OpoSERGASLa LOPDGDD (Ley Orgánica 3/2018) adapta España al RGPD y reconoce los derechos de las personas sobre sus datos: acceso, rectificación, supresión, limitación, portabilidad y oposición, entre otros (arts. 11-18). Para el examen de PSX conviene fijar tres cosas: la estructura de la ley (disposiciones generales, principios y derechos), la edad de consentimiento de los menores (14 años) y el plazo de respuesta, que es de un mes prorrogable en dos más según el art. 12.3 del RGPD.
Dónde aparece la protección de datos en el programa de PSX
La protección de datos entra en el programa de Personal de Servicios Generales por dos puertas (Anexo II de la Resolución de 1 de marzo de 2019, DOG núm. 47, de 7 de marzo de 2019, al que remite la convocatoria publicada en el DOG núm. 170, de 4 de septiembre de 2025):
- Parte específica, tema 2: la Ley Orgánica 3/2018. Disposiciones generales, principios y derechos de las personas.
- Parte común, tema 7: normativa vigente sobre protección de datos personales y garantía de los derechos digitales, junto con la Ley gallega 3/2001 en el apartado correspondiente del enunciado.
Para un PSX, además, el tema tiene una traducción muy práctica: trabajas en centros sanitarios donde se maneja información especialmente sensible. Lo que aprendes aquí es lo que se espera de ti en el puesto: discreción, deber de confidencialidad y saber a quién remitir una petición de información.
Recuerda que la parte común (temas 1-8) se evalúa en un segundo ejercicio de 10 preguntas más 2 de reserva, 15 minutos y de 0 a 5 puntos, obligatorio pero no eliminatorio, del que está exenta la promoción interna. La parte específica va en el primer ejercicio: 50 preguntas teóricas y 50 de supuestos prácticos, 150 minutos, de 0 a 50 puntos, con un mínimo de 25 y con el descuento de un cuarto de acierto por error.
Estructura de la ley que debes tener en la cabeza
La LOPDGDD es larga, pero el programa se centra en los tres primeros títulos. Esta tabla los resume con sus artículos, todos comprobados en el texto consolidado del BOE:
Un detalle útil: la ley española no repite el RGPD, lo complementa. Los derechos están definidos en los arts. 15 a 22 del RGPD y la LOPDGDD concreta cómo se ejercen en España. Por eso en un examen puede aparecer una cuestión de plazo (que está en el RGPD) mezclada con otra de procedimiento (que está en la LOPDGDD).
Los principios: qué dice el RGPD y qué añade la ley española
El art. 5.1 del RGPD enumera los principios del tratamiento: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; e integridad y confidencialidad. El art. 5.2 añade la responsabilidad proactiva: el responsable debe poder demostrar que cumple.
La LOPDGDD desarrolla algunos de ellos en el Título II. Los más preguntables:
- Art. 5, confidencialidad: los responsables y encargados, y todas las personas que intervengan en cualquier fase del tratamiento, están sujetos al deber de confidencialidad. Es complementario del deber de secreto profesional, y se mantiene aunque haya terminado la relación con el responsable (art. 5.3). Para un PSX es el artículo más cercano a su día a día.
- Art. 6, consentimiento: debe ser libre, específico, informado e inequívoco, por declaración o acción afirmativa. No se puede condicionar un contrato al consentimiento para fines que nada tienen que ver con él (art. 6.3).
- Art. 7, menores: el consentimiento es válido a partir de los 14 años. Por debajo, hace falta el de la patria potestad o tutela.
- Art. 8: el tratamiento por obligación legal o interés público exige una norma con rango de ley.
- Art. 9, categorías especiales: el consentimiento solo no basta para levantar la prohibición de tratar datos sobre ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Los tratamientos de datos de salud amparados en las letras g), h) o i) del art. 9.2 del RGPD necesitan una norma con rango de ley que los ampare.
Los datos de salud son categoría especial. Es la razón por la que en el entorno sanitario se insiste tanto en el acceso limitado a lo imprescindible y en no comentar información de pacientes fuera del ámbito asistencial.
Los derechos de las personas, uno a uno
Aquí está el núcleo del tema. Fíjate en que el RGPD define el derecho y la LOPDGDD dice cómo se ejerce:
Las reglas generales de ejercicio están en el art. 12 de la LOPDGDD:
- Los derechos pueden ejercerse directamente o por medio de un representante.
- No se puede denegar el derecho por haber elegido el afectado otro medio distinto al ofrecido (art. 12.2).
- La prueba del cumplimiento de la obligación de responder recae en el responsable (art. 12.4).
- Los titulares de la patria potestad ejercen los derechos de los menores de 14 años (art. 12.6).
- El ejercicio de los derechos es gratuito para el afectado (art. 12.7).
El plazo de respuesta no está en la ley española sino en el art. 12.3 del RGPD: un mes desde la recepción de la solicitud, prorrogable otros dos meses si es necesario por la complejidad o el número de solicitudes, informando del motivo dentro del primer mes. Lo que sí concreta la LOPDGDD es el límite del derecho de acceso, que es donde se producen más confusiones.
El derecho de acceso: art. 13.3 y art. 13.4, sin mezclarlos
Esta es la trampa más habitual de la ley, y por eso merece su apartado. Dos supuestos distintos que se mezclan en los apuntes:
Lo que no dice la ley: que ejercer el acceso por un medio distinto, o más de una vez en seis meses, sea «excesivo». Cada situación tiene su propio calificativo y su propia consecuencia. Quien confunde las dos suele fallar la pregunta.
«Veces = repetitivo» (13.3, más de una vez en seis meses) y «coste = excesivo» (13.4, medio distinto con coste desproporcionado). Dos ideas, dos palabras.
Otros contenidos del tema
- Personas fallecidas (art. 3): sus familiares, las personas vinculadas por análoga relación de hecho y sus herederos pueden dirigirse al responsable para solicitar el acceso, la rectificación o la supresión, salvo que el fallecido lo hubiera prohibido expresamente o lo establezca una ley. Los herederos mantienen además el acceso a los datos de carácter patrimonial.
- Información por capas (art. 11): la información básica se da en un primer nivel y se completa en un segundo, accesible de forma sencilla.
- Delegado de protección de datos (art. 34.1.l): figuran entre los obligados a designarlo los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
- Ámbito (art. 2): la ley se aplica a los tratamientos de datos personales; hay exclusiones recogidas en ese artículo.
Para ampliar el contraste con el reglamento europeo tienes la ficha RGPD y LOPDGDD: diferencias, y para el vínculo con la actividad asistencial, la guía sobre historia clínica y consentimiento informado.
Cómo lo preguntan en el examen
Tres preguntas ilustrativas tipo test:
Pregunta 1. Según la LOPDGDD, el consentimiento de un menor para el tratamiento de sus datos es válido a partir de:
- Los 12 años.
- Los 14 años.
- Los 16 años.
- Los 18 años.
Respuesta: b. Art. 7. Por debajo de 14 años se requiere el consentimiento de quien ostente la patria potestad o tutela.
Pregunta 2. El plazo general para atender el ejercicio de un derecho de protección de datos es de:
- Diez días hábiles.
- Quince días naturales.
- Un mes, prorrogable otros dos meses en los casos previstos.
- Seis meses.
Respuesta: c. Art. 12.3 del RGPD. Los seis meses son el periodo del art. 13.3 de la LOPDGDD para valorar si el acceso es repetitivo, no un plazo de respuesta.
Pregunta 3. El deber de confidencialidad de quienes intervienen en el tratamiento de datos:
- Termina cuando se extingue la relación con el responsable.
- Se mantiene aunque haya finalizado la relación con el responsable.
- Solo afecta a los médicos.
- No existe si el trabajador es temporal.
Respuesta: b. Art. 5.3 de la LOPDGDD: el deber de confidencialidad se mantiene aunque hubiera finalizado la relación del obligado con el responsable.
Evita estas confusiones: sustituir «supresión» por «cancelación» (la terminología ARCO es de la ley derogada); creer que los seis meses son el plazo de respuesta; confundir un acceso repetitivo (13.3) con una solicitud excesiva por medio distinto (13.4); pensar que el consentimiento de un menor siempre exige a los padres; y atribuir a la LOPDGDD el plazo de un mes, que está en el RGPD. Las siglas ARSULIPO que circulan en algunos apuntes son informales: no aparecen en ninguna norma.
Cómo estudiarlo
El método más eficaz es una tabla de dos columnas: derecho y artículo de cada norma, más una línea para cada trampa. Después repásalo con tests por tema. Si preparas también otras categorías, la guía de derechos de protección de datos en sanidad amplía el enfoque, y en legislación de PSX tienes el mapa del resto de normas del programa.
Practica la protección de datos con tests de PSX
El plan Free de OpoSERGAS incluye 5 temas, 5 tests al día y 2 simulacros al mes. Haz un test y comprueba si distingues acceso, repetitivo y excesivo.
Crear cuenta y preparar PSXTambién puedes revisar el contenido de la oposición en la página de PSX.
Preguntas frecuentes
¿Qué es la LOPDGDD y qué regula?
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Según su art. 1, adapta el ordenamiento español al Reglamento (UE) 2016/679 (RGPD) y garantiza los derechos digitales de la ciudadanía.
¿Cuánto tiempo tiene el responsable para contestar a un derecho de protección de datos?
Un mes desde la recepción de la solicitud, prorrogable otros dos meses cuando sea necesario por la complejidad o el número de solicitudes, informando al interesado de la prórroga y sus motivos dentro del primer mes (art. 12.3 del RGPD).
¿Qué dice el art. 13 de la LOPDGDD sobre el derecho de acceso?
Se rige por el art. 15 del RGPD. El art. 13.3 permite considerar repetitivo el ejercicio del derecho más de una vez en seis meses, salvo causa legítima. El art. 13.4 considera excesiva la solicitud de un medio distinto al ofrecido cuando su coste sea desproporcionado, y el afectado asumirá el exceso de coste.
¿Desde qué edad puede un menor consentir el tratamiento de sus datos?
Desde los 14 años (art. 7 de la LOPDGDD). Por debajo de esa edad hace falta el consentimiento de quien ostente la patria potestad o tutela.
¿Se aplica la protección de datos a las personas fallecidas?
El RGPD no se aplica a ellas, pero el art. 3 de la LOPDGDD permite que sus familiares, personas vinculadas de hecho y herederos soliciten el acceso, la rectificación o la supresión de sus datos, salvo que el fallecido lo hubiera prohibido o lo impida una ley.
¿Qué diferencia hay entre ARCO y los derechos actuales?
ARCO (acceso, rectificación, cancelación y oposición) era la terminología de la antigua LOPD 15/1999, hoy derogada. La normativa vigente reconoce además los derechos de limitación del tratamiento, portabilidad y a no ser objeto de decisiones automatizadas, y llama supresión a lo que antes era cancelación.