Cuando oyes hablar de “la Ley de Protección de Datos”, es normal que te surjan dudas: ¿se refiere al RGPD europeo o a una ley española?, ¿qué datos están protegidos?, ¿qué obligaciones tienen las empresas y las administraciones?, ¿qué derechos puedes ejercer como ciudadano si usan tus datos sin permiso o de forma indebida? Entender qué regula exactamente la normativa de protección de datos es clave para saber qué puedes exigir y qué debes cumplir si tratas información personal.
En España, la protección de datos se articula principalmente a través de dos pilares: el Reglamento (UE) 2016/679, conocido como Reglamento General de Protección de Datos (RGPD), aplicable en toda la Unión Europea, y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, conocida como LOPDGDD, que adapta y complementa el RGPD en el ordenamiento español.
Qué es la “Ley de Protección de Datos” y qué normas la componen
En el lenguaje común, “Ley de Protección de Datos” suele usarse para referirse a todo el marco normativo que regula el tratamiento de datos personales. Técnicamente, en España debes distinguir:
- RGPD: norma europea directamente aplicable. Establece principios, bases legales, derechos de las personas y obligaciones generales para responsables y encargados del tratamiento.
- LOPDGDD: ley orgánica española que desarrolla aspectos permitidos por el RGPD (por ejemplo, reglas específicas en materia laboral, videovigilancia, canales de denuncia, tratamientos por obligación legal, y la garantía de derechos digitales).
- Normativa sectorial y complementaria: leyes que pueden afectar al tratamiento (por ejemplo, en sanidad, educación, telecomunicaciones, consumo o administración pública) y criterios de autoridades de control como la AEPD (Agencia Española de Protección de Datos).
El RGPD marca el marco general europeo; la LOPDGDD concreta y ajusta su aplicación en España en ámbitos donde el RGPD permite margen nacional.
Qué regula el RGPD: el marco europeo de la protección de datos
El RGPD regula cuándo y cómo se pueden tratar datos personales y qué garantías deben aplicarse. Afecta a cualquier organización (empresa, autónomo, asociación, administración pública) que trate datos de personas físicas, ya sea de manera automatizada o en archivos estructurados.
Qué se considera dato personal y tratamiento
El RGPD protege los datos personales, es decir, cualquier información sobre una persona identificada o identificable: nombre, DNI, dirección, teléfono, correo electrónico, IP u otros identificadores online, datos de localización, imágenes, etc.
También define el tratamiento de forma muy amplia: recoger, registrar, organizar, conservar, modificar, consultar, usar, comunicar, ceder, limitar o suprimir datos, entre otras operaciones.
Principios que deben cumplir todos los tratamientos
El RGPD se apoya en principios que actúan como “reglas del juego”:
- Licitud, lealtad y transparencia: tratar con base jurídica válida, de forma honesta y explicándolo claramente.
- Limitación de la finalidad: usar los datos para fines determinados, explícitos y legítimos.
- Minimización: recopilar solo los datos adecuados y necesarios.
- Exactitud: mantenerlos actualizados y corregir inexactitudes.
- Limitación del plazo de conservación: no guardarlos más tiempo del necesario.
- Integridad y confidencialidad: aplicar seguridad para evitar accesos, pérdidas o usos no autorizados.
- Responsabilidad proactiva (accountability): poder demostrar el cumplimiento.
Bases jurídicas: cuándo es lícito tratar datos
El RGPD no exige siempre consentimiento. Un tratamiento es lícito si encaja en alguna de las bases jurídicas, como:
- Consentimiento del interesado (libre, específico, informado e inequívoco).
- Ejecución de un contrato (por ejemplo, gestionar un pedido y su envío).
- Obligación legal (por ejemplo, obligaciones fiscales o laborales).
- Intereses vitales (situaciones de urgencia que afecten a la vida o integridad).
- Misión de interés público o ejercicio de poderes públicos (habitual en administraciones).
- Interés legítimo del responsable (si no prevalecen los derechos del interesado y se informa adecuadamente).
Categorías especiales de datos y mayores garantías
El RGPD refuerza la protección de ciertos datos sensibles: salud, origen racial o étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos o biométricos orientados a identificar, vida sexual u orientación sexual. En general, su tratamiento está prohibido salvo excepciones muy tasadas (por ejemplo, por motivos sanitarios con garantías, o con consentimiento explícito, según el caso).
Derechos de las personas (ciudadanos) frente al uso de sus datos
El RGPD reconoce derechos que permiten a cualquier persona mantener control sobre su información:
- Derecho de acceso: saber si se tratan datos y obtener copia e información.
- Derecho de rectificación: corregir datos inexactos.
- Derecho de supresión (“derecho al olvido” en ciertos supuestos): eliminar datos cuando proceda.
- Derecho de oposición: oponerse a tratamientos en determinadas condiciones (por ejemplo, marketing directo).
- Derecho a la limitación: restringir temporalmente el uso.
- Derecho a la portabilidad: recibir datos en formato estructurado y transmitirlos a otro proveedor cuando aplique.
- Derecho a no ser objeto de decisiones automatizadas, incluida la elaboración de perfiles, con efectos significativos, salvo excepciones y con garantías.
Además, existe el derecho a reclamar ante una autoridad de control (en España, normalmente la AEPD) si se considera que no se está cumpliendo la normativa.
Obligaciones del responsable y del encargado del tratamiento
El RGPD distingue entre:
- Responsable del tratamiento: decide fines y medios (por ejemplo, una empresa que gestiona clientes).
- Encargado del tratamiento: trata datos por cuenta del responsable (por ejemplo, una gestoría o un proveedor de hosting).
Entre las obligaciones más relevantes están:
- Informar al interesado con una política de privacidad clara (identidad del responsable, fines, base jurídica, destinatarios, plazos de conservación, derechos, etc.).
- Aplicar medidas de seguridad adecuadas al riesgo (técnicas y organizativas).
- Contratos de encargo con proveedores que traten datos, con cláusulas exigidas por el RGPD.
- Registro de actividades de tratamiento (cuando proceda, y muy habitual en organizaciones).
- Protección de datos desde el diseño y por defecto: incorporar privacidad desde el inicio y limitar por defecto la recogida y accesos.
- Evaluaciones de impacto cuando el tratamiento pueda entrañar alto riesgo (por ejemplo, vigilancia sistemática a gran escala o uso intensivo de datos sensibles).
- Notificación de brechas de seguridad: comunicar a la autoridad y, en ciertos casos, a los afectados, dentro de los plazos y condiciones del RGPD.
- Designación de un delegado de protección de datos en los supuestos obligatorios.
Transferencias internacionales de datos
El RGPD regula cuándo pueden enviarse datos fuera del Espacio Económico Europeo. Exige garantías específicas (por ejemplo, decisión de adecuación, cláusulas contractuales tipo u otros mecanismos) para mantener un nivel de protección equivalente.
Qué regula la LOPDGDD: adaptación española y derechos digitales
La LOPDGDD complementa el RGPD en España, concreta aspectos que el reglamento deja a los Estados y establece disposiciones propias. Entre los ámbitos más relevantes:
Desarrollo de derechos y procedimientos en España
La LOPDGDD regula aspectos prácticos del ejercicio de derechos y el marco institucional, incluyendo el papel de la AEPD y, en su caso, autoridades autonómicas. También incorpora previsiones sobre la representación, canales de reclamación y criterios sobre tratamiento en determinados contextos.
Tratamientos en el ámbito laboral
La LOPDGDD incorpora reglas específicas para el entorno de trabajo, donde se tratan datos de empleados de manera habitual. Incluye cuestiones como:
- Uso de dispositivos digitales facilitados por la empresa y criterios para el control.
- Derecho a la desconexión digital en el ámbito laboral.
- Videovigilancia y grabación de sonidos en el trabajo, con límites y obligaciones de información.
- Sistemas de geolocalización (por ejemplo, flotas), con deber de informar y límites.
Videovigilancia y grabación de imágenes
La LOPDGDD concreta reglas sobre tratamiento de imágenes con cámaras, muy relevante para comercios, comunidades de propietarios y empresas:
- Finalidad legítima (por ejemplo, seguridad) y uso proporcional.
- Deber de información mediante cartelería y política ampliada.
- Plazos de conservación habitualmente limitados, salvo necesidad de conservar por hechos concretos.
- Acceso restringido a las grabaciones y medidas de seguridad.
Sistemas de información de denuncias internas
La LOPDGDD incluye previsiones sobre sistemas internos de información (canales de denuncias), estableciendo condiciones para el tratamiento de datos en este contexto, con especial atención a la confidencialidad, la limitación de accesos y los plazos.
Garantía de derechos digitales
Una parte diferencial de la LOPDGDD es su enfoque en derechos digitales, conectados con el uso de internet y tecnologías. Entre otros, regula principios y derechos relacionados con la privacidad en el entorno digital, educación digital y la desconexión en el ámbito laboral, dentro de los términos que fija la ley.
Qué obligaciones establecen RGPD y LOPDGDD en la práctica
Aunque el detalle varía según el tipo de organización y el riesgo del tratamiento, hay obligaciones que aparecen de forma recurrente en auditorías y requerimientos.
Deber de información y transparencia
Debes informar de forma comprensible y accesible. En la práctica, esto implica:
- Cláusulas informativas en formularios (web, papel, contratos).
- Política de privacidad completa en la web o en el canal de recogida.
- Información por capas cuando ayude a simplificar (resumen + detalle).
Gestión del consentimiento cuando sea la base legal
Si se basa en consentimiento, este debe poder acreditarse y debe ser tan fácil retirarlo como darlo. Ejemplos habituales:
- Casillas no premarcadas para comunicaciones comerciales.
- Pruebas de consentimiento (logs, registros, trazabilidad).
- Preferencias para gestionar suscripciones y bajas.
Contratos con proveedores (encargados del tratamiento)
Si externalizas servicios que implican datos (nóminas, CRM, email marketing, soporte, almacenamiento en la nube), necesitas un contrato de encargo con obligaciones específicas: instrucciones, confidencialidad, seguridad, subencargados, asistencia en derechos y brechas, y destino de los datos al finalizar el servicio.
Medidas de seguridad y gestión del riesgo
El RGPD no impone un “checklist” único, sino medidas apropiadas al riesgo. Algunas frecuentes:
- Control de accesos y gestión de permisos.
- Cifrado, seudonimización cuando sea adecuado y copias de seguridad.
- Políticas internas, formación y protocolos ante incidentes.
- Evaluación de proveedores y medidas de seguridad en la cadena de suministro.
Atención de derechos: plazos y organización interna
Las organizaciones deben tener un procedimiento para responder solicitudes de derechos. A nivel práctico conviene:
- Establecer un canal (email o formulario) y verificar identidad cuando sea necesario.
- Llevar un registro de solicitudes y respuestas.
- Definir responsables internos y criterios de respuesta.
Brechas de seguridad
Una brecha puede ser un acceso no autorizado, pérdida, robo de dispositivo o exposición accidental. La organización debe:
- Detectar, contener y analizar el impacto.
- Documentar el incidente.
- Notificar a la autoridad de control cuando exista riesgo para los derechos y libertades.
- Informar a los afectados cuando el riesgo sea alto, con recomendaciones para protegerse, si procede.
Delegado de protección de datos
En ciertos casos es obligatorio designar un delegado de protección de datos (DPD), especialmente en algunas administraciones y organizaciones que, por su actividad, tratan datos a gran escala o realizan observación sistemática. El DPD asesora, supervisa cumplimiento y actúa como punto de contacto con la autoridad y con los interesados.
Cómo afecta la protección de datos a ciudadanos
Para los ciudadanos, RGPD y LOPDGDD suponen principalmente control y garantías:
- Más información: obligación de explicar quién trata tus datos, para qué y por cuánto tiempo.
- Capacidad de decisión en supuestos basados en consentimiento, con retirada sencilla.
- Derechos exigibles: acceso, rectificación, supresión, oposición, limitación y portabilidad.
- Mayor seguridad: obligación de medidas de protección y de informar en ciertos casos de brechas.
- Vías de reclamación: puedes reclamar ante la AEPD si no responden, si el tratamiento es ilícito o si vulneran tus derechos.
En el día a día, esto impacta en situaciones comunes: llamadas comerciales, envíos publicitarios, alta en servicios online, publicación de imágenes, historiales médicos, gestión bancaria, o trámites con la administración.
Cómo afecta a empresas y autónomos
Para empresas y autónomos, el impacto es organizativo y operativo: la protección de datos se convierte en un requisito transversal que afecta a procesos, tecnología y relación con clientes y empleados.
Áreas típicas donde se aplica
- Marketing y ventas: prospección comercial, newsletters, segmentación, CRM.
- Atención al cliente: grabación de llamadas, tickets, chats, mensajería.
- Recursos humanos: selección, nóminas, control horario, prevención de riesgos.
- Seguridad: videovigilancia, control de accesos.
- Servicios digitales: analítica, cookies (conexión con normativa de ePrivacy y directrices aplicables), cuentas de usuario.
Riesgos y responsabilidades
La normativa establece un régimen sancionador y correctivo. Más allá de sanciones, un incumplimiento puede implicar:
- Requerimientos de la AEPD para modificar tratamientos o cesarlos.
- Daño reputacional por incidentes o mala gestión de privacidad.
- Reclamaciones de clientes o usuarios.
- Costes por brechas de seguridad y respuesta a incidentes.
Buenas prácticas que suelen exigirse en cumplimiento
- Inventario de tratamientos y bases jurídicas asociadas.
- Políticas y cláusulas actualizadas y adaptadas al negocio.
- Gestión de proveedores con contratos de encargo y evaluación.
- Seguridad por niveles según riesgos (no todo exige lo mismo).
- Formación del personal que maneja datos.
Cómo afecta a administraciones públicas
Las administraciones públicas tratan grandes volúmenes de datos (padrones, impuestos, servicios sociales, educación, sanidad, seguridad), con un impacto directo en derechos fundamentales. Por ello, su cumplimiento es especialmente relevante.
Base jurídica habitual y deber de ejemplaridad
Muchos tratamientos se basan en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, y también en obligaciones legales. Esto no elimina el deber de información, la minimización, la limitación de conservación y la seguridad.
Transparencia y derechos en trámites administrativos
En procedimientos administrativos, la administración debe informar sobre el tratamiento, permitir el ejercicio de derechos y garantizar que el acceso a expedientes y la publicación de información se haga con criterios de proporcionalidad y protección de datos cuando corresponda.
Delegado de protección de datos y evaluaciones de impacto
En muchas entidades públicas, la figura del delegado de protección de datos es esencial como órgano asesor y de supervisión. Además, cuando se introducen sistemas con alto riesgo (por ejemplo, tecnologías de identificación, perfiles, analítica a gran escala), pueden ser necesarias evaluaciones de impacto y medidas reforzadas.
Ejemplos prácticos de aplicación
Un comercio con videovigilancia
- Debe tener una finalidad legítima (seguridad) y no grabar zonas innecesarias.
- Debe informar mediante cartelería y disponer de información ampliada.
- Debe limitar el acceso a las imágenes y aplicar medidas de seguridad.
Una empresa que envía newsletters
- Necesita una base jurídica (normalmente consentimiento o, en ciertos casos, interés legítimo con garantías).
- Debe permitir la baja sencilla y conservar pruebas del consentimiento.
- Debe informar de finalidades, plazos y derechos.
Un ayuntamiento que gestiona ayudas sociales
- Trata datos potencialmente sensibles o de especial impacto, por lo que debe aplicar medidas reforzadas.
- Debe informar con claridad en el procedimiento y limitar accesos por roles.
- Puede necesitar evaluación de impacto si introduce nuevos sistemas de análisis o perfiles.
Checklist rápido para entender si un tratamiento cumple
- ¿Está definida la finalidad? ¿Es legítima y específica.
- ¿Hay base jurídica correcta? Consentimiento, contrato, obligación legal, interés público, interés legítimo, etc.
- ¿Se informa adecuadamente? Identidad del responsable, derechos, plazos, destinatarios.
- ¿Se recogen solo los datos necesarios?
- ¿Existen medidas de seguridad proporcionales?
- ¿Hay contratos con encargados?
- ¿Se atienden derechos con un procedimiento claro?
- ¿Se han valorado riesgos y, si aplica, evaluación de impacto?
