Tema desarrollado para preparar el examen de conocimientos de la Escala Básica (100 preguntas, 50 minutos). La información es orientativa y está verificada a fecha de actualización contra el texto consolidado del BOE: el contenido evaluable lo fija el temario del anexo I de tu convocatoria. Las citas entre comillas angulares reproducen el articulado LITERAL de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), según su versión vigente. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 7/2021 se describen con rigor a partir de su contenido, indicando el número de artículo, sin entrecomillar como cita literal lo no reproducido de la fuente.

Índice

• 0. La protección de datos como derecho fundamental
• 1. Marco normativo, ámbito y conceptos básicos
  • 1.1. Los tres pilares: RGPD, LO 3/2018 y LO 7/2021
  • 1.2. Conceptos básicos
• 2. Los principios del tratamiento
• 3. La licitud del tratamiento y las categorías especiales
• 4. Los derechos de las personas
• 5. Obligaciones del responsable y seguridad
• 6. El Delegado de Protección de Datos
• 7. La Agencia Española de Protección de Datos y el régimen sancionador
• 8. La LO 3/2018: menores y derechos digitales
• 9. La LO 7/2021: datos con fines policiales y penales
• 10. Ideas fuerza para el test

0. La protección de datos como derecho fundamental

El derecho a la protección de datos de carácter personal es un derecho fundamental autónomo, distinto del derecho a la intimidad, que la doctrina y la jurisprudencia extraen del artículo 18.4 de la Constitución —según el cual «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos»— y que se conoce con el nombre latino de «habeas data». El Tribunal Constitucional, en sus Sentencias 290/2000 y 292/2000, lo configuró como un derecho distinto de la intimidad: mientras la intimidad protege frente a la intromisión en la esfera privada, la protección de datos otorga a la persona un poder de control sobre sus datos, sean o no íntimos, y sobre su uso: quién los tiene, para qué y con qué garantías.

La distinción entre intimidad y protección de datos es un clásico del examen. El derecho a la intimidad (art. 18.1 CE) protege un ámbito reservado de la vida frente a intromisiones no deseadas; es, sobre todo, un derecho de exclusión («déjame en paz»). El derecho a la protección de datos (art. 18.4 CE) es más amplio: recae sobre cualquier dato personal, sea íntimo o no (un número de teléfono, una matrícula, la afición a un deporte), y confiere un poder positivo de disposición y control sobre su tratamiento. Se puede vulnerar la protección de datos sin invadir la intimidad (por ejemplo, cediendo a un tercero una lista de correos electrónicos sin base legal). Por eso el Tribunal Constitucional los reconoce como derechos distintos y autónomos.

La regulación española ha evolucionado notablemente. La primera ley fue la LORTAD (Ley Orgánica 5/1992), sustituida por la LOPD (Ley Orgánica 15/1999). Ambas quedaron derogadas por la actual LO 3/2018. El cambio de modelo más profundo fue el paso de un sistema basado en la inscripción previa de ficheros ante la Agencia (control ex ante) a un sistema basado en la responsabilidad activa o accountability del responsable, que debe garantizar y demostrar el cumplimiento sin necesidad de autorización o registro previos.

El objeto de la ley española lo enuncia el art. 1 de la LO 3/2018, que conecta expresamente con el art. 18.4 CE:

«La presente ley orgánica tiene por objeto: a) Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, y completar sus disposiciones. El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica. b) Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.» (art. 1 LOPDGDD)

1. Marco normativo, ámbito y conceptos básicos

1.1. Los tres pilares: RGPD, LO 3/2018 y LO 7/2021

El marco vigente descansa en tres pilares que hay que identificar con precisión, porque el examen suele preguntar cuál es aplicable en cada caso:

• El Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), de 27 de abril de 2016, de aplicación directa en toda la Unión Europea desde el 25 de mayo de 2018. Al ser un reglamento europeo, no necesita transposición: se aplica por sí mismo y prevalece sobre la norma interna. Es la norma marco.
• La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta y completa el RGPD en el ordenamiento español y añade un catálogo pionero de derechos digitales (Título X). Es ley orgánica porque desarrolla un derecho fundamental (art. 81 CE).
• La Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Transpone la Directiva (UE) 2016/680 y regula el tratamiento de datos por las autoridades competentes con fines penales, materia excluida del RGPD. Es el texto de mayor interés para la actividad policial y se estudia en el apartado 9.

El ámbito de aplicación de la LOPDGDD lo delimita su art. 2, que abarca todo tratamiento total o parcialmente automatizado y el tratamiento no automatizado de datos incluidos en un fichero, con exclusiones relevantes:

«Lo dispuesto en los Títulos I a IX y en los artículos 89 a 94 de la presente ley orgánica se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.» (art. 2.1 LOPDGDD)

Quedan fuera, entre otros, los tratamientos de datos de personas fallecidas (art. 2.2.b, sin perjuicio del art. 3) y los sometidos a la normativa sobre materias clasificadas. Tampoco se aplica el RGPD a las actividades ajenas al Derecho de la Unión ni al ámbito doméstico o personal (la agenda de contactos particular). Es importante retener que la protección de datos ampara únicamente a las personas físicas: los datos de las personas jurídicas no son objeto de esta normativa.

1.2. Conceptos básicos

El RGPD (art. 4) define los conceptos nucleares que hay que dominar:

• Dato personal: toda información sobre una persona física identificada o identificable (nombre, DNI, dirección, matrícula, datos de localización, identificadores en línea, factores de su identidad física, fisiológica, genética, psíquica, económica, cultural o social).
• Tratamiento: cualquier operación realizada sobre datos personales (recogida, registro, conservación, consulta, utilización, comunicación, difusión, supresión), automatizada o no.
• Responsable del tratamiento: quien decide los fines y los medios del tratamiento (por ejemplo, la Administración o la empresa titular de los datos).
• Encargado del tratamiento: quien trata datos por cuenta del responsable (un proveedor de servicios informáticos, una gestoría), vinculado por contrato.
• Interesado o afectado: la persona física titular de los datos.
• Seudonimización: tratar los datos de modo que no puedan atribuirse a una persona sin información adicional, que se guarda por separado. No equivale a anonimización (esta sí es irreversible y saca los datos del ámbito de la norma).
• Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca del afectado, por declaración o clara acción afirmativa.

2. Los principios del tratamiento

El corazón de la normativa son los principios del tratamiento, recogidos en el art. 5 del RGPD. Todo tratamiento debe respetarlos, y su vulneración constituye la infracción más grave. Son siete:

• Licitud, lealtad y transparencia: los datos se tratan de manera lícita (con una base legitimadora), leal y transparente para el interesado.
• Limitación de la finalidad: se recogen con fines determinados, explícitos y legítimos y no se tratan ulteriormente de manera incompatible con esos fines.
• Minimización de datos: los datos serán adecuados, pertinentes y limitados a lo necesario para el fin. No se recogen datos «por si acaso».
• Exactitud: los datos serán exactos y, si es necesario, actualizados, suprimiéndose o rectificándose los inexactos.
• Limitación del plazo de conservación: se conservan durante el tiempo estrictamente necesario para los fines del tratamiento.
• Integridad y confidencialidad: se tratan de forma que se garantice una seguridad adecuada, incluida la protección frente a accesos no autorizados y pérdidas.
• Responsabilidad proactiva (accountability): el responsable es responsable del cumplimiento de los demás principios y debe ser capaz de demostrarlo.

La LOPDGDD desarrolla algunos de estos principios. El principio de exactitud se precisa en el art. 4 LOPDGDD, que atenúa la responsabilidad del responsable diligente:

«Conforme al artículo 5.1.d) del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.» (art. 4.1 LOPDGDD)

Y el deber de confidencialidad, complementario del secreto profesional y persistente tras el fin de la relación, se regula en el art. 5 LOPDGDD:

«Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679. [...] Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.» (art. 5, apartados 1 y 3, LOPDGDD)

3. La licitud del tratamiento y las categorías especiales

Para que un tratamiento sea lícito debe apoyarse en una base de legitimación. El art. 6 del RGPD enumera seis bases, de modo que el consentimiento no es la única (un error frecuente): (a) consentimiento del interesado; (b) ejecución de un contrato en el que es parte; (c) cumplimiento de una obligación legal del responsable; (d) protección de intereses vitales del interesado u otra persona; (e) cumplimiento de una misión de interés público o ejercicio de poderes públicos; y (f) satisfacción de intereses legítimos del responsable o de un tercero, salvo que prevalezcan los derechos del interesado. Buena parte de los tratamientos de la Administración —y de la Policía en su función administrativa— se amparan en las letras c) y e).

La LOPDGDD desarrolla el consentimiento en su art. 6, que lo define por remisión al RGPD y exige que sea específico para cada finalidad:

«De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. [...] Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.» (art. 6, apartados 1 y 2, LOPDGDD)

Con este diseño desaparece el consentimiento tácito del régimen anterior: ya no basta el silencio o las casillas premarcadas; hace falta una acción afirmativa clara. Cuando la base no es el consentimiento sino una obligación legal o el ejercicio de poderes públicos —la situación habitual de la Administración—, el art. 8 LOPDGDD exige que derive de «una norma de Derecho de la Unión Europea o una norma con rango de ley». El art. 7 LOPDGDD contiene, además, una regla capital sobre los menores, muy preguntada por la edad de 14 años:

«El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. [...] El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.» (art. 7 LOPDGDD)

Existen categorías especiales de datos (los antiguos «datos sensibles»), cuyo tratamiento está en principio prohibido por el art. 9 del RGPD: los que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, los datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona, los datos de salud y los relativos a la vida sexual u orientación sexual. Solo pueden tratarse en supuestos tasados (consentimiento explícito, interés público esencial con base legal, salud pública, etc.). La LOPDGDD refuerza su protección en el art. 9:

«A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.» (art. 9.1 LOPDGDD)

Mención aparte merecen los datos de naturaleza penal (condenas e infracciones penales), cuyo tratamiento está especialmente restringido por el art. 10 del RGPD y el art. 10 LOPDGDD. Este último precisa que, fuera de los fines penales de las autoridades competentes (que se rigen por la LO 7/2021), su registro completo solo puede realizarse en el marco del Sistema de registros administrativos de apoyo a la Administración de Justicia, y fuera de ello «solo serán posibles cuando sean llevados a cabo por abogados y procuradores» para el ejercicio de sus funciones. Es una materia especialmente sensible para la actividad policial, que se canaliza a través de la LO 7/2021.

4. Los derechos de las personas

La normativa reconoce al interesado un haz de derechos que le permiten controlar sus datos, regulados en los arts. 15 a 22 del RGPD y desarrollados en los arts. 11 a 18 de la LOPDGDD. Se recuerdan con las siglas «ARCO-POL» (acceso, rectificación, cancelación/supresión, oposición, portabilidad, olvido y limitación), aunque el RGPD reordena y amplía el catálogo clásico:

• Derecho de acceso (art. 15 RGPD; art. 13 LOPDGDD): conocer si se están tratando sus datos y obtener información y copia de ellos.
• Derecho de rectificación (art. 16 RGPD; art. 14 LOPDGDD): corregir los datos inexactos o incompletos.
• Derecho de supresión o «al olvido» (art. 17 RGPD; art. 15 LOPDGDD): obtener la eliminación de los datos cuando ya no sean necesarios, se retire el consentimiento o el tratamiento sea ilícito.
• Derecho a la limitación del tratamiento (art. 18 RGPD; art. 16 LOPDGDD): «marcar» los datos para restringir su tratamiento futuro mientras se verifica una controversia.
• Derecho a la portabilidad (art. 20 RGPD; art. 17 LOPDGDD): recibir los datos en un formato estructurado y de uso común y transmitirlos a otro responsable.
• Derecho de oposición (art. 21 RGPD; art. 18 LOPDGDD): oponerse al tratamiento por motivos relacionados con su situación particular, y en todo caso a la mercadotecnia directa.
• Derecho a no ser objeto de decisiones individuales automatizadas (art. 22 RGPD), incluida la elaboración de perfiles, cuando produzcan efectos jurídicos o le afecten significativamente.

Presupuesto de todos estos derechos es el deber de transparencia e información del responsable, que la LOPDGDD flexibiliza en su art. 11 mediante un sistema de información por capas: se facilita al afectado una información básica y se le remite a una dirección electrónica u otro medio para el resto:

«La información básica a la que se refiere el apartado anterior deberá contener, al menos: a) La identidad del responsable del tratamiento y de su representante, en su caso. b) La finalidad del tratamiento. c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.» (art. 11.2 LOPDGDD)

El primero de los derechos, el de acceso, lo desarrolla el art. 13 LOPDGDD, que lo entiende otorgado si el responsable facilita al afectado «un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad». Sobre el ejercicio de los derechos, el art. 12 LOPDGDD establece garantías esenciales: pueden ejercerse directamente o por representante; el responsable debe informar de los medios para ejercerlos, «fácilmente accesibles»; y la prueba de haber atendido la solicitud recae sobre el responsable. Además, su ejercicio es, con carácter general, gratuito:

«Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica.» (art. 12.7 LOPDGDD)

El art. 12.6 LOPDGDD añade que los titulares de la patria potestad podrán ejercer «en nombre y representación de los menores de catorce años» los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros. Con carácter general, el responsable debe responder a las solicitudes en el plazo de un mes (art. 12 RGPD), prorrogable en casos complejos.

5. Obligaciones del responsable y seguridad

El modelo de responsabilidad proactiva impone al responsable un conjunto de obligaciones que la LOPDGDD sintetiza en su art. 28: determinar las medidas técnicas y organizativas apropiadas y valorar si procede realizar una evaluación de impacto:

«Los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679, determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento.» (art. 28.1 LOPDGDD)

Las obligaciones principales, previstas en el RGPD y complementadas por la LOPDGDD, son:

• Protección de datos desde el diseño y por defecto (art. 25 RGPD): integrar las garantías desde la concepción del tratamiento y tratar, por defecto, solo los datos necesarios.
• Registro de las actividades de tratamiento (art. 30 RGPD; art. 31 LOPDGDD): sustituye a la antigua inscripción de ficheros; es un registro interno que el responsable mantiene y pone a disposición de la autoridad.
• Seguridad del tratamiento (art. 32 RGPD): medidas técnicas y organizativas adecuadas al riesgo (seudonimización, cifrado, disponibilidad, resiliencia).
• Notificación de las violaciones de seguridad («brechas»): el responsable debe notificar la brecha a la autoridad de control sin dilación indebida y, a más tardar, en 72 horas (art. 33 RGPD), y comunicarla al afectado cuando entrañe un alto riesgo para sus derechos (art. 34 RGPD).
• Evaluación de impacto relativa a la protección de datos (EIPD, art. 35 RGPD): obligatoria cuando el tratamiento pueda entrañar un alto riesgo (tratamientos masivos, datos sensibles, observación sistemática a gran escala); si el riesgo no puede mitigarse, procede la consulta previa a la autoridad (art. 36 RGPD).

El art. 28.2 LOPDGDD orienta esta valoración del riesgo enumerando supuestos de mayor peligro: tratamientos que puedan generar discriminación, usurpación de identidad o fraude; los que priven al afectado del control sobre sus datos; los de categorías especiales o de datos penales; la elaboración de perfiles; los que afecten a menores o personas vulnerables; los masivos; y las transferencias internacionales a terceros Estados sin nivel adecuado de protección.

Cuando el responsable recurre a un encargado del tratamiento (por ejemplo, una empresa que aloja o gestiona los datos), la relación debe formalizarse en un contrato que vincule al encargado y fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las obligaciones de seguridad (art. 28 RGPD; art. 33 LOPDGDD). El encargado no puede utilizar los datos para fines propios ni subcontratar sin autorización, y debe suprimirlos o devolverlos al terminar el servicio. Cuando dos o más responsables determinan conjuntamente los fines y medios existe corresponsabilidad (art. 26 RGPD; art. 29 LOPDGDD), debiendo repartir sus obligaciones mediante acuerdo. En cuanto a las transferencias internacionales, solo son lícitas si el país de destino ofrece un nivel adecuado de protección declarado por la Comisión Europea o si se aportan garantías apropiadas (cláusulas contractuales tipo, normas corporativas vinculantes), conforme a los arts. 44 a 49 del RGPD.

6. El Delegado de Protección de Datos

El Delegado de Protección de Datos (DPD o DPO) es la figura clave del nuevo modelo: un experto que supervisa el cumplimiento de la normativa dentro de la organización y actúa como enlace con la autoridad de control y los interesados. Su designación es obligatoria en los supuestos del art. 37.1 RGPD (autoridades y organismos públicos; tratamientos que exijan observación habitual y sistemática a gran escala; tratamiento a gran escala de datos sensibles) y, además, en las entidades que enumera el art. 34 LOPDGDD (colegios profesionales, centros docentes y universidades, entidades de crédito y aseguradoras, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, centros sanitarios, empresas de seguridad privada, etc.). El propio art. 34 recuerda que puede designarse también de forma voluntaria y que las designaciones se comunican a la AEPD en el plazo de diez días:

«Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria.» (art. 34.3 LOPDGDD)

La posición del DPD está reforzada para garantizar su independencia, según el art. 36 LOPDGDD:

«El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. [...] Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio.» (art. 36, apartados 1 y 2, LOPDGDD)

El DPD no responde personalmente del cumplimiento (la responsabilidad sigue siendo del responsable o encargado): de hecho, el art. 70.2 LOPDGDD excluye al DPD del régimen sancionador. Puede ser una persona física interna, externa o incluso una persona jurídica, y ha de contar con conocimientos especializados en Derecho y práctica de protección de datos (art. 35 LOPDGDD).

7. La Agencia Española de Protección de Datos y el régimen sancionador

La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD). Su naturaleza y su independencia las fija el art. 44 LOPDGDD:

«La Agencia Española de Protección de Datos es una autoridad administrativa independiente de ámbito estatal, de las previstas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos en el ejercicio de sus funciones.» (art. 44.1 LOPDGDD)

Sus funciones las fija el art. 47 LOPDGDD, por remisión al RGPD:

«Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo.» (art. 47 LOPDGDD)

En la práctica, la AEPD investiga (con potestades de inspección y acceso), atiende reclamaciones de los ciudadanos, dicta resoluciones, impone sanciones y advertencias, ordena la limitación o supresión de tratamientos, aprueba códigos de conducta y dicta circulares interpretativas. La dirige su Presidencia, auxiliada por un Adjunto, nombrados por el Gobierno con ratificación del Congreso y un mandato de cinco años renovable (art. 48 LOPDGDD). Sus resoluciones agotan la vía administrativa y son recurribles ante la Audiencia Nacional. Existen, además, autoridades autonómicas de protección de datos en algunas Comunidades (Cataluña, País Vasco y Andalucía) para los tratamientos de sus administraciones.

El régimen sancionador combina el RGPD y la LOPDGDD. El art. 70 LOPDGDD identifica a los sujetos responsables (responsables y encargados, sus representantes, entidades de certificación...), y el art. 71 remite a las conductas del art. 83 del RGPD. La LOPDGDD clasifica las infracciones en muy graves (art. 72, prescriben a los 3 años), graves (art. 73, 2 años) y leves (art. 74, 1 año). Entre las muy graves del art. 72 figuran:

«a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. [...] e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679 [...]. i) La vulneración del deber de confidencialidad establecido en el artículo 5 de esta ley orgánica.» (art. 72.1 LOPDGDD)

Las sanciones económicas las gradúa el RGPD en dos escalones: hasta 10 millones de euros o el 2 % del volumen de negocio anual global (art. 83.4) para las infracciones menos graves, y hasta 20 millones de euros o el 4 % (art. 83.5) para las más graves, aplicándose la cuantía superior de ambas. El art. 76 LOPDGDD añade criterios de graduación (carácter continuado, beneficios obtenidos, afectación a menores, etc.) y ordena la publicación en el BOE de las sanciones superiores a un millón de euros impuestas a personas jurídicas. Para las Administraciones Públicas rige un régimen especial (art. 77): no se les imponen multas económicas, sino apercibimientos y la incoación, en su caso, de actuaciones disciplinarias.

8. La LO 3/2018: menores y derechos digitales

La LOPDGDD no se limita a adaptar el RGPD: contiene aportaciones propias del legislador español. La más singular es el Título X, «Garantía de los derechos digitales» (arts. 79 a 97), un catálogo pionero en el Derecho comparado que reconoce, entre otros: el derecho a la neutralidad de Internet (art. 80), el derecho de acceso universal a Internet (art. 81), el derecho a la seguridad y a la educación digital (arts. 82 y 83), la protección de los menores en Internet (art. 84), el derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral (art. 87), el derecho a la desconexión digital en el trabajo (art. 88), el derecho a la intimidad frente a la videovigilancia y la geolocalización laboral (arts. 89 y 90), el derecho al olvido en búsquedas de Internet y redes sociales (arts. 93 y 94) y el derecho al testamento digital (art. 96).

Otra aportación característica es la edad del consentimiento del menor, ya citada: el art. 7 LOPDGDD la fija en catorce años (por debajo de esa edad se requiere el consentimiento de los titulares de la patria potestad o tutela). Es un dato de examen muy recurrente, porque el RGPD permitía a los Estados fijarla entre 13 y 16 años y España optó por los 14. La LOPDGDD regula también tratamientos específicos como los sistemas de información crediticia (art. 20), la videovigilancia (art. 22), los sistemas de exclusión publicitaria —las «listas Robinson»— (art. 23) o los sistemas internos de denuncias (art. 24).

9. La LO 7/2021: datos con fines policiales y penales

El tratamiento de datos personales por las autoridades competentes con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales queda fuera del RGPD y se rige por la Ley Orgánica 7/2021, de 26 de mayo, que transpone la Directiva (UE) 2016/680 y entró en vigor el 16 de junio de 2021. Es la norma nuclear para la actividad de la Policía Nacional, pues rige el tratamiento de datos en la investigación policial y en las bases de datos con fines penales.

La Ley se aplica a las autoridades competentes, entre las que se encuentran las Fuerzas y Cuerpos de Seguridad, las autoridades judiciales del orden penal y el Ministerio Fiscal, las Administraciones penitenciarias, la Dirección Adjunta de Vigilancia Aduanera, el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales (SEPBLAC) y la Comisión de Vigilancia de Actividades de Financiación del Terrorismo. Sus notas esenciales, adaptadas al fin penal, son:

• Principios propios: licitud (el tratamiento debe ser necesario para el ejercicio de las funciones de la autoridad y basarse en una norma con rango de ley), limitación de la finalidad, minimización, exactitud y plazos de conservación, con revisión periódica de la necesidad de conservar los datos.
• Distinción de categorías de interesados: la ley obliga a diferenciar, en la medida de lo posible, entre condenados, sospechosos, víctimas y terceros (testigos, personas de contacto), para no tratar a todos por igual.
• Distinción entre datos basados en hechos y en apreciaciones: deben diferenciarse los datos objetivos de las valoraciones subjetivas.
• Datos sensibles: su tratamiento solo cabe cuando sea estrictamente necesario, con las garantías adecuadas y amparado en la ley.
• Derechos del interesado modulados: se reconocen los derechos de información, acceso, rectificación, supresión y limitación, pero pueden restringirse o aplazarse motivadamente cuando sea necesario para no obstaculizar investigaciones, proteger la seguridad pública o los derechos de terceros; el interesado puede entonces ejercerlos a través de la autoridad de control.
• Supervisión: la autoridad de control es la AEPD (salvo el tratamiento por los órganos judiciales, supervisado en su ámbito), y se exige la designación de un Delegado de Protección de Datos y el registro de las actividades de tratamiento.

Un rasgo característico de la LO 7/2021 es que el tratamiento debe ser necesario y proporcionado para el fin penal perseguido y estar amparado en la ley: la Policía no puede tratar datos personales de forma indiscriminada, sino en la medida en que resulte preciso para prevenir o investigar un delito concreto o para ejecutar una sanción penal. La ley obliga, además, a establecer plazos de conservación y a revisar periódicamente la necesidad de mantener los datos, así como a llevar registros de las operaciones (registro de actividades y registro de accesos) que permitan verificar la licitud del tratamiento y depurar responsabilidades. Estas garantías conviven con la cooperación policial internacional (intercambio de información en el marco del espacio Schengen y de Europol), que también queda sujeta a las reglas de protección de datos con fines penales.

Para el opositor, la idea esencial es la delimitación de regímenes: los tratamientos policiales con fin penal (ficheros de investigación, reseñas, bases de datos de antecedentes) se rigen por la LO 7/2021; los tratamientos de la Policía con fin administrativo ajeno a lo penal (gestión de personal, expedición del DNI y pasaporte, sanciones administrativas de tráfico o seguridad ciudadana) se rigen por el RGPD y la LO 3/2018. Ambos regímenes conviven y responden a una misma finalidad: garantizar el derecho fundamental a la protección de datos incluso en el ejercicio del ius puniendi del Estado.

10. Ideas fuerza para el test

• La protección de datos es un derecho fundamental autónomo (distinto de la intimidad) del art. 18.4 CE («habeas data»), configurado por las SSTC 290/2000 y 292/2000. Antecedentes derogados: LORTAD (LO 5/1992) y LOPD (LO 15/1999).
• Tres pilares: RGPD (UE 2016/679), aplicable directamente desde el 25-mayo-2018; LO 3/2018 (LOPDGDD), que lo adapta y añade los derechos digitales; y LO 7/2021, para datos con fines penales (transpone la Directiva UE 2016/680). Solo protege a personas físicas.
• Modelo de responsabilidad proactiva (accountability): se sustituye la inscripción de ficheros por el registro interno de actividades (art. 30 RGPD / 31 LOPDGDD).
• Principios (art. 5 RGPD): licitud/lealtad/transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo, integridad y confidencialidad, y responsabilidad proactiva.
• Seis bases de licitud (art. 6 RGPD): consentimiento, contrato, obligación legal, intereses vitales, interés público/poderes públicos e interés legítimo. El consentimiento no es la única base.
• Consentimiento del menor (art. 7 LOPDGDD): 14 años. Categorías especiales (art. 9 RGPD): origen étnico, ideología, religión, afiliación sindical, genéticos, biométricos, salud, vida u orientación sexual.
• Derechos (arts. 15-22 RGPD; 11-18 LOPDGDD): acceso, rectificación, supresión u olvido, limitación, portabilidad, oposición y decisiones automatizadas. Ejercicio gratuito (art. 12.7 LOPDGDD); respuesta en un mes.
• Notificación de brechas: 72 horas a la AEPD (art. 33 RGPD). EIPD (art. 35) para tratamientos de alto riesgo.
• DPD (arts. 34-37 LOPDGDD): obligatorio para organismos públicos y entidades del art. 34; independiente; comunicación a la AEPD en 10 días; no responde del régimen sancionador (art. 70.2).
• AEPD (art. 44): autoridad administrativa independiente; recursos ante la Audiencia Nacional. Sanciones: hasta 20 M€ o 4 % del volumen de negocio (art. 83.5 RGPD); a las Administraciones Públicas se les apercibe, no se les multa (art. 77).
• LO 7/2021: tratamiento policial con fin penal; distingue condenados/sospechosos/víctimas/terceros; derechos modulables por la investigación. Los tratamientos policiales administrativos siguen el RGPD y la LO 3/2018.