Normativa reguladora de la protección de datos personales: principios, derechos de las personas y ejercicios de los derechos.

Tema desarrollado para el primer ejercicio del Cuerpo Administrativo de la Administración de la Seguridad Social (subgrupo C1, ingreso libre). El contenido está verificado contra el texto del Reglamento (UE) 2016/679 (RGPD) y el texto consolidado de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), en su redacción vigente. El programa evaluable exacto es el del Anexo de tu convocatoria (Resolución de 22 de diciembre de 2025, BOE-A-2025-27158).

Índice

• 1. El marco: del artículo 18.4 CE al RGPD y la LOPDGDD
  • 1.1. El cambio de modelo y la estructura de las normas
• 2. Los conceptos que hay que dominar (art. 4 RGPD)
  • 2.1. Responsable, encargado y corresponsables
• 3. Los principios del tratamiento (art. 5 RGPD)
• 4. La licitud del tratamiento: las bases jurídicas (art. 6 RGPD)
  • 4.1. El consentimiento y los menores
  • 4.2. Las categorías especiales de datos (art. 9 RGPD)
• 5. Los derechos de las personas
  • 5.1. Derecho de información (arts. 13 y 14)
  • 5.2. Derecho de acceso (art. 15 / art. 13 LOPDGDD)
  • 5.3. Rectificación (art. 16) y supresión o «derecho al olvido» (art. 17)
  • 5.4. Limitación del tratamiento (art. 18)
  • 5.5. Portabilidad (art. 20)
  • 5.6. Oposición (art. 21) y decisiones automatizadas (art. 22)
  • 5.7. El ejercicio de los derechos (art. 12 RGPD / art. 12 LOPDGDD)
• 6. Obligaciones del responsable: la responsabilidad proactiva en acción
• 7. Las transferencias internacionales de datos (arts. 44-49)
• 8. Los tratamientos concretos que regula la LOPDGDD (arts. 19-27)
• 9. Las garantías: la AEPD y el régimen sancionador
  • 9.1. Un tratamiento omnipresente: la videovigilancia (art. 22 LOPDGDD)
• 10. Los derechos digitales (Título X de la LOPDGDD)
• 11. Protección de datos en las Administraciones públicas y la Seguridad Social
  • 11.1. La frontera con la transparencia (Ley 19/2013)
• 12. Esquema de repaso

1. El marco: del artículo 18.4 CE al RGPD y la LOPDGDD

La protección de datos personales es un derecho fundamental autónomo, distinto del derecho a la intimidad del que nació. Su semilla constitucional está en el artículo 18.4 de la Constitución: «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». El Tribunal Constitucional, en la célebre STC 292/2000, dedujo de ese apartado un derecho fundamental sustantivo —a veces llamado «derecho a la autodeterminación informativa»— cuyo contenido no es la reserva de la intimidad, sino el poder de disposición y control de cada persona sobre sus propios datos: saber quién los tiene, para qué y poder oponerse. Por eso este derecho protege datos que no son íntimos (un nombre, un teléfono, una matrícula) siempre que permitan identificar a alguien.

En el plano europeo, el derecho aparece en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (separado del art. 7, que recoge la vida privada) y en el artículo 16 del Tratado de Funcionamiento de la UE. Su desarrollo es hoy el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), aplicable directamente en todos los Estados miembros desde el 25 de mayo de 2018. Al ser un reglamento, el RGPD no se transpone: se aplica tal cual y prohíbe reproducir su texto en la ley interna; esta solo lo desarrolla en lo que el propio Reglamento permite.

Ese desarrollo nacional es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que sustituyó a la vieja LO 15/1999. La LOPDGDD adapta el RGPD al ordenamiento español (edad del consentimiento, tratamientos concretos, régimen de la AEPD y de las infracciones) y añade un bloque propio y novedoso: los derechos digitales (Título X). El régimen se completa con el Real Decreto 1720/2007 (Reglamento de desarrollo, vigente en lo no derogado) y, en el ámbito público, con las Leyes 39/2015 y 40/2015.

Conviene fijar el reparto de papeles desde el principio, porque el examen juega con él: el RGPD es la norma marco y directamente aplicable; la LOPDGDD la desarrolla y la completa; y cuando ambos regulan lo mismo (por ejemplo, los derechos), la ley española remite al Reglamento y solo añade las especialidades de procedimiento. Un dato que cae mucho: el ámbito material del RGPD abarca el tratamiento total o parcialmente automatizado y también el no automatizado de datos contenidos o destinados a un fichero (art. 2); quedan fuera el tratamiento por una persona física en el ejercicio de actividades exclusivamente personales o domésticas y el realizado por autoridades en materia penal (que tiene su propia Directiva y la LO 7/2021).

1.1. El cambio de modelo y la estructura de las normas

Entender el cambio de paradigma ayuda a no equivocarse con las preguntas de concepto. La antigua LO 15/1999 descansaba en un modelo de control previo: existían «ficheros» que había que inscribir en un Registro General de Protección de Datos, y la Agencia autorizaba y vigilaba desde fuera. El RGPD dio la vuelta a ese esquema: suprimió el registro de ficheros y lo sustituyó por la responsabilidad proactiva; ya no se pide permiso ni se inscribe nada, sino que el responsable gestiona el riesgo y debe estar en condiciones de demostrar su cumplimiento en cualquier momento. Del «papel» de la inscripción se pasa a la gestión (registro interno de actividades, evaluaciones de impacto, delegado de protección de datos).

En cuanto a la estructura: el RGPD consta de 99 artículos agrupados en once capítulos, precedidos de 173 considerandos; los capítulos clave para este tema son el II (principios, arts. 5-11) y el III (derechos del interesado, arts. 12-23). La LOPDGDD tiene 97 artículos repartidos en diez títulos, más disposiciones adicionales, transitorias y finales; su Título II recoge los principios, el III los derechos, el VII las autoridades de protección de datos, el IX el régimen sancionador y el X, íntegramente nuevo, los derechos digitales. Basta retener el reparto: principios y derechos en la parte inicial; autoridad y sanciones al final; y el broche de los derechos digitales, que es marca de la casa española.

2. Los conceptos que hay que dominar (art. 4 RGPD)

El artículo 4 del RGPD es un diccionario que conviene saber casi de memoria, porque las preguntas se construyen intercambiando definiciones.

• Dato personal: toda información sobre una persona física identificada o identificable. Una persona es identificable si su identidad puede determinarse, directa o indirectamente, mediante un identificador (nombre, número, datos de localización, un identificador en línea como la dirección IP, o elementos de su identidad física, fisiológica, genética, psíquica, económica, cultural o social). Dos consecuencias de examen: el RGPD no protege a las personas jurídicas (una empresa no tiene datos personales), y no protege a los fallecidos (aunque la LOPDGDD, en su art. 3, permite a los herederos ejercer ciertos derechos sobre los datos del difunto).
• Tratamiento: cualquier operación sobre datos personales, automatizada o no —recogida, registro, conservación, consulta, cesión, supresión…—. Basta consultar o conservar para «tratar».
• Responsable del tratamiento: quien determina los fines y los medios del tratamiento (el «para qué» y el «cómo»). Es la figura clave: sobre él recaen las obligaciones.
• Encargado del tratamiento: quien trata datos por cuenta del responsable (el proveedor externo de nóminas, la empresa de hosting). Su relación con el responsable se rige por un contrato (art. 28).
• Interesado o afectado: la persona física titular de los datos.
• Destinatario y tercero: a quien se comunican los datos; el tercero es cualquiera distinto del interesado, el responsable, el encargado y las personas autorizadas.
• Seudonimización: tratar los datos de modo que ya no puedan atribuirse a alguien sin información adicional guardada por separado. Ojo: el dato seudonimizado sigue siendo dato personal (a diferencia del anonimizado, que ya no lo es porque no permite reidentificar).
• Elaboración de perfiles: tratamiento automatizado para evaluar aspectos personales (rendimiento, salud, solvencia, comportamiento).
• Violación de la seguridad («brecha»): incidente que ocasiona la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales.

2.1. Responsable, encargado y corresponsables

La distinción entre responsable y encargado es una de las que más rinde en el examen porque de ella depende quién asume las obligaciones. El responsable decide el porqué y el cómo; el encargado se limita a ejecutar por cuenta de aquel y siguiendo sus instrucciones. La relación entre ambos no puede ser verbal: exige un contrato o acto jurídico (art. 28) que fije el objeto, la duración, la finalidad, las categorías de datos y las obligaciones del encargado, entre ellas tratar los datos solo según instrucciones, guardar confidencialidad, garantizar la seguridad, ayudar al responsable a atender los derechos y suprimir o devolver los datos al terminar. El encargado que decida por su cuenta los fines o los medios pasa a ser responsable de ese tratamiento. Para subcontratar (subencargado) necesita autorización del responsable.

Cuando dos o más responsables determinan conjuntamente los fines y medios, son corresponsables (art. 26) y deben pactar de modo transparente el reparto de obligaciones, aunque el interesado podrá ejercer sus derechos frente a cualquiera de ellos. Distinto de todo esto es la mera cesión o comunicación de datos a un tercero, que es un tratamiento nuevo y necesita su propia base jurídica.

3. Los principios del tratamiento (art. 5 RGPD)

El artículo 5 es el corazón del tema. Enumera seis principios en su apartado 1 y añade, en el apartado 2, un séptimo que es el que da coherencia a todo el sistema.

1. Licitud, lealtad y transparencia: los datos se tratan de manera lícita (con una base jurídica del art. 6), leal y transparente para el interesado.
2. Limitación de la finalidad: se recogen con fines determinados, explícitos y legítimos y no se tratan luego de forma incompatible con ellos. El tratamiento ulterior con fines de archivo, investigación o estadística no se considera incompatible (art. 89).
3. Minimización de datos: adecuados, pertinentes y limitados a lo necesario. No se pide más de lo imprescindible para el fin.
4. Exactitud: exactos y, si es necesario, actualizados; los inexactos se suprimen o rectifican sin dilación.
5. Limitación del plazo de conservación: se conservan no más tiempo del necesario para los fines (salvo archivo, investigación o estadística).
6. Integridad y confidencialidad: se garantiza una seguridad adecuada mediante medidas técnicas y organizativas frente a tratamiento no autorizado, pérdida o daño.

El apartado 5.2 cierra la lista con el principio de responsabilidad proactiva (accountability): el responsable no solo debe cumplir los seis principios, sino ser capaz de demostrarlo. Este giro es la gran novedad del RGPD frente a la ley de 1999: se pasa de un modelo de control previo (inscripción de ficheros en un registro público, hoy suprimida) a un modelo en el que la empresa u organismo gestiona el riesgo y acredita su diligencia (registro de actividades, evaluaciones de impacto, delegado de protección de datos). La LOPDGDD desarrolla dos de estos principios con artículos propios: el de exactitud (art. 4, que exime de responsabilidad al responsable diligente cuando el dato inexacto le fue facilitado por el propio afectado o por un tercero legitimado) y el deber de confidencialidad (art. 5, que subsiste aun después de terminar la relación y es complementario del secreto profesional).

4. La licitud del tratamiento: las bases jurídicas (art. 6 RGPD)

Ningún tratamiento es lícito si no se apoya en al menos una de las seis bases del artículo 6.1. Es un error clásico creer que «siempre hace falta consentimiento»: el consentimiento es solo una de las seis, y en el sector público casi nunca es la que se usa.

1. Consentimiento del interesado para uno o varios fines específicos.
2. Ejecución de un contrato en el que el interesado es parte (o medidas precontractuales a su petición).
3. Cumplimiento de una obligación legal del responsable.
4. Protección de intereses vitales del interesado o de otra persona.
5. Misión de interés público o ejercicio de poderes públicos conferidos al responsable.
6. Interés legítimo del responsable o de un tercero, salvo que prevalezcan los derechos del interesado (ponderación). Esta base f) NO puede usarla la Administración en el ejercicio de sus funciones: para lo público sirven la c) y la e).

Las bases c) y e) exigen, además, que el tratamiento tenga anclaje en el Derecho de la Unión o en una norma con rango de ley (art. 8 LOPDGDD). Por eso, en las Administraciones públicas, el tratamiento se sostiene normalmente en la obligación legal o en la misión de interés público / potestad pública, no en el consentimiento del ciudadano.

4.1. El consentimiento y los menores

Cuando la base es el consentimiento, este debe ser una manifestación de voluntad libre, específica, informada e inequívoca mediante declaración o clara acción afirmativa (art. 4.11). Esto entierra el «consentimiento tácito» y las casillas premarcadas: el silencio o la inacción no valen. Además, el responsable debe poder demostrar que se prestó (art. 7.1), la petición debe presentarse de forma claramente distinguible del resto (art. 7.2) y el interesado puede retirarlo en cualquier momento, con la misma facilidad con que lo dio, sin que ello afecte a la licitud del tratamiento anterior (art. 7.3).

La edad del consentimiento es una trampa segura de examen. El RGPD (art. 8) fija con carácter general los 16 años para los servicios de la sociedad de la información, pero permite a cada Estado rebajarla hasta un mínimo de 13. España la fijó en los 14 años (art. 7 LOPDGDD): el menor de catorce años necesita el consentimiento de sus padres o tutores. Regla mnemotécnica: 16 en la Unión, 14 en España.

4.2. Las categorías especiales de datos (art. 9 RGPD)

Hay una categoría de datos cuyo tratamiento está, de partida, prohibido: los que revelan origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, los datos genéticos y biométricos dirigidos a identificar unívocamente, los relativos a la salud y los de la vida u orientación sexuales. La prohibición se levanta solo si concurre una de las excepciones del art. 9.2: consentimiento explícito, obligaciones en el ámbito laboral y de seguridad social, intereses vitales, fines de una asociación política/religiosa/sindical respecto de sus miembros, datos hechos manifiestamente públicos por el interesado, reclamaciones judiciales, interés público esencial, medicina laboral o salud pública, o archivo/investigación. Los datos penales (art. 10) tienen un régimen aún más estricto: solo bajo control de la autoridad pública o si lo autoriza una norma.

5. Los derechos de las personas

El Capítulo III del RGPD (arts. 12 a 22) reconoce un catálogo de derechos que la LOPDGDD desarrolla en sus artículos 11 a 18. Se conocen por sus iniciales y conviene tener el mapa completo antes de entrar en cada uno: información (arts. 13-14), acceso (15), rectificación (16), supresión u olvido (17), limitación (18), portabilidad (20), oposición (21) y el derecho a no ser objeto de decisiones individuales automatizadas (22). El antiguo derecho de «cancelación» de la ley de 1999 se ha desdoblado en supresión y limitación.

5.1. Derecho de información (arts. 13 y 14)

Es el presupuesto de todos los demás: sin información no hay control. El responsable debe informar en el momento de obtener los datos de: su identidad y la del delegado de protección de datos, los fines y la base jurídica, los destinatarios, las transferencias internacionales previstas, el plazo de conservación, la existencia de los derechos y la posibilidad de reclamar ante la autoridad de control. El artículo 13 rige cuando los datos se obtienen del propio interesado; el 14, cuando se obtienen de otra fuente (y añade el deber de indicar el origen de los datos y de informar en un plazo razonable, como máximo un mes). La LOPDGDD (art. 11) admite un modelo de información por capas: una información básica en el primer nivel y el resto accesible por un enlace.

5.2. Derecho de acceso (art. 15 / art. 13 LOPDGDD)

El interesado tiene derecho a que le confirmen si se están tratando sus datos y, en tal caso, a acceder a ellos y a conocer los fines, las categorías de datos, los destinatarios, el plazo de conservación, la existencia de los demás derechos y el origen de los datos. Tiene derecho a una copia gratuita; por copias ulteriores cabe un canon razonable. La LOPDGDD precisa que el acceso se entiende otorgado si el responsable facilita un sistema de acceso remoto, directo y seguro, y que puede considerarse repetitivo el ejercicio más de una vez en seis meses salvo causa legítima.

5.3. Rectificación (art. 16) y supresión o «derecho al olvido» (art. 17)

La rectificación permite corregir sin dilación indebida los datos inexactos y completar los incompletos. La supresión —bautizada por la jurisprudencia (asunto Google Spain, STJUE de 2014) como «derecho al olvido»— obliga a borrar los datos cuando: ya no son necesarios para su fin, se retira el consentimiento y no hay otra base, el interesado se opone con éxito, se trataron ilícitamente, hay una obligación legal de borrarlos, o se recabaron de un menor en servicios de la sociedad de la información. No es un derecho absoluto: cede ante la libertad de expresión e información, el cumplimiento de una obligación legal, el interés público en salud pública, el archivo/investigación y las reclamaciones (art. 17.3).

5.4. Limitación del tratamiento (art. 18)

Es un derecho «de freno»: en lugar de borrar, se marcan los datos para no tratarlos mientras se resuelve una controversia. Procede cuando el interesado impugna la exactitud (mientras se verifica), el tratamiento es ilícito pero el interesado prefiere la limitación al borrado, el responsable ya no necesita los datos pero el interesado los quiere para reclamaciones, o se ha ejercido la oposición (mientras se pondera). Limitados, los datos solo se conservan; su tratamiento adicional exige consentimiento o una causa tasada, y el interesado debe ser informado antes de levantar la limitación.

5.5. Portabilidad (art. 20)

Permite recibir los datos que uno ha facilitado, en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable (o que se transmitan directamente cuando sea técnicamente posible). Tiene dos requisitos acumulativos: que el tratamiento se base en el consentimiento o en un contrato y que se realice por medios automatizados. Por eso no se aplica a los tratamientos de la Administración basados en una misión de interés público o en potestades públicas.

5.6. Oposición (art. 21) y decisiones automatizadas (art. 22)

El derecho de oposición permite oponerse, por motivos de la situación particular, a los tratamientos basados en interés público o interés legítimo (letras e y f del art. 6.1). El responsable debe cesar salvo que acredite motivos legítimos imperiosos que prevalezcan o la defensa de reclamaciones. Tiene una modalidad reforzada e incondicional: frente a la mercadotecnia directa, la oposición es absoluta y no admite ponderación.

El artículo 22 reconoce el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que produzca efectos jurídicos o afecte significativamente. No se aplica si la decisión es necesaria para un contrato, está autorizada por ley o se basa en el consentimiento explícito; y aun entonces el interesado conserva, como mínimo, el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión.

5.7. El ejercicio de los derechos (art. 12 RGPD / art. 12 LOPDGDD)

Todos los derechos comparten un régimen de ejercicio que es materia segura de test:

• Plazo: el responsable responde en el plazo de un mes desde la solicitud, prorrogable otros dos meses por la complejidad o el número de solicitudes (informando de la prórroga en el primer mes). Si no da curso a la solicitud, debe informar en un mes de las razones y de la posibilidad de reclamar.
• Gratuidad: el ejercicio es gratuito; solo cabe un canon razonable o la negativa si la solicitud es manifiestamente infundada o excesiva (por repetitiva), correspondiendo al responsable probar ese carácter.
• Forma y medios: el responsable debe facilitar medios accesibles y no puede denegar el ejercicio por el solo hecho de que el afectado elija otro medio.
• Representación: los derechos pueden ejercerse por medio de representante legal o voluntario; por los menores de catorce años los ejercen los titulares de la patria potestad.
• Identidad: si hay dudas razonables, el responsable puede pedir información adicional para confirmar la identidad del solicitante.

6. Obligaciones del responsable: la responsabilidad proactiva en acción

El modelo de accountability se concreta en un conjunto de obligaciones que sustituyen al viejo registro de ficheros:

• Protección de datos desde el diseño y por defecto (art. 25): incorporar las garantías desde la concepción del tratamiento y tratar, por defecto, solo los datos necesarios.
• Registro de actividades de tratamiento (RAT) (art. 30): documento interno que sustituye a la inscripción registral. Con carácter general, no es obligatorio para empresas de menos de 250 trabajadores, salvo que el tratamiento sea de riesgo, no ocasional o incluya categorías especiales.
• Seguridad del tratamiento (art. 32): medidas técnicas y organizativas apropiadas al riesgo (seudonimización, cifrado, disponibilidad, resiliencia).
• Notificación de brechas (arts. 33-34): la violación de seguridad se notifica a la autoridad de control sin dilación indebida y, de ser posible, en 72 horas; y a los interesados cuando entrañe un alto riesgo para sus derechos.
• Evaluación de impacto (EIPD) (art. 35): obligatoria cuando el tratamiento entrañe un alto riesgo (tratamientos a gran escala de categorías especiales, observación sistemática, elaboración de perfiles con efectos jurídicos).
• Delegado de Protección de Datos (DPD) (arts. 37-39): figura de vigilancia interna, obligatoria para autoridades y organismos públicos, para quienes realicen observación habitual y sistemática a gran escala y para quienes traten a gran escala categorías especiales. La LOPDGDD (art. 34) añade una larga lista de responsables obligados (colegios profesionales, entidades de crédito, aseguradoras, centros sanitarios, etc.). El DPD debe designarse por sus cualidades profesionales, actúa con independencia, no puede ser removido ni sancionado por ejercer sus funciones y sus datos de contacto se comunican a la autoridad de control; no asume responsabilidad personal por el incumplimiento del responsable.

7. Las transferencias internacionales de datos (arts. 44-49)

Sacar datos personales fuera del Espacio Económico Europeo es un tratamiento de especial riesgo y el RGPD lo somete a un régimen escalonado. Solo cabe la transferencia si:

• Existe una decisión de adecuación de la Comisión Europea que declare que el país tercero ofrece un nivel de protección equivalente (art. 45). Es la vía más cómoda: no requiere autorización adicional.
• A falta de ella, el responsable aporta garantías adecuadas (art. 46): cláusulas contractuales tipo aprobadas por la Comisión, normas corporativas vinculantes (BCR) para grupos empresariales, códigos de conducta o mecanismos de certificación.
• En su defecto, solo caben las excepciones para situaciones específicas del art. 49: consentimiento explícito e informado del interesado, ejecución de un contrato, razones de interés público, reclamaciones o intereses vitales.

La materia es viva: la sentencia Schrems II (STJUE de 2020) anuló el «Escudo de Privacidad» con Estados Unidos, sustituido después por el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de 2023). El mensaje de examen: dentro de la UE/EEE los datos circulan libremente; fuera, hacen falta adecuación, garantías o una excepción tasada.

8. Los tratamientos concretos que regula la LOPDGDD (arts. 19-27)

Una de las aportaciones propias de la ley española es dar cobertura expresa a tratamientos muy habituales, fijando presunciones de licitud con requisitos tasados. Son materia de examen porque cada uno tiene su cifra:

• Datos de contacto y de empresarios individuales (art. 19): se presume amparado en el interés legítimo el tratamiento de los datos profesionales de contacto (nombre, puesto, teléfono corporativo) de quien presta servicios en una persona jurídica, si solo se usan para la relación con esa entidad.
• Sistemas de información crediticia (art. 20), los llamados «ficheros de morosos»: se presume lícito el tratamiento de deudas ciertas, vencidas y exigibles no reclamadas, si el acreedor informó de la posible inclusión; el afectado recibe notificación y sus datos quedan bloqueados 30 días; y solo se mantienen mientras persista el impago, con un máximo de cinco años desde el vencimiento.
• Sistemas de exclusión publicitaria (art. 23), las «listas Robinson»: quien haga mercadotecnia directa debe consultarlas previamente y excluir a quien haya manifestado su negativa a recibir publicidad.
• Protección de quien informa sobre infracciones (art. 24): los tratamientos del canal de denuncias interno son lícitos; se rigen, además, por la Ley 2/2023 reguladora de la protección del informante.
• Función estadística pública (art. 25) y archivo en interés público (art. 26): tratamientos amparados con las garantías del secreto estadístico y de la legislación de patrimonio documental, que pueden limitar el ejercicio de los derechos.

El artículo 28 de la LOPDGDD, por su parte, enumera los supuestos de mayor riesgo que obligan a extremar las medidas y, en su caso, a realizar la evaluación de impacto: tratamientos que puedan generar discriminación o fraude, elaboración de perfiles, datos de menores o personas con discapacidad, tratamientos masivos o transferencias habituales a países sin nivel adecuado.

9. Las garantías: la AEPD y el régimen sancionador

La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD), autoridad administrativa independiente de ámbito estatal (art. 44 LOPDGDD; art. 51 RGPD), con personalidad jurídica propia, que actúa con plena independencia de los poderes públicos y se relaciona con el Gobierno a través del Ministerio de Justicia. Es, además, el representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Convive con las autoridades autonómicas allí donde existen, competentes sobre los tratamientos de sus respectivas Administraciones: la Autoridad Catalana de Protección de Datos (APDCAT), la Agencia Vasca de Protección de Datos (AVPD) y el Consejo de Transparencia y Protección de Datos de Andalucía (CTPDA). Conviene retener que la antigua agencia de la Comunidad de Madrid fue suprimida en 2013 y que Madrid ya no tiene autoridad propia: sus tratamientos autonómicos los supervisa la AEPD.

La Agencia se organiza en torno a la Presidencia, auxiliada por un Adjunto. Ambos son nombrados por el Gobierno, a propuesta del Ministerio de Justicia, entre personas de reconocida competencia, y su propuesta debe ser ratificada por la Comisión de Justicia del Congreso por mayoría de tres quintos (o, en segunda votación, por mayoría absoluta con votos de al menos dos grupos). El mandato es de cinco años, renovable por otro período igual, y el cese antes de tiempo solo procede por causas tasadas (incumplimiento grave, incapacidad, incompatibilidad o condena firme por delito doloso). Sus actos ponen fin a la vía administrativa y son recurribles directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

El artículo 58 del RGPD dota a la Agencia de dos grandes bloques de potestades: de investigación (ordenar que se le faciliten datos, realizar auditorías e inspecciones, acceder a locales y equipos) y correctivas (advertir, apercibir, ordenar que se atiendan los derechos, imponer una limitación o prohibición del tratamiento, ordenar la suspensión de los flujos de datos y imponer multas). En el plano europeo, la coherencia entre autoridades la garantizan el Comité Europeo de Protección de Datos (CEPD) y el mecanismo de ventanilla única para los tratamientos transfronterizos. La reclamación del ciudadano ante la AEPD se tramita por un procedimiento propio: la Agencia puede inadmitirla, remitirla previamente al delegado de protección de datos o a un mecanismo de resolución extrajudicial, y debe informar del curso en el plazo de tres meses; su resolución agota la vía administrativa y es recurrible ante la Audiencia Nacional.

9.1. Un tratamiento omnipresente: la videovigilancia (art. 22 LOPDGDD)

Por su frecuencia en la atención al público conviene retener el régimen de las cámaras. La LOPDGDD (art. 22) permite el tratamiento de imágenes con fines de seguridad por personas físicas o jurídicas, públicas o privadas. Sus reglas: solo puede captarse la vía pública en la medida imprescindible; los datos se suprimen en el plazo máximo de un mes (salvo que deban conservarse para acreditar una infracción); basta con colocar un dispositivo informativo visible (el cartel de zona videovigilada) que identifique al responsable y remita a la información ampliada, y no cabe grabar en lugares que menoscaben la intimidad (aseos, vestuarios). En el ámbito laboral, la videovigilancia con fines de control es lícita informando previamente a los trabajadores, sin que sea válido el control oculto salvo flagrancia de un ilícito grave.

El ciudadano cuenta con una doble vía: puede reclamar ante la AEPD (art. 77 RGPD y arts. 63 y ss. LOPDGDD), que debe pronunciarse, y puede acudir a la tutela judicial. Frente al responsable puede además reclamar la indemnización de los daños materiales o inmateriales sufridos (art. 82 RGPD).

El régimen sancionador del RGPD es su instrumento más disuasorio. El artículo 83 fija dos tramos de multa administrativa:

• Hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial (la mayor de las dos): infracciones de las obligaciones del responsable y encargado (registro, seguridad, DPD, notificación de brechas: arts. 8, 11, 25-39, 42-43).
• Hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial (la mayor): infracciones de los principios y las bases del tratamiento (arts. 5, 6, 7 y 9), de los derechos de las personas (arts. 12-22) y de las reglas de transferencias internacionales.

La LOPDGDD (arts. 70-78) clasifica las infracciones en muy graves, graves y leves a efectos de prescripción y las anuda a esos topes del RGPD. Un matiz español importante: la Agencia, tratándose de Administraciones públicas, no impone multa sino que dicta apercibimiento y las medidas oportunas, dando cuenta al órgano correspondiente.

10. Los derechos digitales (Título X de la LOPDGDD)

La gran aportación propia de la ley española es el Título X (arts. 79 a 97), que traslada los derechos fundamentales al entorno de Internet. Su art. 79 sienta la premisa: los derechos consagrados en la Constitución y los tratados son plenamente aplicables en Internet. A partir de ahí despliega un catálogo que conviene conocer por bloques.

Derechos de acceso y ciudadanía digital: el derecho a la neutralidad de la red (art. 80: oferta sin discriminación técnica o económica), el derecho de acceso universal a Internet (art. 81: acceso asequible, de calidad y no discriminatorio, atendiendo a la brecha de género, generacional y rural), el derecho a la seguridad digital (art. 82) y el derecho a la educación digital (art. 83). Este último tiene un apartado revelador para el opositor: el art. 83.4 obliga a las Administraciones a incluir la protección de datos y los derechos digitales en los temarios de las pruebas de acceso a los cuerpos que traten datos personales —de ahí que este mismo tema figure en tu programa—.

Protección del honor y de los menores: la protección de los menores en Internet (art. 84, con intervención del Ministerio Fiscal frente a intromisiones), el derecho de rectificación en Internet (art. 85) y el derecho a la actualización de informaciones en medios digitales (art. 86: un aviso visible cuando una noticia antigua —por ejemplo, sobre una causa judicial luego archivada— ya no refleja la situación actual).

Derechos digitales en el ámbito laboral (arts. 87 a 91), los más preguntados por afectar al empleado público: el derecho a la intimidad en el uso de los dispositivos digitales que facilita el empleador (art. 87: este solo accede a su contenido para controlar el cumplimiento laboral y con criterios previamente fijados con los representantes); el derecho a la desconexión digital fuera de la jornada (art. 88, que preserva el descanso y la conciliación, con una política interna de la empresa); el derecho a la intimidad frente a la videovigilancia y la grabación de sonidos en el trabajo (art. 89: nunca en aseos, vestuarios o comedores; el sonido solo por riesgos relevantes y con proporcionalidad); el derecho a la intimidad frente a la geolocalización (art. 90, con información previa expresa); y las garantías adicionales por convenio colectivo (art. 91). La LO 3/2018 introdujo, por su disposición final, el art. 20 bis del Estatuto de los Trabajadores, que remite a estos derechos.

Derecho al olvido, portabilidad y testamento digital: el derecho al olvido en las búsquedas de Internet (art. 93: retirar de los resultados obtenidos por el nombre los enlaces inadecuados, inexactos o excesivos, aunque la fuente original sea lícita) y en las redes sociales (art. 94: supresión a simple solicitud de lo que uno publicó, y con especial protección de lo facilitado siendo menor); el derecho de portabilidad entre redes sociales (art. 95); y el derecho al testamento digital (art. 96: los herederos o las personas vinculadas pueden acceder a los contenidos del fallecido y decidir sobre sus perfiles, salvo que este lo hubiera prohibido). Cierra el Título el art. 97, que ordena al Gobierno un Plan de Acceso a Internet y un plan para el uso responsable por los menores.

11. Protección de datos en las Administraciones públicas y la Seguridad Social

Este tema no es teoría abstracta para un administrativo de la Seguridad Social: la TGSS, el INSS y el ISM tratan a diario datos de millones de ciudadanos, muchos de ellos de categoría especial (datos de salud en las prestaciones de incapacidad, datos de afiliación en la relación laboral). Algunas claves específicas del sector público:

• La base jurídica de los tratamientos administrativos es, casi siempre, el cumplimiento de una obligación legal (art. 6.1.c) o el ejercicio de poderes públicos / misión de interés público (art. 6.1.e), anclados en una norma con rango de ley (art. 8 LOPDGDD). El ciudadano no consiente: la Administración trata sus datos porque la ley se lo impone o le atribuye la potestad.
• Las comunicaciones de datos entre Administraciones requieren base jurídica; la interoperabilidad y el principio de "no aportación de documentos" (art. 28 de la Ley 39/2015) descansan en habilitaciones legales que permiten a la Administración recabar datos que ya obran en poder de otra, salvo oposición del interesado cuando proceda.
• El DPD es obligatorio en todo organismo público (art. 37 RGPD), incluidas las entidades gestoras y servicios comunes de la Seguridad Social.
• A las Administraciones la AEPD no les impone multa: dicta apercibimiento y ordena medidas, dando cuenta al órgano competente y, en su caso, al Defensor del Pueblo (arts. 77 LOPDGDD).
• Los tratamientos con fines policiales y penales quedan fuera del RGPD y se rigen por la LO 7/2021, que traspuso la Directiva 2016/680.

11.1. La frontera con la transparencia (Ley 19/2013)

Un punto que el examen confunde a propósito: protección de datos y transparencia son dos derechos en tensión. El derecho de acceso a la información pública de la Ley 19/2013 permite a cualquiera pedir información en poder de la Administración; pero cuando esa información contiene datos personales, hay que ponderar. La regla del art. 15 de la Ley 19/2013: si se trata de datos de categorías especiales (ideología, salud…), el acceso exige, por regla, el consentimiento del afectado; si son datos meramente identificativos relacionados con la organización, el acceso se concede; en los demás casos, se pondera el interés público en la divulgación frente a los derechos del afectado. No confundir, por tanto, el derecho de acceso del art. 15 RGPD (acceder a mis datos) con el derecho de acceso a la información pública de la Ley 19/2013 (acceder a información de la Administración).

12. Esquema de repaso

Bloque	Clave que cae en el examen
Marco	Art. 18.4 CE + STC 292/2000 (derecho autónomo); RGPD (Reg. UE 2016/679, aplicación directa 25-may-2018) + LOPDGDD (LO 3/2018)
Ámbito	No protege personas jurídicas ni fallecidos; seudonimizado sí es dato, anonimizado no
Principios (art. 5)	Licitud/lealtad/transparencia · limitación de finalidad · minimización · exactitud · limitación del plazo · integridad y confidencialidad + responsabilidad proactiva (5.2)
Bases (art. 6)	Consentimiento · contrato · obligación legal · interés vital · misión pública/poderes públicos · interés legítimo (este NO lo usa la Administración)
Consentimiento	Libre, específico, informado, inequívoco; retirable como se dio; menor: 16 UE / 14 España
Categorías especiales (art. 9)	Prohibidas salvo excepciones; incluyen ideología, religión, salud, biométricos, vida sexual
Derechos	Información (13-14) · acceso (15) · rectificación (16) · supresión/olvido (17) · limitación (18) · portabilidad (20) · oposición (21) · decisiones automatizadas (22)
Ejercicio (art. 12)	Plazo 1 mes + 2 de prórroga; gratuito; representante; menores de 14 por sus padres
Proactiva	Diseño y por defecto (25) · RAT (30) · seguridad (32) · brechas 72 h (33-34) · EIPD (35) · DPD (37-39, obligatorio en el sector público)
Tratamientos LOPDGDD	Morosidad (art. 20): deuda cierta/vencida/exigible, bloqueo 30 días, máx. 5 años · listas Robinson (23) · canal de denuncias (24, Ley 2/2023) · datos profesionales (19)
Garantías	AEPD (autoridad independiente, se relaciona por Justicia); reclamación (77) e indemnización (82); multas 10M/2 % y 20M/4 % (art. 83); a las AAPP, apercibimiento
AEPD (composición)	Presidencia + Adjunto; ratificados por el Congreso por 3/5; mandato 5 años renovable; recurso ante la Audiencia Nacional
Derechos digitales	Título X (79-97): neutralidad, acceso universal, educación (83.4 → por eso este tema); laboral: desconexión (88), dispositivos (87), videovigilancia (89), geolocalización (90); olvido (93-94), portabilidad (95), testamento digital (96)