Protección de datos de carácter personal

Tema desarrollado para preparar el primer ejercicio de conocimientos de la Escala Ejecutiva (Inspector/a) de la Policía Nacional. La información es orientativa y está verificada a la fecha de actualización frente al BOE y al Diario Oficial de la Unión Europea. Los artículos de la Ley Orgánica 3/2018 se reproducen literalmente del texto consolidado (BOE-A-2018-16673); el Reglamento (UE) 2016/679 y la Ley Orgánica 7/2021 se describen con rigor, sin entrecomillarse como cita literal. El contenido evaluable lo fija el temario del anexo II de tu convocatoria (Resolución de 31 de julio de 2025, BOE-A-2025-16611).

Índice

• 0. Introducción: la protección de datos como derecho fundamental
• 1. El Reglamento General de Protección de Datos (RGPD)
  • 1.1. Objeto, ámbito de aplicación y conceptos
  • 1.2. Los principios del tratamiento (art. 5 RGPD)
  • 1.3. Licitud del tratamiento y categorías especiales
  • 1.4. Los derechos del interesado
  • 1.5. Responsable, encargado y obligaciones
  • 1.6. La AEPD y el régimen sancionador
• 2. La Ley Orgánica 3/2018 (LOPDGDD)
  • 2.1. Objeto, principios y reglas propias
  • 2.2. Los derechos en la LOPDGDD (arts. 11-18)
  • 2.3. El Delegado de Protección de Datos y la AEPD
  • 2.4. La garantía de los derechos digitales (Título X)
• 3. La Ley Orgánica 7/2021 (ámbito policial y penal)
• 4. Aplicación a la Policía Nacional
• Ideas fuerza para el test

0. Introducción: la protección de datos como derecho fundamental

La protección de datos de carácter personal es hoy un derecho fundamental autónomo. Su anclaje constitucional está en el artículo 18.4 de la Constitución, que ordena a la ley limitar el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. El Tribunal Constitucional, en su célebre STC 292/2000, configuró un derecho fundamental propio y distinto del derecho a la intimidad: el derecho a la protección de datos o a la autodeterminación informativa, que otorga a la persona el poder de control sobre sus datos personales, sobre su uso y su destino, para impedir su tráfico ilícito y lesivo para la dignidad. En el plano europeo, el derecho se reconoce en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16 del Tratado de Funcionamiento de la UE.

El marco normativo vigente se articula en tres normas capitales que el tema exige dominar: el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD), directamente aplicable en toda la Unión; la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el ordenamiento español al Reglamento; y la Ley Orgánica 7/2021, de 26 de mayo, que traspone la Directiva (UE) 2016/680 y regula el tratamiento de datos por las autoridades competentes con fines penales y de seguridad, de gran relevancia para la Policía Nacional. La propia LO 3/2018 declara su objeto en el art. 1:

«La presente ley orgánica tiene por objeto:
a) Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016 [...] y completar sus disposiciones.
El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica.
b) Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.» (art. 1 LO 3/2018)

El reconocimiento de este derecho ha sido progresivo. La primera regulación española fue la Ley Orgánica 5/1992 (LORTAD), sustituida por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). El salto cualitativo llegó con el RGPD, que armonizó la materia en toda la Unión y desplazó el modelo basado en la inscripción previa de ficheros hacia un modelo de responsabilidad activa y de gestión del riesgo. La LOPDGDD de 2018 vino a sustituir a la antigua LOPD de 1999. Conviene, pues, no confundir la vigente LO 3/2018 con la derogada LO 15/1999: citar la LO 15/1999 como norma en vigor es un error clásico de examen.

1. El Reglamento General de Protección de Datos (RGPD)

1.1. Objeto, ámbito de aplicación y conceptos

El RGPD es el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, por el que se deroga la Directiva 95/46/CE. Aunque se aprobó en 2016, es directamente aplicable desde el 25 de mayo de 2018. Como reglamento europeo, no precisa de transposición y garantiza un régimen homogéneo en toda la Unión, sin perjuicio de los numerosos márgenes de desarrollo nacional que él mismo prevé y que en España cubre la LO 3/2018.

Su ámbito de aplicación material comprende el tratamiento de datos total o parcialmente automatizado y el tratamiento no automatizado de datos contenidos o destinados a un fichero. Quedan excluidos, entre otros, los tratamientos realizados por una persona física en el ejercicio de actividades exclusivamente personales o domésticas y los efectuados por las autoridades con fines penales (regidos por la Directiva 2016/680 y la LO 7/2021). El ámbito territorial combina el criterio del establecimiento del responsable o encargado en la Unión y el criterio de destino: alcanza a responsables no establecidos en la UE que ofrezcan bienes o servicios a interesados de la Unión o controlen su comportamiento.

Conviene fijar los conceptos del artículo 4 del Reglamento: dato personal es toda información sobre una persona física identificada o identificable; tratamiento es cualquier operación sobre datos (recogida, registro, conservación, consulta, cesión, supresión, etc.); el responsable del tratamiento es quien determina los fines y medios; el encargado es quien trata datos por cuenta del responsable; el interesado o afectado es la persona física titular de los datos; y la seudonimización es el tratamiento que impide atribuir los datos a un interesado sin información adicional guardada por separado. El Reglamento perfila además los corresponsables (que determinan conjuntamente fines y medios), el destinatario, el tercero y la propia autoridad de control. Es capital distinguir el dato seudonimizado —que sigue siendo dato personal, porque puede reidentificarse— del dato anónimo, que queda fuera del ámbito de la normativa de protección de datos.

1.2. Los principios del tratamiento (art. 5 RGPD)

El artículo 5 del RGPD enuncia los principios que rigen todo tratamiento, cuyo dominio es imprescindible para el test:

• Licitud, lealtad y transparencia: los datos se tratan de manera lícita, leal y transparente para el interesado.
• Limitación de la finalidad: se recogen con fines determinados, explícitos y legítimos y no se tratan ulteriormente de manera incompatible con ellos.
• Minimización de datos: serán adecuados, pertinentes y limitados a lo necesario en relación con los fines.
• Exactitud: exactos y, si es preciso, actualizados; se suprimen o rectifican sin dilación los inexactos.
• Limitación del plazo de conservación: se mantienen no más tiempo del necesario para los fines del tratamiento.
• Integridad y confidencialidad: se garantiza una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra la pérdida o el daño accidental.

A estos seis principios se añade, en el apartado 2, el de responsabilidad proactiva (accountability): el responsable no solo debe cumplir, sino estar en condiciones de demostrar el cumplimiento. La LO 3/2018 desarrolla dos de estos principios con reglas propias que sí se citan como literales. El art. 4, sobre exactitud, precisa cuándo la inexactitud no es imputable al responsable:

«1. Conforme al artículo 5.1.d) del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.
2. A los efectos previstos en el artículo 5.1.d) del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales [...] cuando los datos inexactos: a) Hubiesen sido obtenidos por el responsable directamente del afectado. [...] d) Fuesen obtenidos de un registro público por el responsable.» (art. 4 LO 3/2018)

Y el art. 5 desarrolla el deber de confidencialidad, que perdura tras la relación:

«1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
[...] 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.» (art. 5 LO 3/2018)

Este deber de confidencialidad permanente es directamente aplicable al funcionario de policía que accede a bases de datos: la reserva no termina cuando cambia de destino o cesa en el servicio.

Conviene detenerse en el sentido práctico de cada principio. La transparencia se traduce en un deber de información claro y accesible sobre quién trata los datos, con qué finalidad y con qué base jurídica. La limitación de la finalidad impide reutilizar los datos recabados para un fin con otro incompatible, aunque el Reglamento considera compatibles, con garantías, los fines de archivo en interés público, de investigación científica o histórica y estadísticos. La minimización es, en la práctica, el principio más olvidado: obliga a preguntarse, antes de recabar cualquier dato, si es realmente necesario para la finalidad perseguida, y prohíbe la recogida masiva o preventiva de información innecesaria. La limitación del plazo de conservación exige fijar plazos de supresión o de revisión, de modo que los datos no se guarden indefinidamente «por si acaso». Y la integridad y confidencialidad conectan con el enfoque de gestión del riesgo que vertebra el Reglamento: las medidas de seguridad no forman un catálogo cerrado, sino que son las apropiadas a la naturaleza, alcance, contexto y riesgos del tratamiento concreto. En el ámbito policial estos principios cobran una intensidad singular, pues el potencial lesivo de un tratamiento indebido de datos de investigación es muy elevado.

1.3. Licitud del tratamiento y categorías especiales

Para que un tratamiento sea lícito debe ampararse en al menos una de las bases jurídicas del artículo 6 del RGPD: el consentimiento del interesado; la ejecución de un contrato en el que sea parte; el cumplimiento de una obligación legal; la protección de intereses vitales; el cumplimiento de una misión de interés público o el ejercicio de poderes públicos; o la satisfacción de intereses legítimos del responsable o de terceros, salvo que prevalezcan los derechos del interesado. La LO 3/2018 define el consentimiento en su art. 6, remitiéndose al Reglamento:

«1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. [...]
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.» (art. 6 LO 3/2018)

El silencio o las casillas ya marcadas no valen como consentimiento, que puede retirarse en cualquier momento. Un dato muy preguntado es la edad del menor para consentir: el art. 8 del RGPD la fija en 16 años pero permite a los Estados rebajarla, y España la ha situado en 14 años en el art. 7 de la LO 3/2018:

«1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. [...]
2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela [...].» (art. 7 LO 3/2018)

Las categorías especiales de datos (art. 9 RGPD) —origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos dirigidos a identificar de forma unívoca, datos de salud y datos sobre la vida sexual u orientación sexual— tienen su tratamiento prohibido como regla, salvo excepciones tasadas. La LO 3/2018 refuerza esta protección en su art. 9:

«1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.» (art. 9 LO 3/2018)

Adviértase la regla: para estos datos el solo consentimiento no basta cuando la finalidad principal sea identificar tales rasgos. Los datos de naturaleza penal (condenas e infracciones) tienen un régimen singular en el art. 10 de la LO 3/2018, que reserva el registro completo de esos datos al Sistema de registros administrativos de apoyo a la Administración de Justicia, permitiéndolos con carácter general solo bajo control de la autoridad pública o cuando lo autorice una norma con rango de ley.

El consentimiento, cuando sirve de base, debe ser verificable: el responsable ha de poder demostrar que lo obtuvo, y cuando se solicita por escrito junto con otras cuestiones, la petición debe presentarse de forma claramente distinguible (art. 7 RGPD). No es, por tanto, una firma rutinaria, sino una manifestación consciente de la voluntad, revocable en todo momento con la misma facilidad con que se otorgó. Junto al consentimiento, la base más relevante en el ámbito público es el cumplimiento de una obligación legal o el ejercicio de poderes públicos, que la LO 3/2018 acota en su art. 8: solo pueden fundar el tratamiento cuando deriven de «una norma de Derecho de la Unión Europea o una norma con rango de ley» (obligación legal) o de «una competencia atribuida por una norma con rango de ley» (misión de interés público o poderes públicos). Esta exigencia de cobertura legal es la que ampara los tratamientos de la Administración —y, señaladamente, de la Policía— sin necesidad de recabar el consentimiento del interesado.

1.4. Los derechos del interesado

El Capítulo III del RGPD reconoce un catálogo de derechos que el interesado ejerce frente al responsable, quien debe atenderlos en el plazo de un mes (prorrogable otros dos en casos complejos) y, con carácter general, de forma gratuita:

• Derecho de información (arts. 13 y 14 RGPD): sobre datos recabados del propio interesado o de terceros.
• Derecho de acceso (art. 15 RGPD): conocer si se tratan sus datos y obtener una copia.
• Derecho de rectificación (art. 16 RGPD): corregir los datos inexactos o incompletos.
• Derecho de supresión o «al olvido» (art. 17 RGPD): eliminar los datos cuando ya no sean necesarios, se retire el consentimiento, etc.
• Derecho a la limitación del tratamiento (art. 18 RGPD): marcar los datos para restringir su tratamiento futuro.
• Derecho a la portabilidad (art. 20 RGPD): recibir los datos en formato estructurado y transmitirlos a otro responsable.
• Derecho de oposición (art. 21 RGPD): oponerse al tratamiento por motivos de su situación particular, incluida la mercadotecnia directa.
• Decisiones individuales automatizadas (art. 22 RGPD): no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, con efectos jurídicos o significativos.

La LO 3/2018 desarrolla el modo de ejercicio de estos derechos en sus arts. 11 a 18, que se examinan en el apartado 2.2. Si el responsable no atiende la solicitud o lo hace de forma insatisfactoria, el interesado puede presentar una reclamación ante la Agencia Española de Protección de Datos, sin perjuicio de la vía judicial y del derecho a una indemnización por los daños sufridos (art. 82 RGPD).

1.5. Responsable, encargado y obligaciones

El RGPD sustituye el antiguo modelo de inscripción de ficheros por un modelo de responsabilidad proactiva. El responsable debe aplicar medidas técnicas y organizativas apropiadas y estar en condiciones de demostrarlo. Entre sus obligaciones destacan: la protección de datos desde el diseño y por defecto (art. 25 RGPD); el registro de las actividades de tratamiento (art. 30 RGPD); la adopción de medidas de seguridad adecuadas al riesgo (art. 32 RGPD); la notificación de las violaciones de seguridad («brechas») a la autoridad de control sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas (art. 33 RGPD), así como la comunicación al interesado cuando la brecha entrañe un alto riesgo (art. 34 RGPD); la evaluación de impacto relativa a la protección de datos (DPIA, art. 35 RGPD) cuando el tratamiento pueda suponer un alto riesgo, con eventual consulta previa a la autoridad (art. 36 RGPD); y la regulación de la relación con el encargado mediante contrato (art. 28 RGPD). Las transferencias internacionales (Capítulo V RGPD) solo se permiten con decisión de adecuación de la Comisión, garantías adecuadas (cláusulas contractuales tipo, normas corporativas vinculantes) o alguna excepción tasada. El Reglamento fomenta, además, mecanismos de autorregulación: los códigos de conducta (arts. 40-41 RGPD) y los mecanismos de certificación, sellos y marcas (arts. 42-43 RGPD).

Las medidas de seguridad del art. 32 del RGPD se determinan tras un análisis de riesgos y pueden incluir la seudonimización y el cifrado de los datos, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas, la capacidad de restaurar el acceso a los datos tras un incidente físico o técnico y un proceso de verificación y evaluación regular de su eficacia. No se exige un nivel de seguridad uniforme, sino el apropiado al riesgo: cuanto más sensibles sean los datos y mayor el volumen o el impacto potencial, más exigentes serán las medidas. El delegado de protección de datos (DPD) —arts. 37 a 39 del RGPD— asesora, supervisa el cumplimiento y actúa como punto de contacto con la autoridad de control, con plena independencia y sin recibir instrucciones sobre el ejercicio de sus funciones. Su designación es obligatoria para las autoridades y organismos públicos, para los responsables cuya actividad principal implique una observación habitual y sistemática a gran escala y para el tratamiento a gran escala de categorías especiales. Todo este entramado —diseño y defecto, registro, seguridad, brechas, DPIA, DPD y transferencias— materializa el giro copernicano del RGPD: de la autorización y el registro previos de ficheros a la autoevaluación continua y la rendición de cuentas.

1.6. La AEPD y el régimen sancionador

La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD), autoridad administrativa independiente; en algunas comunidades autónomas existen autoridades autonómicas con competencias en su ámbito. El régimen sancionador del RGPD (art. 83) es especialmente severo y establece dos niveles de multas administrativas: hasta 10 000 000 de euros o el 2 % del volumen de negocio total anual global del ejercicio anterior (la cuantía mayor); y hasta 20 000 000 de euros o el 4 % del volumen de negocio para las infracciones más graves. Para graduar la sanción, el art. 83.2 atiende a la naturaleza, gravedad y duración de la infracción, su carácter doloso o negligente, las medidas de mitigación, el grado de cooperación y las categorías de datos afectadas. La AEPD puede imponer, además o en lugar de la multa, otras medidas correctivas del art. 58 RGPD (advertencias, apercibimientos, órdenes de rectificar o suprimir, limitación temporal o definitiva del tratamiento) y coopera con las demás autoridades europeas a través del Comité Europeo de Protección de Datos, garante de la aplicación coherente del Reglamento.

Entre las funciones de la AEPD (art. 57 RGPD y arts. 47 y ss. de la LO 3/2018) figuran promover la sensibilización del público y de los responsables, atender las reclamaciones de los interesados, realizar investigaciones y auditorías, asesorar en la elaboración de normas y llevar la lista de delegados de protección de datos. Cuando un interesado ve desatendida una solicitud de ejercicio de derechos, puede presentar una reclamación de tutela ante la Agencia, que tramita el procedimiento correspondiente; ello no impide acudir a la vía judicial ni reclamar la indemnización por los daños y perjuicios sufridos (art. 82 RGPD), que puede exigirse tanto al responsable como al encargado. La existencia de una autoridad independiente y con potestad sancionadora propia es una de las piezas clave del sistema europeo de protección de datos, y explica la efectividad práctica que ha alcanzado la materia desde 2018.

2. La Ley Orgánica 3/2018 (LOPDGDD)

2.1. Objeto, principios y reglas propias

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) tiene por objeto adaptar el ordenamiento español al RGPD, completarlo en aquello que el Reglamento remite al Derecho nacional y garantizar los derechos digitales de la ciudadanía (art. 1, reproducido en la introducción). Su Título II, «Principios de protección de datos» (arts. 4 a 10), desarrolla la exactitud, la confidencialidad, el consentimiento —general (art. 6) y de menores (art. 7)—, el tratamiento por obligación legal, interés público o ejercicio de poderes públicos (art. 8), las categorías especiales (art. 9) y los datos de naturaleza penal (art. 10). En materia sancionadora, la ley clasifica las infracciones en muy graves, graves y leves, con plazos de prescripción de las infracciones de 3 años (muy graves), 2 años (graves) y 1 año (leves); son ejemplos de infracción muy grave el tratamiento sin base de licitud, el uso con finalidad incompatible, el tratamiento de categorías especiales sin amparo o la transferencia internacional ilícita; y grave, la falta de medidas de seguridad, la ausencia del registro de actividades o la falta de designación del delegado cuando es obligatoria.

Estructuralmente, la LO 3/2018 se ordena en varios títulos: disposiciones generales (Título I), principios de protección de datos (Título II, arts. 4-10), derechos de las personas (Título III, arts. 11-18), disposiciones aplicables a tratamientos concretos (Título IV, con reglas propias sobre los sistemas de información crediticia, la videovigilancia del art. 22), el responsable y el encargado (Título V), las autoridades de protección de datos —la AEPD y las autonómicas— (Títulos VI y VII), el procedimiento en caso de posible vulneración (Título VIII), el régimen sancionador (Título IX) y la garantía de los derechos digitales (Título X). La ley regula también, en su art. 3 (Título I), el tratamiento de los datos de las personas fallecidas, permitiendo a herederos y allegados solicitar el acceso, la rectificación o la supresión, salvo que el fallecido lo hubiera prohibido. Este mapa de títulos es útil para ubicar con rapidez cada institución en el examen.

2.2. Los derechos en la LOPDGDD (arts. 11-18)

El Título III de la ley (arts. 11 a 18) regula el modo de ejercicio de los derechos, complementando los arts. 12 a 22 del RGPD. Las disposiciones generales están en el art. 12:

«1. Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario.
2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. [...]
7. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos [...].» (art. 12 LO 3/2018)

El art. 11 regula la transparencia e información mediante un sistema de información «por capas» (información básica más una dirección de acceso al resto). El art. 13 desarrolla el derecho de acceso; el art. 14, el de rectificación; el art. 15, el de supresión; el art. 16, el de limitación; el art. 17, el de portabilidad; y el art. 18, el de oposición y las decisiones automatizadas. Como muestra de su literalidad, el art. 15 sobre supresión dispone:

«1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.
2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.» (art. 15 LO 3/2018)

La técnica de la ley es, pues, de remisión y complemento: cada derecho se ejerce «de acuerdo con lo establecido» en el artículo correspondiente del RGPD, y la LO 3/2018 añade las especialidades nacionales (representación, gratuidad, acceso remoto, plazos de repetición, etc.).

2.3. El Delegado de Protección de Datos y la AEPD

El Delegado de Protección de Datos (DPD) es una figura clave del sistema. El RGPD (arts. 37 a 39) obliga a designarlo a las autoridades y organismos públicos y a los responsables cuyas actividades principales impliquen una observación habitual y sistemática a gran escala o el tratamiento a gran escala de categorías especiales. La LO 3/2018 amplía el listado de sujetos obligados en su art. 34:

«1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades: [...] a) Los colegios profesionales y sus consejos generales. b) Los centros docentes [...] así como las Universidades públicas y privadas. [...] ñ) Las empresas de seguridad privada. [...]
3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos [...] las designaciones, nombramientos y ceses de los delegados de protección de datos [...].» (art. 34 LO 3/2018)

El DPD asesora, supervisa el cumplimiento, actúa como punto de contacto con la autoridad de control y desempeña sus funciones con independencia, sin poder ser removido ni sancionado por ejercerlas. La Agencia Española de Protección de Datos se configura en el art. 44:

«1. La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal [...] con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos en el ejercicio de sus funciones. [...]
2. La Agencia Española de Protección de Datos tendrá la condición de representante común de las autoridades de protección de datos del Reino de España en el Comité Europeo de Protección de Datos.» (art. 44 LO 3/2018)

Frente a las resoluciones de la AEPD, que agota la vía administrativa, cabe recurso contencioso-administrativo.

2.4. La garantía de los derechos digitales (Título X)

La gran novedad de la LOPDGDD es su Título X (arts. 79 a 97), dedicado a la garantía de los derechos digitales, que abre el art. 79 con una cláusula de principio:

«Los derechos y libertades consagrados en la Constitución y en los Tratados y Convenios Internacionales en que España sea parte son plenamente aplicables en Internet. Los prestadores de servicios de la sociedad de la información y los proveedores de servicios de Internet contribuirán a garantizar su aplicación.» (art. 79 LO 3/2018)

El Título reconoce, entre otros, el derecho a la neutralidad de Internet y al acceso universal, a la seguridad y a la educación digital, a la protección de los menores en Internet, el derecho al olvido en búsquedas de Internet (art. 93) y en servicios de redes sociales (art. 94), la portabilidad en redes sociales, el testamento digital, los derechos en el ámbito laboral (intimidad frente a dispositivos de videovigilancia, grabación de sonidos y geolocalización) y el muy citado derecho a la desconexión digital del art. 88:

«1. Los trabajadores y los empleados públicos tendrán derecho a la desconexión digital a fin de garantizar, fuera del tiempo de trabajo legal o convencionalmente establecido, el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar.» (art. 88 LO 3/2018)

Y el derecho al olvido en búsquedas de Internet del art. 93, que positiviza la doctrina del caso Google Spain:

«1. Toda persona tiene derecho a que los motores de búsqueda en Internet eliminen de las listas de resultados que se obtuvieran tras una búsqueda efectuada a partir de su nombre los enlaces publicados que contuvieran información relativa a esa persona cuando fuesen inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieren devenido como tales por el transcurso del tiempo [...].» (art. 93 LO 3/2018)

Este bloque convierte a la ley española en una de las más avanzadas de su entorno en la protección de la persona ante lo digital, y su presencia en el temario obliga a manejar, al menos, la ubicación (Título X) y los derechos más emblemáticos.

3. La Ley Orgánica 7/2021 (ámbito policial y penal)

La Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, transpone al Derecho español la Directiva (UE) 2016/680 (la «directiva de policía», gemela del RGPD). Regula un ámbito que el propio RGPD deja fuera: el tratamiento de datos por las autoridades competentes —fundamentalmente las Fuerzas y Cuerpos de Seguridad, el Ministerio Fiscal y los órganos con competencias sancionadoras penales— con esas finalidades, incluida la protección frente a amenazas para la seguridad pública. Quedan fuera de su ámbito los tratamientos con fines de seguridad del Estado y defensa, sujetos a su normativa específica. Su contenido se describe aquí con rigor, sin entrecomillarse como cita literal, por no figurar en la fuente local.

La ley reproduce, adaptándolos, los principios del tratamiento y añade garantías propias del ámbito penal: la distinción entre categorías de interesados (personas sospechosas, condenadas, víctimas y testigos u otras personas) y la distinción entre datos basados en hechos y datos basados en apreciaciones personales, para preservar su exactitud. Reconoce los derechos del interesado (información, acceso, rectificación, supresión y limitación) que, a diferencia del RGPD, pueden restringirse motivadamente para no perjudicar investigaciones en curso, la seguridad pública o los derechos de terceros; en tal caso, el interesado puede acudir a la AEPD, a la que se atribuye también la supervisión de estos tratamientos. Impone obligaciones de responsabilidad activa: registro de actividades de tratamiento, conservación de registros de operaciones (los logs de recogida, alteración, consulta, comunicación y supresión, que permiten verificar la licitud del acceso y depurar responsabilidades), protección desde el diseño y por defecto, designación de un delegado de protección de datos y realización de evaluaciones de impacto ante tratamientos de alto riesgo. Regula, asimismo, las transferencias de datos a terceros países y organismos internacionales en el marco de la cooperación policial y judicial. Esta normativa es el marco de la cooperación policial europea —intercambio de información con Europol, el Sistema de Información de Schengen (SIS) y los mecanismos Prüm—, en la que la Policía Nacional participa a diario.

La ley presta especial atención a la calidad y la temporalidad de los datos: debe garantizarse que los datos inexactos, incompletos o desactualizados no se transmitan ni pongan a disposición, y han de establecerse plazos de supresión o de revisión periódica de la necesidad de conservar los datos personales, evitando su acumulación indefinida. Se distinguen, además, con nitidez, los datos basados en hechos de los basados en apreciaciones personales, y las distintas categorías de interesados, para que la información se pondere en su justo valor probatorio. La supervisión independiente corresponde a la AEPD, y quedan excluidos del ámbito de la LO 7/2021 los tratamientos con fines de inteligencia, seguridad del Estado y defensa, sometidos a su propia legislación. Así, un mismo cuerpo policial puede aplicar tres marcos distintos según la finalidad del tratamiento, lo que exige del mando una clara conciencia de bajo qué régimen actúa en cada momento.

4. Aplicación a la Policía Nacional

La Policía Nacional es, a la vez, responsable de numerosos tratamientos y autoridad competente en el sentido de la LO 7/2021. Sus bases de datos policiales (reseñas, filiaciones, atestados, requisitorias, sistemas de identificación biométrica, ficheros de antecedentes, etc.) se rigen, según su finalidad, por el RGPD y la LOPDGDD —para la actividad administrativa ordinaria, como la expedición del DNI o del pasaporte— o por la LO 7/2021 —cuando se tratan con fines de prevención, investigación o enjuiciamiento penal—. En su actuación, los funcionarios deben respetar los principios de minimización, limitación de la finalidad y seguridad, así como el deber de confidencialidad del art. 5 de la LO 3/2018, que perdura tras el cese; su vulneración puede acarrear responsabilidad disciplinaria, administrativa e incluso penal (el Código Penal castiga en el artículo 197 el descubrimiento y revelación de secretos, con tipos agravados para la autoridad o funcionario que, fuera de los casos permitidos, accede o revela datos reservados).

En términos prácticos, el mando debe interiorizar algunas reglas de oro: acceder solo a los datos que necesite para el servicio concreto que atiende (principio de necesidad de conocer), no cederlos a quien no esté legalmente habilitado, dejar traza de las consultas —los registros de operaciones de la LO 7/2021 permiten reconstruir quién accedió, cuándo y por qué— y custodiar con diligencia la documentación y los dispositivos. La consulta de bases de datos policiales por curiosidad o para fines ajenos al servicio es una de las conductas más habituales de responsabilidad disciplinaria y, en su caso, penal. La formación continua en la materia y el asesoramiento del delegado de protección de datos del Ministerio del Interior son, por ello, herramientas cotidianas de la función policial. El respeto escrupuloso a la protección de datos no es un formalismo, sino una exigencia central del ejercicio profesional del Inspector.

Ideas fuerza para el test

• Derecho fundamental autónomo (art. 18.4 CE, STC 292/2000: autodeterminación informativa; art. 8 Carta UE, art. 16 TFUE). Tres normas: RGPD, LO 3/2018 y LO 7/2021.
• RGPD = Reglamento (UE) 2016/679, de 27 de abril de 2016; aplicable desde el 25 de mayo de 2018; derogó la Directiva 95/46/CE; aplicación directa sin transposición.
• Principios (art. 5 RGPD): licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva (art. 5.2). La LO 3/2018 desarrolla exactitud (art. 4) y confidencialidad permanente (art. 5).
• Bases de licitud (art. 6 RGPD): consentimiento, contrato, obligación legal, interés vital, interés público/poderes públicos, interés legítimo. Consentimiento del menor: 14 años (art. 7 LO 3/2018). Categorías especiales (art. 9): prohibición general; el solo consentimiento no basta para ideología, religión, etc.
• Derechos: información, acceso, rectificación, supresión (olvido), limitación, portabilidad, oposición y decisiones automatizadas (arts. 15-22 RGPD; desarrollo en arts. 11-18 LO 3/2018). Plazo de respuesta: 1 mes (+2); gratuito.
• Obligaciones: protección desde el diseño y por defecto, registro de actividades, seguridad, notificación de brechas en 72 horas, evaluación de impacto (DPIA) y delegado de protección de datos (obligatorio en el sector público; listado ampliado en el art. 34 LO 3/2018).
• Sanciones RGPD (art. 83): hasta 10 M€ o 2 % y hasta 20 M€ o 4 % del volumen de negocio. Autoridad: AEPD (autoridad administrativa independiente, art. 44 LO 3/2018).
• LOPDGDD (LO 3/2018): adapta el RGPD; NO confundir con la derogada LO 15/1999. Título X de derechos digitales (art. 79; olvido art. 93; desconexión digital art. 88; testamento digital). Infracciones prescriben a 3 / 2 / 1 años.
• LO 7/2021: transpone la Directiva 2016/680; datos con fines penales y policiales; distingue interesados (sospechosos, condenados, víctimas, testigos) y datos por hechos/apreciaciones; derechos restringibles motivadamente; excluye seguridad del Estado y defensa; supervisa la AEPD.
• La Policía Nacional es responsable de tratamientos y autoridad competente: sus bases de datos se rigen por RGPD/LOPDGDD o por la LO 7/2021 según la finalidad; deber de confidencialidad permanente con responsabilidad penal (art. 197 CP).