LOPDGDD: qué es la Ley Orgánica de Protección de Datos y garantía de derechos digitales
Qué es la LOPDGDD, por qué existe, cómo se articula con el RGPD, qué especificidades nacionales introduce, qué son los derechos digitales que reconoce y qué obligaciones concretas tiene una clínica frente a este marco español complementario.
La LOPDGDD es la ley española que adapta el RGPD y regula los derechos digitales.1. Qué es la LOPDGDD, en una frase
La LOPDGDD —Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales— es la ley española que adapta el ordenamiento nacional al Reglamento General de Protección de Datos de la Unión Europea, añade las precisiones que el propio reglamento europeo remite al derecho interno y regula los derechos digitales que el legislador español ha querido reconocer expresamente como derechos autónomos.
1.1. Ley orgánica española
La LOPDGDD es ley orgánica, categoría normativa de rango superior en el ordenamiento español, prevista para el desarrollo de derechos fundamentales y libertades públicas. Esta condición refleja la conexión de la protección de datos con el derecho fundamental a la protección de datos personales reconocido por el artículo 18.4 de la Constitución Española, y le confiere la posición jurídica que su función material en el ordenamiento nacional exige por naturaleza propia del contenido regulado.
1.2. Sustitución de la LOPD 1999
La LOPDGDD sustituyó a la Ley Orgánica 15/1999 de Protección de Datos, ley española anterior a la reforma europea de 2016 que había regulado la materia durante casi dos décadas. La sustitución fue necesaria porque el nuevo marco europeo articulado por el RGPD hacía inviable mantener la ley anterior sin ajustes profundos, y el legislador español optó por una nueva ley completa en lugar de por sucesivas reformas parciales de la ley anterior obsoleta.
2. Por qué existe la LOPDGDD
Tres motivaciones principales explican la existencia de una ley española específica junto al RGPD europeo directamente aplicable.
2.1. Complementar al RGPD
El RGPD, aunque directamente aplicable, deja intencionadamente numerosos aspectos al desarrollo por el derecho nacional de cada Estado miembro. La LOPDGDD es el desarrollo español de esos aspectos: edad de consentimiento de menores, tratamiento de datos por partidos políticos, tratamiento de datos por sistemas de información crediticia, videovigilancia con fines de seguridad, tratamiento en el contexto de la relación laboral y otros supuestos concretos que la ley española precisa con el detalle que el reglamento europeo remite al derecho nacional.
2.2. Introducir sanciones específicas
La LOPDGDD desarrolla el régimen sancionador del RGPD con las precisiones que la Constitución y el ordenamiento sancionador español exigen: catálogo cerrado de infracciones, correspondencia con las categorías del RGPD, criterios de graduación de sanciones, plazos de prescripción y otras cuestiones técnicas propias de un régimen sancionador administrativo español que se articula sobre las bases europeas comunes previstas en el reglamento aplicable en cada caso concreto.
2.3. Reconocer derechos digitales
La LOPDGDD reconoce en su Título X un catálogo de derechos digitales autónomos que van más allá del contenido estricto de la protección de datos —derecho al olvido, portabilidad, testamento digital, desconexión digital laboral, derecho a la seguridad digital, entre otros—. Esta parte de la ley es innovadora respecto al RGPD y refleja la voluntad del legislador español de consolidar como derechos autónomos aspectos que el marco europeo trataba de forma dispersa o indirecta en distintos preceptos.
3. Relación con el RGPD
La LOPDGDD y el RGPD forman un marco integrado que se aplica de forma complementaria.
3.1. RGPD directamente aplicable
El RGPD es reglamento europeo y por tanto directamente aplicable en España sin necesidad de norma nacional de trasposición. Cualquier tratamiento de datos personales en España se rige por el RGPD como norma principal, con las adaptaciones que la LOPDGDD introduce en los aspectos remitidos al derecho nacional. La primacía del derecho europeo es plena y la LOPDGDD no puede contradecir al RGPD, solo desarrollarlo en los aspectos autorizados.
3.2. LOPDGDD como desarrollo
La LOPDGDD es el desarrollo nacional del RGPD y regula los aspectos que el reglamento remite al derecho interno, con las especificidades españolas correspondientes al ordenamiento constitucional. Una interpretación completa de la normativa de protección de datos en España exige leer las dos normas conjuntamente, con la LOPDGDD como complemento del RGPD y no como norma independiente que pudiese aplicarse sin considerar el marco europeo aplicable.
3.3. Orientación de la AEPD
La AEPD interpreta y aplica ambas normas conjuntamente, con la doctrina que sienta en sus expedientes y con las guías interpretativas que publica. La consulta de esa doctrina es imprescindible para conocer cómo se aplica en la práctica el marco combinado de RGPD y LOPDGDD en escenarios concretos, con la orientación oficial que la agencia aporta y que tiene valor jurídico interpretativo relevante en cualquier expediente que la agencia pueda tramitar.
LOPDGDD y RGPD se leen conjuntamente: una complementa a la otra, no la sustituye.4. Especificidades españolas
La LOPDGDD introduce precisiones nacionales relevantes que conviene conocer para el sector sanitario.
4.1. Tratamiento de datos de salud
La LOPDGDD regula específicamente el tratamiento de datos de salud en el artículo 9, con precisiones sobre los tratamientos que el RGPD permite condicionadamente y con la referencia al ordenamiento sanitario español —Ley 41/2002 de autonomía del paciente— como marco complementario. Esta regulación específica es la referencia principal para cualquier clínica española sobre el régimen aplicable al tratamiento de datos de salud en el ejercicio de la asistencia sanitaria.
4.2. Delegado de Protección de Datos obligatorio
El artículo 34 de la LOPDGDD amplía el catálogo de supuestos en los que la designación de DPD es obligatoria respecto a los mínimos del RGPD, incluyendo entre otros a los centros sanitarios legalmente obligados al mantenimiento de historias clínicas. Esta ampliación específica es relevante para el sector sanitario y añade una capa española al régimen europeo del DPD que hay que tener presente en el diseño del cumplimiento del centro.
4.3. Notificación de brechas
La LOPDGDD desarrolla el régimen de notificación de brechas del RGPD con las precisiones nacionales sobre canales, plazos y formato que la AEPD ha ido desarrollando. La notificación en 72 horas es la regla general del RGPD, y las precisiones nacionales concretan cómo se articula en la práctica esa obligación general con la doctrina que la AEPD ha ido consolidando en resoluciones publicadas sobre expedientes concretos que ha tramitado con notificaciones sobrepasadas.
5. Derechos digitales
El Título X de la LOPDGDD introduce un catálogo de derechos digitales autónomos que amplía el contenido tradicional de la protección de datos.
5.1. Derechos con impacto sanitario directo
Varios derechos digitales tienen impacto directo en el sector sanitario: el derecho al olvido —limitado por la obligación legal de conservación de historias clínicas—, la portabilidad de datos —relevante en el cambio de centro asistencial por el paciente—, el testamento digital —relevante en la gestión de la historia clínica del paciente fallecido— y la seguridad digital son especialmente pertinentes en la operativa del centro y en el diseño de los circuitos que trata datos de salud sensibles.
5.2. Derechos con impacto laboral
Otros derechos digitales tienen impacto en la relación laboral del centro con su personal: derecho a la desconexión digital, derecho a la intimidad frente a dispositivos digitales, derecho a la intimidad frente a la videovigilancia laboral, derecho a la intimidad frente al uso de la geolocalización. Estos derechos reconfiguran el marco de gestión de personas en el centro con las obligaciones que la ley impone al centro como empleador de personal asistencial y administrativo.
5.3. Derechos con impacto general
Otros derechos digitales tienen impacto más general y afectan al centro como cualquier otra organización: derecho a la neutralidad de la red, derecho a la actualización de la información en medios digitales, derechos ante los sistemas de información crediticia, derechos frente a los sistemas de inteligencia artificial. La aplicación práctica de estos derechos al sector sanitario está en desarrollo y depende de la evolución de la doctrina AEPD y de los tribunales sobre casos que se vayan planteando en cada momento del ejercicio profesional.
Demo configurada para tu especialidad
30 minutos con datos reales de tu tipo de clínica. Sin ejemplos genéricos.
6. Obligaciones de una clínica frente a la LOPDGDD
Las obligaciones específicas de la LOPDGDD se suman a las del RGPD y forman un cuerpo común de cumplimiento.
6.1. Registro de actividades con especificidades
El registro de actividades de tratamiento debe recoger las especificidades españolas del tratamiento de datos de salud, con las bases jurídicas concretas que la LOPDGDD acredita para cada tipo de tratamiento. La documentación debe ser precisa sobre qué preceptos concretos de RGPD y de LOPDGDD amparan cada tratamiento, para responder con solvencia ante cualquier requerimiento de la AEPD sobre la base jurídica del tratamiento en cada momento concreto de la asistencia realizada.
6.2. Designación de DPD si procede
La ampliación del catálogo del artículo 34 de la LOPDGDD respecto al sector sanitario debe valorarse con asesoramiento profesional para cada centro concreto. Cuando la designación es obligatoria, el DPD debe cumplir todos los requisitos del RGPD y las precisiones nacionales, con las garantías de independencia y con el régimen de funciones que el marco europeo articula y que la ley española complementa según corresponda en cada caso concreto.
6.3. Cumplimiento de derechos digitales
El centro debe respetar los derechos digitales que la LOPDGDD reconoce en su Título X, con los circuitos internos que hagan efectivo el ejercicio de esos derechos por los pacientes y por el personal del centro. Los derechos digitales laborales exigen ajustes en la gestión de personas, y los derechos digitales del paciente exigen ajustes en la gestión de la historia clínica y de la relación digital con el paciente por el centro correspondiente en la asistencia habitual.
7. Qué debe cumplir tu software con la LOPDGDD
Cinco criterios comprobables que combinan requisitos del RGPD con las precisiones de la LOPDGDD.
7.1. Los tres criterios de tratamiento
- Bases jurídicas documentadas con referencia a los preceptos concretos de RGPD y LOPDGDD.
- Gestión de derechos ARSOPL integrada al flujo, incluyendo derechos digitales aplicables.
- Consentimientos versionados con la información entregada al paciente y con evidencia.
7.2. Los dos criterios operativos
- Registro de actividades exportable con la estructura que la AEPD espera en requerimientos.
- Notificación de brechas estructurada con los canales oficiales españoles.
7.3. La prueba con un derecho digital simulado
Coge un paciente real y simula el ejercicio de su derecho al olvido respecto a su información en el sistema. Comprueba que el sistema identifica qué información se puede suprimir y qué información debe conservarse por obligación legal —historia clínica—, con la respuesta motivada al paciente. Si el circuito funciona en el plazo legal, la infraestructura cumple. Si exige análisis manual, la respuesta va a llegar tarde y con lagunas.
Los derechos digitales se ejercen por circuitos internos que deben responder en el plazo legal.8. Errores frecuentes al hablar de la LOPDGDD
Tres confusiones habituales, sobre todo por el peso del cambio normativo respecto al régimen anterior.
8.1. «LOPDGDD sustituye al RGPD»
La LOPDGDD complementa al RGPD, no lo sustituye. El RGPD sigue siendo la norma principal y de aplicación directa en España, y la LOPDGDD desarrolla los aspectos que el reglamento europeo remite al derecho nacional. La confusión —extendida a raíz del paso de la LOPD 1999 a la LOPDGDD 2018— puede llevar a interpretar mal el marco jurídico y a ignorar preceptos del RGPD que son directamente aplicables sin necesidad de mediación de la norma española concretamente aplicable.
8.2. «Los derechos digitales son solo para grandes empresas tecnológicas»
Los derechos digitales aplican a cualquier organización que trate datos personales o que mantenga relaciones digitales con personas afectadas por esos derechos. Una clínica privada trata con derechos digitales por dos vías —los del paciente respecto a su información sanitaria y los del personal respecto a la relación laboral—, y tiene obligaciones concretas de respeto y de facilitar el ejercicio de esos derechos como cualquier otra organización. Reducir los derechos digitales al ámbito de grandes tecnológicas es un error de interpretación relevante.
8.3. «Con estar al día del RGPD no me hace falta mirar la LOPDGDD»
El cumplimiento del RGPD es requisito, no cumplimiento completo del marco español. La LOPDGDD añade obligaciones específicas —designación de DPD para sanidad, régimen sancionador español, derechos digitales— que el RGPD no impone directamente. Ignorar la LOPDGDD deja al centro fuera de cumplimiento en aspectos que la AEPD supervisa activamente y que ha sancionado expresamente en expedientes publicados. Las dos normas se leen y se cumplen conjuntamente, no alternativamente entre sí.
¿Tienes dudas antes de decidir? Hablamos.
Respuesta en menos de 2 horas en horario laboral. Te atiende el equipo que conoce el producto.
9. Qué aporta obeliOmed con esto
La infraestructura del centro está diseñada para el marco combinado de RGPD y LOPDGDD.
9.1. Bases jurídicas documentadas
Cada tratamiento del sistema tiene documentada su base jurídica con referencia a los preceptos concretos de RGPD y LOPDGDD que lo amparan. Ante requerimiento de la AEPD o ante inspección, la información está disponible con la profundidad que la respuesta exige, sin necesidad de reconstruir a mano la fundamentación jurídica de cada categoría de tratamiento realizado por el sistema en la operativa habitual.
9.2. Derechos digitales integrados
El sistema soporta el ejercicio de los derechos digitales que la LOPDGDD reconoce y que son aplicables al centro sanitario, con los circuitos internos que hagan efectivo el ejercicio en el plazo legal. La documentación de la respuesta dada queda registrada con la trazabilidad completa, y la información estructurada permite auditoría interna y externa con la solvencia que un expediente puede requerir.
9.3. Formación del equipo sobre marco español
La documentación técnica del sistema incluye orientación específica sobre el marco español combinado, con las precisiones que el equipo del centro necesita para operar el sistema con el conocimiento suficiente. La formación no sustituye al asesoramiento profesional específico, pero facilita la operativa habitual del sistema con la coherencia que el cumplimiento efectivo requiere en la práctica diaria del centro.
10. Preguntas frecuentes sobre la LOPDGDD
¿Cuál es la diferencia entre LOPD y LOPDGDD?
La LOPD —Ley Orgánica 15/1999 de Protección de Datos— fue la ley española que reguló la materia entre 1999 y 2018, con base en la directiva europea 95/46/CE. La LOPDGDD —Ley Orgánica 3/2018— es la ley actual que la sustituyó tras la entrada en vigor del RGPD, y adapta el ordenamiento español al nuevo marco europeo directamente aplicable. La sustitución fue completa: la LOPDGDD deroga la LOPD y crea un marco nuevo con las precisiones nacionales que el RGPD remite al derecho interno más el catálogo de derechos digitales del Título X. Cualquier referencia a la LOPD hoy es a la norma derogada y debe entenderse en su contexto histórico correspondiente al periodo anterior a 2018.
¿La LOPDGDD tiene régimen sancionador propio?
Sí, la LOPDGDD desarrolla el régimen sancionador del RGPD con las precisiones que la Constitución y el ordenamiento sancionador español exigen: catálogo cerrado de infracciones, criterios de graduación de sanciones, plazos de prescripción y otras cuestiones técnicas propias del régimen sancionador administrativo español. La AEPD aplica ese régimen en los expedientes que tramita, con la coherencia entre las categorías del RGPD y las precisiones nacionales de la LOPDGDD. Las sanciones se gradúan conforme al régimen europeo y a las precisiones nacionales, con la casuística que la doctrina AEPD ha ido consolidando en resoluciones publicadas a lo largo de los años transcurridos desde la entrada en vigor de la ley española.
¿Qué edad de consentimiento fija la LOPDGDD?
La LOPDGDD fija en 14 años la edad a partir de la cual un menor puede prestar su consentimiento válidamente para el tratamiento de sus datos personales por servicios de la sociedad de la información. Este es uno de los aspectos que el RGPD remite al derecho nacional, con un rango entre 13 y 16 años, y España se ha situado en 14 años. Por debajo de esa edad, el consentimiento debe prestarse por el titular de la patria potestad o tutela con las adaptaciones que correspondan. En el sector sanitario, la edad de consentimiento para el tratamiento sanitario en sí sigue las reglas específicas de la Ley 41/2002 de autonomía del paciente, distintas del consentimiento para el tratamiento de datos personales que regula la LOPDGDD correspondiente.
¿La LOPDGDD obliga a designar Delegado de Protección de Datos en mi clínica?
Depende del caso concreto. El artículo 34 de la LOPDGDD amplía el catálogo del RGPD sobre supuestos de designación obligatoria de DPD, incluyendo entre otros a los centros sanitarios legalmente obligados al mantenimiento de historias clínicas. La interpretación exacta del alcance de esta obligación para una clínica privada concreta exige asesoramiento profesional que valore el tamaño del tratamiento, el volumen de pacientes atendidos, el tipo de actividad realizada y otros factores relevantes en la valoración conjunta del caso. En caso de duda razonable, lo prudente es designar DPD voluntariamente, lo que aporta garantías de cumplimiento y evita agravantes en cualquier expediente futuro que la AEPD pudiera tramitar contra el centro correspondiente.
¿Qué es el derecho al olvido en el marco de la LOPDGDD?
El derecho al olvido es el derecho de una persona a solicitar la supresión de sus datos personales cuando ya no sean necesarios para el tratamiento, cuando haya retirado el consentimiento o cuando concurra alguna de las circunstancias que el RGPD y la LOPDGDD prevén. En el sector sanitario, el derecho al olvido convive con la obligación legal de conservación de historias clínicas —Ley 41/2002—, que impide la supresión de la historia clínica durante los plazos legalmente establecidos con carácter general. La solicitud del derecho al olvido por un paciente sanitario debe responderse con la fundamentación jurídica correspondiente, aplicando las excepciones legales de conservación y ofreciendo la supresión solo respecto a aquella información que legalmente pueda suprimirse en el momento correspondiente.
¿Cómo afecta el derecho a la desconexión digital a mi clínica?
El derecho a la desconexión digital afecta a la relación laboral del centro con su personal. Los profesionales tienen derecho a desconectarse fuera del horario laboral, con las salvaguardas que la ley reconoce respecto a la disponibilidad efectiva mediante dispositivos digitales del centro. El centro debe establecer una política interna sobre desconexión digital, con la consulta previa con la representación de las personas trabajadoras cuando corresponda, y aplicar esa política de forma coherente y no discriminatoria. En el sector sanitario, la existencia de guardias localizadas y de urgencias asistenciales introduce matices que la política interna del centro debe abordar con la especificidad que la ordenación laboral sanitaria requiere en cada caso.
¿La LOPDGDD regula la videovigilancia?
Sí, la LOPDGDD regula específicamente los tratamientos de datos derivados de la videovigilancia con fines de seguridad, con las precisiones nacionales sobre información al afectado, plazos de conservación de las imágenes y condiciones de acceso a las grabaciones. La AEPD ha publicado orientación específica sobre videovigilancia que interpreta cómo aplicar el RGPD y la LOPDGDD en distintos escenarios habituales. En una clínica, la videovigilancia debe cumplir esos requisitos si existe, con la información clara a pacientes y a personal, con los plazos de conservación proporcionados y con las medidas de seguridad que impidan accesos indebidos a las grabaciones almacenadas por el centro sanitario correspondiente en cada momento.
¿Cómo verifico si mi centro cumple con la LOPDGDD?
Con una revisión concreta del marco combinado de RGPD y LOPDGDD. Verifica que tengas registro de actividades de tratamiento actualizado con las bases jurídicas concretas, que el DPD esté designado si procede por el artículo 34 de la LOPDGDD, que las políticas de privacidad reflejen las precisiones nacionales, que los circuitos de ejercicio de derechos incluyan los derechos digitales aplicables y que las medidas técnicas y organizativas cubran la seguridad del tratamiento de datos de salud. Una auditoría periódica —anual o bienal según el volumen— con profesional especializado en protección de datos sanitarios es la vía más eficaz de asegurar el cumplimiento efectivo del marco combinado y de identificar áreas de mejora que la operativa habitual no siempre visualiza claramente.
¿Comparando opciones?
Compara obeliomed con tu software actual en 30 minutos
Te mostramos en la demo exactamente en qué se diferencia: precio real, funcionalidades que importan y tiempo de implementación.
Más sobre organismos y normativa sanitaria
DPD: qué es el Delegado de Protección de Datos y qué debe hacer en tu clínica
Referencias RGPD, artículos 37 a 39: designación, posición y funciones del Delegado de Protección de Datos. LOPDGDD, artículo…
Leer artículo →
MDR: qué es el Reglamento Europeo de Productos Sanitarios y qué exige a tu clínica
Referencias Reglamento (UE) 2017/745 (MDR), texto consolidado: Reglamento Europeo sobre productos sanitarios. Real Decreto 192/2023: desarrollo español del…
Leer artículo →
ENS: qué es el Esquema Nacional de Seguridad y qué le exige a tu clínica
Referencias Real Decreto 311/2022, del Esquema Nacional de Seguridad: norma reguladora del ENS. CCN-CERT — Centro Criptológico Nacional:…
Leer artículo →Referencias
- Ley Orgánica 3/2018 (LOPDGDD): Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales.
- Reglamento (UE) 2016/679 (RGPD): Reglamento General de Protección de Datos, texto consolidado.
- AEPD — sección de informes y resoluciones: doctrina interpretativa de referencia sobre RGPD y LOPDGDD.
Última actualización: agosto de 2026.
