OpoSERGASLa protección de datos es el tema 7 de la parte común del programa de Personal de Servicios Generales (Anexo II de la convocatoria publicada en el DOG núm. 170 de 4 de septiembre de 2025) y, además, el tema 2 de la parte específica (Resolución de 1 de marzo de 2019, DOG núm. 47 de 7 de marzo de 2019, que cita la Ley Orgánica 3/2018). Las dudas típicas están en los detalles que se mezclan: quién es responsable y quién encargado, cuándo se tratan datos de salud, qué edad marca el consentimiento, qué plazos hay y quién designa un delegado de protección de datos.
Cómo cae este tema en el examen
En nuestro banco hay más de 30 preguntas propias de protección de datos y 17 preguntas de exámenes oficiales clasificadas en este tema: 4 de OPE 2019 - Especifico Practica (Feb 2020), 4 de OPE 2019 - Especifico Teoria (Feb 2020), 6 de OPE PSX 2022 · Examen nov-2023 y 3 de OPE PSX 2025 · Examen 26-abr-2026. De las más de 300 respuestas registradas en OpoSERGAS en este tema hasta el 5 de noviembre de 2026, el 15,8 % fueron fallos.
Es un tema de datos concretos: un artículo, un plazo, una edad. El detalle de cada derecho (acceso, rectificación, supresión...) está en la guía de LOPDGDD en el examen PSX; aquí no lo repetimos.
¿Qué norma manda, el RGPD o la LOPDGDD?
Las dos se aplican a la vez: el Reglamento (UE) 2016/679 (RGPD) es la norma europea y la Ley Orgánica 3/2018 (LOPDGDD) la complementa, no la sustituye. La ley española remite constantemente al reglamento: su artículo 5 impone el deber de confidencialidad "al que se refiere el artículo 5.1.f) del Reglamento". Comparación rápida en la ficha RGPD frente a LOPDGDD.
¿Quién es el responsable y quién el encargado del tratamiento?
El responsable es quien decide para qué y cómo se tratan los datos; el encargado los trata por cuenta del responsable. Lo define el artículo 4 del RGPD: responsable es la persona física o jurídica, autoridad pública, servicio u otro organismo que "determine los fines y medios del tratamiento", y encargado el que "trate datos personales por cuenta del responsable". La responsabilidad proactiva (art. 5.2) recae en el responsable.
¿Se pueden tratar datos de salud sin consentimiento?
Sí, pero solo si se cumple una de las excepciones del artículo 9.2 del RGPD, porque la regla general del artículo 9.1 es la prohibición de tratar datos relativos a la salud. El consentimiento explícito es una de las excepciones (9.2.a); otra es que el tratamiento sea necesario para diagnóstico médico, prestación de asistencia o tratamiento sanitario o gestión de los sistemas y servicios de asistencia sanitaria y social (9.2.h), sobre la base del Derecho de la Unión o de los Estados miembros o de un contrato con un profesional sanitario. Según el artículo 9.3, ese tratamiento lo realiza un profesional sujeto a secreto profesional, o alguien bajo su responsabilidad, o cualquier otra persona también sujeta a la obligación de secreto. Por eso abrir una historia clínica se apoya en la asistencia sanitaria y no en el consentimiento. El secreto profesional, en RGPD en sanidad y secreto profesional.
¿A qué edad puede consentir un menor?
A partir de los catorce años, según el artículo 7.1 de la LOPDGDD: el tratamiento de datos de un menor solo puede fundarse en su consentimiento cuando es mayor de catorce años. Se exceptúan los casos en que la ley exija la asistencia de quienes ejercen la patria potestad o tutela. Por debajo de catorce, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela (art. 7.2), y los titulares de la patria potestad pueden ejercer los derechos en nombre del menor (art. 12.6). El consentimiento para actos sanitarios tiene reglas propias: historia clínica y consentimiento informado.
¿En cuánto tiempo hay que responder a quien ejerce un derecho?
En un mes desde la recepción de la solicitud, prorrogable otros dos meses si es necesario, según el artículo 12.3 del RGPD. La prórroga se comunica dentro del primer mes, con los motivos. Según la LOPDGDD (art. 12), la prueba de que se respondió recae en el responsable (12.4) y atender las solicitudes es gratuito (12.7).
¿Qué hay que hacer ante una brecha de seguridad?
Notificarla a la autoridad de control sin dilación indebida y, si es posible, en un máximo de 72 horas desde que se tiene constancia (art. 33.1 RGPD), salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Si se pasa de las 72 horas, hay que explicar los motivos del retraso. El encargado avisa al responsable "sin dilación indebida" (art. 33.2), y si hay alto riesgo se comunica también a los interesados (art. 34.1).
¿Debe un hospital público tener delegado de protección de datos?
Sí: el artículo 37.1.a) del RGPD obliga a designarlo cuando el tratamiento lo lleva a cabo una autoridad u organismo público, con la excepción de los tribunales cuando actúan en su función judicial. La LOPDGDD (art. 34.1) remite a ese artículo y añade, en todo caso, a los centros sanitarios legalmente obligados a mantener historias clínicas (letra l), salvo los profesionales que ejercen a título individual.
¿Multan a una Administración pública por una infracción?
No con multa económica: el artículo 77.2 de la LOPDGDD prevé para las Administraciones de las comunidades autónomas y los organismos públicos una resolución que declara la infracción y fija medidas para corregirla, con excepción de la prevista en el artículo 58.2.i) del RGPD, la multa administrativa. El artículo 83.7 del RGPD deja a cada Estado decidir si multa a organismos públicos.
Cifras que conviene tener a mano
| Concepto | Dato | Dónde está |
|---|---|---|
| Responder a un derecho | 1 mes, prorrogable 2 meses más | RGPD, art. 12.3 |
| Notificar una brecha a la autoridad | 72 horas, si es posible | RGPD, art. 33.1 |
| Consentimiento de un menor | Mayor de 14 años | LOPDGDD, art. 7.1 |
| Multa máxima del art. 83.4 (obligaciones del responsable y del encargado, arts. 8, 11, 25 a 39, 42 y 43) | 10 millones de euros o, en una empresa, el 2 % del volumen de negocio total anual global, la de mayor cuantía | RGPD, art. 83.4.a |
| Multa máxima del art. 83.5 (principios, consentimiento, derechos) | 20 millones de euros o, en una empresa, el 4 % del volumen de negocio total anual global, la de mayor cuantía | RGPD, art. 83.5.a y b |
| Delegado de protección de datos | Obligatorio para organismos públicos | RGPD, art. 37.1.a |
Truco para recordarlo
Para los seis principios del artículo 5.1 del RGPD, en su orden, usa la frase "Lo Fácil Me Es Posible Siempre": Licitud, lealtad y transparencia; limitación de la Finalidad; Minimización; Exactitud; limitación del Plazo de conservación; y Seguridad (el art. 5.1.f exige una «seguridad adecuada»; el nombre oficial del principio es «integridad y confidencialidad»). Es una regla nuestra para memorizar, no una sigla oficial.
Tres preguntas de práctica
1. Un empleado envía por error un listado de pacientes a una dirección externa y existe riesgo para sus derechos. Si es posible, ¿en qué plazo se notifica a la autoridad de control?
- 24 horas.
- 72 horas.
- 7 días.
- Un mes.
Solución: B. Lo fija el artículo 33.1 del RGPD. Un mes es el plazo general para responder a los derechos (art. 12.3), no el de las brechas; las otras cifras no aparecen en el artículo.
2. Una adolescente de 15 años acepta las condiciones de un servicio. Según la LOPDGDD, ¿puede consentir por sí sola el tratamiento de sus datos?
- No, hasta los 18 años.
- Sí, es mayor de 14 años, salvo que una ley exija la asistencia de sus representantes para ese acto.
- No, siempre necesita a sus progenitores.
- Solo si lo autoriza la autoridad de control.
Solución: B. Artículo 7.1 de la LOPDGDD. A y C ignoran la edad de catorce años; D inventa una autorización que la ley no prevé.
3. ¿Qué afirma el RGPD sobre el delegado de protección de datos en un organismo público?
- Solo lo designan las empresas privadas.
- Debe designarse cuando el tratamiento lo lleva a cabo una autoridad u organismo público, salvo tribunales en función judicial.
- Solo se designa tras una sanción.
- Lo nombra la Agencia Española de Protección de Datos.
Solución: B. Artículo 37.1.a). El artículo 37 dice que designan el responsable y el encargado, no la AEPD, y la obligación no depende de haber sido sancionado.
Preguntas frecuentes
¿Qué diferencia hay entre responsable y encargado del tratamiento?
El responsable determina los fines y los medios del tratamiento; el encargado trata los datos por cuenta del responsable (art. 4 RGPD).
¿Cuál es el plazo para atender el ejercicio de un derecho?
Un mes desde la recepción de la solicitud, prorrogable otros dos meses si es necesario (art. 12.3 RGPD).
¿Cuánto tiempo hay para notificar una brecha de seguridad?
Si es posible, 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo (art. 33.1 RGPD).
Referencias
- Reglamento (UE) 2016/679, arts. 4, 5, 9, 12, 33, 34, 37 y 83.
- Ley Orgánica 3/2018, de 5 de diciembre, arts. 5, 7, 12, 34 y 77.
- Resolución de 1 de marzo de 2019 (DOG núm. 47, 7/03/2019), Anexo II, parte específica, tema 2.
- Convocatoria publicada en el DOG núm. 170, de 4 de septiembre de 2025, Anexo II, parte común, tema 7.
Sigue practicando
Consulta la página de la oposición en Personal de Servicios Generales del SERGAS, repasa los derechos en LOPDGDD en el examen PSX y practica las preguntas de este tema creando tu cuenta.