La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), adapta el RGPD a España. Para una pyme, lo importante es lo que añade: consentimiento propio desde los 14 años, reglas de videovigilancia (art. 22), deber de confidencialidad (art. 5), DPD obligatorio por sectores (art. 34), derechos digitales de los trabajadores (arts. 87 a 91) y el régimen de infracciones.
La Ley 3/2018 es la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, la LOPDGDD. Se publicó en el BOE el 6 de diciembre de 2018 y sustituyó a la antigua LOPD de 1999. No es una alternativa al RGPD: el reglamento europeo se aplica directamente y la LOPDGDD lo completa con reglas propias de España. Si tienes un negocio, te afectan sobre todo los menores, las cámaras, el control de los empleados, el delegado de protección de datos y las infracciones.
RGPD y Ley 3/2018: cómo encajan
El RGPD fija las obligaciones básicas: bases legales, información, derechos, seguridad, brechas o registro de actividades. Lo resumimos en qué es el RGPD. La LOPDGDD no copia eso. Hace tres cosas:
- Concreta lo que el RGPD deja a cada país: la edad para consentir, qué entidades necesitan DPD o cómo se clasifican las infracciones.
- Regula casos concretos que el RGPD no detalla: videovigilancia, datos de contacto de empresas, ficheros de morosos, listas de exclusión publicitaria, canales de denuncia.
- Crea derechos digitales (Título X): desconexión digital, intimidad en el uso de dispositivos del trabajo, protección de menores en internet, testamento digital y otros.
Cuando alguien te habla de «cumplir la LOPD» se refiere, en realidad, a cumplir las dos normas a la vez.
Los artículos que más afectan a una pyme
| Artículo | Qué dice | A quién le toca |
|---|---|---|
| Art. 5 | Deber de confidencialidad de todos los que tratan datos, también después de dejar la empresa | Todas las empresas con personal o proveedores |
| Art. 7 | Los menores pueden consentir solos desde los 14 años; por debajo, consienten los padres o tutores | Academias, gimnasios, clubes, apps |
| Art. 9 | El consentimiento no basta para tratar datos cuya finalidad principal sea conocer ideología, religión, orientación sexual, afiliación sindical u origen étnico | Cualquiera que pregunte por esos datos |
| Art. 11 | Información por capas: una primera capa básica y un enlace al resto | Formularios, webs, contratos |
| Art. 19 | Se presume legítimo tratar datos de contacto profesional de empleados de otras empresas y de autónomos en su condición de tales | Empresas que venden a otras empresas |
| Art. 22 | Videovigilancia: vía pública solo lo imprescindible, borrado en un mes, cartel informativo | Comercios, hostelería, comunidades |
| Art. 23 | Antes de hacer publicidad directa hay que consultar los sistemas de exclusión publicitaria (como la Lista Robinson) | Quien hace marketing directo |
| Art. 24 | Licitud de los datos de los canales de denuncias internas, que se rigen por la Ley 2/2023 | Empresas con canal de denuncias |
| Art. 32 | Bloqueo: al suprimir o rectificar, los datos se reservan solo para jueces y autoridades mientras puedan exigirse responsabilidades | Todas |
| Art. 34 | Lista de 16 tipos de entidades que deben tener delegado de protección de datos | Centros sanitarios, educativos, aseguradoras… |
| Arts. 72 a 74 | Infracciones muy graves, graves y leves | Todas |
| Arts. 87 a 91 | Derechos digitales de los trabajadores: dispositivos, desconexión, cámaras, geolocalización, convenios | Empresas con empleados |
| Art. 92 | Para publicar datos de menores en redes sociales hace falta su consentimiento o el de sus padres | Colegios, academias, clubes deportivos |
Menores: la edad de 14 años
El RGPD deja que cada país fije la edad a partir de la cual un menor puede consentir. España la fija en 14 años (art. 7 LOPDGDD). Por debajo, el tratamiento basado en el consentimiento solo es lícito si consienten los padres o tutores. Y hasta los 14 años los padres pueden ejercer en nombre del menor los derechos de acceso, rectificación, supresión u oposición (art. 12.6).
Ejemplo: una academia que quiere subir a Instagram una foto de una clase con alumnos de 12 años necesita la autorización de sus padres, y el artículo 92 lo exige expresamente para redes sociales. Con alumnos de 15 años, basta la del propio alumno. Más en academias y gimnasios.
Videovigilancia: el artículo 22
Es el artículo que más expedientes genera en pequeños negocios. Lo esencial:
- Las cámaras se permiten para la seguridad de personas, bienes e instalaciones.
- De la vía pública solo se puede grabar lo imprescindible para esa finalidad.
- Las imágenes se borran en un mes como máximo, salvo que hagan falta para acreditar un delito o un daño; en ese caso, se entregan a la autoridad en 72 horas desde que se conoce la grabación.
- Hay que poner un cartel visible con, al menos, la existencia del tratamiento, quién es el responsable y cómo ejercer los derechos. Puedes generarlo con nuestro cartel de zona videovigilada.
Si las cámaras sirven también para controlar a los trabajadores, entra el artículo 89, que vemos más abajo.
Empleados: los derechos digitales de los artículos 87 a 91
Esta parte de la ley es nueva respecto a la antigua LOPD y afecta a cualquier empresa con plantilla. La misma ley añadió al Estatuto de los Trabajadores el artículo 20 bis, que remite a estos derechos.
- Dispositivos digitales (art. 87). El trabajador tiene derecho a la intimidad cuando usa el ordenador, el móvil o el correo de la empresa. La empresa puede acceder a su contenido solo para controlar que cumple sus obligaciones laborales y para proteger los equipos. Para eso tiene que haber fijado antes unos criterios de uso, con participación de los representantes de los trabajadores, e informar de ellos a la plantilla. Si permite un uso privado, tiene que concretar qué usos se permiten.
- Desconexión digital (art. 88). Derecho a no contestar correos ni mensajes fuera del horario, en descansos, permisos y vacaciones. La empresa debe elaborar una política interna, previa audiencia de los representantes, que incluya formación sobre el uso razonable de la tecnología. Vale también para el teletrabajo.
- Cámaras y grabación de sonido (art. 89). Se pueden usar para el control laboral, informando antes a los trabajadores de forma expresa, clara y concisa. Nunca en vestuarios, aseos, comedores o zonas de descanso. Grabar sonido solo se admite si hay riesgos relevantes para la seguridad y respetando la proporcionalidad.
- Geolocalización (art. 90). Se puede usar, por ejemplo, en vehículos de reparto, informando antes de forma expresa, clara e inequívoca de su existencia y características y de los derechos de los trabajadores.
- Convenios colectivos (art. 91). Pueden añadir garantías extra.
Todo esto se recoge en un documento interno que firma cada empleado. Lo explicamos en el protocolo de protección de datos para empleados.
Confidencialidad, DPD y canal de denuncias
Deber de confidencialidad (art. 5). Afecta a la empresa, a sus proveedores y a cualquier persona que intervenga en el tratamiento. Se mantiene cuando termina la relación: el empleado que se va no puede llevarse la cartera de clientes.
Delegado de protección de datos (art. 34). Además de los casos del RGPD, la ley española obliga a tenerlo a colegios profesionales, centros educativos, centros sanitarios (salvo profesionales individuales), aseguradoras, empresas de seguridad privada y otras entidades. Lo detallamos en delegado de protección de datos.
Canal de denuncias (art. 24). La LOPDGDD declara lícito el tratamiento de datos para proteger a quien informa de infracciones y remite a la Ley 2/2023. Esa ley obliga a tener un sistema interno de información a las empresas privadas con 50 o más trabajadores, y a otras de sectores concretos sin importar el tamaño.
Infracciones: cómo las clasifica la ley
El RGPD fija las multas máximas. La LOPDGDD clasifica las conductas en muy graves (art. 72), graves (art. 73) y leves (art. 74). Algunos ejemplos que tocan a pymes:
- Muy grave: tratar datos sin base legal, o impedir u obstaculizar los derechos de las personas o no atenderlos de forma reiterada.
- Grave: no notificar una brecha de seguridad a la AEPD, no hacer una evaluación de impacto cuando es obligatoria o no designar DPD cuando toca.
- Leve: dar una información incompleta al interesado.
Las cuantías, en la guía de multas.
Lista de comprobación de la Ley 3/2018
- Si tratas datos de menores, comprueba que pides el consentimiento de los padres por debajo de 14 años.
- Si tienes cámaras, revisa encuadre, cartel y borrado en un mes.
- Si tienes empleados, ten por escrito los criterios de uso de dispositivos y la política de desconexión, e informa de ellos.
- Haz firmar a cada empleado el compromiso de confidencialidad.
- Mira si tu actividad está en la lista del artículo 34 (DPD).
- Si tienes 50 trabajadores o más, comprueba que tienes canal de denuncias.
- Revisa tus textos legales con la herramienta revisar web.
En Adapta RGPD preparamos la documentación del RGPD y de la LOPDGDD a partir de un cuestionario de unos 15 minutos, con las cláusulas para empleados y, desde el plan Esencial, el cartel de videovigilancia. Mira cómo funciona.
Preguntas frecuentes
¿La Ley 3/2018 sustituye al RGPD?
No. El RGPD es un reglamento europeo que se aplica directamente en España. La Ley 3/2018 lo completa con reglas españolas: edad de 14 años para consentir, videovigilancia, derechos digitales laborales o delegado obligatorio por sectores. Hay que cumplir las dos.
¿Sigue vigente la LOPD 15/1999?
No. La Ley Orgánica 3/2018 derogó la Ley Orgánica 15/1999, salvo algunos preceptos que siguieron aplicándose de forma transitoria en ámbitos muy concretos, ajenos a la empresa privada. Hoy, cuando se habla de «la LOPD», se suele hacer referencia al conjunto del RGPD y la LOPDGDD.
¿A partir de qué edad puede un menor dar su consentimiento?
En España, desde los 14 años (art. 7 LOPDGDD). Por debajo de esa edad, el tratamiento basado en el consentimiento necesita el de los padres o tutores. Hay excepciones cuando otra ley exige la intervención de los padres para el acto concreto.
¿Puede mi empresa revisar el correo de un empleado?
Solo para controlar el cumplimiento de sus obligaciones laborales o proteger los equipos, y siempre que antes hayas fijado y comunicado unos criterios de uso de los dispositivos (art. 87 LOPDGDD). Si permites el uso privado, tienes que concretar qué usos se permiten.
