La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales —conocida como LOPDGDD— es la norma española que adapta el Reglamento General de Protección de Datos europeo a nuestro ordenamiento jurídico y, al mismo tiempo, reconoce un catálogo propio de derechos digitales.
Esta guía desglosa los 97 artículos de la ley en secciones prácticas. Sin tecnicismos innecesarios. Con tablas. Para que en 15 minutos tengas una visión completa de lo que exige.
¿Por qué existe la LOPDGDD y qué relación tiene con el RGPD?
El Reglamento General de Protección de Datos (RGPD) es la norma comunitaria que rige desde mayo de 2018 en toda la Unión Europea. Sin embargo, el RGPD no es una ley de máximos: permite y en ocasiones exige que cada Estado miembro desarrolle aspectos concretos. España lo hizo mediante la LOPDGDD.
Ambas normas forman un sistema único: el RGPD es la base común europea y la LOPDGDD añade especificidades nacionales. Cuando ambas normas regulan lo mismo, el RGPD prevalece. Cuando la LOPDGDD entra en terrenos que el RGPD deja a los Estados —bases legitimadoras nacionales, sanciones, sectores obligados a tener DPD, derechos digitales laborales— la LOPDGDD es la norma de referencia.
| Aspecto | RGPD | LOPDGDD |
|---|---|---|
| Rango normativo | Reglamento UE (aplicación directa) | Ley Orgánica española |
| Ámbito | Toda la Unión Europea | España (adapta y complementa el RGPD) |
| Entrada en vigor | 25 de mayo de 2018 | 7 de diciembre de 2018 |
| Norma anterior | Directiva 95/46/CE | LOPD 1999 (Ley Orgánica 15/1999) |
| Autoridad de control | Cada Estado designa su propia | AEPD (Agencia Española de Protección de Datos) |
| Sanciones máximas | Hasta 20 M€ o 4 % facturación global | Adapta los tramos; entidades públicas: apercibimiento |
Estructura de la LOPDGDD: los 10 Títulos de un vistazo
| Título | Artículos | Qué regula |
|---|---|---|
| Título Preliminar | Arts. 1-5 | Objeto, ámbito, datos de fallecidos, exactitud y confidencialidad |
| Título I | Arts. 6-10 | Bases legitimadoras del tratamiento: consentimiento, menores, obligación legal, categorías especiales y datos penales |
| Título II | Arts. 11-18 | Transparencia e información, y los derechos ARSULIPO de los interesados |
| Título III | Arts. 19-33 | Tratamientos en contextos específicos: videovigilancia, actividad de contacto, sistemas de información crediticia, finalidades de archivo, tratamientos de RRHH, etc. |
| Título IV | Arts. 34-44 | Responsable y encargado del tratamiento: obligaciones, contratos, DPD obligatorio |
| Título V | Arts. 45-48 | Transferencias internacionales de datos |
| Título VI | Arts. 49-67 | Autoridades de control: AEPD, autoridades autonómicas, cooperación |
| Título VII | Arts. 68-76 | Procedimientos ante posibles vulneraciones: reclamaciones, mediación, tutela de derechos |
| Título VIII | Arts. 77-89 | Régimen sancionador: infracciones muy graves, graves y leves; sanciones y criterios |
| Título IX | Arts. 79-97 | Derechos digitales: desconexión, videovigilancia laboral, olvido en buscadores, redes sociales, testamento digital, neutralidad de Internet |
¿A quién se aplica la LOPDGDD?
La LOPDGDD se aplica a cualquier persona física o jurídica, pública o privada, que trate datos personales en el contexto de las actividades de un establecimiento en España, o que —aunque el responsable esté fuera de la UE— trate datos de residentes en España.
A efectos prácticos: si tu empresa tiene empleados, clientes, proveedores o contactos cuyos datos personales procesas (nombre, email, teléfono, IP, imagen, datos de salud…), la LOPDGDD te aplica.
Quedan excluidos los tratamientos realizados por personas físicas en el ámbito estrictamente personal o doméstico, así como algunos usos en el marco de la seguridad nacional.
Las bases legitimadoras del tratamiento (Título I, Arts. 6-10)
Para tratar datos personales, siempre debe existir una base jurídica que lo autorice. Ni el RGPD ni la LOPDGDD permiten tratar datos "porque sí". Las bases que la LOPDGDD reconoce —en coherencia con el art. 6 RGPD— son:
| Base jurídica | Cuándo aplica | Ejemplo práctico |
|---|---|---|
| Consentimiento | Libre, específico, informado e inequívoco. No puede ser condición para prestar un servicio si no es necesario | Newsletter, cookies no esenciales, comunicaciones comerciales |
| Ejecución de un contrato | El tratamiento es necesario para ejecutar el contrato con el interesado | Datos de un cliente para facturarle, datos del empleado para la nómina |
| Obligación legal | Una norma con rango de ley exige el tratamiento | Comunicar retenciones a Hacienda, comunicar accidentes laborales |
| Interés vital | Proteger intereses vitales del interesado u otras personas | Emergencia médica cuando el paciente no puede consentir |
| Interés público | Cumplimiento de una misión en interés público o ejercicio de poderes públicos | Administraciones públicas en el ejercicio de sus funciones |
| Interés legítimo | El interés legítimo del responsable prevalece sobre los derechos del interesado. Requiere ponderación. No aplica a entidades públicas | Sistemas antifraude, seguridad de redes, marketing directo B2B con ponderación |
Consentimiento de menores: la regla de los 14 años (Art. 7)
En España, los menores de 14 años no pueden prestar consentimiento para el tratamiento de sus datos. Corresponde a los titulares de la patria potestad o tutela. A partir de los 14 años, el menor puede consentir por sí mismo, siempre que el lenguaje empleado sea claro y adaptado a su edad.
Datos de categoría especial (Art. 9)
Los datos de salud, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos con fines de identificación, vida u orientación sexual tienen una protección reforzada. Solo pueden tratarse si concurre alguna de las excepciones tasadas en el art. 9.2 RGPD y art. 9 LOPDGDD —entre ellas, el consentimiento explícito, la necesidad por razones de salud o la existencia de una norma habilitante.
La regla práctica: nunca trates esta categoría de datos sin análisis jurídico previo.
Los derechos de los interesados (Título II): el acrónimo ARSULIPO
La LOPDGDD (arts. 11-18) desarrolla los derechos que toda persona puede ejercer frente al responsable del tratamiento. El acrónimo ARSULIPO los resume:
| Derecho | En qué consiste | Plazo de respuesta |
|---|---|---|
| A · Acceso | Conocer si se tratan tus datos, qué datos, con qué finalidad y quién los recibe | 1 mes (ampliable 2 meses) |
| R · Rectificación | Corregir datos inexactos o completar datos incompletos | 1 mes (ampliable 2 meses) |
| S · Supresión (olvido) | Solicitar que se eliminen los datos cuando ya no son necesarios, se retira el consentimiento o se han tratado ilícitamente | 1 mes (ampliable 2 meses) |
| U · Limitación del tratamiento | Suspender temporalmente el tratamiento mientras se resuelve una controversia o impugnación | 1 mes (ampliable 2 meses) |
| L · Portabilidad | Recibir los datos en formato estructurado y legible por máquina, o transmitirlos a otro responsable | 1 mes (ampliable 2 meses) |
| I · Oposición | Oponerse al tratamiento por motivos relacionados con la situación particular del interesado, o al tratamiento con fines de mercadotecnia directa | 1 mes (ampliable 2 meses) |
| P · No ser objeto de decisiones automatizadas | No ser sometido a decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos significativos | 1 mes (ampliable 2 meses) |
| O · Tutela ante la AEPD | Presentar reclamación ante la Agencia Española de Protección de Datos si el responsable no atiende los demás derechos en plazo | — |
El responsable del tratamiento debe responder gratuitamente a estas solicitudes. Si las solicitudes son manifiestamente infundadas o excesivas, podrá cobrar un canon razonable o negarse a actuar, debiendo justificarlo.
Obligaciones generales del responsable del tratamiento
La LOPDGDD y el RGPD establecen un conjunto de obligaciones que toda entidad que trate datos personales debe cumplir. No son recomendaciones: son exigencias legales cuyo incumplimiento puede derivar en sanciones.
| Obligación | En qué consiste | Herramienta / documento |
|---|---|---|
| Registro de Actividades de Tratamiento (RAT) | Inventario interno de todos los tratamientos, con finalidad, base jurídica, plazos de conservación, destinatarios y medidas de seguridad | RAT (art. 30 RGPD) |
| Información a los interesados | Informar de forma clara y accesible sobre quién trata los datos, para qué, durante cuánto tiempo y cuáles son sus derechos | Cláusulas informativas / política de privacidad |
| Contratos con encargados de tratamiento | Formalizar por escrito la relación con proveedores que acceden a datos personales por cuenta del responsable (gestoría, TI, hosting, etc.) | Contrato de encargado (art. 28 RGPD) |
| Medidas de seguridad | Implementar medidas técnicas y organizativas adecuadas al riesgo: control de accesos, cifrado, copias de seguridad, políticas de contraseñas | Política / análisis de riesgos |
| Notificación de brechas de seguridad | Si se produce una brecha que afecte a datos personales, notificarla a la AEPD en un máximo de 72 horas desde su conocimiento. Si el riesgo es alto, también a los interesados | Protocolo de gestión de brechas |
| Evaluación de Impacto (EIPD/DPIA) | Obligatoria cuando el tratamiento implique un alto riesgo para los derechos y libertades: videovigilancia a gran escala, perfiles con datos sensibles, decisiones automatizadas con efectos jurídicos | EIPD (art. 35 RGPD) |
| Privacidad desde el diseño y por defecto | Incorporar la protección de datos desde el inicio de cualquier proyecto o sistema, no como añadido posterior | Análisis previo en nuevos proyectos |
| Responsabilidad proactiva (accountability) | Demostrar activamente el cumplimiento: no basta con cumplir, hay que poder acreditarlo | Documentación, registros, evidencias |
El Delegado de Protección de Datos: quién está obligado a tenerlo
El Delegado de Protección de Datos (DPD, también conocido como DPO por sus siglas en inglés) es la figura encargada de supervisar el cumplimiento de la normativa de protección de datos dentro de la organización. Puede ser interno o externo, pero su designación es obligatoria en los supuestos del art. 37 RGPD y, con mayor concreción para España, del art. 34 LOPDGDD.
La información que sigue es orientativa. La exigencia final dependerá de la escala, el volumen y la tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado.
| Tipo de entidad / actividad | DPD obligatorio | Base normativa |
|---|---|---|
| Administraciones, organismos y entidades del sector público | Sí | Art. 37.1.a RGPD / Art. 34 LOPDGDD |
| Colegios profesionales y sus consejos generales | Sí | Art. 34.1.a LOPDGDD |
| Centros docentes (enseñanzas regladas) y universidades | Sí | Art. 34.1.b LOPDGDD |
| Entidades que presten servicios de comunicaciones electrónicas | Sí | Art. 34.1.c LOPDGDD |
| Entidades de crédito (bancos, cajas, cooperativas de crédito) | Sí | Art. 34.1.e LOPDGDD |
| Entidades aseguradoras y reaseguradoras | Sí | Art. 34.1.g LOPDGDD |
| Establecimientos sanitarios con acceso a historia clínica (centros sanitarios), salvo profesional individual | Sí | Art. 34.1.h LOPDGDD |
| Tratamiento a gran escala de categorías especiales de datos o datos penales | Sí | Art. 37.1.c RGPD / Art. 34 LOPDGDD |
| Observación habitual y sistemática de interesados a gran escala | Sí | Art. 37.1.b RGPD |
| PYME estándar sin actividad de alto riesgo | Depende del análisis | Art. 37 RGPD (evaluación de riesgo) |
El DPD debe ser registrado ante la AEPD. Su posición es independiente: no puede ser instruido en el ejercicio de sus funciones y no puede ser destituido por ello. Actúa como punto de contacto entre la organización, la AEPD y los interesados.
"El DPD no es el que firma papeles. Es el que conoce el tratamiento real de la organización, identifica los riesgos antes de que se materialicen y sabe qué le diría la AEPD si llamara mañana. Eso no se improvisa."
Mario P. Talamillo · Socio director, Certix®
Tratamientos específicos regulados en el Título III
La LOPDGDD dedica un título completo a situaciones concretas que merecen regulación específica en España:
- Videovigilancia (Art. 22): Las imágenes captadas con cámaras de seguridad solo pueden conservarse durante un máximo de 30 días, salvo que deban conservarse para acreditar la comisión de actos. Obligación de informar mediante cartel visible.
- Ficheros de morosos / sistemas de información crediticia (Art. 20): Solo puede incluirse a alguien en un fichero de solvencia patrimonial si la deuda es cierta, vencida y exigible, el acreedor ha informado al deudor previamente y ha transcurrido un mes desde dicha información.
- Sistemas de exclusión publicitaria (Art. 23): Se reconoce expresamente la posibilidad de tratar datos para gestionar listas de exclusión publicitaria (similares a Robinson).
- Tratamiento con fines de investigación (Art. 31): Se abre la posibilidad de reutilizar datos para fines de investigación científica, estadística o de archivo de interés público, con las garantías adecuadas.
- Derechos de las personas fallecidas (Art. 3): Los herederos y personas vinculadas pueden ejercer los derechos de acceso, rectificación y supresión de datos del fallecido, salvo que este lo hubiera prohibido expresamente.
El régimen sancionador (Título VIII)
La LOPDGDD clasifica las infracciones en tres niveles, diferenciando además entre entidades privadas y entidades del sector público.
Para entidades del sector privado
| Nivel | Prescripción | Sanción máxima (RGPD) | Ejemplos de infracción |
|---|---|---|---|
| Muy grave | 3 años | 20.000.000 € o 4 % facturación global anual | Vulnerar principios básicos de privacidad, incumplir derechos de los interesados, transferencias internacionales ilegítimas, tratar datos sensibles sin base legitimadora |
| Grave | 2 años | 10.000.000 € o 2 % facturación global anual | No tener RAT, no notificar brechas en plazo, no aplicar medidas de seguridad adecuadas, no designar DPD cuando es obligatorio |
| Leve | 1 año | Advertencia o hasta 40.000 € | Incumplimientos formales: política de privacidad incompleta, no atender a tiempo una solicitud sencilla de derechos |
Para entidades del sector público
Cuando el infractor es una Administración Pública, entidad de derecho público o partido político, la LOPDGDD (art. 77) sustituye la multa económica por apercibimiento. La AEPD comunicará la resolución al órgano competente para que el responsable sea exigido a rendir cuentas. Esto no excluye la posibilidad de responsabilidad disciplinaria para los empleados o cargos responsables.
Criterios de graduación de la sanción
Las multas no son automáticas ni lineales. La AEPD tiene en cuenta factores agravantes y atenuantes: la duración de la infracción, el número de afectados, las medidas adoptadas para mitigar el daño, el grado de cooperación, si es reincidencia, el beneficio obtenido y la naturaleza de los datos tratados.
Los derechos digitales del Título IX
La LOPDGDD fue la primera ley europea de protección de datos en incluir un catálogo específico de derechos digitales, tanto ciudadanos como laborales. Este Título IX (arts. 79-97) es una de las grandes novedades de la norma frente a la antigua LOPD.
| Derecho digital | Qué protege |
|---|---|
| Derecho al olvido en buscadores (Art. 93) | Solicitar que los motores de búsqueda dejen de enlazar información personal obsoleta, inexacta o que vulnere derechos |
| Derecho al olvido en redes sociales (Art. 94) | Solicitar la supresión de datos personales publicados en redes sociales, especialmente datos difundidos siendo menor de edad |
| Portabilidad en redes sociales (Art. 95) | Solicitar a la plataforma los datos en formato portable para poder migrar a otro servicio |
| Intimidad y dispositivos en el trabajo (Art. 87) | Los trabajadores tienen derecho a la protección de su intimidad en el uso de dispositivos digitales corporativos. El empleador puede acceder solo si ha informado previamente de los criterios de uso |
| Desconexión digital (Art. 88) | Los trabajadores tienen derecho a no responder comunicaciones laborales fuera de su jornada. Las empresas deben elaborar una política interna de desconexión |
| Videovigilancia en el trabajo (Art. 89) | El empleador puede instalar cámaras en el lugar de trabajo, pero debe informar con carácter previo y de forma expresa. Las cámaras en vestuarios o baños están prohibidas |
| Geolocalización en el trabajo (Art. 90) | El empleador puede usar sistemas de geolocalización para controlar vehículos o cumplimiento de horarios, pero debe informar previamente a los trabajadores |
| Testamento digital (Art. 96) | Cualquier persona puede designar a alguien para gestionar sus perfiles y contenidos digitales tras su muerte, incluyendo instrucciones sobre su eliminación |
| Educación digital (Art. 83) | Los centros educativos deben promover el uso seguro de Internet y las redes sociales entre menores, con protocolos específicos |
| Rectificación en medios digitales (Art. 85) | Las personas tienen derecho a que los medios de comunicación digitales faciliten el ejercicio del derecho de rectificación de informaciones inexactas |
Lo que cambió respecto a la antigua LOPD de 1999
La LOPDGDD no es una revisión menor. Supone un cambio de paradigma completo frente a la Ley Orgánica 15/1999:
| Aspecto | LOPD 1999 | LOPDGDD 2018 |
|---|---|---|
| Inscripción en la AEPD | Obligatoria para todos los ficheros | Eliminada. Sustituida por el RAT interno |
| Enfoque de cumplimiento | Formalista: cumplir trámites | Proactivo (accountability): demostrar el cumplimiento real |
| Consentimiento | Podía ser tácito o por omisión | Siempre activo, libre, específico e inequívoco |
| Delegado de Protección de Datos | No existía como figura | Obligatorio para numerosos sectores |
| Sanciones máximas | Hasta 600.000 € | Hasta 20.000.000 € o 4 % facturación global |
| Derechos digitales laborales | No contemplados | Nuevo Título IX con 19 derechos |
| Notificación de brechas | No obligatoria | Obligatoria en 72 horas a la AEPD |
| Privacidad desde el diseño | No contemplada | Principio obligatorio (art. 25 RGPD) |
Lista de verificación: ¿cumple tu empresa con la LOPDGDD?
Esta checklist es un punto de partida para una revisión interna. No sustituye un análisis profesional individualizado.
- Registro de Actividades de Tratamiento actualizado con todos los tratamientos de datos que realiza la organización
- Cláusulas informativas o política de privacidad en todos los formularios, contratos y puntos de recogida de datos
- Base jurídica identificada para cada tratamiento (consentimiento, contrato, obligación legal…)
- Consentimiento explícito y granular para tratamientos comerciales o que lo requieran, con registro de cuándo y cómo se obtuvo
- Contratos de encargado de tratamiento firmados con todos los proveedores que acceden a datos (asesoría, TI, cloud, marketing…)
- Protocolo de respuesta a solicitudes de derechos con plazos y responsables definidos
- Protocolo de gestión de brechas de seguridad con el procedimiento para notificar a la AEPD en 72 horas
- Medidas de seguridad técnicas y organizativas documentadas y adecuadas al riesgo
- Política de cookies y banner de consentimiento conforme a las directrices de la AEPD
- Cláusulas de videovigilancia, geolocalización y dispositivos si la empresa utiliza estos medios
- Política de desconexión digital si la empresa cuenta con empleados
- DPD designado y comunicado a la AEPD si la organización pertenece a alguno de los sectores obligados
Preguntas frecuentes sobre la LOPDGDD
¿La LOPDGDD me obliga aunque solo tenga dos empleados?
Sí. La obligación no está condicionada al tamaño de la empresa, sino a si tratas datos personales. Con dos empleados ya estás tratando datos (nóminas, datos de clientes, proveedores, etc.). Eso sí, las obligaciones son proporcionales al riesgo: una micropyme sin categorías especiales de datos no tiene los mismos requisitos que un hospital.
¿La LOPDGDD es lo mismo que el RGPD?
No. Son normas complementarias. El RGPD es la norma europea de aplicación directa. La LOPDGDD es la ley española que lo adapta y desarrolla para España, añade especificidades nacionales y reconoce los derechos digitales. Para cumplir, debes respetar ambas.
¿Qué pasa si no tengo política de privacidad en mi web?
Es una infracción tipificada. La AEPD puede apercibirte, imponer una multa o ambas cosas. Las sanciones por deficiencias en la información al usuario suelen clasificarse como leves o graves, dependiendo del alcance y del tipo de datos afectados.
¿El DPD puede ser el propio gerente o socio de la empresa?
Solo si no existe conflicto de intereses. El gerente no puede ser DPD si su función como gerente le lleva a tomar decisiones sobre los tratamientos de datos, porque entonces supervisaría sus propias decisiones. Es una de las razones por las que el DPD externo es frecuente en organizaciones medianas y grandes.
¿Cuánto tiempo hay para responder a una solicitud de derechos?
Un mes desde que se recibe la solicitud. Puede ampliarse otros dos meses cuando la solicitud sea compleja o el número de solicitudes sea elevado, siempre que se informe al interesado dentro del primer mes y se le expliquen los motivos.
¿Qué es una brecha de seguridad y cuándo hay que notificarla?
Una brecha de seguridad de datos personales es cualquier incidente que provoque la destrucción, pérdida, alteración o acceso no autorizado a datos personales: un ataque de ransomware que cifra un servidor con datos de clientes, la pérdida de un portátil con información de empleados, el envío masivo de emails a destinatarios equivocados. Si la brecha tiene consecuencias para los derechos y libertades de las personas, debe notificarse a la AEPD en 72 horas desde que se tiene conocimiento de ella.
Nota legal: Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La información relativa al Delegado de Protección de Datos se basa en los artículos 37 del RGPD y 34 de la LOPDGDD y tiene carácter exclusivamente informativo; la exigencia final dependerá de la escala, el volumen y la tipología exacta de los tratamientos de cada entidad.