Tema 24 · Cuerpo de Administrativos de la Comunidad de Madrid

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales: estructura y contenido. Especialidades en el Sector Público. Reglamento General de Protección de Datos 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD): definiciones. Principios. Legitimación para el tratamiento de datos personales. Derechos de los interesados. Obligaciones de los responsables y encargados. Delegado de protección de datos.

Tema desarrollado para el primer ejercicio del Cuerpo de Administrativos (C1) de la Comunidad de Madrid. Contenido verificado contra el texto consolidado de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, publicado en el BOE; contra el texto del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, publicado en el Diario Oficial de la Unión Europea; y, para la capa autonómica, contra la Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid, y la Ley 8/2012, de 28 de diciembre, de Medidas Fiscales y Administrativas. El programa evaluable exacto es el del Anexo de tu convocatoria; consúltalo siempre.

Índice

1. El derecho fundamental a la protección de datos y su marco normativo
2. La Ley Orgánica 3/2018: estructura y contenido
3. Ámbito de aplicación
4. Definiciones del Reglamento General de Protección de Datos
5. Principios relativos al tratamiento
6. Legitimación para el tratamiento de datos personales
7. Derechos de los interesados
8. Obligaciones de los responsables y encargados del tratamiento
9. El delegado de protección de datos
10. Autoridades de control, procedimientos y régimen sancionador
11. Especialidades en el sector público
12. La protección de datos en la Comunidad de Madrid
13. Los derechos digitales (Título X de la ley orgánica)
14. Esquema-resumen

1. El derecho fundamental a la protección de datos y su marco normativo

Pocas materias del programa tienen tanta proyección práctica sobre el trabajo diario de un administrativo como esta. Cada expediente que se tramita en una Consejería contiene nombres, domicilios, números de documento, datos económicos, de salud o de situación familiar. Cada registro de entrada, cada notificación, cada publicación en un boletín y cada respuesta a una solicitud de información pública supone, en términos jurídicos, un tratamiento de datos personales. Por eso el legislador ha querido que quienes acceden a la función pública conozcan esta disciplina: la propia Ley Orgánica 3/2018 ordena que las Administraciones Públicas incorporen «a los temarios de las pruebas de acceso a los cuerpos superiores y a aquéllos en que habitualmente se desempeñen funciones que impliquen el acceso a datos personales materias relacionadas con la garantía de los derechos digitales y en particular el de protección de datos» (art. 83.4 de la Ley Orgánica 3/2018). Este tema existe, literalmente, por mandato de la ley que estudia.

El tema combina dos normas que hay que manejar a la vez y sin confundir: el Reglamento (UE) 2016/679, conocido como Reglamento General de Protección de Datos (RGPD), que es la norma principal y directamente aplicable en toda la Unión, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el ordenamiento español a ese Reglamento, lo completa en lo que el propio Reglamento permite y, además, reconoce un catálogo de derechos digitales. El programa oficial reparte su contenido de forma muy precisa: de la ley orgánica pide la estructura y contenido y las especialidades en el sector público; del Reglamento, las definiciones, los principios, la legitimación, los derechos, las obligaciones de responsables y encargados y el delegado de protección de datos. Esa es exactamente la ruta que sigue este desarrollo, con un apartado final sobre la situación en la Comunidad de Madrid.

1.1. Fundamento constitucional y europeo

El punto de partida está en el artículo 18.4 de la Constitución: «La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». El preámbulo de la LOPDGDD destaca que con este precepto «nuestra Constitución fue pionera en el reconocimiento del derecho fundamental a la protección de datos personales». La redacción constitucional habla de limitar la informática para proteger la intimidad, pero el Tribunal Constitucional fue perfilando a partir de ella un derecho con contenido propio.

Dos sentencias marcan esa evolución y el propio legislador las recoge en el preámbulo. La STC 94/1998, de 4 de mayo, afirmó que existe un derecho fundamental a la protección de datos «por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados». La STC 292/2000, de 30 de noviembre, dio el paso decisivo al configurarlo como «un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso». Desde entonces se distingue con claridad el derecho a la intimidad (art. 18.1 de la Constitución), que protege frente a la intromisión en la esfera privada, del derecho a la protección de datos (art. 18.4), que protege cualquier dato personal, sea íntimo o no, garantizando a su titular el control sobre él.

En el plano europeo, el derecho aparece en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16.1 del Tratado de Funcionamiento de la Unión Europea, como recuerda también el preámbulo de la ley orgánica. El propio RGPD declara que «protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales» (art. 1.2 del RGPD), y añade una idea que explica su doble objetivo: «la libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales» (art. 1.3 del RGPD). El Reglamento, por tanto, no es solo una norma de garantía: es también una norma de mercado interior que pretende que las mismas reglas rijan en todos los Estados miembros.

1.2. Evolución normativa en España

El desarrollo legislativo del art. 18.4 de la Constitución ha pasado por tres leyes orgánicas, cada una vinculada a un momento del Derecho europeo. Conviene conocer la secuencia porque el examen gusta de preguntar qué norma derogó a cuál:

Norma	Contexto	Situación
Ley Orgánica 5/1992, de 29 de octubre, reguladora del tratamiento automatizado de datos personales (LORTAD)	Primera ley de desarrollo del art. 18.4 de la Constitución.	Reemplazada por la Ley Orgánica 15/1999.
Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos personales (LOPD)	Transpuso la Directiva 95/46/CE, de 24 de octubre de 1995.	Derogada por la LOPDGDD (disposición derogatoria única, apartado 1), con las salvedades de la disposición adicional decimocuarta y la transitoria cuarta.
Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos	Norma puente aprobada tras la plena aplicabilidad del RGPD.	Derogado por la LOPDGDD (disposición derogatoria única, apartado 2).
Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD)	Adapta el ordenamiento al RGPD y reconoce los derechos digitales.	Vigente. Publicada en el BOE el 6 de diciembre de 2018 y en vigor desde el día siguiente (disposición final decimosexta).

El Reglamento (UE) 2016/679 se adoptó el 27 de abril de 2016 y derogó la Directiva 95/46/CE. Entró en vigor a los veinte días de su publicación, pero no fue aplicable hasta el 25 de mayo de 2018 (art. 99 del RGPD): se dio a los Estados, a las empresas y a las Administraciones un periodo de dos años para adaptarse. El mismo día se aprobó la Directiva (UE) 2016/680, relativa al tratamiento de datos por las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, que tiene su propio régimen de transposición y queda fuera del RGPD.

La elección del instrumento no es casual. La Directiva de 1995 necesitaba ser transpuesta por cada Estado y el resultado, dice el preámbulo de la LOPDGDD, fue «un mosaico normativo con perfiles irregulares en el conjunto de la Unión Europea». El legislador europeo optó en 2016 por un reglamento, que tiene eficacia directa y no necesita transposición, precisamente para «superar los obstáculos que impidieron la finalidad armonizadora» de la Directiva. Aun así, el RGPD contiene numerosas remisiones al Derecho de los Estados miembros —la edad del consentimiento de los menores, el régimen de las multas a las autoridades públicas, la regulación de las autoridades de control, entre otras— y esa es la función de la ley orgánica española.

1.3. Relación entre el Reglamento y la ley orgánica

La relación entre ambas normas es la clave para no equivocarse en el examen. El RGPD es la norma de cabecera y se aplica directamente; la LOPDGDD no lo transpone ni lo reproduce, sino que lo adapta y completa. Así lo dice su artículo 1, que fija un objeto doble:

a) «Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, y completar sus disposiciones». Y añade: «El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica».
b) «Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución».

Por eso muchos preceptos de la ley orgánica son remisiones expresas al Reglamento: el derecho de acceso «se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679» (art. 13.1 de la Ley Orgánica 3/2018), el derecho a la portabilidad «se ejercerá de acuerdo con lo establecido en el artículo 20» (art. 17), y así sucesivamente. La técnica responde a lo que el preámbulo llama principio de seguridad jurídica: el Derecho interno no debe duplicar el contenido del reglamento europeo, pero puede desarrollarlo o complementarlo cuando el propio Reglamento lo habilita. Cuando estudies un derecho o una obligación, la regla práctica es buscar primero el artículo del RGPD, que contiene el régimen sustantivo, y después el de la ley orgánica, que añade las especialidades españolas (por ejemplo, la edad de catorce años, el plazo de seis meses para considerar repetitivo el acceso o la lista de entidades obligadas a nombrar delegado).

2. La Ley Orgánica 3/2018: estructura y contenido

2.1. Estructura formal

El preámbulo describe la ley en su redacción original: «Esta ley orgánica consta de noventa y siete artículos estructurados en diez títulos, veintidós disposiciones adicionales, seis disposiciones transitorias, una disposición derogatoria y dieciséis disposiciones finales». Ese es el dato que manejan los manuales y el que suele preguntarse. Hay que conocer, sin embargo, cómo ha quedado tras sus reformas, porque el texto consolidado ya no coincide exactamente con esa descripción: la Ley 11/2023, de 8 de mayo, añadió un artículo 53 bis (actuaciones de investigación a través de sistemas digitales) y una disposición adicional vigésima tercera (modelos de presentación de reclamaciones ante la Agencia Española de Protección de Datos). El texto vigente tiene, por tanto, diez títulos, noventa y siete artículos numerados más el 53 bis, veintitrés disposiciones adicionales, seis transitorias, una derogatoria y dieciséis finales.

Elemento	Redacción original (preámbulo)	Texto consolidado vigente
Títulos	10	10
Artículos	97	97 + art. 53 bis
Disposiciones adicionales	22	23 (se añade la vigésima tercera)
Disposiciones transitorias	6	6
Disposición derogatoria	1	1
Disposiciones finales	16	16

2.2. Contenido por títulos

La sistemática de la ley sigue de cerca la del Reglamento, de modo que conocer su índice ayuda a situar cualquier precepto. Estos son sus diez títulos con su contenido esencial:

Título	Rúbrica	Artículos	Contenido esencial
I	Disposiciones generales	1 a 3	Objeto doble de la ley, ámbito de aplicación y datos de las personas fallecidas.
II	Principios de protección de datos	4 a 10	Exactitud, deber de confidencialidad, consentimiento, consentimiento de menores (catorce años), tratamientos por obligación legal o interés público, categorías especiales y datos penales.
III	Derechos de las personas	11 a 18	Capítulo I, transparencia e información (art. 11); Capítulo II, ejercicio de los derechos: reglas generales, acceso, rectificación, supresión, limitación, portabilidad y oposición (arts. 12 a 18).
IV	Disposiciones aplicables a tratamientos concretos	19 a 27	Datos de contacto y de empresarios individuales, sistemas de información crediticia, operaciones mercantiles, videovigilancia, sistemas de exclusión publicitaria, protección de informantes, función estadística, archivo en interés público e infracciones y sanciones administrativas.
V	Responsable y encargado del tratamiento	28 a 39	Capítulo I, medidas de responsabilidad activa (28 a 32); Capítulo II, encargado (33); Capítulo III, delegado de protección de datos (34 a 37); Capítulo IV, códigos de conducta y certificación (38 y 39).
VI	Transferencias internacionales de datos	40 a 43	Régimen general, supuestos de adopción por la Agencia, autorización previa e información previa.
VII	Autoridades de protección de datos	44 a 62	Capítulo I, la Agencia Española de Protección de Datos (disposiciones generales, potestades de investigación y otras potestades); Capítulo II, autoridades autonómicas y coordinación en los procedimientos europeos.
VIII	Procedimientos en caso de posible vulneración de la normativa de protección de datos	63 a 69	Régimen jurídico, iniciación y duración, admisión a trámite, alcance territorial, actuaciones previas, acuerdo de inicio y medidas provisionales.
IX	Régimen sancionador	70 a 78	Sujetos responsables, infracciones muy graves, graves y leves, sanciones, régimen de determinadas categorías de responsables (art. 77, el del sector público) y prescripción.
X	Garantía de los derechos digitales	79 a 97	Neutralidad y acceso universal a Internet, seguridad y educación digital, derechos laborales digitales, derecho al olvido, portabilidad en redes sociales, testamento digital y políticas de impulso.

Entre las disposiciones adicionales destacan para esta oposición la primera (medidas de seguridad en el ámbito del sector público y Esquema Nacional de Seguridad), la segunda (protección de datos y transparencia y acceso a la información pública), la tercera (cómputo de plazos), la séptima (identificación de los interesados en las notificaciones por medio de anuncios y publicaciones), la octava (potestad de verificación de las Administraciones), la décima (comunicaciones de datos por los sujetos del artículo 77.1) y la duodécima (registros de personal del sector público). Todas se estudian en el apartado 11. Entre las disposiciones finales, las más relevantes son la primera (qué preceptos son orgánicos), la segunda (título competencial), la duodécima (que modificó el artículo 28 de la Ley 39/2015) y la decimocuarta (que añadió la letra j bis al artículo 14 del Estatuto Básico del Empleado Público).

La disposición adicional tercera merece una mención propia porque afecta a todos los plazos del Reglamento y de la ley, «con independencia de que se refieran a relaciones entre particulares o con entidades del sector público»: cuando los plazos se señalen por días, «se entiende que estos son hábiles, excluyéndose del cómputo los sábados, los domingos y los declarados festivos»; si se fijan en semanas, concluyen el mismo día de la semana en que se produjo el hecho inicial; si se fijan en meses o años, concluyen el mismo día del mes o año de vencimiento, y si no hubiera día equivalente, el último día del mes; y cuando el último día sea inhábil, el plazo se prorroga al primer día hábil siguiente.

2.3. Preceptos orgánicos y ordinarios y título competencial

La ley desarrolla un derecho fundamental y por eso tiene rango de ley orgánica (art. 81 de la Constitución). Pero no todo su contenido afecta al núcleo del derecho, y la disposición final primera precisa qué partes tienen carácter de ley ordinaria. Tienen carácter ordinario: el Título IV; el Título VII, salvo los artículos 52 y 53, que son orgánicos; el Título VIII; el Título IX; los artículos 79, 80, 81, 82, 88, 95, 96 y 97 del Título X; las disposiciones adicionales, salvo la segunda y la decimoséptima, que son orgánicas; las disposiciones transitorias; y las disposiciones finales, salvo la primera, segunda, tercera, cuarta, octava, décima y decimosexta, que son orgánicas. Todo lo demás —los Títulos I, II, III, V y VI, entre otros— tiene carácter orgánico.

La disposición final segunda fija el título competencial. La ley se dicta con carácter general al amparo del artículo 149.1.1.ª de la Constitución (regulación de las condiciones básicas que garanticen la igualdad de todos los españoles en el ejercicio de los derechos). Pero hay excepciones relevantes para una Comunidad Autónoma: el Capítulo I del Título VII (la Agencia Española), el Título VIII (procedimientos), la disposición adicional cuarta y la transitoria primera «sólo serán de aplicación a la Administración General del Estado y a sus organismos públicos». Los artículos 87 a 90 (derechos digitales en el ámbito laboral) se amparan en el art. 149.1.7.ª y 18.ª (legislación laboral y bases del régimen estatutario de los funcionarios); la disposición adicional tercera, en el 149.1.18.ª; y el artículo 96 (testamento digital), en el 149.1.8.ª.

2.4. Reformas posteriores

Desde su aprobación, la LOPDGDD ha sido modificada en varias ocasiones. Según el texto consolidado del BOE, las modificaciones de articulado son las siguientes:

La Ley Orgánica 3/2020, de 29 de diciembre, modificó el artículo 83.1 (derecho a la educación digital).
La Ley Orgánica 7/2021, de 26 de mayo, añadió el apartado 5 del artículo 2 (tratamientos del Ministerio Fiscal), modificó el artículo 44.3 y la disposición adicional decimoquinta.
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, dio nueva redacción al artículo 24.
La Ley 11/2023, de 8 de mayo, modificó los artículos 48.2, 50, 64 a 67, 75 y 77, y añadió el artículo 53 bis y la disposición adicional vigésima tercera. Es la reforma más amplia y afecta de lleno a los procedimientos ante la Agencia y al régimen del sector público.
La Ley 10/2025, de 26 de diciembre, modificó el apartado 1 del artículo 23 (sistemas de exclusión publicitaria), con efectos desde el 28 de diciembre de 2025.

Además, la STC 76/2019, de 22 de mayo, declaró inconstitucional y nula parte del apartado 2 de la disposición final tercera, que había modificado la Ley Orgánica del Régimen Electoral General.

En el ámbito europeo, a fecha de este apunte el RGPD mantiene su redacción de 2016: la Comisión Europea presentó en noviembre de 2025 un paquete de simplificación digital que propone modificarlo, pero se trata de una propuesta en tramitación, no de una norma en vigor. En el examen debe responderse siempre conforme al texto vigente.

3. Ámbito de aplicación

3.1. Ámbito material

El Reglamento se aplica «al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero» (art. 2.1 del RGPD). La LOPDGDD reproduce la misma fórmula para sus Títulos I a IX y para los artículos 89 a 94 (art. 2.1 de la Ley Orgánica 3/2018). De esta definición se deducen dos consecuencias: la norma se aplica a los tratamientos informatizados, pero también a los expedientes en papel siempre que los datos estén organizados o destinados a organizarse en un fichero; y queda fuera, en cambio, la información no estructurada que no forma parte ni va a formar parte de un fichero.

El artículo 2.2 del RGPD excluye expresamente cuatro supuestos. El Reglamento no se aplica al tratamiento de datos personales:

a) en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
b) por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del Tratado de la Unión Europea (política exterior y de seguridad común);
c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas;
d) por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención (que se rige por la Directiva 2016/680 y su normativa de transposición).

La LOPDGDD, por su parte, no se aplica (art. 2.2 de la Ley Orgánica 3/2018): a los tratamientos excluidos del Reglamento por su artículo 2.2; a los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3; y a los tratamientos sometidos a la normativa sobre protección de materias clasificadas.

La ley orgánica añade dos reglas de delimitación útiles. Por un lado, los tratamientos a los que no sea directamente aplicable el Reglamento por afectar a actividades no comprendidas en el Derecho de la Unión «se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado reglamento y en la presente ley orgánica», y cita como ejemplos «los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, los tratamientos realizados en el ámbito de instituciones penitenciarias y los tratamientos derivados del Registro Civil, los Registros de la Propiedad y Mercantiles» (art. 2.3). Por otro, el tratamiento de datos llevado a cabo por los órganos judiciales en la tramitación de los procesos y en la gestión de la Oficina Judicial, y el realizado por el Ministerio Fiscal en los procesos de su competencia y en la Oficina Fiscal, se rigen por el Reglamento y la ley orgánica, sin perjuicio de la Ley Orgánica del Poder Judicial y, en el caso del Ministerio Fiscal, de su Estatuto Orgánico y las normas procesales (art. 2.4 y 2.5).

Un ejemplo concreto de la excepción doméstica aparece en la regulación de la videovigilancia: «se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio». La exclusión no alcanza, sin embargo, al tratamiento realizado por una empresa de seguridad privada contratada para vigilar ese domicilio que tenga acceso a las imágenes (art. 22.5 de la Ley Orgánica 3/2018).

3.2. Ámbito territorial

El Reglamento tiene una aplicación territorial deliberadamente amplia (art. 3 del RGPD). Se aplica, en primer lugar, según el criterio del establecimiento: a los tratamientos realizados «en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no». Se aplica también, según el criterio del mercado o de destino, a responsables o encargados no establecidos en la Unión cuando traten datos de interesados que residan en ella y las actividades estén relacionadas con «la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago», o con «el control de su comportamiento, en la medida en que este tenga lugar en la Unión». Y se aplica, por último, a responsables no establecidos en la Unión pero situados en un lugar donde rige el Derecho de un Estado miembro en virtud del Derecho internacional público.

Cuando el Reglamento se aplica a un responsable o encargado no establecido en la Unión por el criterio de destino, este debe designar por escrito un representante en la Unión (art. 27 del RGPD), obligación de la que están exentas, entre otros, las autoridades u organismos públicos. La ley orgánica permite que la Agencia Española de Protección de Datos o las autoridades autonómicas impongan al representante, solidariamente con el responsable o encargado, las medidas del Reglamento cuando el tratamiento se refiera a afectados que se hallen en España (art. 30 de la Ley Orgánica 3/2018).

3.3. Los datos de las personas fallecidas

El Reglamento protege a las personas físicas vivas. La LOPDGDD, tras excluir de su ámbito los datos de fallecidos, les dedica una regulación propia que el preámbulo califica de «novedosa» y que ha sido objeto de pregunta en exámenes de la Comunidad de Madrid. El artículo 3 establece estas reglas:

Las personas vinculadas al fallecido por razones familiares o de hecho así como sus herederos pueden dirigirse al responsable o encargado del tratamiento para solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión (art. 3.1).
Como excepción, no pueden acceder a los datos, ni solicitar su rectificación o supresión, «cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley». Pero esa prohibición «no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante» (art. 3.1, párrafo segundo).
Las personas o instituciones designadas expresamente por el fallecido pueden también solicitar, con arreglo a las instrucciones recibidas, el acceso, la rectificación o la supresión. Los requisitos para acreditar la validez y vigencia de estos mandatos se establecerán mediante real decreto (art. 3.2).
En caso de fallecimiento de menores, estas facultades pueden ejercerse también por sus representantes legales o por el Ministerio Fiscal, que puede actuar de oficio o a instancia de cualquier persona física o jurídica interesada. En caso de fallecimiento de personas con discapacidad, también por quienes hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se entendieran comprendidas en las medidas de apoyo (art. 3.3).

4. Definiciones del Reglamento General de Protección de Datos

El artículo 4 del RGPD contiene veintiséis definiciones. El programa las cita expresamente y el examen suele preguntar por su literalidad o por la frontera entre conceptos próximos. Las más importantes se agrupan a continuación.

4.1. Datos personales, interesado y tratamiento

Datos personales: «toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona» (art. 4.1 del RGPD).

De esta definición conviene retener tres ideas. La primera: solo protege a personas físicas; los datos de las personas jurídicas no son datos personales a efectos del Reglamento, y así lo preguntó el examen extraordinario de 2025 de esta misma oposición. La segunda: basta con que la persona sea identificable, no es necesario que esté identificada; si la identidad puede determinarse indirectamente combinando informaciones, el dato es personal. La tercera: el titular de los datos recibe el nombre técnico de interesado en el Reglamento, mientras que la LOPDGDD utiliza con frecuencia el término afectado; ambos designan a la misma persona.

En relación con las personas jurídicas, la LOPDGDD contiene una presunción útil: se presume amparado en el interés legítimo, salvo prueba en contrario, el tratamiento de los datos de contacto y, en su caso, los relativos a la función o puesto de las personas físicas que presten servicios en una persona jurídica, siempre que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional y su finalidad sea únicamente mantener relaciones con la persona jurídica; la misma presunción opera para empresarios individuales y profesionales liberales cuando se les trate en esa condición (art. 19.1 y 19.2 de la Ley Orgánica 3/2018). Los responsables del sector público enumerados en el art. 77.1 pueden tratar esos datos cuando derive de una obligación legal o sea necesario para el ejercicio de sus competencias (art. 19.3).

Tratamiento: «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción» (art. 4.2 del RGPD). La lista es ejemplificativa y muy amplia: la mera consulta o la simple conservación ya son tratamiento. Cuando un funcionario abre un expediente para comprobar un dato, está tratando datos personales.

Fichero: «todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica» (art. 4.6 del RGPD).

Limitación del tratamiento: «el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro» (art. 4.3 del RGPD). Elaboración de perfiles: toda forma de tratamiento automatizado consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos a su rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos (art. 4.4 del RGPD).

Seudonimización: «el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable» (art. 4.5 del RGPD). Es importante distinguirla de la anonimización: los datos seudonimizados siguen siendo datos personales, porque la reidentificación es posible con la información adicional; los datos verdaderamente anonimizados, en cambio, dejan de serlo. La LOPDGDD tipifica como infracción muy grave «la reversión deliberada de un procedimiento de anonimización a fin de permitir la reidentificación de los afectados» (art. 72.1.p de la Ley Orgánica 3/2018).

4.2. Los sujetos: responsable, encargado, destinatario y tercero

Distinguir correctamente a los sujetos que intervienen en un tratamiento es imprescindible, porque de esa calificación dependen las obligaciones y la responsabilidad de cada uno.

Sujeto	Definición (art. 4 del RGPD)	Idea clave
Responsable del tratamiento (art. 4.7)	«la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento»; si el Derecho de la Unión o de los Estados miembros determina los fines y medios, ese Derecho puede designar al responsable o fijar los criterios para su nombramiento.	Decide el para qué y el cómo.
Encargado del tratamiento (art. 4.8)	«la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento».	Trata por cuenta de otro, siguiendo sus instrucciones.
Destinatario (art. 4.9)	la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No se consideran destinatarios las autoridades públicas que reciban datos en el marco de una investigación concreta conforme al Derecho de la Unión o de los Estados miembros.	Recibe los datos.
Tercero (art. 4.10)	persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable, del encargado y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable o del encargado.	Es ajeno a la relación de tratamiento.
Representante (art. 4.17)	persona física o jurídica establecida en la Unión designada por escrito por el responsable o el encargado con arreglo al art. 27, que lo represente respecto de sus obligaciones.	Solo para responsables o encargados no establecidos en la Unión.

Obsérvese que la definición de responsable y encargado incluye expresamente a la autoridad pública. En la Administración autonómica, lo normal es que el responsable sea el órgano que tiene atribuida la competencia en cuyo ejercicio se tratan los datos (por ejemplo, la Dirección General que gestiona un procedimiento de ayudas), y que actúe como encargado la empresa contratada para prestar un servicio que implique acceder a esos datos (por ejemplo, la que mantiene la aplicación informática o la que gestiona un centro de llamadas).

La ley orgánica añade dos reglas para evitar que el nombre del contrato encubra la realidad. Tiene la consideración de responsable, y no de encargado, «quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3», previsión que no se aplica a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público; y tiene asimismo la consideración de responsable «quien figurando como encargado utilizase los datos para sus propias finalidades» (art. 33.2 de la Ley Orgánica 3/2018). El Reglamento dice lo mismo en términos de infracción: si un encargado determina los fines y medios del tratamiento, será considerado responsable respecto de dicho tratamiento (art. 28.10 del RGPD).

4.3. Categorías de datos y otras definiciones

Consentimiento del interesado: «toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen» (art. 4.11 del RGPD). La LOPDGDD reproduce la definición en su artículo 6.1, y su preámbulo subraya que con ella se excluye «lo que se conocía como «consentimiento tácito»». Los cuatro adjetivos —libre, específica, informada e inequívoca— son una pregunta de examen clásica.

Violación de la seguridad de los datos personales: «toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos» (art. 4.12 del RGPD). Obsérvese que incluye tanto los incidentes accidentales como los ilícitos, y tanto la pérdida de disponibilidad como la de confidencialidad o integridad.

Tres definiciones se refieren a datos de especial sensibilidad:

Datos genéticos (art. 4.13): datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica.
Datos biométricos (art. 4.14): datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, «como imágenes faciales o datos dactiloscópicos».
Datos relativos a la salud (art. 4.15): datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.

Completan el catálogo, entre otras, las definiciones de establecimiento principal (art. 4.16), empresa y grupo empresarial (arts. 4.18 y 4.19), normas corporativas vinculantes (art. 4.20), autoridad de control —«la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51» (art. 4.21)—, autoridad de control interesada (art. 4.22), tratamiento transfronterizo (art. 4.23), objeción pertinente y motivada (art. 4.24), servicio de la sociedad de la información (art. 4.25) y organización internacional (art. 4.26).

5. Principios relativos al tratamiento

Los principios son el corazón del Reglamento: todo tratamiento debe respetarlos y su vulneración se castiga con las multas más altas (art. 83.5.a del RGPD). En la ley orgánica, tratar datos «vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento» es infracción muy grave (art. 72.1.a de la Ley Orgánica 3/2018).

5.1. Los seis principios del artículo 5.1

El artículo 5.1 del RGPD enumera seis principios, cada uno con su denominación oficial entre comillas. Hay que conocer tanto el contenido como el nombre exacto, porque el examen suele dar la descripción y pedir la etiqueta, o al revés.

Letra	Denominación	Contenido literal
a)	Licitud, lealtad y transparencia	Los datos serán «tratados de manera lícita, leal y transparente en relación con el interesado».
b)	Limitación de la finalidad	Serán «recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines»; el tratamiento ulterior con fines de archivo en interés público, investigación científica e histórica o estadísticos no se considera incompatible.
c)	Minimización de datos	Serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados».
d)	Exactitud	Serán «exactos y, si fuera necesario, actualizados»; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos inexactos.
e)	Limitación del plazo de conservación	Se mantendrán de forma que se permita la identificación de los interesados «durante no más tiempo del necesario para los fines del tratamiento»; pueden conservarse más tiempo si se tratan exclusivamente con fines de archivo en interés público, investigación científica o histórica o estadísticos, con las medidas apropiadas.
f)	Integridad y confidencialidad	Serán tratados de tal manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante medidas técnicas u organizativas apropiadas.

Algunos matices ayudan a no confundirlos. La minimización se refiere a la cantidad y pertinencia de los datos: no deben pedirse más datos de los necesarios. La limitación del plazo de conservación se refiere al tiempo: los datos no deben guardarse identificando al interesado más allá de lo necesario. La limitación de la finalidad se refiere al uso: los datos no pueden reutilizarse para fines incompatibles con los que justificaron su recogida. Y la integridad y confidencialidad es el principio de seguridad, desarrollado después en el artículo 32 del Reglamento. En la práctica administrativa, un formulario que pide la profesión del solicitante en un procedimiento en el que ese dato no se valora vulnera la minimización; conservar indefinidamente los currículos de un proceso selectivo concluido vulnera la limitación del plazo de conservación; y usar los datos de un registro de ayudas para enviar propaganda institucional sin relación con él vulnera la limitación de la finalidad.

5.2. La responsabilidad proactiva

El apartado 2 del artículo 5 añade el que muchos consideran el principio más característico del modelo europeo: «El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)». No basta con cumplir: el responsable debe poder demostrar que cumple. De ahí nacen muchas de las obligaciones documentales que se estudian en el apartado 8: el registro de actividades de tratamiento, la documentación de las violaciones de seguridad, la evaluación de impacto o la prueba del consentimiento.

El preámbulo de la LOPDGDD explica el alcance de este cambio: «la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos personales para, a partir de dicha valoración, adoptar las medidas que procedan». Bajo la ley de 1999 existían ficheros inscritos en un registro público y medidas de seguridad tasadas por niveles; con el Reglamento desaparece ese sistema y cada responsable debe analizar sus riesgos y decidir qué medidas aplica, respondiendo de su acierto.

5.3. Exactitud y confidencialidad en la ley orgánica

La LOPDGDD desarrolla dos de los principios. En cuanto a la exactitud, recuerda que los datos serán exactos y, si fuere necesario, actualizados, y establece que no será imputable al responsable la inexactitud de los datos, siempre que haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, cuando los datos inexactos (art. 4.2 de la Ley Orgánica 3/2018):

a) hubiesen sido obtenidos por el responsable directamente del afectado;
b) hubiesen sido obtenidos de un mediador o intermediario, cuando las normas del sector permitan su intervención y este recoja los datos en nombre propio para transmitirlos al responsable (el mediador asume la responsabilidad si comunica datos que no se corresponden con los facilitados por el afectado);
c) se hubieran recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad;
d) fuesen obtenidos de un registro público.

En cuanto a la confidencialidad, el artículo 5 de la ley orgánica dispone que los responsables y encargados, «así como todas las personas que intervengan en cualquier fase» del tratamiento, están sujetos al deber de confidencialidad del art. 5.1.f del Reglamento; que esta obligación es complementaria de los deberes de secreto profesional según su normativa; y que se mantiene «aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento». Para un empleado público, esto significa que el deber de guardar confidencialidad sobre los datos que conoció en su puesto no se extingue con el cambio de destino ni con la jubilación, y que se suma al deber de sigilo que le impone su propio estatuto. Su vulneración es infracción muy grave (art. 72.1.i de la Ley Orgánica 3/2018).

6. Legitimación para el tratamiento de datos personales

El principio de licitud exige que todo tratamiento se apoye en una base jurídica. Es uno de los puntos donde más se confunde el opositor, porque se tiende a pensar que el consentimiento es la regla general y lo demás son excepciones. No es así: el consentimiento es solo una de las seis bases posibles, todas con el mismo rango, y en el sector público ni siquiera es la más habitual.

6.1. Las seis bases jurídicas del artículo 6

El artículo 6.1 del RGPD dispone que el tratamiento «solo será lícito si se cumple al menos una de las siguientes condiciones»:

Letra	Base jurídica	Texto del Reglamento
a)	Consentimiento	«el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos».
b)	Contrato	«el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales».
c)	Obligación legal	«el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento».
d)	Intereses vitales	«el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física».
e)	Misión de interés público o ejercicio de poderes públicos	«el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento».
f)	Interés legítimo	«el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño».

Hay una limitación fundamental para las Administraciones: «Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones» (art. 6.1, párrafo segundo, del RGPD). Una Consejería no puede justificar un tratamiento en el ejercicio de sus funciones invocando su interés legítimo: debe apoyarse en una obligación legal, en una misión de interés público o en el ejercicio de poderes públicos (letras c y e) o, en su caso, en el consentimiento o en un contrato.

El Reglamento permite a los Estados mantener o introducir disposiciones más específicas para adaptar el tratamiento basado en las letras c) y e) (art. 6.2 del RGPD). La base de esos tratamientos debe establecerla el Derecho de la Unión o el Derecho del Estado miembro aplicable al responsable; la finalidad debe quedar determinada en esa base jurídica o, en el caso de la letra e), ser necesaria para cumplir la misión de interés público o ejercer los poderes públicos; y ese Derecho «cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido» (art. 6.3 del RGPD). La base jurídica puede precisar las condiciones generales de licitud, los tipos de datos, los interesados, las entidades a las que pueden comunicarse, la limitación de la finalidad, los plazos de conservación y las operaciones de tratamiento.

6.2. El consentimiento

Además de la definición del art. 4.11, el artículo 7 del RGPD fija las condiciones para el consentimiento:

Carga de la prueba: cuando el tratamiento se base en el consentimiento, «el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales» (art. 7.1).
Distinción de otros asuntos: si el consentimiento se da en una declaración escrita que también se refiera a otros asuntos, la solicitud se presentará de forma que se distinga claramente de los demás, de forma inteligible y de fácil acceso, con un lenguaje claro y sencillo; no será vinculante ninguna parte de la declaración que infrinja el Reglamento (art. 7.2).
Retirada: el interesado tiene derecho a retirar su consentimiento en cualquier momento; la retirada no afecta a la licitud del tratamiento basado en el consentimiento previo; antes de dar su consentimiento, el interesado será informado de ello; y «será tan fácil retirar el consentimiento como darlo» (art. 7.3).
Libertad: al evaluar si el consentimiento se ha dado libremente se tendrá en cuenta en la mayor medida posible si la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos que no son necesarios para ese contrato (art. 7.4).

La LOPDGDD añade dos reglas. Cuando se pretenda fundar el tratamiento en el consentimiento «para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas» (art. 6.2 de la Ley Orgánica 3/2018). Y «no podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual» (art. 6.3).

El consentimiento de los menores es una de las especialidades españolas más preguntadas, porque el Reglamento y la ley orgánica fijan edades distintas:

Norma	Regla
RGPD, art. 8.1	En la oferta directa a niños de servicios de la sociedad de la información, el tratamiento basado en el consentimiento es lícito cuando el niño tenga como mínimo 16 años; si es menor, solo si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela. Los Estados miembros pueden establecer por ley una edad inferior, siempre que no sea inferior a 13 años.
LOPDGDD, art. 7.1	El tratamiento de los datos de un menor «únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años», salvo que la ley exija la asistencia de los titulares de la patria potestad o tutela para el acto o negocio jurídico en cuyo contexto se recaba el consentimiento.
LOPDGDD, art. 7.2	El tratamiento de los datos de los menores de catorce años fundado en el consentimiento «solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela».

España, por tanto, hizo uso de la habilitación del Reglamento y rebajó la edad a catorce años, dentro del margen de trece a dieciséis que permite el art. 8.1 del RGPD. El preámbulo de la ley lo expresa diciendo que «se mantiene en catorce años la edad a partir de la cual el menor puede prestar su consentimiento», porque era también la edad del reglamento de desarrollo de la ley de 1999. El responsable debe hacer esfuerzos razonables para verificar que el consentimiento fue dado o autorizado por el titular de la patria potestad, teniendo en cuenta la tecnología disponible (art. 8.2 del RGPD), y no acreditar esos esfuerzos es infracción grave (art. 73.b de la Ley Orgánica 3/2018).

La edad de catorce años reaparece en el ejercicio de los derechos: los titulares de la patria potestad pueden ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles (art. 12.6 de la Ley Orgánica 3/2018). Y en Internet, cuando la publicación o difusión de datos de menores a través de redes sociales o servicios equivalentes la realicen centros educativos o personas que desarrollen actividades en las que participen menores, deberán contar con el consentimiento del menor o de sus representantes legales conforme al art. 7 (art. 92 de la Ley Orgánica 3/2018).

6.3. Obligación legal, interés público y poderes públicos

El artículo 8 de la LOPDGDD es el precepto clave para entender la legitimación de las Administraciones, porque establece una reserva de norma con rango de ley para las dos bases jurídicas que utilizan habitualmente:

Obligación legal (art. 8.1): el tratamiento solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos del art. 6.1.c del RGPD, «cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal». Esa norma puede imponer condiciones especiales, como medidas adicionales de seguridad.
Misión de interés público o ejercicio de poderes públicos (art. 8.2): el tratamiento solo podrá considerarse fundado en estas bases, en los términos del art. 6.1.e del RGPD, «cuando derive de una competencia atribuida por una norma con rango de ley».

La consecuencia práctica es importante: un órgano administrativo no puede crear por sí mismo, mediante una orden o una instrucción, la base jurídica de un tratamiento que imponga a los ciudadanos. Necesita que la competencia o la obligación estén previstas en una ley (o en una norma europea). Así, cuando la Comunidad de Madrid trata los datos de los aspirantes a un proceso selectivo, la base no es su consentimiento, sino el ejercicio de las competencias en materia de función pública que le atribuye la legislación correspondiente.

La ley orgánica concreta la base de algunos tratamientos del sector público. Los tratamientos de los registros de personal del sector público «se entenderán realizados en el ejercicio de poderes públicos conferidos a sus responsables, de acuerdo con lo previsto en el artículo 6.1.e)» del Reglamento (disposición adicional duodécima, apartado 1). Es lícito el tratamiento por las Administraciones de datos con fines de archivo en interés público, con las especialidades de la legislación de patrimonio histórico, del Sistema Español de Archivos y de la legislación autonómica aplicable (art. 26 de la Ley Orgánica 3/2018). Y la comunicación de datos a los órganos estadísticos solo se entiende amparada en el art. 6.1.e cuando la estadística venga exigida por una norma de la Unión o esté incluida en los instrumentos de programación estadística legalmente previstos (art. 25.2).

6.4. Categorías especiales de datos y datos penales

El artículo 9.1 del RGPD establece una prohibición general: «Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física».

La prohibición no se aplica cuando concurra alguna de las circunstancias del art. 9.2 del RGPD, que conviene conocer letra a letra:

a) consentimiento explícito del interesado para uno o más fines especificados, salvo que el Derecho de la Unión o de los Estados miembros establezca que la prohibición no puede ser levantada por el interesado;
b) cumplimiento de obligaciones y ejercicio de derechos en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que lo autorice el Derecho de la Unión, de los Estados miembros o un convenio colectivo con garantías adecuadas;
c) protección de intereses vitales del interesado o de otra persona, cuando el interesado no esté capacitado física o jurídicamente para consentir;
d) tratamiento por una fundación, asociación u organismo sin ánimo de lucro de finalidad política, filosófica, religiosa o sindical, referido a sus miembros o antiguos miembros o a personas con contactos regulares, sin comunicación fuera de ellos sin consentimiento;
e) datos que el interesado ha hecho manifiestamente públicos;
f) formulación, ejercicio o defensa de reclamaciones, o actuación de los tribunales en ejercicio de su función judicial;
g) razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, proporcional y con medidas adecuadas y específicas;
h) fines de medicina preventiva o laboral, evaluación de la capacidad laboral, diagnóstico médico, asistencia o tratamiento sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social;
i) razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud;
j) fines de archivo en interés público, investigación científica o histórica o estadísticos.

La LOPDGDD introduce dos reglas propias. La primera limita el valor del consentimiento: «a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico» (art. 9.1 de la Ley Orgánica 3/2018). Ello no impide tratar esos datos al amparo de los demás supuestos del art. 9.2 del RGPD. El preámbulo pone un ejemplo muy claro: el consentimiento no dará cobertura a la creación de «listas negras» de sindicalistas, aunque el empresario pueda tratar datos de afiliación sindical para hacer posible el ejercicio de los derechos de los trabajadores. La segunda regla establece una reserva de ley: los tratamientos de las letras g), h) e i) del art. 9.2 del RGPD fundados en el Derecho español «deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad» (art. 9.2 de la Ley Orgánica 3/2018).

Los datos relativos a condenas e infracciones penales tienen un régimen específico. Según el Reglamento, su tratamiento solo puede llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros con garantías adecuadas, y «solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas» (art. 10 del RGPD). La ley orgánica exige que el tratamiento para fines distintos de los penales esté amparado en una norma de Derecho de la Unión, en la propia ley orgánica o en otras normas de rango legal (art. 10.1 de la Ley Orgánica 3/2018); fuera de esos supuestos, solo es posible cuando lo lleven a cabo abogados y procuradores para recoger la información facilitada por sus clientes (art. 10.3).

Un régimen paralelo se aplica a los datos relativos a infracciones y sanciones administrativas, especialmente relevante para la Administración. Su tratamiento, incluido el mantenimiento de registros, exige que los responsables sean «los órganos competentes para la instrucción del procedimiento sancionador, para la declaración de las infracciones o la imposición de las sanciones» y que el tratamiento se limite a los datos estrictamente necesarios (art. 27.1 de la Ley Orgánica 3/2018). Si no se cumplen esas condiciones, el tratamiento requiere el consentimiento del interesado o una norma con rango de ley (art. 27.2), y fuera de esos casos solo pueden tratarlos abogados y procuradores (art. 27.3). Los registros de personal del sector público pueden tratar datos sobre infracciones y condenas penales e infracciones y sanciones administrativas, limitándose a los estrictamente necesarios para sus fines (disposición adicional duodécima, apartado 2).

6.5. Tratamiento ulterior y tratamientos concretos

Cuando se quieren utilizar los datos para un fin distinto del que motivó su recogida y ese nuevo tratamiento no se basa en el consentimiento ni en una norma que constituya una medida necesaria y proporcionada para los objetivos del art. 23.1, el responsable debe determinar si el nuevo fin es compatible con el inicial teniendo en cuenta, entre otras cosas (art. 6.4 del RGPD): la relación entre ambos fines; el contexto de la recogida, en particular la relación entre los interesados y el responsable; la naturaleza de los datos, especialmente si son categorías especiales o datos penales; las posibles consecuencias para los interesados; y la existencia de garantías adecuadas, como el cifrado o la seudonimización. Utilizar los datos para una finalidad incompatible sin consentimiento ni base legal es infracción muy grave (art. 72.1.d de la Ley Orgánica 3/2018).

El Título IV de la ley orgánica regula tratamientos concretos. El preámbulo advierte que la lista «en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos». Algunos de ellos tienen interés para la Administración:

Videovigilancia (art. 22): personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes con la finalidad de preservar la seguridad de las personas y bienes y de sus instalaciones. Solo pueden captarse imágenes de la vía pública en la medida imprescindible, salvo para garantizar la seguridad de bienes o instalaciones estratégicos o infraestructuras vinculadas al transporte, sin captar nunca el interior de un domicilio privado. Los datos se suprimen en el plazo máximo de un mes desde su captación, salvo que deban conservarse para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones; en ese caso, las imágenes deben ponerse a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la grabación. El deber de información se cumple con un dispositivo informativo en lugar suficientemente visible que identifique al menos la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos. A estos tratamientos no se aplica la obligación de bloqueo del art. 32.
Sistemas de información crediticia (art. 20): se presume lícito, salvo prueba en contrario, el tratamiento de datos de deudas ciertas, vencidas y exigibles, con el límite máximo de cinco años desde el vencimiento de la obligación, y no se incorporan deudas cuyo principal sea inferior a cincuenta euros (disposición adicional sexta).
Sistemas de exclusión publicitaria (art. 23): es lícito el tratamiento que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hayan manifestado su negativa u oposición a recibirlas, y quienes pretendan realizar mercadotecnia directa deben consultar previamente esos sistemas.
Protección de informantes (art. 24): son lícitos los tratamientos necesarios para garantizar la protección de las personas que informen sobre infracciones normativas, que se rigen por el Reglamento, la ley orgánica y la ley reguladora de esa protección.
Función estadística pública (art. 25): los datos de categorías especiales y penales son de aportación estrictamente voluntaria y solo pueden recogerse con consentimiento expreso; los organismos estadísticos pueden denegar el ejercicio de los derechos cuando los datos estén amparados por el secreto estadístico.

7. Derechos de los interesados

El capítulo III del Reglamento (arts. 12 a 23) y el Título III de la ley orgánica (arts. 11 a 18) regulan los derechos. El Reglamento contiene el régimen sustantivo; la ley orgánica añade reglas de ejercicio. Los derechos del catálogo son siete: acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad (art. 20), oposición (art. 21) y el derecho a no ser objeto de decisiones individuales automatizadas (art. 22). A ellos se suma, como presupuesto de todos, el derecho a ser informado (arts. 13 y 14).

7.1. Transparencia e información

El artículo 12 del RGPD fija las reglas de transparencia. La información y las comunicaciones al interesado deben facilitarse «en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño»; por escrito o por otros medios, incluidos los electrónicos, y verbalmente si lo solicita el interesado siempre que se demuestre su identidad por otros medios (art. 12.1).

El contenido del deber de información depende de dónde procedan los datos:

	Datos obtenidos del interesado (art. 13 del RGPD)	Datos no obtenidos del interesado (art. 14 del RGPD)
Cuándo se informa	«en el momento en que estos se obtengan».	Dentro de un plazo razonable y a más tardar dentro de un mes; si los datos se usan para comunicarse con el interesado, a más tardar en la primera comunicación; si se van a comunicar a otro destinatario, a más tardar cuando se comuniquen por primera vez.
Información común	Identidad y datos de contacto del responsable y de su representante; datos de contacto del delegado de protección de datos; fines y base jurídica; destinatarios; transferencias internacionales previstas; plazo de conservación o criterios para determinarlo; existencia de los derechos; derecho a retirar el consentimiento; derecho a reclamar ante una autoridad de control; y existencia de decisiones automatizadas con información significativa sobre la lógica aplicada.
Información específica	Intereses legítimos, si el tratamiento se basa en el art. 6.1.f; si la comunicación de datos es un requisito legal o contractual y las consecuencias de no facilitarlos.	Categorías de datos de que se trate; intereses legítimos, en su caso; fuente de la que proceden los datos y si proceden de fuentes de acceso público.
Excepciones	Cuando el interesado ya disponga de la información.	Cuando el interesado ya la tenga; cuando sea imposible o exija un esfuerzo desproporcionado; cuando la obtención o comunicación esté expresamente establecida por el Derecho aplicable con medidas adecuadas; o cuando los datos deban seguir siendo confidenciales por secreto profesional.

La LOPDGDD permite cumplir este deber mediante la llamada información por capas, que el preámbulo describe como «ya generalmente aceptada en ámbitos como el de la videovigilancia o la instalación de dispositivos de almacenamiento masivo de datos (tales como las «cookies»)». El responsable puede facilitar al afectado una información básica e indicarle «una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información» (art. 11.1 de la Ley Orgánica 3/2018). La información básica debe contener, al menos (art. 11.2): la identidad del responsable y de su representante, en su caso; la finalidad del tratamiento; y la posibilidad de ejercer los derechos de los arts. 15 a 22 del Reglamento. Si los datos se van a tratar para elaborar perfiles, la información básica comprende también esta circunstancia y el derecho a oponerse a decisiones automatizadas. Cuando los datos no se obtienen del afectado, la información básica incluye además las categorías de datos y las fuentes de las que proceden (art. 11.3). Es el modelo que se ve al pie de los formularios administrativos: una tabla breve con responsable, finalidad, legitimación, destinatarios y derechos, y un enlace a la información adicional.

La omisión del deber de informar es infracción muy grave (art. 72.1.h de la Ley Orgánica 3/2018), mientras que no facilitar toda la información exigida es infracción leve (art. 74.a). La diferencia está entre no informar en absoluto e informar de forma incompleta.

7.2. Reglas comunes para el ejercicio de los derechos

Varias reglas son comunes a todos los derechos y proceden tanto del Reglamento como de la ley orgánica:

Plazo de respuesta: el responsable facilitará al interesado información sobre sus actuaciones «en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes». La prórroga debe comunicarse dentro del primer mes, indicando los motivos de la dilación (art. 12.3 del RGPD). Si el responsable no da curso a la solicitud, informará al interesado sin dilación y a más tardar en un mes de las razones y de la posibilidad de reclamar ante una autoridad de control y de ejercitar acciones judiciales (art. 12.4 del RGPD).
Gratuidad: la información y las actuaciones «serán a título gratuito» (art. 12.5 del RGPD). Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo, el responsable podrá cobrar un canon razonable en función de los costes administrativos o negarse a actuar, soportando la carga de demostrar ese carácter. La ley orgánica insiste en que «serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos», sin perjuicio de esas excepciones (art. 12.7 de la Ley Orgánica 3/2018).
Representación: los derechos «podrán ejercerse directamente o por medio de representante legal o voluntario» (art. 12.1 de la Ley Orgánica 3/2018).
Medios: el responsable debe informar al afectado sobre los medios disponibles, que deberán ser fácilmente accesibles, y «el ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio» (art. 12.2).
Encargado: puede tramitar las solicitudes por cuenta del responsable si así se establece en el contrato o acto jurídico que les vincule (art. 12.3).
Prueba: «la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable» (art. 12.4).
Regímenes especiales: cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos, se estará a lo dispuesto en ellas (art. 12.5).
Identidad: si el responsable tiene dudas razonables sobre la identidad de quien solicita, puede pedir la información adicional necesaria para confirmarla (art. 12.6 del RGPD).
Notificación a destinatarios: el responsable comunicará cualquier rectificación, supresión o limitación a cada uno de los destinatarios a los que se hayan comunicado los datos, salvo que sea imposible o exija un esfuerzo desproporcionado, e informará al interesado de esos destinatarios si lo solicita (art. 19 del RGPD).

7.3. Acceso, rectificación y supresión

Derecho de acceso (art. 15 del RGPD). El interesado tiene derecho a obtener del responsable «confirmación de si se están tratando o no datos personales que le conciernen» y, en tal caso, acceso a los datos y a la siguiente información: los fines; las categorías de datos; los destinatarios o categorías de destinatarios, en particular en terceros países; el plazo previsto de conservación o los criterios para determinarlo; la existencia de los derechos de rectificación, supresión, limitación u oposición; el derecho a reclamar ante una autoridad de control; el origen de los datos si no se obtuvieron del interesado; y la existencia de decisiones automatizadas. El responsable facilitará una copia de los datos; por cualquier otra copia puede percibir un canon razonable basado en los costes administrativos; y si la solicitud es electrónica, la información se facilitará en un formato electrónico de uso común (art. 15.3). El derecho a obtener copia no afectará negativamente a los derechos y libertades de otros (art. 15.4).

La LOPDGDD añade tres reglas prácticas (art. 13 de la Ley Orgánica 3/2018):

Cuando el responsable trate una gran cantidad de datos del afectado y este no especifique si su solicitud se refiere a todos o a una parte, el responsable puede pedirle, antes de facilitar la información, que especifique los datos o actividades de tratamiento a los que se refiere (art. 13.1).
El derecho de acceso «se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad»; basta comunicar al afectado el modo de acceder a ese sistema, aunque el interesado puede pedir la información del art. 15.1 del Reglamento que no se incluya en él (art. 13.2). Es el caso de las carpetas ciudadanas de las sedes electrónicas.
Se puede considerar repetitivo, a los efectos del art. 12.5 del Reglamento, «el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello» (art. 13.3). Y si el afectado elige un medio distinto al ofrecido que suponga un coste desproporcionado, la solicitud se considera excesiva y el afectado asume el exceso de costes (art. 13.4).

Derecho de rectificación (art. 16 del RGPD). El interesado tiene derecho a obtener «sin dilación indebida» la rectificación de los datos inexactos que le conciernan y, teniendo en cuenta los fines del tratamiento, a que se completen los datos incompletos, incluso mediante una declaración adicional. La ley orgánica exige que el afectado indique en su solicitud a qué datos se refiere y la corrección que haya de realizarse, acompañando cuando sea preciso la documentación justificativa de la inexactitud o del carácter incompleto (art. 14 de la Ley Orgánica 3/2018).

Derecho de supresión o «derecho al olvido» (art. 17 del RGPD). El interesado tiene derecho a obtener sin dilación indebida la supresión de sus datos, y el responsable está obligado a suprimirlos, cuando concurra alguna de estas circunstancias: a) los datos ya no son necesarios para los fines para los que se recogieron; b) el interesado retira el consentimiento y el tratamiento no se basa en otro fundamento; c) el interesado se opone al tratamiento y no prevalecen otros motivos legítimos, o se opone al tratamiento con fines de mercadotecnia directa; d) los datos han sido tratados ilícitamente; e) deben suprimirse para cumplir una obligación legal; f) se obtuvieron en relación con la oferta de servicios de la sociedad de la información a niños. Si el responsable hizo públicos los datos, debe adoptar medidas razonables para informar a otros responsables que los traten de la solicitud de supresión de cualquier enlace, copia o réplica (art. 17.2).

El derecho de supresión no se aplica cuando el tratamiento sea necesario (art. 17.3 del RGPD): a) para ejercer la libertad de expresión e información; b) para cumplir una obligación legal o una misión realizada en interés público o en el ejercicio de poderes públicos; c) por razones de interés público en el ámbito de la salud pública; d) con fines de archivo en interés público, investigación científica o histórica o estadísticos, cuando el derecho pudiera imposibilitar u obstaculizar gravemente sus objetivos; o e) para la formulación, el ejercicio o la defensa de reclamaciones. La letra b) tiene gran importancia en el sector público: un ciudadano no puede exigir la supresión de los datos de un expediente administrativo que la Administración debe conservar para cumplir sus obligaciones legales o sus funciones públicas.

La ley orgánica prevé que cuando la supresión derive del ejercicio del derecho de oposición a la mercadotecnia directa, el responsable podrá conservar los datos identificativos del afectado necesarios para impedir tratamientos futuros con esos fines (art. 15.2 de la Ley Orgánica 3/2018). Y hay que recordar que la supresión no equivale siempre a la destrucción inmediata: el responsable debe bloquear los datos cuando procede a su rectificación o supresión (art. 32, que se estudia en el apartado 8.5).

7.4. Limitación, portabilidad y oposición

Derecho a la limitación del tratamiento (art. 18 del RGPD). El interesado tiene derecho a obtener la limitación cuando: a) impugne la exactitud de los datos, durante un plazo que permita al responsable verificarla; b) el tratamiento sea ilícito y el interesado se oponga a la supresión y solicite en su lugar la limitación de su uso; c) el responsable ya no necesite los datos, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones; o d) el interesado se haya opuesto al tratamiento mientras se verifica si los motivos legítimos del responsable prevalecen sobre los suyos. Mientras dure la limitación, los datos solo pueden ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado, para reclamaciones, para proteger los derechos de otra persona o por razones de interés público importante (art. 18.2); y el interesado será informado antes del levantamiento de la limitación (art. 18.3). La ley orgánica exige que el hecho de que el tratamiento esté limitado conste claramente en los sistemas de información del responsable (art. 16.2 de la Ley Orgánica 3/2018).

Derecho a la portabilidad (art. 20 del RGPD). El interesado tiene derecho a recibir los datos que le incumban y que haya facilitado a un responsable «en un formato estructurado, de uso común y lectura mecánica», y a transmitirlos a otro responsable sin que lo impida el primero, cuando concurran dos requisitos acumulativos: que el tratamiento esté basado en el consentimiento o en un contrato, y que se efectúe por medios automatizados. Tiene derecho también a que los datos se transmitan directamente de responsable a responsable cuando sea técnicamente posible (art. 20.2). Y, dato esencial para la Administración, este derecho «no se aplicará al tratamiento que sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento» (art. 20.3).

Derecho de oposición (art. 21 del RGPD). Tiene tres modalidades:

Oposición general (art. 21.1): el interesado puede oponerse en cualquier momento, por motivos relacionados con su situación particular, a los tratamientos basados en el art. 6.1.e o f (interés público, poderes públicos o interés legítimo), incluida la elaboración de perfiles. El responsable dejará de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los intereses, derechos y libertades del interesado, o para reclamaciones.
Oposición a la mercadotecnia directa (art. 21.2 y 21.3): cuando el tratamiento tenga por objeto la mercadotecnia directa, el interesado tiene derecho a oponerse en todo momento, incluida la elaboración de perfiles relacionada con ella, y los datos dejarán de tratarse para esos fines. Aquí no hay ponderación: basta con la oposición. Es la pregunta que planteó el examen de junio de 2026 de esta oposición.
Oposición en tratamientos con fines de investigación o estadísticos (art. 21.6): el interesado puede oponerse por motivos relacionados con su situación particular, salvo que el tratamiento sea necesario para cumplir una misión realizada por razones de interés público.

El derecho de oposición debe mencionarse explícitamente al interesado, a más tardar en la primera comunicación, «y será presentado claramente y al margen de cualquier otra información» (art. 21.4 del RGPD). En los servicios de la sociedad de la información puede ejercerse por medios automatizados que apliquen especificaciones técnicas (art. 21.5).

7.5. Decisiones automatizadas y limitaciones de los derechos

El artículo 22.1 del RGPD reconoce que «todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar». La regla no se aplica si la decisión: a) es necesaria para la celebración o ejecución de un contrato entre el interesado y el responsable; b) está autorizada por el Derecho de la Unión o de los Estados miembros con medidas adecuadas; o c) se basa en el consentimiento explícito del interesado (art. 22.2). En los casos a) y c), el responsable debe adoptar medidas adecuadas, «como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión» (art. 22.3). Estas decisiones no pueden basarse en categorías especiales de datos, salvo consentimiento explícito o interés público esencial y con medidas adecuadas (art. 22.4).

El artículo 23 del RGPD permite al Derecho de la Unión o de los Estados miembros limitar, mediante medidas legislativas, el alcance de las obligaciones y derechos de los artículos 12 a 22 y 34, cuando la limitación respete en lo esencial los derechos fundamentales y sea necesaria y proporcionada para salvaguardar, entre otros fines: la seguridad del Estado; la defensa; la seguridad pública; la prevención, investigación y enjuiciamiento de infracciones penales; otros objetivos importantes de interés público general, en particular un interés económico o financiero importante, incluidos los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social; la protección de la independencia judicial; las funciones de supervisión, inspección o reglamentación vinculadas al ejercicio de la autoridad pública; la protección del interesado o de los derechos de otros; y la ejecución de demandas civiles.

En España, la disposición adicional decimocuarta de la LOPDGDD mantiene vigentes las normas dictadas en aplicación del artículo 13 de la Directiva 95/46/CE que hubiesen entrado en vigor antes del 25 de mayo de 2018, «y en particular los artículos 23 y 24 de la Ley Orgánica 15/1999», en tanto no sean expresamente modificadas, sustituidas o derogadas. El preámbulo explica el ejemplo más claro: las Administraciones tributarias pueden denegar el ejercicio de los derechos de los artículos 15 a 22 del Reglamento sobre los datos con trascendencia tributaria cuando obstaculice las actuaciones para asegurar el cumplimiento de las obligaciones tributarias y, en todo caso, cuando el afectado esté siendo objeto de actuaciones inspectoras.

7.6. Vías de tutela: reclamación, tutela judicial e indemnización

Si el responsable no atiende los derechos o el interesado considera que el tratamiento infringe la normativa, dispone de varias vías, compatibles entre sí:

Reclamación ante el delegado de protección de datos: con carácter previo y potestativo, si el responsable lo ha designado (art. 37 de la Ley Orgánica 3/2018; se estudia en el apartado 9.4).
Reclamación ante una autoridad de control: «sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción» (art. 77.1 del RGPD). La autoridad le informará sobre el curso y el resultado de la reclamación, incluida la posibilidad de acudir a la tutela judicial.
Tutela judicial contra la autoridad de control (art. 78 del RGPD): toda persona física o jurídica tiene derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna; y todo interesado la tiene si la autoridad competente no da curso a una reclamación o no le informa en el plazo de tres meses sobre su curso o resultado. Las acciones se ejercitan ante los tribunales del Estado miembro en que esté establecida la autoridad.
Tutela judicial contra el responsable o el encargado (art. 79 del RGPD): ante los tribunales del Estado miembro donde tengan un establecimiento o, alternativamente, del Estado de residencia habitual del interesado, a menos que el responsable o encargado sea una autoridad pública de un Estado miembro que actúe en ejercicio de sus poderes públicos.
Representación colectiva (art. 80 del RGPD): el interesado puede dar mandato a una entidad, organización o asociación sin ánimo de lucro, de interés público y activa en la protección de datos, para que presente la reclamación y ejerza en su nombre estos derechos.
Indemnización (art. 82 del RGPD): «toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización». El responsable que participe en la operación responde de los daños causados; el encargado solo responde cuando no haya cumplido las obligaciones dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable. Queda exento quien demuestre que no es en modo alguno responsable del hecho causante. Si participaron varios, cada uno responde de la totalidad para garantizar la indemnización efectiva, con derecho de repetición frente a los demás. En España, la LOPDGDD precisa que responsables, encargados y representantes responderán solidariamente de los daños y perjuicios en los supuestos del art. 30 (art. 30.2 de la Ley Orgánica 3/2018).

8. Obligaciones de los responsables y encargados del tratamiento

8.1. Responsabilidad activa y enfoque de riesgo

El artículo 24 del RGPD formula la obligación general del responsable: «Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario». Entre esas medidas se incluirá, cuando sea proporcionado, la aplicación de políticas de protección de datos (art. 24.2), y la adhesión a códigos de conducta o mecanismos de certificación puede utilizarse como elemento para demostrar el cumplimiento (art. 24.3).

La LOPDGDD desarrolla esta obligación en su artículo 28. Los responsables y encargados, teniendo en cuenta los elementos de los artículos 24 y 25 del Reglamento, determinarán las medidas técnicas y organizativas apropiadas y, en particular, «valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa» (art. 28.1). Para adoptar esas medidas deben tener en cuenta, en particular, los mayores riesgos que podrían producirse en estos supuestos (art. 28.2):

a) cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo;
b) cuando pudiese privar a los afectados de sus derechos y libertades o impedirles el control sobre sus datos;
c) cuando se produjese el tratamiento no meramente incidental o accesorio de categorías especiales de datos, de datos penales o de datos relacionados con la comisión de infracciones administrativas;
d) cuando implicase una evaluación de aspectos personales para crear o utilizar perfiles;
e) cuando se traten datos de grupos en situación de especial vulnerabilidad y, en particular, de menores de edad y personas con discapacidad;
f) cuando se produzca un tratamiento masivo que implique a un gran número de afectados o conlleve la recogida de una gran cantidad de datos;
g) cuando los datos fuesen a ser objeto de transferencia habitual a terceros Estados u organizaciones internacionales sin nivel adecuado de protección;
h) cualesquiera otros que a juicio del responsable o encargado pudieran tener relevancia, en particular los previstos en códigos de conducta y esquemas de certificación.

Tratar datos sin llevar a cabo una previa valoración de estos elementos es infracción grave (art. 73.p de la Ley Orgánica 3/2018).

8.2. Protección de datos desde el diseño y por defecto

El artículo 25 del RGPD recoge dos obligaciones complementarias. La protección de datos desde el diseño exige al responsable aplicar, «tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento» (art. 25.1). La privacidad no se añade al final: se incorpora desde que se concibe un sistema, una aplicación o un procedimiento.

La protección de datos por defecto exige que, «por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento». Esta obligación se aplica a cuatro dimensiones: la cantidad de datos recogidos, la extensión de su tratamiento, su plazo de conservación y su accesibilidad. Y estas medidas garantizarán en particular que, «por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas» (art. 25.2). Un mecanismo de certificación aprobado puede servir para acreditar el cumplimiento (art. 25.3). No adoptar las medidas de diseño o las de por defecto son infracciones graves (art. 73.d y 73.e de la Ley Orgánica 3/2018).

8.3. Corresponsables y representantes

Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento, son corresponsables (art. 26 del RGPD). Deben determinar de modo transparente y de mutuo acuerdo sus responsabilidades respectivas, en particular en cuanto al ejercicio de los derechos del interesado y al deber de información, salvo que las fije el Derecho aplicable; el acuerdo puede designar un punto de contacto para los interesados; sus aspectos esenciales se pondrán a disposición del interesado; e, independientemente de los términos del acuerdo, los interesados pueden ejercer sus derechos frente a cada uno de los responsables. La LOPDGDD precisa que la determinación de las responsabilidades «se realizará atendiendo a las actividades que efectivamente desarrolle cada uno de los corresponsables del tratamiento» (art. 29 de la Ley Orgánica 3/2018), y ofrece un ejemplo legal: las entidades que mantienen sistemas de información crediticia y las acreedoras son corresponsables (art. 20.2). La falta de formalización del acuerdo entre corresponsables es infracción leve (art. 74.h).

Del representante de los responsables o encargados no establecidos en la Unión ya se ha tratado en el apartado 3.2. Recuérdese que la obligación de designarlo no se aplica a las autoridades u organismos públicos ni a los tratamientos ocasionales que no incluyan el manejo a gran escala de categorías especiales de datos o datos penales y sea improbable que entrañen un riesgo (art. 27.2 del RGPD).

8.4. El encargado del tratamiento

El responsable «elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados» (art. 28.1 del RGPD). La relación se rige por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y categorías de interesados, y las obligaciones y derechos del responsable (art. 28.3). Ese contrato o acto jurídico «constará por escrito, inclusive en formato electrónico» (art. 28.9) y estipulará, en particular, que el encargado:

a) tratará los datos únicamente siguiendo instrucciones documentadas del responsable, incluso respecto de las transferencias internacionales, salvo obligación legal que deberá comunicar al responsable;
b) garantizará que las personas autorizadas se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación estatutaria de confidencialidad;
c) tomará todas las medidas de seguridad del artículo 32;
d) respetará las condiciones para recurrir a otro encargado;
e) asistirá al responsable para que pueda responder a las solicitudes de ejercicio de derechos;
f) ayudará al responsable a cumplir las obligaciones de los artículos 32 a 36 (seguridad, notificación de violaciones, evaluación de impacto y consulta previa);
g) a elección del responsable, suprimirá o devolverá todos los datos una vez finalice la prestación de los servicios, y suprimirá las copias existentes salvo que el Derecho exija conservarlos;
h) pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones. El encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe la normativa.

El encargado no puede recurrir a otro encargado sin la autorización previa por escrito, específica o general, del responsable; si la autorización es general, debe informar al responsable de cualquier cambio previsto para que pueda oponerse (art. 28.2). Cuando lo haga, impondrá al subencargado las mismas obligaciones, y el encargado inicial «seguirá siendo plenamente responsable ante el responsable del tratamiento» del cumplimiento del subencargado (art. 28.4). El contrato puede basarse en cláusulas contractuales tipo fijadas por la Comisión o adoptadas por una autoridad de control (art. 28.6 a 28.8). El encargado y cualquier persona que actúe bajo la autoridad del responsable o del encargado con acceso a datos «solo podrán tratar dichos datos siguiendo instrucciones del responsable» (art. 29 del RGPD).

La LOPDGDD completa el régimen con cinco reglas (art. 33 de la Ley Orgánica 3/2018):

El acceso del encargado a los datos necesarios para prestar el servicio al responsable «no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley orgánica y en sus normas de desarrollo» (art. 33.1). No es una regla incondicional: depende de que se cumpla la normativa, y así lo preguntó el examen de 2024 de esta oposición, en el que la afirmación INCORRECTA que había que señalar era la que decía «en ningún caso».
Quien actúe en su propio nombre ante los afectados sin que conste que lo hace por cuenta de otro, o quien, figurando como encargado, use los datos para sus propias finalidades, tiene la consideración de responsable (art. 33.2).
El responsable determinará si, al finalizar la prestación de servicios, los datos deben ser destruidos, devueltos al responsable o entregados a un nuevo encargado. No procede la destrucción cuando una previsión legal obligue a conservarlos: en ese caso deben devolverse al responsable, que garantizará su conservación (art. 33.3).
El encargado puede conservar, debidamente bloqueados, los datos mientras puedan derivarse responsabilidades de su relación con el responsable (art. 33.4).
En el sector público pueden atribuirse las competencias propias de un encargado a un determinado órgano de la Administración General del Estado, de las comunidades autónomas, de las entidades locales o de sus organismos vinculados o dependientes, «mediante la adopción de una norma reguladora de dichas competencias, que deberá incorporar el contenido exigido por el artículo 28.3» del Reglamento (art. 33.5).

Encargar un tratamiento sin contrato u otro acto jurídico escrito con el contenido del art. 28.3 es infracción grave (art. 73.k de la Ley Orgánica 3/2018), igual que contratar a un encargado sin garantías suficientes (art. 73.j) o que el encargado subcontrate sin autorización (art. 73.l).

8.5. Registro de actividades y bloqueo de los datos

El registro de las actividades de tratamiento (art. 30 del RGPD) sustituyó a la antigua inscripción de ficheros en el Registro General de la Agencia. Cada responsable llevará un registro de las actividades efectuadas bajo su responsabilidad que contenga: a) nombre y datos de contacto del responsable y, en su caso, del corresponsable, del representante y del delegado de protección de datos; b) fines del tratamiento; c) descripción de las categorías de interesados y de datos; d) categorías de destinatarios, incluidos los de terceros países; e) transferencias internacionales, en su caso; f) cuando sea posible, los plazos previstos para la supresión; y g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad (art. 30.1). El encargado lleva también un registro de las categorías de actividades efectuadas por cuenta de cada responsable (art. 30.2). Los registros constarán por escrito, incluso en formato electrónico, y se pondrán a disposición de la autoridad de control que lo solicite (arts. 30.3 y 30.4).

Estas obligaciones no se aplican a las empresas u organizaciones que empleen a menos de 250 personas, «a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales» o datos penales (art. 30.5 del RGPD). En la práctica, la excepción rara vez opera, porque casi cualquier tratamiento habitual deja de ser «ocasional».

La LOPDGDD añade que el registro puede organizarse en torno a conjuntos estructurados de datos; que, si se ha designado delegado, debe comunicársele cualquier adición, modificación o exclusión en su contenido (art. 31.1 de la Ley Orgánica 3/2018); y, como especialidad del sector público, que los sujetos del artículo 77.1 «harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal» (art. 31.2). No disponer del registro es infracción grave (art. 73.n); disponer de un registro incompleto, leve (art. 74.l).

El bloqueo de los datos es una institución propia de la ley española (art. 32 de la Ley Orgánica 3/2018). El responsable «estará obligado a bloquear los datos cuando proceda a su rectificación o supresión» (art. 32.1). El bloqueo consiste en «la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas». Transcurrido ese plazo, los datos deben destruirse (art. 32.2). Los datos bloqueados no pueden tratarse para ninguna otra finalidad (art. 32.3). Si el sistema no permite el bloqueo o su adaptación exige un esfuerzo desproporcionado, se procederá a un copiado seguro de la información que acredite su autenticidad, la fecha del bloqueo y la no manipulación (art. 32.4). Las autoridades de protección de datos pueden fijar excepciones a la obligación de bloqueo cuando la mera conservación genere un riesgo elevado o un coste desproporcionado (art. 32.5). Incumplir la obligación de bloqueo cuando sea exigible es infracción muy grave (art. 72.1.n), y recuérdese que el bloqueo no se aplica a la videovigilancia (art. 22.3) ni a las operaciones mercantiles que no lleguen a concluirse (art. 21.2).

8.6. Seguridad del tratamiento y violaciones de seguridad

El responsable y el encargado «aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo» (art. 32.1 del RGPD), teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento y los riesgos. Esas medidas pueden incluir, entre otras: a) la seudonimización y el cifrado; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas; c) la capacidad de restaurar la disponibilidad y el acceso rápidamente en caso de incidente; y d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas. Al evaluar el nivel de seguridad se tendrán en cuenta en particular los riesgos de destrucción, pérdida o alteración accidental o ilícita, o de comunicación o acceso no autorizados (art. 32.2). En el sector público, estas medidas se articulan a través del Esquema Nacional de Seguridad (disposición adicional primera de la LOPDGDD, que se estudia en el apartado 11.2).

Ante una violación de la seguridad, el Reglamento establece dos obligaciones escalonadas según el riesgo:

	Notificación a la autoridad de control (art. 33 del RGPD)	Comunicación al interesado (art. 34 del RGPD)
Cuándo	Siempre, salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades.	Cuando sea probable que la violación entrañe un alto riesgo para los derechos y libertades.
Plazo	«sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella». Si se hace después, debe ir acompañada de la indicación de los motivos de la dilación.	«sin dilación indebida».
Contenido mínimo	Naturaleza de la violación, con categorías y número aproximado de interesados y registros afectados; nombre y datos de contacto del delegado u otro punto de contacto; posibles consecuencias; y medidas adoptadas o propuestas. Si no puede darse toda la información a la vez, se facilitará de manera gradual.	Descripción en lenguaje claro y sencillo de la naturaleza de la violación, con los datos de contacto del delegado, las posibles consecuencias y las medidas adoptadas.
Excepciones	—	No es necesaria si se aplicaron medidas que hagan ininteligibles los datos (como el cifrado); si se tomaron medidas ulteriores que eliminan la probabilidad del alto riesgo; o si supone un esfuerzo desproporcionado, en cuyo caso se optará por una comunicación pública o medida semejante.

El encargado debe notificar sin dilación indebida al responsable las violaciones de las que tenga conocimiento (art. 33.2 del RGPD), y el responsable documentará cualquier violación, incluidos los hechos, sus efectos y las medidas correctivas, para que la autoridad pueda verificar el cumplimiento (art. 33.5). La autoridad de control puede exigir al responsable que comunique la violación a los interesados o decidir que concurre alguna de las excepciones (art. 34.4). El incumplimiento del deber de notificar a la autoridad es infracción grave (art. 73.r de la Ley Orgánica 3/2018), y la notificación incompleta, tardía o defectuosa, leve (art. 74.m).

8.7. Evaluación de impacto y consulta previa

Cuando sea probable que un tipo de tratamiento, «en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas», el responsable realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos (art. 35.1 del RGPD). Recabará el asesoramiento del delegado de protección de datos, si lo ha nombrado (art. 35.2). La evaluación se requiere en particular en caso de (art. 35.3): a) evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, sobre cuya base se tomen decisiones con efectos jurídicos o significativos; b) tratamiento a gran escala de categorías especiales de datos o de datos penales; o c) observación sistemática a gran escala de una zona de acceso público.

La autoridad de control establecerá y publicará una lista de los tipos de operaciones que requieren evaluación de impacto y podrá publicar otra de los que no la requieren (arts. 35.4 y 35.5). La evaluación debe incluir como mínimo: una descripción sistemática de las operaciones y sus fines; una evaluación de su necesidad y proporcionalidad; una evaluación de los riesgos para los derechos y libertades; y las medidas previstas para afrontarlos (art. 35.7). Para los tratamientos basados en el art. 6.1.c o e cuya base jurídica regule la operación concreta y respecto de los que ya se hizo una evaluación general al adoptarla, no es obligatoria salvo que el Estado lo considere necesario (art. 35.10).

Si la evaluación muestra que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo, este debe realizar una consulta previa a la autoridad de control antes de tratar los datos (art. 36.1 del RGPD). Si la autoridad considera que el tratamiento podría infringir el Reglamento, deberá asesorar por escrito al responsable «en un plazo de ocho semanas desde la solicitud de la consulta», prorrogable seis semanas en función de la complejidad, informando de la prórroga en el plazo de un mes (art. 36.2). Los Estados garantizarán que se consulte a la autoridad durante la elaboración de toda propuesta legislativa o reglamentaria que se refiera al tratamiento (art. 36.4). Tratar datos sin evaluación de impacto cuando sea exigible, o sin consulta previa cuando sea preceptiva, son infracciones graves (art. 73.t y 73.u de la Ley Orgánica 3/2018).

8.8. Códigos de conducta y certificación

Los códigos de conducta (arts. 40 y 41 del RGPD) son instrumentos de autorregulación elaborados por asociaciones y organismos representativos de categorías de responsables o encargados para especificar la aplicación del Reglamento en un sector. La LOPDGDD establece que «serán vinculantes para quienes se adhieran a los mismos» y podrán dotarse de mecanismos de resolución extrajudicial de conflictos (art. 38.1 de la Ley Orgánica 3/2018); pueden promoverlos también empresas o grupos de empresas y los responsables o encargados del sector público del art. 77.1 (art. 38.2); son aprobados por la Agencia Española de Protección de Datos o, en su caso, por la autoridad autonómica competente (art. 38.3); y las autoridades mantienen registros de los códigos aprobados, interconectados entre sí y con el del Comité Europeo de Protección de Datos (art. 38.5). El contenido de ese registro y las especialidades del procedimiento de aprobación se establecen mediante real decreto (art. 38.6), dato que fue pregunta del examen extraordinario de estabilización de 2023 de esta oposición. Conviene saber que la supervisión de códigos por organismos acreditados «no se aplicará al tratamiento realizado por autoridades y organismos públicos» (art. 41.6 del RGPD).

La certificación (arts. 42 y 43 del RGPD) permite demostrar el cumplimiento mediante mecanismos, sellos y marcas de protección de datos. Es voluntaria y disponible a través de un proceso transparente (art. 42.3); no limita la responsabilidad del responsable o encargado (art. 42.4); se expide «por un período máximo de tres años» y puede renovarse (art. 42.7); y cuando los criterios los apruebe el Comité puede dar lugar a una certificación común, el Sello Europeo de Protección de Datos (art. 42.5). Los organismos de certificación se acreditan por un período máximo de cinco años (art. 43.4). En España, la acreditación de las instituciones de certificación puede llevarla a cabo la Entidad Nacional de Acreditación (ENAC), que comunicará a las autoridades de protección de datos las concesiones, denegaciones o revocaciones (art. 39 de la Ley Orgánica 3/2018).

9. El delegado de protección de datos

El delegado de protección de datos (DPD) es la figura que el programa cierra de forma expresa, y con razón: el preámbulo de la LOPDGDD afirma que «adquiere una destacada importancia en el Reglamento (UE) 2016/679». Es un profesional que asesora y supervisa dentro de la organización del responsable o del encargado, que sirve de interlocutor con la autoridad de control y que ofrece a los ciudadanos una vía amistosa para resolver sus reclamaciones. No es el responsable del tratamiento ni responde de sus infracciones: el régimen sancionador de la ley orgánica «no será de aplicación al delegado de protección de datos» (art. 70.2 de la Ley Orgánica 3/2018).

9.1. Designación obligatoria y voluntaria

El Reglamento obliga a designar un delegado en tres supuestos (art. 37.1 del RGPD):

a) cuando «el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial»;
b) cuando las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala;
c) cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales.

La primera letra hace que toda Administración Pública esté obligada a tener delegado, sin necesidad de valorar el volumen o la naturaleza de sus tratamientos. El Reglamento facilita su organización con dos reglas: un grupo empresarial puede nombrar un único delegado siempre que sea fácilmente accesible desde cada establecimiento (art. 37.2), y «cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño» (art. 37.3). En otros casos, la designación es voluntaria, salvo que la exija el Derecho de la Unión o de los Estados miembros (art. 37.4).

España hizo uso de esta última posibilidad. El artículo 34.1 de la LOPDGDD obliga a designar delegado en los supuestos del art. 37.1 del Reglamento «y, en todo caso», cuando se trate de las siguientes entidades:

Letra	Entidades obligadas (art. 34.1 de la Ley Orgánica 3/2018)
a)	Los colegios profesionales y sus consejos generales.
b)	Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
c)	Las entidades que exploten redes y presten servicios de comunicaciones electrónicas, cuando traten habitual y sistemáticamente datos personales a gran escala.
d)	Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
e)	Las entidades incluidas en el artículo 1 de la Ley 10/2014, de ordenación, supervisión y solvencia de entidades de crédito.
f)	Los establecimientos financieros de crédito.
g)	Las entidades aseguradoras y reaseguradoras.
h)	Las empresas de servicios de inversión reguladas por la legislación del Mercado de Valores.
i)	Los distribuidores y comercializadores de energía eléctrica y de gas natural.
j)	Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o para la gestión y prevención del fraude, incluidos los regulados por la legislación de prevención del blanqueo de capitales.
k)	Las entidades de publicidad y prospección comercial, incluida la investigación comercial y de mercados, cuando realicen tratamientos basados en las preferencias de los afectados o elaboren perfiles.
l)	Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes, exceptuados los profesionales de la salud que ejerzan su actividad a título individual.
m)	Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
n)	Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos.
ñ)	Las empresas de seguridad privada.
o)	Las federaciones deportivas cuando traten datos de menores de edad.

Los responsables o encargados no incluidos en la lista «podrán designar de manera voluntaria» un delegado, que quedará sometido al mismo régimen (art. 34.2). Tanto en la designación obligatoria como en la voluntaria, los responsables y encargados «comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados» (art. 34.3). Las autoridades mantienen una lista actualizada de delegados accesible por medios electrónicos (art. 34.4). Y el responsable o encargado puede establecer la dedicación completa o a tiempo parcial del delegado en función, entre otros criterios, del volumen de los tratamientos, la categoría especial de los datos o los riesgos (art. 34.5).

No designar delegado cuando sea exigible es infracción grave (art. 73.v de la Ley Orgánica 3/2018); no publicar sus datos de contacto o no comunicarlos a la autoridad, leve (art. 74.p). Y, en sentido contrario, disponer de un delegado cuando no fuere obligatorio es una circunstancia que puede tenerse en cuenta al graduar la sanción (art. 76.2.g).

9.2. Cualificación y posición

Cualificación. El delegado «será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39» (art. 37.5 del RGPD). El Reglamento no exige una titulación concreta. Puede formar parte de la plantilla del responsable o del encargado o desempeñar sus funciones en el marco de un contrato de servicios (art. 37.6), y el responsable o encargado publicarán sus datos de contacto y los comunicarán a la autoridad de control (art. 37.7). La LOPDGDD precisa que el cumplimiento de estos requisitos, «sea persona física o jurídica, podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos» (art. 35 de la Ley Orgánica 3/2018). El delegado, por tanto, puede ser una persona jurídica, y la certificación es un medio de acreditación, no un requisito imprescindible.

Posición. El artículo 38 del RGPD garantiza su independencia funcional:

El responsable y el encargado garantizarán que el delegado participe «de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales» (art. 38.1).
Le respaldarán facilitando los recursos necesarios, el acceso a los datos y a las operaciones de tratamiento y el mantenimiento de sus conocimientos especializados (art. 38.2).
Garantizarán que «no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones». Además, «no será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones», y «rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado» (art. 38.3).
Los interesados pueden ponerse en contacto con el delegado sobre todas las cuestiones relativas al tratamiento de sus datos y al ejercicio de sus derechos (art. 38.4).
Está obligado a mantener el secreto o la confidencialidad en el desempeño de sus funciones (art. 38.5).
Puede desempeñar otras funciones y cometidos, pero el responsable o encargado garantizará que no den lugar a conflicto de intereses (art. 38.6).

La LOPDGDD refuerza esta posición (art. 36 de la Ley Orgánica 3/2018). El delegado «actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas», y «podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones» (art. 36.1). Cuando sea una persona física integrada en la organización, «no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio», y se garantizará su independencia evitando cualquier conflicto de intereses (art. 36.2). En el ejercicio de sus funciones tendrá acceso a los datos y procesos de tratamiento, «no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto» (art. 36.3). Y cuando aprecie una vulneración relevante, «lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección» (art. 36.4). No posibilitar su participación efectiva, no respaldarlo o interferir en sus funciones es infracción grave (art. 73.w).

9.3. Funciones

El artículo 39.1 del RGPD atribuye al delegado, «como mínimo», estas funciones:

a) informar y asesorar al responsable o al encargado y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben;
b) supervisar el cumplimiento del Reglamento, de otras disposiciones de protección de datos y de las políticas del responsable o encargado, incluida la asignación de responsabilidades, la concienciación y formación del personal y las auditorías correspondientes;
c) ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto y supervisar su aplicación;
d) cooperar con la autoridad de control;
e) actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa, y realizar consultas sobre cualquier otro asunto.

El delegado desempeñará sus funciones «prestando la debida atención a los riesgos asociados a las operaciones de tratamiento» (art. 39.2). Es importante subrayar lo que no le corresponde: el delegado supervisa y asesora, pero no decide los tratamientos ni es quien debe cumplir las obligaciones del Reglamento; esa carga sigue siendo del responsable, que debe «ser capaz de demostrarlo» (art. 5.2). Tampoco realiza él la evaluación de impacto: la realiza el responsable, que «recabará el asesoramiento del delegado» (art. 35.2).

9.4. Intervención en las reclamaciones

La LOPDGDD convierte al delegado en un cauce de resolución amistosa. El preámbulo lo explica así: «el delegado de protección de datos permite configurar un medio para la resolución amistosa de reclamaciones, pues el interesado podrá reproducir ante él la reclamación que no sea atendida por el responsable o encargado del tratamiento». El artículo 37 de la ley orgánica articula dos vías:

Reclamación previa ante el delegado (art. 37.1): cuando el responsable o el encargado hayan designado delegado, el afectado podrá, «con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas», dirigirse al delegado de la entidad contra la que reclame. El delegado comunicará al afectado la decisión adoptada «en el plazo máximo de dos meses a contar desde la recepción de la reclamación». Se trata de una posibilidad («podrá»), no de un requisito para acudir después a la autoridad.
Remisión por la autoridad al delegado (art. 37.2): cuando el afectado presente la reclamación directamente ante la autoridad de protección de datos, esta podrá remitirla al delegado «a fin de que este responda en el plazo de un mes». Si transcurrido ese plazo el delegado no comunica a la autoridad la respuesta dada, la autoridad continuará el procedimiento conforme al Título VIII.

En la misma línea, antes de resolver sobre la admisión a trámite de una reclamación, la Agencia puede remitirla al delegado, al organismo de supervisión de un código de conducta o al de resolución extrajudicial de conflictos; si no hay delegado ni adhesión a esos mecanismos, puede remitirla al propio responsable o encargado, que deberá responder en el plazo de un mes; y si el responsable demuestra haber adoptado medidas de cumplimiento, la Agencia podrá inadmitir la reclamación (art. 65.4 de la Ley Orgánica 3/2018).

10. Autoridades de control, procedimientos y régimen sancionador

10.1. Las autoridades de control en el Reglamento

Cada Estado miembro debe establecer «una o varias autoridades públicas independientes» encargadas de supervisar la aplicación del Reglamento (art. 51.1 del RGPD). Cuando haya varias en un Estado, este designará la que lo represente en el Comité Europeo de Protección de Datos (art. 51.3). Las garantías de su independencia son exigentes: actuarán «con total independencia» (art. 52.1); sus miembros serán ajenos a toda influencia externa y «no solicitarán ni admitirán ninguna instrucción» (art. 52.2); dispondrán de recursos humanos, técnicos y financieros suficientes, elegirán su propio personal y contarán con un presupuesto anual, público e independiente (art. 52.4 a 52.6). Sus miembros se nombran mediante un procedimiento transparente por el Parlamento, el Gobierno, el Jefe de Estado o un organismo independiente (art. 53.1), y solo pueden ser destituidos por conducta irregular grave o si dejan de cumplir las condiciones exigidas (art. 53.4). La ley de cada Estado fija, entre otros elementos, la duración del mandato, que no será inferior a cuatro años (art. 54.1.d).

La competencia de la autoridad se ejerce en el territorio de su Estado (art. 55.1). Cuando el tratamiento lo efectúen autoridades públicas u organismos privados que actúen conforme al art. 6.1.c o e, «será competente la autoridad de control del Estado miembro de que se trate», sin que se aplique el sistema de ventanilla única del art. 56 (art. 55.2). Y las autoridades de control «no serán competentes para controlar las operaciones de tratamiento efectuadas por los tribunales en el ejercicio de su función judicial» (art. 55.3). Para los tratamientos transfronterizos opera la autoridad de control principal, la del establecimiento principal o único del responsable o encargado, que es su único interlocutor (art. 56).

Las autoridades tienen un amplio catálogo de funciones (art. 57 del RGPD), entre ellas controlar la aplicación del Reglamento, promover la sensibilización, asesorar al Parlamento y al Gobierno, tratar las reclamaciones, llevar a cabo investigaciones, elaborar la lista de tratamientos que requieren evaluación de impacto o aprobar códigos de conducta. El desempeño de sus funciones «será gratuito para el interesado y, en su caso, para el delegado de protección de datos» (art. 57.3). Y disponen de tres tipos de poderes (art. 58): de investigación (ordenar que se facilite información, realizar auditorías, acceder a los datos y a los locales); correctivos (advertir, apercibir, ordenar que se atiendan los derechos o que el tratamiento se ajuste al Reglamento, imponer una limitación temporal o definitiva del tratamiento, ordenar la rectificación o supresión, retirar certificaciones, imponer multas y ordenar la suspensión de flujos internacionales); y de autorización y consultivos. Cada autoridad elaborará un informe anual de sus actividades (art. 59).

A escala europea, el Comité Europeo de Protección de Datos (art. 68 del RGPD) es el organismo que garantiza la aplicación coherente del Reglamento, mediante dictámenes y decisiones vinculantes en el marco del mecanismo de coherencia (arts. 63 a 65). La Agencia Española de Protección de Datos tiene la condición de representante común de las autoridades españolas en ese Comité (arts. 44.2 y 56.2 de la Ley Orgánica 3/2018).

10.2. La Agencia Española de Protección de Datos

La Agencia Española de Protección de Datos (AEPD) «es una autoridad administrativa independiente de ámbito estatal, de las previstas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos en el ejercicio de sus funciones». Su denominación oficial es «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente», y «se relaciona con el Gobierno a través del Ministerio de Justicia» (art. 44.1 de la Ley Orgánica 3/2018). Se rige por el Reglamento, la ley orgánica y sus disposiciones de desarrollo y, supletoriamente, por las normas del art. 110.1 de la Ley 40/2015 en cuanto sea compatible con su independencia; su Estatuto se aprueba por real decreto del Gobierno a propuesta de la propia Agencia (art. 45). Elabora y aprueba su presupuesto, que se integra con independencia en los Presupuestos Generales del Estado (art. 46.1), y su personal es funcionario o laboral (art. 46.5).

La Presidencia es el órgano de dirección (art. 48 de la Ley Orgánica 3/2018):

Dirige la Agencia, ostenta su representación y dicta sus resoluciones, circulares y directrices (art. 48.1).
Está auxiliada por un Adjunto, en el que puede delegar sus funciones, excepto las relacionadas con los procedimientos del Título VIII, y que la sustituye en los términos del Estatuto. Ambos ejercen sus funciones con plena independencia y objetividad, sin sujeción a instrucción alguna (art. 48.2).
La Presidencia y el Adjunto son nombrados por el Gobierno, a propuesta del Ministerio de Justicia, entre personas de reconocida competencia profesional, en particular en materia de protección de datos, previa convocatoria pública. El Gobierno remite al Congreso una propuesta que, tras la audiencia de los candidatos, debe ser ratificada por la Comisión de Justicia «por mayoría de tres quintos de sus miembros en primera votación o, de no alcanzarse ésta, por mayoría absoluta en segunda votación», y en este último caso los votos favorables deben proceder de diputados de al menos dos grupos parlamentarios diferentes (art. 48.3). Son nombrados por el Consejo de Ministros mediante real decreto (art. 48.4).
El mandato «tiene una duración de cinco años y puede ser renovado para otro período de igual duración». Solo cesan antes, a petición propia o por separación acordada por el Consejo de Ministros, por incumplimiento grave de sus obligaciones, incapacidad sobrevenida, incompatibilidad o condena firme por delito doloso; en los tres primeros casos la separación debe ser ratificada por las mismas mayorías parlamentarias (art. 48.5).
Los actos y disposiciones de la Presidencia «ponen fin a la vía administrativa, siendo recurribles, directamente, ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional» (art. 48.6).

La Presidencia está asesorada por un Consejo Consultivo integrado, entre otros, por un diputado, un senador, un representante del Consejo General del Poder Judicial, un representante de la Administración General del Estado, un representante de cada Comunidad Autónoma que haya creado una autoridad de protección de datos, expertos propuestos por la Federación Española de Municipios y Provincias, el Consejo de Consumidores y Usuarios, las organizaciones empresariales, la Conferencia de Rectores y las organizaciones sindicales, y un experto en transparencia propuesto por el Consejo de Transparencia y Buen Gobierno (art. 49.1). Sus miembros se nombran por orden del Ministro de Justicia; se reúne cuando lo disponga la Presidencia «y, en todo caso, una vez al semestre»; y sus decisiones «no tendrán en ningún caso carácter vinculante» (art. 49.3 a 49.5).

Entre las potestades de la Agencia destacan: la actividad de investigación, que realizan sus funcionarios o funcionarios habilitados, que tienen la consideración de agentes de la autoridad y están obligados a guardar secreto incluso después de cesar (art. 51); el deber de colaboración de las Administraciones, incluidas las tributarias y de la Seguridad Social, y de los particulares (art. 52); el acceso al domicilio constitucionalmente protegido del inspeccionado solo con su consentimiento o autorización judicial (art. 53.2); las actuaciones de investigación por videoconferencia u otros sistemas digitales, que requieren la conformidad del inspeccionado (art. 53 bis); los planes de auditoría preventiva referidos a un sector, cuyas directrices son de obligado cumplimiento (art. 54); y las Circulares de la Agencia, que fijan los criterios de su actuación y «serán obligatorias una vez publicadas en el Boletín Oficial del Estado» (art. 55.3). La Agencia publica las resoluciones de su Presidencia sobre atención de derechos, procedimientos sancionadores y de apercibimiento, archivos de actuaciones previas, resoluciones sobre entidades del art. 77.1 y medidas cautelares (art. 50).

10.3. Las autoridades autonómicas

La ley orgánica permite que las Comunidades Autónomas creen sus propias autoridades de protección de datos. Estas «podrán ejercer, las funciones y potestades establecidas en los artículos 57 y 58 del Reglamento (UE) 2016/679, de acuerdo con la normativa autonómica», cuando se refieran a (art. 57.1 de la Ley Orgánica 3/2018): a) tratamientos de los que sean responsables las entidades del sector público de la Comunidad Autónoma o de las Entidades Locales de su territorio, o quienes presten servicios a través de cualquier forma de gestión directa o indirecta; b) tratamientos realizados por personas físicas o jurídicas para el ejercicio de funciones públicas en materias de competencia autonómica o local; y c) tratamientos expresamente previstos en los respectivos Estatutos de Autonomía. Pueden dictar circulares con el mismo alcance que las de la Agencia (art. 57.2).

La coordinación se asegura mediante reuniones de cooperación convocadas por la Presidencia de la Agencia, que se celebrarán «en todo caso» con carácter semestral, y el intercambio mutuo de información (art. 58). Si la Presidencia de la Agencia considera que un tratamiento en materias de competencia autonómica vulnera el Reglamento, puede requerir a la autoridad autonómica para que adopte, en el plazo de un mes, las medidas necesarias para su cesación y, si no lo hace, ejercer las acciones que procedan ante la jurisdicción contencioso-administrativa (art. 59). Las comunicaciones entre las autoridades autonómicas y el Comité Europeo se practican por conducto de la Agencia (arts. 60 y 62).

Como se verá en el apartado 12, la Comunidad de Madrid no tiene hoy autoridad autonómica de protección de datos: la tuvo, pero la suprimió en 2012, y desde entonces la autoridad de control para los tratamientos de la Administración madrileña es la Agencia Española.

10.4. Los procedimientos ante la Agencia

El Título VIII de la ley orgánica regula los procedimientos que tramita la Agencia cuando un afectado reclama que no se ha atendido su solicitud de ejercicio de derechos o cuando investiga una posible infracción (art. 63.1). Se rigen por el Reglamento, la ley orgánica y sus normas de desarrollo y, con carácter subsidiario, por las normas generales sobre procedimiento administrativo (art. 63.2). Recuérdese que, según la disposición final segunda, este Título solo se aplica a la Administración General del Estado y a sus organismos públicos: las autoridades autonómicas regulan su propio procedimiento (art. 37.3).

Procedimiento o trámite	Iniciación	Plazo máximo	Efecto del transcurso del plazo
Admisión a trámite de la reclamación (art. 65.5)	Presentación de la reclamación.	Tres meses para notificar la decisión al reclamante.	Se entiende que prosigue la tramitación, sin perjuicio de un archivo expreso posterior.
Reclamación por falta de atención de derechos (art. 64.1)	Acuerdo de admisión a trámite.	Seis meses desde la notificación al reclamante del acuerdo de admisión.	El interesado puede considerar estimada su reclamación.
Procedimiento por posible infracción (art. 64.2)	Acuerdo de inicio, de oficio o como consecuencia de reclamación.	Doce meses desde el acuerdo de inicio.	Caducidad y archivo de actuaciones.
Procedimiento de apercibimiento (art. 64.3)	Acuerdo de inicio, previa audiencia del responsable o encargado.	Seis meses desde el acuerdo de inicio.	Caducidad y archivo.
Actuaciones previas de investigación (art. 67.2)	Acuerdo de admisión a trámite o de iniciación de oficio.	Dieciocho meses.	—

La Agencia inadmitirá las reclamaciones que no versen sobre protección de datos, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de infracción (art. 65.2), y puede inadmitirlas cuando el responsable, previa advertencia, haya adoptado medidas correctivas y no se haya causado perjuicio en infracciones leves o el derecho quede plenamente garantizado (art. 65.3). Antes de cualquier actuación debe examinar su competencia y el carácter nacional o transfronterizo del procedimiento (art. 66). Puede acordar medidas provisionales, en especial el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado, y ordenar el bloqueo y la cesación del tratamiento cuando su continuación comporte un menoscabo grave del derecho, con posibilidad de inmovilización (art. 69). Los plazos se suspenden automáticamente cuando deba recabarse un pronunciamiento preceptivo de un órgano europeo o de otras autoridades de control (art. 64.5). Y la Agencia puede establecer modelos de presentación de reclamaciones de uso obligatorio, que serán exigibles al mes de su publicación en el BOE (disposición adicional vigésima tercera).

10.5. Infracciones, multas y prescripción

Están sujetos al régimen sancionador los responsables y los encargados de los tratamientos, los representantes de los no establecidos en la Unión, las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta (art. 70.1 de la Ley Orgánica 3/2018); no, en cambio, el delegado de protección de datos (art. 70.2). Constituyen infracciones las conductas de los apartados 4, 5 y 6 del artículo 83 del Reglamento y las contrarias a la ley orgánica (art. 71).

El Reglamento fija las multas en dos escalones:

Escalón	Cuantía máxima	Conductas principales
Art. 83.4 del RGPD	10.000.000 de euros o, tratándose de una empresa, el 2 % del volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía.	Obligaciones del responsable y del encargado (arts. 8, 11, 25 a 39, 42 y 43): consentimiento de niños, protección desde el diseño, encargado, registro, seguridad, violaciones de seguridad, evaluación de impacto, delegado; obligaciones de los organismos de certificación y de supervisión.
Art. 83.5 y 83.6 del RGPD	20.000.000 de euros o, tratándose de una empresa, el 4 % del volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía.	Principios básicos y condiciones para el consentimiento (arts. 5, 6, 7 y 9); derechos de los interesados (arts. 12 a 22); transferencias internacionales (arts. 44 a 49); obligaciones del Derecho nacional adoptadas conforme al capítulo IX; incumplimiento de resoluciones de la autoridad de control.

Las multas se imponen a título adicional o sustitutivo de los demás poderes correctivos, teniendo en cuenta, entre otros factores, la naturaleza, gravedad y duración de la infracción, la intencionalidad o negligencia, las medidas tomadas para paliar los daños, el grado de responsabilidad, las infracciones anteriores, la cooperación con la autoridad, las categorías de datos afectadas y la adhesión a códigos de conducta o certificaciones (art. 83.2 del RGPD). La ley orgánica añade como criterios, entre otros, el carácter continuado de la infracción, la vinculación de la actividad del infractor con el tratamiento de datos, los beneficios obtenidos, la afectación a los derechos de los menores y disponer de delegado cuando no fuere obligatorio (art. 76.2 de la Ley Orgánica 3/2018). Cuando la autoridad competente sea la Agencia, la sanción supere un millón de euros y el infractor sea una persona jurídica, se publicará en el BOE la identidad del infractor, la infracción y el importe (art. 76.4).

El preámbulo aclara que la clasificación de las infracciones en muy graves, graves y leves se introduce «a los solos efectos de determinar los plazos de prescripción», porque las cuantías de las multas las fija el Reglamento. Los plazos son dos series distintas que conviene no mezclar:

Prescripción de las infracciones (arts. 72 a 74)		Prescripción de las sanciones (art. 78)
Muy graves	Tres años	Hasta 40.000 euros	Un año
Graves	Dos años	De 40.001 a 300.000 euros	Dos años
Leves	Un año	Más de 300.000 euros	Tres años

La prescripción de las infracciones se interrumpe por la iniciación, con conocimiento del interesado, del procedimiento sancionador, y el plazo se reinicia si el expediente está paralizado más de seis meses por causas no imputables al presunto infractor (art. 75). La de las sanciones se cuenta desde el día siguiente a aquel en que sea ejecutable la resolución o haya transcurrido el plazo para recurrirla, y se interrumpe por la iniciación, con conocimiento del interesado, del procedimiento de ejecución (art. 78.2 y 78.3).

Algunas infracciones muy graves del artículo 72.1 son especialmente previsibles en el examen: tratar datos vulnerando los principios del art. 5 del Reglamento (a) o sin base de licitud (b); incumplir los requisitos del consentimiento (c); tratar categorías especiales sin cobertura (e); omitir el deber de informar (h); vulnerar el deber de confidencialidad (i); exigir un canon fuera de los supuestos permitidos (j); impedir, obstaculizar o no atender reiteradamente el ejercicio de los derechos (k); incumplir resoluciones de la autoridad (m); incumplir la obligación de bloqueo (n); o revertir deliberadamente una anonimización (p). Entre las graves del artículo 73, las relacionadas con la seguridad, el encargado, el registro, las violaciones de seguridad, la evaluación de impacto y el delegado. Y entre las leves del artículo 74, las de carácter meramente formal, como no atender las solicitudes de ejercicio de derechos cuando no concurra la reiteración de la infracción muy grave (c).

11. Especialidades en el sector público

El programa pide expresamente las «especialidades en el Sector Público». No existe en la ley orgánica un título con ese nombre: las especialidades están repartidas por el Reglamento y por la ley, y hay que saber reunirlas. El eje es el artículo 77.1 de la Ley Orgánica 3/2018, que enumera los sujetos a los que se aplica el régimen especial y al que remiten muchos otros preceptos. Esos sujetos son:

a) los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos;
b) los órganos jurisdiccionales;
c) la Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local;
d) los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas;
e) las autoridades administrativas independientes;
f) el Banco de España;
g) las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público;
h) las fundaciones del sector público;
i) las Universidades Públicas;
j) los consorcios;
k) los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales.

La Administración de la Comunidad de Madrid, sus organismos autónomos y sus entes de Derecho público, la Asamblea de Madrid y sus grupos parlamentarios, las universidades públicas madrileñas y los ayuntamientos de la región están, por tanto, dentro de esta lista.

11.1. Bases jurídicas y límites propios de las Administraciones

Las especialidades de legitimación ya se han estudiado, pero conviene reunirlas:

No cabe el interés legítimo: la base del art. 6.1.f del RGPD «no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones» (art. 6.1, párrafo segundo, del RGPD).
Reserva de ley: el tratamiento basado en una obligación legal requiere una norma de Derecho de la Unión o con rango de ley, y el basado en una misión de interés público o en el ejercicio de poderes públicos requiere una competencia atribuida por una norma con rango de ley (art. 8 de la Ley Orgánica 3/2018).
Derechos que se modulan: la portabilidad no se aplica a los tratamientos necesarios para una misión de interés público o el ejercicio de poderes públicos (art. 20.3 del RGPD); la supresión no procede cuando el tratamiento sea necesario para cumplir una obligación legal o una misión de interés público (art. 17.3.b); y la oposición frente a tratamientos basados en el art. 6.1.e cede ante motivos legítimos imperiosos (art. 21.1).
Competencia de la autoridad nacional: cuando el tratamiento lo efectúan autoridades públicas, es competente la autoridad del Estado miembro correspondiente, sin ventanilla única (art. 55.2 del RGPD).
Transferencias internacionales: la información previa a la autoridad de las transferencias basadas en intereses legítimos imperiosos no se aplica a las actividades de las autoridades públicas en el ejercicio de sus poderes públicos (art. 43 de la Ley Orgánica 3/2018), y las transferencias de los sujetos del art. 77.1 basadas en acuerdos internacionales no normativos con autoridades de terceros Estados requieren autorización previa de la autoridad de protección de datos, en un procedimiento de duración máxima de seis meses (art. 42.1.b).
Encargados por norma: en el sector público las competencias de encargado pueden atribuirse a un órgano mediante una norma reguladora con el contenido del art. 28.3 del Reglamento (art. 33.5 de la Ley Orgánica 3/2018).
Registros de personal: sus tratamientos se entienden realizados en el ejercicio de poderes públicos; pueden tratar datos sobre infracciones y condenas penales y sanciones administrativas en lo estrictamente necesario; y los datos cuyo tratamiento se haya limitado pueden tratarse cuando sea necesario para los procedimientos de personal, por considerarlo una razón de interés público importante (disposición adicional duodécima).
Datos de contacto profesionales: los sujetos del art. 77.1 pueden tratar los datos de contacto y de empresarios individuales cuando derive de una obligación legal o sea necesario para el ejercicio de sus competencias (art. 19.3 de la Ley Orgánica 3/2018).

11.2. Obligaciones reforzadas: delegado, inventario y Esquema Nacional de Seguridad

Tres obligaciones son más intensas para las Administraciones que para los particulares:

Delegado de protección de datos obligatorio para toda autoridad u organismo público, con la posibilidad de designar un único delegado para varios (art. 37.1.a y 37.3 del RGPD).
Inventario público de actividades de tratamiento: los sujetos del art. 77.1 no solo llevan el registro del art. 30 del Reglamento, sino que «harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos», con la información del art. 30 y su base legal (art. 31.2 de la Ley Orgánica 3/2018).
Esquema Nacional de Seguridad: según la disposición adicional primera, el Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo al art. 32 del Reglamento. Los responsables del art. 77.1 «deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad», e impulsar medidas equivalentes en las empresas o fundaciones vinculadas sujetas al Derecho privado. Y cuando un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, «las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad». El Esquema vigente es el aprobado por el Real Decreto 311/2022, de 3 de mayo, que ya se estudió en el tema 22.

11.3. El régimen sancionador del artículo 77

Es la especialidad más conocida y la más preguntada. El artículo 83.7 del Reglamento permite a cada Estado miembro establecer normas sobre si se pueden imponer, y en qué medida, multas administrativas a autoridades y organismos públicos. España optó por no imponerles multas. El artículo 77 de la ley orgánica, en la redacción dada por la Ley 11/2023, establece este régimen para los sujetos de su apartado 1:

Resolución declarativa (art. 77.2): cuando cometan alguna de las infracciones de los artículos 72 a 74, «la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i» del Reglamento, que es precisamente el poder de imponer multas. La resolución se notifica al responsable o encargado, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado.
Actuaciones disciplinarias (art. 77.3, párrafo primero): la autoridad «propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello», con el procedimiento y las sanciones de la legislación disciplinaria o sancionadora aplicable. La responsabilidad, por tanto, se desplaza del órgano a las personas que actuaron.
Amonestación publicada (art. 77.3, párrafo segundo): cuando las infracciones sean imputables a autoridades y directivos y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, la resolución incluirá «una amonestación con denominación del cargo responsable» y se ordenará su publicación en el Boletín Oficial del Estado o autonómico que corresponda.
Comunicación de resultados (art. 77.4): se comunicarán a la autoridad de protección de datos las resoluciones que recaigan sobre las medidas y actuaciones anteriores.
Defensor del Pueblo (art. 77.5): «se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo».
Publicidad (art. 77.6): cuando la autoridad competente sea la Agencia, publicará en su página web, con la debida separación, las resoluciones referidas a estas entidades, «con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción». Si la competencia es de una autoridad autonómica, se estará a su normativa.

11.4. Publicaciones, notificaciones y comunicaciones de datos

La disposición adicional séptima resuelve un problema cotidiano de la gestión administrativa: cómo identificar a las personas cuando hay que publicar un acto o notificar por anuncios. Sus reglas son precisas y muy preguntadas:

Publicación de actos administrativos con datos personales: se identificará al afectado «mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente». Cuando la publicación se refiera a una pluralidad de afectados, estas cifras aleatorias deberán alternarse. Es lo que se ve en las listas de admitidos de un proceso selectivo.
Notificación por medio de anuncios, particularmente en los supuestos del artículo 44 de la Ley 39/2015: se identificará al afectado «exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente».
Sin documento: si el afectado carece de cualquiera de esos documentos, se le identificará únicamente mediante su nombre y apellidos.
Prohibición: «En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente».
Víctimas de violencia de género: el Gobierno impulsará un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos.

Supuesto (DA 7.ª LOPDGDD)	Cómo se identifica
Publicación de un acto administrativo	Nombre y apellidos + cuatro cifras aleatorias del documento (alternadas si hay varios afectados).
Notificación por anuncio (art. 44 de la Ley 39/2015)	Solo el número completo del documento, sin nombre.
Afectado sin documento	Solo nombre y apellidos.
Nunca	Nombre y apellidos junto con el número completo del documento.

La disposición adicional octava reconoce la potestad de verificación: cuando se formulen solicitudes en las que el interesado declare datos personales que obren en poder de las Administraciones, el órgano destinatario puede efectuar, en el ejercicio de sus competencias, las verificaciones necesarias para comprobar la exactitud de los datos. Se conecta con la reforma que la disposición final duodécima hizo en el artículo 28 de la Ley 39/2015: los interesados tienen derecho a no aportar documentos que ya estén en poder de la Administración actuante o hayan sido elaborados por cualquier otra Administración, y esta puede consultarlos o recabarlos «salvo que el interesado se opusiera a ello», sin que quepa la oposición cuando la aportación se exija en el ejercicio de potestades sancionadoras o de inspección. Se pasó así de un sistema de consentimiento a uno de oposición. Las Administraciones deben recabar los documentos electrónicamente a través de sus redes corporativas o de las plataformas de intermediación de datos, y los informes preceptivos ya elaborados por otro órgano deben remitirse en el plazo de diez días.

La disposición adicional décima regula las comunicaciones de datos a sujetos privados: los responsables del art. 77.1 «podrán comunicar los datos personales que les sean solicitados por sujetos de derecho privado cuando cuenten con el consentimiento de los afectados o aprecien que concurre en los solicitantes un interés legítimo que prevalezca sobre los derechos e intereses de los afectados conforme a lo establecido en el artículo 6.1 f)» del Reglamento. Aquí el interés legítimo que se pondera es el del particular que solicita los datos, no el de la Administración.

La disposición adicional novena permite a las autoridades públicas competentes, a los equipos de respuesta a emergencias informáticas (CERT) y de respuesta a incidentes de seguridad (CSIRT) y a otros proveedores tratar los datos contenidos en las notificaciones de incidentes de seguridad, exclusivamente durante el tiempo y con el alcance necesarios para su análisis, detección, protección y respuesta.

11.5. Protección de datos y transparencia

La relación entre protección de datos y transparencia enlaza este tema con el 20. La disposición adicional segunda de la LOPDGDD —que tiene carácter orgánico— establece que la publicidad activa y el acceso a la información pública del Título I de la Ley 19/2013, «así como las obligaciones de publicidad activa establecidas por la legislación autonómica, se someterán, cuando la información contenga datos personales, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/2013, en el Reglamento (UE) 2016/679 y en la presente ley orgánica». El Reglamento contiene su propia cláusula de conciliación: los datos personales de documentos oficiales en posesión de una autoridad pública «podrán ser comunicados» conforme al Derecho aplicable «a fin de conciliar el acceso del público a documentos oficiales con el derecho a la protección de los datos personales» (art. 86 del RGPD).

En la Comunidad de Madrid, la Ley 10/2019 aplica a la publicidad activa los límites derivados de la legislación de protección de datos, cuya interpretación se adaptará a los criterios del Consejo madrileño conforme al criterio conjunto del Consejo de Transparencia y Buen Gobierno y la Agencia Española de Protección de Datos, y exige la previa anonimización de los datos especialmente protegidos (art. 9 de la Ley 10/2019). En el derecho de acceso, las solicitudes que contengan categorías especiales de datos se rigen por el Reglamento, la ley orgánica y la legislación básica de acceso; se concede con carácter general el acceso a los datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano; en los demás casos se pondera el interés público en la divulgación y los derechos de los afectados, tomando en consideración, además de los criterios del art. 15.3 de la Ley 19/2013, los que adopten la Agencia Española de Protección de Datos y el Consejo madrileño; y nada de ello se aplica si el acceso se efectúa previa disociación o anonimización de los datos (art. 35 de la Ley 10/2019).

Por último, la ley orgánica declara lícito el tratamiento por las Administraciones de datos con fines de archivo en interés público, con las especialidades de la legislación de patrimonio histórico, del Sistema Español de Archivos «así como la legislación autonómica que resulte de aplicación» (art. 26), que en Madrid es la Ley 6/2023, de Archivos y Documentos, estudiada en el tema 23.

11.6. Los empleados públicos y los derechos digitales

La LOPDGDD extiende expresamente a los empleados públicos los derechos digitales en el ámbito laboral, y la disposición final decimocuarta los incorporó al Estatuto Básico del Empleado Público añadiendo una letra j bis) al artículo 14, que reconoce el derecho de los empleados públicos «a la intimidad en el uso de dispositivos digitales puestos a su disposición y frente al uso de dispositivos de videovigilancia y geolocalización, así como a la desconexión digital en los términos establecidos en la legislación vigente en materia de protección de datos personales y garantía de los derechos digitales». La disposición final decimotercera hizo lo mismo con los trabajadores, añadiendo un artículo 20 bis al Estatuto de los Trabajadores. Estos derechos se estudian con detalle en el tema de derechos y deberes de los empleados públicos, pero su contenido es este:

Intimidad en el uso de dispositivos digitales (art. 87): los trabajadores y los empleados públicos tienen derecho a la protección de su intimidad en el uso de los dispositivos puestos a su disposición por el empleador. Este puede acceder a los contenidos «a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos». Los empleadores deben establecer criterios de utilización, con participación de los representantes de los trabajadores, e informar de ellos; si se admite el uso con fines privados, deben especificarse los usos autorizados y las garantías.
Desconexión digital (art. 88): derecho a que, fuera del tiempo de trabajo legal o convencionalmente establecido, se respete su tiempo de descanso, permisos y vacaciones y su intimidad personal y familiar. El empleador, previa audiencia de los representantes, elaborará una política interna que defina sus modalidades y las acciones de formación y sensibilización sobre un uso razonable de las herramientas tecnológicas «que evite el riesgo de fatiga informática», preservando el derecho también en el trabajo a distancia.
Videovigilancia y grabación de sonidos (art. 89): los empleadores pueden tratar imágenes para el control de trabajadores o empleados públicos dentro de su marco legal, informando con carácter previo y de forma expresa, clara y concisa; si se capta la comisión flagrante de un acto ilícito, basta con el dispositivo informativo del art. 22.4. «En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos». La grabación de sonidos solo se admite cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas, respetando la proporcionalidad y la intervención mínima.
Geolocalización (art. 90): los empleadores pueden tratar datos de geolocalización para el control de los trabajadores o empleados públicos, informando previamente de forma expresa, clara e inequívoca de la existencia y características de los dispositivos y del posible ejercicio de los derechos de acceso, rectificación, limitación y supresión.
Negociación colectiva (art. 91): los convenios colectivos pueden establecer garantías adicionales de estos derechos.

12. La protección de datos en la Comunidad de Madrid

Aunque el título del tema no lo menciona de forma expresa, un opositor a la Administración de la Comunidad de Madrid debe conocer cómo se organiza la protección de datos en la institución a la que aspira a servir. Hay dos piezas: una histórica, la extinguida agencia autonómica, y otra vigente, el Consejo de Transparencia y Protección de Datos.

12.1. De la Agencia madrileña a la Agencia Española

La Comunidad de Madrid fue pionera en crear una autoridad propia. La Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid, creó la Agencia de Protección de Datos de la Comunidad de Madrid, cuyo Estatuto se aprobó por el Decreto 40/2004, de 18 de marzo. Esa autoridad desapareció con la Ley 8/2012, de 28 de diciembre, de Medidas Fiscales y Administrativas, cuyo artículo 61 dispuso la extinción de la Agencia en el marco de las medidas de racionalización del sector público. Su preámbulo explica que, «con el fin de reducir gastos que no sean absolutamente imprescindibles para garantizar los servicios públicos esenciales», se adoptaron medidas de reordenación del sector público, «declarando la extinción del Consejo Económico y Social y de la Agencia de Protección de Datos de la Comunidad de Madrid».

El artículo 61 de la Ley 8/2012 establece tres consecuencias:

Extinción: «Se extingue la Agencia de Protección de Datos de la Comunidad de Madrid, Ente de Derecho público [...] creada por la Ley 8/2001, de 13 de julio» (art. 61.1).
Reintegro de competencias al Estado: las competencias que la Ley 8/2001 atribuía a la Agencia madrileña «se reintegrarán al ámbito estatal, correspondiendo el ejercicio de las mismas a la Agencia Española de Protección de Datos». El Registro de Ficheros de la Agencia madrileña decayó en sus funciones de publicidad y difusión, que se reintegraron al Registro General de la Agencia Española, y la coordinación de las relaciones con la autoridad estatal pasó a la Consejería competente en materia de Presidencia (art. 61.2).
Liquidación: la Agencia debía rendir cuentas de todas sus operaciones hasta su extinción (art. 61.3). Los expedientes de inspección y tutela de derechos en tramitación se remitieron a la Agencia Española (disposición transitoria tercera), y su personal funcionario se adscribió a la Comunidad de Madrid (disposición adicional quinta).

La disposición derogatoria única de la Ley 8/2012 derogó expresamente la Ley 8/2001 y el Estatuto de la Agencia aprobado por el Decreto 40/2004, y su disposición final tercera fijó la entrada en vigor el 1 de enero de 2013. Desde esa fecha, la autoridad de control para los tratamientos de la Administración de la Comunidad de Madrid y de las entidades locales madrileñas es la Agencia Española de Protección de Datos. Es la situación que conviene tener clara frente a otras Comunidades que sí mantienen autoridad propia: el art. 57 de la LOPDGDD permite crearlas, pero Madrid no la tiene.

12.2. El Consejo de Transparencia y Protección de Datos

La Comunidad de Madrid no tiene autoridad de control, pero sí un órgano con competencias en la materia. La Ley 16/2023, de 27 de diciembre, de medidas para la simplificación y mejora de la eficacia de instituciones y organismos de la Comunidad de Madrid, reformó el Título V de la Ley 10/2019, de Transparencia y de Participación, y transformó el antiguo Consejo de Transparencia y Participación en el Consejo de Transparencia y Protección de Datos. Todas las referencias de la Ley 10/2019 al antiguo Consejo se entienden hechas al nuevo (disposición adicional decimotercera de la Ley 10/2019).

Naturaleza y competencias (art. 72 de la Ley 10/2019). Se crea «como un órgano administrativo colegiado adscrito orgánicamente a la Consejería de Presidencia» (art. 72.1). Tiene competencias en materia de transparencia «para el fomento, análisis, control y protección de la transparencia pública y la participación en el ámbito de la Comunidad de Madrid, así como en materia de protección de datos de carácter personal para la deliberación, consulta, participación y coordinación de las consejerías de la Comunidad de Madrid y sus entes institucionales vinculados y dependientes» (art. 72.2). En el ejercicio de sus funciones «actuará con autonomía y plena independencia funcional» (art. 72.3). Obsérvese la diferencia de alcance: en transparencia controla y resuelve reclamaciones; en protección de datos, delibera, consulta, participa y coordina a las propias consejerías. No asume las funciones de supervisión y sanción que el Reglamento reserva a las autoridades de control, que en Madrid corresponden a la Agencia Española.

Composición (art. 73). El Consejo está integrado por la Comisión de Transparencia y Participación, la Comisión de Protección de Datos y el Presidente, que lo es también de ambas Comisiones. La condición de miembro de las Comisiones no exige dedicación exclusiva ni da derecho a remuneración, con excepción del Presidente.

La Comisión de Protección de Datos ejerce las competencias que le asignen la ley y su normativa de desarrollo (art. 75.1) y está compuesta por (art. 75.2):

a) el Presidente del Consejo de Transparencia y Protección de Datos;
b) los Delegados de Protección de Datos de cada Consejería o, en su caso, el representante del órgano que tenga atribuidas tales funciones en las Consejerías, y los delegados de protección de datos de sus entes institucionales vinculados o dependientes;
c) un representante del Ente Público Agencia para la Administración Digital de la Comunidad de Madrid;
d) un representante de la Secretaría General Técnica de la Consejería con competencias en materia de gobierno abierto;
e) un representante de la Dirección General con competencias en materia de gobierno abierto;
f) un representante de la Consejería con competencias en materia de administración electrónica;
g) en su caso, otros miembros que se determinen por decreto del Consejo de Gobierno.

Funciones en protección de datos (art. 77.2). El Consejo tiene encomendadas las siguientes:

a) formular recomendaciones para la adaptación de la normativa de la Comunidad de Madrid en el ámbito de la protección de datos;
b) recomendar a los responsables de tratamiento de datos y a las secretarías generales técnicas la adopción de las resoluciones o instrucciones necesarias para la ejecución de la normativa en protección de datos;
c) solicitar el asesoramiento e información a los órganos y entidades que estime necesarios, «incluida la Agencia Española de Protección de Datos», para el desarrollo de sus fines;
d) fomentar la interlocución entre las consejerías y sus entes institucionales vinculados y dependientes en materia de protección de datos;
e) coordinar la supervisión que corresponde a los Delegados de Protección de Datos en el cumplimiento de la normativa;
f) proponer el diseño de la formación del personal a los responsables de tratamiento y a los órganos competentes en materia de formación.

El Presidente ejerce en todo caso las funciones de resolver las reclamaciones en materia de acceso a la información y de publicidad activa, y la de solicitar asesoramiento e información, incluida la de la Agencia Española (art. 77.3). Además, la Ley 8/2024, de 26 de diciembre, añadió un apartado 4 al artículo 77 que asigna al Consejo, en el ámbito de la Comunidad de Madrid, las funciones que la Ley 2/2023 atribuye a la Autoridad Independiente de Protección del Informante; su potestad sancionadora en esa materia se limita a las infracciones cometidas en el sector público autonómico y local del territorio de la Comunidad, y corresponde al Presidente acordar la incoación y dictar la resolución.

El Presidente (art. 76 de la Ley 10/2019):

Es nombrado «por un período de cuatro años, renovable por otro periodo de la misma duración, mediante Decreto del Consejo de Gobierno a propuesta del titular de la Consejería de Presidencia, entre personas de reconocido prestigio y competencia profesional, previa comparecencia de la persona propuesta ante la Comisión correspondiente de la Asamblea de Madrid».
La Asamblea, a través de la Comisión competente, «por acuerdo adoptado por mayoría absoluta o, de no alcanzarse dicha mayoría en una primera votación, por mayoría simple en una segunda ronda de votaciones, deberá refrendar el nombramiento» en el plazo de un mes natural desde la recepción de la comunicación (art. 76.1).
Cesa por expiración del mandato, a petición propia o por separación acordada por el Consejo de Gobierno, previa instrucción del procedimiento por el titular de la Consejería de Presidencia, por incumplimiento grave de sus obligaciones, incapacidad permanente, incompatibilidad sobrevenida o condena por delito doloso (art. 76.2).
Tiene dedicación exclusiva y percibe las retribuciones fijadas en la ley de presupuestos para el rango que se le asigne por decreto (art. 76.3).

Organización y relaciones con la Asamblea. El Consejo de Gobierno aprueba mediante decreto sus normas de organización y funcionamiento, y el Consejo cuenta al menos con una unidad de apoyo jurídico, técnico y administrativo; los sujetos obligados deben facilitarle la información que solicite y prestarle colaboración (art. 78). El Consejo eleva anualmente a la Comisión correspondiente de la Asamblea de Madrid una memoria de sus actividades, que se presenta «dentro del primer trimestre del ejercicio siguiente» y se publica en el Portal de Transparencia; el Presidente comparece para dar cuenta de ella y cuantas veces sea requerido (art. 79).

12.3. Organización práctica en la Administración autonómica

La Administración de la Comunidad de Madrid ha organizado la figura del delegado de forma descentralizada. Según la información oficial publicada por la propia Comunidad, cada Consejería y algunos organismos y entes institucionales —la web cita como ejemplos Metro de Madrid o la Agencia de Vivienda Social— cuentan con un delegado de protección de datos o con una unidad administrativa que ejerce sus competencias, y existe un grupo de trabajo para la protección de datos personales que actúa como órgano de coordinación entre consejerías. Esta organización es coherente con la composición de la Comisión de Protección de Datos del Consejo, que agrupa precisamente a los delegados de cada Consejería (art. 75.2.b de la Ley 10/2019), y con la habilitación del Reglamento para designar delegados en función de la estructura organizativa y el tamaño de las autoridades públicas (art. 37.3 del RGPD).

La Comunidad publica también su Registro de actividades de tratamiento, en cumplimiento de la obligación del art. 31.2 de la ley orgánica de hacer público un inventario de las actividades de tratamiento accesible por medios electrónicos. Para el administrativo que trabaja en una unidad de gestión, estas piezas se traducen en pautas concretas: cada procedimiento que maneja datos debe estar incluido en ese registro con su base jurídica; los formularios deben incorporar la información básica del art. 11 de la ley orgánica; las dudas sobre si un tratamiento es lícito o si procede atender un derecho se consultan con el delegado de la Consejería; las violaciones de seguridad se comunican de inmediato para que el responsable pueda notificarlas a la Agencia Española en el plazo de setenta y dos horas; y las publicaciones de actos se ajustan a la disposición adicional séptima.

13. Los derechos digitales (Título X de la ley orgánica)

Aunque el programa no los cita de forma individual, forman parte de la «estructura y contenido» de la ley orgánica y han sido objeto de pregunta en el examen de 2024 de esta oposición. El Título X parte de un principio general: «Los derechos y libertades consagrados en la Constitución y en los Tratados y Convenios Internacionales en que España sea parte son plenamente aplicables en Internet. Los prestadores de servicios de la sociedad de la información y los proveedores de servicios de Internet contribuirán a garantizar su aplicación» (art. 79). Su contenido puede ordenarse así:

Artículo	Derecho	Contenido esencial
80	Neutralidad de Internet	Los usuarios tienen derecho a la neutralidad de Internet; los proveedores ofrecerán una oferta transparente de servicios sin discriminación por motivos técnicos o económicos.
81	Acceso universal a Internet	«Todos tienen derecho a acceder a Internet independientemente de su condición personal, social, económica o geográfica»; acceso universal, asequible, de calidad y no discriminatorio, con atención a la brecha de género, la brecha generacional, los entornos rurales y las personas con necesidades especiales.
82	Seguridad digital	«Los usuarios tienen derecho a la seguridad de las comunicaciones que transmitan y reciban a través de Internet. Los proveedores de servicios de Internet informarán a los usuarios de sus derechos». Es un derecho de los usuarios, no un deber.
83	Educación digital	El sistema educativo garantizará la plena inserción del alumnado en la sociedad digital; el profesorado recibirá la formación necesaria; los planes de estudio universitarios garantizarán la formación en el uso y seguridad de los medios digitales; y las Administraciones incorporarán la protección de datos a los temarios de acceso.
84	Protección de los menores en Internet	Padres, madres, tutores y representantes procurarán un uso equilibrado y responsable; la difusión de imágenes o información de menores que pueda implicar una intromisión ilegítima determinará la intervención del Ministerio Fiscal.
85	Rectificación en Internet	«Todos tienen derecho a la libertad de expresión en Internet»; las redes sociales adoptarán protocolos para el derecho de rectificación, y los medios digitales publicarán un aviso aclaratorio cuando deban atender una rectificación.
86	Actualización de informaciones en medios digitales	Derecho a solicitar motivadamente un aviso de actualización junto a noticias que no reflejen la situación actual, en particular cuando se refieran a actuaciones policiales o judiciales afectadas por decisiones judiciales posteriores.
87 a 91	Derechos en el ámbito laboral	Intimidad en el uso de dispositivos digitales, desconexión digital, videovigilancia y grabación de sonidos, geolocalización y negociación colectiva (apartado 11.6).
92	Protección de datos de los menores en Internet	Centros educativos y quienes desarrollen actividades con menores garantizarán su interés superior; la difusión en redes sociales requiere el consentimiento del menor o de sus representantes conforme al art. 7.
93	Derecho al olvido en búsquedas de Internet	Derecho a que los motores de búsqueda eliminen de los resultados obtenidos a partir de su nombre los enlaces con información inadecuada, inexacta, no pertinente, no actualizada o excesiva; subsiste aunque sea lícita la conservación en el sitio web original y no impide el acceso por otros criterios de búsqueda.
94	Derecho al olvido en redes sociales	Supresión, «a su simple solicitud», de los datos que la persona facilitó para su publicación; supresión de los facilitados por terceros cuando sean inadecuados o excesivos; y supresión sin más requisitos de los datos facilitados durante la minoría de edad.
95	Portabilidad en redes sociales	Derecho a recibir y transmitir los contenidos facilitados a los prestadores, y a que estos los transmitan directamente a otro prestador cuando sea técnicamente posible.
96	Testamento digital	Personas vinculadas al fallecido por razones familiares o de hecho, herederos, albacea y personas designadas pueden acceder a los contenidos digitales y decidir sobre los perfiles, salvo prohibición expresa del fallecido o de una ley.
97	Políticas de impulso	Plan de Acceso a Internet, con un bono social de acceso; Plan de Actuación para el uso responsable por menores; e informe anual del Gobierno a la comisión parlamentaria del Congreso.

14. Esquema-resumen

Fundamento: art. 18.4 de la Constitución; derecho autónomo distinto de la intimidad (STC 94/1998 y 292/2000); art. 8 de la Carta y art. 16.1 del TFUE.
Normas: RGPD (Reglamento (UE) 2016/679, de 27 de abril de 2016, aplicable desde el 25 de mayo de 2018; derogó la Directiva 95/46/CE) y LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre; BOE de 6 de diciembre de 2018, en vigor desde el día siguiente; derogó la LO 15/1999 y el Real Decreto-ley 5/2018). Antecedentes: LORTAD (LO 5/1992) y LOPD (LO 15/1999).
Objeto doble de la LOPDGDD (art. 1): adaptar y completar el RGPD y garantizar los derechos digitales.
Estructura: 10 títulos, 97 artículos (+ art. 53 bis desde la Ley 11/2023), 22 disposiciones adicionales en origen (23 hoy), 6 transitorias, 1 derogatoria y 16 finales. Título competencial: art. 149.1.1.ª de la Constitución.
Ámbito: tratamientos automatizados y no automatizados destinados a un fichero; excluidos los domésticos, los penales (Directiva 2016/680), la PESC y, en la LOPDGDD, los datos de fallecidos (con el art. 3) y las materias clasificadas.
Definiciones (art. 4 del RGPD): dato personal = persona física identificada o identificable; tratamiento = cualquier operación; responsable decide fines y medios; encargado trata por cuenta del responsable; consentimiento libre, específico, informado e inequívoco.
Principios (art. 5 del RGPD): licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva.
Legitimación (art. 6 del RGPD): consentimiento, contrato, obligación legal, intereses vitales, interés público o poderes públicos, interés legítimo (no para autoridades públicas en sus funciones). LOPDGDD: obligación legal e interés público requieren norma con rango de ley (art. 8); menores consienten desde los 14 años (RGPD: 16, rebajable hasta 13).
Categorías especiales (art. 9 del RGPD): prohibición general con diez excepciones; el solo consentimiento no basta para identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9.1 LOPDGDD).
Derechos: acceso, rectificación, supresión, limitación, portabilidad, oposición y no ser objeto de decisiones automatizadas. Respuesta en un mes prorrogable dos meses; gratuitos; acceso repetitivo si se reitera en seis meses; información por capas (art. 11 LOPDGDD).
Obligaciones: responsabilidad activa y análisis de riesgos; diseño y por defecto; contrato escrito con el encargado; registro de actividades (inventario público en el sector público); bloqueo; seguridad; notificación de violaciones a la autoridad en 72 horas y al interesado si hay alto riesgo; evaluación de impacto y consulta previa (8 + 6 semanas); códigos de conducta y certificación (máximo 3 años).
Delegado: obligatorio para toda autoridad u organismo público y para las entidades del art. 34.1 LOPDGDD; designación comunicada en 10 días; independencia (no removible salvo dolo o negligencia grave); funciones de informar, asesorar, supervisar y cooperar; reclamación ante él con respuesta en 2 meses; la autoridad puede remitirle la reclamación para que responda en 1 mes; no está sujeto al régimen sancionador.
Autoridades: AEPD, autoridad administrativa independiente, relacionada con el Gobierno a través del Ministerio de Justicia; Presidencia y Adjunto con mandato de 5 años renovable; actos recurribles ante la Audiencia Nacional. Multas de hasta 10 millones o 2 % y 20 millones o 4 %. Prescripción de infracciones 3/2/1 años; de sanciones 1/2/3 años según cuantía.
Sector público (art. 77): sin multas; resolución que declara la infracción y ordena medidas, propuesta de actuaciones disciplinarias, amonestación publicada a autoridades y directivos, comunicación al Defensor del Pueblo y publicidad. DA 1.ª: Esquema Nacional de Seguridad. DA 7.ª: publicación con nombre y cuatro cifras aleatorias del documento; anuncio solo con el número completo; nunca ambos juntos. DA 8.ª: potestad de verificación. DA 10.ª: comunicaciones a privados. DF 14.ª: art. 14 j bis TREBEP.
Comunidad de Madrid: la Agencia de Protección de Datos de la Comunidad de Madrid (Ley 8/2001) quedó extinguida por el art. 61 de la Ley 8/2012 desde el 1 de enero de 2013 y sus competencias pasaron a la AEPD. Hoy existe el Consejo de Transparencia y Protección de Datos (arts. 72 a 79 de la Ley 10/2019, tras la Ley 16/2023): órgano colegiado adscrito a la Consejería de Presidencia, con Comisión de Protección de Datos integrada por los delegados de cada Consejería; en protección de datos recomienda, coordina y promueve la formación; Presidente con mandato de 4 años renovable.
Derechos digitales (Título X): neutralidad, acceso universal, seguridad y educación digital, desconexión, olvido en buscadores y redes sociales, portabilidad en redes y testamento digital.

Para practicar, tienes el test de este tema con preguntas verificadas y sus flashcards. Recuerda cotejar siempre los datos con el texto consolidado del BOE, del Diario Oficial de la Unión Europea y del BOCM, que prevalecen sobre cualquier apunte.

¿Te lo sabes? 🐂

Pon a prueba este tema con su test, con preguntas al estilo del examen. Crea tu cuenta gratis para guardar tu progreso y repasar tus falladas. Gratis y siempre lo será.

Hacer el test del tema 🃏 Flashcards