Tema 12. La protección de datos personales y su régimen jurídico.
La protección de datos personales y su régimen jurídico: principios, derechos y obligaciones.
Revisado el con las bases oficiales.
Qué cubre este tema
El tema presenta el régimen jurídico de la protección de datos personales a partir del art. 18.4 CE, el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018. Se organiza en tres bloques: los principios que rigen todo tratamiento (licitud, finalidad, minimización, exactitud, conservación limitada, seguridad y responsabilidad proactiva), los derechos de las personas (información, acceso, rectificación, supresión, limitación, portabilidad y oposición) y las obligaciones de responsables y encargados (registro de actividades, medidas de seguridad, notificación de brechas, evaluación de impacto y designación de delegado de protección de datos). En el examen se preguntan los plazos de respuesta, la edad del consentimiento, la lista de principios y derechos, y los supuestos en que es obligatorio el delegado de protección de datos.
Ideas clave
- Los datos personales deben tratarse de manera lícita, leal y transparente; recogerse con fines determinados, explícitos y legítimos; ser adecuados, pertinentes y limitados a lo necesario (minimización); exactos y actualizados; conservarse no más tiempo del necesario; y tratarse con seguridad, siendo el responsable quien debe demostrar el cumplimiento (art. 5 RGPD).
- El consentimiento debe ser una manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o clara acción afirmativa (art. 4.11 RGPD); en España los menores solo pueden consentir por sí mismos a partir de los 14 años (art. 7 LO 3/2018).
- Cuando se recogen datos del interesado, el responsable debe informarle, entre otros extremos, de su identidad, los fines y la base jurídica del tratamiento, los destinatarios, el plazo de conservación y los derechos que le asisten (art. 13 RGPD); la LO 3/2018 permite hacerlo por capas, con una información básica y un enlace a la información adicional (art. 11).
- El interesado tiene derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como a no ser objeto de decisiones basadas únicamente en tratamientos automatizados (arts. 15 a 22 RGPD; arts. 12 a 18 LO 3/2018); el responsable responde en un mes, prorrogable dos meses más en casos complejos (art. 12.3 RGPD).
- El responsable del tratamiento aplica medidas técnicas y organizativas apropiadas para garantizar y demostrar el cumplimiento (art. 24 RGPD), protección de datos desde el diseño y por defecto (art. 25) y lleva un registro de las actividades de tratamiento (art. 30); el encargado solo trata datos siguiendo instrucciones documentadas del responsable (art. 28).
- Las violaciones de la seguridad de los datos se notifican a la autoridad de control sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas, salvo que sea improbable que constituyan un riesgo para los derechos de las personas (art. 33 RGPD); si el riesgo es alto se comunican también al interesado (art. 34).
- El delegado de protección de datos es obligatorio cuando el tratamiento lo lleva a cabo una autoridad u organismo público, cuando las actividades principales requieren observación habitual y sistemática a gran escala o cuando consisten en el tratamiento a gran escala de categorías especiales de datos (art. 37.1 RGPD), además de en las entidades del art. 34 LO 3/2018.
- La Agencia Española de Protección de Datos es la autoridad de control estatal, configurada como autoridad administrativa independiente (art. 44 LO 3/2018); las multas administrativas pueden alcanzar los 20 millones de euros o el 4 por ciento del volumen de negocio anual global (art. 83.5 RGPD), aunque a las Administraciones Públicas se les aplica el apercibimiento (art. 77 LO 3/2018).
Cuánto pesa en el examen
Este tema forma parte de Bloque I · Organización pública, del programa oficial de Auxiliar Administrativo del Estado.
- El ejercicio dedica 80 preguntas al temario, repartidas entre 28 temas: de media, 2,9 preguntas por tema.
- Ritmo del examen: 90 minutos para 110 preguntas, unos 49 segundos por pregunta.
- Cada error resta 1/3 de un acierto, así que 3 fallos anulan una respuesta correcta: solo compensa arriesgar si descartas alguna de las 4 alternativas.
- Para el mínimo de 5 sobre 10 hacen falta 55 aciertos sin fallos.
Preguntas tipo examen
3 preguntas de muestra con el formato del examen. En Sacadiez tienes el banco completo del tema con explicación en cada respuesta.
-
1 Según el art. 5 del RGPD, el principio por el que los datos deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines del tratamiento se denomina:
- A Limitación de la finalidad
- B Minimización de datos
- C Exactitud
- D Limitación del plazo de conservación
Correcta: B. Art. 5.1.c) RGPD: principio de minimización de datos; la limitación de la finalidad es la letra b) y la del plazo de conservación la letra e).
-
2 Conforme al art. 33 del RGPD, el responsable debe notificar una violación de la seguridad de los datos personales a la autoridad de control, de ser posible, en un plazo máximo de:
- A 24 horas
- B 48 horas
- C 72 horas
- D 10 días
Correcta: C. Art. 33.1 RGPD: notificación sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, salvo que sea improbable que constituya un riesgo.
-
3 De acuerdo con el art. 37 del RGPD, ¿en cuál de los siguientes casos es obligatoria la designación de un delegado de protección de datos?
- A Cuando el tratamiento lo realiza una autoridad u organismo público
- B Cuando el responsable tiene más de diez empleados
- C Siempre que se traten datos de clientes
- D Únicamente cuando lo ordene la Agencia Española de Protección de Datos
Correcta: A. Art. 37.1.a) RGPD: designación obligatoria cuando el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales en el ejercicio de su función judicial.