--- title: "Tema 12 – Protección de datos personales" temario: "Auxiliar Administrativo del Estado (ingreso libre)" tema: 12 url: https://auxiliar-administrativo.com/temario/tema-12-proteccion-de-datos-personales/ canonical: https://auxiliar-administrativo.com/temario/tema-12-proteccion-de-datos-personales/ site: https://auxiliar-administrativo.com/ language: es-ES programa_oficial: BOE-A-2025-26262 keywords: [protección de datos, RGPD, Ley Orgánica 3/2018, derechos ARCO, AEPD, delegado de protección de datos, tema 12 auxiliar administrativo] source: Elaboración propia a partir del texto consolidado de las normas en boe.es --- # Tema 12 – Protección de datos personales *Auxiliar Administrativo del Estado (ingreso libre)* · https://auxiliar-administrativo.com/temario/tema-12-proteccion-de-datos-personales/ ## 12.12.1 – Marco normativo y conceptos básicos 12.1 Sección 1 de 6 Marco normativo y conceptos básicos Cifras, plazos y conceptos clave Reglamento (UE) 2016/679 (RGPD) ### 12.12.1.12.1.1 – Normativa aplicable #### 12.1.1Normativa aplicable Artículo 18.4 CE; Reglamento (UE) 2016/679 (RGPD); Ley Orgánica 3/2018 (LOPDGDD) que lo adapta al ordenamiento español. El derecho a la protección de datos tiene base constitucional en el art. 18.4 CE: la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. El TC lo ha configurado como derecho fundamental autónomo. La normativa vigente se compone de: - El **Reglamento (UE) 2016/679 (RGPD)**, directamente aplicable desde el 25 de mayo de 2018. - La **Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, citada aquí como LOPGD)**, que adapta el ordenamiento español al RGPD y garantiza los derechos digitales (art. 1 LOPGD). La ley se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a ser incluidos en un fichero (art. 2 LOPGD). No se aplica a los tratamientos de personas fallecidas (sin perjuicio de que sus herederos o allegados puedan solicitar el acceso, rectificación o supresión, art. 3 LOPGD) ni a los de materias clasificadas. ### 12.12.1.12.1.2 – Conceptos del RGPD #### 12.1.2Conceptos del RGPD Dato personal, tratamiento, responsable, encargado, consentimiento, categorías especiales de datos. - **Dato personal**: toda información sobre una persona física identificada o identificable. - **Tratamiento**: cualquier operación sobre datos personales (recogida, registro, conservación, consulta, comunicación, supresión…). - **Responsable del tratamiento**: quien determina los fines y medios del tratamiento. **Encargado**: quien trata datos por cuenta del responsable (art. 33 LOPGD). - **Consentimiento**: manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o acción afirmativa (art. 6 LOPGD). - **Categorías especiales de datos**: origen étnico o racial, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos y biométricos, salud, vida u orientación sexual; su tratamiento está prohibido salvo excepciones (art. 9 LOPGD). - **Datos penales**: su tratamiento solo puede hacerse bajo el control de las autoridades públicas o cuando lo autorice una norma (art. 10 LOPGD). ## 12.12.2 – Principios de la protección de datos 12.2 Sección 2 de 6 Principios de la protección de datos Cifras, plazos y conceptos clave limitación del plazo de conservacióncatorce años ### 12.12.2.12.2.1 – Principios del RGPD (art. 5) #### 12.2.1Principios del RGPD (art. 5) Licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; integridad y confidencialidad; responsabilidad proactiva. Los datos personales serán: - Tratados de manera **lícita, leal y transparente** (licitud, lealtad, transparencia). - Recogidos con **fines determinados, explícitos y legítimos** (limitación de la finalidad). - **Adecuados, pertinentes y limitados** a lo necesario (minimización de datos). - **Exactos** y, si fuera necesario, actualizados (art. 4 LOPGD). - Mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario (**limitación del plazo de conservación**). - Tratados de modo que se garantice su **seguridad** (integridad y confidencialidad); los responsables y encargados y quienes intervengan en el tratamiento están sujetos al **deber de confidencialidad**, que subsiste aunque finalice la relación (art. 5 LOPGD). El responsable es responsable del cumplimiento de los principios y debe poder demostrarlo (**responsabilidad proactiva**, *accountability*). ### 12.12.2.12.2.2 – Bases de legitimación #### 12.2.2Bases de legitimación Consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público o ejercicio de poderes públicos e interés legítimo. El tratamiento es lícito si concurre al menos una de estas bases: **consentimiento** del interesado; **ejecución de un contrato**; **obligación legal**; **intereses vitales**; **misión realizada en interés público o ejercicio de poderes públicos**; **interés legítimo** del responsable (que no puede invocarse por las autoridades públicas en el ejercicio de sus funciones). - Para las Administraciones públicas, la base habitual es el cumplimiento de una obligación legal o una misión de interés público o ejercicio de poderes públicos, que debe estar establecida por una norma con rango de ley (art. 8 LOPGD). - El consentimiento debe constar de forma inequívoca; no cabe el consentimiento tácito (art. 6 LOPGD). - Los **menores** pueden consentir a partir de los **catorce años**; por debajo de esa edad se requiere el consentimiento de quien ostente la patria potestad o tutela (art. 7 LOPGD). - Deber de **información** al afectado: identidad del responsable, finalidad, base jurídica, destinatarios, plazo de conservación y derechos, de forma concisa, transparente, inteligible y de fácil acceso. En la LOPGD se aplica un sistema de información por capas (art. 11 LOPGD). ## 12.12.3 – Derechos de las personas 12.3 Sección 3 de 6 Derechos de las personas ### 12.12.3.12.3.1 – Derechos ARSULIPO #### 12.3.1Derechos ARSULIPO Acceso, rectificación, supresión, limitación, portabilidad y oposición, más el derecho a no ser objeto de decisiones individuales automatizadas. Los derechos reconocidos en los artículos 15 a 22 del RGPD pueden ejercerse directamente o por medio de representante (art. 12 LOPGD): - **Acceso** (art. 15 RGPD): obtener confirmación de si se tratan datos propios y acceder a ellos (art. 13 LOPGD). - **Rectificación**: corregir los datos inexactos o completar los incompletos (art. 14 LOPGD). - **Supresión** («derecho al olvido»): obtener la supresión de los datos cuando ya no sean necesarios, se retire el consentimiento, etc. (art. 15 LOPGD). - **Limitación del tratamiento**: conservar los datos sin tratarlos mientras se resuelve una reclamación o impugnación (art. 16 LOPGD). - **Portabilidad**: recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable (art. 17 LOPGD). - **Oposición**: oponerse al tratamiento por motivos relacionados con su situación particular (art. 18 LOPGD). - **No ser objeto de decisiones individuales automatizadas**, incluida la elaboración de perfiles, que produzcan efectos jurídicos. El responsable debe responder en el plazo de **un mes**, prorrogable por **dos meses** más en casos complejos; el ejercicio de los derechos es gratuito. Recae sobre el responsable la prueba del cumplimiento del deber de responder (art. 12 LOPGD). ### 12.12.3.12.3.2 – Tratamientos concretos #### 12.3.2Tratamientos concretos Videovigilancia, sistemas de información crediticia, exclusión publicitaria, canales de denuncia internos. El Título IV de la LOPGD regula tratamientos específicos: datos de contacto y de empresarios individuales (art. 19 LOPGD), **sistemas de información crediticia** (art. 20 LOPGD), **videovigilancia** (art. 22 LOPGD) —con deber de información mediante dispositivo informativo en lugar suficientemente visible y conservación de imágenes máxima de un mes—, **sistemas de exclusión publicitaria** (art. 23 LOPGD), protección de las personas que informen sobre infracciones (art. 24 LOPGD) y la función estadística pública (art. 25 LOPGD). ## 12.12.4 – Obligaciones del responsable y encargado 12.4 Sección 4 de 6 Obligaciones del responsable y encargado Cifras, plazos y conceptos clave 72 horas ### 12.12.4.12.4.1 – Obligaciones generales #### 12.4.1Obligaciones generales Medidas técnicas y organizativas, protección de datos desde el diseño y por defecto, registro de actividades de tratamiento, evaluación de impacto, notificación de brechas. Los responsables y encargados deben (art. 28 LOPGD): - Aplicar **medidas técnicas y organizativas apropiadas** para garantizar y acreditar que el tratamiento es conforme con la normativa (protección de datos **desde el diseño y por defecto**). - Llevar un **Registro de actividades de tratamiento** (art. 31 LOPGD); las Administraciones públicas deben hacer público un inventario de sus actividades de tratamiento por medios electrónicos (art. 6 bis LTAIBG). - Realizar una **evaluación de impacto** cuando el tratamiento entrañe un alto riesgo. - **Notificar las violaciones de seguridad** a la autoridad de control en un plazo de **72 horas** y, si hay alto riesgo, comunicarlas a los afectados. - Aplicar el **bloqueo de los datos** cuando proceda su rectificación o supresión (art. 32 LOPGD). - Formalizar un **contrato o acto jurídico** con el encargado del tratamiento (art. 33 LOPGD). En caso de corresponsabilidad, los responsables determinan sus responsabilidades respectivas mediante un acuerdo (art. 29 LOPGD). ### 12.12.4.12.4.2 – Delegado de protección de datos #### 12.4.2Delegado de protección de datos Designación obligatoria en Administraciones públicas y otras entidades; actúa con independencia y está vinculado por el deber de confidencialidad. Deben designar un **delegado de protección de datos (DPD)** las autoridades y organismos públicos, así como, entre otras, las entidades enumeradas en el art. 34 LOPGD: colegios profesionales, centros docentes y universidades, operadores de comunicaciones electrónicas, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, entidades financieras y aseguradoras, etc. El DPD debe tener conocimientos especializados en Derecho y práctica en protección de datos (art. 35 LOPGD); no puede ser destituido ni sancionado por el desempeño de sus funciones, no recibe instrucciones y rinde cuentas al más alto nivel jerárquico (art. 36 LOPGD). Los **códigos de conducta** (art. 38 LOPGD) y la **certificación** (art. 39 LOPGD) son mecanismos de cumplimiento. ## 12.12.5 – Autoridades de control y régimen sancionador 12.5 Sección 5 de 6 Autoridades de control y régimen sancionador Cifras, plazos y conceptos clave 10 millones de euros o el 2 %20 millones de euros o el 4 %uno, dos o tres años ### 12.12.5.12.5.1 – La Agencia Española de Protección de Datos #### 12.5.1La Agencia Española de Protección de Datos Autoridad administrativa independiente; la dirige la Presidencia, auxiliada por un Adjunto; ejerce funciones de investigación, circulares y potestad sancionadora. La **Agencia Española de Protección de Datos (AEPD)** es una autoridad administrativa independiente, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos (art. 44 LOPGD). Se rige por el RGPD, la LOPGD y su Estatuto, y supletoriamente por la normativa del sector público (art. 45 LOPGD). La **Presidencia** dirige la Agencia, ostenta su representación y dicta sus resoluciones, circulares y directrices; está auxiliada por un **Adjunto** (art. 48 LOPGD). El **Consejo Consultivo** asesora a la Presidencia (art. 49 LOPGD). Entre sus funciones y potestades (art. 47 LOPGD) destacan la supervisión de la aplicación de la normativa, la investigación de reclamaciones, la adopción de circulares (art. 55 LOPGD) y la potestad sancionadora. Existen también autoridades autonómicas de protección de datos (por ejemplo, la Agencia Vasca y la Autoridad Catalana), reguladas en el art. 57 LOPGD, y los procedimientos de coordinación del Título VII, sección 3.ª. ### 12.12.5.12.5.2 – Infracciones y sanciones #### 12.5.2Infracciones y sanciones Infracciones muy graves, graves y leves; multas del RGPD de hasta 10 y 20 millones de euros o el 2 % y el 4 % del volumen de negocio. Son responsables los **responsables y encargados** del tratamiento, los representantes de los no establecidos en la UE, las entidades de certificación y las entidades acreditadas de supervisión de códigos de conducta (art. 70 LOPGD). Las infracciones se califican como **muy graves** (art. 72 LOPGD), **graves** (art. 73 LOPGD) y **leves** (art. 74 LOPGD). Las multas del art. 83 RGPD alcanzan: hasta **10 millones de euros o el 2 %** del volumen de negocio anual global (infracciones menos graves) y hasta **20 millones de euros o el 4 %** (infracciones más graves) (art. 71 LOPGD, art. 76 LOPGD). Para las Administraciones públicas y entes públicos (art. 77 LOPGD), la AEPD no impone multas: dicta resolución declarando la infracción y estableciendo medidas, comunicándola a los órganos con competencias disciplinarias. Las sanciones prescriben a los **uno, dos o tres años** según su importe (hasta 40.000 euros; de 40.001 a 300.000; más de 300.000) (art. 78 LOPGD). La reclamación ante la AEPD se tramita conforme al Título VIII (art. 63 LOPGD, art. 64 LOPGD). ## 12.12.6 – Derechos digitales 12.6 Sección 6 de 6 Derechos digitales ### 12.12.6.12.6.1 – Garantía de los derechos digitales (Título X) #### 12.6.1Garantía de los derechos digitales (Título X) Neutralidad de Internet, acceso universal, seguridad, educación digital, derecho a la desconexión digital y derecho al olvido, entre otros. El Título X de la LOPGD reconoce los **derechos en la Era digital** (art. 79 LOPGD): neutralidad de Internet (art. 80 LOPGD), acceso universal (art. 81 LOPGD), seguridad digital (art. 82 LOPGD), educación digital (art. 83 LOPGD), protección de menores en Internet (art. 84 LOPGD), rectificación en Internet (art. 85 LOPGD), actualización de informaciones (art. 86 LOPGD), intimidad y uso de dispositivos digitales en el ámbito laboral (art. 87 LOPGD), **desconexión digital** (art. 88 LOPGD), videovigilancia y geolocalización laboral (art. 89 LOPGD, art. 90 LOPGD), derecho al olvido en búsquedas y redes sociales (art. 93 LOPGD, art. 94 LOPGD), portabilidad en redes sociales (art. 95 LOPGD) y testamento digital (art. 96 LOPGD). ## 12.G – Glosario - **RGPD**: Reglamento (UE) 2016/679, de protección de datos de las personas físicas. - **Responsabilidad proactiva**: Obligación del responsable de aplicar medidas adecuadas y de poder demostrar el cumplimiento. - **Delegado de protección de datos**: Figura obligatoria en las Administraciones públicas que asesora y supervisa el cumplimiento (art. 34 LOPGD). - **Evaluación de impacto**: Análisis previo de los riesgos de un tratamiento de alto riesgo para los derechos de las personas. - **Derecho al olvido**: Derecho de supresión de los datos; en buscadores y redes sociales (art. 93 LOPGD, art. 94 LOPGD). - **AEPD**: Autoridad administrativa independiente de control en materia de protección de datos (art. 44 LOPGD). ## Fuentes - CE (artículos citados: 18.4) - LOPGD (artículos citados: 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 22, 23, 24, 25, 28, 29, 31, 32, 33, 34, 35, 36, 38, 39, 44, 45, 47, 48, 49, 55, 57, 63, 64, 70, 71, 72, 73, 74, 76, 77, 78, 79, 80, 81, 82, 83, 84, 85, 86, 87, 88, 89, 90, 93, 94, 95, 96) - LTAIBG (artículos citados: 6, bis)