En un test del RGPD casi nunca te tumba lo que no sabes, sino lo que sabes a medias. Estos son ocho pares que se confunden de verdad, cada uno con el texto que lo decide.
Las citas son del texto consolidado del Reglamento (UE) 2016/679, con las correcciones de errores de 2018 y 2021, comprobadas una a una.
Seudonimizar y anonimizar
Seudonimizar separa los datos de la identidad, pero con la información adicional se pueden volver a unir: por eso los datos seudonimizados siguen siendo datos personales. Anonimizar es otra cosa: si la persona ya no es identificable, el Reglamento deja de aplicarse.
El artículo 4.5 define la seudonimización:
el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable;
La anonimización no se define en el articulado; la frontera la traza el considerando 26, que orienta la lectura aunque no es norma:
Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable.
Por lo tanto los principios de protección de datos no deben aplicarse a la información anónima, es decir información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo.
El artículo 4 del RGPD, en preguntas
Responsable y encargado
El responsable decide para qué y cómo se tratan los datos; el encargado los trata por cuenta de otro. La figura la da el papel: una autoridad pública puede ser encargada.
El artículo 4.7 define al responsable:
la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento;
Y el 4.8, al encargado:
la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;
El artículo 4 del RGPD, en preguntas
Consentimiento e interés legítimo
El consentimiento no es la base preferente: es una de las seis condiciones del artículo 6.1, y basta con que se cumpla una. Y el interés legítimo no sirve a las autoridades públicas cuando ejercen sus funciones.
El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
El artículo 6 del RGPD, en preguntas
Dieciséis años y catorce
El artículo 8 fija en 16 años la edad para consentir por uno mismo en los servicios de la sociedad de la información ofrecidos directamente a niños, y deja que cada Estado la baje hasta 13. España lo hizo en la Ley Orgánica 3/2018: mayor de catorce años.
el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años.
Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.
El artículo 7.1 de la Ley Orgánica 3/2018, vigente el 13 de octubre de 2026:
El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años.
Ojo con este par, que puede moverse: está en tramitación una ley orgánica de protección de las personas menores de edad en los entornos digitales que subiría esos catorce años a dieciséis. Si se publica, esta entrada y las preguntas de la Ley Orgánica 3/2018 se ponen al día.
El artículo 8 del RGPD, en preguntas
Un mes y tres meses
Quien ejerce un derecho recibe respuesta sin dilación indebida y, como tarde, en un mes. Ese mes se prorroga otros dos: el máximo son tres, no dos. Y la prórroga se comunica dentro del primer mes, con sus motivos. «Sin dilación indebida» no estaba en el texto de 2016: lo añadió la corrección de errores de 2021.
El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.
El artículo 12 del RGPD, en preguntas
72 horas y «sin dilación indebida»
Las 72 horas del artículo 33.1 son para la autoridad de control, no para los afectados, y llevan un «de ser posible». A los interesados, según el 34.1, solo se les comunica si el riesgo es alto, y sin plazo en horas.
el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.
Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida.
El artículo 33 del RGPD y el 34, en preguntas
El delegado obligatorio y los 250 empleados
El artículo 37 obliga a designar delegado en tres casos, y ninguno depende de la plantilla: autoridades u organismos públicos, observación habitual y sistemática a gran escala, y tratamiento a gran escala de categorías especiales o de datos penales. La cifra de 250 es del artículo 30.5 y exime, con excepciones, del registro de actividades, no del delegado.
En la letra c), el texto de 2016 decía «y» entre las dos clases de datos; la corrección de 2018 lo cambió por «o». Basta con una.
las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.
Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas,
El artículo 37 del RGPD y el 30, en preguntas
10 millones o el 2 %, 20 millones o el 4 %
Hay dos escalones de multa, y en los dos se toma la cifra mayor entre el importe fijo y, en una empresa, el porcentaje de su volumen de negocio. El bajo cubre los artículos 25 a 39: no notificar una brecha o no designar delegado va al de 10 millones o el 2 %. Los principios, el consentimiento y los derechos van al de 20 millones o el 4 %. Y la trampa fina: el consentimiento del niño (artículo 8) está en el escalón bajo; las condiciones del consentimiento (artículo 7), en el alto.
El artículo 83.4:
multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
El artículo 83.5:
multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
los derechos de los interesados a tenor de los artículos 12 a 22;
El artículo 83 del RGPD, en preguntas
Para separarlos de verdad
Verlos juntos ayuda; distinguirlos con cuatro opciones delante es otra cosa. En la colección del RGPD cada uno de estos pares tiene sus preguntas, con la cita que las resuelve, y Nemoteca te devuelve cada una justo antes de que se te vuelva a cruzar con su pareja.