← Mis colecciones
Legislación y temario común

Se copia a tu biblioteca con todas las funciones (audio, generar más, pregúntale al profesor) sin gastar de nuevo la IA en fichas/test.

LOPDGDD: protección de datos personales

Ley Orgánica 3/2018, de Protección de Datos y garantía de los derechos digitales

Principios del tratamiento, derechos de las personas, delegado de protección de datos y régimen sancionador.

8 fichas6 preguntas de test53 apartados de resumen

Regístrate para entrar en «LOPDGDD: protección de datos personales»

Ver el temario y sus bloques es libre. Abrir el tema completo — resumen, test, fichas y audio — es gratis pero requiere una cuenta, para guardar tu progreso y que esto siga siendo sostenible para todos.

Resumen por apartados
Test con nota
Fichas de repaso
Audio

Lo que tienes que saber

Leer la teoría completa →

Estructura y Principios de la Ley Orgánica 3/2018 de Protección de Datos

  • Objeto: Protección de datos personales y garantía de derechos digitales
  • Ámbito: Títulos I a IX y artículos 89 a 94
  • Datos de fallecidos: Tienen regulación específica
  • Principios: Exactitud, confidencialidad y consentimiento
  • Consentimiento: Regulación especial para menores de edad
  • Excepciones al consentimiento: Obligación legal, interés público o poderes públicos
  • Categorías especiales: Incluyen datos de naturaleza penal
  • Derechos ARCO+P: Acceso, rectificación, supresión, limitación, portabilidad y oposición
  • Tratamientos específicos: Videovigilancia, crédito, mercantil, estadística y archivos públicos
  • Responsabilidad: Figuras del responsable y encargado del tratamiento

Obligaciones, Responsables, Delegados y la Agencia Española de Protección de Datos

  • Obligaciones generales para el responsable y el encargado del tratamiento
  • Existencia de supuestos de corresponsabilidad en el tratamiento
  • Regulación para representantes de responsables/encargados fuera de la UE
  • Obligatoriedad del registro de actividades de tratamiento
  • Procedimiento de bloqueo de datos
  • Definición y regulación del encargado del tratamiento
  • Designación, cualificación y posición del Delegado de Protección de Datos (DPD)
  • Intervención del DPD en reclamaciones ante las autoridades
  • Regulación de códigos de conducta y certificaciones
  • Régimen de transferencias internacionales de datos
  • Transferencias por adopción de la AEPD
  • Transferencias con autorización previa de la autoridad
  • Transferencias con información previa a la autoridad
  • Régimen jurídico, económico y de personal de la AEPD
  • Funciones y potestades de la AEPD
  • Estructura de la AEPD: Presidencia y Consejo Consultivo
  • Potestad de investigación y planes de auditoría preventiva
  • Potestad de regulación mediante circulares
  • Capacidad de acción exterior de la Agencia

Autoridades de protección de datos, procedimientos sancionadores y derechos digitales

  • Autoridades autonómicas: regulan la protección de datos y la cooperación institucional.
  • Tratamientos contrarios al Reglamento (UE) 2016/679: requieren coordinación específica.
  • Tratamientos transfronterizos: requieren intervención coordinada.
  • Comité Europeo de Protección de Datos: coordina dictámenes y resolución de conflictos.
  • Procedimiento sancionador: incluye iniciación, admisión, investigación y medidas provisionales.
  • Clasificación de infracciones: muy graves, graves y leves.
  • Sanciones: incluyen medidas correctivas y plazos de prescripción.
  • Derechos digitales: neutralidad, acceso universal, seguridad y educación digital.
  • Protección de menores: derecho específico en Internet.
  • Derechos en medios digitales: rectificación y actualización de información.
  • Ámbito laboral: derecho a la intimidad en dispositivos y a la desconexión digital.

Derechos digitales, protección de datos y disposiciones adicionales

  • Art. 89-90: Protección de intimidad frente a videovigilancia y geolocalización laboral
  • Art. 91: Reconocimiento de derechos digitales en negociación colectiva
  • Art. 92 y Disp. Adic. 19ª: Protección y derechos de los menores en Internet
  • Art. 93-94: Derecho al olvido en búsquedas y redes sociales
  • Art. 95: Derecho de portabilidad en redes sociales
  • Art. 96: Reconocimiento del testamento digital
  • Disp. Adic. 1ª y 2ª: Seguridad en sector público y transparencia de información
  • Disp. Adic. 3ª: Regla para el cómputo de plazos
  • Disp. Adic. 17ª: Normas específicas para el tratamiento de datos de salud
  • Disp. Adic. 21ª: Obligación de educación digital
  • Disp. Adic. 22ª: Regulación del acceso a archivos públicos y eclesiásticos

Disposiciones transitorias, derogatorias y finales de la Ley Orgánica

  • Disposición transitoria 1: Estatuto de la Agencia Española de Protección de Datos
  • Disposición transitoria 2: Códigos tipo inscritos (Ley Orgánica 15/1999)
  • Disposición transitoria 3: Régimen transitorio de procedimientos
  • Disposición transitoria 4: Tratamientos bajo Directiva (UE) 2016/680
  • Disposición transitoria 5: Contratos de encargado del tratamiento
  • Disposición transitoria 6: Reutilización de datos de salud y biomédica previos a la ley
  • Disposición derogatoria única: Derogación normativa
  • Disposición final 1: Naturaleza de la ley
  • Disposición final 2: Título competencial
  • Modificación LO 5/1985: Régimen Electoral General
  • Modificación LO 6/1985: Poder Judicial
  • Modificación Ley 14/1986: Ley General de Sanidad
  • Modificación Ley 29/1998: Jurisdicción Contencioso-administrativa
  • Modificación Ley 1/2000: Enjuiciamiento Civil
  • Modificación LO 6/2001: Universidades
  • Modificación Ley 41/2002: Autonomía del paciente
  • Modificación LO 2/2006: Educación
  • Modificación Ley 19/2013: Transparencia y buen gobierno
  • Modificación Ley 39/2015: Procedimiento Administrativo Común
  • Modificación: Estatuto de los Trabajadores
  • Modificación: Estatuto Básico del Empleado Público
  • Disposición final 15: Desarrollo normativo
  • Disposición final 16: Entrada en vigor

Derecho fundamental a la protección de datos personales

  • Base constitucional: Artículo 18.4 de la Constitución Española
  • Objetivo constitucional: Garantizar el honor, la intimidad personal y familiar
  • Sentencia 94/1998: Derecho a controlar el uso y destino de los datos
  • Sentencia 94/1998: Facultad de oponerse a usos distintos a los justificados
  • Sentencia 292/2000: Derecho autónomo e independiente de disposición
  • Sentencia 292/2000: Facultad de decidir qué datos proporcionar a terceros
  • Ley Orgánica 5/1992 (LORTAD): Primera ley de tratamiento automatizado
  • Ley Orgánica 15/1999: Trasposición de la Directiva 95/46/CE
  • Carta de Derechos Fundamentales UE: Recogido en el artículo 8
  • Tratado de Funcionamiento de la UE: Recogido en el artículo 16.1
  • Reglamento (UE) 2016/679 (RGPD): Deroga la Directiva 95/46/CE
  • Directiva (UE) 2016/680: Regula datos para fines penales (deroga Decisión Marco 2008/977/JAI)

Finalidad, contexto y seguridad jurídica del Reglamento General de Protección de Datos

  • Objetivo: Superar el mosaico normativo irregular de la Directiva 95/46/CE
  • Contexto: Aumento de flujos transfronterizos y datos como recurso fundamental de la sociedad de la información
  • Riesgos: Multiplicación exponencial de datos, mayor accesibilidad y menor control de destino
  • Naturaleza: Revisión de las bases legales del modelo europeo, no solo una actualización
  • Habilitación: El considerando 8 permite a los Estados incorporar previsiones específicas del reglamento
  • Seguridad jurídica (positiva): Obligación de integrar el ordenamiento europeo de forma clara y pública
  • Seguridad jurídica (negativa): Obligación de eliminar normas nacionales incompatibles con la UE
  • Aplicabilidad: El Reglamento entra en vigor el 25 de mayo de 2018 (art. 99)
  • Adaptación en España: Requiere una nueva ley orgánica que sustituya a la actual

Derechos digitales y estructura de la Ley Orgánica

  • Internet: realidad omnipresente con impacto en comunicación, economía y sociedad
  • Objetivo: garantizar igualdad y derechos fundamentales en la realidad digital
  • Base legal: mandato del apartado cuarto del artículo 18 de la Constitución Española
  • Fuentes de referencia: jurisprudencia ordinaria, constitucional y europea
  • Propuesta: elevar los derechos digitales a rango constitucional mediante reforma
  • Estructura de la Ley Orgánica: 97 artículos
  • Estructura de la Ley Orgánica: 10 títulos
  • Estructura de la Ley Orgánica: 22 disposiciones adicionales
  • Estructura de la Ley Orgánica: 6 disposiciones transitorias
  • Estructura de la Ley Orgánica: 1 disposición derogatoria
  • Estructura de la Ley Orgánica: 16 disposiciones finales
  • Título I: contiene las disposiciones generales y el doble objeto de la ley

Marco normativo y principios de protección de datos personales

  • Base legal: Reglamento (UE) 2016/679 y art. 18.4 de la Constitución
  • Competencia: Las comunidades autónomas desarrollan y ejecutan la protección de datos
  • Fallecidos: Familiares/herederos pueden solicitar acceso, rectificación o supresión
  • Excepción transitoria: Aplicación de la LO 15/1999 para tratamientos de la Directiva (UE) 2016/680
  • Consentimiento: Debe ser claro, afirmativo y específico; prohibido el tácito
  • Edad de consentimiento: 14 años
  • Inexactitud: El responsable no es responsable si actúa con diligencia en datos de terceros o registros públicos
  • Habilitación legal: El cumplimiento de obligaciones legales permite el tratamiento y sus cesiones
  • Interés público: Las medidas de seguridad adicionales deben derivar de misiones de interés público
  • Prohibición: No se puede consentir el almacenamiento principal de datos especialmente protegidos

Tratamiento de datos, derechos de los interesados y responsabilidad activa en el marco del RGPD y la normativa española

  • Consentimiento: No válido para crear «listas negras» de sindicalistas
  • Datos sindicales: Tratables por el empresario (art. 9.2.b) o sindicatos (art. 9.2.d)
  • Categorías especiales: Suelen requerir reserva de ley (art. 9.2)
  • Legislación sanitaria y aseguradora: Habilitaciones vigentes y permitidas con interpretación extensiva
  • Investigación biomédica: Ponderación entre beneficios sociales y protección de datos
  • Transparencia: Aplicación del modelo de «información por capas»
  • Derechos de los interesados: Acceso, rectificación, supresión, oposición, limitación y portabilidad
  • Interés legítimo: Presunción «iuris tantum» sujeta a requisitos específicos
  • Interés público: Base para videovigilancia, exclusión publicitaria y denuncias internas (art. 6.1.e)
  • Responsabilidad activa: Obligación de realizar una valoración previa de riesgos
  • Responsables y encargados: Sujetos obligados a las medidas de responsabilidad activa

Delegado de Protección de Datos, Transferencias Internacionales, Autoridades de Control y Régimen Sancionador

  • Delegado de protección de datos: puede ser obligatorio o voluntario
  • Delegado de protección de datos: puede ser persona física o jurídica
  • Designación del delegado: debe comunicarse a la autoridad competente
  • Registro de delegados: mantenido por la Agencia Española de Protección de Datos
  • Remoción del delegado: solo por dolo o negligencia grave
  • Función del delegado: resolución amistosa de reclamaciones
  • Transferencias internacionales: incluye modelos contractuales y normas corporativas vinculantes
  • Agencia Española de Protección de Datos: autoridad administrativa independiente
  • Relación de la Agencia: con el Gobierno vía Ministerio de Justicia
  • Procedimientos de vulneración: modelo de «ventanilla única»
  • Decisión en discrepancias: vinculante del Comité Europeo de Protección de Datos
  • Requisito previo: determinar si el tratamiento es transfronterizo
  • Medida provisional destacada: orden de bloqueo de datos
  • Categorización de infracciones: muy graves, graves y leves para efectos de prescripción
  • Conductas típicas: enumeración ejemplificativa
  • Interrupción de prescripción: requiere conocimiento de los hechos

Procedimientos, Derechos Digitales y Disposiciones de la Ley Orgánica de Protección de Datos

  • Procedimientos: Diferenciación entre trámite exclusivo de la Agencia y procedimiento coordinado (Art. 60 RGPD)
  • Sanciones: Uso de la cláusula residual del Art. 83.2 del RGPD para incluir factores de la LO 15/1999 (Arts. 45.4 y 5)
  • Derechos Digitales: Incluyen neutralidad de red, acceso universal, seguridad, educación, olvido, portabilidad, testamento digital y desconexión digital
  • Desconexión Digital: Protege la intimidad en el ámbito laboral y la protección de menores
  • Disposiciones Adicionales: Regulan seguridad pública, transparencia, transferencias internacionales y datos de salud
  • Vigencia de Excepciones: Los artículos 23 y 24 de la LO 15/1999 siguen vigentes hasta su derogación expresa
  • Excepción Tributaria: Las Administraciones pueden denegar derechos (Arts. 15-22 RGPD) si hay actuaciones inspectoras o cumplimiento de obligaciones tributarias
  • Modificaciones Legales: Afecta a leyes de Enjuiciamiento Civil, Transparencia, Sanidad, Educación, Universidades y Estatutos de Trabajadores/Empleados Públicos
  • Objeto de la Ley: Adaptación al Reglamento (UE) 2016/679 y garantía de derechos digitales según el Art. 18.4 de la Constitución

Ámbito de aplicación y protección de datos de fallecidos

  • Ámbito: Tratamientos automatizados y no automatizados de datos personales
  • Exclusiones: Art. 2.2 RGPD, personas fallecidas y materias clasificadas
  • Supletoriedad: Legislación específica + RGPD + Ley Orgánica para ámbitos fuera de la UE (ej. Registro Civil, Penitenciarios)
  • Justicia y Fiscalía: Se rigen por RGPD, Ley Orgánica y normas procesales
  • Fallecidos: Acceso por familiares/herederos salvo prohibición expresa del causante
  • Excepción patrimonial: La prohibición del fallecido no afecta a los datos patrimoniales
  • Designación expresa: Personas nombradas por el fallecido pueden solicitar datos según instrucciones
  • Menores fallecidos: Ejercen representantes legales o Ministerio Fiscal
  • Discapacidad: Ejercen representantes, Ministerio Fiscal o designados para funciones de apoyo
  • Exactitud: Datos deben ser exactos y actualizados
  • Exención de responsabilidad: No imputable si el error viene del afectado, mediador, portabilidad o registro público

Deber de confidencialidad y bases del tratamiento de datos personales

  • Confidencialidad: Obligatoria para responsables, encargados y personal involucrado
  • Confidencialidad: Complementaria al secreto profesional y supervivencia tras finalizar la relación
  • Consentimiento: Debe ser libre, específico, informado e inequívoco
  • Consentimiento: Prohibido condicionar contratos a datos no relacionados con la relación contractual
  • Menores: Consentimiento válido a partir de los 14 años
  • Menores: Menores de 14 años requieren consentimiento de patria potestad o tutela
  • Obligación legal: Requiere norma de la Unión o con rango de ley
  • Interés público/Poderes públicos: Requiere competencia atribuida por norma con rango de ley
  • Categorías especiales: El consentimiento por sí solo no basta para evitar discriminación
  • Categorías especiales (g, h, i): Requieren norma con rango de ley
  • Datos penales: Requieren norma de la Unión, ley orgánica o norma de rango legal para fines distintos a la persecución penal

Tratamiento de datos penales y derechos de los interesados

  • Registro de datos penales: posible bajo el Sistema de registros administrativos de apoyo a la Administración de Justicia
  • Excepción de tratamiento penal: solo por abogados y procuradores para sus clientes
  • Información básica (datos del afectado): identidad del responsable, finalidad y derechos (arts. 15-22)
  • Información básica (perfiles): incluye derecho a oponerse a decisiones automatizadas (art. 22)
  • Información básica (datos de terceros): incluye categorías de datos y fuentes
  • Ejercicio de derechos: puede ser directo o por representante legal/voluntario
  • Medios de ejercicio: deben ser fácilmente accesibles y no pueden ser denegados por la elección del medio
  • Tramitación: el encargado puede tramitar solicitudes si hay contrato
  • Carga de la prueba: recae sobre el responsable del tratamiento
  • Prevalencia: los regímenes especiales legales prevalecen sobre la norma general
  • Menores: la patria potestad permite ejercer derechos para menores de 14 años
  • Coste: las actuaciones para ejercer derechos son gratuitas (salvo excepciones legales)

Derechos de los interesados y tratamientos específicos

  • Acceso: se rige por el art. 15 del Reglamento (UE) 2016/679
  • Acceso: el responsable puede pedir especificar datos si el volumen es masivo
  • Acceso: un sistema remoto, directo y seguro cuenta como cumplimiento del derecho
  • Acceso: se considera repetitivo si se ejerce más de una vez en 6 meses (salvo causa legítima)
  • Acceso: el coste desproporcionado por elección del afectado es asumido por este
  • Rectificación: requiere indicar datos específicos, corrección y aportar justificantes
  • Supresión: permite conservar datos identificativos para evitar mercadotecnia directa
  • Limitación: debe constar claramente en los sistemas de información
  • Portabilidad: se rige por el art. 20 del Reglamento
  • Oposición: incluye decisiones automatizadas y perfiles (arts. 21 y 22 Reglamento)
  • Presunción de licitud: datos de contacto y profesionales si son solo para localización profesional
  • Presunción de licitud: aplica a empresarios individuales y profesionales liberales en su condición profesional
  • Excepción: responsables del art. 77.1 pueden tratar estos datos por obligación legal o competencias

Sistemas de información crediticia, operaciones mercantiles y videovigilancia

  • Sistemas crediticios: Presunción de licitud sujeta a requisitos específicos
  • Requisito: Deudas ciertas, vencidas y exigibles sin reclamación previa
  • Obligación: Informar al afectado sobre inclusión en sistemas y plazos
  • Bloqueo de datos: 30 días tras la notificación de la deuda
  • Límite de permanencia: Máximo 5 años desde el vencimiento
  • Restricción de consulta: Solo con relación contractual previa o solicitud de financiación
  • Impugnación: Informar sobre la existencia de la impugnación sin revelar datos
  • Corresponsabilidad: Entre la entidad del sistema y el acreedor (art. 26 RGPD)
  • Excepción de licitud: No aplica si hay perfilado con datos de otras fuentes
  • Operaciones mercantiles: Presunción de licitud por modificación estructural
  • Fallo de operación mercantil: Supresión de datos inmediata
  • Videovigilancia: Finalidad de seguridad de personas y bienes
  • Vía pública: Captación solo si es imprescindible
  • Prohibición absoluta: Captación en el interior de un domicilio privado
  • Plazo de supresión videovigilancia: Un mes (salvo para acreditar delitos)

Tratamiento de imágenes, sonidos y sistemas de exclusión publicitaria

  • Plazo de entrega a la autoridad: máximo 72 horas
  • Exención de bloqueo: no aplica la obligación del artículo 32 en este contexto
  • Cumplimiento de información: mediante dispositivo visible con identidad del responsable y derechos
  • Exclusión de ámbito: imágenes del interior del domicilio por persona física
  • Excepción a la exclusión: entidades de seguridad privada contratadas para vigilancia
  • Regulación Seguridad/Tráfico: se rige por la Directiva (UE) 2016/680 para fines penales
  • Regulación laboral: el tratamiento por el empleador se rige por el artículo 89
  • Sistemas de exclusión: creación por organismos con alta representatividad
  • Datos en sistemas de exclusión: solo los imprescindibles para identificar
  • Obligación de consulta: los responsables de mercadotecnia deben consultar los sistemas de exclusión
  • Excepción de consulta: no es necesaria si existe consentimiento previo del afectado

Tratamiento de datos personales en ámbitos específicos y sanciones

  • Protección de informantes: Tratamiento lícito bajo Reglamento (UE) 2016/679 y leyes específicas.
  • Función estadística: Aplicación de legislación específica + Reglamento (UE) 2016/679 + ley orgánica.
  • Comunicación estadística: Solo amparada por art. 6.1 e) si hay norma de la UE o programación legal.
  • Datos sensibles estadísticos: Artículos 9 y 10 del Reglamento (UE) 2016/679 requieren consentimiento expreso.
  • Excepción de derechos: Se pueden denegar derechos (arts. 15-22 Reglamento UE) por secreto estadístico.
  • Archivos de interés público: Sujeto a Ley 16/1985, RD 1708/2011 y legislación autonómica.
  • Sanciones administrativas: Requieren órgano competente y datos estrictamente necesarios.
  • Excepción sanciones: Si no cumple requisitos previos, requiere consentimiento o norma con rango de ley.
  • Excepción profesionales: Abogados y procuradores pueden tratar datos de clientes para sus funciones.

Obligaciones de responsables, encargados y representantes en el tratamiento de datos

  • Medidas técnicas y organizativas: Obligación de garantizar cumplimiento normativo y evaluar impacto/consulta previa.
  • Criterios de riesgo: Discriminación, fraude, pérdida de confidencialidad, daños morales/económicos y pérdida de control de datos.
  • Datos sensibles: Riesgo especial en categorías especiales (art. 9 y 10) e infracciones administrativas.
  • Perfilado: Riesgo en análisis de rendimiento, salud, solvencia y movimientos.
  • Vulnerabilidad: Protección especial para menores y personas con discapacidad.
  • Tratamientos masivos: Riesgo por gran volumen de datos o de afectados.
  • Transferencias internacionales: Riesgo en envíos a terceros Estados sin nivel de protección adecuado.
  • Corresponsabilidad: Responsabilidad basada en las actividades efectivamente desarrolladas por cada parte.
  • Representantes extra-UE: Responsabilidad solidaria ante la AEPD y derecho de repetición.
  • Responsabilidad solidaria: Aplicable a responsables, encargados y representantes por daños y perjuicios (art. 82 Reglamento).
  • Registro de actividades: Obligatorio para responsables, encargados y representantes (salvo excepciones).
  • Delegado de protección de datos: Obligación de informar sobre cambios en el registro.
  • Inventario público: Obligación de publicar actividades y base legal para sujetos del art. 77.1 de la ley orgánica.

Bloqueo de datos, encargado del tratamiento y delegado de protección de datos

  • Obligación de bloqueo: se activa ante rectificación o supresión
  • Definición de bloqueo: identificación y reserva con medidas técnicas/organizativas
  • Excepción de visualización: solo para jueces, tribunales, Ministerio Fiscal o Administraciones Públicas
  • Plazo de excepción: solo por el plazo de prescripción de las responsabilidades
  • Acción post-prescripción: destrucción obligatoria de los datos
  • Alternativa al bloqueo: copiado seguro con evidencia digital si el bloqueo es desproporcionado
  • Excepciones de la AEPD: por riesgo elevado para los afectados o coste desproporcionado
  • Acceso del encargado: no es comunicación de datos si cumple el RGPD y la ley nacional
  • Criterio de responsabilidad: actúa en propio nombre o usa datos para fines propios
  • Excepción de responsabilidad: no aplica en la contratación del sector público
  • Finalización del servicio: el responsable decide destrucción, devolución o entrega
  • Conservación legal: si existe obligación legal, los datos se devuelven al responsable
  • Conservación del encargado: puede mantener datos bloqueados por posibles responsabilidades
  • Sector público: las competencias de encargado pueden ser atribuidas por norma reguladora
  • Designación obligatoria: los colegios profesionales y sus consejos generales deben tener delegado

Designación, requisitos y funciones del Delegado de Protección de Datos (DPD)

  • Obligación de DPD: Centros docentes, universidades, redes de comunicaciones (tratamiento masivo), servicios de la sociedad de la información (perfiles de usuario).
  • Obligación de DPD: Entidades de crédito, financieras, aseguradoras, reaseguradoras y servicios de inversión.
  • Obligación de DPD: Distribuidores de energía eléctrica y gas natural.
  • Obligación de DPD: Responsables de ficheros comunes (solvencia, fraude, blanqueo de capitales).
  • Obligación de DPD: Publicidad y prospección comercial (perfiles o preferencias).
  • Obligación de DPD: Centros sanitarios (excluye a profesionales individuales).
  • Obligación de DPD: Emisores de informes comerciales sobre personas físicas.
  • Obligación de DPD: Operadores de juego electrónico y empresas de seguridad privada.
  • Obligación de DPD: Federaciones deportivas (tratamiento de datos de menores).
  • Designación voluntaria: Posible para responsables no incluidos en la lista obligatoria.
  • Plazo de comunicación: Diez días para informar designaciones, nombramientos y ceses a la AEPD o autoridades autonómicas.
  • Registro público: La AEPD y autoridades autonómicas mantendrán una lista actualizada y accesible electrónicamente.
  • Criterios de dedicación: Se basa en volumen de tratamientos, categoría de datos y riesgos.
  • Cualificación: Se valorará especialmente la titulación universitaria en derecho y protección de datos.
  • Función de interlocutor: El DPD es el nexo con la AEPD y autoridades autonómicas.
  • Facultades del DPD: Inspeccionar procedimientos y emitir recomendaciones.
  • Protección del DPD: No puede ser removido ni sancionado salvo por dolo o negligencia grave.
  • Independencia: Debe garantizarse la independencia y evitarse conflictos de intereses.
  • Acceso a datos: El DPD tiene acceso total sin restricciones por deberes de confidencialidad.
  • Vulneraciones: El DPD debe documentar y comunicar vulneraciones relevantes inmediatamente a la dirección.

Intervención del delegado de protección de datos y códigos de conducta

  • Plazo del delegado para comunicar decisión: 2 meses
  • Plazo del delegado para responder a la autoridad: 1 mes
  • Procedimiento ante AEPD: regulado por el Título VIII
  • Códigos de conducta: son vinculantes para los adherentes
  • Promotores de códigos: asociaciones, empresas, responsables, encargados y organismos de supervisión
  • Obligación de adherentes: someter reclamaciones improcedentes al organismo de supervisión
  • Opción voluntaria: someter la verificación de conformidad antes del tratamiento
  • Vía alternativa: el afectado puede acudir a la AEPD si el organismo de supervisión rechaza o no recibe la reclamación
  • Aprobación: competencia de la AEPD o autoridades autonómicas
  • Mecanismo de coherencia: aplicación del art. 63 del Reglamento (UE) 2016/679
  • Registro de códigos: debe ser interconectado, coordinado con el Comité Europeo y accesible electrónicamente
  • Regulación del registro: se establece mediante real decreto

Acreditación de instituciones y régimen de transferencias internacionales de datos

  • Acreditación: Competente la ENAC para instituciones de certificación
  • Comunicación: La ENAC debe informar a la AEPD y autoridades autonómicas sobre acreditaciones (con motivación)
  • Marco legal: Transferencias regidas por Reglamento (UE) 2016/679, Ley Orgánica y circulares
  • Cláusulas tipo y normas corporativas: Pueden ser adoptadas por AEPD y autoridades autonómicas
  • Plazo de adopción: Máximo 9 meses (suspensión por dictamen del Comité Europeo)
  • Autorización previa: Necesaria para países sin adecuación si se usan cláusulas propias o acuerdos internacionales no normativos
  • Plazo de autorización: Máximo 6 meses (suspensión por dictamen del Comité Europeo)
  • Información previa: Obligatoria para transferencias por intereses legítimos imperiosos
  • Excepción de información: No aplica a autoridades públicas en ejercicio de poderes públicos

Naturaleza, régimen jurídico y competencias de la Agencia Española de Protección de Datos

  • Naturaleza: Autoridad administrativa independiente de ámbito estatal
  • Relación institucional: Vinculada al Gobierno a través del Ministerio de Justicia
  • Representación: Representante común en el Comité Europeo de Protección de Datos
  • Colaboración: Trabaja con el CGPJ y la Fiscalía en la Administración de Justicia
  • Régimen jurídico: Basado en el Reglamento (UE) 2016/679 y Ley Orgánica
  • Aprobación de Estatuto: Mediante real decreto a propuesta de la Agencia
  • Presupuesto: Se integra en los Presupuestos Generales del Estado
  • Modificación < 3%: Autorizada por la Presidencia de la Agencia
  • Modificación < 5%: Autorizada por el Ministerio de Hacienda
  • Modificación > 5%: Autorizada por el Gobierno
  • Destino de ingresos: Los beneficios se destinan a reservas de independencia
  • Personal: Puede ser funcionario o laboral
  • Puestos exclusivos: Los que impliquen potestades públicas deben ser de funcionarios
  • Control financiero: Supervisado por la Intervención General de la Administración del Estado
  • Funciones clave: Supervisión de la Ley Orgánica y del artículo 57 y 58 del Reglamento (UE) 2016/679

Presidencia y Consejo Consultivo de la Agencia Española de Protección de Datos

  • Presidencia: dirige, representa y dicta resoluciones/circulares/directrices
  • Adjunto: asiste a la Presidencia y puede delegar funciones (excepto título VIII)
  • Independencia: los cargos actúan sin instrucciones externas y bajo normativa de altos cargos
  • Sustitución título VIII: asume el órgano de inspección (o subdirecciones generales por orden)
  • Sustitución resto competencias: asume el Adjunto (o subdirecciones generales por orden)
  • Nombramiento: por Real Decreto del Consejo de Ministros a propuesta del Ministerio de Justicia
  • Convocatoria pública: se ordena 2 meses antes de la expiración del mandato
  • Ratificación parlamentaria: Comisión de Justicia (3/5 en 1ª votación, mayoría absoluta en 2ª)
  • Duración mandato: 5 años, renovables
  • Causas de cese anticipado: petición propia, separación acordada, incumplimiento grave, incapacidad, incompatibilidad o condena dolosa
  • Ratificación de cese: necesaria para incumplimiento grave, incapacidad, incompatibilidad o condena
  • Vía administrativa: los actos de la Presidencia agotan la vía administrativa
  • Recurso: directo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional
  • Consejo Consultivo: órgano asesor con 11 categorías de miembros (Diputado, Senador, CGPJ, Administración, CCAA, Municipios, Consumidores, Organizaciones Empresariales, Profesionales, Organismos de resolución y Universidades)

Composición, funcionamiento y potestades de la Agencia Española de Protección de Datos

  • Composición: Representantes de Colegios Profesionales, Seguridad de la Información, Transparencia y Sindicatos
  • Requisito experto: Conocimientos en Derecho y práctica en protección de datos
  • Nombramiento: Orden del Ministro de Justicia publicada en el BOE
  • Periodicidad: Mínimo una vez al semestre
  • Naturaleza de decisiones: No vinculantes
  • Publicidad: Resoluciones sobre derechos RGPD (15-22), sanciones, apercibimientos, archivos y medidas cautelares
  • Investigación: Funcionarios propios o ajenos habilitados por la Presidencia
  • Cooperación internacional: Personal de otros Estados actúa bajo orientación y presencia de la AEPD
  • Estatus del investigador: Agentes de la autoridad con deber de secreto permanente
  • Deber de colaboración: Obligatorio para Administraciones Públicas y particulares
  • Base legal de datos personales: Artículo 6.1 c) del RGPD

Facultades de investigación y obtención de datos por la AEPD

  • AEPD puede recabar datos de Administraciones Públicas para identificar responsables de infracciones.
  • Información Tributaria/Seguridad Social: limitada a identificar responsables en entramados societarios.
  • Datos de telefonía: número de origen, datos del abonado y confirmación de llamadas.
  • Datos de sociedad de la información: IP, fecha/hora de conducta y datos del titular de la IP.
  • Cesión sin autorización judicial: solo por denuncia de afectado contra persona jurídica o sistemas de divulgación masiva.
  • Cesión con autorización judicial: requerida para el resto de los supuestos de investigación.
  • Exclusión: datos de tráfico bajo la Ley 25/2007 requieren autorización judicial específica.
  • Facultades de investigación: inspección, exhibición de documentos, copia de datos y acceso a equipos físicos/lógicos.
  • Acceso a domicilio: requiere consentimiento o autorización judicial.
  • Inspección de órganos judiciales: se realiza por mediación del Consejo General del Poder Judicial.

Actuaciones de investigación, planes de auditoría y potestades de la AEPD

  • Sistemas digitales: requieren conformidad del inspeccionado y garantizar autoría, autenticidad e integridad
  • Planes de auditoría preventiva: dirigidos a sectores concretos para analizar cumplimiento normativo
  • Directrices de la Presidencia: son de obligado cumplimiento para el sector o responsable
  • Circulares de la AEPD: fijan criterios de actuación y son obligatorias tras su publicación en el BOE
  • Acción exterior: titularidad de la AEPD; las CCAA ejercitan funciones según la Ley 2/2014
  • Convenios Internacionales: la AEPD es la competente y representante común en el Comité Europeo de Protección de Datos
  • Cooperación internacional: la AEPD puede suscribir acuerdos administrativos y no normativos
  • Ámbito iberoamericano: prioridad de colaboración para impulsar el derecho fundamental a la protección de datos

Competencias y coordinación de las autoridades autonómicas de protección de datos

  • Competencias autonómicas: sector público local/autonómico, funciones públicas y Estatutos de Autonomía
  • Potestad de dictar circulares con efectos similares a la AEPD
  • Reuniones de cooperación semestrales convocadas por la Presidencia de la AEPD
  • Plazo de un mes para cesar tratamientos ilícitos ante requerimiento de la AEPD
  • Acción ante la jurisdicción contencioso-administrativa por incumplimiento de requerimiento
  • Canalización obligatoria de comunicaciones con el Comité Europeo a través de la AEPD
  • Asistencia de la AEPD por representantes autonómicos en intervenciones ante el Comité
  • Condición de autoridad principal/interesada en tratamientos transfronterizos según competencia territorial

Régimen jurídico y tramitación de procedimientos de la AEPD

  • Ámbito de aplicación: Reclamaciones por falta de atención de derechos (arts. 15-22 RGPD) o investigación de infracciones.
  • Normativa: RGPD, Ley Orgánica, reglamentos y normas generales de procedimiento administrativo (subsidiario).
  • Regulación: El Gobierno dictará los procedimientos mediante real decreto.
  • Falta de atención de derechos: Inicio por acuerdo de admisión a trámite.
  • Plazo falta de atención: 6 meses para resolver; si expira, se considera estimada.
  • Determinación de infracción: Inicio por acuerdo de inicio (propia iniciativa o reclamación).
  • Plazo infracción: Máximo 12 meses desde el acuerdo de inicio (riesgo de caducidad).
  • Apercibimiento/Medidas correctivas: Plazo máximo de 6 meses desde el acuerdo de inicio.
  • Cooperación UE: Aplicable cuando la AEPD sea la autoridad de control principal.
  • Suspensión automática: Por solicitudes a órganos de la UE o autoridades de control de otros Estados miembros.
  • Suspensión por resolución: Posible cuando sea necesario recabar información de un órgano jurisdiccional.

Admisión a trámite y alcance territorial de las reclamaciones ante la AEPD

  • Criterios de inadmisión: no tratar sobre datos, falta de fundamento, abuso o falta de indicios racionales
  • Inadmisión por medidas correctivas: si no hay perjuicio (art. 74) o el derecho queda garantizado tras advertencia
  • Remisión previa: posible envío a delegado de protección de datos, organismos de códigos de conducta o resolución extrajudicial
  • Plazo de respuesta del responsable: 1 mes si la reclamación se remite directamente a él
  • Plazo de notificación de admisión/inadmisión: 3 meses
  • Efecto de falta de notificación: la reclamación se entiende en trámite tras los 3 meses desde su entrada
  • Cómputo de plazo en comunicaciones internacionales: inicia con la recepción de toda la documentación necesaria
  • Información en reclamaciones duplicadas: se puede incluir número de expediente y URL de resolución previa
  • Archivo tras admisión: posible si hay cumplimiento normativo y no hay actuaciones previas iniciadas
  • Determinación territorial: obligación de definir carácter nacional o transfronterizo antes de cualquier actuación
  • Remisión por falta de competencia: implica el archivo provisional del procedimiento

Actuaciones previas, inicio de procedimiento y régimen sancionador

  • Actuaciones previas: obligatorias en tráfico masivo de datos
  • Plazo máximo de investigación: 18 meses
  • Acuerdo de inicio: dictado por la Presidencia de la Agencia
  • Contenido del acuerdo: hechos, identidad, infracción y sanción posible
  • Autoridad de control principal: sigue el art. 60 del RGPD
  • Medidas provisionales: bloqueo cautelar y atención inmediata de derechos
  • Menoscabo grave: orden de bloqueo, cesación e inmovilización
  • Atención de derechos (arts. 15-22 RGPD): resolución motivada con audiencia previa
  • Sujetos sancionables: responsables, encargados, representantes extra-UE, entidades de certificación y de supervisión
  • Excepción: el delegado de protección de datos no está sujeto al régimen sancionador
  • Base de infracciones: apartados 4, 5 y 6 del art. 83 del RGPD y Ley Orgánica

Infracciones muy graves y plazos de prescripción

  • Prescripción: 3 años para infracciones muy graves
  • Infracción: Vulnerar principios y garantías (art. 5 Reglamento)
  • Infracción: Tratamiento sin base legal (art. 6 Reglamento)
  • Infracción: Incumplir requisitos de consentimiento (art. 7 Reglamento)
  • Infracción: Uso para finalidades incompatibles sin base legal
  • Infracción: Tratar categorías especiales sin cumplir requisitos (art. 9)
  • Infracción: Tratar datos de condenas/penales fuera de supuestos (art. 10)
  • Infracción: Tratar datos de sanciones administrativas fuera de lo permitido (art. 27 LO)
  • Infracción: Omitir deber de informar (art. 13, 14 Reglamento; art. 12 LO)
  • Infracción: Vulnerar deber de confidencialidad (art. 5 LO)
  • Infracción: Exigir canon por información o ejercicio de derechos
  • Infracción: Impedir u obstaculizar el ejercicio de derechos (art. 15-22 Reglamento)
  • Infracción: Transferencias internacionales sin garantías (art. 44-49 Reglamento)
  • Infracción: Incumplir resoluciones de la autoridad (art. 58.2 Reglamento)
  • Infracción: Incumplir obligación de bloqueo de datos (art. 32 LO)
  • Infracción: No facilitar acceso a la autoridad en sus investigaciones
  • Infracción: Resistir u obstruir la función inspectora
  • Infracción: Reversión deliberada de anonimización para reidentificar
  • Prescripción: 3 años para infracciones del art. 83.6 del Reglamento

Infracciones graves en la protección de datos

  • Prescripción de infracciones graves: 2 años
  • Infracción: Tratar datos de menores sin consentimiento o sin verificar su validez
  • Infracción: Obstaculizar derechos de acceso, rectificación, supresión, limitación o portabilidad
  • Infracción: No aplicar protección de datos desde el diseño (art. 25)
  • Infracción: No garantizar el tratamiento de datos mínimos necesarios por defecto (art. 25.2)
  • Infracción: No garantizar un nivel de seguridad adecuado al riesgo (art. 32.1)
  • Infracción: Quebrantamiento de medidas de seguridad por falta de debida diligencia
  • Infracción: No designar representante en la UE (art. 27)
  • Infracción: No atender solicitudes de la autoridad o afectados por el representante
  • Infracción: Contratar encargado sin garantías suficientes (Cap. IV)
  • Infracción: Encargar tratamiento a terceros sin contrato escrito (art. 28.3)
  • Infracción: Subcontratación sin autorización previa o información al responsable
  • Infracción: Encargado que determine unilateralmente fines y medios (art. 28.10)
  • Infracción: No disponer del registro de actividades de tratamiento (art. 30)

Infracciones en materia de protección de datos y clasificación de infracciones leves

  • No entregar el registro de actividades de tratamiento a la autoridad
  • No cooperar con autoridades de control (salvo excepciones art. 72)
  • Tratamiento de datos sin valoración previa (art. 28 ley orgánica)
  • No notificar violaciones de seguridad al responsable (deber del encargado)
  • No notificar violaciones de seguridad a la autoridad (art. 33 RGPD)
  • No comunicar violaciones al afectado si la autoridad lo requiere (art. 34 RGPD)
  • Tratamiento sin evaluación de impacto cuando sea exigible
  • Tratamiento sin consulta previa a la autoridad cuando sea preceptivo (art. 36 RGPD)
  • No designar delegado de protección de datos cuando sea exigible (art. 37 RGPD / art. 34 ley orgánica)
  • Interferir o no respaldar las funciones del delegado de protección de datos
  • Uso de sellos o certificaciones no acreditados o caducados
  • Obtener acreditación con información inexacta (art. 43 RGPD)
  • Desempeñar funciones de organismo de certificación sin acreditación (art. 39 ley orgánica)
  • Incumplimiento de principios y deberes de organismos de certificación (arts. 42 y 43 RGPD)
  • Desempeñar funciones de supervisión de códigos de conducta sin acreditación
  • No adoptar medidas ante infracciones de un código de conducta (art. 41.4 RGPD)
  • Infracciones leves: prescriben en 1 año
  • Infracción leve: incumplir el principio de transparencia o derecho de información (arts. 13 y 14 RGPD)

Infracciones en materia de protección de datos y prescripción

  • Canon excesivo: Infracción si el pago para ejercer derechos supera los costes reales (art. 12.5).
  • No atender solicitudes: Infracción no atender derechos de los arts. 15 a 22, salvo art. 72.1.k.
  • Identificación no requerida: Infracción no atender derechos si el usuario facilita datos que permiten identificarlo (salvo art. 73 c).
  • Falta de notificación: Infracción no notificar rectificaciones, supresiones o limitaciones (art. 19).
  • Datos de fallecidos: Infracción no suprimir datos de fallecidos cuando sea exigible (art. 3).
  • Corresponsables: Infracción por falta de acuerdo formalizado o inexactitud (art. 26).
  • Corresponsables: Infracción por no poner a disposición los aspectos esenciales del acuerdo (art. 26.2).
  • Encargado del tratamiento: Infracción por no informar sobre posibles infracciones por instrucciones del responsable (art. 28.3).
  • Incumplimiento del encargado: Infracción por no seguir instrucciones, salvo obligación legal o evitar infracción advertida.
  • Registro de actividades: Infracción por no incorporar toda la información del art. 30.
  • Violación de seguridad: Infracción por notificación incompleta, tardía o defectuosa (art. 33).
  • Documentación de seguridad: Infracción por no documentar violaciones de seguridad (art. 33.5).
  • Comunicación de alto riesgo: Infracción por no informar al afectado sobre violaciones de alto riesgo (art. 34), salvo art. 73 s.
  • Consultas previas: Infracción por facilitar información inexacta a la autoridad (art. 36).
  • Delegado de protección de datos: Infracción por no publicar o comunicar sus datos de contacto (art. 37 y art. 34 ley orgánica).
  • Organismos de certificación: Infracción por no informar sobre expedición, renovación o retirada de certificaciones (art. 43).
  • Códigos de conducta: Infracción por no informar sobre medidas ante infracciones de códigos de conducta (art. 41.4).
  • Interrupción de prescripción: Se interrumpe con la iniciación del procedimiento sancionador con conocimiento del interesado.
  • Reinicio de prescripción: Se reinicia si el expediente se paraliza más de 6 meses por causas no imputables al infractor.
  • Prescripción AEPD: Se interrumpe con el conocimiento formal del acuerdo de inicio (art. 60 Reglamento).

Sanciones, medidas correctivas y régimen de autoridades públicas

  • Sanciones basadas en apartados 4, 5 y 6 del art. 83 del Reglamento (UE) 2016/679
  • Criterios de graduación: carácter continuado, beneficios, afectación a menores y falta de delegado de datos
  • Publicidad en BOE: obligatoria si la sanción supera el 1.000.000 euros y el infractor es una persona jurídica
  • Régimen especial para: órganos constitucionales, jurisdiccionales, Administraciones Públicas, Banco de España, Universidades Públicas y grupos parlamentarios
  • Resolución obligatoria: declaración de infracción y medidas de cese o corrección
  • Notificación obligatoria a: responsable, superior jerárquico y afectados
  • Actuaciones disciplinarias: procedentes ante indicios suficientes según legislación disciplinaria
  • Amonestación especial: obligatoria si no se atendieron informes técnicos o recomendaciones de autoridades/directivos
  • Comunicación obligatoria al Defensor del Pueblo o instituciones análogas
  • Publicidad web: la AEPD debe publicar resoluciones de entidades públicas identificando al responsable

Prescripción de sanciones y garantías de los derechos digitales

  • Sanciones ≤ 40.000€: prescripción en 1 año
  • Sanciones entre 40.001€ y 300.000€: prescripción en 2 años
  • Sanciones > 300.000€: prescripción en 3 años
  • Inicio del plazo: día siguiente a la ejecutabilidad o fin del plazo de recurso
  • Interrupción de prescripción: iniciación del procedimiento de ejecución
  • Reanudación del plazo: paralización por más de 6 meses por causa no imputable al infractor
  • Neutralidad de Internet: oferta transparente sin discriminación técnica o económica
  • Acceso universal: debe ser asequible, de calidad y superar brechas de género, generacional y rural
  • Educación digital: inclusión de consumo responsable, protección de datos y prevención de violencia en la red
  • Formación docente: obligatoria en valores, derechos y seguridad digital
  • Cuerpos superiores: inclusión de derechos digitales en las pruebas de acceso
  • Menores: intervención del Ministerio Fiscal ante vulneración de derechos en redes sociales

Derechos digitales en Internet y el ámbito laboral

  • Derecho de rectificación: aplicable en redes sociales y medios digitales
  • Base legal rectificación: Ley Orgánica 2/1984
  • Aviso aclaratorio: debe ser visible y acompañar a la noticia original
  • Derecho a actualización: requiere motivación y debe ser visible
  • Actualización obligatoria: en casos de actuaciones policiales/judiciales favorables
  • Intimidad laboral: protección en dispositivos proporcionados por el empleador
  • Acceso del empleador: limitado a control de obligaciones y seguridad de dispositivos
  • Uso privado de dispositivos: requiere especificar usos autorizados y periodos de uso
  • Participación: los representantes de los trabajadores deben participar en los criterios de uso
  • Derecho a la desconexión: garantiza descanso, vacaciones e intimidad
  • Negociación: las modalidades de desconexión se rigen por negociación colectiva o acuerdos
  • Política interna: debe incluir formación y sensibilización contra la fatiga informática
  • Desconexión en teletrabajo: derecho preservado en el domicilio del empleado

Derechos a la intimidad, protección de datos y derechos digitales en el ámbito laboral y digital

  • Videovigilancia: Permitida para control laboral con información previa obligatoria
  • Excepción: No requiere información previa si se capta un acto ilícito flagrante
  • Prohibición: No se permite grabación en vestuarios, aseos o comedores
  • Grabación de sonidos: Solo por riesgos de seguridad y bajo proporcionalidad
  • Geolocalización: Requiere informar sobre características y derechos ARL (acceso, rectificación, limitación, supresión)
  • Negociación colectiva: Puede incluir garantías adicionales de derechos digitales
  • Menores: Obligación de garantizar el interés superior del menor en la difusión de datos
  • Redes sociales: Requieren consentimiento del menor o representante para publicar datos
  • Derecho al olvido: Exigencia de eliminar enlaces inadecuados o inexactos tras búsqueda por nombre
  • Derecho al olvido: Prevalece sobre la licitud de la información en el sitio web original
  • Búsqueda alternativa: El derecho al olvido no impide el acceso mediante otros criterios de búsqueda

Derechos digitales en redes sociales y testamento digital

  • Derecho al olvido: supresión de datos propios a simple solicitud
  • Supresión de datos de terceros: requiere que sean inexactos, excesivos, no pertinentes o no actualizados
  • Excepción al derecho al olvido: datos de actividades personales o domésticas
  • Datos de la minoría de edad: supresión inmediata sin requisitos adicionales
  • Derecho de portabilidad: recibir, transmitir y solicitar transmisión directa a otro prestador
  • Excepción de portabilidad: conservación de copia por obligación legal (sin difusión)
  • Acceso a contenidos de fallecidos: permitido a familiares, herederos, albaceas o designados
  • Prohibición de acceso: válida si el fallecido lo prohibió expresamente o por ley
  • Acceso para menores fallecidos: representantes legales o Ministerio Fiscal
  • Acceso para personas con discapacidad: designados para funciones de apoyo
  • Eliminación de perfiles: decisión de legitimados salvo instrucción previa del fallecido
  • Registro de mandatos: requisitos fijados por Real Decreto
  • Normativa especial: prevalecen las leyes de comunidades autónomas con derecho civil propio
  • Plan de Acceso a Internet: responsabilidad del Gobierno y comunidades autónomas

Inclusión digital, seguridad en el sector público, transparencia y cómputo de plazos

  • Inclusión digital: bono social, espacios públicos y formación en competencias digitales.
  • Menores de edad: Plan de Actuación para uso equilibrado y responsable de redes sociales.
  • Informe anual: El Gobierno informará a la comisión parlamentaria sobre la efectividad de los derechos digitales.
  • Seguridad pública: El Esquema Nacional de Seguridad debe cumplir con el artículo 32 del Reglamento (UE) 2016/679.
  • Responsables art. 77.1: Deben aplicar medidas de seguridad y promoverlas en entidades vinculadas.
  • Terceros (concesión/contrato): Deben ajustar sus medidas de seguridad a las de la Administración de origen.
  • Transparencia: La publicidad activa debe cumplir con la Ley 19/2013 y el Reglamento (UE) 2016/679 si hay datos personales.
  • Plazos en días: Se cuentan solo días hábiles.
  • Plazos en semanas: Concluyen el mismo día de la semana que el hecho iniciador.
  • Plazos en meses/años: Concluyen el mismo día del mes/año de inicio (o último día del mes si no hay día equivalente).
  • Prorroga: Si el último día es inhábil, se traslada al primer día hábil siguiente.
  • Competencias AEPD: Los procedimientos por otras leyes se rigen por el Título VIII.

Disposiciones adicionales sobre protección de datos, sistemas crediticios y notificaciones

  • Suspensión inmediata si decisión de la Comisión Europea infringe el RGPD
  • Autorización judicial necesaria para declarar la infracción de la Comisión
  • Decisiones aplicables: nivel adecuado de protección, cláusulas tipo y códigos de conducta
  • Requisito para autorización judicial: declaración de invalidez por el TJUE (cuestión prejudicial)
  • Límite de deuda para sistemas crediticios: 50 euros (actualizable por real decreto)
  • Identificación en publicaciones: nombre, apellidos y 4 cifras aleatorias del documento
  • Identificación en anuncios: número completo del documento de identidad
  • Prohibición: No publicar nombre/apellidos junto con el número completo del documento
  • Protocolo especial para evitar riesgos a víctimas de violencia de género
  • Potestad de las Administraciones para verificar la exactitud de los datos declarados
  • Tratamiento de datos en incidentes de seguridad: solo para análisis, detección, protección y respuesta
  • Comunicación de datos por responsables del art. 77.1: requiere consentimiento o interés legítimo

Disposiciones adicionales sobre privacidad, registros de personal, datos tributarios y prácticas agresivas

  • Privacidad en comunicaciones: No impone obligaciones adicionales a las normas de la UE y Derecho interno
  • Registros de personal público: Tratados como ejercicio de poderes públicos (Art. 6.1.e Reglamento UE 2016/679)
  • Datos penales en registros de personal: Permitidos solo si son estrictamente necesarios
  • Interés público importante: Permite tratar datos limitados por el art. 18.1 del Reglamento (UE) 2016/679 para procedimientos de personal
  • Transferencias tributarias: Reguladas por asistencia mutua UE, convenios de doble imposición y Ley General Tributaria
  • Vigencia normativa: Normas del art. 13 de la Directiva 95/46/CE previas al 25 de mayo de 2018 siguen vigentes si no han sido derogadas
  • CNMV: Puede solicitar datos no contenidos para detectar delitos graves con autorización judicial previa
  • Práctica agresiva 1: Suplantar identidad de la AEPD o autoridades autonómicas
  • Práctica agresiva 2: Fingir colaboración con la AEPD para ofrecer productos/servicios
  • Práctica agresiva 3: Coartar decisión mediante amenaza de sanciones por protección de datos
  • Práctica agresiva 4: Ofrecer documentos de cumplimiento sin verificación real
  • Práctica agresiva 5: Asumir rol de delegado de protección de datos sin designación expresa
  • Datos de salud y genéticos: Amparados por las letras g), h), i) y j) del art. 9.2 del Reglamento (UE) 2016/679

Marco normativo y criterios de tratamiento de datos en investigación en salud

  • Normativa clave: Leyes de Sanidad, Riesgos Laborales, Autonomía del Paciente, Cohesión SNS, Profesiones Sanitarias, Investigación Biomédica, Salud Pública, Aseguradoras, Medicamentos y Discapacidad.
  • Consentimiento: Puede ser otorgado por el interesado o representante legal para áreas generales de especialidad médica.
  • Excepción: Autoridades sanitarias pueden investigar sin consentimiento en casos de excepcional gravedad para la salud pública.
  • Reutilización: Lícita si las nuevas finalidades están relacionadas con el área de la investigación inicial.
  • Requisitos de reutilización: Publicar info del Art. 13 RGPD en web, notificar electrónicamente a los afectados y contar con informe favorable del comité de ética.
  • Datos seudonimizados: Uso lícito en investigación en salud y biomédica.
  • Requisitos seudonimización: Separación técnica/funcional, compromiso de confidencialidad y medidas de seguridad específicas.
  • Reidentificación: Permitida solo ante peligro real y concreto para la salud/seguridad, amenaza grave a derechos o para garantizar asistencia sanitaria.

Tratamiento de datos en investigación en salud y disposiciones adicionales

  • Excepciones derechos (15, 16, 18, 21): datos anonimizados/seudonimizados, resultados de investigación o interés público esencial (Ley).
  • Interés público esencial: incluye seguridad del Estado, defensa y seguridad pública.
  • Obligaciones investigación salud: evaluación de impacto (riesgos reidentificación), normas calidad/buenas prácticas y medidas de no acceso a identificación.
  • Representante legal: obligatorio en la UE si el promotor es extranjero (Reglamento 536/2014).
  • Informe previo: obligatorio del comité de ética para datos seudonimizados; si no hay comité, requiere delegado de protección de datos o experto.
  • Comités de ética: deben integrar a un delegado de protección de datos o experto en un plazo de 1 año.
  • AEPD: desarrollará guías de responsabilidad activa; no se aplica art. 50.2.c) Ley 40/2015 pero sí puede usar contratación centralizada.
  • Menores en Internet: proyecto de ley para seguridad y lucha contra violencia en un plazo de 1 año.
  • Educación digital: cumplimiento del art. 83 en un plazo de 1 año.
  • Archivos públicos/eclesiásticos: acceso facilitado para investigaciones de personas desaparecidas con prontitud y diligencia.

Disposiciones adicionales y transitorias de la Ley Orgánica de Protección de Datos

  • Modelos de reclamación: uso obligatorio para todos los interesados
  • Publicación de modelos: BOE y Sede Electrónica de la AEPD
  • Vigencia modelos: obligatorios a partir de 1 mes de su publicación en el BOE
  • Estatuto AEPD: vigente mientras no se oponga al Título VIII de la ley orgánica
  • Aplicación art. 48 (2,3,5) y art. 49: tras el fin del mandato del Director de la AEPD
  • Adaptación códigos tipo: plazo de 1 año para cumplir el art. 40 del Reglamento (UE) 2016/679
  • Cancelación códigos tipo: si no se solicita aprobación en el plazo de 1 año
  • Procedimientos iniciados: se rigen por norma anterior salvo que la nueva sea más favorable
  • Tratamientos Directiva (UE) 2016/680: regidos por LO 15/1999 hasta traspórtese (ya traspuesta por LO 7/2021)
  • Contratos de encargado previos a 25/05/2018: vigentes hasta su fin o hasta el 25/05/2022 si son indefinidos
  • Reutilización datos salud: lícita si es para la finalidad concreta del consentimiento
  • Reutilización datos salud: lícita si es para áreas relacionadas con la especialidad médica del estudio inicial

Derogaciones, naturaleza y competencias de la Ley Orgánica de Protección de Datos

  • Derogación: Ley Orgánica 15/1999 y RD-ley 5/2018
  • Incompatibilidad: Cualquier norma inferior que contradiga el Reglamento (UE) 2016/679 o la ley orgánica
  • Naturaleza: Ley Orgánica (salvo Títulos IV, VII, VIII, IX y artículos específicos)
  • Competencia general: Art. 149.1.1.ª de la Constitución
  • Exclusividad AGE: Cap. I Título VII, Título VIII, Disp. Adic. 4 y Disp. Trans. 1
  • Competencia Laboral/Estatutaria: Artículos 87 a 90 (Art. 149.1.7.ª y 18.ª)
  • Competencia Procesal: Disp. Adic. 5 y Disp. Finales 6 y 7 (Art. 149.1.6.ª)
  • Censo Electoral: Reclamaciones solo por errores, cambios en misma circunscripción o no inclusión
  • Censo Electoral: No se admiten cambios de residencia entre circunscripciones tras el cierre
  • Actividad Electoral: Permitido uso de datos de fuentes públicas y webs
  • Propaganda Digital: No es actividad comercial y debe identificar su naturaleza electoral
  • Propaganda Digital: Obligación de ofrecer modo gratuito y sencillo de oposición
  • Poder Judicial: El CGPJ puede solicitar autorización para la declaración de la disp. adicional quinta

Autorizaciones y procedimientos de protección de datos personales

  • Tribunales Superiores de Justicia: autorizan requerimientos de autoridades autonómicas de protección de datos.
  • Juzgados Centrales de lo Contencioso-administrativo: autorizan requerimientos de la Agencia Española de Protección de Datos y autoridades estatales independientes.
  • Investigación en salud: se rige por la Disposición adicional decimoséptima de la LOPDGDD.
  • Procedimiento Art. 122 ter: autorización judicial de decisiones de la Comisión Europea sobre transferencias internacionales.
  • Solicitud Art. 122 ter: debe incluir copia del expediente pendiente ante la autoridad de protección de datos.
  • Partes en el procedimiento: autoridad de protección de datos, partes del procedimiento previo y la Comisión Europea.
  • Efectos del acuerdo de admisión/inadmisión: puede confirmar, modificar o levantar la suspensión del procedimiento previo.
  • Competencia de conocimiento: repartida entre autoridades autonómicas, la Agencia Española de Protección de Datos y el Consejo General del Poder Judicial.

Procedimiento de solicitud de autorización y régimen de intervención en procesos de defensa de la competencia y protección de datos

  • Plazo para personarse de los intervinientes: 3 días
  • Plazo para alegaciones y solicitud de pruebas: 10 días
  • Plazo para dictar resolución del Tribunal: 10 días
  • Condición para conceder autorización: Invalidación por el TJUE de la decisión de la Comisión Europea
  • Base legal para cuestión prejudicial: Artículo 267 del TFUE
  • Órganos con facultad de intervención: Comisión Europea, CNMC y autoridades autonómicas
  • Naturaleza de la intervención: Sin condición de parte
  • Materias de intervención: Art. 101 y 102 TFUE y Art. 1 y 2 Ley 15/2007
  • Exclusión de información: Art. 65 y 66 de la Ley 15/2007 (exenciones y multas)
  • Plazo de entrega de observaciones: 10 días antes del acto del juicio (art. 433)
  • Intervención en RGPD: Aplica a la Comisión Europea, AEPD y autoridades autonómicas

Acceso a la historia clínica, educación digital y transparencia de datos

  • Acceso historia clínica: se rige por Ley 14/1986 y normativa de protección de datos
  • Regla general historia clínica: anonimato mediante separación de datos identificativos y clinicoasistenciales
  • Excepción anonimato: consentimiento del paciente o investigaciones específicas de la LOPDGDD
  • Excepción judicial: unificación de datos si es imprescindible y según orden de jueces/tribunales
  • Acceso salud pública: permitido por Administraciones (Ley 33/2011) ante riesgo grave, con previa motivación y por personal con secreto profesional
  • Educación digital: capacitación para uso seguro y respetuoso de medios digitales (LOE)
  • Registro actividades tratamiento: obligación de publicar inventario (art. 6 bis Ley 19/2013)
  • Acceso datos ideología/religión: requiere consentimiento expreso y por escrito
  • Acceso datos sensibles (raza, salud, biometría, etc.): requiere consentimiento expreso o norma con rango de ley

Derechos de los interesados en la aportación de documentos y derechos digitales de los trabajadores

  • Derecho a no aportar documentos ya en poder de la Administración
  • Excepción a la oposición del interesado: potestades sancionadoras o de inspección
  • Obligación de recabar documentos por vía electrónica
  • Plazo de remisión de informes preceptivos: diez días
  • Prohibición general de exigir documentos originales (salvo excepción normativa)
  • Obligación de no requerir datos ya aportados a otra Administración
  • Derecho a la intimidad en dispositivos digitales del empleador
  • Derecho a la desconexión digital
  • Derecho a la intimidad frente a videovigilancia y geolocalización
  • Entrada en vigor: día siguiente a la publicación en el BOE

Vista previa de las fichas (6 de 8)

  1. 01

    Objeto de la LOPDGDD

    Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 (RGPD) y completar sus disposiciones.

  2. 02

    Principios del tratamiento (art. 5 RGPD)

    Licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; responsabilidad proactiva.

  3. 03

    Derechos de las personas interesadas

    Acceso, rectificación, supresión ("derecho al olvido"), limitación del tratamiento, portabilidad, oposición, y a no ser objeto de decisiones basadas solo en tratamiento automatizado.

  4. 04

    Delegado de Protección de Datos (DPD)

    Obligatorio, entre otros, para las Administraciones Públicas y organismos públicos (art. 34 LOPDGDD), aunque el RGPD no lo exigiera en su caso.

  5. 05

    Autoridad de control en España

    La Agencia Española de Protección de Datos (AEPD), autoridad administrativa independiente.

  6. 06

    Edad de consentimiento de menores (art. 7 LOPDGDD)

    14 años. Por debajo de esa edad se necesita el consentimiento de padres o tutores.

+ 2 fichas más, 6 preguntas de test y audio al registrarte (gratis).

LOPDGDD: protección de datos personales · GoCram