Aplicable en España — basado en normativa española (BOE).Qué obligaciones tiene una empresa y qué derechos tienes tú sobre tus datos
Resumen rápido: La protección de datos es el conjunto de normas que regulan el tratamiento de la información relativa a personas físicas identificadas o identificables, imponiendo obligaciones a quien los trata y reconociendo derechos a los titulares de esos datos.
Definición flash: Conjunto de normas que regulan el tratamiento de información sobre personas físicas identificadas o identificables, con obligaciones y derechos propios.
Etiqueta lingüística
El nombre engaña sobre qué se protege. No se protegen los datos: se protege a las personas en lo que respecta al tratamiento de sus datos. Y «dato personal» es mucho más amplio de lo que se cree —no es solo el nombre o el DNI, sino cualquier información sobre una persona identificada o identificable—, lo que explica que la normativa alcance a matrículas, direcciones IP o imágenes.
Definición técnica
El sistema descansa en dos piezas que hay que leer juntas: el Reglamento europeo y la ley orgánica española que lo adapta. El artículo 1 de la LOPDGDD fija ese objeto, adaptar el ordenamiento español al Reglamento (UE) 2016/679.
Junto a ellos opera la normativa de servicios de la sociedad de la información, que no queda desplazada: su artículo 1 se aplica sin perjuicio de la normativa de protección de datos, y son suyas dos reglas que en la práctica aparecen a diario —la licitud de la obtención de los datos usados para envíos (artículo 21) y el régimen de las cookies y demás dispositivos de almacenamiento en el equipo del usuario (artículo 22)—.
Aplicación práctica
Para una empresa, el error habitual no es incumplir a conciencia: es no saber qué datos trata. Sin ese inventario no se puede decidir nada, porque de él dependen la base que legitima cada tratamiento, cuánto tiempo se conservan y a quién se comunican.
Para el particular, lo útil es saber que sus derechos se ejercen frente a quien trata los datos y que tienen plazo de respuesta; si no la hay, o no satisface, cabe reclamar ante la autoridad de control. Y una advertencia que ahorra disgustos: el consentimiento no es la única base posible, así que «yo nunca di permiso» no basta por sí solo para que un tratamiento sea ilícito.
Contexto legal en España
Es un ámbito de doble capa: un reglamento europeo directamente aplicable y una ley orgánica que lo adapta y desarrolla en lo que aquel deja a los Estados. El artículo 4 de la LOPDGDD es un ejemplo de esa concreción interna.
La consecuencia práctica de esa estructura es que citar solo la ley española da una imagen incompleta, y citar solo el reglamento europeo deja fuera las reglas propias. En este terreno, las dos capas se leen siempre juntas.
Normas clave a tener en cuenta
- LOPDGDD, artículo 1
- Artículo 1 de la Ley de Servicios de la Sociedad de la Información (aplicación sin perjuicio de la normativa de protección de datos)
- Artículo 21 de la Ley de Servicios de la Sociedad de la Información (licitud de la obtención de los datos usados para el envío)
- Artículo 22 de la Ley de Servicios de la Sociedad de la Información (cookies y dispositivos de almacenamiento en el equipo del usuario)
- LOPDGDD, artículo 4
Qué no es / diferencias clave
- Confidencialidad contractual
- El deber de secreto pactado en un contrato es una obligación entre las partes. La protección de datos es normativa imperativa que se aplica aunque nadie haya firmado nada.
- Propiedad intelectual
- Protege obras y creaciones, no la información sobre personas. Una base de datos puede estar protegida como tal y sus datos personales, además, por la normativa de protección de datos.
- Derecho al honor y a la intimidad
- Son derechos fundamentales con su propia vía de tutela. Se solapan a veces con la protección de datos, pero el objeto y el procedimiento son distintos.
Términos relacionados
Responsabilidad proactiva: no basta con cumplir, hay que poder probarlo
Es el principio que gobierna toda la materia y el que más se malinterpreta. No es suficiente con tratar los datos correctamente: hay que estar en condiciones de demostrarlo documentalmente en cualquier momento.
Por eso una inspección no pregunta si se cumple, sino que pide ver el registro de actividades de tratamiento, la base legal identificada para cada uno, los contratos con quienes acceden a los datos y las medidas de seguridad implantadas. Sin esa documentación, cumplir de hecho no sirve de mucho.
- Registro de actividades de tratamiento
- Base legal identificada para cada tratamiento
- Información clara a los interesados en el momento de recoger sus datos
- Contratos de encargo con proveedores que acceden a los datos
- Medidas técnicas y organizativas proporcionadas al riesgo
- Evaluación de impacto cuando el tratamiento puede suponer un riesgo alto
La base legal: el consentimiento no es la única
Es el error más extendido: creer que todo tratamiento necesita consentimiento. En realidad el consentimiento es solo una de las bases posibles, y con frecuencia no es la más adecuada.
Ejecutar un contrato, cumplir una obligación legal, proteger intereses vitales, cumplir una misión de interés público o satisfacer un interés legítimo son bases igualmente válidas. Apoyarse en el consentimiento cuando existe otra base más sólida es contraproducente, porque el consentimiento puede retirarse en cualquier momento.
Tus derechos
Cualquier persona puede ejercerlos frente a quien trate sus datos, de forma gratuita y sin necesidad de justificar el motivo en la mayoría de los casos.
- Acceso: saber qué datos tuyos se tratan y con qué finalidad
- Rectificación: corregir los datos inexactos o incompletos
- Supresión: que se eliminen cuando ya no sean necesarios o el tratamiento sea ilícito
- Oposición: oponerte a determinados tratamientos, incluida la mercadotecnia directa
- Limitación: que se conserven pero no se usen mientras se resuelve una controversia
- Portabilidad: recibir tus datos en formato estructurado para llevarlos a otro proveedor
Brechas de seguridad
Ante un incidente que afecte a datos personales hay que documentarlo desde el primer momento y valorar sin demora si debe notificarse a la autoridad de control, lo que procede salvo que sea improbable que suponga un riesgo para los derechos de los afectados.
El plazo para hacerlo es muy breve desde que se tiene conocimiento, de modo que la decisión se toma en horas, no en días. Si el riesgo para las personas es alto, además hay que comunicárselo a ellas. Tener preparado el protocolo antes de que ocurra el incidente es lo que marca la diferencia.
Dato de autoridad
El artículo 1 de la LOPDGDD fija su objeto: adaptar el ordenamiento español al Reglamento (UE) 2016/679, «relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos», y completar sus disposiciones.
Encuentra un abogado
Preguntas frecuentes sobre protección de datos
¿Necesito consentimiento para tratar datos de mis clientes?
No siempre, y con frecuencia no es la mejor base. Ejecutar el contrato que te vincula con el cliente, cumplir una obligación legal como la fiscal, o un interés legítimo debidamente ponderado son bases válidas. Apoyarse en el consentimiento cuando existe otra base es un error, porque puede retirarse en cualquier momento.
¿Basta con tener una política de privacidad en la web?
No. Es la parte visible, pero lo exigible es poder demostrar el cumplimiento: registro de actividades, bases legales, contratos con encargados, medidas de seguridad y, cuando proceda, evaluación de impacto y delegado de protección de datos. Eso es lo que se comprueba en una inspección.
¿Cómo ejerzo mis derechos sobre mis datos?
Dirigiéndote al responsable del tratamiento, normalmente a través del canal que indique su política de privacidad, de forma gratuita y sin tener que justificar el motivo en la mayoría de los casos. Si no responde o lo hace de forma insatisfactoria, puedes reclamar ante la autoridad de control.
¿Qué hago si sufro una brecha de seguridad?
Documentar el incidente desde el minuto uno y valorar de inmediato si procede notificarlo a la autoridad de control, lo que corresponde salvo que sea improbable que entrañe riesgo para los derechos de los afectados. El plazo es muy breve. Si el riesgo es alto, hay además que informar a las personas afectadas.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.