Pablo Fdez. Burgueño

Documentación de Protección de Datos

Autoridades de control

1. España

  1. Agencia Española de Protección de Datos (AEPD) – Autoridad estatal, con competencia en todo el territorio nacional.
  2. Autoridad Catalana de Protección de Datos (APDCAT) – Competencia en el ámbito de la Generalitat y entidades vinculadas en Cataluña.
  3. Agencia Vasca de Protección de Datos (AVPD) – Competencia en el ámbito institucional del País Vasco.
  4. Consejo de Transparencia y Protección de Datos de Andalucía – Competencia en el ámbito institucional de la Junta de Andalucía.

2. Unión Europea

  1. 27 autoridades nacionales (por ejemplo: AEPD en España, CNIL en Francia, Garante Privacy en Italia, Data Protection Commission en Irlanda, etc.).
  2. Supervisor Europeo de Protección de Datos (SEPD): autoridad para instituciones y organismos de la UE.
  3. Comité Europeo de Protección de Datos (CEPD): órgano independiente que asegura la coherencia y cooperación entre autoridades

Normativa general

1. España

2. Unión Europea

  • Reglamento general de protección de datos (versión consolidada en español)
  • Directiva (UE) 2016/680 – Protección de datos en el ámbito penal
  • Carta de los Derechos Fundamentales de la UE (art. 7 y 8)
  • Tratado de Funcionamiento de la Unión Europea (art. 16)
  • Reglamento (UE) 2023/2854 – Data Act
  • Reglamento (UE) 2022/868 – Data Governance Act (DGA)
  • Directiva (UE) 2019/1024 – Datos abiertos y reutilización de información del sector público

Administración Pública

Normativa principal

  • Reglamento (UE) 2018/1725: regula la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos.
  • Ley 23/2011 de depósito legal (art. 8): La Biblioteca Nacional podrá conservar copias de los sitios web que considere.
  • Reglamento eIDAS: REGLAMENTO (UE) No 910/2014 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE
  • Ley 19/2013 de transparencia (arts. 5 y 15): Establece la obligación para las administraciones públicas de publicar sus registros de actividad y determina la forma de entregar documentos en los que consten datos personales.
  • Orden INT/3215/2010, del conductor habitual y del arrendatario a largo plazo: Exige la firma del conductor para su inscripción en el Registro de Vehículos.

Sanidad

1. Normativa sanitaria específica

2. Normativa laboral y prevención de riesgos

3. Criterios y resoluciones de la AEPD

4. Sentencias y dictámenes relevantes

5. Casos de archivo por la AEPD

Comunicación, marketing y prensa

1. Normativa aplicable

2. Envío de comunicaciones comerciales

Opción 1: Con consentimiento expreso (art. 21.1 LSSI)

  • Requiere consentimiento específico por sectores (art. 45 RLOPD).
  • No aplica la Lista Robinson si existe consentimiento expreso.
  • Debe incluir sistema de oposición electrónico en cada envío.
  • ✳️ STS 188/2022: Multa de 40.000 € por no verificar el email mediante confirmación activa (doble opt-in).
  • ✳️ PS/00208/2018: Multa de 3.000 € por enviar correos publicitarios sin verificar el email ni garantizar baja efectiva.
  • ✳️ PS/00397/2014: Multa de 60.000 € por enviar correos publicitarios sin verificar el email mediante doble opt-in ni garantizar la baja.
  • ✳️ E/04696/2016: Sin multa gracias a que se comprometió a implementar doble opt-in y eliminar los correos del denunciante de forma voluntaria.
  • 📝 Alemania – Sentencia BGH I ZR 164/09: el Tribunal Supremo alemán declaró que el sistema de doble opt-in verifica que alguien tiene acceso a una dirección de correo electrónico, pero no garantiza que la persona que confirma el email sea también titular del número de teléfono proporcionado en el formulario. Por tanto, no sirve como prueba de consentimiento para llamadas.
  • 📝 Austria – Datenschutzbehörde (DSB): considera infracción no usar doble opt-in en registros digitales.
  • 📝 Francia – CNIL (Commission Nationale de l’Informatique et des Libertés): exige consentimiento previo verificable para publicidad electrónica, lo que implica doble opt-in.
  • 📝 Países Bajos – Autoriteit Persoonsgegevens (AP): exige consentimiento claro y demostrable, recomendando doble opt-in como práctica segura.

Opción 2: Sin consentimiento (art. 21.2 LSSI + art. 6.f RGPD)

  • Solo para productos o servicios propios similares a los contratados.
  • Vigencia: mientras dure la relación contractual y hasta 12 meses tras la última interacción del receptor con el emisor (Circular 1/2023).
  • Obligatorio informar previamente y permitir oposición efectiva.
  • ✳️ STS 4399/2020 + ✳️ Resolución AEPD E/01423/2020: Refuerzan el deber de información, de oposición y la expectativa razonable del receptor (Dictamen 06/2004 GT29, Informe 0195/2017 AEPD y Considerando 47 RGPD).
  • 📝 Informe 0195/2017 (AEPD): Confirma que el interés legítimo puede ser base jurídica para comunicaciones no electrónicas (como correo postal o llamadas), siempre que exista una expectativa razonable del cliente y se respete su derecho de oposición. Además, aclara que la LSSI prevalece sobre el RGPD en comunicaciones electrónicas, por ser norma especial.

3. Límites y buenas prácticas

Lista Robinson

  • Consulta obligatoria cada 2 meses.
  • Exclusión permanente salvo nuevo consentimiento.

Llamadas telefónicas

  • Máximo 3 intentos mensuales por cliente no contactado.
  • Si el cliente rechaza la oferta, no volver a llamar en 3 meses.
  • Horario permitido: 9:00–21:00, excluyendo festivos y fines de semana.
  • Baja: inmediata o en máximo 30 días si hay causa técnica justificada.

Mensajes electrónicos

  • Máximo 3 al mes si son promocionales.
  • Sin límite si forman parte de una suscripción activa.
  • Baja: inmediata o en máximo 30 días si hay causa técnica justificada.

Cookies

  • Consentimiento o rechazo válido por 24 meses. No volver a preguntar en los tres meses siguientes (art. 8 Ley 3/1991).
  • El usuario puede modificar su decisión en cualquier momento.
  • El banner debe ser accesible de nuevo bajo demanda.

Correo postal y visitas presenciales

  • No hay límite legal siempre que en el sobre no figuren datos personales, pero se considera desleal la reiteración no deseada.
  • Recomendación: máximo 3 impactos mensuales.

4. Sanciones relevantes por uso indebido de WhatsApp

La AEPD ha sancionado a varias entidades por utilizar WhatsApp sin base legítima ni consentimiento válido:

5. Casos y resoluciones destacadas

  • R/00171/2015 (LinkedIn) Prohibido extraer datos para fines comerciales sin consentimiento. Permitido para contratación directa. No se pueden usar herramientas automáticas.
  • PS/00258/2020 Multa de 12.000 € por llamadas no consentidas a persona incluida en Lista Robinson.
  • E/09158/2018 (DIA SA) El consentimiento para recibir publicidad no es desproporcionado si se vincula a descuentos voluntarios.
  • Informe 89/2020 (AEPD) El concepto de «fuente accesible al público» desaparece con el RGPD. Requiere juicio de ponderación.

Cookies

Protección de datos en el uso de cookies

Defensa y justicia

1. Derechos fundamentales y secreto profesional

2. Videovigilancia y seguridad privada

Informe 10308/2019 (AEPD) La videovigilancia no legitima automáticamente el uso de sistemas de reconocimiento facial. Estos requieren una evaluación específica de impacto, proporcionalidad y necesidad, caso por caso.

Ley 5/2014, de Seguridad Privada (arts. 15, 42, 48 y 49) Regula el uso de videocámaras por empresas de seguridad y detectives privados. Establece:

  • Requisitos de proporcionalidad y finalidad legítima.
  • Conservación de imágenes e informes de investigación durante 3 años.
  • Prohibición de grabación en espacios privados sin consentimiento o habilitación legal.

Informe 9/2019 (AEPD) Determina que la empresa de seguridad que decide sobre la finalidad y medios del tratamiento es responsable, no mero encargado, cuando actúa por cuenta propia.

Educación

Protección de datos en el ámbito educativo

Finanzas

Protección de datos en el ámbito financiero

Logística y franquicias

Protección de datos en logística y franquicias

  • Informe 0263/2009 (AEPD) En el modelo de franquicia, el franquiciado es responsable del tratamiento de los datos de sus clientes, y el franquiciador actúa como encargado si trata los datos por cuenta del franquiciado. Si el franquiciador desea tratar los datos como responsable, se requiere consentimiento previo del interesado.
  • Ley 43/2010, de servicio postal universal y mercado postal Regula el tratamiento de datos en el sector postal, incluyendo el secreto de las comunicaciones, la inviolabilidad de los envíos y los derechos de los usuarios. Establece obligaciones específicas para operadores postales en relación con la protección de datos personales.

Telecomunicaciones

Protección de datos en telecomunicaciones

Partidos políticos

Protección de datos en partidos políticos

Laboral

Protección de datos en el ámbito laboral

  • Estatuto de los Trabajadores (RDL 2/2015) – Determina condiciones sobre la inviolabilidad del trabajador, su seguridad y salud, así como la forma en que el empleador puede controlar al empleado (arts. 18, 19, 20 y 20 bis).
  • Ley 23/2015, de Inspección de Trabajo y Seguridad Social – Regula las facultades inspectoras, incluyendo el acceso a datos de trabajadores sin necesidad de consentimiento (arts. 16, 18 y 24).
  • Real Decreto 1844/1994, de elecciones a órganos de representación laboral – Establece qué datos de los empleados han de hacerse públicos en procesos electorales (art. 6).
  • Ley 31/1995, de Prevención de Riesgos Laborales – Regula la vigilancia de la salud y la protección de datos sanitarios en el ámbito laboral (art. 22).
  • Ley 14/1994, de Empresas de Trabajo Temporal – Define el régimen de cesión de trabajadores y responsabilidades en el tratamiento de datos.

1. Informes y guías AEPD

  • Guía sobre la protección de datos en las relaciones laborales (AEPD) – Incluye recomendaciones sobre dispositivos digitales, registro de jornada, redes sociales, whistleblowing y desconexión digital.
  • Informe 112/2008 – El servicio de vigilancia de la salud externo (PRL) es responsable del tratamiento de los datos cedidos por la empresa contratante.
  • Informe 412/2009 – En determinados casos, se pueden comunicar nóminas y el RNT (antiguo TC2) a la empresa principal cuando hay subcontratas.
  • Informe 172/2006 – Una ETT y la empresa usuaria no han de firmar un contrato de encargado del tratamiento (CET).

2. Resoluciones AEPD

  • R/00214/2021 – Infojobs debe informar, a quien ejercita su derecho de acceso, sobre las empresas a las que ha comunicado el CV de un candidato.
  • PS/00245/2019 – Se considera dato de carácter especial la respuesta que dé una persona cuando se le pregunta por su sexo y se ofrece la opción “otras”.
  • PS/00237/2021 – Sanción impuesta a una empresa por no proporcionar la información requerida sobre protección de datos en una oferta de trabajo.

3. Sentencias y resoluciones judiciales

  • TSJCV Social, 22 junio 2021 – Una empresa puede despedir de forma procedente a los empleados que caen en phishing y fraude del CEO.
  • STS 3910/2016 – La Sección Sindical está legitimada para enviar por email información sindical, con límites y obligaciones de información.
  • SAN 4002/2020 – La empresa no puede entregar las direcciones de correo electrónico de los trabajadores a los representantes sindicales.
  • STS 1413/2021 – El Tribunal Supremo confirma la pena de prisión a un empresario que accedió reiteradamente al correo electrónico particular de un trabajador.

Innovación y Tecnología

Protección de datos en el uso de nuevas tecnologías

Guías de Protección de datos

Responsable del tratamiento

Análisis de riesgos y evaluaciones (EIPD)

Transparencia y consentimiento

Encargos y Transferencias

Incidentes y brechas de seguridad

Autoridades de control y multas administrativas

Sentencias de interés

Las sentencias resuelven sobre casos concretos. Recuerda: cuando cites palabras de algún tribunal, debes siempre añadir el contexto.

A.- Derecho al Olvido:

Sentencias fundamentales sobre Derecho al Olvido (Unión Europea y España):

  • TJUE – Sentencia del Derecho al Olvido: Explica qué es y qué alcance tiene el Derecho al Olvido.
  • TS – Sentencia 964/2016: Google Spain S.L. carece de legitimación pasiva para ser parte en los procedimientos de tutela de derechos seguidos ante la Agencia Española de Protección de Datos.
  • TS – Sentencia 545/2015 (ver post): Los periódicos digitales deben imposibilitar que los motores de búsqueda indexen ciertas noticias antiguas cuando los afectados se lo soliciten, al entender que que en tales casos los derechos fundamentales al honor, a la intimidad y a la protección de datos prevalecen sobre la libertad de información.
  • TS – Sentencia 1280/2016: Google Spain SL condenada a indemnizar por no retirar información de un indulto de 1999.
  • TS – Sentencia 4016/2020 (post): Reconocer solo el derecho al olvido cuando se busque el nombre y un apellido no es coherente.

Recursos adicionales:

Formularios para ejercitar el derecho al olvido:

B.- Miscelánea de sentencias imprescindibles:

C.- Otras sentencias de interés:

  • TJUE – C-25/17 – Jehovan todistajat (nota de prensa en español): Una comunidad religiosa, como la comunidad los Testigos de Jehová, es responsable, junto con sus miembros predicadores, del tratamiento de los datos personales recogidos durante una actividad de predicación puerta a puerta.
  • STS – 698/2021 – Testigos Cristianos de Jehová: la Confesión Religiosa de Testigos Cristianos de Jehová tiene interés legítimo en conservar datos de las personas expulsadas o desasociadas
  • TJUE – Asunto C‑40/17: El Tribunal considera que el responsable de un sitio web y FB son corresponsables en determinados tratamientos vinculados a la extracción de datos a través de un botón «me gusta» integrado en dicho sitio web.
  • STS 1090/2021: El TS condena a prisión (2a 6m 1d) a una enfermera que accedió al historial clínico de tres pacientes que no tenía asignados en el centro de salud donde trabajaba.
  • STS 2484/2019: El TS considera que las mediciones de consumo eléctrico son un dato personal.
  • STC 169/2018: El Tribunal considera inconstitucional el uso genérico de la cámara oculta en el periodismo.
  • STS 363/2016 y STC 27/2020 (nota de prensa del CGPJ): Prohibición de publicar, incluso por periodistas, fotografías tomadas de Facebook sin los correspondientes consentimientos expresos.
  • STS 5731/2012: El TS considera una intromisión la toma de fotografías no consentidas (robados) a una famosa en una playa pública.

Resoluciones de interés

  • Sanciones RGPD en países miembros de la UE: GDPR Enforcement Tracker
  • Selección de PS con multas RGPD en España (accede a las demás a través de la web de la AEPD):
    • PS/00059/2020: VODAFONE ESPAÑA, S.A.U. (8.150.000 €)
    • PS/00477/2019: CAIXABANK, S.A. (6.000.000 €)
    • PS/00070/2019: BANCO BILBAO VIZCAYA ARGENTARIA, S.A. – BBVA (5.000.000 €)
    • PS/00334/2019: D. B.B.B. (10.000 €): AEPD impone multa de 10.000 euros a una persona que difunde por WhatsApp fotos íntimas de otra. Para determinar el importe de la multa se tiene en cuenta que el infractor es una persona física que no se dedica al tratamiento de datos y que divulgó sin dolo y solo localmente las imágenes, siendo afectada una sola persona.
    • PS/00300/2019: VUELING AIRLINES, S.L. (30.000 € reducida a 18.000 €)
    • PS/00299/2019: TWITTER SPAIN, S.L. (30.000 €)
    • PS/00233/2019: VIAQUA XESTIÓN INTEGRAL DE AUGAS DE GALICIA, S.A. (60.000 €)
    • PS/00159/2019: AVON COSMETICS SAU (60.000 €)
    • PS/00127/2019: IKEA IBERICA, S.A.U. (10.000 €)
    • PS/00121/2019: GESTIÓN DE COBROS, YO COBRO SL. (60.000 €)
    • PS/00092/2019: VODAFONE ONO, S.A.U. (60.000 € reducida a 36.000 €)
    • PS/00074/2019: ENDESA ENERGÍA XXI, S.L.U. (100.000 €, reducida a 60.000 €)
    • PS/00411/2018: VODAFONE ESPAÑA, S.A.U. (45.000 €, reducida a 27.000 €)
    • PS/00331/2018: VODAFONE ESPAÑA, S.A.U. (5.000 €)
    • PS/00326/2018: LIGA NACIONAL DE FÚTBOL PROFESIONAL (250.000 €)
  • Resolución de Tutela de Derechos de interés:
    • R/00540/2019: No es necesario solicitar el DNI para el ejercicio de derechos (en este caso, de supresión) si la persona interesada se identifica suficientemente por otros medios (en este caso, una dirección de email es suficiente), ya que «carece de sentido que sea mayor el rigor para dar de baja que el rigor para dar de alta».
  • Apercibimientos de interés:
    • PS/00195/2019: DESSAU ARTE INMOBILIARIO, S.L. [Incorporación a grupo de WhatsApp sin consentimiento]
    • A/0023/2019: VOYAGE PRIVE ESPAÑA, S.L. [Incumplimiento de la normativa de cookies]
    • A/00001/2019: LIVING TERRITORIWEB, S.L. [Incumplimiento de la normativa de cookies]
  • Archivos de interés:
    • E/08205/2019: PROMOFARMA ECOM S.L [brecha de seguridad con filtración de datos personales de 1.3 millones de personas]
    • E/09159/2020: MAPFRE ESPAÑA COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. [brecha de seguridad con filtración de datos de menos de 10 personas]

Consultas realizadas a la AEPD

Durante estos años he presentado, por iniciativa propia o en representación de terceros, consultas a la AEPD. Muchas veces a los responsables nos les basta con que una norma imponga una obligación concreta, sino que demandan una respuesta escrita por parte de la AEPD. Por este motivo verás consultas que no habría sido necesario ni formular. A continuación comparto una selección de 10 consultas interesantes.

A.- ¿Un abogado necesita firmar CET con sus clientes?

B.- ¿Es necesario que los suscriptores a un boletín renueven sus consentimientos, que ya otorgaron de forma expresa antes del 25 de mayo de 2018? (Considerando 171 RGPD)

C.- ¿RGPD es aplicable al tratamiento de los datos de las personas de contacto en las empresas?

D.- ¿RGPD permite seguir usando usando casillas redactadas en negativo o premarcadas para obtener consentimientos u obtenerlos por el paso 30 días sin oposición?

E.- La existencia de la Lista Robinson presupone que todo nacido consiente tácitamente la recepción de publicidad dirigida. ¿Seguirá existiendo la Lista Robinson con el RGPD?

F.- Un grupo de empresas puede tener un único DPO que no sepa español, no esté en España y no conozca el derecho español, siempre que tenga a su cargo a un gestor español con un equipo en España formado por profesionales que sepan español y dominen el derecho español?

G.- RGPD para influencers: Consulta jurídica sobre la posibilidad de convertir una base de datos de miles de usuarios obtenida para fines personales en una base de datos para el envío de comunicaciones comerciales de terceros por vía electrónica

H.- ¿Es necesario firmar un CET con empresas de correos y mensajería?

  • Consulta
  • Respuesta AEPD, de 21 de febrero de 2019.
  • Informe 64/2020 (AEPD): Por norma general, Correos será Encargada cuando sea contratada de acuerdo con la legislación de contratación del sector público o por un Responsable privado, siempre que no se trate de prestaciones incluidas en el servicio postal universal o en la “excepción doméstica”, en cuyo caso será Responsable. No obstante, Correos podrá ser tanto Responsable como Encargada para un mismo servicio pero en relación con tratamientos diferentes. En definitiva, se debe analizar caso por caso, cada situación, debido a que la apariencia formal de la existencia o inexistencia de un contrato puede no corresponder con la naturaleza material de la toma de decisiones que se haga sobre los tratamientos.

I.- ¿Hay que firmar contrato de encargado del tratamiento con auditores de cuentas?

  • Consulta (ver enunciado)
  • Respuesta AEPD, de 22 de noviembre de 2018.

J.- ¿Se debe permitir el acceso al interesado a datos que hayan sido bloqueados por el responsable?

Preguntas frecuentes

A.- ¿Una UTE es Responsable del Tratamiento?

A efectos de cumplimiento normativo, una Unión Temporal de Empresas (UTE) funciona de forma similar a un Grupo de Empresas (GE). Ambas (UTE y GE) carecen de personalidad jurídica y son las sociedades que las componen las que siguen siendo responsables de sus respectivas actividades de tratamientos de datos. Solo en caso de que todas las sociedades de la UTE determinen conjuntamente los objetivos y los medios del tratamiento, la UTE será considerada corresponsable de la actividad de tratamiento que corresponda. De lo contrario, solo habrá responsables independientes (ya sean empresas que actúan de forma autónoma, o empresas en corresponsabilidad con otras empresas, sean estas de la UTE o externas.

Estos documentos soportan las conclusiones:

  • Memoria 2000 AEPD (página 12) – «En los casos de Grupo de Empresas y de Unión Temporal de Empresas, habrá que tener en cuenta que el grupo como tal carece de personalidad jurídica y que las sociedades integradas en el Grupo conservan su personalidad jurídica propia, por lo que cada una de éstas seguirá siendo responsable de sus ficheros. Las Agrupaciones de Interés Económico al tener personalidad jurídica podrán ser responsables de ficheros».
  • Informe 245/2010 AEPD (página 3) – «Por tanto, cada sociedad será responsable de forma individual, de tantos ficheros como conjuntos estructurados de datos, adscritos a una determinada finalidad legítima, según el artículo 4.1 de la Ley, utilice».
  • Informe Jurídico 0494/2008 AEPD (página 2): «cada una de las empresas que integran el grupo será responsable del fichero de datos de sus correspondientes empleados».
  • Reglamento General de Protección de Datos (Considerando 48) – «Los responsables que forman parte de un grupo empresarial o de entidades afiliadas a un organismo central pueden tener un interés legítimo en transmitir datos personales dentro del grupo empresarial para fines administrativos internos».
  • Reglamento General de Protección de Datos (Art. 26) – «Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento».

Curso DPD

La Agencia Española de Protección de Datos mantiene (a 16 de febrero de 2020) en esta página un listado con siete entidades de certificación para DPD acreditadas por ENAC:

  1. IVAC INSTITUTO DE CERTIFICACIÓN, SL: Autorizada el 07/09/2018.
  2. ASOCIACIÓN PARA EL FOMENTO DE LA SEGURIDAD DE LA INFORMACIÓN, ISMS FORUM: Autorizada el 11/10/2018.
  3. ASOCIACIÓN ESPAÑOLA PARA LA CALIDAD (AEC): Autorizada el 26/10/2018.
  4. ANF AUTORIDAD DE CERTIFICACIÓN ASOCIACIÓN, ANF AC: Autorizada el 25/01/2019.
  5. CUALICONTROL – ACI, S.A. (Unipersonal): Autorizada el 27/09/2019.
  6. AENOR INTERNACIONAL, S.A. (Unipersonal): Autorizada el 30/09/2019.
  7. ADOK CERTIFICACIÓN INTERNACIONAL, SL: Autorizada el 22/11/2019.

Si quieres un curso online o presencial que esté reconocido para certificarte, ahora puedes encontrar las entidades de formación reconocidas, con enlaces a sus programas, precios y fichas de inscripción, en la web de la AEPD sobre Certificación de delegado de protección de datos (cuando esta web esté disponible).

Acrónimos