🏛️ UD1 — Introducción al marco normativo
Conceptos fundamentales, jerarquía normativa, organismos de control e importancia del cumplimiento.
1Objetivos de la unidad
- Comprender la jerarquía de las leyes y cómo el Derecho europeo se integra en el ordenamiento jurídico español.
- Identificar y diferenciar los principales tipos de normas jurídicas: Ley, Reglamento y Directiva.
- Reconocer los organismos y autoridades de control clave en ciberseguridad y protección de datos (España y UE).
- Valorar la importancia del cumplimiento normativo (compliance) para la seguridad jurídica, la reputación y la continuidad del negocio.
2Conceptos fundamentales — Tipos de normas
⚖️ Legales o jurídicas
- Disposición obligatoria establecida por una autoridad competente (el Estado).
- Regula el comportamiento de ciudadanos y organizaciones.
- Su incumplimiento puede conllevar sanciones administrativas, civiles o penales.
🛠️ Técnicas
- Especificaciones, procedimientos o criterios de organismos de normalización (ej. ISO, UNE).
- Establecen cómo diseñar, implementar o evaluar un producto/sistema/proceso.
- No siempre obligatorias, pero pueden ser exigidas por ley o contrato.
🤝 Éticas
- Principios o valores que orientan el comportamiento correcto, más allá de lo que exige la ley.
- No son legalmente vinculantes.
- Su incumplimiento puede afectar a la reputación y la confianza.
Dentro de las normas jurídicas:
📜 Ley
- Norma de carácter general y obligatorio, emanada del poder legislativo (Parlamento).
- Regula aspectos fundamentales de la vida social, económica y política.
- Orgánicas (mayoría absoluta) u ordinarias (mayoría simple).
📋 Reglamento (nacional)
- Norma de rango inferior a la ley, emanada del poder ejecutivo (Gobierno/Administración).
- Desarrolla y complementa lo establecido en las leyes.
- No puede contradecir una ley.
🇪🇺 Directiva (UE)
- Acto legislativo de la UE que establece objetivos a alcanzar.
- No es directamente aplicable: requiere trasposición.
- Da flexibilidad a los Estados miembros para lograr los objetivos.
⚠️ Nota: el Reglamento europeo (como el RGPD) es distinto del "reglamento nacional": el Reglamento UE es un acto legislativo de aplicación directa en todos los Estados miembros, sin necesidad de trasposición.
3Jerarquía normativa
Principio de jerarquía normativa
El sistema jurídico español se rige por el principio de jerarquía: las normas de rango superior prevalecen sobre las de rango inferior. El Derecho de la UE ocupa una posición preeminente.
Prevalencia del Derecho de la UE
En caso de conflicto entre una norma nacional y una norma de la UE directamente aplicable, prevalece esta última (principio de primacía), buscando la uniformidad de aplicación en todos los Estados miembros.
Transposición de directivas
Las directivas europeas no son directamente aplicables: España debe incorporarlas a su legislación interna mediante leyes o reglamentos. Ejemplos clave:
| Norma UE | Naturaleza | Norma española relacionada |
|---|---|---|
| RGPD (Reglamento General de Protección de Datos) | Reglamento → aplicación directa | Se complementa con la LOPDGDD |
| Directiva NIS2 | Directiva → requiere transposición | Ley de coordinación y gobernanza de la ciberseguridad |
Constitución Española
En la cúspide del ordenamiento jurídico español se encuentra la Constitución Española: es la norma suprema, a la que deben ajustarse todas las demás leyes y reglamentos.
4Organismos y autoridades de control
🇪🇸 INCIBE
Instituto Nacional de Ciberseguridad. Entidad española cuya misión es la gestión de incidentes para ciudadanos y empresas, la promoción de la cultura de ciberseguridad y el apoyo a la industria tecnológica española.
🔒 AEPD
Agencia Española de Protección de Datos. Autoridad de control independiente que vela por el cumplimiento del RGPD y la LOPDGDD. Puede investigar, sancionar y resolver reclamaciones.
🇪🇺 ENISA
Agencia de la Unión Europea para la Ciberseguridad. Dedicada a lograr un nivel alto de ciberseguridad en Europa; colabora con los Estados miembro y apoya la implementación de políticas de ciberseguridad.
🛡️ CCN
Centro Criptológico Nacional. Entidad española que forma parte del CNI. Responsable de la ciberseguridad de las AAPP; protege la información clasificada; ofrece guías y certificaciones (ej. ENS).
CSIRT vs CERT
Ambos términos se refieren a equipos de respuesta ante emergencias informáticas y sus funciones son prácticamente las mismas:
| Término | Región habitual | Detalle |
|---|---|---|
| CSIRT (Computer Security Incident Response Team) | Europa | Se prefiere por razones legales |
| CERT (Computer Emergency Response Team) | EE.UU. | Término equivalente a CSIRT |
Funciones clave de los CSIRT/CERT: monitorización de amenazas · análisis forense de incidentes · coordinación de la respuesta ante ciberataques · emisión de alertas y recomendaciones · formación y concienciación.
CSIRT en España
| Entidad | Responsable | Ámbito |
|---|---|---|
| INCIBE-CERT | INCIBE | Ciudadanía, empresas y operadores de servicios esenciales |
| CSIRT.ES | Entidad nacional (no es un CSIRT propiamente dicho) | Agrupa CSIRT públicos y privados de España; fomenta la colaboración |
| CSIRT-CV | GVA | Administración pública y ciudadanos de la Comunidad Valenciana |
| CCN-CERT | CCN | Administración pública y organismos estratégicos; defensa nacional |
5Importancia del cumplimiento normativo
Compliance: conjunto de procedimientos y buenas prácticas adoptadas por una organización para identificar y clasificar los riesgos operativos y legales, y establecer mecanismos internos de prevención, gestión, control y reacción frente a ellos.
🛡️ Protección de la reputación
📊 Gestión de riesgos
🏆 Ventajas competitivas
🚫 Prevención de sanciones
⚖️ Seguridad jurídica
🤝 Confianza del cliente
🔐 UD2 — Protección de datos. GDPR y LOPDGDD
Principios, derechos ARCO-POL, obligaciones, DPO, EIPD, medidas de seguridad, brechas y régimen sancionador.
1Objetivos de la unidad
- Analizar críticamente los principios fundamentales del RGPD y la LOPDGDD y su aplicación práctica.
- Gestionar de manera integral los derechos ARCO-POL de los interesados.
- Diseñar e implementar medidas técnicas y organizativas basadas en el análisis de riesgos y la responsabilidad proactiva (Accountability).
- Evaluar la necesidad y realizar Evaluaciones de Impacto en la Protección de Datos (EIPD).
- Coordinar la función del DPO y su relación con las autoridades de control.
- Desarrollar planes de respuesta ante brechas de seguridad y su notificación obligatoria.
- Comprender el régimen sancionador y estrategias para minimizar riesgos legales y reputacionales.
2Principios fundamentales del RGPD
Licitud, lealtad y transparencia
Tratamiento lícito, leal y transparente. Base legal clara, honesta y accesible.
Limitación de la finalidad
Datos recogidos con fines determinados, explícitos y legítimos. No tratar de forma incompatible con esos fines.
Minimización de datos
Datos adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento.
Exactitud
Datos exactos y actualizados; medidas razonables para suprimir/rectificar los inexactos.
Limitación del plazo de conservación
Los datos se mantienen identificables solo el tiempo necesario para los fines del tratamiento.
Integridad y confidencialidad
Seguridad adecuada mediante medidas técnicas/organizativas; protección frente a tratamiento no autorizado, pérdida o daño.
♻️ Responsabilidad proactiva (Accountability)
El responsable del tratamiento debe cumplir los principios y ser capaz de demostrarlo, configurando un Sistema de Gestión de la Privacidad basado en la mejora continua. Obliga al autoanálisis (auditorías). Seguridad proactiva → vigilancia.
2bLOPD (antigua) vs GDPR/LOPDGDD (actual)
| Característica | LOPD (antigua) | GDPR / LOPDGDD (actual) |
|---|---|---|
| Consentimiento | Tácito | Expreso (inequívoco, explícito y voluntario) |
| Niveles de datos | 3 niveles: alto, medio, básico | 2 niveles: especiales y no especiales |
| Registro de ficheros | Inscripción pública de ficheros (AEPD) | Registro interno de actividades de tratamiento (ya no se comunica a la AEPD) |
| Regulación | Regulación externa | Autorregulación |
| Medidas de seguridad | Establecidas en RD 1720/2007 | Definidas por la propia empresa (análisis de riesgo) |
| Seguridad | Reactiva | Proactiva: vigilancia |
| Derechos | 4: ARCO | 6: ARCO + olvido + portabilidad (ARCO-POL) |
La LOPDGDD adapta y complementa el RGPD en España. Ambas normativas se aplican de forma conjunta y complementaria: cumplir solo con el RGPD no es suficiente en España.
2cNiveles / tipos de datos
| Categoría | Nivel | Ejemplos |
|---|---|---|
| Datos | Nivel básico | Todos los demás datos personales |
| Datos especiales | Nivel medio | Perfiles, solvencia, antecedentes penales y administrativos… |
| Nivel alto | Salud, religión, creencias, orientación sexual, sindicatos | |
| Nuevos | Biométricos y genéticos |
Para datos especiales aparecen obligaciones adicionales: nombramiento de DPO, notificación a usuarios en caso de quiebra de seguridad, y realización de una Evaluación de Impacto (EIPD).
3Derechos de los ciudadanos — ARCO-POL
A — Acceso
Confirmar si se tratan datos propios y acceder a ellos. Incluye obtener copia de la información.
R — Rectificación
Obtener sin dilación indebida la corrección de datos inexactos.
C — Cancelación/Supresión (Olvido)
Supresión de datos sin dilación indebida. Se extiende al "derecho al olvido" (retirada de enlaces en buscadores).
O — Oposición
Oponerse al tratamiento por motivos particulares; incluye el nuevo derecho de limitación del tratamiento.
P — Portabilidad
Recibir los datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
L — (Derecho al) Olvido
Consecuencia directa del borrado: retirada de enlaces en motores de búsqueda bajo ciertas condiciones.
Otros derechos incluidos en la normativa: derecho a la desconexión digital.
4Obligaciones: Responsable vs Encargado del tratamiento
👤 Responsable del tratamiento
Persona física/jurídica, autoridad pública, agencia u organismo que determina los fines y medios del tratamiento.
- Aplicar los principios de protección de datos.
- Adoptar medidas para garantizar y demostrar el cumplimiento (accountability), según análisis de riesgo.
- Designar DPO si aplica.
- Realizar EIPD cuando sea necesario.
- Notificar brechas a la autoridad y, si procede, a los interesados.
- Garantizar los derechos de los interesados.
- Llevar un registro de actividades de tratamiento.
🤝 Encargado del tratamiento
Persona física/jurídica que trata datos personales por cuenta del responsable.
- Tratar los datos solo según instrucciones documentadas del responsable.
- Garantizar la confidencialidad.
- Asistir al responsable en sus obligaciones.
- Adoptar medidas de seguridad adecuadas.
- Colaborar en caso de brechas de seguridad.
- Devolver o suprimir los datos al finalizar el servicio.
- La relación debe regularse mediante contrato.
El registro de actividades de tratamiento debe contener:
- Nombre y contacto de la empresa responsable, encargado y DPO.
- Finalidades del tratamiento.
- Categorías de interesados y tipos de datos (indicando si son especiales).
- Transferencias internacionales, en su caso.
- Base legal para el tratamiento.
- Evaluación de impacto documentada si son datos especiales.
5Delegado de Protección de Datos (DPO / DPD)
Especialista independiente en derecho de protección de datos, distinto del responsable, del encargado, del CIO y de la autoridad de control (AEPD).
Obligatorio cuando (RGPD):
- El tratamiento lo lleva a cabo una autoridad u organismo público (excepto tribunales en ejercicio de su función).
- Se requiere observación habitual y sistemática de interesados a gran escala.
- Tratamiento a gran escala de categorías especiales de datos o de condenas/infracciones penales.
Casos adicionales obligatorios según la LOPDGDD (España) — clic para ver la lista completa
- Colegios profesionales y sus consejos generales.
- Centros docentes que ofrezcan enseñanzas regladas.
- Entidades que exploten redes y presten servicios de comunicaciones electrónicas.
- Prestadores de servicios de la sociedad de la información que recaben gran volumen de datos.
- Entidades que elaboren informes comerciales sobre personas.
- Entidades de publicidad y prospección comercial.
- Centros sanitarios con datos de salud de un elevado número de personas.
- Entidades dedicadas a la investigación en el ámbito de la salud.
- Operadores de juego online.
- Empresas de seguridad privada.
- Federaciones deportivas cuando traten datos de menores.
Funciones del DPO
Posición del DPO
- Debe contar con los recursos necesarios.
- Autonomía e independencia; no recibe instrucciones sobre el ejercicio de sus funciones.
- No puede ser destituido ni sancionado por el desempeño de sus funciones.
- Debe mantener el secreto profesional.
6Análisis / Evaluación de Impacto en la Privacidad (PIA / EIPD)
Proceso sistemático para identificar y mitigar riesgos de privacidad y protección de datos antes de iniciar un proyecto o desarrollar un nuevo producto/servicio.
Es obligatoria cuando el tratamiento entrañe alto riesgo, por ejemplo:
- Uso de grandes volúmenes de datos sensibles.
- Tratamiento de datos a gran escala con fines de perfilado.
- Vigilancia sistemática de espacios públicos.
- Nuevos proyectos que involucren datos biométricos o genéticos.
7Medidas de seguridad
El RGPD establece un modelo de autorregulación y responsabilidad proactiva: las medidas se deciden en función del riesgo de cada tratamiento (el antiguo esquema del RD 1720/2007 ya no es automáticamente válido).
Proceso a seguir
Alcance universal: aplica a datos estructurados y no estructurados, Big Data, Cloud… Las medidas deben aplicarse antes del inicio del tratamiento y formar parte de una mejora continua (auditorías).
Privacidad desde el diseño
Privacy by Design: integrar la protección de datos desde la concepción del sistema o proceso.
Privacidad por defecto
Privacy by Default: recoger solo los datos necesarios; configuraciones predeterminadas que protegen la privacidad.
Autorregulación
Códigos de conducta sectoriales y certificaciones (ej. ISO/IEC 27001).
Medidas técnicas
- Cifrado y seudonimización: cifrado de dispositivos (portátiles, móviles, USB), uso de VPN.
- Control de acceso y autenticación: privilegio mínimo, contraseñas robustas, MFA, gestión de roles.
- Protección de red y software: firewalls, IDS, antivirus/antimalware actualizado.
Medidas organizativas
- Políticas de protección de datos.
- Formación y concienciación continua.
- Auditorías internas y externas.
- Limpieza segura (borrado y destrucción de hardware/software con datos personales).
8Brechas de seguridad y su notificación
Brecha de seguridad: toda violación de la seguridad que ocasione destrucción, pérdida o alteración accidental/ilícita de datos personales, o comunicación/acceso no autorizados a los mismos.
📢 Notificación a la AEPD
- Sin dilación indebida.
- Antes de 72 horas desde que se tuvo constancia.
- No necesaria si es improbable que suponga un riesgo para los derechos y libertades.
Debe incluir: naturaleza de la violación (categorías/nº de interesados y registros), contacto del DPO, posibles consecuencias, medidas adoptadas/propuestas.
👥 Notificación a los interesados
- Solo si hay probabilidad de alto riesgo para derechos y libertades.
- Sin dilación indebida, en lenguaje claro y sencillo.
- Debe incluir medidas recomendadas para mitigar efectos adversos.
No es necesaria si: los datos estaban cifrados/ininteligibles, se han tomado medidas posteriores que eliminan el riesgo, o supone un esfuerzo desproporcionado (en ese caso: comunicación pública).
9Régimen sancionador y medidas correctivas
Sanciones económicas — RGPD
| Nivel | Importe máximo |
|---|---|
| Infracciones graves (nivel 1) | 10 M€ o 2% del volumen de negocio anual mundial (lo que sea mayor) |
| Infracciones muy graves (nivel 2) | 20 M€ o 4% del volumen de negocio anual mundial (lo que sea mayor) |
Sanciones económicas — LOPDGDD
| Tipo | Importe |
|---|---|
| Leves | Hasta 40.000 € |
| Graves | De 40.001 € a 300.000 € |
| Muy graves | De 300.001 € a 20 M€ (o 4% del volumen de negocio, lo mayor) |
Criterios para la imposición de sanciones
- Naturaleza, gravedad y duración de la infracción.
- Carácter intencional o negligente.
- Medidas tomadas para mitigar daños.
- Grado de responsabilidad (medidas técnicas/organizativas aplicadas).
- Infracciones anteriores pertinentes.
- Grado de cooperación con la autoridad de control.
- Categorías de datos afectados.
- Forma en que la autoridad tuvo conocimiento de la infracción.
- Cumplimiento de medidas correctivas previas.
- Adhesión a códigos de conducta o certificaciones.
Otras medidas correctivas (Art. 58 RGPD)
Advertencias · Amonestaciones · Requerimientos para cumplir solicitudes del interesado · Prohibiciones temporales o definitivas de tratamiento · Retirada de una certificación.
📝 Test de autoevaluación
25 preguntas sobre UD1 (marco normativo) y UD2 (GDPR / LOPDGDD). Elige una respuesta por pregunta.
🔗 Recursos, organismos y enlaces oficiales
Herramientas, entidades y normativa citadas en ambas unidades. Útil como referencia rápida y para consultar las fuentes primarias.
🏢 Organismos y autoridades
📜 Normativa y textos legales
🛠️ Herramientas y estándares mencionados
📎 Glosario rápido de siglas
| Sigla | Significado |
|---|---|
| RGPD / GDPR | Reglamento General de Protección de Datos |
| LOPDGDD | Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales |
| ARCO-POL | Acceso, Rectificación, Cancelación, Oposición, Portabilidad, (derecho al) Olvido / Limitación |
| DPO / DPD | Data Protection Officer / Delegado de Protección de Datos |
| EIPD / PIA | Evaluación de Impacto en la Protección de Datos / Privacy Impact Assessment |
| AEPD | Agencia Española de Protección de Datos |
| INCIBE | Instituto Nacional de Ciberseguridad |
| ENISA | European Union Agency for Cybersecurity |
| CCN | Centro Criptológico Nacional |
| CSIRT / CERT | Computer Security Incident Response Team / Computer Emergency Response Team |
| ENS | Esquema Nacional de Seguridad |