Este bloque común reúne tres pilares del ordenamiento que todo Administrativo de la Seguridad Social debe dominar: la transparencia y el buen gobierno, la protección de datos personales y la igualdad efectiva entre mujeres y hombres. Son materias transversales que vinculan a toda actuación administrativa y que el legislador ha reforzado con normas específicas de aplicación directa.
La Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno tiene por objeto ampliar y reforzar la transparencia de la actividad pública, reconocer y garantizar el derecho de acceso a la información y establecer las obligaciones de buen gobierno. Se articula en torno a tres ejes:
El órgano de garantía es el Consejo de Transparencia y Buen Gobierno, autoridad independiente que vela por el cumplimiento de las obligaciones de publicidad y resuelve las reclamaciones frente a las denegaciones de acceso (arts. 23 y 24).
El marco lo integran el Reglamento (UE) 2016/679 (RGPD), de aplicación directa desde el 25 de mayo de 2018, y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), que lo desarrolla en España al amparo del derecho fundamental del art. 18.4 de la Constitución. El tratamiento de datos por la Seguridad Social se rige por los seis principios del art. 5 RGPD: licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; e integridad y confidencialidad, junto a la responsabilidad proactiva (art. 5.2).
El tratamiento solo es lícito si concurre una de las bases del art. 6 RGPD; en la actuación administrativa suele ampararse en el cumplimiento de una obligación legal o en una misión de interés público o ejercicio de poderes públicos. Las personas interesadas disponen de los derechos de los arts. 15 a 22 RGPD: acceso, rectificación, supresión ("derecho al olvido"), limitación, portabilidad y oposición, que el responsable debe atender de forma gratuita y en el plazo de un mes (art. 12).
La Ley Orgánica 3/2007, de 22 de marzo, para la igualdad efectiva de mujeres y hombres desarrolla el principio de igualdad del art. 14 de la Constitución. Consagra el principio de igualdad de trato y la prohibición de discriminación directa e indirecta por razón de sexo, e introduce instrumentos como las acciones positivas, la transversalidad de género y los planes de igualdad en las empresas y Administraciones.
En el empleo público este mandato se proyecta en el TREBEP (RDLeg. 5/2015): la igualdad de trato entre mujeres y hombres es un fundamento de actuación (art. 1.3), se tiende a la paridad en los órganos de selección (art. 60) y se reconoce el derecho a la conciliación de la vida personal, familiar y laboral (art. 14). El acoso por razón de sexo y la discriminación constituyen faltas muy graves (art. 95.2 TREBEP).
En suma, transparencia, protección de datos e igualdad forman un bloque garantista que impregna toda la labor del personal administrativo de la Seguridad Social, debiendo conocerse tanto sus principios como los plazos y órganos de garantía característicos de cada materia.
1. Una entidad privada desea tratar datos basándose en el interés legítimo perseguido por ella. Según el art. 6.1 RGPD, ¿en qué supuesto NO resulta aplicable esa base de interés legítimo?
Según el art. 6.1.f RGPD, la base del interés legítimo no es aplicable al tratamiento realizado por autoridades públicas en el ejercicio de sus funciones.
2. El RGPD fija con carácter general la edad mínima para el consentimiento de menores en servicios de la sociedad de la información en 16 años, pero permite a los Estados rebajarla hasta un mínimo de:
El art. 8 del RGPD fija la edad mínima en 16 años, pero permite a los Estados miembros rebajarla hasta un mínimo de 13 años. España la fijó en 14 años (art. 7 LOPDGDD).
3. Una Administración conserva los expedientes de una convocatoria durante más tiempo del necesario para los fines que justificaron su recogida. ¿Qué principio del art. 5 RGPD se está vulnerando?
El principio de limitación del plazo de conservación (art. 5.1.e RGPD) exige mantener los datos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento.
4. Un organismo mantiene en sus ficheros datos personales erróneos de un ciudadano y no adopta medidas para rectificarlos sin dilación. ¿Qué principio del art. 5 RGPD se incumple?
El principio de exactitud (art. 5.1.d RGPD) exige que los datos sean exactos y, si fuera necesario, actualizados, adoptándose todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos inexactos.
5. Conforme al art. 48 de la LOPDGDD, la Presidencia y el Adjunto de la AEPD son nombrados por el Gobierno mediante:
Según el art. 48 de la LO 3/2018, la Presidencia y el Adjunto son nombrados por el Gobierno mediante Real Decreto, a propuesta del Ministerio de Justicia, previa comparecencia ante la comisión correspondiente del Congreso.
6. Según el art. 83 RGPD, las infracciones más graves (vulneración de los principios del art. 5, bases de licitud o derechos de los interesados) pueden sancionarse con multas de hasta:
El art. 83.5 RGPD prevé multas de hasta 20.000.000 EUR o, tratándose de una empresa, hasta el 4 % del volumen de negocio total anual global, optándose por la de mayor cuantía, para las infracciones más graves.
7. Según el art. 83 RGPD, las infracciones de menor gravedad pueden sancionarse con multas administrativas de hasta:
El art. 83.4 RGPD prevé multas de hasta 10.000.000 EUR o, tratándose de una empresa, hasta el 2 % del volumen de negocio total anual global, optándose por la de mayor cuantía, para las infracciones de menor gravedad.
8. Según el art. 73 de la LOPDGDD, ¿en qué plazo prescriben las infracciones muy graves?
El art. 73 de la LO 3/2018 establece que las infracciones muy graves prescriben a los 3 años, las graves a los 2 años y las leves al 1 año.
9. La AEPD detecta una infracción calificada como leve cometida por un responsable. Según el art. 73 LOPDGDD, ¿en qué plazo prescribe dicha infracción?
Conforme al art. 73 de la LO 3/2018, las infracciones leves prescriben al 1 año (las graves a los 2 años y las muy graves a los 3 años).
10. Según el art. 78 de la LOPDGDD, las sanciones por importe igual o inferior a 40.000 € prescriben:
El art. 78 de la LO 3/2018 establece que las sanciones por importe igual o inferior a 40.000 € prescriben al 1 año; las de 40.001 a 300.000 € a los 2 años; y las superiores a 300.000 € a los 3 años.
11. Un responsable tiene constancia de una violación de la seguridad de datos personales. ¿En qué plazo máximo debe, de ser posible, notificarla a la autoridad de control conforme al art. 33 RGPD?
El art. 33.1 RGPD obliga a notificar la brecha a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades.
12. Un ciudadano ejerce su derecho de acceso ante una Administración. Por la complejidad y el elevado número de solicitudes, el responsable necesita más tiempo. ¿Cuál es el plazo máximo total de respuesta que permite el art. 12.3 RGPD?
El art. 12.3 RGPD permite prorrogar el plazo de un mes en otros dos meses en caso necesario por la complejidad y el número de solicitudes, alcanzando un máximo total de tres meses.
13. Un usuario presenta cada semana solicitudes de acceso idénticas y claramente repetitivas para entorpecer al responsable. ¿Qué prevé el art. 12.5 RGPD ante solicitudes manifiestamente infundadas o excesivas?
Según el art. 12.5 RGPD, cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por repetitivas, el responsable podrá cobrar un canon razonable o negarse a actuar.
14. Una persona retira el consentimiento que había prestado para el tratamiento de sus datos y este era la única base de licitud. ¿Qué derecho del RGPD le permite obtener la eliminación de esos datos?
El art. 17 RGPD prevé el derecho de supresión cuando, entre otros motivos, el interesado retira el consentimiento en que se basaba el tratamiento y este no se ampara en otra base jurídica.
15. Una persona recibe constantemente publicidad de una empresa y quiere dejar de recibirla. Respecto al tratamiento con fines de mercadotecnia directa, el art. 21 del RGPD establece que el interesado:
El art. 21 RGPD dispone que, cuando los datos se traten con fines de mercadotecnia directa, el interesado tiene derecho a oponerse en cualquier momento sin necesidad de motivación.
16. Un empleado público recibe correos de trabajo durante sus vacaciones y se le exige responder fuera de su jornada. ¿Qué derecho digital de la LOPDGDD protege su tiempo de descanso?
El art. 88 LOPDGDD reconoce el derecho a la desconexión digital de los trabajadores y empleados públicos para garantizar el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar.
17. Una empresa quiere instalar cámaras de videovigilancia para controlar a sus trabajadores. ¿Qué prohíbe expresamente el art. 89 de la LOPDGDD?
El art. 89 LOPDGDD permite tratar imágenes de cámaras para el control laboral informando previamente, pero no admite la instalación en lugares de descanso o esparcimiento (vestuarios, aseos, comedores).
18. Al introducir su nombre en un buscador, una persona ve resultados con datos suyos antiguos, inexactos y ya no pertinentes. ¿Qué derecho de la LOPDGDD le permite solicitar que se eliminen de las listas de resultados?
El art. 93 LOPDGDD reconoce el derecho al olvido en búsquedas de Internet: toda persona puede solicitar que los motores de búsqueda eliminen de las listas de resultados referencias a datos inadecuados, inexactos, no pertinentes, no actualizados o excesivos (doctrina Google Spain, STJUE de 13 de mayo de 2014).
19. Tras el fallecimiento de una persona, sus herederos desean acceder a los datos personales que tenía en una plataforma digital. ¿Qué derecho de la LOPDGDD les ampara, salvo prohibición expresa del fallecido o de una ley?
El art. 96 LOPDGDD regula el derecho al testamento digital: las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos podrán dirigirse a los prestadores para acceder, rectificar o suprimir los datos del fallecido, salvo que este lo hubiera prohibido o lo establezca una ley.
20. Un usuario difunde en una red social contenidos que atentan contra el honor y la propia imagen de otra persona. Según el art. 85 de la LOPDGDD, los responsables de la red social deberán:
El art. 85 LOPDGDD, sobre el derecho de rectificación en Internet, establece que los responsables de redes sociales y servicios equivalentes deberán adoptar protocolos para el ejercicio del derecho de rectificación ante usuarios que difundan contenidos atentatorios contra el honor, la intimidad y la propia imagen.
21. De acuerdo con el art. 37.1 c) RGPD, ¿qué tratamiento a gran escala obliga a designar DPD?
El art. 37.1 c) RGPD obliga a designar DPD cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos (art. 9) o de datos relativos a condenas e infracciones penales (art. 10).
22. Según el art. 34.1 LOPDGDD, ¿cuál de estas entidades está obligada a designar un delegado de protección de datos en todo caso?
El art. 34.1 LOPDGDD incluye expresamente a los colegios profesionales entre las entidades que deben designar DPD en todo caso.
23. De acuerdo con el art. 34.1 LOPDGDD, ¿cuál de las siguientes entidades del sector energético debe designar DPD?
El art. 34.1 LOPDGDD incluye a los distribuidores y comercializadores de energía eléctrica y de gas natural entre los obligados a designar DPD.
24. Según el art. 34.1 LOPDGDD, deben designar DPD las entidades responsables de:
El art. 34.1 LOPDGDD incluye a las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito entre las obligadas a designar DPD.
25. De acuerdo con el art. 34.1 LOPDGDD, ¿cuál de las siguientes está obligada a designar DPD en todo caso?
El art. 34.1 LOPDGDD incluye a los operadores que desarrollen la actividad de juego entre las entidades obligadas a designar DPD.
26. Conforme al art. 35 LOPDGDD, el cumplimiento de los requisitos para ser DPD podrá demostrarse, entre otros medios, mediante:
El art. 35 LOPDGDD admite que el cumplimiento de los requisitos de cualificación del DPD podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación.
27. Un ciudadano considera vulnerados sus derechos por una entidad que tiene DPD designado. Decide dirigirse al DPD antes de reclamar ante la AEPD. Si lo hace, el DPD deberá comunicarle la decisión:
Conforme al art. 37 LOPDGDD, el afectado puede dirigirse al DPD con carácter previo y este debe comunicarle la decisión en el plazo máximo de dos meses desde la recepción de la reclamación.
28. El principio por el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados se denomina:
El principio de minimización de datos (art. 5.1.c RGPD) exige que los datos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.
29. ¿Qué principio del art. 5 RGPD establece que los datos serán recogidos con fines determinados, explícitos y legítimos, y no tratados ulteriormente de manera incompatible con dichos fines?
El principio de limitación de la finalidad (art. 5.1.b RGPD) exige que los datos se recojan con fines determinados, explícitos y legítimos, y no se traten ulteriormente de manera incompatible con dichos fines.
30. El principio según el cual el responsable del tratamiento es responsable del cumplimiento de los principios y debe ser capaz de demostrarlo se conoce como:
El art. 5.2 del RGPD recoge la responsabilidad proactiva (accountability): el responsable del tratamiento será responsable del cumplimiento de los principios del art. 5.1 y capaz de demostrarlo.
31. ¿En qué artículo del RGPD se regulan las bases de licitud del tratamiento de datos personales?
El art. 6.1 del RGPD establece las bases de licitud del tratamiento: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público o interés legítimo.
32. Un ayuntamiento necesita tratar datos para cumplir con una norma legal que le obliga. ¿Cuál es la base de licitud aplicable conforme al art. 6.1 RGPD?
El art. 6.1.c RGPD permite el tratamiento cuando es necesario para el cumplimiento de una obligación legal aplicable al responsable, que es la base idónea cuando una norma obliga a la Administración.
33. Según el art. 4.11 del RGPD, el consentimiento del interesado debe ser una manifestación de voluntad:
El art. 4.11 RGPD define el consentimiento como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento de sus datos.
34. Respecto a la retirada del consentimiento conforme al art. 7 RGPD, ¿qué afirmación es correcta?
El art. 7 RGPD establece que el interesado tendrá derecho a retirar su consentimiento en cualquier momento, siendo tan fácil retirarlo como darlo.
35. En España, según la LOPDGDD, ¿a partir de qué edad puede el menor consentir válidamente el tratamiento de sus datos en servicios de la sociedad de la información?
El art. 7 de la LO 3/2018 establece que el menor podrá consentir válidamente a partir de los 14 años; por debajo de esa edad se requiere el consentimiento del titular de la patria potestad o tutela.