Materia de estudio
Resumen de repaso redactado con ayuda de IA a partir de la normativa del tema. Ante cualquier duda, manda el texto publicado en el diario oficial.
La protección de datos personales es materia transversal en la actividad policial: cada actuación que implique recogida, tratamiento o cesión de información sobre personas físicas queda sujeta a estas normas. Para la Escala Básica, el examen combina preguntas conceptuales (definiciones del RGPD) con preguntas sobre plazos, derechos y el papel de la Agencia Española de Protección de Datos (AEPD).
Marco normativo
- Reglamento (UE) 2016/679, de 27 de abril de 2016, del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). Aplicable directamente en todos los Estados miembros desde el 25 de mayo de 2018.
- LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Publicada en el BOE el 6 de diciembre de 2018. Adapta y desarrolla el RGPD en el ordenamiento español. Deroga la anterior LO 15/1999.
El RGPD prevalece sobre la LOPDGDD en caso de conflicto, al ser norma de la Unión Europea de aplicación directa.
Conceptos clave
Dato personal
Según el art. 4.1 RGPD: «toda información sobre una persona física identificada o identificable». Se considera identificable a quien pueda ser determinado directa o indirectamente, en particular mediante un identificador (nombre, número de identificación, datos de localización, identificador en línea) o uno o varios elementos propios de su identidad física, fisiológica, genética, psíquica, económica, cultural o social.
Tratamiento
Art. 4.2 RGPD: cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos automatizados o no. Incluye recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión o destrucción.
Responsable del tratamiento
Art. 4.7 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.
Encargado del tratamiento
Art. 4.8 RGPD: persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable. La distinción responsable/encargado es muy preguntada.
Consentimiento
Art. 4.11 RGPD: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento de sus datos. El consentimiento debe poder retirarse en cualquier momento (art. 7.3 RGPD).
- Edad mínima para el consentimiento en servicios de la sociedad de la información: 14 años, según el art. 7 LOPDGDD (la LOPDGDD rebaja el umbral de 16 años que fija el RGPD como referencia, haciendo uso de la habilitación del art. 8.1 RGPD).
Categorías especiales de datos
Art. 9.1 RGPD: datos que revelan origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos dirigidos a identificar de forma unívoca a una persona física, datos relativos a la salud, datos relativos a la vida sexual u orientación sexual. Su tratamiento está prohibido con carácter general, salvo las excepciones del art. 9.2 RGPD.
Datos relativos a condenas e infracciones penales
Art. 10 RGPD: solo pueden tratarse bajo la supervisión de autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros.
Principios del tratamiento
El art. 5 RGPD recoge los principios que rigen todo tratamiento. Son de memorización obligatoria:
- Licitud, lealtad y transparencia — el tratamiento debe tener base jurídica y el interesado debe ser informado.
- Limitación de la finalidad — los datos se recogen con fines determinados, explícitos y legítimos; no pueden tratarse de forma incompatible con dichos fines.
- Minimización de datos — solo se recogen los datos adecuados, pertinentes y limitados a lo necesario.
- Exactitud — los datos deben ser exactos y actualizados.
- Limitación del plazo de conservación — no se conservan más tiempo del necesario para la finalidad.
- Integridad y confidencialidad — tratamiento con seguridad adecuada.
- Responsabilidad proactiva (accountability) — el responsable debe poder demostrar el cumplimiento de todos los principios anteriores (art. 5.2 RGPD).
Bases jurídicas del tratamiento
Art. 6 RGPD. El tratamiento solo es lícito si se cumple al menos una de estas condiciones:
- Consentimiento del interesado.
- Ejecución de un contrato en el que el interesado es parte.
- Cumplimiento de una obligación legal.
- Protección de intereses vitales del interesado o de otra persona.
- Cumplimiento de una misión en interés público o en el ejercicio de poderes públicos.
- Intereses legítimos del responsable o de un tercero (no aplicable a autoridades públicas en el ejercicio de sus funciones).
Derechos de los interesados
Los derechos reconocidos en los arts. 15 a 22 RGPD (desarrollados en los arts. 12 a 18 LOPDGDD):
- Derecho de acceso (art. 15 RGPD): obtener confirmación de si se tratan datos y acceder a ellos.
- Derecho de rectificación (art. 16 RGPD): rectificar datos inexactos.
- Derecho de supresión o «derecho al olvido» (art. 17 RGPD): supresión de datos cuando ya no sean necesarios, se retire el consentimiento, etc.
- Derecho a la limitación del tratamiento (art. 18 RGPD): suspensión temporal del tratamiento en determinados supuestos.
- Derecho a la portabilidad (art. 20 RGPD): recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable. Solo aplica cuando el tratamiento se basa en consentimiento o contrato y se realiza por medios automatizados.
- Derecho de oposición (art. 21 RGPD): oponerse al tratamiento en cualquier momento por motivos relacionados con su situación particular.
Plazo de respuesta: el responsable debe atender los derechos en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses adicionales cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes (art. 12.3 RGPD).
Delegado de Protección de Datos (DPD)
Arts. 37 a 39 RGPD y arts. 34 a 37 LOPDGDD.
- Designación obligatoria para: autoridades u organismos públicos; responsables o encargados cuya actividad principal requiera una observación habitual y sistemática a gran escala de interesados; responsables o encargados que traten a gran escala categorías especiales de datos o datos relativos a condenas penales.
- Funciones principales (art. 39 RGPD): informar y asesorar; supervisar el cumplimiento; cooperar con la autoridad de control; actuar como punto de contacto con la AEPD.
- El DPD no responde personalmente de las infracciones: la responsabilidad recae en el responsable o encargado del tratamiento.
Notificación de violaciones de seguridad
- A la autoridad de control (AEPD): en un plazo máximo de 72 horas desde que el responsable tenga constancia de la violación, salvo que sea improbable que suponga un riesgo para los derechos y libertades (art. 33 RGPD).
- Al interesado: sin dilación indebida cuando la violación entrañe un alto riesgo para sus derechos y libertades (art. 34 RGPD).
La Agencia Española de Protección de Datos (AEPD)
Arts. 42 a 44 LOPDGDD. Autoridad de control independiente. Vela por el cumplimiento del RGPD y la LOPDGDD. Tiene potestad sancionadora.
Régimen sancionador (art. 83 RGPD):
- Infracciones menos graves: multas de hasta 10 000 000 € o, en el caso de empresas, hasta el 2 % del volumen de negocio anual global del ejercicio anterior.
- Infracciones más graves: multas de hasta 20 000 000 € o hasta el 4 % del volumen de negocio anual global del ejercicio anterior.
La LOPDGDD clasifica las infracciones en leves, graves y muy graves (arts. 73, 74 y 72 LOPDGDD, respectivamente) a efectos del plazo de prescripción:
- Infracciones muy graves: prescriben a los 3 años.
- Infracciones graves: prescriben a los 2 años.
- Infracciones leves: prescriben al año.
Datos numéricos y plazos que más se preguntan
- Fecha de aplicación del RGPD: 25 de mayo de 2018.
- Publicación LOPDGDD en BOE: 6 de diciembre de 2018.
- Edad mínima para consentir en servicios digitales: 14 años (art. 7 LOPDGDD).
- Plazo de atención de derechos: 1 mes (prorrogable 2 meses más).
- Notificación de brecha de seguridad a la AEPD: 72 horas.
- Sanciones máximas: 10 M€ / 2 % y 20 M€ / 4 %.
- Prescripción de infracciones: 3 / 2 / 1 año (muy graves / graves / leves).
Errores típicos del opositor
- Confundir responsable (decide los fines) con encargado (trata por cuenta del responsable).
- Situar la edad de consentimiento en 16 años: ese es el umbral del RGPD; la LOPDGDD lo fija en 14.
- Creer que el plazo de notificación de brechas es de 48 horas: es 72.
- Atribuir responsabilidad personal al DPD por infracciones: la responsabilidad es del responsable o encargado.
- Confundir las cuantías de las multas: 2 % / 10 M€ son para infracciones menos graves; 4 % / 20 M€ para las más graves.
Trucos mnemotécnicos
- Principios del art. 5 RGPD → «LiLiMiExLiIn-Re»: Licitud, Limitación de finalidad, Minimización, Exactitud, Limitación de conservación, Integridad y confidencialidad, Responsabilidad proactiva.
- 72 horas para la AEPD: recuerda «3 días = 72 h» — el mismo tiempo que tienes para reclamar el equipaje perdido en un aeropuerto.
- 14 años LOPDGDD: la mayoría de edad penal en España es 14 años — misma cifra, distinto ámbito.
- 4 % / 20 M€ = lo más grave: el número mayor siempre va con la infracción mayor.
- Responsable decide, encargado ejecuta: el responsable es el «jefe» que fija los fines; el encargado es el «empleado» que trata los datos siguiendo instrucciones.