TÍTULO I — Disposiciones generales (arts. 1-3)
- Art. 1 — Doble objeto: a) adaptar el ordenamiento al RGPD; b) garantizar los derechos digitales. Derecho fundamental amparado por el art. 18.4 CE.
- Art. 2 — Ámbito: tratamiento total o parcialmente automatizado, y no automatizado en ficheros. Exclusiones: a) art. 2.2 RGPD; b) personas fallecidas (sin perjuicio del art. 3); c) materias clasificadas. Aplicación supletoria a: régimen electoral, instituciones penitenciarias, Registro Civil, Registros de la Propiedad y Mercantiles (art. 2.3). Órganos judiciales y Ministerio Fiscal: se rigen por RGPD y LOPDGDD (arts. 2.4-2.5).
- Art. 3 — Datos de personas fallecidas: familiares, personas vinculadas de hecho y herederos pueden acceder, rectificar o suprimir. El fallecido puede prohibirlo expresamente (salvo datos patrimoniales). Menores fallecidos: representantes legales o Ministerio Fiscal.
TÍTULO II — Principios de protección de datos (arts. 4-10)
- Art. 4 — Exactitud (art. 5.1.d RGPD): no imputable al responsable si datos se obtuvieron directamente del afectado, de intermediario, por portabilidad o de registro público.
- Art. 5 ⭐ — Deber de confidencialidad: obligatorio para responsables, encargados y todas las personas que intervengan en cualquier fase. Complementario del secreto profesional. Se mantiene AUN CUANDO finalice la relación con el responsable o encargado.
- Art. 6 — Consentimiento: libre, específico, informado e inequívoco. Pluralidad de finalidades = consentimiento para todas. No cabe consentimiento tácito.
- Art. 7 ⭐ — Consentimiento de menores: solo si es mayor de 14 años. Menor de 14 = consentimiento del titular de la patria potestad o tutela.
- Art. 8 — Tratamiento por obligación legal (art. 6.1.c RGPD): norma UE o norma con rango de ley. Interés público (art. 6.1.e RGPD): competencia atribuida por norma con rango de ley.
- Art. 9 — Categorías especiales: el solo consentimiento no basta para tratar datos cuya finalidad sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial/étnico (para evitar discriminación). Supuestos g), h), i) del art. 9.2 RGPD: norma con rango de ley.
- Art. 10 — Datos penales: fuera de supuestos legales, solo abogados y procuradores para información de sus clientes.
TÍTULO III — Derechos de las personas (arts. 11-18)
- Art. 11 — Transparencia: información por capas (información básica + enlace a la completa). Info básica mínima: identidad del responsable, finalidad, derechos arts. 15-22 RGPD. Si perfilado: incluirlo en info básica. Datos no obtenidos del afectado: añadir categorías y fuentes.
- Art. 12 — Ejercicio de derechos: por el afectado o representante legal o voluntario. Actuaciones gratuitas. Menores de 14 años: ejercen los titulares de la patria potestad.
- Art. 13 — Derecho de acceso (art. 15 RGPD): acceso remoto directo y seguro = otorgado. Repetitivo si se ejerce más de una vez en 6 meses, salvo causa legítima.
- Art. 14 — Derecho de rectificación (art. 16 RGPD).
- Art. 15 — Derecho de supresión (art. 17 RGPD): si oposición a mercadotecnia directa, el responsable puede conservar datos identificativos para impedir tratamientos futuros.
- Art. 16 — Limitación del tratamiento (art. 18 RGPD): debe constar claramente en los sistemas de información.
- Art. 17 — Portabilidad (art. 20 RGPD).
- Art. 18 — Oposición y decisiones individuales automatizadas (arts. 21 y 22 RGPD).
TÍTULO IV — Tratamientos concretos (arts. 19-27)
- Art. 19 — Datos de contacto profesional: presunción de licitud por interés legítimo (art. 6.1.f RGPD). Solo datos de localización profesional. Extensible a empresarios individuales y profesionales liberales.
- Art. 20 — Sistemas de información crediticia: deudas ciertas, vencidas y exigibles no impugnadas. Límite máximo: 5 años desde vencimiento. Notificación al afectado en 30 días (datos bloqueados durante ese plazo). Acreedoras y sistema = corresponsables.
- Art. 21 — Operaciones mercantiles: si no se concluye, cesionaria suprime datos de inmediato (sin bloqueo).
- Art. 22 ⭐ — Videovigilancia: supresión en 1 mes máximo. Excepción: actos contra integridad → a disposición de la autoridad en 72 horas. Deber de información: dispositivo informativo visible.
- Arts. 23-24 — Exclusión publicitaria; protección de informantes.
- Arts. 25-27 — Función estadística, archivo en interés público, infracciones/sanciones administrativas.
TÍTULO V — Responsable, encargado, DPD y códigos de conducta (arts. 28-39)
- Art. 28 — Obligaciones generales: medidas técnicas y organizativas, evaluación de impacto. Supuestos de mayor riesgo: discriminación, usurpación identidad, categorías especiales, perfilado, menores, tratamiento masivo, transferencias internacionales.
- Art. 29 — Corresponsabilidad: según actividades efectivamente desarrolladas.
- Arts. 30-31 — Representantes (solidaridad AEPD–responsable). Registro de actividades de tratamiento: si hay DPD, comunicarle cambios. Sujetos art. 77.1: inventario electrónico público.
- Art. 32 — Bloqueo: identificación y reserva, solo para jueces, tribunales, Ministerio Fiscal o AAPP competentes, por el plazo de prescripción. Después: destrucción.
- Art. 33 — Encargado: acceso a datos para prestar servicio ≠ comunicación de datos. Quien actúe en nombre propio = responsable. Puede conservar datos bloqueados mientras deriven responsabilidades.
- Art. 34 ⭐ — Designación obligatoria del DPD: colegios profesionales, centros docentes, universidades, comunicaciones electrónicas (gran escala), prestadores de servicios de la sociedad de la información (perfiles a gran escala), entidades de crédito, financieros, aseguradoras, inversión, energía, información crediticia, publicidad/prospección comercial, centros sanitarios (excepción: profesionales individuales), emisores de informes comerciales, juego online, empresas de seguridad privada, federaciones deportivas (datos de menores). Comunicación a AEPD en 10 días. Lista pública accesible electrónicamente.
- Art. 35 — Cualificación DPD: certificación voluntaria, titulación universitaria especializada.
- Art. 36 — Posición del DPD: interlocutor ante la AEPD. No removible ni sancionable salvo dolo o negligencia GRAVE. Acceso a datos y procesos sin oposición de confidencialidad. Comunica vulneraciones relevantes a la dirección.
- Art. 37 ⭐ — Intervención del DPD en reclamaciones: afectado → DPD directo = respuesta en 2 meses. AEPD → DPD = respuesta en 1 mes (si no responde, AEPD continúa).
- Art. 38 — Códigos de conducta: vinculantes para adheridos. Resolución extrajudicial. Aprobados por la AEPD.
- Art. 39 — Certificación: acreditación por ENAC.
TÍTULO VI — Transferencias internacionales (arts. 40-43)
- Art. 40 — Régimen: RGPD + LOPDGDD + circulares AEPD.
- Art. 41 — Cláusulas contractuales tipo (AEPD). Normas corporativas vinculantes: plazo máximo 9 meses.
- Art. 42 — Autorización previa de AEPD (sin adecuación ni garantías del art. 46.2 RGPD): plazo máximo 6 meses.
- Art. 43 — Información previa a la AEPD en transferencias por interés legítimo imperioso.
TÍTULO VII — AEPD y autoridades autonómicas (arts. 44-50)
- Art. 44 — AEPD: autoridad administrativa independiente (Ley 40/2015), personalidad jurídica propia. Se relaciona con el Gobierno a través del Ministerio de Justicia. Representante común en el Comité Europeo de Protección de Datos.
- Art. 45 — Régimen jurídico: RGPD + LOPDGDD. Supletoriamente: Ley 40/2015.
- Art. 46 — Régimen económico-presupuestario y de personal.
- Art. 47 — Funciones: supervisar RGPD y LOPDGDD (arts. 57 y 58 RGPD).
- Art. 48 — Presidencia y Adjunto: nombrados por el Gobierno a propuesta del Ministerio de Justicia. Ratificación: Comisión de Justicia del Congreso por mayoría de 3/5 (en primera votación), o mayoría absoluta (segunda votación, con votos de al menos 2 grupos parlamentarios). Mandato: 5 años, renovable una vez. Cese anticipado: incumplimiento grave, incapacidad sobrevenida, incompatibilidad o condena firme por delito doloso. Actos: fin de vía administrativa → recurso ante la Audiencia Nacional.
- Art. 49 — Consejo Consultivo: asesora a la Presidencia, decisiones no vinculantes. Se reúne al menos cada semestre. Miembros nombrados por orden del Ministro de Justicia.
- Art. 50 — Publicidad de resoluciones de la Presidencia de la AEPD.
Arts. 1-50 LO 3/2018