto nivel de protección. Dentro de este marco, las categorías especiales de datos reciben una protección reforzada debido a su naturaleza intrínsecamente sensible y al riesgo elevado que su tratamiento puede suponer para los derechos y libertades fundamentales de las personas físicas. La LOPDGDD, como ley orgánica nacional, desarrolla y adapta el RGPD al ordenamiento jurídico español, estableciendo particularidades y garantías adicionales en ciertos ámbitos.
El punto de partida es el artículo 9 del RGPD, que establece el principio general de prohibición del tratamiento de estas categorías de datos, y a continuación, enumera las excepciones estrictamente tasadas bajo las cuales dicho tratamiento puede ser lícito. La LOPDGDD complementa este artículo, especialmente en lo que respecta a la base jurídica del interés público esencial y otros supuestos específicos del Derecho español.
2. El Principio General de Prohibición del Tratamiento (Artículo 9.1 RGPD)
El RGPD establece una presunción de ilicitud para el tratamiento de las categorías especiales de datos, salvo que concurra alguna de las excepciones previstas. Esta es la regla de oro que todo opositor debe memorizar y comprender a fondo.
El artículo 9.1 del RGPD dispone literalmente:
«Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.»
Esta enumeración es taxativa y no admite analogías. Los datos que revelan estas características son considerados de especial protección. Es fundamental identificar cada una de estas categorías:
- ▶ Origen étnico o racial.
- ▶ Opiniones políticas.
- ▶ Convicciones religiosas o filosóficas.
- ▶ Afiliación sindical.
- ▶ Datos genéticos.
- ▶ Datos biométricos dirigidos a identificar de manera unívoca a una persona física.
- ▶ Datos relativos a la salud.
- ▶ Datos relativos a la vida sexual o la orientación sexual.
3. Las Excepciones a la Prohibición (Artículo 9.2 RGPD)
A pesar de la prohibición general, el tratamiento de estas categorías de datos es posible si concurre alguna de las diez excepciones taxativas y numerus clausus establecidas en el artículo 9.2 del RGPD. Cada una de estas excepciones debe interpretarse de forma restrictiva y aplicarse con las garantías adecuadas.
Analicemos las más relevantes para el temario:
- ▶ Letra a) Consentimiento explícito:
«El interesado dio su consentimiento explícito para el tratamiento de dichos datos personales para uno o más fines específicos, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la citada prohibición no puede ser levantada por el interesado.»
El consentimiento debe ser explícito, lo que implica una manifestación clara y expresa, normalmente por escrito o mediante una declaración verbal grabada, que no deje lugar a dudas sobre la voluntad del interesado de permitir el tratamiento de sus datos sensibles. No basta con el consentimiento "inequívoco" del Art. 6 RGPD.
TRAMPA DE EXAMEN: No confundir el "consentimiento" (Art. 6 RGPD) con el "consentimiento explícito" (Art. 9.2.a RGPD). Para categorías especiales, el consentimiento siempre debe ser explícito, lo que implica un nivel de claridad y formalidad superior. Un simple "aceptar" en una casilla premarcada no sería suficiente. - ▶ Letra b) Obligaciones y derechos en el ámbito laboral y seguridad social:
«El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas de los derechos fundamentales y de los intereses del interesado.»
Esta excepción es clave para el tratamiento de datos de salud (reconocimientos médicos laborales), afiliación sindical, etc., en el contexto de una relación laboral. La LOPDGDD desarrolla este punto en su Art. 9.2, estableciendo que el tratamiento de datos de categorías especiales será lícito cuando sea necesario para la aplicación de las normas de derecho laboral y de seguridad social, siempre que se respeten los principios de minimización y proporcionalidad.
- ▶ Letra c) Intereses vitales:
«El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado esté física o jurídicamente incapacitado para dar su consentimiento.»
Situaciones de emergencia médica donde el paciente no puede expresar su voluntad. Es una excepción muy restrictiva.
- ▶ Letra d) Actividades legítimas de fundaciones, asociaciones, etc.:
«El tratamiento lo lleva a cabo, en el ámbito de sus actividades legítimas y con las garantías adecuadas, una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, con fines políticos, filosóficos, religiosos o sindicales, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de la entidad o a personas que mantengan contactos regulares con ella en relación con sus fines y que los datos personales no se comuniquen fuera de ella sin el consentimiento de los interesados.»
Esta excepción es directamente aplicable a las opiniones políticas y la afiliación sindical cuando son tratados por las propias organizaciones políticas o sindicales para sus fines legítimos y dentro de su ámbito interno.
- ▶ Letra e) Datos hechos públicos por el interesado:
«El tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos.»
Es crucial el término "manifiestamente públicos". No basta con que los datos sean accesibles; el propio interesado debe haberlos divulgado activamente con la intención de hacerlos públicos. Además, el tratamiento posterior debe ser compatible con la finalidad para la que fueron hechos públicos.
- ▶ Letra f) Formulación, ejercicio o defensa de reclamaciones:
«El tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial.»
Permite el tratamiento de datos sensibles en el contexto de procedimientos judiciales o administrativos, donde es imprescindible para la tutela judicial efectiva.
- ▶ Letra g) Interés público esencial:
«El tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcionado al objetivo perseguido, respetar en esencia el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.»
Esta es una de las excepciones más importantes y la que la LOPDGDD desarrolla con mayor detalle. Requiere una base legal en el Derecho nacional que especifique las condiciones y garantías. Es la base para tratamientos en ámbitos como la administración de justicia, la seguridad pública, la prevención del blanqueo de capitales, etc.
- ▶ Letra h) Medicina preventiva, laboral, etc.:
«El tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías mencionadas en el apartado 3 del artículo 9, cuando estos datos sean tratados por un profesional sujeto a la obligación de secreto profesional o bajo su responsabilidad, o por otra persona sujeta también a una obligación de secreto.»
Fundamental para el sector sanitario y de asistencia social, exigiendo la intervención de profesionales sujetos a secreto. La LOPDGDD complementa esta excepción en su Art. 9.3.
- ▶ Letra i) Interés público en el ámbito de la salud pública:
«El tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud o para garantizar niveles altos de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.»
Esta excepción ha cobrado especial relevancia en situaciones de crisis sanitarias (ej. pandemias), permitiendo el tratamiento de datos de salud para fines de salud pública bajo estrictas garantías.
- ▶ Letra j) Fines de archivo, investigación científica o histórica, o fines estadísticos:
«El tratamiento es necesario para fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcionado al objetivo perseguido, respetar en esencia el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.»
Permite el uso de datos sensibles para investigación, siempre que se apliquen las garantías del Art. 89 RGPD, como la seudonimización o anonimización.
4. Disposiciones Específicas de la LOPDGDD (Artículo 9)
La LOPDGDD concreta y desarrolla varias de las excepciones del Art. 9.2 RGPD, especialmente aquellas que remiten al Derecho de los Estados miembros. Es vital conocer estas especificaciones nacionales.
- ▶ Artículo 9.2 LOPDGDD (Desarrollo del Art. 9.2.b RGPD - Ámbito laboral):
«El tratamiento de datos de categorías especiales será lícito cuando sea necesario para la aplicación de las normas de derecho laboral y de seguridad social, siempre que se respeten los principios de minimización y proporcionalidad y se garanticen las medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. En particular, se considerará lícito el tratamiento que realicen los empleadores o las Administraciones Públicas para el cumplimiento de sus obligaciones o el ejercicio de sus derechos en el ámbito del empleo y la seguridad social, en la medida en que así lo autorice una norma con rango de ley o un convenio colectivo.»
Este apartado legitima el tratamiento de datos de salud (ej. bajas médicas), afiliación sindical, etc., por parte de empleadores o Administraciones Públicas, siempre que exista una norma con rango de ley o convenio colectivo que lo permita y se respeten los principios de protección de datos.
- ▶ Artículo 9.3 LOPDGDD (Datos de salud - Desarrollo del Art. 9.2.h RGPD):
«El tratamiento de datos relacionados con la salud de las personas físicas será lícito cuando se realice con fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, siempre que se realice por un profesional sanitario sujeto a la obligación de secreto profesional o bajo su responsabilidad, o por otra persona sujeta también a una obligación de secreto, y se adopten las medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.»
Este artículo reitera y especifica la necesidad de que el tratamiento de datos de salud esté bajo la responsabilidad de un profesional sujeto a secreto profesional, reforzando las garantías de confidencialidad.
- ▶ Artículo 9.4 LOPDGDD (Datos genéticos y biométricos):
«El tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física para la identificación de la misma en el ámbito de la seguridad pública, la defensa nacional o la seguridad del Estado será lícito cuando una norma con rango de ley lo autorice en el ejercicio de las funciones propias de las Fuerzas y Cuerpos de Seguridad, de las Fuerzas Armadas o de los órganos de inteligencia, siempre que se adopten medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.»
Este es un punto crítico. La LOPDGDD permite el tratamiento de datos genéticos y biométricos para identificación en ámbitos de seguridad pública, defensa y seguridad del Estado, pero exige una norma con rango de ley que lo autorice expresamente, estableciendo un control legislativo estricto.
- ▶ Artículo 9.5 LOPDGDD (Opiniones políticas y afiliación sindical - Desarrollo del Art. 9.2.d RGPD):
«El tratamiento de datos que revelen la afiliación sindical, las opiniones políticas, las convicciones religiosas o filosóficas, o el origen racial o étnico será lícito cuando se realice en el ámbito de las actividades legítimas y con las garantías adecuadas de una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, con fines políticos, filosóficos, religiosos o sindicales, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de la entidad o a personas que mantengan contactos regulares con ella en relación con sus fines y que los datos personales no se comuniquen fuera de ella sin el consentimiento de los interesados.»
Este apartado reproduce la excepción del Art. 9.2.d RGPD, reafirmando la legitimidad del tratamiento interno de estos datos por parte de las organizaciones correspondientes.
5. Garantías Adicionales y Medidas de Seguridad
El tratamiento de categorías especiales de datos
Tema VII — El Delegado de Protección de Datos (DPD)
Estimados opositores, en el exigente camino hacia la función pública, la comprensión profunda de la normativa de protección de datos es no solo un requisito formal, sino una piedra angular para el ejercicio de cualquier puesto que implique el tratamiento de información personal. El presente tema aborda una de las figuras más relevantes introducidas por el Reglamento General de Protección de Datos (RGPD) y desarrollada por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): el Delegado de Protección de Datos (DPD). Su designación, cualificación, funciones y posición son elementos críticos que determinan la eficacia del sistema de cumplimiento normativo en cualquier organización, pública o privada, obligada a contar con esta figura.
La relevancia del DPD radica en su papel como garante interno del cumplimiento de la normativa, actuando como interlocutor principal tanto con la autoridad de control (la Agencia Española de Protección de Datos, AEPD) como con los propios interesados. Su independencia y conocimientos especializados lo convierten en un asesor estratégico y un supervisor clave en la gestión de los riesgos asociados al tratamiento de datos personales. A lo largo de este tema, desglosaremos cada uno de estos aspectos con la rigurosidad técnica y jurídica que demanda la preparación para las oposiciones de alto nivel.
1. Marco Normativo y Concepto del Delegado de Protección de Datos (DPD)
La figura del Delegado de Protección de Datos (DPD), conocida internacionalmente como Data Protection Officer (DPO), emerge como una pieza central en el nuevo paradigma de protección de datos establecido por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). En España, su regulación se complementa y desarrolla en los artículos 34 a 37 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
El DPD es una figura profesional que asesora al responsable o encargado del tratamiento sobre sus obligaciones en materia de protección de datos y supervisa el cumplimiento de la normativa. Su objetivo principal es garantizar que las organizaciones procesen los datos personales de acuerdo con la ley, protegiendo así los derechos y libertades de los interesados.
El Artículo 37 del RGPD establece los casos en los que la designación de un DPD es obligatoria, complementándose con el Artículo 34 de la LOPDGDD que amplía este listado para el ámbito español, adaptándolo a las particularidades de nuestro tejido institucional y empresarial. La LOPDGDD refuerza la independencia y la posición del DPD, detallando aspectos como su cualificación, su designación y cese, así como las garantías inherentes a su función.
2. Obligatoriedad de Designación del DPD: Entidades Públicas y Privadas
La obligatoriedad de designar un Delegado de Protección de Datos viene determinada tanto por el RGPD como por la LOPDGDD. Es crucial conocer ambos marcos para identificar correctamente las entidades obligadas.
2.1. Obligatoriedad según el RGPD (Artículo 37.1)
El Artículo 37.1 del RGPD establece que la designación de un DPD será obligatoria en los siguientes supuestos:
- ▶ Cuando el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.
- ▶ Cuando las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, por su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala.
- ▶ Cuando las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos (datos sensibles como origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos relativos a la salud, datos relativos a la vida sexual u orientación sexual) o de datos relativos a condenas e infracciones penales.
2.2. Obligatoriedad según la LOPDGDD (Artículo 34.1)
La LOPDGDD, en su Artículo 34.1, amplía el listado de entidades obligadas a designar un DPD en el ámbito español, considerando la especificidad de ciertos sectores y actividades. Este listado incluye (entre otros):
- ▶ Los colegios profesionales y sus consejos generales.
- ▶ Los centros docentes que ofrezcan enseñanzas reguladas por la Ley Orgánica 2/2006, de 3 de mayo, de Educación, y las universidades (públicas y privadas).
- ▶ Las entidades que exploten redes y presten servicios de comunicaciones electrónicas disponibles para el público.
- ▶ Los prestadores de servicios de la sociedad de la información que recojan una gran cantidad de datos personales.
- ▶ Las entidades de crédito, los establecimientos financieros de crédito, las empresas de servicios de inversión y las entidades aseguradoras y reaseguradoras.
- ▶ Las distribuidoras y comercializadoras de energía eléctrica y gas natural.
- ▶ Los operadores que desarrollen las actividades de juego a través de canales electrónicos, informáticos, telemáticos e interactivos.
- ▶ Las empresas de seguridad privada.
- ▶ Las federaciones deportivas que traten datos de menores de edad.
- ▶ Las entidades que tengan por objeto la emisión de informes comerciales que puedan referirse a personas físicas.
- ▶ Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
- ▶ Las entidades que tengan como una de sus finalidades la investigación comercial y de mercados, la publicidad o la prospección comercial.
- ▶ Los operadores de infraestructuras críticas incluidos en el ámbito de aplicación de la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas.
3. Cualificación, Requisitos e Incompatibilidades del DPD
La eficacia del DPD depende en gran medida de su cualificación y de la ausencia de conflictos de intereses que puedan comprometer su independencia.
3.1. Cualificación y Requisitos (RGPD Art. 37.5 y LOPDGDD Art. 34.2)
El Artículo 37.5 del RGPD establece que: "El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39."
La LOPDGDD complementa esta disposición en su Artículo 34.2, aclarando que: "No será necesario que el delegado de protección de datos sea titular de una determinada titulación, si bien deberá acreditar los conocimientos y experiencia necesarios para el desempeño de sus funciones."
- ▶ Conocimientos especializados: abarcan tanto el marco jurídico (RGPD, LOPDGDD, normativa sectorial) como la práctica en protección de datos (evaluaciones de impacto, gestión de brechas de seguridad, auditorías, etc.).
- ▶ Cualidades profesionales: implican capacidad de comunicación, resolución de problemas, independencia de criterio y habilidades de negociación.
- ▶ No se exige titulación específica: A diferencia de otras profesiones reguladas, no se demanda un título universitario concreto, pero sí una acreditación de conocimientos y experiencia, que puede obtenerse a través de certificaciones reconocidas (ej. Esquema de Certificación de DPD de la AEPD) o experiencia laboral demostrable.
3.2. Incompatibilidades y Conflictos de Intereses (LOPDGDD Art. 35.1)
La independencia es un pilar fundamental de la figura del DPD. Para garantizarla, el Artículo 35.1 de la LOPDGDD establece que: "El delegado de protección de datos no podrá desempeñar funciones que le generen un conflicto de intereses."
Un conflicto de intereses surge cuando el DPD ocupa una posición dentro de la organización que le permite determinar los fines y medios del tratamiento de datos personales, lo que le impediría supervisar de forma objetiva sus propias decisiones. Ejemplos de puestos que
Estimados opositores, bienvenidos a este tema crucial dentro del Derecho de la Protección de Datos, un área de creciente relevancia en un mundo interconectado. La transferencia internacional de datos es la piedra angular que permite la globalización de la economía digital, pero al mismo tiempo, representa uno de los mayores desafíos para la garantía efectiva de los derechos fundamentales de los ciudadanos. En esta sesión, desgranaremos con la máxima rigurosidad técnica el régimen jurídico aplicable, haciendo especial énfasis en las garantías adecuadas, las decisiones de adecuación de la Comisión Europea y las normas corporativas vinculantes, conforme a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD).
El objetivo primordial es asegurar que, cuando los datos personales abandonan el Espacio Económico Europeo (EEE), sigan gozando de un nivel de protección sustancialmente equivalente al que se les dispensa dentro de la Unión Europea. Este principio se deriva directamente del artículo 1.2 del RGPD, que establece que el Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de datos personales.
Tema VIII — Transferencias Internacionales de Datos
1. Marco Normativo General y Principios Fundamentales (Art. 44 RGPD y Art. 40 LOPDGDD)
El régimen de las transferencias internacionales de datos se establece principalmente en el Capítulo V del RGPD (artículos 44 a 50), que la LOPDGDD complementa en su artículo 40. El artículo 44 del RGPD establece el principio general:
«Cualquier transferencia de datos personales que sean objeto de tratamiento o estén destinados a serlo después de su transferencia a un tercer país o a una organización internacional, incluidas las transferencias ulteriores de datos personales de un tercer país o una organización internacional a otro tercer país o a otra organización internacional, solo se llevará a cabo si, sin perjuicio de las demás disposiciones del presente Reglamento, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores, a fin de garantizar que el nivel de protección de las personas físicas asegurado por el presente Reglamento no se vea menoscabado.»
Este artículo subraya la necesidad de mantener el nivel de protección del RGPD, incluso cuando los datos salen del EEE. La transferencia internacional de datos se define como el envío de datos personales a un destinatario situado fuera del Espacio Económico Europeo (EEE), ya sea un tercer país o una organización internacional. Es crucial entender que esta definición incluye no solo las transferencias directas, sino también las transferencias ulteriores, asegurando que la cadena de protección no se rompa.
Por su parte, el artículo 40 de la LOPDGDD, titulado «Transferencias internacionales de datos», establece que:
«Las transferencias internacionales de datos se regirán por lo dispuesto en los artículos 44 a 50 del Reglamento (UE) 2016/679, de 27 de abril.»
Esta remisión directa confirma que la normativa europea es la principal fuente reguladora en esta materia, y que la LOPDGDD actúa como ley de desarrollo y complemento en aspectos específicos que requieren intervención nacional, como la autorización de cláusulas contractuales tipo no aprobadas por la Comisión.
2. Decisiones de Adecuación de la Comisión Europea (Art. 45 RGPD)
La forma más sencilla y robusta de realizar transferencias internacionales de datos es basarse en una decisión de adecuación adoptada por la Comisión Europea. El artículo 45 del RGPD establece que:
«Podrán transferirse datos personales a un tercer país o a una organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de un tercer país, o la organización internacional de que se trate, garantizan un nivel de protección adecuado. En tales casos, no será necesaria ninguna autorización específica.»
Una decisión de adecuación es un acto de ejecución de la Comisión Europea que constata que un tercer país, un territorio o un sector específico de un tercer país, o una organización internacional, ofrece un nivel de protección de datos personales esencialmente equivalente al que proporciona el RGPD.
Para determinar si un tercer país garantiza un nivel de protección adecuado, la Comisión evaluará, entre otros, los siguientes elementos (Art. 45.2 RGPD):
- ▶ El Estado de Derecho, el respeto de los derechos humanos y las libertades fundamentales, la legislación pertinente, tanto general como sectorial, incluidas las normas de seguridad pública, defensa, seguridad nacional y derecho penal y el acceso de las autoridades públicas a los datos personales.
- ▶ La existencia y el funcionamiento efectivo de una o varias autoridades de control independientes en el tercer país.
- ▶ Los compromisos internacionales asumidos por el tercer país o la organización internacional.
Las decisiones de adecuación se revisan periódicamente, al menos cada cuatro años, para verificar que el nivel de protección sigue siendo adecuado. La Comisión tiene la facultad de derogar, modificar o suspender estas decisiones si determina que el nivel de protección ya no es adecuado.
Ejemplos de países que han recibido una decisión de adecuación incluyen Andorra, Argentina, Canadá (solo para entidades comerciales), Islas Feroe, Guernsey, Israel, Isla de Man, Japón, Jersey, Nueva Zelanda, República de Corea, Suiza, Reino Unido (post-Brexit) y Uruguay.
3. Transferencias mediante Garantías Adecuadas (Art. 46 RGPD)
Cuando no existe una decisión de adecuación, las transferencias internacionales de datos solo pueden llevarse a cabo si el responsable o el encargado del tratamiento ofrecen garantías adecuadas y siempre que los interesados cuenten con derechos exigibles y acciones legales efectivas. El artículo 46.1 del RGPD establece:
«A falta de una decisión con arreglo al artículo 45, el responsable o el encargado del tratamiento solo podrán transferir datos personales a un tercer país o a una organización internacional si el responsable o el encargado del tratamiento ha ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.»
El artículo 46.2 del RGPD enumera las garantías adecuadas que pueden utilizarse sin necesidad de una autorización específica de una autoridad de control:
- ▶ Un instrumento jurídicamente vinculante y exigible entre las autoridades u organismos públicos.
- ▶ Las normas corporativas vinculantes (NCV o BCR) con arreglo al artículo 47.
- ▶ Las cláusulas tipo de protección de datos adoptadas por la Comisión con arreglo al procedimiento de examen mencionado en el artículo 93, apartado 2.
- ▶ Las cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas por la Comisión con arreglo al procedimiento de examen mencionado en el artículo 93, apartado 2.
- ▶ Un código de conducta aprobado con arreglo al artículo 40, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar las garantías adecuadas, incluidos los derechos de los interesados.
- ▶ Un mecanismo de certificación aprobado con arreglo al artículo 42, junto con compromisos vinculantes y exigibles del responsable o el encargado del tratamiento en el tercer país de aplicar las garantías adecuadas, incluidos los derechos de los interesados.
Además, el artículo 46.3 RGPD permite otras garantías, pero requieren la autorización de la autoridad de control competente (en España, la AEPD):
- ▶ Cláusulas contractuales entre el responsable o el encargado y el responsable, el encargado o el destinatario de los datos personales en el tercer país o la organización internacional, autorizadas por la autoridad de control.
- ▶ Disposiciones que se incorporen a acuerdos administrativos entre autoridades u organismos públicos que incluyan derechos exigibles y efectivos para los interesados, autorizadas por la autoridad de control.
Instrumento vinculante,
Normas corporativas vinculantes (BCR),
Cláusulas tipo de la Comisión,
Cláusulas tipo de AC (Aprobadas por Comisión),
Aprobación de Código de Conducta,
Mecanismo de Certificación,
Cláusulas contractuales (Autorizadas por AC),
Disposiciones en acuerdos administrativos (Autorizadas por AC).
4. Normas Corporativas Vinculantes (BCR) (Art. 47 RGPD)
Las Normas Corporativas Vinculantes (NCV o BCR por sus siglas en inglés, Binding Corporate Rules) constituyen un mecanismo de transferencia internacional de datos especialmente diseñado para grupos empresariales o uniones de empresas dedicadas a una actividad económica conjunta. Permiten que las empresas de un mismo grupo transfieran datos personales entre sí a nivel global, garantizando un nivel de protección adecuado. El artículo 47 del RGPD establece los requisitos para las BCR:
«Las normas corporativas vinculantes solo serán aprobadas con arreglo al mecanismo de coherencia establecido en el artículo 63 por la autoridad de control competente, a condición de que:
- ▶ Sean jurídicamente vinculantes y se apliquen a todos los miembros de que se trate del grupo empresarial o de la unión de empresas dedicadas a una actividad económica conjunta, incluidos sus empleados.
- ▶ Confieran expresamente derechos exigibles a los interesados con respecto al tratamiento de sus datos personales.
- ▶ Cumplan los requisitos establecidos en el apartado 2.»
El apartado 2 del artículo 47 detalla el contenido mínimo de las BCR, que deben especificar, entre otros:
- ▶ La estructura y los datos de contacto del grupo empresarial.
- ▶ Las transferencias de datos o el conjunto de transferencias, incluidos los tipos de datos personales, el tipo de tratamiento y sus fines, la categoría de interesados y el nombre del tercer país o países.
- ▶ Su naturaleza jurídicamente vinculante, tanto interna como externamente.
- ▶ La aplicación de los principios generales de protección de datos (limitación de la finalidad, minimización de datos, etc.).
- ▶ Los derechos de los interesados y los medios para ejercerlos.
- ▶ La responsabilidad del responsable del tratamiento establecido en la UE en caso de incumplimiento por parte de un miembro del grupo establecido en el tercer país.
- ▶ Los procedimientos de reclamación.
- ▶ Los mecanismos establecidos en el grupo para garantizar la verificación del cumplimiento de las BCR.
La aprobación de las BCR implica un procedimiento de cooperación entre las autoridades de control europeas (mecanismo de coherencia del Art. 63 RGPD), garantizando una aplicación uniforme.
5. Excepciones para Situaciones Específicas (Art. 49 RGPD)
En ausencia de una decisión de adecuación o de garantías adecuadas, el RGPD permite las transferencias internacionales de datos bajo condiciones muy estrictas y solo en situaciones específicas, establecidas en el artículo 49 del RGPD. Estas excepciones no deben utilizarse como una vía regular para las transferencias, sino como un último recurso para situaciones concretas y no repetitivas. El artículo 49.1 del RGPD enumera estas excepciones:
«A falta de una decisión de adecuación con arreglo al artículo 45, apartado 3, o de garantías adecuadas con arreglo al artículo 46, incluidas las normas corporativas vinculantes, la transferencia o un conjunto de transferencias de datos personales a un tercer país o a una organización internacional solo se realizará si:
- ▶ el interesado ha dado explícitamente su consentimiento a la transferencia propuesta, después de haber sido informado de los posibles riesgos de tales transferencias para el interesado debido a la ausencia de una decisión de adecuación y de garantías adecuadas;
- ▶ la transferencia es necesaria para la ejecución de un contrato entre el interesado y el responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a petición del interesado;
- ▶ la transferencia es necesaria para la celebración o ejecución de un contrato, concluido en interés del interesado, entre el responsable del tratamiento y otra persona física o jurídica;
- ▶ la transferencia es necesaria por razones importantes de interés público;
- ▶ la transferencia es necesaria para la formulación, el ejercicio o la defensa de reclamaciones o para la protección de los intereses vitales del interesado o de otras personas, cuando el interesado no esté capacitado física o jurídicamente para dar su consentimiento;
- ▶ la transferencia se realiza desde un registro público que, con arreglo al Derecho de la Unión o de los Estados miembros, tenga por objeto facilitar información al público y que esté abierto a la consulta del público en general o de cualquier persona que <
Tema IX — La Agencia Española de Protección de Datos (AEPD)
Estimados opositores, bienvenidos a este estudio pormenorizado de la Agencia Española de Protección de Datos (AEPD), una institución angular en el entramado de la garantía de los derechos fundamentales en la era digital. Como catedrático, mi objetivo es dotarles de una comprensión profunda y rigurosa, no solo de su estructura y funciones, sino de la lógica jurídica que subyace a su existencia y actuación. La AEPD no es meramente un órgano administrativo; es el garante último de la privacidad de los ciudadanos frente a los desafíos que plantea el tratamiento de datos personales, actuando como la autoridad de control independiente que exige el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y que desarrolla la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
La relevancia de la AEPD en el temario de oposiciones es capital. Su naturaleza jurídica, sus amplias funciones, sus potestades inspectoras y, especialmente, el procedimiento sancionador que ejecuta, son objeto recurrente de preguntas de examen. Abordaremos este tema con la precisión y el detalle que requiere, desglosando cada aspecto con referencias normativas explícitas y análisis crítico, para que no solo memoricen, sino que comprendan la razón de ser de cada precepto.
1. Naturaleza Jurídica y Régimen de la Agencia Española de Protección de Datos
La AEPD se erige como la autoridad de control nacional en materia de protección de datos, una figura esencial para garantizar la aplicación uniforme del RGPD en España. Su configuración jurídica refleja la necesidad de independencia y autonomía funcional, características inherentes a toda autoridad de control en el ámbito europeo.
El artículo 45 de la LOPDGDD establece su naturaleza jurídica de forma inequívoca:
«1. La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las Administraciones Públicas en el ejercicio de sus funciones.
2. La Agencia Española de Protección de Datos se adscribe a las Cortes Generales a los solos efectos de control parlamentario, de acuerdo con lo que establezca la ley.
3. La Agencia se regirá por lo dispuesto en el Reglamento (UE) 2016/679, por la presente ley orgánica, por las disposiciones de desarrollo de ambas normas y, en lo no previsto en ellas, por la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y por la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, así como por su Estatuto.»
De este precepto se extraen conclusiones fundamentales:
- ▶ Es una autoridad administrativa independiente, lo que implica que no recibe instrucciones de ningún poder público en el ejercicio de sus competencias.
- ▶ Posee personalidad jurídica propia y plena capacidad, lo que le permite actuar en el tráfico jurídico de forma autónoma.
- ▶ Su adscripción a las Cortes Generales es un mecanismo de control democrático, pero no afecta a su independencia funcional.
- ▶ Su régimen jurídico es un bloque normativo complejo, con primacía del RGPD y la LOPDGDD, y aplicación supletoria de las leyes de régimen jurídico y procedimiento administrativo común.
Los órganos de la AEPD son el Director y el Consejo Consultivo. El Director es el máximo responsable de la Agencia, nombrado por el Gobierno a propuesta del Ministerio de Justicia, previa comparecencia ante la Comisión de Justicia del Congreso de los Diputados, por un período de cinco años no renovable. El Consejo Consultivo ejerce funciones de asesoramiento, emitiendo informes y dictámenes.
2. Funciones de la Agencia Española de Protección de Datos
Las funciones de la AEPD son amplísimas y abarcan desde la tutela de los derechos hasta la promoción de buenas prácticas, pasando por la inspección y la potestad sancionadora. El artículo 57 del RGPD establece las tareas de las autoridades de control, que la LOPDGDD desarrolla y especifica en sus artículos 47 y siguientes.
El artículo 47.1 de la LOPDGDD sintetiza la misión principal:
«1. La Agencia Española de Protección de Datos velará por el cumplimiento de la legislación y ejercerá las potestades de investigación, corrección, autorización y consultivas que establece el Reglamento (UE) 2016/679 y la presente ley orgánica, y promoverá la sensibilización y el conocimiento de los derechos y obligaciones en materia de protección de datos.»
Entre sus funciones más destacadas, podemos citar las siguientes:
- ▶ Atender las reclamaciones presentadas por los interesados, investigar el objeto de las reclamaciones y resolver sobre ellas (Art. 57.1.f RGPD, Art. 63 LOPDGDD).
- ▶ Realizar investigaciones sobre la aplicación del RGPD y la LOPDGDD, incluso basándose en información recibida de otras autoridades de control o de particulares (Art. 57.1.c RGPD).
- ▶ Asesorar al Parlamento, al Gobierno y a otras instituciones y organismos públicos sobre medidas legislativas y administrativas en materia de protección de datos (Art. 57.1.b RGPD).
- ▶ Promover la sensibilización y el conocimiento del público sobre los riesgos, normas, garantías y derechos en relación con el tratamiento de datos (Art. 57.1.d RGPD).
- ▶ Fomentar la elaboración de códigos de conducta y certificaciones en materia de protección de datos (Art. 57.1.k y l RGPD).
- ▶ Autorizar determinadas transferencias internacionales de datos o cláusulas contractuales tipo cuando así lo exija el RGPD.
- ▶ Imponer las sanciones previstas en el RGPD y la LOPDGDD.
- ▶ Cooperar con otras autoridades de control de la Unión Europea en el marco del mecanismo de ventanilla única (Art. 60 RGPD).
Es crucial entender que estas funciones se ejercen con una visión proactiva, no solo reactiva. La AEPD busca prevenir las infracciones y promover una cultura de cumplimiento, además de sancionar cuando corresponde.
3. Potestades Inspectoras de la AEPD
Para garantizar el cumplimiento de la normativa, la AEPD dispone de amplias potestades de investigación e inspección, recogidas en el artículo 58 del RGPD y desarrolladas en el artículo 53 de la LOPDGDD. Estas potestades permiten a la Agencia obtener toda la información necesaria para verificar la licitud de los tratamientos de datos.
El artículo 53.1 de la LOPDGDD establece:
«1. La Agencia Española de Protección de Datos, en el ejercicio de sus funciones, podrá llevar a cabo las actuaciones de investigación y comprobación que considere necesarias para el esclarecimiento de los hechos y la determinación de las responsabilidades que, en su caso, correspondan.»
Estas potestades incluyen, entre otras:
- ▶ Requerir a los responsables y encargados del tratamiento y, en su caso, a sus representantes, toda la información que sea necesaria para el cumplimiento de sus funciones (Art. 58.1.a RGPD).
- ▶ Realizar auditorías de protección de datos (Art. 58.1.b RGPD).
- ▶ Llevar a cabo investigaciones en forma de exámenes de protección de datos (Art. 58.1.b RGPD).
- ▶ Obtener acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones (Art. 58.1.e RGPD).
- ▶ Obtener acceso a todos los locales del responsable o del encargado del tratamiento, incluidos los equipos y medios de tratamiento de datos, previa obtención de la autorización judicial cuando el acceso requiera entrada en domicilio constitucionalmente protegido (Art. 58.1.f RGPD y Art. 53.2 LOPDGDD).
El deber de colaboración con la AEPD es esencial. El artículo 53.3 de la LOPDGDD establece que:
«3. Los responsables y encargados del tratamiento, así como, en su caso, sus representantes, deberán colaborar con la Agencia Española de Protección de Datos en el ejercicio de sus funciones, facilitando la información y la documentación que les sea requerida y permitiendo el acceso a sus instalaciones y equipos.»
La negativa a colaborar o la obstrucción a las actuaciones inspectoras constituye una infracción grave o muy grave, según las circunstancias, y puede dar lugar a la imposición de sanciones.
4. El Procedimiento Sancionador de la AEPD - Aspectos Generales
La potestad sancionadora es, sin duda, una de las herramientas más poderosas de la AEPD. Permite imponer multas administrativas y otras medidas correctoras a quienes incumplen la normativa de protección de datos. Este procedimiento se rige por los principios generales del Derecho Administrativo Sancionador y por las especificidades establecidas en el RGPD y la LOPDGDD.
El artículo 83 del RGPD y los artículos 72 a 78 de la LOPDGDD regulan las infracciones y sanciones. Es fundamental comprender la clasificación de las infracciones y los criterios de graduación de las sanciones.
4.1. Sujetos Responsables y Tipología de Infracciones
Los sujetos responsables son principalmente los responsables del tratamiento y los encargados del tratamiento. La LOPDGDD clasifica las infracciones en leves, graves y muy graves, siguiendo la estructura y la gravedad establecidas en el RGPD.
El artículo 76 de la LOPDGDD establece los criterios de graduación de las sanciones, que deben ser tenidos en cuenta por la AEPD para determinar la cuantía de la multa. Estos incluyen la naturaleza, gravedad y duración de la infracción, el carácter intencional o negligente, las medidas adoptadas para mitigar los daños, el grado de responsabilidad, las categorías de datos personales afectados, el grado de cooperación, etc.
4.2. Prescripción de Infracciones y Sanciones
Los plazos de prescripción son cruciales en el procedimiento sancionador. El artículo 77 de la LOPDGDD establece los siguientes:
- ▶ Las infracciones leves prescribirán al año.
- ▶ Las infracciones graves prescribirán a los dos años.
- ▶ Las infracciones muy graves prescribirán a los tres años.
El cóm
Tema X — Garantía de los Derechos Digitales
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, establece una serie de garantías para proteger los derechos digitales de los ciudadanos, incluyendo el derecho a la desconexión digital laboral, el testamento digital y la protección de menores en internet.
1. Introducción a los Derechos Digitales
La Ley Orgánica 3/2018 se basa en el artículo 18.4 de la Constitución Española, que establece que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. En este sentido, la ley regula los derechos digitales, que son aquellos que se ejercen en el ámbito de la sociedad de la información y que tienen como objetivo garantizar la protección de los derechos fundamentales de los ciudadanos en el entorno digital.
- ▶ El artículo 5 de la Ley Orgánica 3/2018 establece que los derechos digitales son aquellos que se ejercen en el ámbito de la sociedad de la información y que tienen como objetivo garantizar la protección de los derechos fundamentales de los ciudadanos en el entorno digital.
- ▶ El artículo 6 de la Ley Orgánica 3/2018 regula el derecho a la protección de los datos personales, que es un derecho fundamental que se ejerce en el ámbito de la sociedad de la información.
2. Derecho a la Desconexión Digital Laboral
El derecho a la desconexión digital laboral es un derecho que se establece en el artículo 88 de la Ley Orgánica 3/2018, que regula el derecho de los trabajadores a desconectar de los dispositivos y herramientas de comunicación proporcionados por el empleador fuera del horario laboral. Este derecho tiene como objetivo proteger la salud y la seguridad de los trabajadores y garantizar su derecho a la conciliación de la vida laboral y familiar.
El artículo 88 de la Ley Orgánica 3/2018 establece que los trabajadores tienen derecho a desconectar de los dispositivos y herramientas de comunicación proporcionados por el empleador fuera del horario laboral, y que el empleador no puede exigir a los trabajadores que estén disponibles para trabajar fuera del horario laboral.
3. Testamento Digital
El testamento digital es un derecho que se establece en el artículo 92 de la Ley Orgánica 3/2018, que regula el derecho de las personas a decidir qué sucede con sus datos personales y contenido digital después de su fallecimiento. Este derecho tiene como objetivo proteger la privacidad y la dignidad de las personas fallecidas y garantizar que sus deseos sean respetados.
El artículo 92 de la Ley Orgánica 3/2018 establece que las personas tienen derecho a decidir qué sucede con sus datos personales y contenido digital después de su fallecimiento, y que pueden establecer un testamento digital que regule la gestión de sus datos y contenido digital después de su fallecimiento.
4. Protección de Menores en Internet
La protección de menores en internet es un derecho que se establece en el artículo 94 de la Ley Orgánica 3/2018, que regula el derecho de los menores a ser protegidos de contenidos y actividades perjudiciales en internet. Este derecho tiene como objetivo garantizar la seguridad y el bienestar de los menores en el entorno digital.
El artículo 94 de la Ley Orgánica 3/2018 establece que los menores tienen derecho a ser protegidos de contenidos y actividades perjudiciales en internet, y que los proveedores de servicios de la sociedad de la información deben adoptar medidas para proteger a los menores de contenidos y actividades perjudiciales.
5. Medidas de Protección de los Derechos Digitales
La Ley Orgánica 3/2018 establece una serie de medidas para proteger los derechos digitales, incluyendo la creación de la Agencia Española de Protección de Datos, que es el organismo responsable de supervisar y controlar el cumplimiento de la ley.
El artículo 101 de la Ley Orgánica 3/2018 establece que la Agencia Española de Protección de Datos es el organismo responsable de supervisar y controlar el cumplimiento de la ley, y que tiene competencias para investigar y sancionar a los responsables de vulnerar los derechos digitales.
- ▶ El artículo 102 de la Ley Orgánica 3/2018 regula las competencias de la Agencia Española de Protección de Datos, que incluyen la investigación y sanción de vulneraciones de los derechos digitales.
- ▶ El artículo 103 de la Ley Orgánica 3/2018 establece que la Agencia Española de Protección de Datos debe colaborar con otras autoridades y organismos para proteger los derechos digitales.
6. Régimen Sancionador
La Ley Orgánica 3/2018 establece un régimen sancionador para aquellos que vulneren los derechos digitales, que incluye sanciones administrativas y penales.
El artículo 106 de la Ley Orgánica 3/2018 establece que las vulneraciones de los derechos digitales pueden ser sancionadas con multas de hasta 20 millones de euros, y que en casos graves, puede ser aplicada una sanción adicional de hasta el 4% del volumen de negocio total de la empresa responsable.
7. Conclusión
La Ley Orgánica 3/2018 es una ley fundamental para la protección de los derechos digitales en España, y establece una serie de garantías y medidas para proteger los derechos de los ciudadanos en el entorno digital. Es importante que los ciudadanos conozcan sus derechos y las medidas que se están tomando para protegerlos, y que los responsables de vulnerar los derechos digitales sean sancionados de acuerdo con la ley.
En resumen, la Ley Orgánica 3/2018 es una ley que protege los derechos digitales, garantiza la seguridad y el bienestar de los ciudadanos en el entorno digital, y sanciona a aquellos que vulneren los derechos digitales.
8. Definiciones y Conceptos Clave
La Ley Orgánica 3/2018 utiliza una serie de definiciones y conceptos clave para regular los derechos digitales, incluyendo el concepto de datos personales, que se define como cualquier información que se refiera a una persona identificada o identificable.
El artículo 4 de la Ley Orgánica 3/2018 establece que los datos personales son cualquier información que se refiera a una persona identificada o identificable, y que incluye información como el nombre, la dirección, el número de teléfono, la edad, el sexo, etc.
- ▶ El artículo 5 de la Ley Orgánica 3/2018 regula el concepto de derechos digitales, que se define como aquellos derechos que se ejercen en el ámbito de la sociedad de la información y que tienen como objetivo garantizar la protección de los derechos fundamentales de los ciudadanos en el entorno digital.
- ▶ El artículo 6 de la Ley Orgánica 3/2018 establece que los derechos digitales incluyen el derecho a la protección de los datos personales, el derecho a la privacidad, el derecho a la libertad de expresión, etc.
Introducción al Registro de Actividades de Tratamiento (RAT)
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, introduce la obligación de mantener un Registro de Actividades de Tratamiento (RAT) para ciertos organismos públicos y empresas. Esta obligación se establece en el artículo 30 del Reglamento General de Protección de Datos (RGPD) y se desarrolla en el artículo 28 de la Ley Orgánica 3/2018.
El RAT es un documento que recopila información sobre las actividades de tratamiento de datos personales que realizan los responsables del tratamiento. Su objetivo es garantizar la transparencia y el control de los tratamientos de datos personales, así como facilitar la supervisión y el cumplimiento de las obligaciones establecidas en la normativa de protección de datos.
En este tema, se analizará la obligación de mantener el RAT en organismos públicos y empresas de más de 250 empleados, así como los requisitos y características que deben cumplir estos registros.
Obligación de mantener el RAT
La obligación de mantener un RAT se establece en el artículo 30 del RGPD, que dispone que "cada responsable del tratamiento y, en su caso, el representante del responsable del tratamiento, llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad".
En el caso de los organismos públicos y empresas de más de 250 empleados, la obligación de mantener un RAT es obligatoria, según lo establecido en el artículo 28 de la Ley Orgánica 3/2018. Esta obligación se aplica a todos los tratamientos de datos personales que se realicen en el ejercicio de las funciones públicas o en el desarrollo de la actividad empresarial.
El artículo 28 de la Ley Orgánica 3/2018 establece que el RAT debe contener, como mínimo, la siguiente información:
- ▶ El nombre y los datos de contacto del responsable del tratamiento y, en su caso, del representante del responsable del tratamiento.
- ▶ Los fines del tratamiento de los datos personales.
- ▶ Una descripción de las categorías de interesados y de las categorías de datos personales.
- ▶ Las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales.
- ▶ Los plazos previstos para la supresión de las diferentes categorías de datos.
- ▶ Una descripción general de las medidas de seguridad técnicas y organizativas implementadas para garantizar la seguridad de los tratamientos.
Requisitos y características del RAT
El RAT debe cumplir con una serie de requisitos y características para ser considerado válido. En primer lugar, debe ser un documento escrito, ya sea en formato físico o electrónico, y debe estar actualizado regularmente.
El artículo 30 del RGPD establece que el RAT debe ser "claro y conciso" y que debe contener la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en la normativa de protección de datos.
En cuanto a la estructura del RAT, no hay un formato específico establecido, pero debe ser lo suficientemente detallado como para permitir la identificación de los tratamientos de datos personales y la evaluación del cumplimiento de las obligaciones legales.
Es importante destacar que el RAT no es un documento estático, sino que debe ser actualizado regularmente para reflejar los cambios en los tratamientos de datos personales y en la organización del responsable del tratamiento.
Plazos y procedimientos para la actualización del RAT
La actualización del RAT es un proceso continuo que debe realizarse siempre que se produzcan cambios en los tratamientos de datos personales o en la organización del responsable del tratamiento.
El artículo 30 del RGPD establece que el RAT debe ser actualizado "regularmente" y que debe ser "revisado y actualizado" siempre que se produzcan cambios en los tratamientos de datos personales.
En cuanto a los plazos para la actualización del RAT, no hay un plazo específico establecido, pero se recomienda que se actualice al menos una vez al año o siempre que se produzcan cambios significativos en los tratamientos de datos personales.
Medidas de seguridad para el RAT
El RAT es un documento confidencial que contiene información sensible sobre los tratamientos de datos personales, por lo que es fundamental implementar medidas de seguridad adecuadas para proteger su integridad y confidencialidad.
El artículo 32 del RGPD establece que el responsable del tratamiento debe implementar "medidas de seguridad técnicas y organizativas adecuadas" para proteger los datos personales contra la destrucción, la pérdida, la alteración, el robo, la cesión o el acceso no autorizado o la difusión no autorizada.
En cuanto a las medidas de seguridad para el RAT, se recomienda implementar las siguientes:
- ▶ Acceso restringido al RAT solo para personal autorizado.
- ▶ Utilización de contraseñas seguras y autenticación de dos factores.
- ▶ Utilización de cifrado para proteger la información contenida en el RAT.
- ▶ Realización de copias de seguridad del RAT de manera regular.
Consecuencias del incumplimiento de la obligación de mantener el RAT
El incumplimiento de la obligación de mantener el RAT puede tener consecuencias graves para el responsable del tratamiento, incluyendo sanciones administrativas y daños a la reputación.
El artículo 83 del RGPD establece que el incumplimiento de la obligación de mantener el RAT puede ser sancionado con multas de hasta 20.000.000 de euros o el 4% del volumen de negocio total anual de la empresa, lo que sea mayor.
Además, el incumplimiento de la obligación de mantener el RAT puede también dar lugar a daños a la reputación del responsable del tratamiento, lo que puede tener consecuencias negativas para su negocio y su relación con los clientes y socios.
Trucos y consejos para mantener el RAT
Mantener el RAT puede ser un proceso complejo y exigente, pero hay algunos trucos y consejos que pueden ayudar a simplificar el proceso y asegurarse de que se cumple con la obligación de manera efectiva.
- ▶ F: Fines del tratamiento.
- ▶ I: Información sobre los interesados.
- ▶ D: Datos personales tratados.
- ▶ E: Evaluación de impacto sobre la protección de datos personales.
- ▶ C: Categorías de destinatarios.
Comparativa con otros registros y documentos
El RAT es uno de los varios registros y documentos que los responsables del tratamiento deben mantener para cumplir con las obligaciones establecidas en la normativa de protección de datos.
Es importante destacar que el RAT es un documento independiente del registro de actividades de tratamiento de datos personales que deben mantener los responsables del tratamiento en virtud del artículo 30 del RGPD.
Introducción a las Infracciones y Sanciones en la LOPDGDD
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), establece un régimen de infracciones y sanciones para garantizar el cumplimiento de las normas de protección de datos personales. El régimen de infracciones y sanciones se encuentra regulado en los artículos 72 a 85 de la LOPDGDD.
Según el artículo 72 de la LOPDGDD, las infracciones se clasifican en leves, graves y muy graves. Las infracciones leves se sancionarán con multas de hasta 20.000 euros, las infracciones graves se sancionarán con multas de 20.001 a 40.000 euros y las infracciones muy graves se sancionarán con multas de 40.001 a 100.000 euros.
Clasificación de Infracciones
La clasificación de infracciones en la LOPDGDD se encuentra regulada en los artículos 73 a 75. Según el artículo 73, son infracciones leves las que consistan en:
- ▶ No tener implementadas las medidas de seguridad adecuadas para proteger los datos personales.
- ▶ No haber designado a un delegado de protección de datos cuando sea obligatorio.
- ▶ No haber realizado la evaluación de impacto en la protección de datos cuando sea necesaria.
Por otro lado, el artículo 74 establece que son infracciones graves las que consistan en:
- ▶ No haber obtenido el consentimiento del interesado para el tratamiento de sus datos personales.
- ▶ No haber facilitado al interesado la información necesaria sobre el tratamiento de sus datos personales.
- ▶ No haber permitido al interesado el ejercicio de sus derechos en relación con sus datos personales.
Límites Cuantitativos de las Multas
Los límites cuantitativos de las multas se establecen en el artículo 76 de la LOPDGDD. Según este artículo, las multas por infracciones leves no podrán exceder de 20.000 euros, las multas por infracciones graves no podrán exceder de 40.000 euros y las multas por infracciones muy graves no podrán exceder de 100.000 euros.
Es importante destacar que, según el artículo 77, la Agencia Española de Protección de Datos (AEPD) podrá imponer multas por infracciones muy graves de hasta 300.000 euros en caso de que la infracción sea especialmente grave o tenga un impacto significativo en la protección de los datos personales.
Tabla de Plazos y Conceptos
Truco Mnemotécnico
Trampa de Examen
Comparativa de Infracciones
Tabla de Plazos y Conceptos Adicionales
Conclusión
En conclusión, el régimen de infracciones y sanciones en la LOPDGDD es complejo y requiere una comprensión detallada de los artículos 72 a 85. Es importante recordar los límites cuantitativos de las multas y las diferencias entre infracciones leves, graves y muy graves. Utilizando los trucos mnemotécnicos y evitando las trampas de examen, podrás dominar este tema y obtener una buena calificación en tus exámenes.