Tema II.4. La protección de datos personales y su régimen jurídico. Derechos digitales

Bloque II. Actividad administrativa y atención al ciudadano. Cuerpo General Administrativo de la Administración del Estado (C1).

Enunciado oficial (Anexo III, BOE-A-2025-26262): «La protección de datos personales y su régimen Jurídico: principios, derechos, responsable y encargado del tratamiento, delegado y autoridades de protección de datos. Derechos digitales.»

Autoría	Equipo de contenidos TestMiOpo
Revisión jurídica	Pendiente de revisor colegiado
Última revisión	2 de septiembre de 2026
Norma de referencia	Reglamento (UE) 2016/679, general de protección de datos (RGPD). Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (BOE-A-2018-16673)
Convocatoria de referencia	Resolución de 18 de diciembre de 2025 (BOE-A-2025-26262)

---

1. Mapa del tema

LA PROTECCIÓN DE DATOS
│
├── PRINCIPIOS (RGPD art. 5)
│   ├── Licitud, lealtad y transparencia
│   ├── Limitación de la finalidad; minimización
│   ├── Exactitud; limitación del plazo de conservación
│   ├── Integridad y confidencialidad
│   └── RESPONSABILIDAD PROACTIVA (accountability)
│
├── DERECHOS (arts. 15-22)
│   └── Acceso, rectificación, supresión (olvido),
│       limitación, portabilidad, oposición, no decisiones
│       automatizadas
│
├── ACTORES
│   ├── Responsable (decide fines y medios)
│   ├── Encargado (trata por cuenta del responsable)
│   ├── Delegado de Protección de Datos (DPD)
│   └── AEPD y autoridades autonómicas
│
└── PIEZAS DE EXAMEN
    ├── Consentimiento: inequívoco; menores desde 14 años
    ├── Brechas: notificación a la autoridad en 72 horas
    ├── Multas hasta 20M€ / 4% (con la peculiaridad AAPP)
    └── DERECHOS DIGITALES (Título X LO 3/2018):
        desconexión, videovigilancia laboral, testamento
        digital, olvido en buscadores

---

2. Introducción y enfoque de estudio

Tema de dos pisos: el RGPD, directamente aplicable, pone los principios, los derechos y los actores; la LO 3/2018 adapta (edad de consentimiento, DPD obligatorios, régimen sancionador español) y añade el catálogo de derechos digitales. Para el Administrativo es también un tema de oficio: la información particular del II.1, los archivos del II.2 y la administración electrónica del II.3 tienen aquí su límite permanente.

Lo que se pregunta. Muy alto: la lista de principios del artículo 5 con la estrella de la responsabilidad proactiva, y el catálogo de derechos (con la portabilidad y la limitación como distractores cruzados). Alto: el par responsable/encargado, el DPD (cuándo es obligatorio, su posición), el consentimiento y sus reglas (los 14 años españoles), y las 72 horas de las brechas. Medio y creciente: los derechos digitales del Título X (desconexión, videovigilancia laboral con su información previa, testamento digital) y la arquitectura de autoridades. El pico de la serie: diciembre de 2024 metió tres preguntas de supuesto seguidas.

El dato de la serie que ordena el esfuerzo: nueve preguntas de test en ocho exámenes (alguna cae casi siempre) y un único supuesto con racimo. Es tema de tarjetas: principios, derechos, plazos y umbrales.

Por qué importa fuera del examen: el Administrativo maneja datos ajenos todo el día (padrones, nóminas, expedientes, registros), y las dos conductas que más expedientes disciplinarios reales generan en esta materia son el acceso por curiosidad a expedientes sin necesidad funcional y el comentario de datos de terceros fuera del servicio. Saber el tema es también saber no cometerlos.

El consejo de estudio. Cuatro tarjetas: el 5 (principios), el 15-22 (derechos), los tres actores con sus verbos (decide, trata por cuenta, supervisa) y los números (14, 72, 30 días de respuesta con prórroga, 20M/4%). El Título X se estudia como lista de titulares.

---

3. Qué se pregunta de este tema

Frecuencia medida sobre los ocho cuestionarios oficiales del C1 analizados en ANALISIS-FRECUENCIA.md (880 preguntas clasificadas, febrero de 2022 a julio de 2026).

Examen	Test	Supuestos
12 de febrero de 2022	1	0
Marzo de 2022 (extraordinario)	2	0
Septiembre de 2023	1	0
Octubre de 2023 (extraordinario)	0	0
Diciembre de 2024	1	3
Febrero de 2025 (extraordinario)	1	0
23 de mayo de 2026	1	0
Julio de 2026 (extraordinario)	2	0
Total	9	3

Con la regla de puntuación, 1,27 puntos de 100 por ejercicio: perfil de test constante (siete de los ocho exámenes) con un solo racimo de supuesto.

---

4. Desarrollo

4.1. El marco: RGPD y LO 3/2018

El Reglamento (UE) 2016/679 es directamente aplicable en toda la Unión desde el 25 de mayo de 2018: no necesita transposición, y sus definiciones y principios rigen por sí mismos. La LO 3/2018 lo complementa donde el RGPD deja margen y añade el Título X de derechos digitales, la aportación española propia. Dato personal es toda información sobre una persona física identificada o identificable (el identificable directo o indirecto: nombre, número, datos de localización, identificadores en línea, elementos de identidad física, genética, económica...); tratamiento, cualquier operación sobre datos (recogida, registro, conservación, consulta, comunicación, supresión...). Quedan fuera las personas jurídicas y los datos de fallecidos (con el acceso especial de los allegados y el testamento digital que la LO regula). Las categorías especiales (origen étnico, ideología, religión, afiliación sindical, salud, vida u orientación sexual, genéticos, biométricos para identificar) tienen tratamiento prohibido salvo las excepciones tasadas del artículo 9.

4.2. Los principios del artículo 5

La lista que cae literal, con su apellido técnico: licitud, lealtad y transparencia (tratados de manera lícita, leal y transparente); limitación de la finalidad (fines determinados, explícitos y legítimos, sin tratamiento ulterior incompatible); minimización de datos (adecuados, pertinentes y limitados a lo necesario); exactitud (exactos y actualizados, con supresión o rectificación sin dilación de los inexactos); limitación del plazo de conservación (identificables solo el tiempo necesario para los fines); integridad y confidencialidad (seguridad adecuada, protección contra tratamiento no autorizado, pérdida o destrucción); y la clave de bóveda: responsabilidad proactiva (accountability): el responsable debe cumplir y ser capaz de demostrarlo. De ella cuelgan las herramientas que el test enumera: registro de actividades de tratamiento, protección de datos desde el diseño y por defecto, evaluaciones de impacto (EIPD) ante alto riesgo, y la consulta previa a la autoridad.

La licitud (artículo 6) exige una base jurídica: consentimiento; ejecución de un contrato; obligación legal; intereses vitales; misión de interés público o poderes públicos (la base habitual de las Administraciones); o interés legítimo (que las autoridades públicas no pueden invocar en el ejercicio de sus funciones). El consentimiento debe ser libre, específico, informado e inequívoco, mediante declaración o clara acción afirmativa (el silencio y las casillas premarcadas no valen), revocable con la misma facilidad; y en España los menores pueden consentir desde los catorce años (LO 3/2018, artículo 7), por debajo, sus representantes.

4.3. Los derechos de las personas

El catálogo de los artículos 15 a 22, con la regla de tramitación transversal: gratuidad de principio y respuesta en el plazo de un mes, prorrogable dos más por complejidad. Acceso (15): saber si se tratan datos propios, cuáles, para qué, cuánto tiempo, a quién se comunican, y obtener copia. Rectificación (16): de los inexactos, y compleción de los incompletos. Supresión, «derecho al olvido» (17): cuando ya no sean necesarios, se retire el consentimiento, el tratamiento sea ilícito o prospere la oposición, con las excepciones (libertad de expresión e información, obligación legal, interés público, archivo, defensa de reclamaciones). Limitación del tratamiento (18): congelar los datos (solo conservación) mientras se discute su exactitud o la oposición, o cuando el interesado los necesite para reclamar. Portabilidad (20): recibir los datos facilitados en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable, cuando el tratamiento se base en consentimiento o contrato y se efectúe por medios automatizados (por eso no juega, en general, frente a las Administraciones). Oposición (21): por motivos de la situación particular del interesado, frente a tratamientos en interés público o interés legítimo, y siempre frente a la mercadotecnia directa. No ser objeto de decisiones individuales automatizadas (22), incluida la elaboración de perfiles, con efectos jurídicos o significativos, salvo contrato, norma habilitante o consentimiento explícito, y con derecho a intervención humana. La vía de garantía: reclamación ante la AEPD y ulterior contencioso, sin perjuicio de la tutela judicial directa y de la indemnización por daños (el fundamento constitucional del conjunto: las SSTC 254/1993 y 292/2000).

4.4. Responsable, encargado y delegado de protección de datos

Responsable del tratamiento: quien decide los fines y medios; suya es la responsabilidad proactiva, el registro de actividades, las medidas técnicas y organizativas, la notificación de brechas y la atención de los derechos. Encargado del tratamiento: quien trata datos por cuenta del responsable (la gestoría, la empresa de nóminas, el proveedor en la nube), vinculado por contrato de encargo con el contenido tasado del artículo 28 (instrucciones documentadas, confidencialidad, seguridad, subencargos autorizados, devolución o supresión al término); no decide fines: quien los decide de facto se convierte en responsable. Delegado de protección de datos (DPD): figura de supervisión interna, obligatoria para autoridades y organismos públicos (siempre, salvo tribunales en función judicial), y para quienes realicen observación habitual y sistemática a gran escala o traten categorías especiales a gran escala; la LO 3/2018 (artículo 34) añade su propia lista de obligados españoles (colegios profesionales, centros docentes, sanitarios...). Su posición: designado por sus cualidades profesionales, informa y asesora, supervisa el cumplimiento, coopera con la autoridad y es su punto de contacto; no puede ser removido ni sancionado por el desempeño de sus funciones, no recibe instrucciones sobre ellas, reporta al más alto nivel y puede ser interno o externo; su designación se comunica a la autoridad de control. La trampa de concepto: el DPD no responde personalmente del cumplimiento: la responsabilidad sigue siendo del responsable o encargado.

Las brechas de seguridad: el responsable las notifica a la autoridad de control sin dilación indebida y, de ser posible, dentro de las 72 horas, salvo improbabilidad de riesgo; y las comunica al interesado sin dilación cuando entrañen alto riesgo para sus derechos. El encargado avisa al responsable sin dilación.

4.5. Las autoridades de protección de datos y el régimen sancionador

La Agencia Española de Protección de Datos (AEPD) es la autoridad de control estatal: autoridad administrativa independiente, con potestades de investigación, correctivas y de autorización, que atiende reclamaciones, impone sanciones y coopera en el sistema europeo (el mecanismo de coherencia y el Comité Europeo de Protección de Datos). Coexisten las autoridades autonómicas (las históricas: Cataluña y País Vasco, más las creadas después) con competencia sobre sus sectores públicos. Las multas del RGPD llegan a 10 millones de euros o el 2% del volumen de negocio mundial (infracciones del primer grupo) y a 20 millones o el 4% (principios, derechos, transferencias); pero a las Administraciones Públicas españolas la LO 3/2018 (artículo 77) les aplica el régimen especial: apercibimiento y medidas, sin multa, con publicidad de la resolución, posible exigencia de responsabilidad disciplinaria al personal (la costura con el IV.6) e informe al Defensor del Pueblo. Los plazos de prescripción y la graduación cierran el título sancionador.

4.6. Los derechos digitales del Título X

La lista de titulares que el test pide reconocer: neutralidad de la red y acceso universal a Internet; seguridad y educación digital; protección de los menores en Internet; derecho de rectificación y de actualización de informaciones en medios digitales; derecho al olvido en búsquedas de Internet y en redes sociales; portabilidad en redes; testamento digital (el acceso de allegados y albaceas a los contenidos del fallecido, salvo prohibición expresa). Y el bloque laboral, el más preguntado por su eco funcionarial (aplicable también al empleo público): derecho a la intimidad en el uso de dispositivos digitales puestos a disposición por el empleador (acceso empresarial solo con criterios de uso predeterminados y garantías); derecho a la desconexión digital fuera del tiempo de trabajo, con política interna previa negociada; derecho a la intimidad frente a la videovigilancia y grabación de sonidos en el trabajo (información previa, expresa, clara y concisa; la captación laboral flagrante con el matiz del deber de información que la STC 39/2016 perfiló); y frente a la geolocalización (información expresa sobre su existencia y los derechos). La negociación colectiva puede mejorar el suelo legal.

4.7. Puente con el resto del programa

La protección de datos es la ley transversal del bloque II, y sus costuras dan pregunta. Con el II.1: la información particular sobre procedimientos solo llega a los interesados porque los datos del expediente son de su titular; contarle el expediente a un tercero es a la vez infracción del RD 208/1996 y tratamiento ilícito. Con el II.2: el archivo conserva datos personales bajo la limitación del plazo, y el acceso de terceros e investigadores se pondera con los límites que las SSTC 254/1993 y 292/2000 fundaron; el expurgo reglado es también una forma de cumplimiento del principio de conservación. Con el II.3: la administración electrónica multiplica los tratamientos (sedes, plataformas de intermediación, notificaciones), y la interoperabilidad entre Administraciones vive bajo la regla de la cesión con base normativa precisa. Con el IV.6: en el sector público, la infracción de datos no acaba en multa sino en apercibimiento del artículo 77 más el posible expediente disciplinario del empleado que curioseó o filtró: el acceso indebido a expedientes por personal es de los supuestos disciplinarios más reales de la práctica. Con el III.2: la publicación de actos con datos personales (listas de aprobados, sanciones) exige la minimización que las guías de la AEPD imponen a la publicación del artículo 45. El opositor que trae estos hilos cosidos responde el supuesto transversal sin abrir la ley.

---

5. Jurisprudencia esencial

Cuatro sentencias del Tribunal Constitucional comprobadas contra su publicación oficial, verificadas para este manual.

STC 254/1993, de 20 de julio (BOE núm. 197, de 18 de agosto de 1993). El habeas data fundacional: del artículo 18.4 de la Constitución nace un derecho del ciudadano a conocer los datos personales que la Administración guarda sobre él; la denegación de esa información vulnera el derecho fundamental.

STC 292/2000, de 30 de noviembre (BOE núm. 4, de 4 de enero de 2001). La protección de datos como derecho fundamental autónomo, distinto de la intimidad: su contenido esencial son los poderes de disposición y control (consentimiento e información), y las cesiones entre Administraciones sin previsión legal precisa son inconstitucionales. La sentencia madre del sistema.

STC 39/2016, de 3 de marzo (BOE núm. 85, de 8 de abril de 2016). Videovigilancia laboral: la instalación de cámaras ante sospechas fundadas de incumplimiento no exige información específica singularizada cuando existe el aviso general de zona videovigilada, ponderando el deber de información con la finalidad de control; el precedente que el artículo 89 de la LO 3/2018 codificó con matices.

STC 76/2019, de 22 de mayo (BOE núm. 151, de 25 de junio de 2019). Anuló el artículo 58 bis.1 de la LOREG (introducido por la propia LO 3/2018), que permitía a los partidos recopilar opiniones políticas de los ciudadanos: los datos ideológicos son el núcleo duro de las categorías especiales y la habilitación carecía de las garantías exigibles. La lección: ni el legislador orgánico puede abrir esa puerta sin salvaguardas.

---

6. Tabla resumen

Cuestión	Regla	Fuente
Dato personal	información sobre persona física identificada o identificable	RGPD, art. 4
Principios	licitud-lealtad-transparencia, finalidad, minimización, exactitud, conservación limitada, integridad-confidencialidad, responsabilidad proactiva	art. 5
Bases de licitud	consentimiento, contrato, obligación legal, intereses vitales, interés público, interés legítimo (vedado a AAPP en sus funciones)	art. 6
Consentimiento	libre, específico, informado, inequívoco; acción afirmativa; revocable	arts. 4.11 y 7
Edad de consentimiento	14 años en España	LO 3/2018, art. 7
Categorías especiales	prohibición con excepciones tasadas	art. 9
Derechos	acceso, rectificación, supresión, limitación, portabilidad, oposición, no automatización	arts. 15-22
Plazo de respuesta	un mes, prorrogable dos más por complejidad	art. 12
Portabilidad	consentimiento o contrato + medios automatizados; formato estructurado	art. 20
Oposición a mercadotecnia	incondicionada	art. 21.2
Responsable	decide fines y medios; accountability	art. 4.7
Encargado	trata por cuenta del responsable; contrato del art. 28	arts. 4.8 y 28
DPD	obligatorio en el sector público; independiente, protegido, punto de contacto; no responde personalmente	arts. 37-39 y LO 3/2018, art. 34
Brechas	a la autoridad en 72 horas; al interesado si alto riesgo	arts. 33 y 34
EIPD	ante alto riesgo; consulta previa en su caso	arts. 35 y 36
AEPD	autoridad independiente estatal; autonómicas para sus sectores públicos	LO 3/2018
Multas	hasta 10M/2% y 20M/4%	art. 83
AAPP españolas	apercibimiento sin multa, publicidad, posible disciplinario	LO 3/2018, art. 77
Derechos digitales	Título X: desconexión, dispositivos, videovigilancia con información previa, geolocalización, olvido, testamento digital	LO 3/2018, arts. 79-97

---

7. Trampas de examen

1. «El RGPD necesitó transposición». Es un REGLAMENTO europeo: directamente aplicable desde el 25 de mayo de 2018. La LO 3/2018 complementa y desarrolla, no transpone.

2. «Los datos de las sociedades mercantiles están protegidos por el RGPD». Solo las PERSONAS FÍSICAS. Los datos de contacto de empresarios individuales y empleados tienen su regla especial, pero la persona jurídica como tal queda fuera.

3. «La responsabilidad proactiva es cumplir la ley». Es cumplir Y PODER DEMOSTRARLO: registro de actividades, diseño y defecto, EIPD. La palabra clave es la demostración.

4. «Las Administraciones tratan datos por interés legítimo». Las autoridades públicas NO pueden invocar el interés legítimo en el ejercicio de sus funciones: su base es la misión de interés público o el ejercicio de poderes públicos (y la obligación legal).

5. «El consentimiento tácito vale si se informa bien». El consentimiento exige declaración o CLARA ACCIÓN AFIRMATIVA: ni silencio, ni inactividad, ni casillas premarcadas. Inequívoco o nada.

6. «Los menores consienten a los 16 años en España». El RGPD fija 16 por defecto PERO permite bajar hasta 13; España eligió CATORCE (LO 3/2018, art. 7).

7. «La portabilidad se ejerce frente a cualquier responsable». Exige base de CONSENTIMIENTO O CONTRATO y tratamiento AUTOMATIZADO: frente a la Administración que trata por interés público, en general no procede. El distractor cruzado con el acceso.

8. «El derecho al olvido es absoluto». La supresión cede ante la libertad de expresión e información, las obligaciones legales, el interés público, el archivo y la defensa de reclamaciones (17.3). Olvido con excepciones.

9. «El DPD responde de las infracciones». El DPD informa, asesora y supervisa; la responsabilidad es del RESPONSABLE o del ENCARGADO. Y no puede ser removido ni sancionado por ejercer sus funciones.

10. «Las brechas se notifican al interesado siempre y a la autoridad en un mes». A la AUTORIDAD sin dilación y a ser posible en 72 HORAS (salvo improbabilidad de riesgo); al INTERESADO solo cuando haya ALTO riesgo.

11. «La AEPD multa a los ministerios como a las empresas». A las AAPP se les aplica el artículo 77: APERCIBIMIENTO y medidas, sin multa, con publicidad y posible expediente disciplinario al personal. La multa millonaria es para el sector privado.

12. «La videovigilancia laboral exige consentimiento de los trabajadores». Exige INFORMACIÓN previa, expresa, clara y concisa (no consentimiento: la base es el control empresarial legítimo), con los matices de la STC 39/2016 y del artículo 89; y los sonidos, solo ante riesgos relevantes.

13. «La desconexión digital es una cortesía de la empresa». Es un DERECHO del artículo 88, también para los empleados públicos, con política interna previa audiencia o negociación de los representantes.

14. «Los datos de los fallecidos siguen protegidos por el RGPD». El RGPD no se les aplica; la LO 3/2018 articula el acceso de allegados y el TESTAMENTO DIGITAL, salvo prohibición expresa del causante.

---

8. Reglas mnemotécnicas

«LiFiMi ExCo InRe»: Licitud, Finalidad, Minimización, Exactitud, Conservación, Integridad, Responsabilidad proactiva: los siete principios del artículo 5.

«CCOIVI» para las bases del 6: Consentimiento, Contrato, Obligación legal, Interés vital, interés público (VI de vida pública), Interés legítimo (nunca para la Administración en sus funciones).

«ARSLPO + no robot»: Acceso, Rectificación, Supresión, Limitación, Portabilidad, Oposición, y no decisiones automatizadas.

«El responsable decide, el encargado ejecuta, el delegado vigila»: los tres actores en tres verbos.

«Los tres relojes del dato»: setenta y dos horas para la brecha, un mes para los derechos, y la conservación solo mientras dure la finalidad: quien vigila los tres relojes no incumple casi nada.

«14 consiente, 72 notifica, 1 mes responde»: la edad española, el reloj de las brechas y el plazo de los derechos.

«20 y 4, salvo la Administración, que se lleva el sermón»: los topes de multa y el apercibimiento del 77.

«Cumplir y poder probarlo»: la responsabilidad proactiva en cinco palabras.

«Primero la base, luego el dato»: antes de recoger o ceder, nombrar la base del artículo 6; el tratamiento sin base identificada es la infracción origen de casi todas las demás.

«El expediente se mira por oficio, no por curiosidad»: el acceso del empleado a datos que no necesita para su función es tratamiento ilícito y falta disciplinaria: la trampa de la vida real.

«La cámara avisa, no pide permiso»: videovigilancia laboral con información previa, sin consentimiento (STC 39/2016 y art. 89).

---

9. Aplicación práctica

Caso 1. El listado que pidió el ayuntamiento

Un ayuntamiento pide a una Subdelegación el listado completo de perceptores de una ayuda estatal en el municipio, «para cruzarlo con sus padrones y detectar fraudes». La unidad duda, y el funcionario que atiende pregunta si necesita el consentimiento de los siete mil afectados.

Resolución. El problema no es el consentimiento (base impracticable e innecesaria en el sector público) sino la licitud de la cesión: una comunicación de datos entre Administraciones para una finalidad distinta de la que motivó la recogida exige norma con rango adecuado que la prevea con precisión, o el encaje en las excepciones legales; la doctrina de la STC 292/2000 anuló precisamente las cesiones interadministrativas en blanco. Procede: identificar la base jurídica concreta del cruce (la normativa de subvenciones y de lucha contra el fraude la ofrece para supuestos determinados), aplicar minimización (no el listado completo: los campos necesarios), documentar la cesión (accountability), y consultar al DPD del departamento antes de responder. La respuesta de ventanilla («pídalo con norma y con campos tasados, informado el DPD») vale una pregunta de supuesto entera.

Caso 2. El portátil perdido

Un empleado pierde en el tren un portátil de trabajo sin cifrar con una base de datos de expedientes de personal (datos identificativos, nóminas y algún informe médico). Ocurrió un viernes; el lunes lo cuenta a su jefe, que pregunta «si hay que decírselo a alguien».

Resolución. Es una brecha de seguridad (pérdida de disponibilidad y confidencialidad) con categorías especiales (salud) dentro: el reloj de las 72 horas para notificar a la AEPD corre desde que el responsable tuvo constancia, y el relato interno tardío ya compromete el plazo: se notifica sin dilación explicando la demora. Con datos médicos y retributivos de plantilla, el alto riesgo es defendible: procede además la comunicación a los interesados sin dilación indebida, con lenguaje claro y medidas recomendadas. Hacia dentro: registro documental de la brecha (aunque no se notificara), análisis con el DPD, medidas correctivas (cifrado, políticas de extracción de datos) y, siendo Administración, el horizonte del artículo 77 (apercibimiento, publicidad, posible disciplinario por la negligencia: la costura con el IV.6). La lección doble: el cifrado habría degradado la brecha, y el silencio del fin de semana es el verdadero error.

Caso 3. Las cámaras del registro

Una oficina de asistencia quiere instalar cámaras con sonido «para proteger al personal de incidentes», usar las imágenes también para controlar la puntualidad de los empleados, y publicar en la web capturas de los usuarios conflictivos. El DPD recibe la consulta.

Resolución. Tres finalidades, tres respuestas. La videovigilancia de seguridad es lícita con información previa (el distintivo y la información del artículo 22 de la LO 3/2018), conservación limitada (la referencia legal: supresión en el plazo máximo de un mes salvo incidentes) y proporcionalidad; el sonido exige un plus: solo ante riesgos relevantes para la seguridad, no como ambiente permanente. El control laboral con las mismas cámaras exige la información previa, expresa, clara y concisa a los empleados y sus representantes del artículo 89 (la finalidad de control no se presume: la STC 39/2016 y su codificación); usar para puntualidad las cámaras anunciadas solo como seguridad vulnera la limitación de la finalidad. Y la publicación de capturas de usuarios es una comunicación de datos sin base: ilícita de plano, además de sancionable. El caso enseña el método del DPD: finalidad por finalidad, base por base, información por información.

Caso 4. El opositor que quiso saberlo todo

Tras suspender, un opositor pide a la Administración convocante: copia de sus propios datos y de su examen; la supresión inmediata de todos sus datos «porque retiró el consentimiento»; y la lista con nombres y notas de todos los aprobados, «por transparencia».

Resolución. Tres peticiones, tres reglas. El acceso (15) ampara la copia de sus datos y de su ejercicio, con respuesta en un mes (prorrogable): derecho suyo indiscutible. La supresión fracasa: el tratamiento no se basa en su consentimiento sino en la misión de interés público (el proceso selectivo), y la Administración debe conservar el expediente por obligación legal y defensa ante reclamaciones (17.3): retirar un consentimiento que nunca fue la base no borra nada. La lista de aprobados no es petición de protección de datos sino de publicidad del procedimiento: los procesos selectivos publican sus resultados conforme a sus bases (la publicación del 45 de la Ley 39/2015, tema III.2), con los criterios de minimización en los medios de publicación que las guías de la AEPD imponen (identificación suficiente sin datos excesivos). El remate conceptual: los derechos del RGPD no son un botón de borrado universal; cada uno tiene su supuesto, su base enfrente y sus excepciones.

---

10. Preguntas de test

Treinta preguntas de redacción propia, con respuesta y explicación. Ninguna reproduce enunciados de cuestionarios oficiales.

1. El RGPD es:

a) Una directiva pendiente de transposición.

b) Un reglamento europeo directamente aplicable.

c) Una recomendación.

d) Una ley española.

Respuesta: b. Aplicable desde el 25 de mayo de 2018 sin transposición.

2. El RGPD protege los datos de:

a) Personas físicas y jurídicas.

b) Personas físicas identificadas o identificables.

c) Solo ciudadanos de la UE de nacimiento.

d) Las empresas.

Respuesta: b. La persona jurídica queda fuera.

3. NO es un principio del artículo 5:

a) Minimización de datos.

b) Conservación ilimitada.

c) Exactitud.

d) Integridad y confidencialidad.

Respuesta: b. El principio es la LIMITACIÓN del plazo de conservación.

4. La responsabilidad proactiva consiste en:

a) Contestar rápido.

b) Cumplir el Reglamento y ser capaz de demostrarlo.

c) Tener seguro.

d) Delegar en el encargado.

Respuesta: b. Accountability: la clave de bóveda del sistema.

5. Las Administraciones Públicas, en el ejercicio de sus funciones, NO pueden basar sus tratamientos en:

a) La obligación legal.

b) El interés legítimo.

c) La misión de interés público.

d) El consentimiento.

Respuesta: b. Exclusión expresa del artículo 6.1 in fine.

6. El consentimiento exige:

a) Silencio informado.

b) Declaración o clara acción afirmativa: libre, específico, informado e inequívoco.

c) Casillas premarcadas.

d) Documento notarial.

Respuesta: b. Artículos 4.11 y 7 del RGPD.

7. En España, los menores pueden consentir el tratamiento de sus datos desde los:

a) 16 años.

b) 14 años.

c) 12 años.

d) 18 años.

Respuesta: b. LO 3/2018, artículo 7.

8. Son categorías especiales de datos:

a) El correo postal.

b) Ideología, religión, afiliación sindical, salud, vida sexual, genéticos y biométricos identificativos.

c) El número de expediente.

d) La matrícula del coche.

Respuesta: b. Artículo 9: prohibición con excepciones tasadas.

9. El plazo general para responder al ejercicio de un derecho es de:

a) 72 horas.

b) Un mes, prorrogable dos más por complejidad.

c) Seis meses.

d) Diez días.

Respuesta: b. Artículo 12 del RGPD.

10. El derecho de acceso permite obtener:

a) Solo el nombre del responsable.

b) Confirmación del tratamiento, la información sobre él y copia de los datos.

c) Los datos de terceros.

d) Una indemnización automática.

Respuesta: b. Artículo 15.

11. El derecho al olvido cede ante:

a) Nada.

b) La libertad de expresión e información, las obligaciones legales, el interés público y la defensa de reclamaciones.

c) El pago de una tasa.

d) La antigüedad del dato.

Respuesta: b. Artículo 17.3.

12. La limitación del tratamiento supone:

a) Borrar los datos.

b) Congelarlos: solo conservación mientras se resuelve la controversia.

c) Cifrarlos.

d) Publicarlos.

Respuesta: b. Artículo 18.

13. La portabilidad procede cuando:

a) Siempre.

b) La base es consentimiento o contrato y el tratamiento es automatizado.

c) Lo ordena el alcalde.

d) Los datos son públicos.

Respuesta: b. Artículo 20: por eso no juega, en general, frente a las AAPP.

14. La oposición a la mercadotecnia directa:

a) Exige justificar motivos.

b) Es incondicionada: basta oponerse.

c) No existe.

d) Cuesta 10 euros.

Respuesta: b. Artículo 21.2.

15. El responsable del tratamiento es quien:

a) Teclea los datos.

b) Determina los fines y medios del tratamiento.

c) Guarda el servidor.

d) Firma el contrato de limpieza.

Respuesta: b. Artículo 4.7.

16. El encargado del tratamiento:

a) Decide los fines.

b) Trata los datos por cuenta del responsable, vinculado por el contrato del artículo 28.

c) Es siempre una Administración.

d) No necesita contrato.

Respuesta: b. Si decide fines de facto, muta en responsable.

17. El DPD es obligatorio:

a) Solo en bancos.

b) En las autoridades y organismos públicos, y en los supuestos de gran escala del RGPD más la lista de la LO 3/2018.

c) En toda pyme.

d) Nunca.

Respuesta: b. Artículos 37 del RGPD y 34 de la LO 3/2018.

18. El DPD:

a) Responde de las multas.

b) Informa, asesora, supervisa y es punto de contacto, sin poder ser removido ni sancionado por sus funciones.

c) Sustituye a la AEPD.

d) Debe ser funcionario.

Respuesta: b. Posición garantizada de los artículos 38 y 39.

19. Las brechas de seguridad se notifican a la autoridad de control:

a) En un mes.

b) Sin dilación indebida y, de ser posible, dentro de las 72 horas.

c) Solo si hay multa.

d) Cada trimestre.

Respuesta: b. Artículo 33; al interesado, solo con alto riesgo (34).

20. La evaluación de impacto (EIPD) procede:

a) En todo tratamiento.

b) Cuando el tratamiento entrañe probablemente un alto riesgo para los derechos y libertades.

c) Solo en sanidad.

d) A petición del interesado.

Respuesta: b. Artículo 35, con consulta previa en su caso.

21. La AEPD es:

a) Un órgano del Ministerio de Justicia.

b) Una autoridad administrativa independiente.

c) Una empresa pública.

d) Un juzgado.

Respuesta: b. Con potestades de investigación, corrección y sanción.

22. Los topes de multa del RGPD alcanzan:

a) 600.000 euros.

b) 20 millones de euros o el 4% del volumen de negocio anual mundial.

c) 3.000 euros.

d) No hay multas.

Respuesta: b. Artículo 83; el primer grupo, 10M/2%.

23. A las Administraciones Públicas españolas, la infracción les acarrea:

a) Multa millonaria.

b) Apercibimiento con medidas, publicidad de la resolución y posible responsabilidad disciplinaria del personal.

c) Disolución.

d) Nada.

Respuesta: b. LO 3/2018, artículo 77.

24. El derecho a la desconexión digital:

a) Es solo del sector privado.

b) Corresponde también a los empleados públicos, con política interna previa.

c) No existe en España.

d) Depende del jefe.

Respuesta: b. Artículo 88 de la LO 3/2018.

25. La videovigilancia laboral exige:

a) Consentimiento de cada trabajador.

b) Información previa, expresa, clara y concisa a trabajadores y representantes.

c) Autorización judicial.

d) Cámaras ocultas.

Respuesta: b. Artículo 89, con la doctrina de la STC 39/2016.

26. El testamento digital regula:

a) Las herencias de criptomonedas.

b) El acceso de allegados y albaceas a los contenidos digitales del fallecido, salvo prohibición expresa.

c) El borrado automático al morir.

d) Los testamentos por videollamada.

Respuesta: b. El RGPD no cubre a los fallecidos; la LO 3/2018 sí articula esto.

27. La STC 292/2000 declaró que la protección de datos:

a) Es parte de la intimidad sin autonomía.

b) Es un derecho fundamental autónomo cuyo contenido esencial son el consentimiento y la información.

c) Solo vincula a las empresas.

d) Carece de rango constitucional.

Respuesta: b. La sentencia madre del sistema.

28. La STC 76/2019 anuló:

a) El RGPD.

b) La habilitación a los partidos políticos para recopilar opiniones políticas (58 bis LOREG).

c) La AEPD.

d) El testamento digital.

Respuesta: b. Los datos ideológicos son núcleo duro y la norma carecía de garantías.

29. Comunicar datos entre Administraciones para fines distintos exige:

a) Una llamada entre jefes.

b) Previsión normativa precisa o encaje en las excepciones legales, con minimización.

c) Nada: son todas la misma Administración.

d) Pagar un canon.

Respuesta: b. La doctrina de la STC 292/2000 sobre cesiones.

30. La síntesis del tema es:

a) Los datos son libres.

b) Siete principios con la accountability como clave, siete derechos con el mes de respuesta, tres actores con sus verbos, 14-72-20M/4% como números, apercibimiento para las AAPP y el Título X como catálogo digital español.

c) Todo exige consentimiento.

d) Solo la AEPD trata datos.

Respuesta: b. El tema entero en sus tarjetas.

---

11. Preguntas de estilo examen

Sobre un supuesto continuo, imitando el encadenado del examen real.

Supuesto de contexto. En un organismo público: (1) se detecta el acceso indebido de un tercero al servidor de nóminas un lunes a las 9:00; (2) un ciudadano ejerce el derecho de acceso y pide además que se borren sus datos de un expediente sancionador en tramitación; (3) el gerente propone contratar una empresa para digitalizar expedientes «sin papeles, con un apretón de manos»; y (4) el sindicato pregunta si el nuevo sistema de geolocalización de los vehículos oficiales es legal.

31. El acceso indebido al servidor:

a) Se archiva internamente.

b) Es una brecha: notificación a la AEPD sin dilación y a ser posible en 72 horas desde la constancia, y a los afectados si hay alto riesgo.

c) Se comunica a los tres meses.

d) Solo se notifica si hay multa.

Respuesta: b. Artículos 33 y 34.

32. El derecho de acceso del ciudadano:

a) Se deniega por estar en un sancionador.

b) Se atiende en un mes con la información y copia de sus datos, sin perjuicio de los límites del expediente.

c) Se cobra.

d) Se remite al juzgado.

Respuesta: b. Artículos 12 y 15.

33. La supresión de sus datos del expediente en tramitación:

a) Procede de inmediato.

b) No procede: la conservación se ampara en la obligación legal y la tramitación del procedimiento (17.3).

c) Procede pagando.

d) La decide el DPD.

Respuesta: b. El olvido no borra expedientes vivos.

34. La digitalizadora contratada de palabra:

a) Es válida.

b) Necesita el contrato de encargo del artículo 28, con instrucciones, confidencialidad, seguridad y destino final de los datos.

c) Solo necesita factura.

d) Convierte a la empresa en responsable.

Respuesta: b. Sin contrato de encargo no hay encargo lícito.

35. La geolocalización de los vehículos:

a) Está prohibida.

b) Es admisible para funciones de control con información expresa a empleados y representantes sobre su existencia y derechos.

c) Exige consentimiento individual.

d) Solo cabe con detective.

Respuesta: b. Artículo 90 de la LO 3/2018.

---

12. Fuentes oficiales citadas

Fuente	Referencia	Enlace
Reglamento general de protección de datos	Reglamento (UE) 2016/679, DOUE L 119	https://eur-lex.europa.eu/eli/reg/2016/679/oj
Protección de datos y derechos digitales	Ley Orgánica 3/2018, de 5 de diciembre, BOE-A-2018-16673	https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673
Habeas data	STC 254/1993, de 20 de julio, BOE núm. 197 de 18/08/1993	https://hj.tribunalconstitucional.es/es-ES/Resolucion/Show/2383
Derecho fundamental autónomo	STC 292/2000, de 30 de noviembre, BOE núm. 4 de 04/01/2001	https://hj.tribunalconstitucional.es/es-ES/Resolucion/Show/4276
Videovigilancia laboral	STC 39/2016, de 3 de marzo, BOE núm. 85 de 08/04/2016	https://hj.tribunalconstitucional.es/es-ES/Resolucion/Show/24843
Datos ideológicos y partidos	STC 76/2019, de 22 de mayo, BOE núm. 151 de 25/06/2019	https://hj.tribunalconstitucional.es/es-ES/Resolucion/Show/25942
Convocatoria vigente del Cuerpo General Administrativo	Resolución de 18 de diciembre de 2025, BOE-A-2025-26262	https://www.boe.es/diario_boe/txt.php?id=BOE-A-2025-26262
Cuestionarios oficiales usados en el análisis de frecuencia	Comisión Permanente de Selección, INAP	https://www.inap.es/es/seleccion/procesos-selectivos-de-cuerposescalas-generales/cuerpo-general-administrativo-de-la-administracion-del-estado

---

13. Control de calidad de este tema

• [x] Enunciado oficial del Anexo III reproducido literalmente en la cabecera.
• [x] LO 3/2018 verificada por su BOE-id con curl contra el título oficial; el RGPD citado por su referencia DOUE oficial.
• [x] Frecuencia medida tomada de ANALISIS-FRECUENCIA.md: 9 preguntas de test y 3 de supuesto, 1,27 puntos, presente en siete de los ocho tests.
• [x] Cuatro sentencias del Tribunal Constitucional verificadas: STC 39/2016 (HJ 24843) y STC 76/2019 (HJ 25942) localizadas y comprobadas para este tema; 254/1993 y 292/2000 ya verificadas en este manual.
• [x] 30 preguntas de test más 5 de estilo examen, con respuesta explicada.
• [x] 14 trampas de examen.
• [x] Cuatro casos de aplicación práctica, con el portátil perdido como retrato del tema.
• [x] Ninguna pregunta reproduce enunciados de cuestionarios oficiales; redacción íntegramente propia.
• [x] Sin rayas tipográficas; comprobado con grep.