Resumen del Tema 11 de Guardia Civil: Protección de Datos

Tema 11 cubre la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el ordenamiento español al RGPD (Reglamento UE 2016/679). La ley tiene noventa y siete artículos (más el art. 53 bis) en diez títulos, y el temario abarca los ocho primeros, arts. 1 a 69: el Código del BOE corta tras el art. 69 porque el resto «no entra en el temario».

Peso en examen

Cada examen desde 2020 trae entre 2 y 5 preguntas del tema, de sus 100 de conocimientos: 36 en total, y ninguna antes. Quince son del Título VII (la AEPD, su Presidencia y su Consejo Consultivo), nueve del Título V (responsable y encargado del tratamiento, delegado de protección de datos y códigos de conducta) y siete del Título VIII (procedimientos ante la AEPD); los Títulos I, II, III, IV y VI suman una cada uno. Ninguna ha caído de los Títulos IX y X ni de las disposiciones adicionales.

Artículos estrella

Los preguntados en tres convocatorias o más: arts. 32 (bloqueo de los datos: 2020, 2021 y 2022), 34 (designación del delegado de protección de datos: 2020, 2022 y 2026), 44 (la AEPD: 2021, 2022 y 2026), 49 (Consejo Consultivo: 2020, 2021, 2023 y 2025) y 65 (admisión a trámite de las reclamaciones: 2020, 2022 y 2024). En dos convocatorias: art. 69 (medidas provisionales: 2023 y 2024). En una convocatoria (2021), tres preguntas del art. 48 (Presidencia de la AEPD).

Qué pesa más

Las autoridades de protección de datos (arts. 44-62: quince preguntas, cinco de ellas sobre el Consejo Consultivo del art. 49), los procedimientos ante la AEPD (arts. 63-69: siete; tres sobre la admisión a trámite del art. 65), el delegado de protección de datos (arts. 34 y 37: cuatro) y el bloqueo de los datos (art. 32: tres). Los derechos del afectado (arts. 13-18) cayeron una vez, en 2022-Canarias-3A, en una pregunta sobre cuál no lo es.

Los procedimientos ante la AEPD (arts. 63-69) suman siete preguntas, en los exámenes de 2020, 2022, 2023 y 2024. Una reclamación atraviesa cinco posibles fases con plazos máximos distintos según el cauce.

Figura 1 — Procedimiento sancionador AEPD (arts. 63-69 LOPDGDD)

Título I — Disposiciones generales (arts. 1-3)

• Art. 1 LOPDGDD — Objeto. Doble finalidad: (a) adaptar el ordenamiento español al RGPD y completar sus disposiciones; (b) garantizar los derechos digitales de la ciudadanía conforme al art. 18.4 CE.
• Art. 2 LOPDGDD — Ámbito de aplicación. Aplica a tratamientos total o parcialmente automatizados y a tratamientos no automatizados de ficheros. NO aplica a: (a) tratamientos excluidos del RGPD por su art. 2.2; (b) datos de personas fallecidas (salvo lo del art. 3); (c) tratamientos sometidos a la normativa sobre protección de materias clasificadas.
• Art. 3 LOPDGDD — Datos de las personas fallecidas. (Sello 2022.) Pueden acceder, rectificar o suprimir los datos: (1) personas vinculadas por razones familiares o de hecho; (2) herederos; (3) personas o instituciones designadas expresamente por el fallecido. Excepción: el causante puede haberlo prohibido expresamente. En caso de fallecimiento de menores: representantes legales o Ministerio Fiscal.

Título II — Principios de protección de datos (arts. 4-10)

• Art. 4 LOPDGDD — Exactitud de los datos. No será imputable la inexactitud al responsable cuando los datos: (a) los recibió directamente del afectado; (b) los recibió de un mediador/intermediario habilitado; (c) los recibió de otro responsable por derecho a la portabilidad; (d) los obtuvo de un registro público.
• Art. 5 LOPDGDD — Deber de confidencialidad. Responsables, encargados y todas las personas que intervengan en cualquier fase del tratamiento están sujetas al deber de confidencialidad del art. 5.1.f) RGPD. La obligación es complementaria de los deberes de secreto profesional. Y — clave — se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado.
• Art. 6 LOPDGDD — Tratamiento basado en el consentimiento. Por consentimiento se entiende toda manifestación de voluntad libre, específica, informada e inequívoca mediante declaración o clara acción afirmativa. Si se trata para varias finalidades, debe constar de manera específica e inequívoca para todas. No se puede supeditar el contrato al consentimiento para finalidades no vinculadas al contrato.
• Art. 7 LOPDGDD — Consentimiento de los menores de edad. (Sello 2022.) El menor puede consentir por sí mismo cuando sea mayor de catorce años. Por debajo, solo es lícito si consta el del titular de la patria potestad o tutela.
• Art. 8 LOPDGDD — Obligación legal, interés público, poderes públicos. Solo si lo prevé una norma de Derecho UE o una norma con rango de ley. Para interés público o poderes públicos: solo cuando derive de una competencia atribuida por una norma con rango de ley.
• Art. 9 LOPDGDD — Categorías especiales de datos. A efectos del art. 9.2.a) RGPD, el solo consentimiento del afectado no bastará para levantar la prohibición cuando la finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.
• Art. 10 LOPDGDD — Datos de naturaleza penal. Solo amparados en norma UE, en esta ley orgánica o en otra norma con rango legal. Fuera de los supuestos generales, solo abogados y procuradores pueden tratarlos para sus funciones.

Título III — Derechos de las personas (arts. 11-18)

• Art. 11 LOPDGDD — Transparencia e información. Cumple facilitando información básica + dirección electrónica de acceso. Si los datos no vienen del afectado, la básica incluye categorías y fuentes.
• Art. 12 LOPDGDD — Disposiciones generales sobre ejercicio. Los titulares de la patria potestad pueden ejercitar derechos en nombre de menores de catorce años. Las actuaciones son gratuitas, salvo las excepciones del art. 12.5 y 15.3 RGPD.
• Art. 13 LOPDGDD — Derecho de acceso. (Sello 2022.) Si el responsable trata gran cantidad de datos, puede pedir al afectado que especifique. El derecho se entiende otorgado mediante sistema de acceso remoto, directo y seguro que garantice acceso permanente a la totalidad. Se considera repetitivo el ejercicio en más de una ocasión durante el plazo de seis meses, salvo causa legítima.


EJEMPLO PRÁCTICO — Art. 13 LOPDGDD

Saber qué datos guarda una antigua empresa

Lucía, traductora autónoma de 35 años, terminó su contrato con una gestoría hace dos años. Acaba de descubrir que sigue recibiendo comunicaciones internas que solo se enviarían a empleados activos, y sospecha que la empresa conserva información personal suya sin justificación. Quiere saber qué datos exactos siguen en sus sistemas, con qué finalidad y a quién se los han comunicado, antes de decidir si ejerce otros derechos.

El derecho de petición figura en el art. 29 CE, pero no entre los derechos de los arts. 13-18 LOPDGDD (acceso, rectificación, supresión, limitación, portabilidad y oposición). 2022-Canarias-3A lo puso como la opción que no es un derecho del afectado.

El art. 13.1 LOPDGDD remite al art. 15 del Reglamento (UE) 2016/679: el responsable debe facilitar al afectado copia de los datos personales objeto de tratamiento, junto con la información sobre fines, categorías, destinatarios y plazos de conservación.

• Art. 14 LOPDGDD — Derecho de rectificación. (Sello 2022.) El afectado debe indicar a qué datos se refiere y la corrección que debe realizarse, acompañando documentación justificativa de la inexactitud o carácter incompleto.
• Art. 15 LOPDGDD — Derecho de supresión. (Sello 2022.) Si la supresión deriva del derecho de oposición (art. 21.2 RGPD), el responsable podrá conservar los datos identificativos necesarios para impedir tratamientos futuros para fines de mercadotecnia directa.


EJEMPLO PRÁCTICO — Art. 15 LOPDGDD

Borrar un perfil antiguo de un foro

Javier, ingeniero informático de 42 años, descubre que un foro temático en el que participó hace diez años aún muestra su nombre completo asociado a comentarios que ya no le representan. Los mensajes aparecen al buscar su nombre en internet y le están perjudicando profesionalmente. Quiere que el gestor del foro elimine sus datos personales y, si es posible, también su rastro en los buscadores que indexan esa página.

Distinguir supresión (art. 15) de bloqueo (art. 32): suprimido no equivale a destruido. El responsable conserva los datos bloqueados durante el plazo de prescripción, solo para ponerlos a disposición de jueces y tribunales, Ministerio Fiscal o AAPP competentes.

El art. 15.1 LOPDGDD remite al art. 17 RGPD (derecho al olvido). Cuando la supresión derive del derecho de oposición del art. 21.2 RGPD, el responsable podrá conservar los datos identificativos del afectado necesarios para impedir tratamientos futuros para fines de mercadotecnia directa.

• Art. 16 LOPDGDD — Limitación del tratamiento. (Sello 2022.) La limitación debe constar claramente en los sistemas de información del responsable.
• Art. 17 LOPDGDD — Portabilidad. (Sello 2022.) Se ejerce conforme al art. 20 RGPD.


EJEMPLO PRÁCTICO — Art. 17 LOPDGDD

Llevarse los datos al cambiar de banco

Carlos, comercial de 38 años en Valencia, decide cerrar su cuenta en el banco con el que trabaja desde hace doce años y abrir otra en una nueva entidad. Antes de cancelar la antigua, pide a su banco que le entregue un archivo estructurado con todos los movimientos, recibos domiciliados y datos de identificación que él mismo aportó a lo largo de la relación, para incorporarlos sin pérdida de historial al nuevo proveedor.

La portabilidad solo cubre datos que el afectado haya aportado y que el responsable trate de forma automatizada por consentimiento o ejecución de contrato. No alcanza tratamientos basados en interés legítimo ni en obligación legal.

El art. 17 LOPDGDD remite al art. 20 RGPD: el afectado tiene derecho a recibir sus datos en formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable sin que el primero pueda impedirlo.

• Art. 18 LOPDGDD — Oposición. (Sello 2022.) Incluye los derechos sobre decisiones individuales automatizadas y perfiles (arts. 21 y 22 RGPD).

Título IV — Disposiciones aplicables a tratamientos concretos (arts. 19-27)

• Art. 19 LOPDGDD — Datos de contacto profesional. Se presume amparado en interés legítimo (art. 6.1.f RGPD) el tratamiento de datos de contacto de personas físicas que presten servicios en una persona jurídica.
• Art. 20 LOPDGDD — Sistemas de información crediticia. (Sello 2022.) Salvo prueba en contrario, se presumirá lícito el tratamiento de datos de incumplimiento de obligaciones dinerarias si: deudas ciertas, vencidas y exigibles; sin reclamación; el acreedor informó al deudor; los datos solo permanecen mientras persista el incumplimiento, con límite máximo de cinco años desde el vencimiento; consulta restringida; la entidad que mantiene el sistema notifica al afectado la inclusión dentro de los treinta días siguientes a la notificación de la deuda al sistema, con los datos bloqueados mientras tanto.
• Art. 21 LOPDGDD — Operaciones mercantiles. Tratamientos lícitos en operaciones de modificación estructural societaria, aportación o transmisión de negocio si son necesarios y garantizan continuidad.
• Art. 22 LOPDGDD — Videovigilancia. Finalidad: preservar la seguridad de las personas y bienes, así como de sus instalaciones. Datos suprimidos en el plazo máximo de un mes desde su captación. Si se conservan para acreditar actos contra la integridad de personas, bienes o instalaciones, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas. Información cumplida mediante dispositivo informativo visible. Excluida la captación del interior del propio domicilio. Las imágenes de las cámaras de las Fuerzas y Cuerpos de Seguridad se rigen por la legislación de transposición de la Directiva (UE) 2016/680 cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública; fuera de estos supuestos, por su legislación específica y, supletoriamente, por el RGPD y la LOPDGDD (art. 22.6). El tratamiento por el empleador se somete al art. 89 (art. 22.8).


EJEMPLO PRÁCTICO — Art. 22 LOPDGDD

Cámaras de seguridad en una tienda de barrio

Ana, copropietaria de una pequeña tienda de alimentación en un barrio de Sevilla, ha instalado tres cámaras orientadas al interior y una más que apunta hacia la entrada y un breve tramo de acera. Tras un robo el mes pasado quiere conservar las imágenes el máximo tiempo posible, y un cliente habitual le ha preguntado en voz alta cuánto tiempo puede tener esas grabaciones guardadas y a quién se las puede entregar.

Plazo: un mes máximo desde la captación, salvo conservación para acreditar actos contra personas o bienes; en tal caso, entrega a la autoridad competente en 72 horas. Las cámaras policiales con fines penales tienen otro régimen (art. 22.6).

El art. 22.3 LOPDGDD impone suprimir las imágenes en un mes desde su captación, salvo conservación para acreditar actos contra personas, bienes o instalaciones; en tal caso, se entregan a la autoridad competente en 72 horas.

• Art. 23 LOPDGDD — Exclusión publicitaria. Las entidades responsables comunican a la autoridad competente; la autoridad publica relación; el responsable de mercadotecnia directa debe consultar el sistema.
• Art. 24 LOPDGDD — Informantes de infracciones. Tratamiento lícito conforme a la Ley reguladora de la protección de los informantes.
• Art. 25 LOPDGDD — Función estadística pública. Sujeta a su legislación específica; las solicitudes ex arts. 15-22 RGPD pueden denegarse si los datos están amparados por el secreto estadístico.
• Art. 26 LOPDGDD — Archivo en interés público. Por Administraciones, conforme a la Ley 16/1985 del Patrimonio Histórico y normativa de archivos.
• Art. 27 LOPDGDD — Infracciones y sanciones administrativas. Exige: (a) responsabilidad del órgano competente; (b) limitación a datos estrictamente necesarios.

Título V — Responsable y encargado del tratamiento (arts. 28-39)

• Art. 28 LOPDGDD — Obligaciones generales. Determinan medidas técnicas y organizativas teniendo en cuenta mayores riesgos: discriminación, fraude, perfilado, vulnerabilidad (menores, discapacidad), tratamiento masivo, transferencias internacionales sin protección adecuada.
• Art. 29 LOPDGDD — Corresponsabilidad. Se determinan responsabilidades atendiendo a actividades efectivamente desarrolladas.
• Art. 30 LOPDGDD — Representantes no UE. AEPD puede imponer solidariamente al representante las medidas previstas en el RGPD, sin perjuicio de la responsabilidad del propio responsable o encargado.
• Art. 31 LOPDGDD — Registro de actividades. Obligatorio salvo excepción del art. 30.5 RGPD. Los del art. 77.1 publican inventario electrónico.
• Art. 32 LOPDGDD — Bloqueo de los datos. (Sellos 2020 + 2021 + 2022.) El responsable está obligado a bloquear los datos cuando proceda a su rectificación o supresión. Bloqueo = identificación y reserva de los mismos, adoptando medidas técnicas y organizativas para impedir su tratamiento, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular las autoridades de protección de datos, y solo por el plazo de prescripción. Tras ese plazo: destrucción. La AEPD puede fijar excepciones cuando la conservación implique riesgo elevado o coste desproporcionado.


EJEMPLO PRÁCTICO — Art. 32 LOPDGDD

Datos bloqueados tras una supresión solicitada

María, comerciante jubilada de 50 años, solicitó hace tres meses a su antigua aseguradora la supresión de todos sus datos personales tras cancelar la póliza. Acaba de recibir una carta confirmándole que la cancelación se ha aplicado, pero indicando que la entidad conservará sus datos bloqueados hasta que prescriban las posibles responsabilidades. María no entiende por qué, si pidió la supresión, los datos siguen existiendo en algún archivo de la compañía.

2020-1A y 2022-Canarias-3A preguntaron: El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su… Respuesta: rectificación o supresión, no portabilidad, acceso ni oposición. 2021-1A preguntó el nombre de la identificación y reserva de los datos: bloqueo.

El art. 32.2 LOPDGDD define bloqueo como identificación y reserva de los datos con medidas técnicas y organizativas que impiden su tratamiento, salvo puesta a disposición de jueces y tribunales, Ministerio Fiscal o AAPP competentes durante el plazo de prescripción.

• Art. 33 LOPDGDD — Encargado del tratamiento. El acceso no se considera comunicación. Tendrá la consideración de responsable (no encargado) quien actúe en su propio nombre. Al finalizar la prestación: destrucción, devolución o entrega a nuevo encargado.
• Art. 34 LOPDGDD — Designación obligatoria del DPD. (Sellos 2020 + 2022 + 2026.) Obligatorio para colegios profesionales, centros educativos (incluidas Universidades), operadores telco a gran escala, prestadores SSI con perfiles a gran escala, entidades de crédito, financieros de crédito, aseguradoras, empresas de servicios de inversión, comercializadores eléctricos y gasistas, ficheros de solvencia y fraude, publicidad/prospección con perfiles, centros sanitarios (no profesionales a título individual), informes comerciales, juego online, empresas de seguridad privada, federaciones deportivas con menores. Designación voluntaria también admitida. Plazo de comunicación a AEPD: diez días.
• Art. 35 LOPDGDD — Cualificación del DPD. Se acredita mediante mecanismos voluntarios de certificación con titulación universitaria.
• Art. 36 LOPDGDD — Posición del DPD. Interlocutor con AEPD. No removible ni sancionable salvo dolo o negligencia grave. Cuando aprecie vulneración relevante: documentarlo y comunicarlo inmediatamente a la dirección.
• Art. 37 LOPDGDD — Reclamación con DPD. (Sello 2024.) El afectado puede dirigirse al DPD con carácter previo. Plazo de respuesta del DPD al afectado: dos meses desde la recepción. Si AEPD remite al DPD: plazo de un mes.
• Art. 38 LOPDGDD — Códigos de conducta. (Sello 2024.) Vinculantes para quienes se adhieran. Pueden dotarse de mecanismos de resolución extrajudicial. Aprobados por AEPD o autoridad autonómica. Sometidos al mecanismo de coherencia del Comité Europeo cuando proceda.
• Art. 39 LOPDGDD — Acreditación de instituciones de certificación. Puede llevarla a cabo la Entidad Nacional de Acreditación (ENAC).

Título VI — Transferencias internacionales (arts. 40-43)

• Art. 40 LOPDGDD — Régimen general. Sujeto al Capítulo V RGPD.
• Art. 41 LOPDGDD — Decisiones AEPD. (Sello 2022.) La AEPD y las autoridades autonómicas pueden adoptar cláusulas contractuales tipo, con dictamen previo del Comité Europeo de Protección de Datos (41.1), y aprobar normas corporativas vinculantes en un procedimiento de nueve meses como máximo (41.2).
• Art. 42 LOPDGDD — Autorización previa. Cuando el RGPD exija autorización de la autoridad de control.
• Art. 43 LOPDGDD — Información previa. El responsable informa previamente a la AEPD, y a los afectados, de la transferencia que funde en su necesidad para intereses legítimos imperiosos; no rige para las autoridades públicas en el ejercicio de sus poderes públicos.

Título VII — Autoridades de protección de datos (arts. 44-62)

• Art. 44 LOPDGDD — Naturaleza AEPD. (Sellos 2021 + 2022 + 2026.) La AEPD es una autoridad administrativa independiente de ámbito estatal, prevista en la Ley 40/2015, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos. Denominación oficial: «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente». Se relaciona con el Gobierno a través del Ministerio de Justicia. Es representante común en el Comité Europeo de Protección de Datos.
• Art. 45 LOPDGDD — Régimen jurídico. (Sello 2025.) RGPD + LOPDGDD + desarrollo. Supletoriamente, art. 110.1 Ley 40/2015. Gobierno aprueba el Estatuto por real decreto a propuesta de AEPD.
• Art. 46 LOPDGDD — Régimen económico y de personal. (Sello 2023.) Presupuesto integrado con independencia. Personal funcionario o laboral. Control de la IGAE.
• Art. 47 LOPDGDD — Funciones y potestades. Las del art. 57 (funciones) y 58 (potestades) RGPD.
• Art. 48 LOPDGDD — Presidencia AEPD. (Sello 2021.) Ostenta representación, dicta resoluciones y circulares. Auxiliada por un Adjunto. Nombrados por el Gobierno, a propuesta del Ministerio de Justicia; el Gobierno remite la propuesta al Congreso, y la Comisión de Justicia la ratifica por tres quintos de sus miembros en primera votación o por mayoría absoluta en segunda. Mandato de cinco años, renovable por otro período de igual duración. Cese: incumplimiento grave, incapacidad sobrevenida, incompatibilidad, condena firme por delito doloso. Recursos: directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.
• Art. 49 LOPDGDD — Consejo Consultivo. (Sellos 2020 + 2021 + 2023 + 2025.) Órgano de asesoramiento de la Presidencia AEPD. Composición fija de 16 miembros más los representantes autonómicos (uno por cada Comunidad Autónoma con autoridad propia): un Diputado (Congreso), un Senador (Senado), un representante del CGPJ, un representante de la AGE (Ministro de Justicia), expertos propuestos por FEMP, Consejo de Consumidores, organizaciones empresariales (dos), profesionales de la privacidad, organismos de supervisión de códigos de conducta, CRUE, colegios profesionales, profesionales de seguridad de la información, Consejo de Transparencia y dos por organizaciones sindicales. Nombrados por orden del Ministro de Justicia. Se reúne, en todo caso, una vez al semestre. Sus decisiones NO tendrán en ningún caso carácter vinculante.
• Art. 50 LOPDGDD — Publicidad. Resoluciones publicadas conforme al Estatuto.
• Art. 51 LOPDGDD — Investigación AEPD. (Sello 2023.) Actuaciones por funcionarios de la AEPD o ajenos a ella habilitados expresamente por su Presidencia. Tendrán la consideración de agentes de la autoridad y están obligados a guardar secreto, incluso después de cesar.
• Art. 52 LOPDGDD — Deber de colaboración. Administraciones y particulares obligados a proporcionar datos, informes y justificantes. Posibilidad de recabar datos de operadores telco y prestadores SSI para identificación del responsable de la conducta.
• Art. 53 LOPDGDD — Alcance de la investigación. Inspección, requerimiento, examen, copia. Domicilio constitucionalmente protegido requiere consentimiento o autorización judicial.
• Art. 53 bis LOPDGDD — Investigación digital. Por videoconferencia con conformidad del inspeccionado. Vigor desde mayo de 2023.
• Art. 54 LOPDGDD — Planes de auditoría. Acordados por la Presidencia AEPD. Las directrices son de obligado cumplimiento.
• Art. 55 LOPDGDD — Circulares. Obligatorias una vez publicadas en BOE.
• Art. 56 LOPDGDD — Acción exterior. (Sello 2023.) AEPD ejerce las funciones de acción exterior en materia de protección de datos. Participa en organizaciones internacionales y representa al Estado en el Comité Europeo (art. 68.4 RGPD).
• Art. 57 LOPDGDD — Autoridades autonómicas. Competencias en tratamientos del sector público autonómico/local o ejercicio de funciones públicas autonómicas. Pueden dictar circulares.
• Art. 58 LOPDGDD — Cooperación institucional. AEPD convoca a las autoridades autonómicas. Reuniones semestrales en todo caso.
• Art. 59 LOPDGDD — Tratamientos contrarios al RGPD. Requerimiento de la AEPD a la autoridad autonómica con plazo de un mes.
• Arts. 60-62 LOPDGDD — Coordinación. Comunicaciones con el Comité Europeo por conducto de AEPD; intervención en tratamientos transfronterizos; resolución de conflictos del art. 65 RGPD.

Título VIII — Procedimientos (arts. 63-69)

• Art. 63 LOPDGDD — Régimen jurídico. (Sello 2022.) Procedimientos ante AEPD: arts. 15-22 RGPD + investigación de infracciones. Subsidiariamente, normas generales de procedimiento administrativo. Desarrollo por real decreto del Gobierno.
• Art. 64 LOPDGDD — Iniciación y duración. (Sello 2024.) Procedimiento sobre arts. 15-22 RGPD: plazo de seis meses; transcurrido, se entiende estimada la reclamación. Procedimiento sancionador: duración máxima de doce meses a contar desde el acuerdo de inicio; caducidad y archivo. Procedimiento de apercibimiento: seis meses. Plazos automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la UE o de una o varias autoridades de control de los Estados miembros (64.5).
• Art. 65 LOPDGDD — Admisión a trámite. (Sellos 2020 + 2022 + 2024.) AEPD inadmite cuando: no versen sobre protección de datos, carezcan de fundamento, sean abusivas o no aporten indicios. Puede inadmitir si el responsable adoptó medidas correctivas previa advertencia. Posibilidad de remitir al DPD o al organismo de supervisión del código de conducta — el responsable sin DPD ni código debe responder en un mes. Notificación al reclamante en tres meses; transcurrido, se entiende que prosigue la tramitación.


EJEMPLO PRÁCTICO — Art. 65 LOPDGDD

Reclamar a la AEPD por silencio de una empresa

Miguel, profesor de instituto de 42 años, ejerció hace dos meses su derecho de acceso ante una empresa de comercio electrónico para conocer qué datos suyos seguían en sus sistemas tras un pedido fallido. La empresa no le ha contestado. Tras consultar el formulario de reclamación en la sede electrónica, prepara la documentación para presentar reclamación ante la Agencia Española de Protección de Datos, sabiendo que esta evaluará primero si la admite a trámite.

El examen 2020 preguntó cuándo inadmite la AEPD: la opción correcta fue en cualquiera de los casos anteriores, no uno solo. Y el plazo de notificación de la decisión es tres meses (examen 2022), no uno.

El art. 65.2 LOPDGDD obliga a la AEPD a inadmitir las reclamaciones que no versen sobre protección de datos, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de infracción. Antes de resolver, el art. 65.4 permite remitir la reclamación al delegado de protección de datos.

• Art. 66 LOPDGDD — Alcance territorial. AEPD examina su competencia previamente.
• Art. 67 LOPDGDD — Actuaciones previas. Pueden anteceder al acuerdo de inicio. No podrán tener una duración superior a dieciocho meses desde el acuerdo de admisión o de iniciación de oficio.
• Art. 68 LOPDGDD — Acuerdo de inicio sancionador. Corresponde a la Presidencia de la AEPD. Concreta hechos, identificación, infracción y sanción posible.
• Art. 69 LOPDGDD — Medidas provisionales. (Sellos 2023 + 2024.) Durante actuaciones previas o procedimiento sancionador, AEPD puede acordar motivadamente medidas previstas en art. 66.1 RGPD, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado. Si la continuación causa menoscabo grave: orden de bloqueo + cesación de tratamiento + inmovilización si se incumple.

Tabla 1 — Datos personales ordinarios vs categorías especiales (arts. 9-10)

Tabla 2 — Plazos máximos por tipo de procedimiento ante la AEPD

• Trampa: el deber de confidencialidad cesa con la relación. La frase «las obligaciones de confidencialidad cesan cuando finaliza la relación» es FALSA: el art. 5.3 LOPDGDD establece literalmente que se mantendrán aun cuando hubiese finalizado la relación. El secreto sobrevive al contrato; no tiene fecha de caducidad.
• Trampa: edad mínima para que un menor consienta. No son trece años ni dieciséis años, ni es cierto que «el RGPD lo fija sin que España pueda modificarlo»: el art. 7.1 LOPDGDD exige que el menor sea mayor de catorce años. Por debajo: titular de la patria potestad o tutela. En 2022-2A los distractores fueron dieciocho, dieciséis y doce años.
• Trampa: plazo de conservación de imágenes de videovigilancia. No son tres meses ni un año, y las setenta y dos horas no son el plazo de borrado. El art. 22.3 LOPDGDD: borrado en un mes desde la captación; las 72 horas son SOLO para la entrega a la autoridad competente cuando se hayan conservado por acreditar un acto contra la integridad.
• Trampa: permanencia en los sistemas de información crediticia. Los datos solo se mantienen mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación (art. 20.1.d), no seis años, el requisito falso de 2022-1A.
• Trampa: el Consejo Consultivo vincula a la Presidencia AEPD. En 2020-2A la opción falsa era que sus decisiones «tendrán carácter vinculante». Art. 49.5: no tendrán en ningún caso carácter vinculante. Es un órgano de asesoramiento.
• Trampa: mandato de la Presidencia AEPD. No son cuatro años ni seis años, ni es «renovable indefinidamente». Art. 48.5: cinco años, renovable por otro período de igual duración; una sola renovación. En 2021-1A los distractores fueron cuatro años renovables por dos más y tres años renovables por dos o por la misma duración.
• Trampa: derecho de acceso repetitivo. No son tres meses: según el art. 13.3, el responsable puede considerarlo repetitivo si se ejerce más de una vez en seis meses, salvo causa legítima.
• Trampa: duración del procedimiento sancionador. En 2024-2A los distractores fueron un mes, tres meses y seis meses (el plazo del apercibimiento); también se confunden los dieciocho meses de las actuaciones previas. Art. 64.2: el procedimiento sancionador tiene doce meses; las actuaciones previas máx. 18; el apercibimiento 6.
• Trampa: el bloqueo de datos solo significa hacerlos invisibles para el responsable. Faltan los receptores autorizados. Art. 32.2: durante el bloqueo los datos pueden ponerse a disposición de los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos. En 2021-1A se describió el bloqueo con las palabras del art. 32.2 y los distractores fueron la rectificación, la destrucción y la supresión de los datos.
• Trampa: la AEPD se relaciona con el Gobierno a través de Presidencia. FALSO. Art. 44.1: se relaciona con el Gobierno a través del Ministerio de Justicia. En 2022-2A los distractores fueron el Ministerio de la Presidencia, el de Política Territorial y el Ministerio del Interior. Y en 2023-1A, en una pregunta del art. 46, una opción falsa daba a la Agencia el Ministerio del Interior como cauce con el Gobierno.

• Videovigilancia 1-72. Un mes para borrar las imágenes, 72 horas para entregarlas si han de conservarse. Las 72 h coinciden con el plazo máximo de detención del art. 17 CE; útil para asociar dos plazos icónicos de tema 4 (CE) y tema 11 (LOPDGDD).
• 14-5-30. Tres números del consentimiento del menor y de los sistemas de información crediticia: catorce años (consentimiento del menor, art. 7.1), cinco años (permanencia máxima en un sistema de información crediticia, art. 20.1.d) y treinta días (notificación al afectado de su inclusión en el sistema, con los datos bloqueados mientras tanto, art. 20.1.c).
• Procedimiento AEPD 3-6-12-18. Los plazos máximos del procedimiento sancionador suben en escala doble: 3 meses admisión (art. 65), 6 meses derechos arts. 15-22 RGPD o apercibimiento (art. 64), 12 meses sancionador (art. 64.2), 18 meses actuaciones previas (art. 67.2). El sancionador dura el doble que el simple por derechos.
• AEPD nombramiento «5 + 5». Mandato de Presidencia: cinco años más renovable por otros cinco. Misma cifra que el mandato del Defensor del Pueblo; vínculo con tema 4.

• → Tema 1 (Derechos Humanos): el art. 8 CEDH (vida privada y familiar) y los arts. 7-8 Carta DFUE (vida privada y protección de datos) son las normas-marco que justifican la protección de datos en Europa. Estos derechos no son inderogables (admite restricción proporcional, a diferencia de los arts. 2-3 CEDH).
• → Tema 4 (Constitución): el art. 18.4 CE es el fundamento constitucional de la protección de datos («la ley limitará el uso de la informática»). El art. 1 LOPDGDD remite a este precepto. El plazo de detención del art. 17.2 CE (72 horas) coincide numéricamente con el plazo de entrega de imágenes de videovigilancia (art. 22.3 LOPDGDD).
• → Tema 5 (Derecho UE): el RGPD (Reglamento UE 2016/679) es el reglamento más conocido del Derecho UE (art. 288 TFUE: aplicabilidad directa). La LOPDGDD no transpone; adapta y complementa. El art. 8 Carta DFUE consagra el derecho fundamental. La legislación de transposición de la Directiva (UE) 2016/680 rige las cámaras de las Fuerzas y Cuerpos de Seguridad con fines penales (art. 22.6 LOPDGDD).
• → Tema 10 (Procedimiento administrativo, Ley 39/2015 + Ley 40/2015): los procedimientos AEPD (arts. 63-69 LOPDGDD) son subsidiariamente procedimiento administrativo común. La caducidad del art. 64.2 LOPDGDD opera como en el art. 25 Ley 39/2015. La AEPD es autoridad administrativa independiente de las previstas en la Ley 40/2015 (art. 109.3), cita expresa en art. 44.1 LOPDGDD.
• → Tema 13 (Seguridad ciudadana, LO 4/2015 y Ley 5/2014 de Seguridad Privada): el art. 22 LOPDGDD se entiende sin perjuicio de la Ley 5/2014 (cita expresa en art. 22.7). Las cámaras de las Fuerzas y Cuerpos de Seguridad se rigen, con fines penales, por la legislación de transposición de la Directiva (UE) 2016/680 y, fuera de ellos, por su legislación específica y, supletoriamente, por el RGPD y la LOPDGDD (art. 22.6).
• → Tema 20 (LO 5/2000 Responsabilidad penal del menor): el consentimiento del menor para tratamiento de datos (art. 7 LOPDGDD, 14 años) NO coincide con la edad mínima de responsabilidad penal (14 años, art. 1 LO 5/2000); coinciden numéricamente pero son institutos distintos.
• → Tema 22 (Reglamento de Armas / control administrativo): conexión menor; los registros de licencias de armas son tratamientos sometidos a la LOPDGDD (art. 25 RGPD: protección desde el diseño). Las DDPP de la Guardia Civil tratan datos personales y deben cumplir el régimen del Título V.