Tema 11 · Nivel B
Protección de datos
«Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. TÍTULOS del I al VIII.»
Escuchar este tema
53 min de narración. Es el desarrollo del tema, sin las preguntas de test. Sigue sonando mientras lees el PDF.
Tema 11. Protección de datos
Escala de Cabos y Guardias del Cuerpo de la Guardia Civil. Ingreso directo.
Enunciado oficial (Resolución de 26 de junio de 2019 de la Dirección General de la Guardia Civil, modificada el 3 de octubre de 2022 y actualizada el 29 de mayo de 2023), bloque único: «Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. TÍTULOS del I al VIII.»
| Autoría | Equipo de contenidos TestMiOpo |
|---|---|
| Revisión jurídica | Pendiente de revisor colegiado |
| Última revisión | 13 de septiembre de 2026 |
| Normas de referencia | Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE-A-2018-16673), títulos I a VIII, artículos 1 a 69 y 53 bis, texto consolidado con última actualización publicada el 27 de diciembre de 2025 (artículo 23 modificado por la Ley 10/2025, de 26 de diciembre; artículos 48.2, 50 y 64 a 67 modificados y 53 bis añadido por la Ley 11/2023, de 8 de mayo; artículos 2 y 44.3 modificados por la Ley Orgánica 7/2021, de 26 de mayo; artículo 24 modificado por la Ley 2/2023, de 20 de febrero). Reglamento (UE) 2016/679, de 27 de abril de 2016, al que la ley remite en cada título |
| Convocatoria de referencia | Resolución 160/38243/2026, de 5 de mayo (BOE-A-2026-9982) |
1. Mapa del tema
LO 3/2018, TITULOS I A VIII (ARTS. 1 A 69 Y 53 BIS): CUATRO PREGUNTAS MEDIDAS (2 + 2), TODAS SOBRE EL TITULO VII
|
+-------------------------------------------+-------------------------------------------+
| |
TITULOS I A VI: LAS REGLAS DEL TRATAMIENTO (arts. 1-43) TITULOS VII Y VIII: LA AGENCIA Y SUS PROCEDIMIENTOS (arts. 44-69)
| |
T. I GENERALES (1-3): objeto: adaptar al RGPD y garantizar T. VII CAP. I AEPD (44-56): AUTORIDAD ADMINISTRATIVA
derechos digitales, art. 18.4 CE (1); ambito: automatizado o INDEPENDIENTE (Ley 40/2015), se relaciona con el Gobierno
fichero; excluidos fallecidos, materias clasificadas (2); por el MINISTERIO DE JUSTICIA, representante comun en
FALLECIDOS: familiares y herederos, salvo prohibicion (3) el Comite Europeo; colabora con CGPJ y FISCALIA (44);
T. II PRINCIPIOS (4-10): exactitud no imputable (4); ESTATUTO por el GOBIERNO a propuesta de la Agencia (45.2);
CONFIDENCIALIDAD, subsiste tras la relacion (5); presupuesto: 3 % Presidencia, 5 % Hacienda, resto
consentimiento libre, especifico, informado, inequivoco (6); Gobierno (46); PRESIDENCIA + ADJUNTO: Gobierno a propuesta
MENORES: 14 ANOS (7); obligacion legal e interes publico: de Justicia, Comision de Justicia 3/5 o mayoria absoluta,
norma con rango de ley (8); categorias especiales: el solo 5 ANOS renovable una vez, cese tasado, recurso ante la
consentimiento no basta para ideologia, sindicato, religion, AUDIENCIA NACIONAL (48); CONSEJO CONSULTIVO: 15 letras a-ñ,
orientacion sexual, creencias, origen (9); datos penales: EXPERTO = conocimientos ESPECIALIZADOS, orden del Ministro
norma de la Union o ley; abogados y procuradores (10) de Justicia, UNA VEZ AL SEMESTRE, NO VINCULANTE (49);
T. III DERECHOS (11-18): informacion basica por capas (11); publicidad de resoluciones (50); investigacion: funcionarios
ejercicio directo o por representante, GRATUITO, prueba del = AGENTES DE LA AUTORIDAD (51); deber de colaboracion, datos
responsable, patria potestad < 14 (12); ACCESO: repetitivo de operadores (52); alcance, DOMICILIO con consentimiento o
si > 1 vez en 6 MESES, sistema remoto (13); rectificacion autorizacion judicial, organos judiciales via CGPJ (53);
(14); supresion (15); limitacion (16); portabilidad (17); sistemas digitales, conformidad del inspeccionado (53 bis);
oposicion y decisiones automatizadas (18) PLANES DE AUDITORIA: directrices obligatorias (54);
T. IV TRATAMIENTOS CONCRETOS (19-27): contacto profesional (19); CIRCULARES: obligatorias al publicarse en el BOE (55);
MOROSOS: 5 ANOS, bloqueo 30 DIAS (20); operaciones mercantiles accion exterior, ambito iberoamericano (56)
(21); VIDEOVIGILANCIA: supresion 1 MES, a disposicion en 72 T. VII CAP. II AUTONOMICAS (57-62): sector publico autonomico
HORAS, cartel informativo, domicilio excluido, FCS por la y local (57); reuniones SEMESTRALES (58); requerimiento de la
Directiva 2016/680 (22); exclusion publicitaria (23); AEPD: 1 MES, luego contencioso (59); comunicaciones con el
informantes (24); estadistica (25); archivo (26); infracciones Comite por conducto de la AEPD (60 y 62); transfronterizos (61)
administrativas (27) T. VIII PROCEDIMIENTOS (63-69): derechos: 6 MESES, silencio
T. V RESPONSABLE Y ENCARGADO (28-39): riesgos a-h (28); ESTIMATORIO; sancionador: 12 MESES, CADUCIDAD; apercibimiento:
corresponsables (29); representante solidario (30); registro 6 MESES (64); admision notificada en 3 MESES, inadmision
de actividades e inventario publico (31); BLOQUEO (32); tasada, DPD 1 mes (65); alcance territorial (66); actuaciones
encargado que usa datos propios = responsable (33); DPD previas MAXIMO 18 MESES (67); acuerdo de inicio de la
OBLIGATORIO en 16 letras a-o, comunicacion en 10 DIAS (34); Presidencia (68); MEDIDAS PROVISIONALES: bloqueo cautelar,
cualificacion (35); posicion: no removible salvo dolo o cese, inmovilizacion, atender el derecho (69)
negligencia grave (36); reclamacion previa: 2 MESES / 1 MES (37);
codigos de conducta (38); certificacion ENAC (39)
T. VI TRANSFERENCIAS (40-43): clausulas tipo y normas corporativas
9 MESES (41); autorizacion previa 6 MESES (42); informacion previa (43)
2. Introducción y enfoque de estudio
Prioridad de estudio. Léalo antes de empezar.
Este tema vale 2,00 puntos de los 100 del examen, nivel B: dos preguntas en 2025 y dos en 2026, y las cuatro salieron del título VII, el de la Agencia Española de Protección de Datos. El tribunal preguntó quién aprueba el Estatuto de la Agencia, qué afirmación sobre el Consejo Consultivo es falsa, a qué entidad no se le exige delegado de protección de datos «en todo caso» y quiénes colaboran en la protección de datos de la Administración de Justicia. Son preguntas de órgano, plazo y lista, no de teoría del derecho fundamental.
Tres decisiones de estudio.
Primera: la Agencia se aprende como un organigrama con cifras. Autoridad administrativa independiente que se relaciona con el Gobierno a través del Ministerio de Justicia (artículo 44); Estatuto aprobado por el Gobierno a propuesta de la Agencia (45.2); Presidencia y Adjunto nombrados por el Gobierno a propuesta de Justicia, ratificados por la Comisión de Justicia del Congreso por tres quintos o, en segunda votación, mayoría absoluta, con mandato de cinco años renovable una vez (48); Consejo Consultivo de quince letras de vocales (dieciséis fijos más uno por cada autoridad autonómica) que se reúne al menos una vez al semestre y cuyas decisiones nunca vinculan (49). En 2025 el tribunal cambió «especializados» por «genéricos» en la definición de experto del artículo 49.2 y preguntó cuál era la opción incorrecta: el literal de ese título hay que saberlo palabra por palabra.
Segunda: las listas cerradas se memorizan con su condición. La del artículo 34.1 tiene dieciséis letras (de la a a la o, con la ñ) de entidades que designan delegado de protección de datos «en todo caso», pero dos de ellas llevan condición: las operadoras de comunicaciones electrónicas solo cuando traten habitual y sistemáticamente datos a gran escala y los prestadores de servicios de la sociedad de la información solo cuando elaboren perfiles a gran escala. En 2026 la pregunta correcta fue precisamente la operadora de redes, porque su obligación no es incondicionada. La misma lógica vale para las quince letras del Consejo Consultivo y para las ocho letras de riesgos del artículo 28.2.
Tercera: los plazos se estudian en una sola tabla. Catorce años (7), seis meses para el acceso repetitivo (13.3), cinco años y treinta días en los ficheros de morosos (20), un mes y setenta y dos horas en videovigilancia (22.3), diez días para comunicar al delegado (34.3), dos meses y un mes para que el delegado responda (37), nueve y seis meses en transferencias (41 y 42), un mes del requerimiento a las autoridades autonómicas (59), seis, doce y seis meses de los tres procedimientos del título VIII (64), tres meses para notificar la admisión (65.5) y dieciocho meses de actuaciones previas (67.2). Son el terreno natural de la próxima pregunta.
Cómo recorrer el tema: los títulos I y II (4.1 y 4.2), los derechos (4.3), los tratamientos concretos (4.4), el responsable, el encargado y el delegado (4.5), las transferencias (4.6), la Agencia (4.7), las autoridades autonómicas (4.8), los procedimientos (4.9) y, al final, lo que la ley significa en el servicio de la Guardia Civil (4.10).
3. Qué se pregunta de este tema
Medido sobre los dos cuestionarios oficiales de conocimientos generales publicados por la Jefatura de Enseñanza de la Guardia Civil, 200 preguntas clasificadas una a una por materia (ANALISIS-FRECUENCIA.md):
| Cuestionario | Preguntas del tema 11 | Sobre el total | Puntos sobre 100 |
|---|---|---|---|
| 6 de septiembre de 2025, modelo A | 2 | 100 | 2,00 |
| 11 de julio de 2026, modelo A | 2 | 100 | 2,00 |
| Media | 2,00 |
2,00 puntos es dato medido, nivel B. Dentro del tema, las cuatro preguntas se reparten así:
| Norma y precepto | 2025 | 2026 | Total | Qué se preguntó, sin reproducir el enunciado |
|---|---|---|---|---|
| LO 3/2018, artículo 45.2 | 1 | 0 | 1 | Quién aprueba el Estatuto de la Agencia (el Gobierno, a propuesta de la propia Agencia; los distractores eran la Agencia, el Ministro y el Consejo General del Poder Judicial) |
| LO 3/2018, artículo 49 | 1 | 0 | 1 | Cuál de cuatro afirmaciones sobre el Consejo Consultivo es incorrecta (la condición de experto exige conocimientos «especializados», no «genéricos»; eran ciertas el vocal del CGPJ, el asesoramiento a la Presidencia y el experto de la Conferencia de Rectores) |
| LO 3/2018, artículo 34.1 | 0 | 1 | 1 | Para qué entidad no es obligatorio «en todo caso» el delegado de protección de datos (las operadoras de comunicaciones electrónicas, que solo lo designan si tratan datos habitual y sistemáticamente a gran escala; centros docentes, empresas de servicios de inversión y prestadores que perfilan a gran escala sí) |
| LO 3/2018, artículo 44.3 | 0 | 1 | 1 | Quiénes colaboran en materia de protección de datos en la Administración de Justicia (la Agencia, el Consejo General del Poder Judicial y, en su caso, la Fiscalía General del Estado: todos) |
Dos lecturas: las cuatro preguntas son del título VII y de su capítulo I (artículos 34, 44, 45 y 49, tres de la sección primera sobre la Agencia y una del delegado, que es la figura con la que la Agencia dialoga), y el tribunal pregunta órganos, mayorías y listas con una palabra cambiada. Los artículos 48 (nombramiento, mandato y cese de la Presidencia), 55 (circulares), 64 (plazos de los procedimientos) y 67 (actuaciones previas) tienen la misma factura y no han caído todavía: son las candidatas.
Nunca se reproduce el enunciado literal de una pregunta oficial. Las preguntas de este manual están redactadas de nuevo.
4. Desarrollo
4.1 Título I. Objeto, ámbito y datos de las personas fallecidas (artículos 1 a 3)
La Ley Orgánica 3/2018, de 5 de diciembre, tiene dos objetos (artículo 1): adaptar el ordenamiento español al Reglamento (UE) 2016/679 y completar sus disposiciones, y garantizar los derechos digitales conforme al artículo 18.4 de la Constitución. La ley no repite el Reglamento, directamente aplicable desde el 25 de mayo de 2018: lo completa donde deja margen a los Estados, y por eso casi cada artículo empieza remitiendo a él.
El ámbito (artículo 2) es cualquier tratamiento total o parcialmente automatizado y el no automatizado de datos contenidos o destinados a un fichero. Quedan fuera los tratamientos excluidos por el artículo 2.2 del Reglamento, los datos de personas fallecidas (salvo el artículo 3) y los sometidos a la normativa de materias clasificadas. Los tratamientos ajenos al Derecho de la Unión (régimen electoral, prisiones, Registro Civil, Registros de la Propiedad y Mercantiles) se rigen por su legislación específica y, supletoriamente, por el Reglamento y la ley; los de los órganos judiciales y del Ministerio Fiscal, por el Reglamento y la ley sin perjuicio de la Ley Orgánica del Poder Judicial y del Estatuto del Ministerio Fiscal (apartados de la Ley Orgánica 7/2021).
Los datos de fallecidos (artículo 3): las personas vinculadas por razones familiares o de hecho y los herederos pueden pedir acceso, rectificación o supresión, salvo prohibición expresa del fallecido o de una ley, que no alcanza a los datos patrimoniales de los herederos; también las personas o instituciones designadas expresamente, según sus instrucciones (un real decreto regulará su acreditación y registro). Si el fallecido era menor, actúan sus representantes legales o el Ministerio Fiscal, de oficio o a instancia de cualquiera; si tenía discapacidad, además quienes ejercían funciones de apoyo.
4.2 Título II. Principios de protección de datos (artículos 4 a 10)
| Artículo | Principio | Lo que añade la ley al Reglamento |
|---|---|---|
| 4 | Exactitud | La inexactitud no es imputable al responsable, si adoptó medidas razonables, cuando los datos vinieron del propio afectado, de un mediador o intermediario, de otro responsable por portabilidad o de un registro público |
| 5 | Confidencialidad | Responsables, encargados y todas las personas que intervengan en cualquier fase; complementaria del secreto profesional; subsiste aunque termine la relación con el responsable o encargado |
| 6 | Consentimiento | Manifestación de voluntad libre, específica, informada e inequívoca (4.11 RGPD), por declaración o clara acción afirmativa; con varias finalidades debe constar para todas; el contrato no puede supeditarse a consentir finalidades ajenas a la relación contractual |
| 7 | Menores | El consentimiento del menor solo vale desde los catorce años, salvo que la ley exija asistencia de patria potestad o tutela; por debajo, consiente el titular de la patria potestad o tutela, con el alcance que determine |
| 8 | Obligación legal, interés público, poderes públicos | La obligación legal (6.1.c RGPD) exige norma de la Unión o con rango de ley, que puede fijar condiciones, tipos de datos y cesiones; la misión de interés público o los poderes públicos (6.1.e) exigen competencia atribuida por norma con rango de ley |
| 9 | Categorías especiales | El solo consentimiento no basta para tratar datos cuya finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico; los tratamientos de las letras g, h e i del 9.2 RGPD exigen norma con rango de ley (salud: gestión sanitaria y social, contrato de seguro) |
| 10 | Datos de naturaleza penal | Condenas, infracciones penales, procedimientos y medidas cautelares o de seguridad, para fines distintos de los penales, solo con norma de la Unión, esta ley u otra ley; el registro completo, por el Sistema de registros administrativos de apoyo a la Administración de Justicia; fuera de ello, solo abogados y procuradores con la información de sus clientes |
Un matiz: el artículo 9 no prohíbe tratar datos de ideología o religión; dice que el solo consentimiento no basta cuando la finalidad principal sea identificarlas, y deja abiertas las demás bases del 9.2 del Reglamento.
4.3 Título III. Derechos de las personas (artículos 11 a 18)
El capítulo I (artículo 11) regula la información por capas: cuando los datos se obtienen del afectado, el responsable cumple el artículo 13 del Reglamento facilitando una información básica (identidad del responsable y de su representante, finalidad y posibilidad de ejercer los derechos de los artículos 15 a 22) más una dirección electrónica u otro medio para el resto; si habrá perfiles, lo dice y advierte del derecho a oponerse a decisiones automatizadas; si los datos no vinieron del afectado, añade categorías de datos y fuentes.
El capítulo II (artículo 12): los derechos se ejercen directamente o por representante legal o voluntario; el responsable informa de los medios, fácilmente accesibles, y no puede denegar el derecho porque el afectado elija otro; el encargado puede tramitar las solicitudes si el contrato lo prevé; la prueba del cumplimiento recae en el responsable; los titulares de la patria potestad actúan por los menores de catorce años; y las actuaciones son gratuitas, salvo los artículos 12.5 y 15.3 del Reglamento y 13.3 y 13.4 de la ley.
| Derecho | Artículo | RGPD | Regla propia de la ley |
|---|---|---|---|
| Acceso | 13 | 15 | Con gran cantidad de datos, el responsable puede pedir que se especifique; se entiende otorgado con un sistema de acceso remoto, directo y seguro a la totalidad; repetitivo si se ejerce más de una vez en seis meses sin causa legítima; medio distinto con coste desproporcionado: solicitud excesiva, el afectado asume el exceso |
| Rectificación | 14 | 16 | El afectado indica qué datos y qué corrección, con documentación justificativa cuando sea preciso |
| Supresión | 15 | 17 | Si deriva de la oposición del 21.2 RGPD, el responsable conserva los datos identificativos para impedir futura mercadotecnia directa |
| Limitación | 16 | 18 | La limitación debe constar claramente en los sistemas de información |
| Portabilidad | 17 | 20 | Sin regla propia |
| Oposición y decisiones automatizadas | 18 | 21 y 22 | Sin regla propia, incluidos los perfiles |
4.4 Título IV. Disposiciones aplicables a tratamientos concretos (artículos 19 a 27)
El título IV declara lícitos, salvo prueba en contrario, tratamientos frecuentes y fija sus condiciones.
| Artículo | Tratamiento | Condiciones y cifras |
|---|---|---|
| 19 | Contacto profesional, empresarios individuales y profesionales liberales | Presunción de interés legítimo (6.1.f RGPD) para los datos de localización profesional, si se limitan a lo necesario y la finalidad es relacionarse con la persona jurídica o con el profesional en esa sola condición |
| 20 | Sistemas de información crediticia | Datos del acreedor; deudas ciertas, vencidas y exigibles no reclamadas; información previa al deudor; notificación de la inclusión con datos bloqueados treinta días; máximo cinco años desde el vencimiento; consulta solo por quien tenga relación contractual con pago o solicitud de financiación; entidad y acreedor corresponsables; sin perfilado con otras fuentes |
| 21 | Operaciones mercantiles | Modificaciones estructurales y transmisión de negocio o rama: lícito si es necesario para el buen fin y la continuidad; si no concluye, la cesionaria suprime de inmediato sin bloqueo |
| 22 | Videovigilancia | Para la seguridad de personas, bienes e instalaciones; vía pública solo en lo imprescindible, más para bienes estratégicos o infraestructuras de transporte, nunca el interior de un domicilio; supresión en un mes, salvo conservación para acreditar atentados contra la integridad de personas, bienes o instalaciones, puestas a disposición de la autoridad en setenta y dos horas desde que se conoce la grabación; sin bloqueo; dispositivo informativo visible con existencia del tratamiento, identidad del responsable y derechos; excluido el particular que solo capta su domicilio, no la empresa de seguridad contratada; Fuerzas y Cuerpos de Seguridad, prisiones y tráfico con fines penales, por la legislación de la Directiva 2016/680; sin perjuicio de la Ley 5/2014; cámaras del empleador, artículo 89 |
| 23 | Exclusión publicitaria | Sistemas generales o sectoriales de asociaciones y organismos del 40.2 RGPD con alta representatividad; comunicación a la autoridad de control, que publica la relación; el responsable informa al afectado de los sistemas; consulta previa obligatoria antes de la mercadotecnia directa, salvo consentimiento (redacción de la Ley 10/2025) |
| 24 | Informantes de infracciones normativas | Lícitos los tratamientos para su protección, regidos por el RGPD, esta ley y la Ley 2/2023 |
| 25 | Estadística pública | Comunicación amparada en 6.1.e solo si la exige el Derecho de la Unión o la programación estadística; los datos de los artículos 9 y 10 RGPD son de aportación estrictamente voluntaria; pueden denegarse los derechos por secreto estadístico |
| 26 | Archivo en interés público | Lícito para las Administraciones, con las especialidades de la Ley 16/1985 y del Real Decreto 1708/2011 |
| 27 | Infracciones y sanciones administrativas | Responsables: los órganos competentes para instruir, declarar o sancionar; solo datos estrictamente necesarios; si no, consentimiento o ley; fuera de ello, solo abogados y procuradores |
4.5 Título V. Responsable y encargado del tratamiento (artículos 28 a 39)
Capítulo I, responsabilidad activa. El artículo 28 obliga a fijar las medidas técnicas y organizativas de los artículos 24 y 25 del Reglamento, valorando la evaluación de impacto y la consulta previa, y enumera ocho riesgos (letras a a h): discriminación, usurpación, fraude, pérdidas, daño reputacional, pérdida de confidencialidad o reversión de la seudonimización; privación de derechos o del control; categorías especiales o infracciones administrativas no incidentales; perfiles; grupos vulnerables (menores, discapacidad); tratamiento masivo; transferencias habituales sin nivel adecuado; y cualquier otro, en particular de códigos de conducta y esquemas de certificación. La corresponsabilidad se reparte según lo que efectivamente haga cada uno (29); el representante del responsable no establecido en la Unión responde solidariamente (30). El registro de actividades (31) es obligatorio salvo la excepción del 30.5 del Reglamento, se comunica al delegado cualquier cambio y el sector público del artículo 77.1 publica un inventario electrónico con su base legal.
El bloqueo (artículo 32): el responsable bloquea los datos al rectificar o suprimir; bloquear es identificar y reservar los datos impidiendo su tratamiento, incluida la visualización, salvo su puesta a disposición de jueces y tribunales, Ministerio Fiscal o Administraciones competentes para exigir responsabilidades, solo durante el plazo de prescripción, tras el cual se destruyen; si el sistema no lo permite, copiado seguro con evidencia de fecha y no manipulación; la Agencia y las autoridades autonómicas pueden fijar excepciones por riesgo elevado o coste desproporcionado.
Capítulo II, el encargado (artículo 33). Su acceso a los datos para prestar el servicio no es comunicación. Es responsable, no encargado, quien en su propio nombre se relaciona con los afectados aunque tenga contrato del 28.3 (salvo la contratación del sector público) y quien usa los datos para fines propios. Al terminar, el responsable decide si se destruyen, devuelven o entregan a otro encargado; no se destruyen si una ley obliga a conservar; el encargado puede conservarlos bloqueados mientras puedan derivarse responsabilidades. En el sector público, la condición de encargado puede atribuirse a un órgano por norma reguladora.
Capítulo III, el delegado de protección de datos (artículos 34 a 37). Se designa en los supuestos del 37.1 del Reglamento «y, en todo caso», en estas entidades (34.1):
| Letra | Entidad obligada | Condición |
|---|---|---|
| a | Colegios profesionales y sus consejos generales | Sin condición |
| b | Centros docentes de cualquier nivel y Universidades públicas y privadas | Sin condición |
| c | Entidades que exploten redes y presten servicios de comunicaciones electrónicas | Solo cuando traten habitual y sistemáticamente datos a gran escala |
| d | Prestadores de servicios de la sociedad de la información | Solo cuando elaboren perfiles de usuarios a gran escala |
| e | Entidades de crédito (artículo 1 de la Ley 10/2014) | Sin condición |
| f | Establecimientos financieros de crédito | Sin condición |
| g | Entidades aseguradoras y reaseguradoras | Sin condición |
| h | Empresas de servicios de inversión | Sin condición |
| i | Distribuidores y comercializadores de electricidad y de gas natural | Sin condición |
| j | Ficheros comunes de solvencia y crédito o de prevención del fraude, incluidos los de blanqueo y financiación del terrorismo | Sin condición |
| k | Publicidad y prospección comercial, incluida la investigación de mercados | Cuando traten preferencias o elaboren perfiles |
| l | Centros sanitarios obligados a mantener historias clínicas | Se exceptúan los profesionales a título individual |
| m | Emisores de informes comerciales sobre personas físicas | Sin condición |
| n | Operadores de juego por canales electrónicos, informáticos, telemáticos e interactivos | Sin condición |
| ñ | Empresas de seguridad privada | Sin condición |
| o | Federaciones deportivas | Cuando traten datos de menores |
Las demás entidades pueden designarlo voluntariamente con el mismo régimen; designaciones, nombramientos y ceses se comunican en diez días a la Agencia o a la autoridad autonómica, que mantienen una lista electrónica; la dedicación puede ser completa o parcial (34). La cualificación (35) se acredita, entre otros medios, por certificación voluntaria que valore una titulación universitaria con conocimientos especializados; puede ser persona física o jurídica. Su posición (36): interlocutor ante las autoridades, puede inspeccionar y recomendar; si es persona física de la organización, no puede ser removido ni sancionado por sus funciones salvo dolo o negligencia grave; tiene acceso a los datos sin que quepa oponerle la confidencialidad del artículo 5; y comunica inmediatamente a la dirección cualquier vulneración relevante. En las reclamaciones (37): el afectado puede acudir antes al delegado, que le responde en dos meses; la Agencia puede remitirle la reclamación para que responda en un mes, y si no lo hace sigue el título VIII.
Capítulo IV. Los códigos de conducta (38) vinculan a quienes se adhieren; los promueven las asociaciones del 40.2 del Reglamento, empresas o grupos, el sector público y los organismos de supervisión del 41; los adheridos someten a ese organismo las reclamaciones que no atiendan, y si las rechaza el afectado acude a la Agencia; los aprueba la Agencia o la autoridad autonómica, con mecanismo de coherencia cuando proceda (suspensión hasta el dictamen del Comité Europeo) y registros interconectados; un real decreto regula registro y procedimiento. La acreditación de las instituciones de certificación (39) puede hacerla la Entidad Nacional de Acreditación (ENAC), que comunica a las autoridades concesiones, denegaciones y revocaciones.
4.6 Título VI. Transferencias internacionales de datos (artículos 40 a 43)
Se rigen por el Reglamento, la ley, su desarrollo aprobado por el Gobierno y las circulares de las autoridades (40), con tres escalones:
| Escalón | Artículo | Instrumento | Plazo |
|---|---|---|---|
| Adopción por la autoridad | 41 | Cláusulas contractuales tipo (46.2.c RGPD), previo dictamen del Comité Europeo; normas corporativas vinculantes (47 RGPD), a instancia de una entidad situada en España | Normas corporativas: máximo nueve meses, suspendido mientras el Comité dictamina (64.1.f) |
| Autorización previa | 42 | Sin decisión de adecuación ni garantías del 46.2: cláusulas contractuales que no sean las tipo, o acuerdos internacionales no normativos del sector público (memorandos de entendimiento) con derechos exigibles | Máximo seis meses; suspendido hasta el dictamen del Comité (64.1.e, 64.1.f y 65.1.c) |
| Información previa | 43 | Intereses legítimos imperiosos del último párrafo del 49.1 RGPD | Informar a la autoridad y a los afectados antes de transferir; no se aplica a las autoridades públicas (49.3) |
4.7 Título VII, capítulo I. La Agencia Española de Protección de Datos (artículos 44 a 56)
Naturaleza (44). Autoridad administrativa independiente de ámbito estatal de la Ley 40/2015, con personalidad jurídica y plena capacidad, que actúa con plena independencia de los poderes públicos; denominación oficial «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente»; se relaciona con el Gobierno a través del Ministerio de Justicia; representante común de las autoridades españolas en el Comité Europeo de Protección de Datos; y en la Administración de Justicia colaboran la Agencia, el Consejo General del Poder Judicial y, en su caso, la Fiscalía General del Estado (44.3, redactado por la Ley Orgánica 7/2021, preguntado en 2026).
Régimen (45 y 46). Se rige por el Reglamento, la ley y su desarrollo, y supletoriamente por el 110.1 de la Ley 40/2015 en cuanto sea compatible con su independencia. El Gobierno, a propuesta de la Agencia, aprueba su Estatuto por real decreto (45.2; hoy el Real Decreto 389/2021; preguntado en 2025). Aprueba su presupuesto, integrado con independencia en los Presupuestos Generales; las modificaciones las autoriza la Presidencia hasta el tres por ciento (sin aumentar personal), Hacienda hasta el cinco por ciento y el Gobierno el resto; el resultado positivo va a reservas; personal funcionario o laboral; relación de puestos de trabajo propia con los criterios de Hacienda; control de la Intervención General, sin perjuicio del Tribunal de Cuentas. Funciones (47): supervisar la ley y el Reglamento, con las funciones del 57 y las potestades del 58 del Reglamento.
Presidencia y Adjunto (48).
| Cuestión | Regla |
|---|---|
| Funciones | La Presidencia dirige, representa y dicta resoluciones, circulares y directrices |
| Adjunto | Auxilia y recibe delegación salvo en los procedimientos del título VIII; ambos con plena independencia, sin instrucciones, régimen de alto cargo |
| Ausencia, vacante, enfermedad, abstención o recusación | Título VIII: el titular del órgano directivo de inspección y, en su defecto, los subdirectores generales por el orden del Estatuto; el resto: el Adjunto y, en su defecto, los subdirectores generales |
| Propuesta | Gobierno a propuesta del Ministerio de Justicia, entre personas de reconocida competencia; convocatoria pública en el BOE dos meses antes de expirar el mandato |
| Ratificación | Comisión de Justicia del Congreso, tras audiencia de los candidatos: tres quintos en primera votación o mayoría absoluta en segunda, inmediata, con votos de al menos dos grupos |
| Nombramiento | Consejo de Ministros, por real decreto |
| Mandato | Cinco años, renovable por otro periodo igual |
| Cese anticipado | A petición propia o por separación del Consejo de Ministros por incumplimiento grave, incapacidad sobrevenida, incompatibilidad o condena firme por delito doloso; los tres primeros, con ratificación parlamentaria por las mismas mayorías |
| Recursos | Sus actos ponen fin a la vía administrativa; recurso directo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional |
Consejo Consultivo (49). Asesora a la Presidencia. Miembros: un Diputado y un Senador; un representante del Consejo General del Poder Judicial; uno de la Administración General del Estado propuesto por el Ministro de Justicia; uno por cada Comunidad Autónoma con autoridad propia; un experto de la Federación Española de Municipios y Provincias; uno del Consejo de Consumidores y Usuarios; dos de las Organizaciones Empresariales; un representante de los profesionales de la privacidad (asociación estatal con más asociados); uno de los organismos de supervisión y resolución extrajudicial (propuesto por Justicia); un experto de la Conferencia de Rectores; un representante de los Colegios Profesionales (propuesto por Justicia); uno de los profesionales de la seguridad de la información; un experto en transparencia del Consejo de Transparencia y Buen Gobierno; y dos de las organizaciones sindicales más representativas. Ser experto exige conocimientos especializados en el Derecho y la práctica de la protección de datos por el ejercicio profesional o académico (preguntado en 2025 con «genéricos» como falsa). Nombramiento por orden del Ministro de Justicia en el BOE; reunión cuando lo disponga la Presidencia y, en todo caso, una vez al semestre; decisiones en ningún caso vinculantes. Publicidad (50): se publican las resoluciones sobre derechos, las que ponen fin a sancionadores y apercibimientos, las de archivo de actuaciones previas, las del sector público, las de medidas cautelares y las que disponga el Estatuto.
Investigación (51 a 54). La realizan funcionarios de la Agencia o ajenos habilitados por la Presidencia; en las investigaciones conjuntas del 62 del Reglamento, el personal de otras autoridades actúa bajo orientación y en presencia del de la Agencia; los investigadores son agentes de la autoridad y guardan secreto incluso después de cesar (51). Deber de colaboración (52): las Administraciones, incluidas las tributarias y de la Seguridad Social, y los particulares facilitan datos, informes, antecedentes y justificantes; para identificar al presunto responsable cuando no pueda por otros medios, recaba de esas Administraciones lo imprescindible y de los operadores de telefonía e internet una lista tasada (número de origen oculto, identidad del abonado, confirmación de una llamada, dirección IP con fecha y hora), con requerimiento motivado y solo en actuaciones iniciadas por denuncia de un afectado; en los demás casos, autorización judicial; excluidos los datos de tráfico de la Ley 25/2007. Alcance (53): recabar información, inspeccionar, exigir documentos, examinarlos donde estén, copiarlos, inspeccionar equipos y requerir la ejecución de programas; el domicilio constitucionalmente protegido exige consentimiento o autorización judicial; los órganos judiciales se inspeccionan a través del Consejo General del Poder Judicial. El 53 bis (Ley 11/2023) admite sistemas digitales (videoconferencia) con transmisión segura y evidencias íntegras, cuando lo determine la Agencia y con conformidad del inspeccionado sobre uso, fecha y hora. Planes de auditoría (54): la Presidencia los acuerda sobre un sector concreto y dicta directrices de obligado cumplimiento para el sector o responsable.
Otras potestades (55 y 56). Las Circulares son disposiciones de la Presidencia que fijan los criterios de actuación de la autoridad, elaboradas por el procedimiento del Estatuto con informes y audiencia a los interesados, y obligatorias una vez publicadas en el BOE. La acción exterior corresponde a la Agencia (y a las autonómicas en el marco de las Leyes 2/2014 y 25/2014); es el organismo competente para los convenios internacionales que atribuyan la competencia a una autoridad nacional, informa a las autonómicas de las decisiones del Comité Europeo y recaba su parecer, participa en foros internacionales y colabora con otros Estados, en particular en el ámbito iberoamericano.
4.8 Título VII, capítulo II. Las autoridades autonómicas (artículos 57 a 62)
Ejercen las funciones y potestades de los artículos 57 y 58 del Reglamento sobre tres clases de tratamientos (57.1): los del sector público autonómico y local de su territorio y de quienes le presten servicios por gestión directa o indirecta; los de quienes ejerzan funciones públicas de competencia autonómica o local; y los previstos en los Estatutos de Autonomía. Pueden dictar circulares (57.2). Cooperación (58): la Presidencia de la Agencia las convoca, con reuniones semestrales en todo caso, intercambio de información sobre el Comité Europeo y grupos de trabajo. Si un tratamiento de competencia autonómica vulnera el Reglamento, la Presidencia de la Agencia requiere a la autoridad autonómica a que adopte medidas en un mes, y si no cesa el tratamiento acude a la jurisdicción contencioso-administrativa (59). Toda comunicación entre el Comité Europeo y las autonómicas se practica por conducto de la Agencia, para el dictamen del 64 (60) y para la decisión vinculante del 65 (62), con la Agencia asistida por un representante autonómico. En los transfronterizos (61), la autonómica es autoridad principal o interesada cuando el tratamiento sea de su competencia, salvo que el responsable trate significativamente en el resto de España.
4.9 Título VIII. Procedimientos en caso de posible vulneración (artículos 63 a 69)
El título rige los procedimientos de la Agencia por reclamación de un derecho no atendido y por posible infracción (63); se aplican el Reglamento, la ley, su desarrollo y, subsidiariamente, las normas generales del procedimiento administrativo; el Gobierno los regula por real decreto con garantía de defensa y audiencia.
| Procedimiento | Artículo | Inicio | Duración máxima | Vencimiento |
|---|---|---|---|---|
| Falta de atención de los derechos 15 a 22 RGPD | 64.1 | Acuerdo de admisión a trámite (artículo 65) | Seis meses desde la notificación de la admisión al reclamante | El interesado puede considerar estimada su reclamación |
| Posible infracción (sancionador) | 64.2 | Acuerdo de inicio, de oficio o por reclamación admitida; puede preceder una fase de actuaciones previas (67) | Doce meses desde el acuerdo de inicio | Caducidad y archivo |
| Apercibimiento y medidas correctivas | 64.3 | Previa audiencia del responsable o encargado, según los criterios del 83.2 RGPD | Seis meses desde el acuerdo de inicio | Caducidad y archivo |
También se tramitan por comunicación de otra autoridad de control cuando la Agencia sea principal (64.4). Los plazos, incluidos los de admisión y actuaciones previas, se suspenden automáticamente al recabar información, consulta, asistencia o pronunciamiento preceptivo de un órgano de la Unión o de otras autoridades (64.5), y pueden suspenderse por resolución motivada para recabar información de un órgano jurisdiccional (64.6).
Admisión (65). La Agencia inadmite las reclamaciones que no versen sobre protección de datos, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de infracción; puede inadmitir si el responsable, previa advertencia, adoptó medidas correctivas y no hubo perjuicio (infracciones del 74) o el derecho quedó garantizado; antes de decidir puede remitir la reclamación al delegado, al organismo del código de conducta o al responsable sin delegado, que responde en un mes; la admisión o inadmisión se notifica en tres meses y, si no, prosigue la tramitación; tras la admisión cabe el archivo si el responsable acredita medidas y no empezaron actuaciones previas. Antes de todo, la Agencia examina su competencia y el carácter nacional o transfronterizo y, si no es principal, remite sin más trámite a la autoridad principal con archivo provisional (66).
Las actuaciones previas (67) determinan mejor los hechos antes del acuerdo de inicio; la Agencia actúa en todo caso ante tratamientos con tráfico masivo de datos; duran como máximo dieciocho meses desde la admisión o desde el acuerdo de iniciación de oficio. El acuerdo de inicio del sancionador lo dicta la Presidencia con hechos, persona o entidad, infracción y posible sanción (68). Las medidas provisionales (69): durante las actuaciones previas o el sancionador, la Agencia acuerda motivadamente las del 66.1 del Reglamento, el bloqueo cautelar y la obligación inmediata de atender el derecho; ante un menoscabo grave, ordena el bloqueo y la cesación y, si se incumplen, la inmovilización; y ante una reclamación por derechos no atendidos puede ordenar atenderlos en cualquier momento, con resolución motivada y previa audiencia del responsable.
4.10 La ley en el servicio: lo que un guardia civil aplica cada día
El tribunal ha preguntado el título VII, pero la ley entra en el trabajo ordinario del Cuerpo por cuatro vías que explican por qué unos artículos importan más que otros.
La del artículo 22.6. Las cámaras que la Guardia Civil usa con fines penales (prevenir, investigar, detectar o enjuiciar delitos, ejecutar sanciones, proteger frente a amenazas contra la seguridad pública) no se rigen por esta ley sino por la Ley Orgánica 7/2021, que transpone la Directiva (UE) 2016/680, la misma ley que redactó los artículos 2 y 44.3. En cambio, las cámaras de un cuartel instaladas para la seguridad de personas, bienes e instalaciones sí están en el artículo 22: cartel visible, un mes de conservación, entrega a la autoridad en setenta y dos horas cuando acrediten un atentado. Las imágenes que un comercio entrega a una patrulla se conservan más de un mes por esa misma excepción del 22.3.
La del artículo 10. Los datos de condenas, infracciones penales y medidas cautelares solo pueden tratarse, fuera de los fines penales, con norma de la Unión o con ley; el registro completo lo lleva el Sistema de registros administrativos de apoyo a la Administración de Justicia. Una empresa de seguridad privada, obligada a tener delegado por la letra ñ del artículo 34.1, no puede montar un fichero propio de antecedentes de sus aspirantes: el tratamiento carece de base.
La del artículo 52. La Agencia investiga con funcionarios que son agentes de la autoridad y puede pedir a los operadores la identidad de un abonado o una IP de origen, pero solo con requerimiento motivado en actuaciones iniciadas por denuncia de un afectado, y nunca los datos de tráfico de la Ley 25/2007, que solo se ceden con autorización judicial a los agentes facultados del artículo 6 de esa ley, entre ellos la Policía Judicial. Es la frontera entre la investigación administrativa de la Agencia y la penal de la Guardia Civil, que va con juez.
La del bloqueo y la confidencialidad. El artículo 32 obliga a poner los datos bloqueados a disposición de jueces y tribunales, del Ministerio Fiscal y de las Administraciones competentes durante el plazo de prescripción: un responsable que ha suprimido datos sigue obligado a entregarlos a un juzgado. Y el artículo 5 somete a todas las personas que intervengan en cualquier fase del tratamiento a la confidencialidad, que subsiste tras cesar: el guardia civil que consulta un fichero en el servicio está dentro de ese círculo, además del secreto profesional del artículo 5.5 de la Ley Orgánica 2/1986, que el artículo 5.2 de esta ley declara complementario.
5. Jurisprudencia esencial
Cuatro sentencias del Tribunal Constitucional, comprobadas en el BOE por su identificador y su fallo.
STC 254/1993, de 20 de julio (BOE-T-1993-21425). Un ciudadano pidió al Gobernador Civil de Guipúzcoa y al Ministro del Interior que le informaran de los datos suyos que constaban en ficheros automatizados y no obtuvo respuesta. La Sala Primera otorgó el amparo, anuló la denegación y las sentencias que la confirmaron y declaró su derecho a que se le comunicara sin demora la información. Es la primera vez que el Tribunal extrae del artículo 18.4 de la Constitución un derecho autónomo de habeas data: el ciudadano puede conocer qué datos suyos trata la Administración y para qué, aunque en aquel momento no hubiera ley de desarrollo. El derecho de acceso del artículo 13 de la ley actual es su heredero.
STC 292/2000, de 30 de noviembre (BOE-T-2001-332). Recurso del Defensor del Pueblo contra los artículos 21.1 y 24 de la Ley Orgánica 15/1999. El Pleno estimó el recurso y declaró nulo el inciso que permitía ceder datos entre Administraciones cuando lo previera «una disposición de superior rango» y los incisos del artículo 24 que dejaban sin información al afectado cuando ello dificultara las funciones de control de las Administraciones. Define la protección de datos como derecho fundamental autónomo, distinto de la intimidad, que atribuye a su titular el poder de disponer y controlar sus datos, y exige que sus límites los fije la ley con precisión, nunca una norma reglamentaria. Es la doctrina que explica por qué los artículos 8, 9 y 10 de la ley exigen «norma con rango de ley».
STC 39/2016, de 3 de marzo (BOE-A-2016-3405). Una trabajadora despedida por apropiarse de dinero de la caja, probado con cámaras instaladas sin información individualizada aunque con el distintivo informativo, alegó vulneración del artículo 18.4. El Pleno desestimó el amparo: el tratamiento de la imagen del trabajador para controlar el cumplimiento del contrato no exige su consentimiento y el cartel informativo de la normativa de videovigilancia satisface el deber de información. Es el criterio que la ley recoge en el artículo 22.4 (dispositivo informativo en lugar visible) y en el artículo 89 para las cámaras del empleador.
STC 76/2019, de 22 de mayo (BOE-A-2019-9548). Recurso del Defensor del Pueblo contra el artículo 58 bis.1 de la Ley Orgánica del Régimen Electoral General, incorporado por la disposición final tercera de la propia Ley Orgánica 3/2018, que permitía a los partidos recopilar datos sobre opiniones políticas obtenidos en páginas web y fuentes de acceso público. El Pleno estimó el recurso y declaró el precepto inconstitucional y nulo: la ley que restringe un derecho fundamental debe fijar ella misma la finalidad, las garantías y los límites, y el 58 bis.1 no lo hacía. La conexión con el tema es directa: la única norma de la Ley Orgánica 3/2018 anulada por el Tribunal fue una de sus disposiciones finales, y el criterio de la reserva de ley reforzada es el del artículo 9.
6. Tabla resumen
Los plazos de los títulos I a VIII
| Cifra | Regla | Artículo |
|---|---|---|
| 14 años | Edad mínima para que el consentimiento del menor sea válido | 7 |
| Más de 1 vez en 6 meses | Acceso repetitivo, salvo causa legítima | 13.3 |
| 30 días y 5 años | Bloqueo tras notificar la inclusión en un fichero de morosos; permanencia máxima desde el vencimiento | 20.1 |
| 1 mes y 72 horas | Supresión de las imágenes de videovigilancia; entrega a la autoridad de las que acrediten un atentado | 22.3 |
| 10 días | Comunicación a la autoridad de designaciones, nombramientos y ceses de delegado | 34.3 |
| 2 meses y 1 mes | Respuesta del delegado al afectado; respuesta del delegado a la Agencia | 37 |
| 9 meses | Aprobación de normas corporativas vinculantes | 41.2 |
| 6 meses | Autorización previa de una transferencia internacional | 42.1 |
| 3 y 5 por ciento | Modificaciones presupuestarias de la Presidencia y del Ministerio de Hacienda | 46.2 |
| 2 meses antes | Convocatoria pública de candidatos a la Presidencia | 48.3 |
| 3/5 o mayoría absoluta | Ratificación por la Comisión de Justicia, en primera o segunda votación | 48.3 |
| 5 años, una renovación | Mandato de la Presidencia y del Adjunto | 48.5 |
| 1 vez al semestre | Reunión mínima del Consejo Consultivo; reuniones de cooperación con las autonómicas | 49.4 y 58 |
| 1 mes | Requerimiento de la Agencia a la autoridad autonómica | 59 |
| 6, 12 y 6 meses | Procedimientos de derechos (silencio estimatorio), sancionador (caducidad) y apercibimiento (caducidad) | 64 |
| 3 meses | Notificación de la admisión o inadmisión de la reclamación | 65.5 |
| 18 meses | Duración máxima de las actuaciones previas de investigación | 67.2 |
Quién hace qué en la Agencia
| Decisión | Órgano | Artículo |
|---|---|---|
| Aprobar el Estatuto | Gobierno, a propuesta de la Agencia, por real decreto | 45.2 |
| Relación con el Gobierno | A través del Ministerio de Justicia | 44.1 |
| Proponer Presidencia y Adjunto | Gobierno, a propuesta del Ministerio de Justicia; ratifica la Comisión de Justicia del Congreso | 48.3 |
| Nombrar Presidencia y Adjunto | Consejo de Ministros, real decreto | 48.4 |
| Cesar anticipadamente | Consejo de Ministros, con ratificación parlamentaria salvo condena por delito doloso | 48.5 |
| Dictar resoluciones, circulares y directrices | Presidencia | 48.1 |
| Nombrar el Consejo Consultivo | Orden del Ministro de Justicia en el BOE | 49.3 |
| Habilitar investigadores ajenos | Presidencia | 51.2 |
| Acordar planes de auditoría y directrices | Presidencia | 54 |
| Recurrir los actos de la Presidencia | Sala de lo Contencioso-administrativo de la Audiencia Nacional | 48.6 |
| Dictar el acuerdo de inicio del sancionador | Presidencia | 68.1 |
| Regular los procedimientos del título VIII | Gobierno, por real decreto | 63.3 |
7. Trampas de examen
Veintidós confusiones; las cuatro primeras salen de las preguntas oficiales de 2025 y 2026.
1. El Estatuto de la Agencia lo aprueba el Gobierno, a propuesta de la Agencia, por real decreto (45.2); ni la Agencia lo aprueba sola ni interviene el Consejo General del Poder Judicial.
2. Experto del Consejo Consultivo es quien acredita conocimientos «especializados», no «genéricos» (49.2); el Consejo asesora a la Presidencia, tiene un vocal del CGPJ y un experto de la Conferencia de Rectores.
3. Las operadoras de comunicaciones electrónicas solo designan delegado cuando tratan datos habitual y sistemáticamente a gran escala (34.1.c); centros docentes, empresas de servicios de inversión y empresas de seguridad privada lo designan sin condición.
4. En la Administración de Justicia colaboran la Agencia, el Consejo General del Poder Judicial y, en su caso, la Fiscalía General del Estado (44.3); los tres, no uno solo.
5. La Agencia se relaciona con el Gobierno a través del Ministerio de Justicia (44.1), no de Presidencia ni de Interior; es autoridad administrativa independiente de la Ley 40/2015, no organismo autónomo.
6. La Presidencia y el Adjunto se ratifican en la Comisión de Justicia del Congreso por tres quintos o, en segunda votación inmediata, por mayoría absoluta con votos de dos grupos (48.3); el nombramiento es del Consejo de Ministros por real decreto (48.4).
7. El mandato es de cinco años renovable una sola vez (48.5); el cese por condena firme por delito doloso no necesita ratificación parlamentaria, los otros tres motivos sí.
8. Los actos de la Presidencia se recurren directamente ante la Audiencia Nacional (48.6), no ante el Tribunal Supremo ni ante el Ministerio.
9. Las circulares de la Agencia obligan desde su publicación en el BOE (55.3); las directrices de los planes de auditoría obligan al sector o responsable auditado (54.3); las decisiones del Consejo Consultivo nunca vinculan (49.5).
10. Los funcionarios que investigan son agentes de la autoridad (51.4); la inspección del domicilio constitucionalmente protegido exige consentimiento o autorización judicial (53.2) y la de los órganos judiciales se hace a través del CGPJ (53.3).
11. Los datos de tráfico de la Ley 25/2007 nunca los recaba la Agencia (52.3 in fine): solo se ceden con autorización judicial a los agentes facultados.
12. Tres procedimientos, tres plazos: seis meses y silencio estimatorio para los derechos, doce meses y caducidad para el sancionador, seis meses y caducidad para el apercibimiento (64).
13. Las actuaciones previas duran como máximo dieciocho meses (67.2), no doce; la admisión se notifica en tres meses y, si no, la tramitación prosigue (65.5).
14. El consentimiento del menor vale desde los catorce años (7.1), no desde los dieciséis del Reglamento ni desde los dieciocho; por debajo consiente la patria potestad o tutela.
15. El solo consentimiento no basta para tratar datos cuya finalidad principal sea identificar ideología, sindicato, religión, orientación sexual, creencias u origen (9.1); la ley no prohíbe tratarlos por otras bases.
16. Los herederos acceden a los datos del fallecido salvo prohibición expresa, pero siempre a los patrimoniales (3.1); los datos de fallecidos están fuera del ámbito de la ley salvo ese artículo (2.2.b).
17. Acceso repetitivo es más de una vez en seis meses (13.3); el ejercicio de los derechos es gratuito y la prueba del cumplimiento recae en el responsable (12.4 y 12.7).
18. En los ficheros de morosos el bloqueo inicial dura treinta días y la permanencia máxima cinco años desde el vencimiento (20.1.c y d); la deuda debe ser cierta, vencida, exigible y no reclamada.
19. Las imágenes de videovigilancia se suprimen en un mes y las que acrediten un atentado se entregan a la autoridad en setenta y dos horas (22.3); las cámaras policiales con fines penales van por la Directiva 2016/680 (22.6).
20. Bloquear no es borrar: es identificar y reservar los datos para jueces, fiscales y Administraciones durante el plazo de prescripción (32.2); luego se destruyen.
21. Quien figura como encargado y usa los datos para fines propios es responsable (33.2); las designaciones y ceses de delegado se comunican en diez días (34.3) y el delegado solo puede ser removido por dolo o negligencia grave (36.2).
22. Normas corporativas vinculantes: nueve meses; autorización previa de transferencias: seis meses; requerimiento a las autoridades autonómicas: un mes (41.2, 42.1 y 59); la acreditación de certificadores puede hacerla la ENAC (39).
8. Reglas mnemotécnicas
- «Justicia, Gobierno, Congreso, Consejo»: la Agencia se relaciona por Justicia (44), el Gobierno propone y aprueba el Estatuto (45 y 48), el Congreso ratifica (48.3) y el Consejo de Ministros nombra (48.4).
- «3/5 y luego absoluta, 5 y 5»: mayorías de la Comisión de Justicia; cinco años de mandato y cinco de renovación.
- «3, 5 y el resto»: modificaciones presupuestarias: Presidencia hasta el tres por ciento, Hacienda hasta el cinco, el Gobierno lo demás (46.2).
- «6-12-6»: derechos, sancionador y apercibimiento (64); «3 y 18»: admisión notificada en tres meses (65.5) y actuaciones previas de dieciocho (67.2).
- «14-6-30-5»: catorce años (7), seis meses del acceso repetitivo (13), treinta días de bloqueo (20) y cinco años de morosos (20).
- «1 mes y 72 horas»: vida de una grabación y entrega a la autoridad (22.3).
- «10-2-1»: diez días para comunicar al delegado (34.3), dos meses para responder al afectado y uno a la Agencia (37).
- «9 corporativas, 6 autorizadas»: nueve meses las normas corporativas (41), seis la autorización previa (42).
- «Semestre doble»: Consejo Consultivo (49.4) y cooperación con las autonómicas (58) se reúnen al menos cada semestre.
- «C y D con condición»: en la lista del 34.1, las letras c (operadoras) y d (prestadores) solo obligan a gran escala.
9. Aplicación práctica
Situación 1. Robo en una gasolinera y cámaras. El encargado entrega a la patrulla la grabación de un atraco cometido hace cinco semanas. No hay infracción por conservar más de un mes: el artículo 22.3 permite mantener las imágenes que acrediten actos contra la integridad de personas, bienes o instalaciones, y obliga a ponerlas a disposición de la autoridad en setenta y dos horas desde que se conoce la grabación. La gasolinera debe tener el dispositivo informativo del 22.4 y no puede captar la vía pública más allá de lo imprescindible ni el interior de un domicilio (22.2). Una vez en manos de la Guardia Civil con fines de investigación penal, el tratamiento sale de esta ley y pasa a la Ley Orgánica 7/2021 (22.6).
Situación 2. Reclamación de un ciudadano contra una empresa. Un vecino pidió a una teleoperadora que suprimiera sus datos y no obtuvo respuesta. Puede dirigirse primero al delegado de protección de datos de la empresa, que le contesta en dos meses (37.1); si reclama ante la Agencia, esta decide la admisión y la notifica en tres meses (65.5), puede remitir la reclamación al delegado para que responda en un mes (37.2) y, admitida, resuelve en seis meses, transcurridos los cuales el interesado puede entender estimada la reclamación (64.1). La teleoperadora solo tiene delegado obligatorio si trata datos habitual y sistemáticamente a gran escala (34.1.c).
Situación 3. Inspección de la Agencia en una empresa de seguridad privada. Dos funcionarios de la Agencia se presentan en la sede para comprobar el tratamiento de los datos de los vigilantes. Son agentes de la autoridad (51.4), pueden examinar documentos, equipos y programas (53.1) y actuar por videoconferencia con conformidad del inspeccionado (53 bis); si necesitaran entrar en un domicilio constitucionalmente protegido, necesitarían consentimiento o autorización judicial (53.2). La empresa debía tener delegado por la letra ñ del 34.1, comunicado a la Agencia en diez días, y no puede oponer al delegado la confidencialidad del artículo 5 (36.3). Si la Agencia aprecia menoscabo grave, puede ordenar el bloqueo y la cesación y, si no se cumplen, la inmovilización (69.2).
10. Preguntas de test con respuesta explicada
Cuarenta preguntas, que con las diez de la sección siguiente completan las cincuenta del nivel B. Redactadas de nuevo por TestMiOpo; ninguna reproduce un enunciado oficial.
1. El artículo 1 de la Ley Orgánica 3/2018 señala como objeto de la ley:
a) Transponer la Directiva (UE) 2016/680.
b) Sustituir íntegramente al Reglamento (UE) 2016/679.
c) Adaptar el ordenamiento español al Reglamento (UE) 2016/679 y garantizar los derechos digitales conforme al artículo 18.4 de la Constitución.
d) Regular exclusivamente la Agencia Española de Protección de Datos.
Respuesta: c). La ley completa el Reglamento, que es directamente aplicable, y desarrolla el mandato del 18.4 de la Constitución.
2. Conforme al artículo 2, la ley orgánica no se aplica a los tratamientos:
a) Sometidos a la normativa sobre protección de materias clasificadas.
b) Realizados por el Ministerio Fiscal.
c) No automatizados contenidos en un fichero.
d) Realizados por las Administraciones tributarias.
Respuesta: a). También se excluyen los de personas fallecidas, salvo el artículo 3, y los excluidos por el 2.2 del Reglamento.
3. Respecto de los datos de una persona fallecida, la prohibición expresa que esta hubiese establecido:
a) Impide todo acceso de cualquier persona.
b) Solo vincula a las personas vinculadas de hecho.
c) No vincula al Ministerio Fiscal en ningún caso.
d) No afecta al derecho de los herederos a acceder a los datos de carácter patrimonial.
Respuesta: d). Artículo 3.1; los familiares, las personas vinculadas de hecho y los herederos pueden pedir acceso, rectificación o supresión.
4. Según el artículo 7, el tratamiento de datos de un menor puede fundarse en su propio consentimiento cuando sea mayor de:
a) Doce años.
b) Catorce años.
c) Dieciséis años.
d) Dieciocho años.
Respuesta: b). Por debajo de esa edad debe constar el consentimiento del titular de la patria potestad o tutela.
5. El deber de confidencialidad del artículo 5 de la ley orgánica:
a) Se mantiene aun cuando hubiese finalizado la relación del obligado con el responsable o encargado.
b) Solo alcanza al responsable del tratamiento.
c) Sustituye al secreto profesional.
d) Cesa al terminar la relación laboral con el responsable.
Respuesta: a). Alcanza a todas las personas que intervengan en cualquier fase y es complementario del secreto profesional.
6. Conforme al artículo 9.1, para levantar la prohibición de tratar datos cuya finalidad principal sea identificar la ideología o la afiliación sindical del afectado:
a) Basta el consentimiento expreso.
b) Basta el consentimiento por acción afirmativa.
c) No basta el solo consentimiento del afectado.
d) Se exige siempre autorización de la Agencia.
Respuesta: c). La regla busca evitar situaciones discriminatorias; el tratamiento cabe por las demás bases del 9.2 del Reglamento.
7. Fuera de los supuestos amparados en una norma de la Unión o de rango legal, los tratamientos de datos relativos a condenas e infracciones penales solo son posibles cuando los lleven a cabo:
a) Las empresas de seguridad privada.
b) Abogados y procuradores, para recoger la información facilitada por sus clientes.
c) Los sistemas de información crediticia.
d) Las federaciones deportivas.
Respuesta: b). Artículo 10.3; la misma regla rige para las infracciones administrativas en el artículo 27.3.
8. Cuando los datos no se obtienen del afectado, la información básica del artículo 11 incluye además:
a) La identidad del delegado de protección de datos.
b) El plazo de conservación.
c) La base jurídica del tratamiento.
d) Las categorías de datos objeto de tratamiento y las fuentes de las que procedieran.
Respuesta: d). La información básica común es identidad del responsable, finalidad y posibilidad de ejercer los derechos.
9. Según el artículo 12, la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de derechos recae sobre:
a) El responsable del tratamiento.
b) El afectado.
c) El delegado de protección de datos.
d) La autoridad de control.
Respuesta: a). Además, las actuaciones para atender esos derechos son gratuitas, salvo las excepciones del Reglamento y del artículo 13.
10. A efectos del artículo 13.3, el ejercicio del derecho de acceso puede considerarse repetitivo cuando se ejerce en más de una ocasión durante un plazo de:
a) Tres meses.
b) Cuatro meses.
c) Seis meses.
d) Doce meses.
Respuesta: c). Salvo que exista causa legítima; el acceso remoto, directo y seguro a la totalidad de los datos también satisface el derecho.
11. En los sistemas de información crediticia, los datos del deudor se mantienen mientras persista el incumplimiento con el límite máximo, desde el vencimiento de la obligación, de:
a) Tres años.
b) Cinco años.
c) Seis años.
d) Diez años.
Respuesta: b). Artículo 20.1.d; tras notificar la inclusión, los datos permanecen bloqueados treinta días.
12. Conforme al artículo 22.3, las imágenes de videovigilancia que deban conservarse para acreditar actos contra la integridad de personas, bienes o instalaciones se ponen a disposición de la autoridad competente en un plazo máximo de:
a) Veinticuatro horas.
b) Cuarenta y ocho horas.
c) Un mes.
d) Setenta y dos horas.
Respuesta: d). Contadas desde que se tuvo conocimiento de la grabación; el resto de imágenes se suprime en un mes.
13. El tratamiento de imágenes captadas por las Fuerzas y Cuerpos de Seguridad con fines de investigación de infracciones penales se rige, según el artículo 22.6, por:
a) La legislación de transposición de la Directiva (UE) 2016/680.
b) El artículo 22 de la ley orgánica.
c) La Ley 5/2014, de Seguridad Privada.
d) El artículo 89 de la ley orgánica.
Respuesta: a). Es la Ley Orgánica 7/2021; fuera de esos fines rige su legislación específica y, supletoriamente, el Reglamento y esta ley.
14. El bloqueo de los datos regulado en el artículo 32 consiste en:
a) La destrucción inmediata de los datos rectificados.
b) La cesión de los datos a la Agencia.
c) La identificación y reserva de los datos para impedir su tratamiento, salvo su puesta a disposición de jueces, fiscales y Administraciones competentes.
d) La seudonimización de los datos.
Respuesta: c). Dura el plazo de prescripción de las responsabilidades y después los datos se destruyen.
15. Tiene la consideración de responsable, y no de encargado del tratamiento, quien:
a) Accede a los datos para prestar un servicio al responsable.
b) Figurando como encargado utiliza los datos para sus propias finalidades.
c) Tramita solicitudes de derechos por cuenta del responsable.
d) Conserva los datos bloqueados tras finalizar el servicio.
Respuesta: b). Artículo 33.2; también quien en su propio nombre establece relaciones con los afectados.
16. Entre las entidades que deben designar en todo caso delegado de protección de datos, el artículo 34.1 incluye a:
a) Los profesionales de la salud que ejerzan a título individual.
b) Las empresas de menos de cincuenta trabajadores.
c) Las federaciones deportivas, en todo caso.
d) Las empresas de seguridad privada.
Respuesta: d). Letra ñ; las federaciones deportivas solo cuando traten datos de menores y los profesionales sanitarios individuales están exceptuados.
17. Las designaciones, nombramientos y ceses de los delegados de protección de datos se comunican a la autoridad de control en el plazo de:
a) Cinco días.
b) Siete días.
c) Diez días.
d) Quince días.
Respuesta: c). Artículo 34.3, tanto si la designación es obligatoria como voluntaria; la autoridad mantiene una lista pública.
18. El delegado de protección de datos que sea persona física integrada en la organización no puede ser removido ni sancionado por desempeñar sus funciones, salvo que incurra en:
a) Dolo o negligencia grave en su ejercicio.
b) Cualquier infracción disciplinaria.
c) Falta de titulación universitaria.
d) Conflicto de intereses sobrevenido.
Respuesta: a). Artículo 36.2; además tiene acceso a los datos sin que quepa oponerle el deber de confidencialidad.
19. Cuando el afectado se dirige al delegado de protección de datos antes de reclamar ante la Agencia, el delegado le comunica la decisión adoptada en el plazo máximo de:
a) Un mes.
b) Dos meses.
c) Tres meses.
d) Seis meses.
Respuesta: b). Artículo 37.1; si es la Agencia la que remite la reclamación al delegado, este responde en un mes.
20. Los códigos de conducta regulados en el artículo 38:
a) Son voluntarios incluso para quienes se adhieran.
b) Solo pueden promoverlos las Administraciones Públicas.
c) Los aprueba el Comité Europeo de Protección de Datos.
d) Son vinculantes para quienes se adhieran a los mismos.
Respuesta: d). Los aprueba la Agencia o la autoridad autonómica competente, con mecanismo de coherencia cuando proceda.
21. La acreditación de las instituciones de certificación del artículo 43.1 del Reglamento puede ser llevada a cabo por:
a) La Entidad Nacional de Acreditación (ENAC).
b) El Ministerio de Justicia.
c) El Consejo Consultivo de la Agencia.
d) El Comité Europeo de Protección de Datos.
Respuesta: a). Artículo 39; la ENAC comunica a las autoridades las concesiones, denegaciones y revocaciones con su motivación.
22. El procedimiento de aprobación de normas corporativas vinculantes por la Agencia tiene una duración máxima de:
a) Tres meses.
b) Seis meses.
c) Nueve meses.
d) Doce meses.
Respuesta: c). Artículo 41.2, a instancia de una entidad situada en España; la autorización previa del artículo 42 dura seis meses.
23. La Agencia Española de Protección de Datos se relaciona con el Gobierno a través de:
a) El Ministerio de la Presidencia.
b) El Ministerio del Interior.
c) El Ministerio de Hacienda.
d) El Ministerio de Justicia.
Respuesta: d). Artículo 44.1; es una autoridad administrativa independiente de ámbito estatal de las previstas en la Ley 40/2015.
24. La denominación oficial de la Agencia, conforme al artículo 44.1, es:
a) «Agencia Española de Protección de Datos, Organismo Autónomo».
b) «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente».
c) «Autoridad Española de Control de Datos».
d) «Agencia Estatal de Protección de Datos».
Respuesta: b). Con arreglo al artículo 109.3 de la Ley 40/2015; actúa con plena independencia de los poderes públicos.
25. Las modificaciones presupuestarias de la Agencia que impliquen hasta un tres por ciento de la cifra inicial de su presupuesto de gastos, sin incrementar los créditos de personal, las autoriza:
a) La Presidencia de la Agencia.
b) El Ministerio de Hacienda.
c) El Gobierno.
d) El Consejo Consultivo.
Respuesta: a). Artículo 46.2; hasta el cinco por ciento, Hacienda; en los demás casos, el Gobierno.
26. Para la ratificación de la propuesta de Presidencia y Adjunto de la Agencia, la Comisión de Justicia del Congreso vota en primera votación por mayoría de:
a) Dos tercios.
b) Mayoría absoluta.
c) Tres quintos.
d) Mayoría simple.
Respuesta: c). En segunda votación, inmediata, basta la mayoría absoluta con votos de al menos dos grupos parlamentarios.
27. El mandato de la Presidencia y del Adjunto de la Agencia tiene una duración de:
a) Cuatro años, no renovable.
b) Cinco años, renovable por otro periodo de igual duración.
c) Seis años, no renovable.
d) Siete años, renovable una vez.
Respuesta: b). Artículo 48.5; el nombramiento lo hace el Consejo de Ministros por real decreto.
28. Los actos y disposiciones de la Presidencia de la Agencia son recurribles directamente ante:
a) El Ministro de Justicia.
b) El Tribunal Supremo.
c) El Consejo de Ministros.
d) La Sala de lo Contencioso-administrativo de la Audiencia Nacional.
Respuesta: d). Artículo 48.6; sus actos ponen fin a la vía administrativa, sin recurso de alzada previo ante ningún ministerio.
29. El Consejo Consultivo de la Agencia se reúne cuando lo disponga la Presidencia y, en todo caso:
a) Una vez al mes.
b) Una vez al trimestre.
c) Una vez al semestre.
d) Una vez al año.
Respuesta: c). Artículo 49.4; sus decisiones no tienen en ningún caso carácter vinculante.
30. Los miembros del Consejo Consultivo de la Agencia son nombrados por:
a) Orden del Ministro de Justicia publicada en el BOE.
b) Real decreto del Consejo de Ministros.
c) Resolución de la Presidencia de la Agencia.
d) Acuerdo del Congreso de los Diputados.
Respuesta: a). Artículo 49.3; entre sus vocales hay dos expertos de las organizaciones empresariales y dos de las sindicales más representativas.
31. Los funcionarios de la Agencia que desarrollan actividades de investigación tienen, en el ejercicio de sus funciones, la consideración de:
a) Autoridad judicial.
b) Agentes de la autoridad.
c) Policía judicial.
d) Inspectores de trabajo.
Respuesta: b). Artículo 51.4; guardan secreto sobre lo que conozcan incluso después de cesar.
32. Cuando el personal investigador de la Agencia necesite acceder al domicilio constitucionalmente protegido del inspeccionado:
a) Basta un requerimiento motivado de la Presidencia.
b) Basta la presencia de dos funcionarios.
c) Se accede a través del Consejo General del Poder Judicial.
d) Será preciso contar con su consentimiento o haber obtenido autorización judicial.
Respuesta: d). Artículo 53.2; la mediación del Consejo General del Poder Judicial es para los órganos y oficinas judiciales.
33. Las actuaciones de investigación a través de sistemas digitales del artículo 53 bis:
a) Requieren la conformidad del inspeccionado sobre su uso y sobre la fecha y hora.
b) Pueden imponerse sin conformidad del inspeccionado.
c) Solo caben en investigaciones conjuntas con otras autoridades.
d) Exigen autorización judicial previa.
Respuesta: a). Precepto añadido por la Ley 11/2023; se usan cuando lo determine la Agencia, con transmisión segura de documentos y evidencias.
34. Las directrices que la Presidencia de la Agencia dicta a resultas de un plan de auditoría preventiva:
a) Son meras recomendaciones.
b) Requieren publicación en el BOE para obligar.
c) Son de obligado cumplimiento para el sector o responsable al que se refiera el plan.
d) Vinculan a todos los responsables del país.
Respuesta: c). Artículo 54.3; las circulares, en cambio, obligan una vez publicadas en el Boletín Oficial del Estado.
35. Las Circulares de la Agencia Española de Protección de Datos son obligatorias:
a) Desde que las aprueba el Consejo Consultivo.
b) Una vez publicadas en el Boletín Oficial del Estado.
c) Desde su notificación a los interesados.
d) Solo para el sector público.
Respuesta: b). Artículo 55.3; las dicta la Presidencia previa audiencia a los interesados y los informes que fije el Estatuto.
36. Si la Presidencia de la Agencia considera que un tratamiento de competencia autonómica vulnera el Reglamento, requiere a la autoridad autonómica para que adopte medidas en el plazo de:
a) Diez días.
b) Quince días.
c) Veinte días.
d) Un mes.
Respuesta: d). Artículo 59; si no se atiende, la Agencia puede acudir a la jurisdicción contencioso-administrativa.
37. Las comunicaciones entre el Comité Europeo de Protección de Datos y las autoridades autonómicas, cuando estas deban someterle su proyecto de decisión, se practican:
a) Por conducto de la Agencia Española de Protección de Datos.
b) Directamente por la autoridad autonómica.
c) A través del Ministerio de Asuntos Exteriores.
d) A través de la Representación Permanente ante la Unión Europea.
Respuesta: a). Artículo 60; la Agencia actúa asistida por un representante de la autoridad autonómica.
38. El procedimiento por falta de atención de una solicitud de ejercicio de derechos se resuelve en seis meses desde la notificación de la admisión; transcurrido ese plazo:
a) Caduca el procedimiento.
b) Se entiende desestimada la reclamación.
c) El interesado podrá considerar estimada su reclamación.
d) Se remite al Comité Europeo.
Respuesta: c). Artículo 64.1; la caducidad es el efecto en el sancionador (doce meses) y en el apercibimiento (seis meses).
39. El procedimiento sancionador de la Agencia tiene una duración máxima, desde el acuerdo de inicio, de:
a) Seis meses.
b) Doce meses.
c) Dieciocho meses.
d) Veinticuatro meses.
Respuesta: b). Artículo 64.2; su vencimiento produce la caducidad y el archivo de actuaciones.
40. Las actuaciones previas de investigación del artículo 67 no pueden tener una duración superior a:
a) Seis meses.
b) Nueve meses.
c) Doce meses.
d) Dieciocho meses.
Respuesta: d). Desde la admisión a trámite o desde el acuerdo de iniciación de oficio; la Agencia actúa en todo caso ante tráficos masivos de datos.
11. Preguntas de estilo examen
Diez preguntas más con el formato de los cuestionarios oficiales, que empiezan nombrando la norma.
41. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Régimen jurídico de la Agencia Española de Protección de Datos. El Estatuto de la Agencia se aprueba por…:
a) Real decreto del Gobierno, a propuesta de la propia Agencia.
b) Orden del Ministro de Justicia.
c) Resolución de la Presidencia de la Agencia.
d) Acuerdo del Consejo General del Poder Judicial.
Respuesta: a). Artículo 45.2; el vigente es el Real Decreto 389/2021, de 1 de junio.
42. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Consejo Consultivo. Señale la afirmación INCORRECTA:
a) La Presidencia de la Agencia está asesorada por un Consejo Consultivo.
b) Forma parte de él un experto propuesto por la Federación Española de Municipios y Provincias.
c) Sus decisiones tienen carácter vinculante para la Presidencia.
d) Forma parte de él un Diputado propuesto por el Congreso de los Diputados.
Respuesta: c). Artículo 49.5: sus decisiones no tienen en ningún caso carácter vinculante.
43. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Delegado de protección de datos. ¿Cuál de las siguientes entidades solo debe designarlo cuando elabore a gran escala perfiles de los usuarios?:
a) Las entidades aseguradoras y reaseguradoras.
b) Los prestadores de servicios de la sociedad de la información.
c) Los colegios profesionales y sus consejos generales.
d) Los establecimientos financieros de crédito.
Respuesta: b). Letra d del artículo 34.1; las otras tres letras obligan sin condición.
44. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Disposiciones generales sobre la Agencia. La Agencia tiene la condición de representante común de las autoridades de protección de datos del Reino de España en…:
a) El Consejo de Europa.
b) La Comisión Europea.
c) El Tribunal de Justicia de la Unión Europea.
d) El Comité Europeo de Protección de Datos.
Respuesta: d). Artículo 44.2; informa a las autoridades autonómicas de las decisiones del Comité y recaba su parecer.
45. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Presidencia de la Agencia. La convocatoria pública de candidatos se publica en el BOE, por orden del Ministerio de Justicia, con una antelación a la expiración del mandato de…:
a) Dos meses.
b) Tres meses.
c) Cuatro meses.
d) Seis meses.
Respuesta: a). Artículo 48.3; en las demás causas de cese, cuando este se haya producido.
46. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Cese de la Presidencia y del Adjunto. ¿Cuál de las siguientes causas de separación NO requiere ratificación por las mayorías parlamentarias?:
a) Incumplimiento grave de sus obligaciones.
b) Incapacidad sobrevenida.
c) Condena firme por delito doloso.
d) Incompatibilidad.
Respuesta: c). Artículo 48.5; la separación la acuerda el Consejo de Ministros y las otras tres causas exigen ratificación.
47. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Deber de colaboración. Los datos de tráfico que los operadores traten para cumplir la Ley 25/2007…:
a) Se ceden a la Agencia previo requerimiento motivado.
b) Solo se ceden conforme a dicha ley, previa autorización judicial solicitada por un agente facultado.
c) Se ceden a la Agencia en cualquier actuación previa.
d) Se ceden con la conformidad del operador.
Respuesta: b). Artículo 52.3 in fine; la Agencia solo recaba la lista tasada de datos de identificación.
48. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Admisión a trámite de las reclamaciones. La decisión sobre la admisión o inadmisión debe notificarse al reclamante en el plazo de…:
a) Quince días.
b) Un mes.
c) Dos meses.
d) Tres meses.
Respuesta: d). Artículo 65.5; sin notificación, se entiende que prosigue la tramitación desde que se cumplen los tres meses.
49. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Medidas provisionales. Cuando el responsable incumple la orden de bloqueo y cesación del tratamiento dictada por la Agencia ante un menoscabo grave, esta puede…:
a) Imponer directamente una multa coercitiva.
b) Remitir el asunto al Ministerio Fiscal.
c) Proceder a la inmovilización de los datos.
d) Suspender el procedimiento.
Respuesta: c). Artículo 69.2; durante las actuaciones previas también cabe el bloqueo cautelar y la obligación inmediata de atender el derecho.
50. Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Cooperación institucional. Las reuniones de cooperación entre la Presidencia de la Agencia y las autoridades autonómicas se celebran, en todo caso, con periodicidad…:
a) Semestral.
b) Trimestral.
c) Anual.
d) Mensual.
Respuesta: a). Artículo 58; además pueden constituirse grupos de trabajo para asuntos de interés común.
12. Fuentes oficiales
Todos los identificadores del BOE se han comprobado con curl leyendo el título que devuelve el Boletín.
| Norma o fuente | Referencia | Enlace |
|---|---|---|
| Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, títulos I a VIII | BOE-A-2018-16673, BOE de 6 de diciembre de 2018; texto consolidado con última actualización publicada el 27 de diciembre de 2025 (data/leyes/lo-3-2018-proteccion-datos.json) | https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 |
| Ley 10/2025, de 26 de diciembre, por la que se regulan los servicios de atención a la clientela (modifica el artículo 23) | BOE-A-2025-26698 | https://www.boe.es/buscar/act.php?id=BOE-A-2025-26698 |
| Ley 11/2023, de 8 de mayo (modifica los artículos 48.2, 50 y 64 a 67 y añade el 53 bis) | BOE-A-2023-11022 | https://www.boe.es/buscar/act.php?id=BOE-A-2023-11022 |
| Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales (modifica los artículos 2 y 44.3) | BOE-A-2021-8806 | https://www.boe.es/buscar/act.php?id=BOE-A-2021-8806 |
| Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos | BOE-A-2021-9175 | https://www.boe.es/buscar/act.php?id=BOE-A-2021-9175 |
| Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, artículo 5.5 | BOE-A-1986-6859 (data/leyes/lo-2-1986-fcse.json) | https://www.boe.es/buscar/act.php?id=BOE-A-1986-6859 |
Jurisprudencia citada, comprobada una a una en el BOE: STC 254/1993, de 20 de julio (BOE-T-1993-21425); STC 292/2000, de 30 de noviembre (BOE-T-2001-332); STC 39/2016, de 3 de marzo (BOE-A-2016-3405); STC 76/2019, de 22 de mayo (BOE-A-2019-9548).
Temario y convocatoria: temario fijado por la Resolución de 26 de junio de 2019 de la Dirección General de la Guardia Civil, modificada el 3 de octubre de 2022 y actualizada el 29 de mayo de 2023, transcrito en TEMARIO-OFICIAL.md; convocatoria de referencia, Resolución 160/38243/2026, de 5 de mayo (BOE-A-2026-9982).
Frecuencia: cuestionarios oficiales de conocimientos generales de 2025 y 2026, modelo A, publicados por la Jefatura de Enseñanza de la Guardia Civil, clasificados en ANALISIS-FRECUENCIA.md; las respuestas de 2026 se han contrastado con la plantilla oficial del tribunal. No se reproduce el enunciado literal de ninguna pregunta oficial.
13. Control de calidad
- [x] El bloque único del enunciado oficial se desarrolla completo: los ocho títulos, artículos 1 a 69 y 53 bis, con apartado propio por título en el epígrafe 4 y una subsección que enlaza la ley con el servicio
- [x] Ningún precepto se ha redactado de memoria: la ley se ha leído del texto consolidado del BOE (27 de diciembre de 2025) persistido en
data/leyes/, comprobando en el análisis del BOE las reformas de las Leyes 10/2025, 11/2023, 2/2023 y Orgánica 7/2021 - [x] Se distingue lo que dice la ley de lo que dice el Reglamento (UE) 2016/679, señalando en cada tabla el precepto del Reglamento al que remite
- [x] Los identificadores del BOE de las normas y de las cuatro sentencias se han comprobado con
curlleyendo el título que devuelve el Boletín - [x] Cuatro sentencias del Tribunal Constitucional citadas y verificadas con su fallo en el epígrafe 5
- [x] Veintidós trampas de examen, por encima del mínimo de doce
- [x] Cincuenta preguntas con respuesta explicada, las del nivel B; las cuatro oficiales medidas tienen su materia cubierta y su respuesta razonada en el desarrollo
- [x] Ninguna pregunta reproduce el enunciado de un cuestionario oficial
- [x] Las cifras de frecuencia proceden de
frecuencia/conteo.jsony no se han escrito a mano - [x] Sin raya ni semirraya en todo el archivo
- [ ] Revisión por revisor colegiado: pendiente
Comprueba si te ha quedado
10 preguntas de Protección de datos (RGPD y LO 3/2018), sin cronómetro y con la solución explicada. Unos cuatro minutos. Leer el tema y no medirse es la forma más común de creer que uno se lo sabe. Si te quedas con ganas, hay 791 más.
Hacer 10 preguntas de este temaTestMiOpo es una plataforma educativa independiente. No está afiliada a ninguna administración pública. El contenido debe revisarse junto con la convocatoria oficial correspondiente.
Las preguntas son de práctica y orientación. No garantizamos que aparezcan en el examen oficial.