Protección de datos para opositores: RGPD y LOPDGDD

El RGPD es un reglamento europeo: entró en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea, es aplicable desde el 25 de mayo de 2018 y es «obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro» (art. 99).

La LOPDGDD adapta el ordenamiento español al RGPD y completa sus disposiciones, y además garantiza los derechos digitales conforme al artículo 18.4 de la Constitución (art. 1). Cada artículo suele remitirse a uno del RGPD y lo precisa: por ejemplo, fija en 14 años la edad del consentimiento de los menores (art. 7), dentro del margen que el RGPD deja a los Estados (art. 8). No se aplica, entre otros, a los datos de personas fallecidas, que tienen su régimen en el artículo 3 (art. 2.2).

El artículo 4 del RGPD contiene las definiciones que sostienen todo lo demás:

El artículo 5.1 del RGPD enumera los principios. Los datos personales serán:

El tratamiento solo es lícito si se cumple al menos una de seis condiciones (art. 6.1 del RGPD): consentimiento; ejecución de un contrato; obligación legal; intereses vitales; misión de interés público o ejercicio de poderes públicos; e intereses legítimos del responsable o de un tercero. Esta última no se aplica a las autoridades públicas en el ejercicio de sus funciones, y por eso en el empleo público pesan la obligación legal y el interés público. La LOPDGDD precisa que la obligación legal debe estar prevista en una norma de Derecho de la Unión o con rango de ley, y que el interés público o los poderes públicos deben derivar de una competencia atribuida por una norma con rango de ley (art. 8).

• Consentimiento. El responsable debe poder demostrarlo y retirarlo debe ser «tan fácil» como darlo (art. 7 del RGPD). No puede supeditarse un contrato al consentimiento para finalidades ajenas a la relación (art. 6.3 de la LOPDGDD).
• Menores. El RGPD fija 16 años en los servicios de la sociedad de la información, con margen para bajarlos hasta 13 (art. 8). La LOPDGDD fija 14 años (art. 7).
• Categorías especiales (art. 9 del RGPD): origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos, de salud y de vida u orientación sexual. Su tratamiento está prohibido salvo las circunstancias del apartado 2. La LOPDGDD añade que el solo consentimiento no basta cuando la finalidad principal sea identificar la ideología, la afiliación sindical, la religión, la orientación sexual, las creencias o el origen racial o étnico (art. 9).

Los artículos 12 a 22 del RGPD regulan los derechos. El responsable debe responder en el plazo de un mes, prorrogable otros dos si es necesario, e informar de la prórroga dentro del primer mes (art. 12.3). Las actuaciones son gratuitas, salvo solicitudes manifiestamente infundadas o excesivas (art. 12.5).

El capítulo IV del RGPD recoge las obligaciones principales:

• Responsabilidad del responsable (art. 24): medidas técnicas y organizativas apropiadas para garantizar y poder demostrar el cumplimiento.
• Protección de datos desde el diseño y por defecto (art. 25): por defecto solo se tratan los datos necesarios para cada fin.
• Encargado (art. 28): el responsable elige a uno que ofrezca garantías suficientes; el tratamiento se rige por un contrato u otro acto jurídico y el encargado trata los datos solo según instrucciones documentadas.
• Registro de actividades (art. 30; art. 31 de la LOPDGDD) y seguridad del tratamiento (art. 32), que puede incluir seudonimización y cifrado.
• Violaciones de seguridad (arts. 33 y 34): notificación a la autoridad de control sin dilación y, de ser posible, a más tardar 72 horas después de tener constancia, salvo riesgo improbable; comunicación al interesado si hay alto riesgo.
• Evaluación de impacto y consulta previa (arts. 35 y 36), cuando un tratamiento entraña probable alto riesgo.

El delegado de protección de datos (arts. 37 a 39) es obligatorio, entre otros supuestos, cuando el tratamiento lo lleva a cabo una autoridad u organismo público, salvo los tribunales en su función judicial (art. 37.1.a). La LOPDGDD amplía la lista (colegios profesionales, centros docentes y universidades, aseguradoras, empresas de seguridad privada, entre otros) y exige comunicar designaciones y ceses a la Agencia Española de Protección de Datos en diez días (art. 34). Informa y asesora, supervisa el cumplimiento y es el punto de contacto con la autoridad de control (art. 39).

Cuatro situaciones inventadas para esta guía, en una oficina ficticia de atención al público:

Cada Estado miembro establece autoridades públicas independientes de control (art. 51 del RGPD). En España, la Agencia Española de Protección de Datos supervisa la aplicación de la LOPDGDD y del RGPD (art. 47), junto con las autoridades autonómicas (art. 57). Todo interesado puede reclamar ante una autoridad de control (art. 77 del RGPD).

Las multas tienen dos escalones (art. 83 del RGPD): hasta 10 millones de euros o el 2 % del volumen de negocio total anual global del ejercicio anterior, y hasta 20 millones o el 4 %, optando por la cuantía mayor. La LOPDGDD clasifica las infracciones en muy graves, graves y leves, que prescriben a los tres años, dos años y un año (arts. 72 a 74).

Para quien se prepara para la Administración importa el artículo 77 de la LOPDGDD: cuando un responsable o encargado de los que enumera (la Administración General del Estado, los organismos públicos, las universidades públicas, entre otros) comete una infracción, la autoridad dicta una resolución declarando la infracción y fijando las medidas para que cese o se corrijan sus efectos, y propone actuaciones disciplinarias si hay indicios suficientes. La disposición adicional primera les obliga además a aplicar las medidas del Esquema Nacional de Seguridad.

El título X (arts. 79 a 97) es la parte «nueva» respecto al RGPD y la que el temario del C1 menciona como «derechos digitales». Las preguntas suelen pedir el nombre del derecho que corresponde a una situación:

Muchas preguntas de este tema se resuelven con una cifra exacta:

Es corto de leer y largo de recordar, porque los artículos se parecen. Un método que funciona:

Esta guía resume los preceptos más relevantes y no agota el RGPD, que tiene 99 artículos, ni la LOPDGDD, que se ha modificado desde 2018 (por ejemplo, el artículo 77). No podemos asegurarte qué se preguntará en una próxima convocatoria, y tampoco hay fecha publicada. Estudia siempre el texto consolidado vigente.

Test Auxiliar del Estado es un sitio privado de preparación, sin relación con el INAP ni con ninguna Administración. Esta guía resume textos publicados y no sustituye a la convocatoria ni a la norma: antes de decidir nada, lee las bases completas y el texto legal vigente en el Boletín Oficial del Estado y la información de la sede del INAP.