Protección de datos personales: Reglamento General (RGPD) y Ley Orgánica 3/2018
En pocas palabras
- El Reglamento (UE) 2016/679 se aplica desde el 25 de mayo de 2018 (art. 99.2) y fija seis principios del tratamiento (art. 5.1) y seis bases que lo hacen lícito (art. 6.1).
- En España, un menor puede consentir por sí mismo el tratamiento de sus datos a partir de los catorce años (art. 7 de la Ley Orgánica 3/2018).
- El responsable contesta las solicitudes de derechos en un mes, prorrogable otros dos (art. 12.3 del Reglamento), y las infracciones prescriben a los tres años, dos años o un año según sean muy graves, graves o leves (arts. 72 a 74 de la ley orgánica).
En esta página
- Qué dos normas hay que manejar
- A qué tratamientos se aplican
- Definiciones que caen en el test (art. 4 RGPD)
- Los seis principios del tratamiento (art. 5 RGPD)
- Cuándo es lícito tratar datos: las seis bases (art. 6 RGPD)
- El consentimiento y la edad
- Categorías especiales de datos (art. 9 RGPD y art. 9 LOPDGDD)
- Los derechos de las personas y el plazo para contestar
- Responsable, encargado y delegado de protección de datos
- La autoridad de control: Agencia Española de Protección de Datos (arts. 44 a 48 LOPDGDD)
- Infracciones, sanciones y prescripción (arts. 70 a 78 LOPDGDD)
- Lo que más se pregunta
- Cómo fijar las listas y los plazos
- Test de 20 preguntas
- Preguntas frecuentes
- Fuentes
Quiero el temario completo · 14,90 €Pago único. Aún no se cobra nada: reserva y te avisamos.
Protección de datos es uno de los temas comunes de la parte general en las oposiciones de ayuntamientos, y se estudia con dos normas a la vez: el Reglamento europeo pone las reglas y la ley orgánica española las completa con la Agencia, los plazos de prescripción y la edad del consentimiento. Aquí están las dos ordenadas por materias, con el artículo y la norma de cada dato. Es uno de los temas en abierto de la sección de oposiciones.
Qué dos normas hay que manejar
El Reglamento (UE) 2016/679, de 27 de abril de 2016, conocido como RGPD, tiene 99 artículos. Entró en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea (art. 99.1), pero es aplicable desde el 25 de mayo de 2018 (art. 99.2). Es directamente aplicable en cada Estado miembro. Su texto en español tiene dos correcciones de errores, de 2018 y de 2021, que cambiaron la redacción de varios artículos (entre ellos el 3.2, el 9.1, el 12.3 y el 37.1); aquí se usa la corregida.
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), tiene 97 artículos en diez títulos y entró en vigor el día siguiente al de su publicación en el BOE (disposición final decimosexta). Su objeto es doble (art. 1): adaptar el ordenamiento español al Reglamento y completarlo, y garantizar los derechos digitales de la ciudadanía conforme al artículo 18.4 de la Constitución. La última actualización del texto consolidado se publicó el 27 de diciembre de 2025 (la Ley 10/2025 modificó el artículo 23.1).
En adelante, «RGPD» es el Reglamento y «LOPDGDD» la ley orgánica.
- Principios
- Seis principios (art. 5.1 RGPD)
- Responsabilidad proactiva (art. 5.2)
- Licitud
- Seis bases (art. 6.1 RGPD)
- Consentimiento: 14 años
- Categorías especiales (art. 9)
- Derechos
- Arts. 15 a 22 RGPD
- Respuesta en un mes
- Gratuitos
- Sujetos
- Responsable
- Encargado
- Delegado
- Control
- Agencia Española (AEPD)
- Infracciones: 3, 2 y 1 años
A qué tratamientos se aplican
El ámbito material es el mismo en las dos normas: el tratamiento total o parcialmente automatizado de datos personales, y el no automatizado de datos contenidos o destinados a ser incluidos en un fichero (art. 2.1 RGPD y art. 2.1 LOPDGDD).
Quedan fuera del Reglamento (art. 2.2 RGPD) las actividades no comprendidas en el Derecho de la Unión, los tratamientos efectuados por una persona física en actividades exclusivamente personales o domésticas y los de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales.
La LOPDGDD añade que no se aplica a los datos de personas fallecidas ni a los tratamientos sometidos a la normativa de materias clasificadas (art. 2.2). Aun así, los familiares y herederos del fallecido pueden pedir el acceso, la rectificación o la supresión, salvo que este lo hubiera prohibido expresamente o lo establezca una ley (art. 3.1).
En cuanto al territorio (art. 3 RGPD), el Reglamento se aplica a los tratamientos en el contexto de las actividades de un establecimiento en la Unión, tenga lugar el tratamiento en ella o no, y a los de responsables no establecidos en la Unión que ofrezcan bienes o servicios a interesados que se encuentren en ella o controlen su comportamiento.
Definiciones que caen en el test (art. 4 RGPD)
| Término | Definición | Número |
|---|---|---|
| Datos personales | Toda información sobre una persona física identificada o identificable (el interesado) | 4.1 |
| Tratamiento | Cualquier operación sobre datos personales, por procedimientos automatizados o no (recogida, conservación, consulta, comunicación, supresión) | 4.2 |
| Responsable | Quien, solo o junto con otros, determina los fines y medios del tratamiento | 4.7 |
| Encargado | Quien trata datos personales por cuenta del responsable | 4.8 |
| Consentimiento | Manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa | 4.11 |
| Violación de la seguridad | La que ocasiona la destrucción, pérdida o alteración accidental o ilícita de los datos, o la comunicación o acceso no autorizados | 4.12 |
La ley española llama «afectado» a quien el Reglamento llama «interesado».
Los seis principios del tratamiento (art. 5 RGPD)
| Letra | Nombre del principio | Los datos serán… |
|---|---|---|
| a | Licitud, lealtad y transparencia | tratados de manera lícita, leal y transparente en relación con el interesado |
| b | Limitación de la finalidad | recogidos con fines determinados, explícitos y legítimos, y no tratados después de manera incompatible con ellos |
| c | Minimización de datos | adecuados, pertinentes y limitados a lo necesario para los fines |
| d | Exactitud | exactos y, si fuera necesario, actualizados |
| e | Limitación del plazo de conservación | mantenidos de forma que se permita identificar a los interesados durante no más tiempo del necesario |
| f | Integridad y confidencialidad | tratados de manera que se garantice una seguridad adecuada |
El apartado 2 añade un séptimo nombre: la responsabilidad proactiva. El responsable responde del cumplimiento de los seis principios y ha de ser capaz de demostrarlo.
La LOPDGDD precisa que el deber de confidencialidad alcanza a responsables, encargados y a todas las personas que intervengan en cualquier fase del tratamiento, y que se mantiene aunque haya terminado su relación con el responsable o el encargado (art. 5).
Cuándo es lícito tratar datos: las seis bases (art. 6 RGPD)
El tratamiento solo es lícito si se cumple al menos una de estas condiciones (art. 6.1):
- El interesado dio su consentimiento para uno o varios fines específicos (letra a).
- Es necesario para la ejecución de un contrato en el que el interesado es parte, o para aplicar medidas precontractuales a petición suya (b).
- Es necesario para el cumplimiento de una obligación legal aplicable al responsable (c).
- Es necesario para proteger intereses vitales del interesado o de otra persona física (d).
- Es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable (e).
- Es necesario para la satisfacción de intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, en particular cuando sea un niño (f).
Dos datos para quien oposita a una Administración. El interés legítimo de la letra f no se aplica al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones (art. 6.1, último párrafo). Y en España, la obligación legal ha de estar prevista en una norma de Derecho de la Unión o en una norma con rango de ley, y la misión de interés público o el ejercicio de poderes públicos, derivar de una competencia atribuida por una norma con rango de ley (art. 8 LOPDGDD).
El consentimiento y la edad
Cuando el tratamiento se basa en el consentimiento, el responsable debe ser capaz de demostrar que el interesado consintió (art. 7.1 RGPD). El interesado puede retirarlo en cualquier momento, sin que eso afecte a la licitud del tratamiento anterior, y retirarlo ha de ser tan fácil como darlo (art. 7.3 RGPD).
| Norma | Edad | Qué dice |
|---|---|---|
| RGPD, art. 8.1 | 16 años | Edad general en los servicios de la sociedad de la información. Los Estados pueden fijar una inferior, nunca por debajo de 13 |
| LOPDGDD, art. 7.1 | 14 años | El tratamiento solo puede fundarse en el consentimiento del menor cuando sea mayor de catorce años |
| LOPDGDD, art. 7.2 | Menos de 14 | Hace falta el consentimiento del titular de la patria potestad o tutela |
Categorías especiales de datos (art. 9 RGPD y art. 9 LOPDGDD)
El artículo 9.1 del Reglamento prohíbe, como regla, tratar datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, y tratar datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud y datos relativos a la vida sexual o la orientación sexual. Los datos económicos no están en la lista.
La prohibición se levanta en los diez supuestos del artículo 9.2, de la letra a) a la j). El primero es el consentimiento explícito del interesado; otros son los intereses vitales cuando el interesado no puede consentir (c) y los datos que él mismo ha hecho manifiestamente públicos (e).
La ley española endurece la letra a): el solo consentimiento del afectado no basta para levantar la prohibición cuando la finalidad principal del tratamiento sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico (art. 9.1 LOPDGDD).
Los derechos de las personas y el plazo para contestar
| Derecho | Contenido | Artículo del RGPD |
|---|---|---|
| Acceso | Obtener confirmación de si se tratan sus datos y, en ese caso, acceder a ellos | 15 |
| Rectificación | Obtener sin dilación indebida la rectificación de los datos inexactos y que se completen los incompletos | 16 |
| Supresión («derecho al olvido») | Por ejemplo, cuando los datos ya no sean necesarios, se retire el consentimiento o se hayan tratado ilícitamente | 17 |
| Limitación del tratamiento | Por ejemplo, mientras se verifica la exactitud de los datos que el interesado ha impugnado | 18 |
| Portabilidad | Recibir los datos que facilitó en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable | 20 |
| Oposición | Oponerse, por motivos relacionados con su situación particular, a tratamientos basados en las letras e) o f) del artículo 6.1, y en todo momento a la mercadotecnia directa | 21 |
| Decisiones automatizadas | No ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o afecte significativamente de modo similar | 22 |
La portabilidad exige que el tratamiento se base en el consentimiento o en un contrato y que se efectúe por medios automatizados (art. 20.1), y no se aplica al tratamiento necesario para una misión de interés público o el ejercicio de poderes públicos (art. 20.3).
Las reglas de ejercicio:
- Plazo. El responsable informa sobre sus actuaciones sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción de la solicitud. Puede prorrogarse otros dos meses según la complejidad y el número de solicitudes, informando al interesado dentro del primer mes (art. 12.3 RGPD).
- Gratuidad. El ejercicio es gratuito. Si las solicitudes son manifiestamente infundadas o excesivas, el responsable puede cobrar un canon razonable o negarse a actuar (art. 12.5 RGPD). El acceso puede considerarse repetitivo si se ejerce más de una vez en seis meses sin causa legítima (art. 13.3 LOPDGDD).
- Quién los ejerce. El afectado, directamente o por medio de representante legal o voluntario (art. 12.1 LOPDGDD). Los titulares de la patria potestad pueden ejercerlos en nombre de los menores de catorce años (art. 12.6 LOPDGDD).
Cuando el responsable rectifica o suprime datos, está obligado a bloquearlos: los reserva para impedir su tratamiento, salvo para ponerlos a disposición de jueces, Ministerio Fiscal o Administraciones competentes durante el plazo de prescripción de las posibles responsabilidades (art. 32 LOPDGDD).
Responsable, encargado y delegado de protección de datos
El responsable aplica medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que el tratamiento es conforme con el Reglamento (art. 24.1 RGPD). El encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable (art. 28.2 RGPD), y su relación con él se rige por un contrato u otro acto jurídico (art. 28.3 RGPD).
Dos obligaciones con cifra:
- El registro de actividades de tratamiento (art. 30 RGPD) no es exigible a empresas ni organizaciones con menos de 250 personas, salvo que el tratamiento pueda entrañar un riesgo, no sea ocasional o incluya categorías especiales (art. 30.5). Las Administraciones hacen público un inventario de sus actividades de tratamiento (art. 31.2 LOPDGDD).
- Las violaciones de la seguridad se notifican a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ellas (art. 33.1 RGPD).
El delegado de protección de datos es obligatorio en tres casos (art. 37.1 RGPD): cuando el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales en ejercicio de su función judicial; cuando las actividades principales requieran una observación habitual y sistemática de interesados a gran escala; y cuando consistan en el tratamiento a gran escala de categorías especiales o de datos relativos a condenas e infracciones penales. La ley española añade una lista de entidades obligadas en todo caso, entre ellas los colegios profesionales, los centros docentes y los centros sanitarios (art. 34.1 LOPDGDD).
| Dato sobre el delegado | Regla | Artículo |
|---|---|---|
| Comunicación a la Agencia | Designaciones, nombramientos y ceses, en el plazo de diez días | 34.3 LOPDGDD |
| Protección | Si es persona física integrada en la organización, no puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave | 36.2 LOPDGDD |
| Reclamación previa ante el delegado | Comunica su decisión al afectado en un máximo de dos meses | 37.1 LOPDGDD |
| Reclamación remitida por la Agencia | Responde en un mes | 37.2 LOPDGDD |
| Régimen sancionador | No se le aplica | 70.2 LOPDGDD |
La autoridad de control: Agencia Española de Protección de Datos (arts. 44 a 48 LOPDGDD)
La Agencia es una autoridad administrativa independiente de ámbito estatal, que actúa con plena independencia de los poderes públicos (art. 44.1). Representa a las autoridades españolas en el Comité Europeo de Protección de Datos (art. 44.2) y supervisa la aplicación de la ley orgánica y del Reglamento (art. 47).
La Presidencia la dirige y dicta sus resoluciones, circulares y directrices, auxiliada por un Adjunto (art. 48.1 y 48.2). El Gobierno remite su propuesta al Congreso de los Diputados, la Comisión de Justicia la ratifica por mayoría de tres quintos en primera votación o absoluta en segunda, y el Consejo de Ministros nombra mediante real decreto (art. 48.3 y 48.4). El mandato dura cinco años y puede renovarse para otro período igual (art. 48.5). Sus actos ponen fin a la vía administrativa y se recurren directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional (art. 48.6).
Los procedimientos ante la Agencia tienen tres plazos (art. 64): seis meses para resolver cuando la reclamación se refiere solo a la falta de atención de una solicitud de derechos, transcurridos los cuales el interesado puede considerarla estimada; doce meses de duración máxima del procedimiento sancionador desde el acuerdo de inicio, pasados los cuales caduca; y seis meses, también con caducidad, cuando la Agencia dirige un apercibimiento (art. 64.3).
Infracciones, sanciones y prescripción (arts. 70 a 78 LOPDGDD)
| Clase de infracción | Prescripción | Ejemplos | Artículo |
|---|---|---|---|
| Muy grave | Tres años | Tratar datos vulnerando los principios del artículo 5 del RGPD o sin base de licitud; vulnerar el deber de confidencialidad | 72 |
| Grave | Dos años | No designar delegado cuando es exigible; encargar un tratamiento sin contrato; no notificar a la autoridad una violación de seguridad | 73 |
| Leve | Un año | Las restantes de carácter meramente formal | 74 |
Las multas las fija el Reglamento: hasta 10 millones de euros o, tratándose de una empresa, el 2 % del volumen de negocio total anual global del ejercicio anterior, la cuantía que sea mayor (art. 83.4 RGPD), y hasta 20 millones o el 4 % (art. 83.5 RGPD). Las sanciones también prescriben, con otra escala (art. 78.1 LOPDGDD):
| Importe de la sanción | Prescribe |
|---|---|
| Igual o inferior a 40.000 euros | Al año |
| Entre 40.001 y 300.000 euros | A los dos años |
| Superior a 300.000 euros | A los tres años |
Para las Administraciones públicas y el resto de sujetos del artículo 77.1, la autoridad dicta una resolución que declara la infracción y establece las medidas para que cese la conducta o se corrijan sus efectos, con excepción de la multa del artículo 58.2.i) del Reglamento (art. 77.2). Propondrá además actuaciones disciplinarias cuando existan indicios suficientes (art. 77.3).
Lo que más se pregunta
| Dato | Respuesta | Con qué se confunde |
|---|---|---|
| Edad del consentimiento en España | 14 años (art. 7 LOPDGDD) | Los 16 del art. 8 RGPD y el mínimo de 13 |
| Respuesta a una solicitud de derechos | Un mes, más dos de prórroga (art. 12.3 RGPD) | Los dos meses del delegado (art. 37.1 LOPDGDD) |
| Notificación de una violación de seguridad | 72 horas (art. 33.1 RGPD) | 24 o 48 horas |
| Mandato de la Presidencia de la Agencia | Cinco años, renovable por otro período igual (art. 48.5 LOPDGDD) | Cuatro años |
| Prescripción de infracciones | 3, 2 y 1 años (arts. 72 a 74) | La escala por importes de las sanciones (art. 78) |
Cómo fijar las listas y los plazos
El tema descansa en dos listas de seis y un puñado de plazos. Para las bases del artículo 6.1 (consentimiento, contrato, obligación legal, intereses vitales, interés público, interés legítimo) sirve un acróstico propio, como los de reglas mnemotécnicas. Los plazos se aprenden mejor preguntándotelos con tarjetas que releyéndolos: es la práctica de recuperación, repartida con un calendario de repaso espaciado.
En el test, fíjate en qué norma cita el enunciado: muchas opciones falsas son datos ciertos de la otra. Para otros errores de lectura, mira las estrategias para el examen tipo test.
Test de 20 preguntas
Preguntas frecuentes
¿A partir de qué edad puede un menor dar su consentimiento para el tratamiento de sus datos en España?
A partir de los catorce años, según el artículo 7.1 de la Ley Orgánica 3/2018. Por debajo de esa edad, el tratamiento basado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela (art. 7.2). El Reglamento fija dieciséis años para los servicios de la sociedad de la información y permite a los Estados rebajarlos hasta trece (art. 8.1).
¿Qué plazo tiene el responsable para contestar a una solicitud de acceso, rectificación o supresión?
Un mes desde la recepción de la solicitud. Puede prorrogarse otros dos meses si es necesario por la complejidad y el número de solicitudes, y de la prórroga hay que informar al interesado dentro del primer mes (art. 12.3 del Reglamento).
¿Cuál es la diferencia entre responsable y encargado del tratamiento?
El responsable determina los fines y los medios del tratamiento (art. 4.7 del Reglamento). El encargado trata los datos por cuenta del responsable (art. 4.8), con un contrato u otro acto jurídico que lo vincule (art. 28.3). Si el encargado usa los datos para sus propias finalidades, pasa a ser considerado responsable (art. 33.2 de la Ley Orgánica 3/2018).
¿Un ayuntamiento tiene que nombrar delegado de protección de datos?
Sí. El artículo 37.1.a) del Reglamento obliga a designarlo siempre que el tratamiento lo lleve a cabo una autoridad u organismo público, con la excepción de los tribunales cuando actúan en ejercicio de su función judicial. Varios organismos públicos pueden compartir un único delegado (art. 37.3).
¿Se multa a las Administraciones públicas por infringir la protección de datos?
El artículo 77 de la Ley Orgánica 3/2018 establece un régimen propio para las Administraciones y otros sujetos públicos: la autoridad de protección de datos dicta una resolución que declara la infracción y fija las medidas para que cese o se corrija, sin la multa administrativa del artículo 58.2.i) del Reglamento. Además, propondrá actuaciones disciplinarias cuando existan indicios suficientes (art. 77.3).
Fuentes
- Parlamento Europeo y Consejo de la Unión Europea (2016). Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos). Diario Oficial de la Unión Europea, L 119, de 4 de mayo de 2016. boe.es/buscar/doc.php?id=DOUE-L-2016-80807
- Parlamento Europeo y Consejo de la Unión Europea (2018). Corrección de errores del Reglamento (UE) 2016/679. Diario Oficial de la Unión Europea, L 127, de 23 de mayo de 2018. boe.es/buscar/doc.php?id=DOUE-L-2018-80845
- Parlamento Europeo y Consejo de la Unión Europea (2021). Corrección de errores del Reglamento (UE) 2016/679. Diario Oficial de la Unión Europea, L 74, de 4 de marzo de 2021. boe.es/buscar/doc.php?id=DOUE-L-2021-80264
- Jefatura del Estado (2018). Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (texto consolidado, última actualización publicada el 27 de diciembre de 2025). Boletín Oficial del Estado, n.º 294. boe.es/buscar/act.php?id=BOE-A-2018-16673
Sigue leyendo
- La Constitución Española de 1978: estructura, título preliminar y derechos fundamentalesTema de la Constitución Española para oposiciones: estructura, título preliminar, derechos y deberes, garantías del art. 53, Tribunal Constitucional, reforma y test.
- La Corona, las Cortes Generales, el Gobierno y el Poder Judicial en la ConstituciónTítulos II a VI de la Constitución para oposiciones: Corona, Congreso y Senado, elaboración de las leyes, investidura, moción de censura, Poder Judicial y test.
- Ley 39/2015 del procedimiento administrativo común: tema completo para oposicionesTema de la Ley 39/2015 explicado artículo a artículo: interesados, cómputo de plazos, acto administrativo, silencio y recursos. Con tablas y un test.
- Ley 40/2015 de Régimen Jurídico del Sector Público: tema completo para oposicionesTema de la Ley 40/2015 de Régimen Jurídico del Sector Público: principios, competencia, órganos colegiados, abstención, sanciones y convenios. Con test.