La protección de datos personales y su régimen jurídico: principios, derechos y obligaciones. Derechos digitales.

Tema desarrollado para el ejercicio único del Cuerpo de Técnicos Auxiliares de Informática de la Administración del Estado, convocatoria de 1.030 plazas de ingreso libre (Resolución de 18 de diciembre de 2025, BOE de 22 de diciembre de 2025, Anexo V). Es el tema 7 del bloque I «Organización del Estado y Administración electrónica», que en nuestra numeración interna es el tema 7 de 33. Todo el articulado se ha comprobado contra los textos consolidados del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018 publicados por el BOE.

Qué esperar de este tema en el examen. Cae siempre, y cae con el artículo escrito en el enunciado. En 2019 preguntó el ámbito material del Reglamento y la prescripción de las sanciones; en 2023, el plazo de comunicación del delegado de protección de datos y el catálogo de derechos digitales del Título X; en 2024, el principio de minimización —tres veces, en tres modelos distintos— y el artículo 32 sobre seguridad del tratamiento; y en 2026, el derecho al testamento digital, el artículo 79 sobre los derechos en la era digital y el derecho a la desconexión digital. La pauta es nítida: los principios del artículo 5 del Reglamento y el Título X de la ley orgánica son la mitad del tema.

Dos advertencias de método. La primera: este tema se estudia a dos columnas. El Reglamento europeo es directamente aplicable y la ley orgánica española lo complementa; cuando el tribunal cita «el artículo 5» hay que saber si habla del 5 del Reglamento —principios— o del 5 de la ley orgánica —deber de confidencialidad—. La segunda: la Ley Orgánica 15/1999 está derogada y con ella todo su vocabulario. Si una opción habla de «niveles de seguridad básico, medio y alto», de «inscripción de ficheros en el Registro General de Protección de Datos» o del «responsable del fichero», está citando la ley muerta: el Reglamento suprimió los tres conceptos.

Índice

1. Del artículo 18.4 de la Constitución al Reglamento europeo
2. Ámbito de aplicación y definiciones del Reglamento
3. Los principios del artículo 5 y la responsabilidad proactiva
4. Licitud del tratamiento, consentimiento y datos especialmente protegidos
5. Los derechos del interesado
6. Obligaciones del responsable y del encargado
   • Protección desde el diseño y por defecto
   • El encargado del tratamiento y el registro de actividades
   • Seguridad del tratamiento y brechas de seguridad
   • Evaluación de impacto y consulta previa
   • El delegado de protección de datos
7. Transferencias internacionales de datos
8. Las autoridades de control
9. Régimen sancionador
10. Los derechos digitales: el Título X de la Ley Orgánica 3/2018
11. La Carta de Derechos Digitales y el horizonte normativo
12. Errores típicos que cuestan preguntas
13. Cuadros de cifras y plazos
14. Lo que ya ha preguntado el tribunal

1. Del artículo 18.4 de la Constitución al Reglamento europeo

El anclaje constitucional está en el artículo 18.4: «La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Es un mandato al legislador situado dentro del artículo 18, y por tanto dentro de la Sección 1.ª del Capítulo II del Título I: goza de recurso de amparo, de reserva de ley orgánica y del contenido esencial del artículo 53.1.

La aportación decisiva del Tribunal Constitucional es la STC 292/2000, de 30 de noviembre, que declaró que el artículo 18.4 no es una simple garantía instrumental del derecho a la intimidad, sino que consagra un derecho fundamental autónomo: el derecho a la protección de datos o libertad informática. Su objeto no son solo los datos íntimos, sino cualesquiera datos personales, y su contenido es un poder de disposición y control sobre ellos: saber quién los tiene, para qué, y poder oponerse. En el plano europeo, el mismo desdoblamiento aparece en la Carta de los Derechos Fundamentales de la Unión Europea, cuyo artículo 7 protege la vida privada y familiar y cuyo artículo 8 protege, por separado, los datos de carácter personal.

La sucesión de normas, que conviene tener ordenada porque el tribunal pregunta por las derogaciones:

Norma	Situación
Convenio 108 del Consejo de Europa (1981), modernizado por el Protocolo de 2018 («Convenio 108+»)	Vigente. Primer instrumento internacional vinculante en la materia.
Directiva 95/46/CE	Derogada por el Reglamento (UE) 2016/679.
Ley Orgánica 5/1992 (LORTAD)	Derogada por la Ley Orgánica 15/1999.
Ley Orgánica 15/1999 (LOPD) y su reglamento, el Real Decreto 1720/2007	Derogadas por la Ley Orgánica 3/2018.
Reglamento (UE) 2016/679 (RGPD), de 27 de abril de 2016	Vigente. Aplicable desde el 25 de mayo de 2018.
Ley Orgánica 3/2018 (LOPDGDD), de 5 de diciembre	Vigente. Adapta el ordenamiento español al Reglamento y añade el Título X de derechos digitales.
Directiva (UE) 2016/680, sobre datos en el ámbito penal	Transpuesta por la Ley Orgánica 7/2021, de 26 de mayo.

Nótese el par de fechas que se pregunta: el Reglamento es de 27 de abril de 2016 pero se aplica desde el 25 de mayo de 2018; hubo dos años de vacatio para que responsables y Estados se adaptaran. Y la ley orgánica española es posterior al inicio de la aplicación: llegó en diciembre de 2018.

2. Ámbito de aplicación y definiciones del Reglamento

El artículo 2 fija el ámbito material con una fórmula que ya cayó en 2019: el Reglamento «se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero». Es decir: lo digital siempre, y lo hecho en papel solo si está estructurado en un fichero. Quedan excluidos, entre otros supuestos, el tratamiento por una persona física «en el ejercicio de actividades exclusivamente personales o domésticas» —la llamada excepción doméstica— y los tratamientos de las autoridades competentes con fines de prevención e investigación de infracciones penales, que se rigen por la Directiva 2016/680 y la Ley Orgánica 7/2021.

El ámbito territorial (art. 3) combina dos criterios: el del establecimiento —tratamientos en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, «independientemente de que el tratamiento tenga lugar en la Unión o no»— y el del mercado objetivo: aunque el responsable no esté establecido en la Unión, el Reglamento se le aplica si trata datos de interesados que residan en ella y las actividades se relacionan con la oferta de bienes o servicios a esos interesados o con el control de su comportamiento dentro de la Unión. Ese segundo criterio es lo que hace que el Reglamento alcance a plataformas de terceros países.

Del artículo 4 conviene fijar ocho definiciones, porque el tribunal las cruza sistemáticamente:

Concepto	Núcleo de la definición
Datos personales	Toda información sobre una persona física identificada o identificable. La identificabilidad puede ser directa o indirecta, mediante un identificador como un nombre, un número, datos de localización o un identificador en línea.
Tratamiento	Cualquier operación sobre datos personales, «ya sea por procedimientos automatizados o no»: recogida, registro, conservación, consulta, comunicación, cotejo, limitación, supresión o destrucción. Incluso consultar o destruir son tratamientos.
Seudonimización	Tratar los datos de modo que ya no puedan atribuirse a un interesado sin utilizar información adicional que figure por separado y protegida. Ojo: el dato seudonimizado sigue siendo dato personal; el anonimizado, no.
Elaboración de perfiles	Tratamiento automatizado para evaluar aspectos personales, en particular para analizar o predecir rendimiento profesional, situación económica, salud, preferencias, fiabilidad, comportamiento o ubicación o movimientos.
Responsable	Quien determina los fines y medios del tratamiento, solo o junto con otros.
Encargado	Quien trata datos por cuenta del responsable.
Consentimiento	Manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o clara acción afirmativa. Los cuatro adjetivos se preguntan literalmente, y la «clara acción afirmativa» es lo que proscribe las casillas premarcadas y el silencio.
Violación de la seguridad	Toda violación que ocasione destrucción, pérdida o alteración accidental o ilícita, o la comunicación o acceso no autorizados. Cubre por tanto la pérdida de disponibilidad, no solo la fuga.

Y dos definiciones más que caen por su precisión: datos biométricos son los obtenidos «a partir de un tratamiento técnico específico» relativos a características físicas, fisiológicas o conductuales que permitan o confirmen la identificación única —una fotografía sin ese tratamiento técnico no es dato biométrico—; y datos genéticos son los relativos a las características heredadas o adquiridas «que proporcionen una información única sobre la fisiología o la salud», obtenidos en particular del análisis de una muestra biológica.

3. Los principios del artículo 5 y la responsabilidad proactiva

Es el precepto más preguntado del Reglamento: en 2024 cayó tres veces, en tres modelos distintos, siempre sobre el mismo principio. Son seis principios en el apartado 1 y un séptimo en el apartado 2:

Letra	Nombre entre paréntesis	Contenido
a)	Licitud, lealtad y transparencia	Tratados de manera lícita, leal y transparente en relación con el interesado.
b)	Limitación de la finalidad	Recogidos con fines determinados, explícitos y legítimos y no tratados ulteriormente de manera incompatible. El tratamiento con fines de archivo en interés público, investigación científica o histórica o estadísticos no se considera incompatible.
c)	Minimización de datos	Adecuados, pertinentes y limitados a lo necesario en relación con los fines. Los tres adjetivos son la respuesta literal de 2024.
d)	Exactitud	Exactos y, si fuera necesario, actualizados; deben suprimirse o rectificarse sin dilación los inexactos.
e)	Limitación del plazo de conservación	Mantenidos de forma que se permita la identificación no más tiempo del necesario para los fines.
f)	Integridad y confidencialidad	Tratados garantizando una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra la pérdida, destrucción o daño accidental.
5.2	Responsabilidad proactiva (accountability)	El responsable «será responsable del cumplimiento… y capaz de demostrarlo».

La responsabilidad proactiva es la clave de bóveda de todo el Reglamento y explica el cambio de modelo respecto de la ley de 1999. Antes había un sistema de control previo: se inscribían los ficheros en un registro y se aplicaban medidas de seguridad tasadas por niveles. Ahora hay un sistema de rendición de cuentas: no hay registro ni niveles, sino que el responsable analiza el riesgo, decide las medidas y debe poder demostrar que cumple. De ahí nacen el registro de actividades, la evaluación de impacto, la protección desde el diseño y el delegado de protección de datos.

Del lado español, la Ley Orgánica 3/2018 añade dos principios propios: la exactitud de los datos (art. 4), que precisa cuándo no cabe imputar al responsable la inexactitud; y el deber de confidencialidad (art. 5), que obliga a los responsables, encargados y a «todas las personas que intervengan en cualquier fase del tratamiento» y que subsiste aun después de finalizar las relaciones con el responsable.

4. Licitud del tratamiento, consentimiento y datos especialmente protegidos

El artículo 6 enumera seis bases de licitud, y basta con que concurra una:

1. Consentimiento del interesado para uno o varios fines específicos.
2. Ejecución de un contrato en que el interesado es parte, o medidas precontractuales a petición de este.
3. Cumplimiento de una obligación legal aplicable al responsable.
4. Protección de intereses vitales del interesado o de otra persona física.
5. Cumplimiento de una misión de interés público o ejercicio de poderes públicos.
6. Interés legítimo del responsable o de un tercero, salvo que prevalezcan los derechos del interesado, «en particular cuando el interesado sea un niño».

Dos reglas que se preguntan mucho. Primera: el interés legítimo de la letra f) NO es aplicable al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones; la Administración debe apoyarse en la ley o en el interés público. Segunda: las bases de las letras c) y e) han de estar establecidas por el Derecho de la Unión o de los Estados miembros, no por decisión del responsable.

Sobre el consentimiento (art. 7): el responsable debe poder demostrar que se prestó; si se da en el marco de una declaración escrita que también se refiera a otros asuntos, la solicitud debe presentarse «de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo»; el interesado puede retirarlo en cualquier momento, y retirarlo debe ser tan fácil como darlo; y para evaluar si es libre se tiene en cuenta si la ejecución de un contrato se supedita al consentimiento para un tratamiento no necesario para ese contrato.

Sobre los menores hay dos umbrales que conviene no confundir: el artículo 8 del Reglamento fija en dieciséis años la edad para consentir en relación con la oferta directa de servicios de la sociedad de la información, pero permite a los Estados rebajarla hasta un mínimo de trece; y el artículo 7 de la Ley Orgánica 3/2018 ejerció esa opción y la fijó en catorce años. Por debajo de esa edad, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela.

Las categorías especiales de datos (art. 9) son nueve y hay que saberlas de memoria porque el tribunal pregunta cuál no está: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos dirigidos a identificar de manera unívoca, datos relativos a la salud, y datos relativos a la vida sexual o las orientaciones sexuales. Su tratamiento está prohibido salvo que concurra alguna de las diez excepciones del apartado 2, entre ellas el consentimiento explícito, la necesidad en el ámbito laboral y de seguridad social, la protección de intereses vitales, los fines de medicina preventiva o laboral, el interés público en el ámbito de la salud pública y los fines de archivo, investigación o estadística.

Dos trampas frecuentes: los datos relativos a condenas e infracciones penales NO son una categoría especial del artículo 9, sino que tienen su propio artículo, el 10, que reserva su tratamiento al control de las autoridades públicas o a los casos autorizados por el Derecho de la Unión o nacional. Y la Ley Orgánica 3/2018 añade en su artículo 9 una precisión que se pregunta: el solo consentimiento del afectado no basta para levantar la prohibición cuando la finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

5. Los derechos del interesado

El Capítulo III del Reglamento (arts. 12 a 22) contiene los derechos, precedidos de un artículo de modalidades de ejercicio que es tan preguntable como los propios derechos. El artículo 12 impone que la información se facilite «en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño», y fija el plazo general de respuesta: sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción de la solicitud, prorrogable en dos meses más si es necesario, teniendo en cuenta la complejidad y el número de solicitudes; la prórroga debe comunicarse al interesado dentro del primer mes. Y la información y las actuaciones son gratuitas; solo cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por repetitivas, cabe cobrar un canon razonable o negarse a actuar, correspondiendo al responsable demostrar ese carácter.

Art.	Derecho	Lo que hay que retener
13 y 14	Información	El 13 es cuando los datos se obtienen del propio interesado; el 14, cuando no se obtienen de él. En este segundo caso hay que informar en un plazo razonable y, como máximo, dentro de un mes.
15	Acceso	Confirmación de si se tratan sus datos y, en tal caso, acceso a ellos y a los fines, categorías, destinatarios, plazo de conservación y origen. Incluye derecho a obtener copia.
16	Rectificación	Rectificar los datos inexactos sin dilación indebida y completar los incompletos, «inclusive mediante una declaración adicional».
17	Supresión («derecho al olvido»)	Seis causas, entre ellas que los datos ya no sean necesarios, la retirada del consentimiento, la oposición sin motivos legítimos prevalentes y el tratamiento ilícito. Con excepciones: libertad de expresión e información, cumplimiento de una obligación legal, interés público en salud pública, archivo e investigación, y ejercicio de reclamaciones.
18	Limitación del tratamiento	Cuatro supuestos: impugnación de la exactitud, tratamiento ilícito sin querer la supresión, datos ya innecesarios pero que el interesado necesita para reclamaciones, y oposición pendiente de verificación. Limitados, los datos solo pueden conservarse.
19	Obligación de notificación	Comunicar la rectificación, supresión o limitación a cada destinatario al que se hayan comunicado los datos, salvo imposibilidad o esfuerzo desproporcionado.
20	Portabilidad	Recibir los datos en formato estructurado, de uso común y lectura mecánica y transmitirlos a otro responsable. Solo procede si el tratamiento se basa en el consentimiento o en un contrato Y se efectúa por medios automatizados. Y no se aplica al tratamiento necesario para una misión de interés público o poderes públicos.
21	Oposición	Frente a tratamientos basados en interés público o interés legítimo; el responsable debe cesar salvo que acredite motivos legítimos imperiosos que prevalezcan. Frente a la mercadotecnia directa, la oposición es incondicional: el responsable debe cesar siempre.
22	Decisiones automatizadas	Derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar. Excepciones: necesidad contractual, autorización legal y consentimiento explícito; en los casos primero y tercero debe garantizarse al menos el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión.

La Ley Orgánica 3/2018 dedica sus artículos 12 a 18 a las especialidades de estos derechos en España. Dos reglas se preguntan: el responsable debe facilitar medios sencillos y gratuitos para ejercerlos, y no podrá considerarse ejercitado el derecho si se exige el uso de medios que impliquen un coste excesivo para el afectado; y cuando el responsable no dé curso a la solicitud, comunicará al afectado en el plazo máximo de un mes las razones y la posibilidad de reclamar ante la autoridad de control.

6. Obligaciones del responsable y del encargado

6.1. Protección desde el diseño y por defecto

El artículo 25 contiene dos obligaciones que suenan parecidas y no lo son. La protección de datos desde el diseño exige aplicar medidas técnicas y organizativas apropiadas —el Reglamento cita expresamente la seudonimización— «tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento». La protección de datos por defecto exige garantizar que, por defecto, solo se traten los datos necesarios para cada fin específico, y ello se aplica a «la cantidad de datos recogidos, la extensión de su tratamiento, su plazo de conservación y su accesibilidad»; el Reglamento remata con una regla concreta: por defecto, los datos personales no serán accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.

6.2. El encargado del tratamiento y el registro de actividades

El artículo 28 exige que la relación con el encargado se rija por un contrato u otro acto jurídico que le vincule respecto del responsable, por escrito, inclusive en formato electrónico, con un contenido mínimo tasado: tratar los datos únicamente siguiendo instrucciones documentadas, garantizar la confidencialidad de quien trate los datos, aplicar las medidas del artículo 32, respetar las condiciones para recurrir a subencargados, asistir al responsable en la atención de derechos y en el cumplimiento de los artículos 32 a 36, y —a elección del responsable— suprimir o devolver los datos al finalizar la prestación. Regla capital: el encargado no puede recurrir a otro encargado sin autorización previa, por escrito, específica o general, del responsable. Y si el encargado determina los fines y medios, «será considerado responsable del tratamiento» (art. 28.10).

El registro de actividades de tratamiento (art. 30) sustituye a la vieja inscripción de ficheros: ya no se comunica a nadie, sino que se lleva internamente y se pone a disposición de la autoridad de control cuando lo solicite. Se lleva por escrito, inclusive en formato electrónico. La exención del apartado 5 —organizaciones de menos de 250 empleados— es más estrecha de lo que parece: no se aplica si el tratamiento puede entrañar un riesgo para los derechos y libertades, si no es ocasional, o si incluye categorías especiales o datos de condenas e infracciones penales. En la práctica, casi todas las organizaciones deben llevarlo.

6.3. Seguridad del tratamiento y brechas de seguridad

El artículo 32 —preguntado en 2024— no impone medidas tasadas, sino medidas apropiadas al riesgo «teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento». Y enumera cuatro ejemplos:

1. La seudonimización y el cifrado de datos personales.
2. La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
3. La capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico.
4. Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas.

La letra b) es la respuesta literal del examen de 2024, y merece la pena fijar sus cuatro dimensiones: confidencialidad, integridad, disponibilidad y resiliencia. Nótese que la resiliencia no aparece entre las dimensiones clásicas del Esquema Nacional de Seguridad —confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad—, y que el Reglamento no habla de niveles básico, medio y alto: esa era la ley de 1999.

Las violaciones de la seguridad se rigen por dos artículos que hay que separar:

	Art. 33 · Notificación a la autoridad	Art. 34 · Comunicación al interesado
Umbral	Siempre, salvo que sea improbable que constituya un riesgo para los derechos y libertades	Solo cuando sea probable que entrañe un alto riesgo
Plazo	Sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia; si se supera, hay que indicar los motivos de la dilación	Sin dilación indebida, sin plazo cerrado
Excepciones	—	No procede si se aplicaron medidas que hacen ininteligibles los datos (por ejemplo, cifrado), si se adoptaron medidas ulteriores que eliminan el alto riesgo, o si supone un esfuerzo desproporcionado, en cuyo caso se hace una comunicación pública

Además, el encargado notifica al responsable «sin dilación indebida» —no a la autoridad—, y el responsable debe documentar todas las violaciones, también las que no notifique, para que la autoridad pueda verificar el cumplimiento.

6.4. Evaluación de impacto y consulta previa

La evaluación de impacto relativa a la protección de datos (art. 35) procede cuando sea probable que un tipo de tratamiento «en particular si utiliza nuevas tecnologías» entrañe un alto riesgo, y se realiza antes del tratamiento. Es obligatoria en tres casos expresos: evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado —incluida la elaboración de perfiles— sobre cuya base se tomen decisiones con efectos jurídicos; tratamiento a gran escala de categorías especiales o de datos penales; y observación sistemática a gran escala de una zona de acceso público. El responsable debe recabar el asesoramiento del delegado de protección de datos, si lo hay, y la autoridad de control publica listas de tratamientos que la requieren y, potestativamente, de los que no.

Si la evaluación muestra que el tratamiento entrañaría un alto riesgo y el responsable no toma medidas para mitigarlo, procede la consulta previa a la autoridad de control (art. 36), que dispone de ocho semanas para responder, prorrogables en seis semanas más en función de la complejidad.

6.5. El delegado de protección de datos

El artículo 37 del Reglamento obliga a designarlo en tres supuestos: cuando el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales en ejercicio de su función judicial; cuando las actividades principales consistan en operaciones que requieran una observación habitual y sistemática de interesados a gran escala; y cuando consistan en el tratamiento a gran escala de categorías especiales o de datos penales. Se designa atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados de Derecho y práctica en materia de protección de datos; puede ser miembro de la plantilla o actuar en el marco de un contrato de servicios; y un grupo empresarial puede nombrar uno solo si es fácilmente accesible desde cada establecimiento.

Su posición (art. 38) tiene tres garantías que se preguntan: participa «de forma adecuada y en tiempo oportuno» en todas las cuestiones relativas a la protección de datos; no recibirá instrucciones en lo que respecta al desempeño de sus funciones y no podrá ser destituido ni sancionado por desempeñarlas; y rinde cuentas directamente al más alto nivel jerárquico. Sus funciones (art. 39) son informar y asesorar, supervisar el cumplimiento, asesorar sobre la evaluación de impacto y supervisar su aplicación, cooperar con la autoridad de control y actuar como punto de contacto de esta. No es el responsable del tratamiento ni responde personalmente del incumplimiento: esa es la trampa clásica.

La Ley Orgánica 3/2018 amplía la lista en su artículo 34 con quince tipos de entidades obligadas en todo caso, entre ellas los colegios profesionales y sus consejos generales, los centros docentes y las universidades, los prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, las entidades de crédito, las aseguradoras, los distribuidores y comercializadores de electricidad y gas, los centros sanitarios obligados a mantener historias clínicas —salvo los profesionales que ejerzan a título individual—, las empresas de seguridad privada y las federaciones deportivas cuando traten datos de menores.

Y el artículo 34.3 es el que cayó en los dos ejercicios de 2023: los responsables y encargados comunicarán a la Agencia Española de Protección de Datos —o, en su caso, a la autoridad autonómica— en el plazo de DIEZ DÍAS las designaciones, nombramientos y ceses de los delegados, tanto si la designación era obligatoria como si fue voluntaria. La Agencia mantiene una lista actualizada y accesible por medios electrónicos.

6.6. Códigos de conducta y certificación

Son los dos instrumentos voluntarios con los que el Reglamento premia la autorregulación, y aparecen citados en media docena de artículos, de modo que conviene saber qué es cada uno.

Los códigos de conducta (arts. 40 y 41) los elaboran asociaciones y organismos representativos de categorías de responsables o encargados, para especificar cómo aplicar el Reglamento en su sector: tratamiento leal y transparente, interés legítimo, seudonimización, información a los interesados, ejercicio de derechos, medidas de seguridad, notificación de brechas o transferencias internacionales. Los aprueba la autoridad de control —y, si el código afecta a varios Estados, se somete al Comité Europeo y puede recibir validez general en la Unión por acto de ejecución de la Comisión—. La supervisión del cumplimiento puede encomendarse a un organismo acreditado por la autoridad de control, que puede suspender o excluir del código a quien lo incumpla, informando a la autoridad. La adhesión a un código no exime de responsabilidad, pero sirve para demostrar el cumplimiento —así lo dicen expresamente los artículos 24.3, 28.5 y 32.3— y se computa como circunstancia atenuante al graduar una multa (art. 83.2.j).

La certificación (arts. 42 y 43) funciona igual pero con sellos y marcas: la expiden organismos de certificación acreditados —por la autoridad de control, por el organismo nacional de acreditación, o por ambos— o la propia autoridad, y tiene una validez máxima de tres años, renovable. Existe además un sello europeo de protección de datos, el Sello Europeo de Protección de Datos. Igual que el código, la certificación no reduce la responsabilidad del responsable ni las competencias de la autoridad de control: es un medio de prueba del cumplimiento, no un escudo.

6.7. Tratamientos concretos regulados por la ley española

El Título IV de la Ley Orgánica 3/2018 (arts. 19 a 27) es una aportación puramente nacional que resuelve, para media docena de tratamientos muy extendidos, dudas que el Reglamento deja abiertas. Es materia de examen porque son reglas concretas y con cifras:

• Datos de contacto de empresarios individuales y de profesionales liberales (art. 19). Se presume amparado en el interés legítimo el tratamiento de sus datos de contacto y de empresario individual cuando se refiera únicamente a los datos necesarios para su localización profesional y la finalidad sea mantener relaciones de cualquier índole con la persona jurídica en la que preste servicios. Lo mismo vale para los datos de los empresarios individuales y profesionales liberales.
• Sistemas de información crediticia (art. 20). Se presume lícito, salvo prueba en contrario, el tratamiento de datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito cuando concurren cuatro requisitos: que los datos los haya facilitado el acreedor o quien actúe por su cuenta; que se refieran a deudas ciertas, vencidas y exigibles cuya existencia o cuantía no haya sido reclamada por el deudor; que el acreedor haya informado al afectado en el contrato o al requerir el pago sobre la posibilidad de inclusión; y que los datos se mantengan solo mientras persista el incumplimiento, con el límite máximo de cinco años desde el vencimiento de la obligación. Además, la entidad que mantenga el sistema debe notificar al afectado la inclusión e informarle de sus derechos dentro de los treinta días siguientes a la notificación de la deuda al sistema, y durante ese plazo los datos permanecen bloqueados.
• Videovigilancia (art. 22). Es el más preguntable. Las personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes y de sus instalaciones. Cuatro reglas: solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para esa finalidad, con una excepción tasada —cabe una extensión superior para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte—, y en ningún caso puede captarse el interior de un domicilio privado; los datos se suprimirán en el plazo máximo de un mes desde su captación, salvo que deban conservarse para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones, en cuyo caso se ponen a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuvo conocimiento de la grabación; a estos tratamientos no se les aplica la obligación de bloqueo del artículo 32 de la ley orgánica; y el deber de información se entiende cumplido colocando un dispositivo informativo en lugar suficientemente visible que identifique al menos la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos.
• Sistemas de exclusión publicitaria (art. 23), las llamadas listas Robinson: se presume lícito el tratamiento para evitar el envío de comunicaciones comerciales a quienes hubieran manifestado su negativa, y quienes pretendan realizar comunicaciones de mercadotecnia deberán consultar previamente los sistemas de exclusión que pudieran afectar a su actuación.
• Protección de las personas que informen sobre infracciones normativas (art. 24). ⚠ Cuidado con los apuntes viejos: este artículo fue reescrito por la Ley 2/2023, de 20 de febrero, y ya no contiene el régimen detallado de los «sistemas de denuncias internas» que tuvo entre 2018 y 2023 —con su famosa regla de supresión de los datos a los tres meses—. Su redacción vigente es de una sola frase: son lícitos los tratamientos necesarios para garantizar la protección de las personas que informen sobre infracciones normativas, y se rigen por el Reglamento, por esta ley orgánica y por la propia Ley 2/2023, que es donde hoy están los plazos y las garantías del canal interno de información.
• Tratamiento de datos de infracciones y sanciones administrativas (art. 27), que solo puede llevarse a cabo por los sujetos legalmente habilitados y en los términos previstos por la ley.

Se añade el artículo 28, que enumera los factores de riesgo que responsables y encargados deben tener en cuenta al determinar las medidas: entre otros, que el tratamiento pueda generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para el patrimonio o la reputación, pérdida de confidencialidad de datos sujetos a secreto profesional, o cualquier otro perjuicio económico, moral o social significativo; y la circunstancia de que el tratamiento afecte a menores, a categorías especiales, o implique elaboración de perfiles o tratamiento a gran escala.

7. Transferencias internacionales de datos

El Capítulo V (arts. 44 a 50) construye un sistema de tres escalones, y el orden importa:

1. Decisión de adecuación (art. 45): la Comisión declara que un tercer país, un territorio o un sector garantiza un nivel de protección adecuado. Entonces la transferencia no requiere autorización específica. La Comisión revisa las decisiones al menos cada cuatro años.
2. Garantías adecuadas (art. 46), a falta de decisión de adecuación: normas corporativas vinculantes (art. 47), cláusulas tipo de protección de datos adoptadas por la Comisión o por una autoridad de control, códigos de conducta y mecanismos de certificación con compromisos vinculantes, e instrumentos jurídicamente vinculantes entre autoridades públicas.
3. Excepciones para situaciones específicas (art. 49): consentimiento explícito tras ser informado de los riesgos, ejecución de un contrato, razones de interés público, formulación o defensa de reclamaciones, intereses vitales cuando el interesado no pueda consentir, y transferencias desde un registro público.

El artículo 48 añade una regla que conviene conocer: una resolución de un tribunal o autoridad administrativa de un tercer país que exija transferir datos solo será reconocible o ejecutable si se basa en un acuerdo internacional vigente, como un tratado de asistencia judicial. Es la respuesta europea a los requerimientos extraterritoriales.

7.1. La escalera del Capítulo V, en orden

El Reglamento no prohíbe sacar datos de la Unión: los somete a una escalera de tres peldaños que hay que recorrer en este orden, y el examen pregunta por el orden tanto como por el contenido.

1. Decisión de adecuación (art. 45). La Comisión declara que un tercer país, un territorio o un sector ofrece un nivel de protección adecuado. Con ella, la transferencia no requiere autorización específica ninguna: fluye como si fuera interna. La Comisión debe revisar periódicamente esas decisiones y puede derogarlas.
2. Garantías adecuadas (art. 46), si no hay adecuación. Las principales: cláusulas tipo adoptadas por la Comisión, normas corporativas vinculantes (art. 47), códigos de conducta y mecanismos de certificación con compromisos vinculantes, e instrumentos jurídicamente vinculantes entre autoridades públicas. Lo esencial: han de garantizar derechos exigibles y acciones legales efectivas para el interesado.
3. Excepciones para situaciones específicas (art. 49), como último recurso: consentimiento explícito tras informar de los riesgos, ejecución de un contrato, razones importantes de interés público, defensa de reclamaciones, intereses vitales del interesado incapaz de consentir, o datos de un registro público. 🚨 Son excepciones, no una cuarta vía ordinaria: no valen para transferencias repetitivas y masivas.

Las normas corporativas vinculantes merecen mención aparte porque son la vía de los grupos multinacionales: las aprueba la autoridad de control competente por el mecanismo de coherencia, vinculan a todos los miembros del grupo y han de conferir derechos exigibles a los interesados.

8.1. Quién vigila: el mapa de autoridades

En España la autoridad estatal es la Agencia Española de Protección de Datos, autoridad administrativa independiente. Pero no está sola: hay autoridades autonómicas con competencia sobre el sector público de su Comunidad, y conviene saber que existen porque el tribunal pregunta si la AEPD es la única (no lo es).

En el plano europeo, dos piezas:

• La ventanilla única: cuando un tratamiento es transfronterizo, actúa como autoridad principal la del establecimiento principal del responsable, en cooperación con las interesadas. Evita que una empresa tenga que responder ante veintisiete autoridades a la vez.
• El Comité Europeo de Protección de Datos, que agrupa a las autoridades nacionales y al Supervisor Europeo, dicta directrices y resuelve las discrepancias entre autoridades por el mecanismo de coherencia, con decisiones vinculantes.

🚨 No confundir tres cosas que se parecen: el delegado de protección de datos es interno de la organización, la autoridad de control es el supervisor público, y el Supervisor Europeo vigila a las instituciones de la Unión, no a las empresas ni a las Administraciones nacionales.

8. Las autoridades de control

En España la autoridad de control estatal es la Agencia Española de Protección de Datos, configurada por el artículo 44 de la Ley Orgánica 3/2018 como autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia y plena capacidad, que se relaciona con el Gobierno a través del Ministerio de Justicia y actúa con plena independencia de los poderes públicos en el ejercicio de sus funciones. Su presidencia y adjuntía se nombran a propuesta del Ministerio de Justicia entre personas de reconocida competencia profesional, previa comparecencia ante la comisión correspondiente del Congreso, por un mandato de cinco años. La Agencia elabora un informe anual que se remite al Ministerio de Justicia y se presenta a las Cortes Generales, y aprueba circulares —potestad del artículo 55— que se publican en el Boletín Oficial del Estado.

Junto a ella, el artículo 57 de la ley orgánica prevé las autoridades autonómicas de protección de datos, hoy existentes en Cataluña, País Vasco y Andalucía, con competencia sobre los tratamientos de las Administraciones autonómicas y locales de su territorio y de las entidades de derecho público vinculadas a ellas —nunca sobre el sector privado, que corresponde siempre a la Agencia estatal—. En el plano europeo, el Comité Europeo de Protección de Datos (arts. 68 a 76 del Reglamento) sustituyó al antiguo Grupo del Artículo 29 y garantiza la aplicación coherente del Reglamento, incluido el mecanismo de coherencia y la resolución vinculante de conflictos entre autoridades. Y el mecanismo de ventanilla única (art. 56) atribuye a la autoridad del establecimiento principal la condición de autoridad principal para los tratamientos transfronterizos.

9. Régimen sancionador

El artículo 83 del Reglamento establece dos escalones de multa, y el criterio para elegir entre la cifra fija y el porcentaje es siempre «optándose por la de mayor cuantía»:

Escalón	Cuantía	A qué infracciones se aplica
Art. 83.4	10.000.000 € o el 2 % del volumen de negocio total anual global del ejercicio anterior	Obligaciones del responsable y del encargado de los artículos 8, 11, 25 a 39, 42 y 43; obligaciones de los organismos de certificación y de los organismos de supervisión de códigos de conducta.
Art. 83.5	20.000.000 € o el 4 % del volumen de negocio total anual global del ejercicio anterior	Principios básicos y condiciones del consentimiento (arts. 5, 6, 7 y 9); derechos de los interesados (arts. 12 a 22); transferencias internacionales (arts. 44 a 49); obligaciones del Derecho nacional del capítulo IX; e incumplimiento de resoluciones o limitaciones de la autoridad de control.

La regla mnemotécnica es clara: lo que afecta al interesado se paga al 4 %; lo que afecta a la organización, al 2 %. Principios, derechos y transferencias van al escalón alto; registro, seguridad, delegado y evaluación de impacto, al bajo.

La Ley Orgánica 3/2018 encaja ese sistema en la tradición española de infracciones y sanciones, con una particularidad: califica las infracciones únicamente a efectos de PRESCRIPCIÓN, no para fijar cuantías, que siguen siendo las del Reglamento.

Calificación	Artículo	Prescribe la infracción
Muy graves (vulneración sustancial de los preceptos del art. 83.5)	72	3 años
Graves (vulneración sustancial de los preceptos del art. 83.4)	73	2 años
Leves (las restantes, de carácter meramente formal)	74	1 año

Y la prescripción de las SANCIONES (art. 78) no va por calificación sino por importe, que es exactamente lo que preguntó el tribunal en 2019:

Importe de la sanción	Prescribe a
Igual o inferior a 40.000 €	1 año
Entre 40.001 y 300.000 €	2 años
Superior a 300.000 €	3 años

Dos reglas más de la ley orgánica. El artículo 77 establece un régimen especial para el sector público: cuando los responsables sean órganos constitucionales, Administraciones públicas, entidades de derecho público, autoridades administrativas independientes o corporaciones de derecho público, la autoridad de control no impone multa, sino que dicta resolución declarando la infracción y estableciendo las medidas a adoptar, dando traslado al responsable y al órgano del que dependa, y pudiendo proponer la iniciación de actuaciones disciplinarias. Y el artículo 76.4 ordena publicar en el Boletín Oficial del Estado la identidad del infractor, la infracción y el importe cuando la autoridad competente sea la Agencia Española de Protección de Datos, la sanción supere un millón de euros y el infractor sea persona jurídica.

Sobre el procedimiento, el artículo 63 fija su régimen jurídico —se rige por el Reglamento, por la ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, supletoriamente, por las normas generales del procedimiento administrativo—, el artículo 64 su forma de iniciación y su duración máxima, y el artículo 65 la admisión a trámite de las reclamaciones, con un trámite previo de traslado al delegado de protección de datos o al propio responsable, que dispone de un mes para responder; solo si no hay respuesta o esta no es satisfactoria continúa el procedimiento. El artículo 63 añade una regla que conviene retener: los procedimientos tramitados por la Agencia se rigen por lo dispuesto en el Reglamento y en esta ley orgánica, y solo en su defecto por las normas generales del procedimiento administrativo común.

10. Los derechos digitales: el Título X de la Ley Orgánica 3/2018

El Título X es una aportación puramente española: el Reglamento europeo no lo contiene. Va de los artículos 79 a 97 y el tribunal lo pregunta de la forma más literal posible: «¿cuál de los siguientes NO es un derecho digital?». Por eso la lista se aprende entera y por su nombre exacto.

El artículo 79 es el pórtico y su redacción cayó en 2026: «Los derechos y libertades consagrados en la Constitución y en los Tratados y Convenios Internacionales en que España sea parte son plenamente aplicables en Internet. Los prestadores de servicios de la sociedad de la información y los proveedores de servicios de Internet contribuirán a garantizar su aplicación». Dos matices que el tribunal explota: la aplicabilidad es plena, no analógica ni supletoria; y los prestadores contribuyen a garantizar, no garantizan por sí solos.

Art.	Derecho	Contenido esencial
79	Los derechos en la era digital	Cláusula de aplicabilidad plena en Internet.
80	Neutralidad de Internet	Los proveedores prestarán una oferta transparente, sin discriminación por motivos técnicos o económicos.
81	Acceso universal a Internet	Acceso universal, asequible, de calidad y no discriminatorio, con especial atención a la brecha digital de género y al entorno rural.
82	Seguridad digital	Los usuarios tienen derecho a la seguridad de las comunicaciones que transmitan y reciban por Internet.
83	Educación digital	El sistema educativo garantizará la plena inserción del alumnado en la sociedad digital y el aprendizaje de un uso seguro de los medios.
84	Protección de los menores en Internet	Padres, tutores y centros velarán por un uso equilibrado y responsable; el Ministerio Fiscal actuará ante la utilización de la imagen o los datos del menor que suponga intromisión ilegítima.
85	Rectificación en Internet	Frente a los responsables de redes sociales y servicios equivalentes, conforme a la Ley Orgánica 2/1984.
86	Actualización de informaciones en medios de comunicación digitales	Derecho a que se incluya un aviso de actualización suficientemente visible junto a la noticia.
87	Intimidad y uso de dispositivos digitales en el ámbito laboral	El empleador puede acceder a los contenidos a los solos efectos de controlar el cumplimiento de las obligaciones laborales y de garantizar la integridad de los dispositivos, y debe establecer criterios de utilización con participación de los representantes.
88	Desconexión digital en el ámbito laboral	Trabajadores y empleados públicos, «a fin de garantizar, fuera del tiempo de trabajo legal o convencionalmente establecido, el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar». El empleador elabora una política interna previa audiencia de los representantes.
89	Intimidad frente a la videovigilancia y grabación de sonidos en el trabajo	Cabe tratar las imágenes para el control del artículo 20.3 del Estatuto de los Trabajadores, previa información expresa, clara y concisa. No cabe instalar cámaras en vestuarios, aseos ni comedores, y la grabación de sonidos solo se admite ante riesgos relevantes.
90	Intimidad ante los sistemas de geolocalización en el trabajo	El empleador informará de forma expresa, clara e inequívoca de la existencia y características de los dispositivos.
91	Derechos digitales en la negociación colectiva	Los convenios colectivos podrán establecer garantías adicionales.
92	Protección de datos de los menores en Internet	Los centros educativos y quienes desarrollen actividades con menores garantizarán su interés superior; la difusión en redes sociales exige el consentimiento conforme al artículo 7.
93	Olvido en búsquedas de Internet	Derecho a que los motores de búsqueda eliminen de las listas de resultados los enlaces que resulten inadecuados, inexactos, no pertinentes, no actualizados o excesivos.
94	Olvido en servicios de redes sociales y equivalentes	Derecho a que se supriman los datos personales facilitados por el propio interesado o por terceros, o los datos personales que le conciernan.
95	Portabilidad en servicios de redes sociales y equivalentes	Derecho a recibir y transmitir los datos en un formato de uso común y lectura mecánica, siempre que sea técnicamente posible.
96	Testamento digital	Acceso a contenidos gestionados por prestadores de servicios de la sociedad de la información sobre personas fallecidas.
97	Políticas de impulso de los derechos digitales	El Gobierno elaborará un Plan de Acceso a Internet y aprobará un Plan Nacional de Competencias Digitales; se prevé una Carta de Derechos Digitales.

La pregunta de 2023 en su forma exacta. El tribunal ofreció como opciones el testamento digital, el olvido en redes sociales, la desconexión digital en el ámbito laboral y el «derecho a la igualdad y a la no discriminación en el entorno digital», y esta última era la que NO figura en el Título X. Es un buen ejemplo de distractor perfecto: suena a derecho digital, existe como principio en otras leyes —la Ley 15/2022, sin ir más lejos— pero no está entre los diecinueve artículos del Título X.

El testamento digital (art. 96), preguntado en 2024 y en 2026, merece detalle porque su régimen tiene una excepción y una contraexcepción. Regla general: las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos, pueden dirigirse a los prestadores para acceder a los contenidos e impartir instrucciones sobre su utilización, destino o supresión. Excepción: no podrán acceder ni pedir modificación o eliminación cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Contraexcepción: esa prohibición no afecta al derecho de los herederos a acceder a los contenidos que pudieran formar parte del caudal relicto. Y para los menores fallecidos, las facultades pueden ejercerlas además sus representantes legales o el Ministerio Fiscal; para las personas con discapacidad fallecidas, quienes hubieran sido designadas para el ejercicio de funciones de apoyo. Esa distinción entre mayores y menores es justamente la que preguntó el ejercicio de reserva de 2024.

10 bis. La Carta de Derechos Digitales y el horizonte normativo

El artículo 97 de la Ley Orgánica 3/2018 anunciaba que el Gobierno elaboraría una Carta de Derechos Digitales, y el documento se presentó en julio de 2021. Conviene tener claro su valor: no es una norma jurídica ni crea derechos nuevos exigibles; es un instrumento de soft law, un marco de referencia que ordena y proyecta los derechos existentes sobre el entorno digital y sirve de guía al legislador. Se estructura en seis bloques: derechos de libertad, derechos de igualdad, derechos de participación y de conformación del espacio público, derechos del entorno laboral y empresarial, derechos digitales en entornos específicos y garantías de los derechos digitales. Entre sus contenidos más citados figuran el derecho a la identidad digital, el derecho a la protección frente a la manipulación y los derechos ante el uso de inteligencia artificial y de neurotecnologías.

La materia no se detiene ahí, y el tribunal ya empieza a preguntar el marco anexo. Tres piezas que conviene reconocer por su número y su objeto:

• El Reglamento (UE) 2024/1689 de Inteligencia Artificial, que clasifica los sistemas por niveles de riesgo —inaceptable, con prácticas prohibidas como la puntuación social o el reconocimiento biométrico remoto en tiempo real en espacios públicos con fines policiales salvo excepciones tasadas; alto riesgo, con obligaciones de gestión del riesgo, gobernanza de datos, documentación técnica y supervisión humana; riesgo limitado, con deberes de transparencia; y riesgo mínimo—. En España, la autoridad de supervisión es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, creada por el Real Decreto 729/2023. Su relación con este tema es directa: cuando un sistema de inteligencia artificial trata datos personales, se aplican las dos normas a la vez, y la AESIA no sustituye a la Agencia Española de Protección de Datos.
• El Reglamento (UE) 2022/868 de Gobernanza de Datos y el Reglamento (UE) 2023/2854 de Datos, que ordenan la reutilización y el acceso a los datos —incluidos los no personales— sin desplazar al Reglamento General de Protección de Datos, que sigue prevaleciendo siempre que haya datos personales de por medio.
• La Ley 11/2022 General de Telecomunicaciones y la Directiva (UE) 2022/2555 (NIS 2), transpuesta en España en materia de ciberseguridad, que se cruzan con el artículo 32 del Reglamento en la gestión de incidentes: una misma brecha puede generar a la vez la notificación de 72 horas a la Agencia Española de Protección de Datos y la notificación al equipo de respuesta a incidentes competente, con plazos y destinatarios distintos.

Y una última pieza que suele olvidarse: los tratamientos con fines policiales no se rigen por el Reglamento sino por la Ley Orgánica 7/2021, de 26 de mayo, que transpone la Directiva (UE) 2016/680. Su ámbito son los tratamientos por las autoridades competentes con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública. Tiene principios propios —entre ellos la distinción entre categorías de interesados: sospechosos, condenados, víctimas y terceros— y su autoridad de control sigue siendo la Agencia Española de Protección de Datos. Confundir sus ámbitos es un error clásico: una cámara de un ayuntamiento se rige por el Reglamento y el artículo 22 de la ley orgánica; una cámara de la policía con fines de investigación penal, por la Ley Orgánica 7/2021.

11. Errores típicos que cuestan preguntas

1. Hablar de «niveles de seguridad básico, medio y alto». Los suprimió el Reglamento junto con el Real Decreto 1720/2007. Hoy rige el enfoque de riesgo del artículo 32.
2. Creer que hay que inscribir los ficheros en un registro. El Registro General de Protección de Datos desapareció con la Ley Orgánica 15/1999. Lo que hay es un registro interno de actividades (art. 30) que se enseña a la autoridad si lo pide.
3. Decir que la seudonimización convierte el dato en anónimo. El dato seudonimizado sigue siendo dato personal: por definición puede reatribuirse con la información adicional.
4. Situar los datos de condenas penales entre las categorías especiales del artículo 9. Tienen artículo propio, el 10.
5. Fijar en dieciséis años la edad de consentimiento en España. Son catorce (art. 7 de la Ley Orgánica 3/2018); los dieciséis son el umbral por defecto del artículo 8 del Reglamento, que permite rebajarlo hasta trece.
6. Aplicar el interés legítimo a las Administraciones públicas. El artículo 6.1.f) no es aplicable al tratamiento realizado por autoridades públicas en el ejercicio de sus funciones.
7. Confundir los plazos de las brechas. A la autoridad, 72 horas salvo que sea improbable el riesgo; al interesado, sin dilación indebida y solo si el riesgo es alto.
8. Creer que el delegado de protección de datos responde del incumplimiento. No lo es: asesora, supervisa y es punto de contacto, pero el responsable sigue siendo el responsable. Y no puede ser destituido ni sancionado por desempeñar sus funciones.
9. Dar quince días o un mes para comunicar la designación del delegado. Son diez días (art. 34.3), y también cuando la designación es voluntaria.
10. Invertir los escalones del artículo 83. Principios, derechos y transferencias van al escalón de 20 millones o el 4 %; registro, seguridad, delegado y evaluación de impacto, al de 10 millones o el 2 %.
11. Elegir siempre la cifra fija en las multas. El Reglamento dice «optándose por la de mayor cuantía»: para una gran empresa, el porcentaje puede ser muy superior a los veinte millones.
12. Calificar las infracciones para fijar la multa. La calificación en muy graves, graves y leves de la ley orgánica sirve solo a efectos de prescripción: las cuantías las fija el Reglamento.
13. Mezclar la prescripción de infracciones y de sanciones. Las infracciones prescriben por calificación (3, 2 y 1 año); las sanciones, por importe (1, 2 y 3 años según se sitúen en 40.000 €, 300.000 € o por encima).
14. Multar a una Administración pública. El artículo 77 excluye la multa para el sector público: se dicta resolución declarando la infracción y estableciendo medidas, con traslado al órgano del que dependa.
15. Incluir la «igualdad y no discriminación en el entorno digital» entre los derechos digitales. No está en el Título X. Fue la respuesta a marcar en los dos ejercicios de 2023.
16. Aplicar la portabilidad a cualquier tratamiento. Solo procede si se basa en consentimiento o contrato y se efectúa por medios automatizados, y no se aplica a los tratamientos por misión de interés público o poderes públicos.
17. Dar por absoluto el derecho de supresión. Tiene excepciones expresas: libertad de expresión e información, obligación legal, interés público en salud pública, archivo e investigación y ejercicio de reclamaciones.
18. Poner cámaras en vestuarios o comedores «por seguridad». El artículo 89.2 lo prohíbe expresamente, sin excepción posible.

12. Cuadros de cifras y plazos

Cifra	A qué corresponde	Norma
25 de mayo de 2018	Fecha desde la que se aplica el Reglamento (aprobado el 27 de abril de 2016)	Art. 99 RGPD
72 horas	Notificación de una brecha a la autoridad de control	Art. 33.1 RGPD
1 mes (+2 de prórroga)	Plazo de respuesta al ejercicio de derechos	Art. 12.3 RGPD
1 mes	Plazo máximo para informar cuando los datos no se obtienen del interesado	Art. 14.3 RGPD
8 semanas (+6 de prórroga)	Respuesta de la autoridad a la consulta previa	Art. 36.2 RGPD
10 días	Comunicación a la Agencia de la designación, nombramiento o cese del delegado	Art. 34.3 LOPDGDD
14 años	Edad para consentir el tratamiento de datos en España	Art. 7 LOPDGDD
16 años	Umbral por defecto del Reglamento (rebajable hasta 13 por los Estados)	Art. 8 RGPD
250 empleados	Umbral —con excepciones muy amplias— para la exención del registro de actividades	Art. 30.5 RGPD
10 M € / 2 %	Escalón bajo de multas: obligaciones del responsable y del encargado	Art. 83.4 RGPD
20 M € / 4 %	Escalón alto: principios, consentimiento, derechos y transferencias	Art. 83.5 RGPD
3 / 2 / 1 año	Prescripción de las infracciones muy graves, graves y leves	Arts. 72 a 74 LOPDGDD
1 / 2 / 3 años	Prescripción de las sanciones según importe (≤40.000 €, 40.001-300.000 €, >300.000 €)	Art. 78 LOPDGDD
1.000.000 €	Umbral a partir del cual se publica la sanción en el BOE si el infractor es persona jurídica	Art. 76.4 LOPDGDD
5 años	Mandato de la presidencia y la adjuntía de la Agencia Española de Protección de Datos	Art. 48 LOPDGDD
4 años	Periodicidad mínima de revisión de las decisiones de adecuación por la Comisión	Art. 45.3 RGPD
Arts. 79 a 97	Extensión del Título X de derechos digitales	LOPDGDD

12.1. Los plazos del Reglamento, en un bloque

• 72 horas — plazo máximo para notificar a la autoridad de control una violación de seguridad, desde que se tiene constancia. Si se pasa, hay que justificar la demora.
• Sin dilación indebida — plazo para comunicarla al interesado, y solo cuando entrañe un alto riesgo para sus derechos.
• Un mes — plazo para responder al ejercicio de un derecho, prorrogable en dos meses más si la solicitud es compleja, informando de la prórroga dentro del primer mes.

🚨 El error clásico es creer que toda brecha se comunica al interesado. No: a la autoridad se notifica salvo que sea improbable que entrañe riesgo; al interesado solo si el riesgo es alto. Son dos umbrales distintos y esa distinción es la pregunta.

12.2. Las dos horquillas de multa

El Reglamento tiene dos niveles de sanción y se confunden: hasta 10 millones de euros o el 2 % del volumen de negocio anual global para las infracciones del primer bloque, y hasta 20 millones o el 4 % para las del segundo. En ambos casos se aplica la cuantía mayor de las dos, no la menor.

13. Lo que ya ha preguntado el tribunal

Convocatoria	Precepto	Respuesta del tribunal
2019	Art. 2 RGPD, ámbito material	Se aplica al tratamiento total o parcialmente automatizado y al no automatizado de datos contenidos o destinados a ser incluidos en un fichero.
2019	Art. 78 LOPDGDD, prescripción de sanciones	Las sanciones por importe igual o inferior a 40.000 € prescriben en el plazo de un año.
2023 (LI y PI)	Art. 34 LOPDGDD, delegado de protección de datos	10 días para comunicar designaciones, nombramientos y ceses.
2023 (LI y PI)	Título X LOPDGDD, cuál NO es un derecho digital	El derecho a la igualdad y a la no discriminación en el entorno digital.
2024 (LI-A, LI-B y PI-A)	Art. 5.1.c) RGPD	Minimización de datos: adecuados, pertinentes y limitados a lo necesario.
2024 (PI-A)	Art. 32.1.b) RGPD	La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
2024 (reserva)	Art. 96 LOPDGDD, testamento digital	En el caso de fallecidos mayores de edad, esas facultades no pueden ejercerlas los representantes legales ni el Ministerio Fiscal.
2026 (LI, A y B)	Art. 96 LOPDGDD	El testamento digital se refiere al acceso a contenidos gestionados por prestadores de servicios de la sociedad de la información sobre personas fallecidas.
2026 (LI, A y B)	Art. 79 LOPDGDD	Los derechos y libertades constitucionales y de los tratados son plenamente aplicables en Internet, con la colaboración de los prestadores de servicios de la sociedad de la información.
2026 (extraordinario)	Art. 88 LOPDGDD	Los trabajadores y los empleados públicos tendrán derecho a la desconexión digital para garantizar, fuera del tiempo de trabajo, el respeto de su descanso, permisos y vacaciones y de su intimidad personal y familiar.

Cómo pregunta este tribunal en este tema. Tres rasgos. Uno: reproduce el artículo casi literal y cambia una palabra en los distractores —«resiliencia» por «trazabilidad», «diez días» por «quince días», «catorce» por «dieciséis»—, así que lo que se mide es la memoria del texto, no la comprensión. Dos: adora las listas cerradas —los seis principios, las nueve categorías especiales, los diecinueve derechos digitales— y las pregunta en negativo con un elemento que suena perfectamente razonable y no está. Y tres: los números son la mitad del tema, así que el repaso de la víspera debe ser la tabla de cifras del epígrafe anterior, empezando por 72 horas, 10 días, 14 años, 4 % y 2 %.