Tema desarrollado para preparar el examen de conocimientos de la Escala de Cabos y Guardias (100 preguntas de test). La información es orientativa y está verificada a fecha de actualización: el contenido evaluable lo fija el temario oficial de tu convocatoria (Resolución de 26 de junio de 2019, modificada por la de 3 de octubre de 2022). Las citas remiten al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Índice

• 0. Introducción: los datos como materia sensible en el servicio
• 1. El derecho fundamental a la protección de datos
  • 1.1. Del artículo 18.4 CE a la autodeterminación informativa
  • 1.2. Protección de datos e intimidad: no son lo mismo
  • 1.3. El marco normativo: RGPD, LOPDGDD y régimen policial
• 2. Conceptos básicos (art. 4 RGPD)
• 3. Los principios del tratamiento (art. 5 RGPD)
• 4. Licitud del tratamiento y consentimiento
  • 4.1. Las bases jurídicas (art. 6)
  • 4.2. El consentimiento y los menores
  • 4.3. Categorías especiales y datos penales
• 5. Los derechos de las personas
• 6. Obligaciones del responsable y el delegado de protección de datos
• 7. La Agencia Española de Protección de Datos y el régimen sancionador
• 8. Protección de datos y Guardia Civil
  • 8.1. El tratamiento con fines policiales (LO 7/2021)
  • 8.2. La videovigilancia por las Fuerzas y Cuerpos de Seguridad
• 9. Los derechos digitales (Título X LOPDGDD)
• 10. Ideas fuerza para el test

0. Introducción: los datos como materia sensible en el servicio

Un guardia civil maneja datos personales continuamente: identifica a personas, consulta bases de datos policiales, graba con cámaras, instruye atestados que contienen nombres, domicilios, antecedentes y datos de salud. Toda esa información está protegida por un derecho fundamental, y su uso indebido —una consulta sin causa a una base de datos, una cesión no autorizada, la difusión de imágenes— puede constituir una infracción grave e incluso un delito. Por eso el tribunal incluye este tema: no basta con saber qué es un dato personal, hay que conocer los principios, los derechos del ciudadano y las reglas específicas que rigen el tratamiento policial.

El bloque tiene una rentabilidad alta en el test porque casi todo se resuelve con plazos, artículos y definiciones: el plazo de un mes para atender un derecho, las 72 horas para notificar una brecha, la edad de 14 años para el consentimiento del menor, o las cuantías del régimen sancionador. Vamos de lo general (el derecho fundamental y su marco) a lo concreto (los datos policiales y la videovigilancia de la Guardia Civil).

1. El derecho fundamental a la protección de datos

1.1. Del artículo 18.4 CE a la autodeterminación informativa

El artículo 18.4 de la Constitución dispone que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. De este precepto, redactado en 1978 pensando en la incipiente informática, el Tribunal Constitucional dedujo un derecho fundamental autónomo. La STC 292/2000 lo consagró como el derecho a la protección de datos o de autodeterminación informativa: el poder de disposición y control que toda persona tiene sobre sus datos personales, sobre su uso y su destino, para evitar un tráfico ilícito o lesivo de los mismos. Su contenido esencial se concreta en la facultad de consentir la recogida y el uso de los datos y de saber quién los tiene y para qué.

1.2. Protección de datos e intimidad: no son lo mismo

Aunque están relacionados, son derechos distintos. La intimidad (art. 18.1 CE) protege un ámbito reservado frente a intromisiones ajenas: excluye del conocimiento de terceros lo que pertenece a la esfera privada. La protección de datos es más amplia: no se limita a los datos íntimos o sensibles, sino que alcanza a cualquier dato personal (el nombre, el teléfono, la matrícula), aunque sea público o inocuo, y no busca solo excluir a terceros, sino controlar el flujo de la información. Se puede vulnerar la protección de datos sin invadir la intimidad (por ejemplo, tratando sin base legal un dato no íntimo).

1.3. El marco normativo: RGPD, LOPDGDD y régimen policial

Hoy la materia se rige por tres bloques normativos que hay que distinguir:

• El Reglamento General de Protección de Datos —Reglamento (UE) 2016/679, RGPD—, aplicable directamente en toda la Unión desde el 25 de mayo de 2018. Es la norma nuclear.
• La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el RGPD al ordenamiento español y añade los derechos digitales.
• El régimen especial de los tratamientos policiales: la Ley Orgánica 7/2021, de 26 de mayo, que transpone la Directiva (UE) 2016/680 y regula el tratamiento de datos con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales. El RGPD no se aplica directamente a esos tratamientos, que tienen sus propias reglas.

Conviene recordar la evolución histórica de la normativa española, porque el tribunal a veces pregunta por las leyes derogadas. La primera fue la LORTAD (Ley Orgánica 5/1992, de regulación del tratamiento automatizado de datos de carácter personal). La sustituyó la LOPD (Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal), desarrollada por el Reglamento del RD 1720/2007, que giraba en torno a la declaración de ficheros ante la Agencia y a un sistema de niveles de seguridad. Ambas están derogadas: desde 2018, el modelo cambió de raíz con el RGPD y la LOPDGDD, que abandonan la inscripción previa de ficheros y la sustituyen por la responsabilidad proactiva del responsable, que debe cumplir y poder demostrarlo. Es un error frecuente citar la LOPD de 1999 como norma vigente: hoy la ley española es la LO 3/2018.

2. Conceptos básicos (art. 4 RGPD)

El art. 4 RGPD define los términos que hay que dominar:

• Dato personal: toda información sobre una persona física identificada o identificable (directa o indirectamente, por un nombre, un número de identificación, datos de localización, un identificador en línea, etc.). No protege a las personas jurídicas ni a los fallecidos (aunque la LOPDGDD prevé reglas propias para los datos de personas fallecidas).
• Tratamiento: cualquier operación sobre datos —recogida, registro, conservación, consulta, modificación, cesión, supresión—, automatizada o no.
• Responsable del tratamiento: quien determina los fines y los medios del tratamiento.
• Encargado del tratamiento: quien trata datos por cuenta del responsable.
• Interesado o afectado: la persona física titular de los datos.
• Seudonimización: tratar los datos de modo que no puedan atribuirse a una persona sin información adicional guardada por separado.
• Elaboración de perfiles: tratamiento automatizado para evaluar aspectos personales (rendimiento, comportamiento, ubicación).
• Categorías especiales (datos sensibles): origen étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos, biométricos, de salud o de vida u orientación sexual.

Es importante fijar bien la diferencia entre responsable y encargado, porque el examen la explota. El responsable es quien decide el para qué y el cómo del tratamiento: en una investigación, la propia Guardia Civil como parte de la Administración. El encargado se limita a tratar los datos por cuenta del responsable y siguiendo sus instrucciones, por ejemplo la empresa que aloja un sistema informático. La relación entre ambos debe formalizarse en un contrato de encargo (art. 28 RGPD) que fije el objeto, la duración, la finalidad, las categorías de datos y las obligaciones de seguridad. El encargado no puede destinar los datos a fines propios ni subcontratar sin autorización. Entender esta cadena es esencial para saber quién responde cuando algo falla.

3. Los principios del tratamiento (art. 5 RGPD)

El art. 5 RGPD enuncia los principios que deben presidir todo tratamiento; caen mucho en el test:

• Licitud, lealtad y transparencia: los datos se tratan de manera lícita, leal y transparente para el interesado.
• Limitación de la finalidad: se recogen con fines determinados, explícitos y legítimos, y no se tratan de manera incompatible con ellos.
• Minimización de datos: solo los adecuados, pertinentes y limitados a lo necesario para el fin.
• Exactitud: exactos y actualizados; se suprimen o rectifican los inexactos (art. 4 LOPDGDD).
• Limitación del plazo de conservación: se mantienen no más tiempo del necesario para los fines del tratamiento.
• Integridad y confidencialidad: se garantiza su seguridad frente a tratamientos no autorizados, pérdida o daño, con medidas técnicas y organizativas.
• Responsabilidad proactiva (accountability): el responsable debe poder demostrar el cumplimiento de todos los principios anteriores.

Conviene bajar estos principios a ejemplos concretos del servicio, porque así se retienen mejor. La limitación de la finalidad impide que unos datos recogidos para tramitar una denuncia de tráfico se usen después para un fin distinto e incompatible. La minimización obliga a pedir solo lo imprescindible: si para una gestión basta el DNI, no se recaba también la profesión o el estado civil. La exactitud exige actualizar y rectificar los datos erróneos, algo crítico en las bases policiales, donde un dato equivocado (una identidad, una requisitoria) puede provocar una detención improcedente. La limitación del plazo de conservación impone borrar o anonimizar los datos cuando dejan de ser necesarios. Y la integridad y confidencialidad obliga a proteger la información con contraseñas, cifrado y control de accesos, de modo que solo consulte los datos quien deba hacerlo por razón del servicio. El principio de responsabilidad proactiva es el más novedoso: ya no basta con cumplir, hay que poder acreditar documentalmente que se cumple.

4. Licitud del tratamiento y consentimiento

4.1. Las bases jurídicas (art. 6)

Todo tratamiento necesita una base de licitud. El art. 6 RGPD enumera seis: (a) el consentimiento del interesado; (b) la ejecución de un contrato; (c) el cumplimiento de una obligación legal; (d) la protección de intereses vitales; (e) el cumplimiento de una misión de interés público o el ejercicio de poderes públicos; y (f) el interés legítimo del responsable, siempre que no prevalezcan los derechos del interesado. Buena parte de la actividad de la Guardia Civil se ampara en las bases (c) y (e): trata datos porque una ley se lo impone o porque ejerce una misión pública de seguridad, sin necesidad del consentimiento del afectado.

4.2. El consentimiento y los menores

El consentimiento (art. 4.11 y art. 7 RGPD) debe ser una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una acción afirmativa clara. No vale el silencio ni las casillas premarcadas, y debe poder retirarse con la misma facilidad con que se otorgó. El art. 6 LOPDGDD exige un acto afirmativo que exprese una voluntad inequívoca. En cuanto a los menores, el art. 7 LOPDGDD fija en 14 años la edad a partir de la cual el menor puede consentir por sí mismo; por debajo, se requiere el consentimiento de los titulares de la patria potestad o tutela.

4.3. Categorías especiales y datos penales

El art. 9 RGPD prohíbe con carácter general tratar categorías especiales de datos (los datos sensibles antes citados), salvo que concurra alguna excepción tasada: consentimiento explícito, obligaciones en materia laboral, interés público esencial, fines de salud, etc. Los datos de naturaleza penal —relativos a condenas e infracciones— tienen un régimen reforzado: el art. 10 RGPD y el art. 10 LOPDGDD reservan su tratamiento a las autoridades públicas competentes y a los supuestos amparados por una norma con rango de ley. Esto conecta directamente con los ficheros policiales de la Guardia Civil.

5. Los derechos de las personas

El RGPD reconoce a los interesados un catálogo de derechos, cuyo ejercicio se rige por el principio de transparencia (art. 12): el responsable debe facilitar la información de forma concisa y gratuita, y atender la solicitud sin dilación indebida y, a más tardar, en el plazo de un mes (prorrogable otros dos si es compleja). Los derechos son:

• Derecho de información (arts. 13 y 14): saber quién trata los datos, con qué fin y base, y durante cuánto tiempo, tanto si los datos se obtienen del propio interesado como de terceros.
• Derecho de acceso (art. 15): obtener confirmación de si se tratan sus datos y una copia de ellos.
• Derecho de rectificación (art. 16): corregir los datos inexactos o incompletos.
• Derecho de supresión o «al olvido» (art. 17): obtener la eliminación de los datos cuando ya no sean necesarios, se retire el consentimiento o el tratamiento sea ilícito.
• Derecho a la limitación del tratamiento (art. 18): que se marquen los datos para restringir su tratamiento futuro.
• Derecho a la portabilidad (art. 20): recibir los datos en un formato estructurado y transmitirlos a otro responsable.
• Derecho de oposición (art. 21): oponerse al tratamiento por motivos relativos a su situación particular.
• Decisiones individuales automatizadas (art. 22): no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos.

La regla mnemotécnica clásica hablaba de derechos ARCO (Acceso, Rectificación, Cancelación y Oposición); con el RGPD se amplían y se resumen a veces como derechos ARSULIPO (Acceso, Rectificación, Supresión, Limitación, Portabilidad y Oposición).

En cuanto a su ejercicio, estos derechos son personalísimos: los ejerce el propio interesado (o su representante debidamente acreditado) directamente ante el responsable del tratamiento, que debe facilitar medios sencillos y gratuitos para hacerlo (art. 12 RGPD). La solicitud es, por regla general, gratuita; solo cuando sea manifiestamente infundada o excesiva —por repetitiva— cabe cobrar un canon razonable o negarse a actuar. El responsable puede pedir que el solicitante acredite su identidad para evitar que un tercero acceda a datos ajenos. Si el responsable no atiende la solicitud o el interesado no queda conforme con la respuesta, puede presentar una reclamación ante la Agencia Española de Protección de Datos, sin perjuicio de acudir después a la vía judicial. La LOPDGDD regula además un procedimiento previo de traslado al delegado de protección de datos antes de la reclamación, con el fin de resolver los conflictos con agilidad.

6. Obligaciones del responsable y el delegado de protección de datos

El RGPD sustituye el antiguo control previo por un modelo de responsabilidad proactiva. Antes de repasar las obligaciones, conviene destacar el deber de confidencialidad del art. 5 LOPDGDD: los responsables, los encargados y todas las personas que intervengan en cualquier fase del tratamiento están obligados a guardar confidencialidad, deber que subsiste aun después de finalizar sus relaciones con el responsable. Para un guardia civil esto significa que el secreto sobre los datos a los que accede en el servicio no caduca al terminar el turno ni al pasar a otro destino. Las principales obligaciones del responsable son:

• Protección de datos desde el diseño y por defecto (art. 25): incorporar las garantías desde la concepción del tratamiento y tratar solo los datos necesarios.
• Registro de las actividades de tratamiento (art. 30): documentar los tratamientos que se realizan.
• Seguridad del tratamiento (art. 32): aplicar medidas técnicas y organizativas apropiadas al riesgo (seudonimización, cifrado, disponibilidad, resiliencia).
• Evaluación de impacto (art. 35): cuando un tratamiento entrañe un alto riesgo para los derechos y libertades.
• Notificación de brechas de seguridad: comunicar la violación de la seguridad a la autoridad de control sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas (art. 33); y comunicarla al interesado cuando entrañe un alto riesgo para sus derechos (art. 34).

El delegado de protección de datos (DPO) (arts. 37 a 39 RGPD) es una figura clave: informa y asesora, supervisa el cumplimiento y coopera con la autoridad de control como punto de contacto. Su designación es obligatoria, entre otros casos, cuando el tratamiento lo realiza una autoridad u organismo público —como la Administración de la que forma parte la Guardia Civil—, cuando las actividades principales requieran una observación habitual y sistemática a gran escala, o cuando se traten categorías especiales a gran escala.

Un capítulo específico son las transferencias internacionales de datos (capítulo V del RGPD). Como regla, solo pueden transferirse datos a países fuera del Espacio Económico Europeo si ofrecen un nivel de protección adecuado, reconocido mediante una decisión de adecuación de la Comisión Europea; en su defecto, deben aportarse garantías adecuadas (cláusulas contractuales tipo, normas corporativas vinculantes) o concurrir alguna de las excepciones tasadas (consentimiento explícito, interés público importante, ejercicio de acciones judiciales). Esta materia es relevante para la Guardia Civil porque la cooperación policial internacional implica intercambios de datos con autoridades de otros Estados, que se canalizan por instrumentos específicos y con las cautelas de la LO 7/2021.

7. La Agencia Española de Protección de Datos y el régimen sancionador

La Agencia Española de Protección de Datos (AEPD) es la autoridad de control independiente en España. Se configura como una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia y plena capacidad, que actúa con independencia de los poderes públicos en el ejercicio de sus funciones. Existen además autoridades autonómicas de control en algunas Comunidades Autónomas (por ejemplo, en Cataluña y el País Vasco), competentes para los tratamientos de sus respectivas Administraciones. Entre las funciones de la AEPD destacan: velar por el cumplimiento de la normativa y aplicarla; promover la sensibilización del público y de los responsables; atender las reclamaciones de los interesados e investigarlas; asesorar sobre las medidas legislativas y administrativas; llevar a cabo investigaciones e inspecciones; y ejercer la potestad sancionadora. Dicta, asimismo, directrices, guías y listas de tratamientos que requieren evaluación de impacto.

Cualquier ciudadano que considere que un tratamiento de sus datos vulnera la normativa puede presentar una reclamación ante la AEPD. La Agencia puede archivarla, admitirla a trámite, ordenar medidas correctoras o incoar un procedimiento sancionador. Sus resoluciones ponen fin a la vía administrativa y son recurribles ante la Audiencia Nacional (jurisdicción contencioso-administrativa). Esta posibilidad de reclamar gratuitamente ante un órgano independiente es una de las garantías más eficaces del derecho fundamental a la protección de datos.

El régimen sancionador es especialmente severo. El art. 83 RGPD prevé multas administrativas de hasta 10 millones de euros o el 2% del volumen de negocio anual global para las infracciones menos graves, y de hasta 20 millones de euros o el 4% del volumen de negocio anual global (la cuantía que sea mayor) para las más graves. La LOPDGDD clasifica las infracciones en muy graves, graves y leves (arts. 72 a 74) y regula su prescripción. En el ámbito del sector público, la AEPD no impone multa, sino que puede apercibir y proponer medidas correctoras a la Administración infractora.

8. Protección de datos y Guardia Civil

8.1. El tratamiento con fines policiales (LO 7/2021)

Los tratamientos que la Guardia Civil realiza para prevenir, detectar, investigar y enjuiciar infracciones penales o ejecutar sanciones penales no se rigen por el RGPD, sino por la Ley Orgánica 7/2021, de 26 de mayo, que transpone la Directiva (UE) 2016/680. Sus rasgos:

• Permite tratar datos, incluso categorías especiales, cuando sea estrictamente necesario para el fin policial y con las garantías adecuadas, sin necesidad de consentimiento del afectado.
• Impone distinguir en lo posible entre las distintas categorías de interesados (sospechosos, condenados, víctimas, testigos) y diferenciar los datos basados en hechos de los basados en apreciaciones.
• Somete estos tratamientos al control de la AEPD y reconoce a los ciudadanos sus derechos, que pueden limitarse motivadamente cuando su ejercicio ponga en riesgo una investigación.
• Los ficheros y bases de datos policiales deben estar amparados por esta ley; el acceso a ellos por el guardia civil exige una causa relacionada con el servicio: consultar datos por curiosidad o para fines particulares es una infracción grave y puede ser delito de descubrimiento y revelación de secretos.

La actividad policial se apoya en bases de datos nacionales e internacionales cuyo uso está sometido a controles estrictos. En el plano europeo, el Sistema de Información de Schengen (SIS) permite introducir y consultar descripciones sobre personas y objetos (personas buscadas, no admisibles, objetos sustraídos), con las oficinas SIRENE como punto de intercambio de información complementaria. La cooperación policial también se canaliza a través de Europol (Agencia de la Unión Europea para la Cooperación Policial) y de INTERPOL en el ámbito mundial. Todos estos intercambios trasladan datos personales sensibles y, por ello, cada acceso debe quedar registrado y ser trazable: la ley exige poder saber quién consultó qué dato, cuándo y con qué motivo. La grabación de estas trazas es una garantía tanto para el ciudadano como para el propio agente, que puede acreditar la legitimidad de su actuación.

En sus relaciones con otras Administraciones y con la autoridad judicial, la Guardia Civil cede y recibe datos constantemente: comunica al juzgado el resultado de una investigación, facilita datos a otra Fuerza y Cuerpo de Seguridad o los recibe de organismos como la Agencia Tributaria o la Seguridad Social cuando una ley lo ampara. Estas cesiones o comunicaciones de datos solo son lícitas si existe una base legal —normalmente el cumplimiento de una obligación legal o el interés público— y respetan el principio de proporcionalidad: se comunica lo necesario para el fin perseguido, y no más.

8.2. La videovigilancia por las Fuerzas y Cuerpos de Seguridad

La grabación de imágenes y sonidos por las Fuerzas y Cuerpos de Seguridad en lugares públicos se rige por la Ley Orgánica 4/1997, de 4 de agosto, y su reglamento. Requiere, por regla general, autorización administrativa (previo informe de una comisión), respeto a los principios de idoneidad y proporcionalidad (mínima intervención) y plazos tasados de conservación de las grabaciones (con carácter general, un mes desde su captación, salvo que se relacionen con infracciones). Con carácter general, la LOPDGDD (art. 22) regula la videovigilancia por particulares y otras entidades: permite captar la vía pública en la medida imprescindible para vigilar aparcamientos o instalaciones, con deber de informar mediante el dispositivo o cartel informativo, y conservación limitada a un mes. Para el guardia civil, esto es doblemente relevante: por un lado usa cámaras en el servicio; por otro, con frecuencia solicita a comercios y particulares las grabaciones de sus sistemas para investigar hechos delictivos.

A los sistemas fijos se han sumado medios nuevos que plantean cuestiones de protección de datos: las cámaras corporales que portan los agentes, los sistemas de lectura automática de matrículas y las aeronaves pilotadas por control remoto (drones o RPAS). Todos ellos captan datos personales —imágenes, matrículas, ubicaciones— y su empleo debe ajustarse a los principios de necesidad y proporcionalidad: se activan cuando la intervención lo justifica, se informa en la medida de lo posible, se limita la conservación de las grabaciones y se protege su acceso. La Agencia Española de Protección de Datos ha publicado directrices sobre el uso policial de estos dispositivos. La regla de oro para el agente es sencilla: se graba y se consulta lo imprescindible para el servicio, se conserva el tiempo estrictamente necesario y no se difunde ni se usa para fines ajenos. El incumplimiento no solo genera responsabilidad disciplinaria, sino que puede invalidar la prueba obtenida y frustrar la investigación.

9. Los derechos digitales (Título X LOPDGDD)

La gran novedad de la LOPDGDD frente al RGPD es el Título X, que reconoce un catálogo de derechos digitales (arts. 79 a 97). Entre ellos: el derecho a la neutralidad de Internet, el derecho de acceso universal a Internet, el derecho a la seguridad y a la educación digital, el derecho a la desconexión digital en el ámbito laboral, el derecho a la intimidad frente al uso de dispositivos de videovigilancia y de geolocalización en el trabajo, el derecho a la rectificación en Internet y el derecho al testamento digital (disponer del destino de los datos y contenidos tras el fallecimiento). Aunque no todos caen con frecuencia en el test de Guardia Civil, conviene retener que la desconexión digital y el testamento digital son creaciones propias de la ley española.

10. Ideas fuerza para el test

• El derecho a la protección de datos nace del art. 18.4 CE y lo consagra como derecho autónomo la STC 292/2000 (autodeterminación informativa). Es distinto y más amplio que la intimidad.
• Marco: RGPD (Reglamento (UE) 2016/679, aplicable desde el 25 de mayo de 2018) + LOPDGDD (LO 3/2018) + régimen policial LO 7/2021 (Directiva 2016/680).
• Dato personal = información de persona física identificada o identificable. No protege personas jurídicas ni fallecidos.
• Principios del art. 5: licitud/lealtad/transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo, integridad y confidencialidad, y responsabilidad proactiva.
• El consentimiento ha de ser libre, específico, informado e inequívoco, y revocable. Los menores pueden consentir desde los 14 años (art. 7 LOPDGDD).
• Derechos: información, acceso, rectificación, supresión (olvido), limitación, portabilidad y oposición. Plazo general de respuesta: un mes (art. 12).
• Brecha de seguridad: notificación a la autoridad en 72 horas (art. 33) y al interesado si hay alto riesgo (art. 34).
• El DPO es obligatorio en las autoridades y organismos públicos (art. 37).
• Autoridad de control: la AEPD. Multas de hasta 20 millones o el 4% del volumen de negocio (art. 83); en el sector público, apercibimiento.
• Los datos con fines policiales se rigen por la LO 7/2021: acceso solo con causa del servicio; la videovigilancia por las FCS, por la LO 4/1997.