Ley de Protección de Datos (LOPD-GDD y RGPD): resumen para oposiciones

Antes de entrar en detalle, quédate con la idea que resuelve el 90% de las dudas: la protección de datos en España se rige por dos normas que van de la mano. Una europea, el RGPD, y una española, la LOPD-GDD. No compiten: la española desarrolla y completa a la europea. Vamos a verlas.

¿Cómo se llama ahora la ley de protección de datos?

La ley española vigente es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que se abrevia LOPD-GDD (o simplemente LOPDGDD). Se publicó en el BOE el 6 de diciembre de 2018 y entró en vigor al día siguiente.

Es un error muy típico —y una pregunta de examen— hablar todavía de «la LOPD» a secas: esa era la Ley Orgánica 15/1999, que quedó derogada. Si estudias de apuntes viejos que citen la 15/1999, están desfasados.

RGPD y LOPD-GDD: qué es cada uno y en qué se diferencian

Esta es la pregunta estrella («¿qué diferencia hay entre LOPD y RGPD?»). La respuesta corta: uno es europeo y el otro español, y el español desarrolla al europeo. La respuesta con matices:

• ·El RGPD es el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos. Al ser un reglamento europeo, es directamente aplicable en todos los Estados miembros sin necesidad de transposición, y lo es desde el 25 de mayo de 2018. Establece el marco común: principios, bases del tratamiento, derechos y obligaciones.
• ·La LOPD-GDD es la Ley Orgánica 3/2018, la norma española que adapta y desarrolla el RGPD en lo que este deja a criterio de cada Estado (los llamados «márgenes» del Reglamento), regula la AEPD, precisa el régimen sancionador y añade los derechos digitales.

¿Cuáles son los principios de la protección de datos?

Los principios que rigen todo tratamiento de datos están en el artículo 5 del RGPD. Son la columna vertebral de la materia y de las preguntas «de concepto»:

• ·Licitud, lealtad y transparencia: los datos se tratan de manera lícita, leal y transparente para el interesado.
• ·Limitación de la finalidad: se recogen con fines determinados, explícitos y legítimos, y no se tratan después de forma incompatible con esos fines.
• ·Minimización de datos: solo los datos adecuados, pertinentes y limitados a lo necesario.
• ·Exactitud: datos exactos y actualizados; los inexactos se suprimen o rectifican sin dilación.
• ·Limitación del plazo de conservación: no se conservan más tiempo del necesario para los fines del tratamiento.
• ·Integridad y confidencialidad: se garantiza su seguridad, incluida la protección frente a tratamientos no autorizados y frente a pérdida o daño.

A estos seis se añade un séptimo que es la gran novedad del RGPD: la responsabilidad proactiva (o accountability). No basta con cumplir: el responsable debe poder demostrar que cumple. De ahí salen obligaciones como el registro de actividades, la evaluación de impacto o la protección de datos desde el diseño y por defecto.

Cuándo se pueden tratar datos: las bases de legitimación

Para tratar datos hace falta una base jurídica. El artículo 6 del RGPD lista seis, y basta con que concurra una:

• ·El consentimiento del interesado (que debe ser libre, específico, informado e inequívoco).
• ·La ejecución de un contrato en el que el interesado es parte.
• ·El cumplimiento de una obligación legal del responsable.
• ·La protección de intereses vitales del interesado o de otra persona.
• ·El cumplimiento de una misión de interés público o el ejercicio de poderes públicos.
• ·La satisfacción de intereses legítimos del responsable o de un tercero (salvo que prevalezcan los derechos del interesado).

Clave para las Administraciones: el consentimiento no es la única base ni la principal en el sector público; ahí pesan mucho la obligación legal y la misión de interés público / poderes públicos.

Los datos especialmente protegidos (categorías especiales)

El artículo 9 del RGPD prohíbe, con carácter general, tratar las llamadas categorías especiales de datos, salvo excepciones tasadas (consentimiento explícito, intereses vitales, fines de salud pública, etc.). Son:

el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona, los datos de salud y los relativos a la vida sexual o la orientación sexual. Los datos penales tienen además un régimen propio (art. 10).

Los derechos de las personas (los «nuevos ARCO»)

Los clásicos derechos ARCO (acceso, rectificación, cancelación y oposición) de la antigua ley se han ampliado con el RGPD. Hoy los derechos del interesado (arts. 15 a 22) son:

• ·Acceso (art. 15): saber si se tratan sus datos y obtener una copia.
• ·Rectificación (art. 16): corregir datos inexactos o incompletos.
• ·Supresión (art. 17), el famoso «derecho al olvido»: que se borren sus datos cuando ya no son necesarios, retira el consentimiento, etc.
• ·Limitación del tratamiento (art. 18): «congelar» el uso de los datos en ciertos supuestos.
• ·Portabilidad (art. 20): recibir sus datos en un formato estructurado y transmitirlos a otro responsable.
• ·Oposición (art. 21): oponerse a un tratamiento, incluido el marketing directo.
• ·Derecho a no ser objeto de decisiones automatizadas, incluida la elaboración de perfiles (art. 22).

Quién es quién: responsable, encargado y Delegado de Protección de Datos

Otro clásico donde se pierden puntos por confundir figuras:

• ·Responsable del tratamiento: quien decide los fines y medios del tratamiento (la Administración, la empresa). Es el obligado principal.
• ·Encargado del tratamiento: quien trata datos por cuenta del responsable (por ejemplo, un proveedor tecnológico). Su relación se articula por contrato.
• ·Delegado de Protección de Datos (DPD o DPO): la figura de supervisión interna que asesora y vigila el cumplimiento. Es obligatorio, entre otros, para todas las autoridades y organismos públicos (dato de examen).

La AEPD y el régimen sancionador

La Agencia Española de Protección de Datos (AEPD) es la autoridad de control independiente que vela por el cumplimiento de la normativa en España: atiende reclamaciones, investiga y sanciona. Algunas Comunidades Autónomas tienen además su propia autoridad autonómica de protección de datos.

Y aquí está el dato que todo el mundo recuerda: las sanciones del RGPD (art. 83) pueden llegar hasta 20 millones de euros o, si es una empresa, hasta el 4% del volumen de negocio anual mundial del ejercicio anterior, la cuantía que sea mayor. La LOPD-GDD gradúa las infracciones en muy graves, graves y leves y precisa los plazos de prescripción.

Los derechos digitales (Título X): la parte «española»

Es lo que distingue a la LOPD-GDD del RGPD y una zona que muchos opositores se saltan (y luego cae). El Título X reconoce un catálogo de derechos digitales, entre ellos:

• ·Derecho a la neutralidad de internet y al acceso universal a la red.
• ·Derecho a la seguridad digital y a la educación digital.
• ·Derecho al olvido en búsquedas de internet y en redes sociales.
• ·Derecho a la portabilidad en servicios de redes sociales.
• ·Derecho a la desconexión digital en el ámbito laboral.
• ·Derecho al testamento digital (qué pasa con tus datos y perfiles al fallecer).

¿Dónde descargar la ley de protección de datos en PDF?

Para estudiar, usa siempre los textos consolidados del BOE (www.boe.es): la Ley Orgánica 3/2018 y, en la web de la UE (EUR-Lex), el Reglamento (UE) 2016/679. El texto consolidado se mantiene actualizado con todas las modificaciones. Huye de PDF sueltos sin fecha ni fuente: en protección de datos, estudiar una versión antigua (o la derogada LO 15/1999) se paga carísimo en el examen.

Cómo estudiar la protección de datos para tu oposición

• ·Fija primero el mapa RGPD ↔ LOPD-GDD. Si tienes claro qué regula cada uno, el resto encaja solo.
• ·Memoriza el art. 5 (principios) y el art. 6 (bases). Son las preguntas de concepto más frecuentes.
• ·No confundas las figuras: responsable (decide) vs encargado (ejecuta por cuenta de otro) vs DPD (supervisa).
• ·Clava los datos «duros»: plazo de un mes para los derechos, sanción de 20 M€ / 4%, DPD obligatorio en el sector público.
• ·No te saltes los derechos digitales (Título X): es la parte propia de la ley española y cae precisamente porque muchos la ignoran.

Y aquí una herramienta especializada acorta mucho el camino. En IAOposiciones, Atenea (el profesor con IA) te explica cualquier artículo del RGPD o de la LOPD-GDD con su literalidad y ejemplos, y Némesis (el evaluador) te pone tests centrados justo en lo que más cae: principios, bases, derechos y sanciones.

En resumen

La protección de datos es transversal a casi todas las oposiciones. Tres ideas para llevarte:

1. 1.Son dos normas que van juntas: el RGPD (europeo, reglamento, marco general) y la LOPD-GDD / LO 3/2018 (española, desarrollo + derechos digitales).
2. 2.El esqueleto: principios (art. 5), bases del tratamiento (art. 6), categorías especiales (art. 9) y derechos del interesado (arts. 15-22).
3. 3.Los datos que se preguntan: DPD obligatorio en el sector público, plazo de un mes para los derechos y sanciones de hasta 20 M€ o el 4% del volumen de negocio.