Preámbulo
Fundamentos constitucionales y evolución del derecho fundamental
La protección de datos personales en el ordenamiento español no es una mera facultad legal, sino un derecho fundamental con anclaje directo en el artículo 18.4 de la Constitución española. Este precepto constitucional, que actúa como mandato al legislador, establece que la ley limitará el uso de la informática para garantizar el honor, la intimidad personal y familiar y el pleno ejercicio de los derechos de la ciudadanía.
Debes considerar que la jurisprudencia del ha sido esencial para definir el contenido de este derecho. Podrás observar dos hitos judiciales críticos:
- La Sentencia 94/1998, que define el derecho como la facultad de la persona para controlar sus datos, su uso y destino, evitando tráficos ilícitos o lesivos para la dignidad.
- La Sentencia 292/2000, que lo consagra como un derecho autónomo e independiente, consistente en un poder de disposición y control que faculta al individuo para decidir qué datos proporciona a terceros (Estado o particulares) y conocer quién los posee y para qué fines.
El nuevo paradigma del reglamento general de protección de datos
El escenario actual está marcado por la necesidad de una regulación uniforme en una sociedad globalizada. El Reglamento (UE) 2016/679 (RGPD) surge para superar la fragmentación normativa que generó la anterior Directiva, la cual había derivado en un "mosaico normativo" irregular en la Unión Europea.
El RGPD introduce un cambio de modelo basado en la responsabilidad activa (accountability). Esto implica que ya no basta con el cumplimiento formal, sino que el responsable debe valorar el riesgo del tratamiento y adoptar medidas preventivas proporcionales.
- Comunicación de la Comisión (2010): "Un enfoque global de la protección de los datos personales".
- Reglamento (UE) 2016/679: Norma de eficacia directa aplicable desde el 25 de mayo de 2018.
- Directiva (UE) 2016/680: Específica para el ámbito penal y autoridades competentes.
Relación de la ley orgánica con el derecho de la unión europea
Aunque los Reglamentos europeos tienen aplicabilidad directa, la Ley Orgánica 3/2018 no es una mera reproducción. Su existencia se justifica por el principio de seguridad jurídica en dos vertientes:
- Vertiente positiva: Integrar el ordenamiento europeo de forma clara para que sea comprensible por ciudadanos y operadores jurídicos.
- Vertiente negativa: Eliminar la incertidumbre derogando o modificando normas internas incompatibles con el marco europeo.
Podrás notar que la ley hace uso de las "habilitaciones" del RGPD (especialmente las mencionadas en su considerando 8), permitiendo al legislador nacional especificar, interpretar o complementar las normas europeas cuando sea necesario para la coherencia del sistema jurídico interno.
Garantía de los derechos digitales en el entorno de internet
Una de las mayores innovaciones de esta ley es la incorporación de un sistema de garantía de derechos digitales. El legislador reconoce que Internet es una realidad omnipresente donde los poderes públicos deben promover la igualdad y el pleno ejercicio de los derechos fundamentales.
Estructura sistemática y novedades por títulos
La ley se estructura en diez títulos que abarcan desde los principios generales hasta el régimen sancionador y los derechos digitales:
Disposiciones generales y principios
El Título I y Título II establecen el objeto doble de la ley: adaptar el ordenamiento al RGPD y garantizar derechos digitales. Entre las novedades destacan:
- Datos de personas fallecidas: Se permite a herederos o personas vinculadas solicitar acceso, rectificación o supresión, salvo prohibición expresa del finado.
- Consentimiento: Se elimina el "consentimiento tácito". Ahora debe ser una clara acción afirmativa.
- Edad de consentimiento: Se fija en los 14 años en España.
- Categorías especiales de datos: Se mantiene la prohibición de crear "listas negras" (ej. sindicalistas) basadas únicamente en el consentimiento si el fin es discriminatorio.
Derechos y tratamientos específicos
El Título III y Título IV regulan los derechos de los afectados (acceso, rectificación, supresión, oposición, limitación y portabilidad) y supuestos concretos de tratamiento:
- Información por capas: Permite dar una información básica inmediata y una detallada mediante enlace electrónico.
- Presunciones iuris tantum: Se establecen supuestos donde se presume la prevalencia del interés legítimo del responsable si se cumplen ciertos requisitos.
- Interés público: Base legal para tratamientos como la videovigilancia o sistemas de exclusión publicitaria (Listas Robinson).
Responsabilidad activa y autoridades de control
El Título V, Título VI y Título VII desarrollan la gobernanza de los datos:
- Figura clave que puede ser obligatoria o voluntaria y actúa como mediador en reclamaciones.
- Se configura como una autoridad administrativa independiente que se relaciona con el Gobierno a través del .
Procedimiento y régimen sancionador
El Título VIII y Título IX abordan la respuesta ante vulneraciones:
- Se implanta el modelo de ventanilla única para tratamientos transfronterizos.
- Las infracciones se clasifican en muy graves, graves y leves, principalmente para determinar los plazos de prescripción.
Derechos digitales (Título X)
Este título final reconoce derechos como la neutralidad de la Red, el derecho al olvido, la desconexión digital en el ámbito laboral y la protección de menores en el entorno digital.
TÍTULO I. Disposiciones generales
Fundamentos y objetivos de la norma
El objeto de la ley, definido en el artículo 1, se articula sobre una doble necesidad jurídica. En primer lugar, busca la adaptación del ordenamiento jurídico español al Reglamento (UE) 2016/679 (RGPD), funcionando como una norma complementaria que desarrolla y precisa las disposiciones europeas en el contexto nacional. En segundo lugar, tiene como fin primordial garantizar los derechos digitales de la ciudadanía, dando cumplimiento al mandato constitucional del artículo 18.4 de la Constitución Española.
Delimitación del ámbito de aplicación
El artículo 2 establece un alcance extensivo pero con fronteras precisas. La normativa se aplica a:
- Cualquier tratamiento total o parcialmente automatizado de datos personales.
- El tratamiento no automatizado, siempre que los datos estén contenidos o destinados a ser incluidos en un fichero.
No obstante, se establecen exclusiones taxativas donde esta ley no tendrá vigor:
- Tratamientos excluidos por el propio artículo 2.2 del RGPD.
- Tratamientos de datos de personas fallecidas (sin perjuicio de las facultades de acceso que veremos más adelante).
- Tratamientos sometidos a la normativa sobre (secretos oficiales).
Para aquellos tratamientos que afecten a actividades no comprendidas en el ámbito del Derecho de la UE, se seguirá el siguiente orden de prelación normativa:
- 1. Legislación específica (si existiera).
- 2. RGPD y LOPDGDD (de forma supletoria).
Tratamientos con regímenes jurídicos singulares
Podrás observar que el legislador ha identificado sectores donde la protección de datos convive con otras leyes orgánicas de gran calado. En estos casos, el RGPD y la LOPDGDD se aplican de forma armónica con las normas sectoriales:
- Tratamientos realizados al amparo de la legislación del régimen electoral general.
- Incluye instituciones penitenciarias, Registro Civil, de la Propiedad y Mercantiles.
- Los tratamientos derivados de procesos judiciales y la gestión de la Oficina Judicial se rigen por esta ley y el RGPD, respetando siempre la Ley Orgánica 6/1985 del Poder Judicial.
- La gestión de la Oficina Fiscal sigue el mismo esquema, respetando el Estatuto Orgánico del Ministerio Fiscal y las leyes procesales.
Régimen jurídico de las personas fallecidas
El artículo 3 introduce una novedad relevante respecto a la protección de datos post-mortem. Aunque el fallecimiento extingue la personalidad civil, se reconoce un derecho de gestión sobre sus datos a terceras personas.
Podrán solicitar el acceso, rectificación o supresión:
- Personas vinculadas por razones familiares o de hecho.
- Los herederos del fallecido.
Existen, sin embargo, limitaciones críticas a este derecho:
- Prohibición expresa: No se podrá acceder ni alterar los datos si el fallecido lo hubiese prohibido expresamente en vida o si una ley así lo establece.
- Salvaguarda patrimonial: A pesar de existir una prohibición del fallecido, los herederos siempre mantendrán el derecho de acceso a los datos de carácter patrimonial del causante.
TÍTULO II. Principios de protección de datos
Exactitud de los datos personales
El principio de exactitud constituye uno de los pilares fundamentales para garantizar un tratamiento de datos justo y veraz. Debes considerar que, según el artículo 4 de la LOPDGDD y en consonancia con el artículo 5.1.d) del RGPD, los datos deben ser exactos y, si fuera necesario, estar permanentemente actualizados.
Una de las novedades más relevantes de este precepto es la delimitación de la responsabilidad del responsable del tratamiento. Podrás observar que no se le imputará la inexactitud de los datos, siempre que haya adoptado medidas razonables para su supresión o rectificación, en los siguientes escenarios:
- Datos obtenidos directamente del afectado.
- Datos obtenidos a través de un mediador o intermediario, siempre que la normativa sectorial permita su intervención. En este caso, la responsabilidad recae sobre el mediador si transmite datos que no coinciden con los facilitados por el afectado.
- Datos recibidos de otro responsable mediante el ejercicio del derecho a la portabilidad (artículo 20 del RGPD).
- Datos obtenidos directamente de un .
Deber de confidencialidad y secreto profesional
El deber de confidencialidad obliga tanto a responsables como a encargados del tratamiento, extendiéndose a cualquier persona que intervenga en cualquier fase del flujo de datos. Este deber, regulado en el artículo 5, presenta estas características técnicas:
- Es una obligación complementaria a los deberes de secreto profesional que ya existan por normativa específica.
- Posee una naturaleza indefinida: la obligación persiste incluso después de que haya finalizado la relación del obligado con el responsable o encargado del tratamiento.
El consentimiento del afectado como base legitimadora
De acuerdo con el artículo 6, el consentimiento se define como una manifestación de voluntad que debe reunir cuatro requisitos acumulativos: libre, específica, informada e inequívoca. No se admite el consentimiento tácito; se requiere una declaración o una clara acción afirmativa.
Es fundamental que tengas presente la prohibición de la vinculación contractual injustificada: no se puede supeditar la ejecución de un contrato a que el afectado consienta tratamientos de datos que no tengan relación con el mantenimiento o desarrollo de dicha relación contractual.
Tratamiento de datos de menores de edad
La normativa española establece un umbral de edad específico para que el menor pueda prestar su consentimiento de forma autónoma. Según el artículo 7, debes distinguir dos franjas temporales críticas:
- Mayores de 14 años: El tratamiento de sus datos puede fundarse válidamente en su propio consentimiento, salvo que la ley exija la asistencia de los titulares de la para el negocio jurídico subyacente.
- Menores de 14 años: El tratamiento solo será lícito si consta el consentimiento de los titulares de la patria potestad o tutela, y únicamente en la medida en que estos lo hayan autorizado.
Bases legales por obligación legal, interés público o ejercicio de poderes públicos
El artículo 8 clarifica las condiciones para tratamientos que no dependen del consentimiento del afectado, remitiendo a las bases jurídicas del artículo 6.1.c) y e) del RGPD:
- Obligación legal: Solo se considera válida cuando esté prevista por una norma de o una norma con rango de ley. Esta norma podrá determinar las condiciones generales, tipos de datos y cesiones necesarias.
- Interés público o ejercicio de poderes públicos: El tratamiento solo será lícito cuando derive de una competencia atribuida directamente por una norma con rango de ley.
Tratamiento de categorías especiales de datos
El artículo 9 aborda el tratamiento de datos altamente sensibles. Debes prestar especial atención a la limitación del consentimiento en ciertos ámbitos para evitar conductas discriminatorias.
Para otros supuestos de categorías especiales (salud, seguridad social, etc.), la normativa exige que el tratamiento esté amparado por una norma con rango de ley, la cual podrá establecer requisitos adicionales de seguridad y confidencialidad. Se menciona específicamente que la ley podrá amparar el tratamiento en el ámbito de la salud por gestión sanitaria o para la ejecución de un contrato de seguro.
Tratamiento de datos de naturaleza penal
Finalmente, el artículo 10 regula el tratamiento de datos sobre condenas, infracciones penales o medidas de seguridad cuando el fin no sea estrictamente la prevención o investigación criminal. Observarás que este tratamiento queda restringido a tres fuentes normativas exclusivas:
- Normas de .
- La propia Ley Orgánica 3/2018 (LOPDGDD).
- Otras normas con rango de ley.
TÍTULO III. Derechos de las personas
El sistema de protección de datos en el ordenamiento español se fundamenta en el binomio transparencia-control. El Título III de la Ley Orgánica 3/2018 (LOPDGDD) desarrolla los mecanismos para que el ciudadano mantenga el dominio sobre su información personal, estructurándose en dos pilares: el deber de información por parte de quien trata los datos y la facultad de ejercicio de derechos específicos por parte del titular.
Transparencia e información al afectado
La normativa introduce un modelo de información por capas para evitar la saturación del usuario y garantizar una comprensión efectiva. Según el artículo 11, el puede cumplir con su deber legal facilitando una información básica de primer nivel y remitiendo a una dirección electrónica para la información detallada.
- La identidad del responsable y su representante.
- La finalidad del tratamiento.
- La posibilidad de ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición.
- En caso de elaboración de perfiles, se debe informar explícitamente de esta circunstancia y del derecho a no ser objeto de decisiones individuales automatizadas.
Debes distinguir entre dos escenarios según el origen de los datos:
- Datos obtenidos del afectado: Se aplica el artículo 13 del Reglamento (UE) 2016/679.
- Datos no obtenidos del afectado: Además de la información básica anterior, el debe incluir obligatoriamente las categorías de datos tratadas y las fuentes de procedencia, conforme al artículo 14 del RGPD.
Disposiciones generales sobre el ejercicio de los derechos
El artículo 12 establece el marco procedimental para que los ciudadanos interactúen con los responsables. Estos derechos pueden ejercerse directamente o por medio de representante legal o voluntario.
- La prueba del cumplimiento del deber de responder recae exclusivamente sobre el .
- Los menores de catorce años verán ejercitados sus derechos a través de sus representantes legales (patria potestad).
- El ejercicio es, por regla general, gratuito.
El puede gestionar estas solicitudes si así se estipula en el contrato vinculante con el responsable. Además, no se puede denegar el ejercicio de un derecho simplemente porque el afectado elija un medio de comunicación distinto al ofrecido.
El derecho de acceso y su gestión práctica
El derecho de acceso permite al afectado conocer si sus datos están siendo tratados y obtener una copia de los mismos. El artículo 13 de la LOPDGDD introduce precisiones importantes para evitar abusos o colapsos administrativos:
- Solicitudes genéricas: Si el responsable trata un gran volumen de datos, puede pedir al afectado que especifique a qué datos o actividades se refiere su consulta antes de entregar la información.
- Acceso remoto: Se considera atendido el derecho si se facilita un sistema de acceso directo y seguro que garantice la totalidad de los datos de forma permanente.
- Plazo de reiteración: Se considera que el ejercicio es repetitivo si se realiza más de una vez en el plazo de seis meses, a menos que exista una causa legítima.
Rectificación, supresión y limitación del tratamiento
Estos derechos permiten la depuración de la información y el cese de tratamientos no deseados:
El afectado debe indicar qué datos son inexactos y qué corrección solicita. Es preceptivo acompañar documentación justificativa cuando la naturaleza del dato lo requiera.
Conocido también como "derecho al olvido". Una particularidad relevante es que, cuando la supresión derive de una oposición al tratamiento para mercadotecnia directa, el responsable puede conservar los datos mínimos identificativos para bloquear futuros tratamientos con fines publicitarios.
Consiste en marcar los datos conservados con el fin de limitar su tratamiento futuro. La ley exige que esta limitación conste claramente en los sistemas de información del responsable para evitar errores operativos.
Portabilidad y oposición
Finalmente, los artículos 17 y 18 remiten directamente a la regulación europea, subrayando la importancia de los derechos frente a las nuevas tecnologías:
- El derecho a la portabilidad permite recibir los datos en un formato estructurado y de uso común para transmitirlos a otro responsable.
- El derecho de oposición faculta al interesado a solicitar que no se lleve a cabo un tratamiento basado en el interés público o interés legítimo, salvo que el responsable acredite motivos imperiosos.
- Se incluye específicamente la protección frente a decisiones automatizadas y la elaboración de perfiles, garantizando el derecho a la intervención humana en procesos algorítmicos que afecten significativamente al individuo.
TÍTULO IV. Disposiciones aplicables a tratamientos concretos
El Título IV de la Ley Orgánica 3/2018 (LOPDGDD) constituye uno de los pilares más prácticos de la normativa, ya que establece presunciones de licitud para tratamientos que, de otro modo, podrían generar inseguridad jurídica. Debes entender que estas presunciones admiten prueba en contrario, pero facilitan la operativa diaria en ámbitos empresariales, financieros y de seguridad.
Tratamiento de datos de contacto y de empresarios individuales
El artículo 19 regula el tratamiento de datos de personas físicas que prestan servicios en una persona jurídica y de empresarios individuales. La norma busca facilitar el tráfico mercantil sin necesidad de recabar el consentimiento constante para fines puramente profesionales.
- Presunción de licitud: Se basa en el interés legítimo (artículo 6.1.f del RGPD).
- Requisitos para personas jurídicas: El tratamiento debe limitarse a los datos necesarios para la localización profesional y la finalidad debe ser únicamente mantener relaciones con la entidad jurídica.
- Empresarios y profesionales liberales: La presunción opera igual siempre que el tratamiento se refiera a ellos exclusivamente en su condición de tales y no para entablar una relación privada.
Sistemas de información crediticia
El artículo 20 es crítico para el sector financiero. Regula los conocidos "ficheros de morosos", estableciendo garantías estrictas para proteger el honor del deudor frente a inclusiones indebidas.
- Los datos deben ser facilitados por el .
- Deuda cierta, vencida y exigible.
- No debe existir una reclamación administrativa o judicial previa por parte del deudor.
- Información previa al afectado en el contrato o en el requerimiento de pago.
Respecto a la gestión del sistema, debes retener los siguientes plazos y obligaciones:
- 30 días: El titular del sistema debe notificar al afectado la inclusión, dándole este plazo para ejercitar sus derechos. Durante este tiempo, los datos permanecen bloqueados.
- 5 años: Es el límite máximo de permanencia de los datos en el sistema desde el vencimiento de la obligación.
- Corresponsabilidad: Tanto la entidad que mantiene el sistema como el acreedor son .
Operaciones de modificación estructural y mercantil
El artículo 21 facilita las fusiones, escisiones o transmisiones de negocio. Se presume lícito el tratamiento y comunicación de datos necesarios para el buen fin de la operación y la continuidad del servicio.
Debes tener en cuenta una regla de oro: si la operación mercantil no llega a concluirse, la entidad que recibió los datos debe proceder a su supresión inmediata, sin que sea necesaria la obligación de bloqueo ordinaria.
Tratamientos con fines de videovigilancia
El artículo 22 regula uno de los tratamientos más intrusivos y comunes. La finalidad principal debe ser la seguridad de personas, bienes e instalaciones.
- Captación de vía pública: Solo la medida estrictamente imprescindible. Se permiten excepciones para infraestructuras estratégicas o de transporte, pero jamás se puede grabar el interior de un domicilio privado.
- Plazo de conservación: Máximo de un mes. Si deben conservarse para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones, deben ponerse a disposición de la en un máximo de 72 horas.
- Deber de información: Se cumple mediante un dispositivo informativo (cartel) visible que identifique al responsable y el ejercicio de derechos.
Sistemas de exclusión publicitaria
El artículo 23 regula mecanismos como la "Lista Robinson". Su objetivo es garantizar el derecho de los ciudadanos a no recibir publicidad no deseada.
- Es obligatorio para quienes realicen mercadotecnia directa consultar estos sistemas antes de iniciar campañas.
- La publicará en su sede electrónica los sistemas de exclusión comunicados oficialmente.
- Excepción: No es necesario consultar el sistema si el afectado ha prestado, conforme a esta ley orgánica, su consentimiento para recibir la comunicación a quien pretenda realizarla.
Otros tratamientos específicos
La ley también contempla situaciones de interés público o cumplimiento normativo:
- Artículo 24: Declara lícitos los tratamientos para la protección de informantes (whistleblowing) sobre infracciones normativas.
- Artículo 25: En el ámbito de la función estadística pública, se rige por su legislación específica. Los datos de categorías especiales (salud, religión, etc.) requieren siempre consentimiento expreso. El secreto estadístico puede limitar el ejercicio de derechos de acceso o rectificación.
- Artículo 26: Permite el tratamiento con fines de archivo en interés público por las Administraciones Públicas, respetando la normativa de Patrimonio Histórico Español.
- Artículo 27: Establece que el tratamiento de datos sobre infracciones y sanciones administrativas exige, a los efectos del artículo 86 del RGPD, que el responsable sea el órgano competente para la instrucción del procedimiento sancionador, la declaración de las infracciones o la imposición de las sanciones, y que se limite a los datos estrictamente necesarios.
- 30 días: Bloqueo y notificación en sistemas crediticios.
- 5 años: Límite máximo en ficheros de solvencia patrimonial.
- 1 mes: Conservación general de imágenes de videovigilancia.
- 72 horas: Entrega a la autoridad de las grabaciones conservadas para acreditar actos contra la integridad de personas, bienes o instalaciones.
TÍTULO V. Responsable y encargado del tratamiento
Disposiciones generales y medidas de responsabilidad activa
El principio de responsabilidad proactiva exige que, como responsable o encargado, no solo cumplas con la normativa, sino que seas capaz de demostrarlo. Según el artículo 28 de la LOPDGDD, debes determinar las medidas técnicas y organizativas apropiadas basándote en los elementos del RGPD (artículos 24 y 25), valorando siempre la necesidad de realizar una evaluación de impacto o una consulta previa.
- Tratamientos que puedan generar discriminación, usurpación de identidad o fraude.
- Privación de derechos y libertades o impedimento del control sobre los datos.
- Tratamiento no incidental de categorías especiales de datos (artículos 9 y 10 RGPD).
- Elaboración de perfiles personales para predecir rendimiento laboral, salud o localización.
- Tratamiento de datos de colectivos vulnerables, con énfasis en menores de edad y personas con discapacidad.
- Tratamientos masivos o transferencias habituales a terceros países sin nivel adecuado de protección.
En casos de corresponsabilidad (artículo 29), la responsabilidad se determinará según las actividades que efectivamente desarrolle cada parte. Si el responsable no está establecido en la UE pero trata datos de afectados en España (artículo 30), la podrá imponer medidas al representante de forma solidaria.
Registro de actividades y la obligación de bloqueo
El Registro de Actividades de Tratamiento (RAT) es una pieza documental básica. Debes mantenerlo actualizado y, si has designado un Delegado de Protección de Datos (DPD), comunicarle cualquier cambio. Un aspecto crucial para los sujetos del sector público (artículo 77.1) es la obligación de hacer público un inventario de sus actividades accesible por medios electrónicos.
El bloqueo de datos (artículo 32) es una de las figuras más singulares del derecho español. Consiste en la identificación y reserva de los datos para impedir su tratamiento ordinario.
- ¿Cuándo? Al proceder a la rectificación o supresión.
- ¿Para qué? Solo para puesta a disposición de o autoridades de protección de datos.
- ¿Cuánto tiempo? Durante el plazo de prescripción de las responsabilidades derivadas del tratamiento.
- Final del ciclo: Una vez prescritas las acciones, se debe proceder a la destrucción de los datos.
El encargado del tratamiento
La relación entre el responsable y el encargado es estrictamente funcional. El artículo 33 aclara que el acceso del encargado a los datos no constituye una comunicación o cesión, siempre que se ciña a la prestación del servicio contratado.
- Responsable de facto: Si un encargado utiliza los datos para sus propias finalidades o actúa en nombre propio frente a los afectados, pasará a ser legalmente considerado como responsable del tratamiento.
- Destino de los datos: Al finalizar el servicio, los datos deben ser destruidos, devueltos o entregados a un nuevo encargado, según decida el responsable, salvo que exista una obligación legal de conservación.
- Sector Público: Se permite que las competencias de encargado se atribuyan mediante una norma reguladora a órganos específicos de la Administración.
El delegado de protección de datos (DPD)
La LOPDGDD detalla en su artículo 34 una lista extensa de entidades obligadas a designar un DPD, más allá de los criterios generales del RGPD. Observarás que la ley busca cubrir sectores de especial sensibilidad o que manejan grandes volúmenes de información.
- Colegios profesionales, centros docentes y Universidades.
- Entidades de crédito, aseguradoras y empresas de servicios de inversión.
- Operadores de comunicaciones electrónicas y servicios de la sociedad de la información (si hay perfilado a gran escala).
- Centros sanitarios (excepto profesionales a título individual).
- Empresas de seguridad privada y federaciones deportivas (si tratan datos de menores).
La designación, ya sea obligatoria o voluntaria, debe comunicarse a la en el plazo de diez días. En cuanto a su cualificación, el artículo 35 valora especialmente la certificación y titulaciones que acrediten conocimientos en derecho y práctica de protección de datos.
Garantía de independencia: El DPD no puede ser removido ni sancionado por el ejercicio de sus funciones, salvo dolo o negligencia grave. Además, tiene acceso ilimitado a los datos y procesos, sin que se le pueda oponer el deber de secreto.
Intervención del DPD en caso de reclamación
El DPD actúa como un filtro mediador para agilizar la resolución de conflictos antes de llegar a la autoridad de control (artículo 37):
- Vía previa voluntaria: El afectado puede dirigirse al DPD antes de reclamar a la AEPD. El DPD tiene un plazo máximo de dos meses para responder.
- Remisión desde la Autoridad: Si el afectado reclama directamente a la AEPD, esta puede remitir la queja al DPD para que este responda en el plazo de un mes.
Códigos de conducta y certificación
Finalmente, los artículos 38 y 39 fomentan la autorregulación. Los códigos de conducta son vinculantes para quienes se adhieran y pueden incluir sistemas de resolución extrajudicial de conflictos. Estos códigos deben ser aprobados por la (o autoridades autonómicas) y se inscribirán en registros interconectados. Por su parte, la acreditación de las instituciones de certificación podrá ser realizada por la (Entidad Nacional de Acreditación).
TÍTULO VI. Transferencias internacionales de datos
Marco normativo de las transferencias internacionales
El régimen jurídico que regula el flujo de datos personales hacia terceros países u organizaciones internacionales se fundamenta en una estructura multinivel. Debes comprender que estas operaciones no se rigen de forma aislada, sino que están sujetas a la jerarquía normativa establecida en el Artículo 40 de la ley orgánica. Este marco incluye:
- El Reglamento (UE) 2016/679 (RGPD) como norma de cabecera y base armonizadora en toda la Unión Europea.
- La propia Ley Orgánica 3/2018 (LOPDGDD) y sus normas de desarrollo dictadas por el Gobierno.
- Las circulares emanadas de la y, en su caso, de las autoridades autonómicas competentes.
Instrumentos de garantía y mecanismos de adopción
Para que una transferencia sea lícita, el Artículo 41 detalla los instrumentos que las autoridades pueden adoptar para dotar de garantías adecuadas a las exportaciones de datos:
Transferencias sujetas a autorización previa
En ausencia de una decisión de adecuación de la Comisión Europea o de las garantías estándar mencionadas anteriormente, el Artículo 42 establece que las transferencias requerirán una autorización expresa de la autoridad de control. Podrás identificar dos supuestos principales para esta solicitud:
- Cláusulas contractuales "ad hoc": Cuando la transferencia se base en acuerdos contractuales que no sigan los modelos tipo aprobados por la Comisión o las autoridades.
- Acuerdos internacionales no normativos: Aplicable a responsables o encargados del sector público (artículo 77.1) que utilicen memorandos de entendimiento u otros instrumentos que, aunque no sean normativos, garanticen derechos efectivos y exigibles para los afectados.
Obligaciones de información ante intereses legítimos
El Artículo 43 regula un supuesto residual y excepcional basado en el último párrafo del artículo 49.1 del RGPD. Este se produce cuando la transferencia no puede basarse en decisiones de adecuación ni en garantías suficientes, pero es necesaria para intereses legítimos imperiosos del responsable.
En estos casos, el responsable del tratamiento asume una doble obligación de transparencia:
- Debe informar previamente a la o autoridad autonómica sobre la transferencia y la concurrencia de los requisitos legales.
- Debe informar a los afectados de forma clara sobre la realización de la transferencia y la naturaleza de esos intereses legítimos imperiosos que la justifican.
TÍTULO VII. Autoridades de protección de datos
Naturaleza y régimen jurídico de la Agencia Española de Protección de Datos
La se configura como una autoridad administrativa independiente de ámbito estatal, dotada de personalidad jurídica propia y plena capacidad pública y privada. Debes considerar que, aunque se relaciona con el Gobierno a través del , actúa con absoluta independencia de los poderes públicos en el ejercicio de sus funciones, tal como establece el artículo 44.
Su régimen jurídico es híbrido pero jerarquizado:
- Se rige primordialmente por el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
- De forma supletoria, se aplica la Ley 40/2015 de Régimen Jurídico del Sector Público.
- Su estructura interna y funcionamiento detallado se plasman en su Estatuto, aprobado por el Gobierno mediante Real Decreto.
Régimen económico, presupuestario y de personal
Para garantizar su autonomía, la AEPD elabora su propio presupuesto, que se integra de forma independiente en los Presupuestos Generales del Estado. Podrás observar que la ley otorga a la Presidencia facultades específicas para gestionar este presupuesto:
- Puede autorizar modificaciones presupuestarias de hasta un 3% de la cifra inicial, siempre que no afecten a gastos de personal.
- Las modificaciones de hasta el 5% requieren autorización del .
- Cualquier cifra superior debe ser autorizada por el .
En cuanto al personal, la Agencia se nutre de funcionarios y personal laboral. Es fundamental que identifiques que los puestos que impliquen el ejercicio de potestades públicas o la salvaguarda de intereses generales deben ser desempeñados exclusivamente por .
La presidencia de la agencia y el sistema de nombramiento
La dirección de la autoridad recae en la , asistida por un . Ambos actúan con plena objetividad y no están sujetos a instrucción alguna. El proceso de designación es un punto crítico que debes estudiar con rigor por su complejidad parlamentaria según el artículo 48:
- El mandato tiene una duración de 5 años, renovable por un periodo igual.
- La propuesta parte del Gobierno (Ministerio de Justicia) tras una convocatoria pública de candidatos basada en mérito y capacidad.
- La debe ratificar el nombramiento por mayoría de tres quintos en primera votación.
- Si no se logra, basta la mayoría absoluta en segunda votación, siempre que los votos procedan de al menos dos grupos parlamentarios diferentes.
El consejo consultivo
Se trata de un órgano de asesoramiento, no ejecutivo, cuyas decisiones no tienen carácter vinculante. Su composición es multidisciplinar para asegurar una visión transversal de la sociedad (artículo 49). Entre sus miembros se encuentran representantes del Congreso, Senado, CGPJ, expertos propuestos por la FEMP, organizaciones empresariales, sindicatos y expertos en transparencia.
Debes recordar que los miembros que actúen como expertos deben acreditar conocimientos especializados en la materia y que el Consejo se reúne, como mínimo, una vez al semestre.
Potestades de investigación y deber de colaboración
La Agencia no solo reacciona ante denuncias, sino que tiene una capacidad proactiva de investigación. El personal inspector tiene la consideración de agente de la autoridad y está sujeto a un estricto deber de secreto profesional.
- Alcance de la inspección: Pueden realizar inspecciones físicas, acceder a equipos lógicos, obtener copias de documentos y requerir la ejecución de programas.
- Límite domiciliario: Para acceder a un domicilio constitucionalmente protegido se requiere el consentimiento del titular o autorización judicial.
- El artículo 53 bis permite realizar actuaciones mediante videoconferencia u otros sistemas digitales, siempre que el inspeccionado esté conforme.
El artículo 52 establece un deber general de colaboración. Las Administraciones Públicas y los particulares deben facilitar los datos necesarios. En casos de difícil identificación del responsable, la AEPD puede requerir datos a operadores de telecomunicaciones (como la IP o el titular de una línea), pero bajo condiciones estrictas:
Planes de auditoría y potestades regulatorias
La Presidencia puede acordar planes de auditoría preventiva sobre sectores específicos de actividad. Estos planes concluyen con la emisión de directrices que, a diferencia de las simples recomendaciones, son de obligado cumplimiento para los responsables del sector afectado.
Asimismo, la AEPD ejerce su potestad normativa a través de las Circulares. Estas disposiciones fijan los criterios de aplicación de la ley y son obligatorias una vez publicadas en el BOE, previa audiencia de los interesados e informes técnicos pertinentes.
Autoridades autonómicas de protección de datos
La LOPDGDD reconoce la existencia de autoridades autonómicas (como en Cataluña, País Vasco o Andalucía) con competencias limitadas al ámbito territorial y subjetivo de su comunidad (artículo 57). Sus funciones se centran en:
- Tratamientos del sector público autonómico y local.
- Entidades que presten servicios públicos en dicha comunidad.
- Tratamientos previstos en sus respectivos Estatutos de Autonomía.
En el marco de la cooperación institucional, la Presidencia de la AEPD convocará reuniones semestrales con las autoridades autonómicas para asegurar una aplicación coherente de la normativa en todo el Estado.
TÍTULO VIII. Procedimientos en caso de posible vulneración de la normativa de protección de datos
El marco normativo que regula los procedimientos ante la (AEPD) constituye el pilar procedimental para la tutela de los derechos ciudadanos y la potestad sancionadora del Estado en materia de privacidad. Según el artículo 63, este régimen jurídico se fundamenta en una jerarquía normativa donde prima el Reglamento (UE) 2016/679 (RGPD), seguido de la presente ley orgánica y sus desarrollos reglamentarios, aplicando de forma subsidiaria las normas generales del procedimiento administrativo común.
Naturaleza y tipología de los procedimientos
Debe distinguirse entre dos vertientes principales de actuación administrativa que determinan plazos y efectos jurídicos diferenciados:
- Procedimientos por falta de atención de derechos: Se activan cuando un afectado reclama que no se han satisfecho sus derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad o a no ser objeto de decisiones automatizadas (artículos 15 a 22 del RGPD).
- Procedimientos de investigación de infracciones: Dirigidos a determinar la existencia de vulneraciones tanto del Reglamento Europeo como de la ley orgánica nacional.
Iniciación y plazos de resolución
La duración del procedimiento es un factor crítico para la seguridad jurídica. El artículo 64 establece una estructura temporal rigurosa dependiendo del objeto de la reclamación:
- Iniciación: Mediante acuerdo de admisión a trámite.
- Plazo máximo: 6 meses desde la notificación de la admisión.
- Efecto del silencio: Estimatorio (el interesado podrá considerar estimada su reclamación).
- Iniciación: Mediante acuerdo de inicio (de oficio o por reclamación).
- Plazo máximo: 12 meses desde la fecha del acuerdo de inicio.
- Efecto del silencio: Caducidad y archivo de las actuaciones.
- Naturaleza: Medida correctiva previa o alternativa a la sanción pecuniaria.
- Plazo máximo: 6 meses desde el acuerdo de inicio.
- Efecto del silencio: Caducidad.
Suspensión automática de plazos
Podrás observar que los plazos de tramitación y de actuaciones previas no son absolutos. El artículo 64.5 estipula que se suspenderán automáticamente cuando:
- Sea necesario realizar consultas o solicitar asistencia al o a otras autoridades de control de la Unión Europea.
- Se requiera un pronunciamiento preceptivo de un órgano de la Unión.
Además, el artículo 64.6 permite suspender estos plazos, mediante resolución motivada, cuando resulte indispensable recabar información de un .
Admisión a trámite de las reclamaciones
La actúa como un filtro jurídico inicial. El artículo 65 detalla los supuestos de inadmisión, que incluyen reclamaciones que no versen sobre protección de datos, carezcan de fundamento, sean abusivas o no aporten indicios racionales de infracción.
Un mecanismo innovador de esta ley es la remisión previa. Antes de admitir a trámite, la Agencia puede derivar la reclamación a:
- El (DPD) de la entidad.
- Organismos de supervisión de códigos de conducta.
- Entidades de resolución extrajudicial de conflictos.
En estos casos, el responsable dispone de 1 mes para dar respuesta. El plazo total para que la AEPD notifique la admisión o inadmisión es de 3 meses. Si transcurre ese tiempo sin notificación, se entiende que la tramitación prosigue.
Actuaciones previas de investigación
El artículo 67 regula la fase de instrucción preliminar. Estas actuaciones buscan determinar si concurren circunstancias que justifiquen la apertura de un procedimiento. Su duración máxima es de 18 meses, un plazo significativamente amplio diseñado para investigaciones complejas.
Medidas provisionales y garantía de derechos
Para evitar daños irreparables durante la investigación o el procedimiento, la puede acordar medidas cautelares según el artículo 69:
- Bloqueo cautelar de datos: Impedir su uso mientras se resuelve el fondo.
- Cesación del tratamiento: Orden de detener cualquier operación sobre los datos.
- Inmovilización: Medida de ejecución forzosa en caso de incumplimiento de los mandatos de la Agencia.
- Obligación inmediata de atender el derecho solicitado, incluso antes de iniciar el procedimiento sancionador.
Determinación del alcance territorial
En el contexto del Mercado Único Digital, el artículo 66 obliga a la Agencia a evaluar si el procedimiento es de carácter nacional o transfronterizo. Si la AEPD determina que no es la , debe remitir la reclamación a la autoridad de control principal que considere competente, notificándolo al reclamante y procediendo al archivo provisional de las actuaciones en España.
TÍTULO IX. Régimen sancionador
El régimen sancionador de la Ley Orgánica 3/2018 (LOPDGDD) actúa como el brazo ejecutor de las garantías previstas en el Reglamento (UE) 2016/679 (RGPD). Debes entender este título como el catálogo que define quiénes pueden ser castigados, por qué conductas y qué consecuencias enfrentarán, adaptando las disposiciones europeas a la realidad jurídica española.
Sujetos responsables y exclusiones
La determinación de quién es responsable ante una infracción es el primer paso para cualquier análisis jurídico. El artículo 70 establece una lista taxativa de sujetos que pueden ser objeto de sanciones:
- Los responsables del tratamiento y los encargados del tratamiento.
- Los representantes de responsables o encargados no establecidos en la Unión Europea.
- Las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta.
Clasificación y prescripción de las infracciones
La LOPDGDD realiza una labor de tipificación detallada, dividiendo las infracciones en tres categorías según su gravedad. Esta clasificación es fundamental, ya que de ella depende el plazo de prescripción de la infracción.
Prescriben a los tres años. Se consideran tales las vulneraciones sustanciales del RGPD, incluyendo:
- El tratamiento de datos vulnerando los principios de protección de datos (Art. 5 RGPD).
- Tratar datos sin una base de licitud adecuada (Art. 6 RGPD).
- El incumplimiento de los requisitos para la validez del consentimiento.
- El tratamiento de categorías especiales de datos (datos sensibles) sin cumplir las excepciones legales.
- La vulneración del deber de confidencialidad.
- La reversión deliberada de un procedimiento de anonimización para reidentificar personas.
Prescriben a los dos años. Se centran en fallos de gestión y falta de diligencia técnica:
- Tratar datos de menores de edad sin recabar el consentimiento necesario.
- No adoptar las medidas técnicas y organizativas desde el diseño y por defecto.
- No designar un Delegado de Protección de Datos cuando sea obligatorio.
- No disponer del Registro de Actividades de Tratamiento (RAT).
- No notificar violaciones de seguridad a la autoridad o a los afectados.
Prescriben al año. Son infracciones de carácter meramente formal:
- El incumplimiento del principio de transparencia (información incompleta).
- No publicar los datos de contacto del DPD.
- No documentar una brecha de seguridad.
- Disponer de un Registro de Actividades incompleto.
Interrupción de la prescripción y graduación de sanciones
Podrás observar que el artículo 75 regula la interrupción de la prescripción. Esta se produce con la iniciación del procedimiento sancionador con conocimiento del interesado. No obstante, el plazo vuelve a correr si el expediente se paraliza durante más de seis meses por causas ajenas al infractor.
En cuanto a la determinación de la cuantía de la sanción, el artículo 76 complementa los criterios del RGPD con factores específicos nacionales para asegurar la proporcionalidad:
- El carácter continuado de la infracción.
- La vinculación de la actividad del infractor con el tratamiento de datos.
- Los beneficios económicos obtenidos.
- La afectación a los derechos de los menores.
- El hecho de disponer de un DPD de forma voluntaria (actúa como atenuante).
Régimen especial para el sector público
El artículo 77 establece una de las mayores particularidades del sistema español: el régimen para Administraciones Públicas, órganos constitucionales, universidades públicas y otras entidades del sector público.
Cuando estas entidades cometen una infracción, la no impone una multa económica, sino que dicta una resolución que:
- Declara la infracción cometida.
- Establece medidas correctoras para que cese la conducta.
- Propone la iniciación de actuaciones disciplinarias contra los responsables si existen indicios.
- En caso de ignorar recomendaciones técnicas previas, puede incluir una amonestación con nombre del cargo responsable para su publicación oficial.
Prescripción de las sanciones impuestas
Una vez que la sanción ha sido impuesta mediante resolución firme, el artículo 78 define los plazos en los que la Administración pierde el derecho a cobrar o ejecutar dicha sanción:
- Importe ≤ 40.000 euros: Prescribe al año.
- Importe entre 40.001 y 300.000 euros: Prescribe a los dos años.
- Importe > 300.000 euros: Prescribe a los tres años.
Medidas provisionales y de garantía
No debes olvidar que, según el artículo 69, la tiene potestad para actuar antes de finalizar el procedimiento. Si existe un riesgo grave para el derecho fundamental, puede ordenar el bloqueo cautelar de los datos o la cesación inmediata del tratamiento. Estas medidas son fundamentales para evitar daños irreparables mientras se dirime la responsabilidad final.
TÍTULO X. Garantía de los derechos digitales
El Título X de la Ley Orgánica 3/2018 (LOPDGDD) representa una innovación legislativa fundamental que reconoce y garantiza que los derechos y libertades consagrados en la Constitución Española y en los Tratados Internacionales son plenamente aplicables en el entorno digital. Debes entender este bloque no como una creación de nuevos derechos desde cero, sino como la adaptación de los derechos fundamentales al ecosistema de Internet.
Principios rectores y acceso universal
El legislador establece una serie de mandatos dirigidos tanto a los poderes públicos como a los prestadores de servicios para asegurar que la brecha digital no se convierta en una nueva forma de exclusión social.
- Derecho a la neutralidad de Internet: Los proveedores deben ofrecer una oferta transparente sin discriminación por motivos técnicos o económicos (Art. 80).
- Derecho de acceso universal: Se garantiza un acceso asequible y de calidad, con especial atención a la superación de la brecha de género, la brecha generacional (mayores) y la realidad de los entornos rurales (Art. 81).
- Derecho a la seguridad digital: Los usuarios tienen derecho a la seguridad de sus comunicaciones y a ser informados sobre sus derechos por parte de los proveedores (Art. 82).
Derecho a la educación digital y protección de menores
La alfabetización digital se configura como una obligación del sistema educativo. No basta con saber usar la tecnología; es imperativo conocer los riesgos y los valores constitucionales asociados a ella.
- Sistema Educativo: Inserción del alumnado en la sociedad digital, consumo responsable y uso crítico.
- Formación del Profesorado: El profesorado debe recibir competencias digitales para transmitir estos valores.
- Universidad: Los planes de estudio deben garantizar la formación en derechos fundamentales en Internet.
- Empleo Público: Los temarios de acceso a cuerpos superiores deben incluir materias de protección de datos.
En cuanto a la protección de los menores (Art. 84 y 92), la ley establece que los tutores legales deben velar por un uso equilibrado de los dispositivos. Es crucial destacar que, ante cualquier difusión de imágenes de menores que suponga una intromisión ilegítima en sus derechos, el está legitimado para intervenir e instar medidas cautelares.
Derechos de rectificación y actualización en el entorno digital
Podrás observar que la ley adapta el derecho de rectificación clásico a las particularidades de los medios digitales y redes sociales.
- Derecho de rectificación: Los responsables de redes sociales deben tener protocolos para rectificar contenidos que atenten contra el honor o la intimidad. Los medios digitales deben añadir un aviso aclaratorio visible junto a la noticia original si esta ha sido rectificada (Art. 85).
- Derecho a la actualización: Permite solicitar que se incluya un aviso de actualización cuando la noticia original no refleje la situación actual del interesado por hechos posteriores (especialmente relevante en procesos judiciales que terminan en absolución) (Art. 86).
Derechos digitales en el ámbito laboral
Los artículos 87 a 91 regulan el equilibrio entre la facultad de control del empresario y la intimidad del trabajador.
- Intimidad y dispositivos (Art. 87): El empleador puede acceder a los contenidos de dispositivos facilitados solo para controlar obligaciones laborales y garantizar la integridad del dispositivo. Si se permite el uso privado, deben especificarse los usos autorizados y periodos de uso.
- Videovigilancia (Art. 89): Se permite para control laboral si se informa previamente de forma expresa. No obstante, existe una prohibición absoluta de instalar cámaras en vestuarios, aseos o comedores.
- Geolocalización (Art. 90): El empleador debe informar de forma expresa, clara e inequívoca sobre la existencia de estos sistemas y el ejercicio de derechos de acceso o supresión.
El derecho al olvido y la portabilidad
La ley distingue dos escenarios para el derecho al olvido, dependiendo de dónde se encuentre la información:
En buscadores: Permite eliminar enlaces de la lista de resultados si la información es inadecuada, inexacta, no pertinente o excesiva, incluso si la fuente original sigue siendo lícita.
En redes sociales: Permite la supresión de datos facilitados por uno mismo a simple solicitud. Si los datos fueron facilitados por terceros, se valorará la adecuación y pertinencia de los mismos.
El derecho a la portabilidad (Art. 95) faculta a los usuarios de redes sociales a recibir y transmitir los contenidos que hubieran facilitado, así como a que el prestador los transmita directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible.
Derecho al testamento digital
El artículo 96 regula qué sucede con la presencia digital de una persona tras su fallecimiento. Debes tener en cuenta que el acceso a estos contenidos se organiza jerárquicamente:
- Personas vinculadas por razones familiares o herederos, salvo prohibición expresa del fallecido.
- Albaceas testamentarios o personas designadas expresamente.
- En caso de menores, sus representantes legales o el .
- En personas con discapacidad, quienes ejerzan funciones de apoyo si están facultados para ello.
Disposiciones adicionales
Integración de la seguridad en el sector público
La normativa establece una conexión directa entre el Esquema Nacional de Seguridad (ENS) y el tratamiento de datos personales. Según la Disposición adicional primera, el ENS debe incorporar las medidas necesarias para evitar la pérdida, alteración o acceso no autorizado a los datos, adaptándose siempre a los criterios de riesgo definidos en el artículo 32 del Reglamento (UE) 2016/679 (RGPD).
Debes observar que esta obligación no se limita a la administración directa. Los responsables enumerados en el artículo 77.1 de la LOPDGDD tienen el mandato de:
- Aplicar las medidas del ENS a sus propios tratamientos.
- Impulsar medidas equivalentes en empresas o fundaciones vinculadas que se rijan por el Derecho privado.
- Garantizar que, en casos de concesión, encomienda de gestión o contrato, el tercero prestatario del servicio se ajuste estrictamente a las medidas de seguridad de la Administración de origen.
Régimen de plazos y procedimientos administrativos
Para un estudio riguroso de la norma, es fundamental comprender las reglas de cómputo de plazos establecidas en la Disposición adicional tercera. Estas reglas se aplican tanto a relaciones entre particulares como con el sector público:
- Días: Se entienden siempre como días hábiles (excluyendo sábados, domingos y festivos).
- Semanas, meses o años: El cómputo finaliza el mismo día de la semana, mes o año en que se produjo el hecho determinante.
- Vencimiento en mes sin día equivalente: El plazo expira el último día del mes.
- Día final inhábil: Se prorroga automáticamente al primer día hábil siguiente.
Además, la tiene la potestad de establecer modelos de reclamación obligatorios. Estos modelos deben ser utilizados por todos los interesados, independientemente de su obligación de relacionarse electrónicamente con la Administración, y su cumplimiento es exigible un mes después de su publicación en el BOE.
Identificación de interesados en publicaciones oficiales
La Disposición adicional séptima regula cómo debe identificarse a los ciudadanos en anuncios o publicaciones de actos administrativos para proteger su privacidad:
- Publicación general: Nombre y apellidos + cuatro cifras numéricas aleatorias del DNI, NIE o pasaporte.
- Notificación por anuncios (Art. 44 Ley 39/2015): Se identificará al afectado exclusivamente mediante el número completo del documento de identidad.
- Prohibición crítica: En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento de identidad.
Tratamiento de datos de salud y procesos de investigación
Esta es una de las secciones de mayor complejidad técnica. La Disposición adicional decimoséptima ampara el tratamiento de datos de salud y genéticos bajo diversas leyes sectoriales (Ley General de Sanidad, Ley de Investigación Biomédica, etc.).
En cuanto a la seudonimización en investigación, se exigen requisitos estrictos:
- Separación técnica y funcional entre el equipo investigador y quienes conservan la información de reidentificación.
- Compromiso expreso de confidencialidad y medidas de seguridad para evitar accesos no autorizados.
- La reidentificación solo es lícita si existe un peligro real para la salud de personas o es necesaria para la asistencia sanitaria.
Transparencia, acceso a la información y control financiero
La ley armoniza el derecho a la protección de datos con el derecho de acceso a la información pública (Ley 19/2013). Cuando la información solicitada contenga datos personales, se aplicarán ponderaciones específicas para salvaguardar la privacidad.
En el ámbito financiero y de solvencia patrimonial:
- Límite de deuda: No se incluirán en sistemas de información crediticia deudas cuyo principal sea inferior a cincuenta euros.
- Puede recabar datos de comunicaciones electrónicas (excluyendo el contenido) para investigar delitos graves, siempre con .
Lucha contra prácticas agresivas y protección de menores
La Disposición adicional decimosexta tipifica como prácticas agresivas (competencia desleal) conductas como:
- Suplantar la identidad de la .
- Actuar "en nombre de" la Agencia sin autorización para vender productos o servicios.
- Coartar la decisión del destinatario mencionando posibles sanciones por incumplimiento normativo.
- Asumir la función de DPD sin designación expresa.
Finalmente, se establece un compromiso legislativo para la protección de menores en Internet, instando al Gobierno a remitir proyectos de ley que garanticen su seguridad y luchen contra la violencia digital en plazos determinados.
- Verificación de datos: Las Administraciones pueden comprobar la exactitud de los datos declarados por los interesados que ya obren en su poder.
- Incidentes de seguridad: Los CERT/CSIRT pueden tratar datos personales exclusivamente para el análisis y respuesta ante incidentes.
- Archivos eclesiásticos: Se debe facilitar el acceso a estos archivos en investigaciones de personas desaparecidas con prontitud y diligencia.
Disposiciones transitorias
Las disposiciones transitorias de una norma son fundamentales para garantizar la seguridad jurídica durante el paso de un régimen normativo a otro. En el caso de la Ley Orgánica 3/2018 (LOPDGDD), estas disposiciones regulan cómo deben adaptarse las situaciones jurídicas nacidas bajo la vigencia de la anterior Ley Orgánica 15/1999 al nuevo marco europeo y nacional.
Vigencia del estatuto y órganos de dirección de la AEPD
La Disposición transitoria primera establece un régimen de convivencia normativa para la estructura orgánica de la autoridad de control. Debes considerar que el Estatuto de la Agencia Española de Protección de Datos, aprobado por el Real Decreto 428/1993, no desaparece de forma inmediata, sino que mantiene su vigencia en todo aquello que no contradiga lo establecido en el Título VIII de la actual ley orgánica.
Adaptación de los códigos tipo
Los códigos tipo, que eran instrumentos de autorregulación bajo la normativa anterior, deben evolucionar hacia los nuevos códigos de conducta previstos en el Derecho de la Unión Europea. Según la Disposición transitoria segunda, los promotores de estos códigos inscritos tanto en la como en las autoridades autonómicas tienen obligaciones concretas de actualización.
- Deben adaptar su contenido a lo dispuesto en el artículo 40 del Reglamento (UE) 2016/679.
- El plazo para realizar esta adaptación es de un año a contar desde la entrada en vigor de la LOPDGDD.
- Consecuencia del incumplimiento: Si no se solicita la aprobación conforme al nuevo procedimiento, la inscripción será cancelada de oficio.
Régimen de los procedimientos en tramitación
La Disposición transitoria tercera resuelve el conflicto de leyes en el tiempo para los expedientes administrativos. El principio general es la aplicación de la normativa anterior para los procedimientos ya iniciados, pero con un matiz garantista esencial derivado del Derecho Administrativo y Sancionador.
- Regla general: Los procedimientos iniciados antes de la entrada en vigor se rigen por la normativa anterior.
- Excepción de favorabilidad: Se aplicará la LOPDGDD si contiene disposiciones más favorables para el interesado.
- Actuaciones previas: Esta retroactividad de lo favorable también alcanza a los procedimientos donde ya se hubieran iniciado "actuaciones previas" bajo el RD 1720/2007.
Tratamientos para fines penales y seguridad pública
La Disposición transitoria cuarta aborda una situación de transposición normativa compleja. Los tratamientos de datos realizados por autoridades competentes para la prevención, investigación o detección de infracciones penales (ámbito de la Directiva (UE) 2016/680) mantuvieron un régimen ultraactivo.
Estos tratamientos continuaron rigiéndose por la Ley Orgánica 15/1999 (especialmente su artículo 22) hasta que se produjo la transposición efectiva de la directiva. Debes tener en cuenta que este periodo transitorio finalizó con la aprobación de la Ley Orgánica 7/2021, de 26 de mayo, que es la norma actualmente vigente para este ámbito específico.
Vigencia de los contratos de encargado del tratamiento
La Disposición transitoria quinta es de vital importancia para el tráfico jurídico privado y los servicios de externalización. Regula la validez de los contratos firmados bajo el antiguo artículo 12 de la LOPD de 1999.
Durante dichos plazos, la ley otorga una facultad: cualquiera de las partes podrá exigir a la otra la modificación del contrato para alinearlo con el artículo 28 del RGPD y el Capítulo II del Título V de la LOPDGDD.
Investigación en salud y biomedicina
La Disposición transitoria sexta facilita la continuidad de la ciencia médica en España, permitiendo la reutilización de datos personales obtenidos lícitamente antes de la ley bajo condiciones de compatibilidad muy específicas.
Se considera lícita la reutilización en investigación biomédica cuando:
- Se utilicen para la finalidad concreta para la que se prestó el consentimiento original.
- Se utilicen para áreas de investigación relacionadas con la especialidad médica o científica en la que se integraba el estudio inicial, incluso si el consentimiento fue para una finalidad concreta pero vinculada.
Derogación normativa y cláusula de cierre
Finalmente, la Disposición derogatoria única limpia el ordenamiento jurídico para evitar antinomias. Supone la expulsión formal de la Ley Orgánica 15/1999 y del Real Decreto-ley 5/2018.
Asimismo, se incluye una cláusula de derogación genérica para cualquier disposición de igual o inferior rango que resulte incompatible con el Reglamento (UE) 2016/679 o la propia Ley Orgánica 3/2018, asegurando así la primacía del Derecho de la Unión y de la nueva norma nacional.
Disposiciones derogatorias
Alcance de la derogación normativa en materia de protección de datos
La entrada en vigor de la nueva normativa supone una profunda reestructuración del ordenamiento jurídico español para alinearse con los estándares europeos. Debes comprender que la eficacia derogatoria no solo elimina normas previas, sino que establece un régimen de convivencia temporal necesario para garantizar la seguridad jurídica durante la transición normativa.
La disposición derogatoria única articula la expulsión del ordenamiento de tres bloques normativos fundamentales:
- La Ley Orgánica 15/1999, de 13 de diciembre (LOPD), con salvedades específicas.
- El Real Decreto-ley 5/2018, de 27 de julio, que funcionó como norma de urgencia transitoria.
- Cualquier disposición de igual o inferior rango que resulte incompatible con el Reglamento (UE) 2016/679 (RGPD) y la actual ley orgánica.
Excepciones a la derogación de la Ley Orgánica 15/1999
Es fundamental que observes que la derogación de la Ley Orgánica 15/1999 no es total ni inmediata en todos los ámbitos. El legislador ha previsto "islas de vigencia" para evitar vacíos legales en sectores críticos. Podrás identificar dos excepciones principales:
- Ámbito penal y sancionador: Según la disposición transitoria cuarta, los tratamientos sujetos a la Directiva (UE) 2016/680 (prevención e investigación de infracciones penales) continuaron rigiéndose por la LOPD de 1999 hasta la entrada en vigor de su transposición específica, la cual se materializó mediante la Ley Orgánica 7/2021, de 26 de mayo.
- Mantenimiento de disposiciones adicionales: La disposición adicional decimocuarta mantiene vigentes las normas dictadas en aplicación del artículo 13 de la Directiva 95/46/CE (excepciones y limitaciones de derechos), en particular los artículos 23 y 24 de la LO 15/1999, en tanto no sean expresamente modificadas, sustituidas o derogadas.
La cláusula de salvaguarda genérica (apartado 3 de la disposición derogatoria) actúa como un mecanismo de limpieza automática: cualquier norma preexistente que contradiga el rigor del RGPD queda tácitamente expulsada, independientemente de que no sea mencionada expresamente.
Régimen transitorio de los contratos de encargado del tratamiento
La normativa aborda con pragmatismo la situación de los contratos de servicios que implican acceso a datos. Si analizas la disposición transitoria quinta, verás que los contratos firmados bajo el antiguo artículo 12 de la LOPD 15/1999 (antes del 25 de mayo de 2018) disfrutan de una prórroga de validez condicional:
- Contratos con fecha de vencimiento: Mantienen su vigencia hasta que llegue dicha fecha.
- Contratos indefinidos: Tuvieron como fecha límite de validez legal el 25 de mayo de 2022.
Debes considerar que, durante dichos plazos, cualquiera de las partes podrá exigir a la otra la modificación del contrato para adecuarlo al artículo 28 del RGPD y al Capítulo II del Título V de la ley vigente.
Reutilización de datos en investigación biomédica y salud
La disposición transitoria sexta establece un criterio de continuidad científica para los datos recogidos antes de la nueva ley. Se considera lícita la reutilización de estos datos para investigación siempre que se cumpla uno de estos dos supuestos:
- Uso para la finalidad concreta para la que se prestó el consentimiento original.
- Uso para áreas de investigación relacionadas con la especialidad médica o investigadora del estudio inicial, incluso si el consentimiento original fue para una finalidad específica pero vinculada científicamente.
Para fines de examen, recuerda que la fecha clave para la extinción de contratos indefinidos de encargado del tratamiento anteriores al RGPD es el 25 de mayo de 2022. Este es un hito temporal crítico que marca el fin definitivo de la ultraactividad de la normativa de 1999 en el ámbito contractual privado.
Derogación del Real Decreto-ley 5/2018
El Real Decreto-ley 5/2018 fue una norma de "puente" necesaria para cubrir el lapso de tiempo entre la aplicabilidad directa del RGPD y la aprobación de la nueva Ley Orgánica española. Una vez que esta última entra en vigor, el Real Decreto-ley pierde su razón de ser y es íntegramente derogado por el apartado 2 de la disposición derogatoria única, consolidando así un marco jurídico único y coherente.
Disposiciones finales
La estructura de cierre de la Ley Orgánica 3/2018 no se limita a meras cuestiones formales, sino que articula la integración de la protección de datos en todo el ordenamiento jurídico español. Debes analizar estas disposiciones como el puente que conecta los principios generales de la ley con sectores específicos como el electoral, el sanitario, el educativo y el laboral.
Naturaleza jurídica y distribución de competencias
La norma presenta una naturaleza híbrida que es fundamental distinguir para cualquier análisis jurídico riguroso. Aunque el cuerpo principal es de Ley Orgánica, la Disposición final primera delimita qué partes tienen carácter de Ley Ordinaria. Esto incluye, entre otros, los Títulos IV, VII (parcialmente), VIII, IX y gran parte de las disposiciones adicionales y finales.
Recuerda: los artículos 52 y 53 (del Título VII) y las disposiciones finales primera, segunda, tercera, cuarta, octava, décima y decimosexta SÍ tienen carácter orgánico. El resto de las disposiciones finales son ordinarias.
En cuanto al Título competencial (Disposición final segunda), la ley se dicta principalmente al amparo del artículo 149.1.1.ª de la Constitución, que reserva al Estado la competencia exclusiva para garantizar la igualdad en el ejercicio de derechos y deberes constitucionales. No obstante, existen competencias específicas en materia laboral (149.1.7.ª), procesal (149.1.6.ª) y de régimen estatutario de funcionarios (149.1.18.ª).
Uso de datos en el ámbito electoral
La Disposición final tercera introduce cambios significativos en la LOREG. Destaca la capacidad de los partidos políticos para utilizar datos personales obtenidos en fuentes de acceso público para actividades políticas durante el periodo electoral.
- Identificación: Las actividades divulgativas deben identificar claramente su naturaleza electoral.
- Derecho de oposición: Se debe garantizar un modo sencillo y gratuito para que el ciudadano se oponga al tratamiento.
- Exclusión comercial: El envío de propaganda por medios electrónicos no se considera comunicación comercial.
Reformas en el ámbito judicial y procesal
Las disposiciones finales cuarta, sexta y séptima modifican la LOPJ, la LJCA y la LEC respectivamente. El objetivo central es crear un marco procesal para la autorización judicial en casos de transferencias internacionales de datos.
Se establece un cauce para que las autoridades de protección de datos soliciten al Tribunal competente que se pronuncie sobre la conformidad de una decisión de la con el Derecho de la Unión. Si el Tribunal duda de la validez de la decisión europea, deberá plantear una cuestión prejudicial ante el .
Además, se otorga a la y a las autoridades autonómicas la facultad de intervenir en procesos judiciales (como "amicus curiae") aportando información u observaciones sin tener la condición de parte, cuando se afecte a la aplicación del Reglamento (UE) 2016/679.
Salud e investigación médica
La Disposición final quinta y novena armonizan la Ley General de Sanidad y la Ley de Autonomía del Paciente con el nuevo régimen de protección de datos.
- Anonimato: Como regla general, el acceso a la historia clínica para investigación debe asegurar el anonimato (separación de datos identificativos de los asistenciales).
- Excepción por riesgo grave: Las Administraciones sanitarias podrán acceder a datos identificativos por razones epidemiológicas o de protección de la salud pública cuando sea necesario para prevenir un peligro grave.
- Reserva de secreto: El acceso siempre debe realizarse por un profesional sanitario sujeto a secreto profesional.
Educación y entorno digital
Podrás observar un fuerte impulso a la alfabetización digital a través de las disposiciones finales octava y décima, que modifican las leyes orgánicas de Universidades y Educación.
Se impone a los centros educativos y universidades la obligación de formar al alumnado en el uso seguro de medios digitales, garantizando el respeto a la dignidad humana, los valores constitucionales y la protección de la intimidad.
Transparencia y procedimiento administrativo
La Disposición final undécima modifica la Ley de Transparencia, obligando a los sujetos del artículo 77.1 de la LOPDGDD a publicar su Inventario de Actividades de Tratamiento (RAT). Asimismo, regula el acceso a datos especialmente protegidos: si revelan ideología, afiliación sindical, religión o creencias, exige el consentimiento expreso y por escrito del afectado, salvo que este los hubiera hecho manifiestamente públicos antes de la solicitud; si se refieren al origen racial, la salud, la vida sexual, datos genéticos o biométricos o infracciones penales o administrativas que no conllevasen amonestación pública, exige el consentimiento expreso del afectado o que el acceso esté amparado por una norma con rango de ley.
Por su parte, la Disposición final duodécima refuerza el derecho de los interesados en la LPACAP a no aportar documentos que ya obren en poder de la Administración actuante o hayan sido elaborados por otra Administración, que podrá consultarlos o recabarlos salvo que el interesado se oponga. No cabe esa oposición cuando la aportación se exija en el ejercicio de potestades sancionadoras o de inspección.
Derechos digitales en el ámbito laboral
Uno de los avances más destacados se encuentra en las disposiciones finales decimotercera y decimocuarta, que añaden nuevos derechos al Estatuto de los Trabajadores y al EBEP.
- Derecho a la desconexión digital: Garantiza el respeto al tiempo de descanso, permisos y vacaciones fuera del tiempo de trabajo legal.
- Intimidad ante dispositivos: Derecho a la protección frente al uso de dispositivos de videovigilancia y geolocalización en el puesto de trabajo.
- Uso de dispositivos digitales: Derecho a la intimidad en el uso de los dispositivos puestos a disposición por el empleador.
Vigencia y desarrollo
La Disposición final decimoquinta habilita al Gobierno para el desarrollo reglamentario de puntos específicos de la ley, mientras que la Disposición final decimosexta establece la entrada en vigor.
La entrada en vigor se produjo el día siguiente al de su publicación en el BOE. Dado que se publicó el 6 de diciembre de 2018, su vigencia plena comenzó el 7 de diciembre de 2018.