Qué es
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) es la ley española de protección de datos. Adapta el ordenamiento al Reglamento General de Protección de Datos de la Unión Europea (RGPD, Reglamento 2016/679) y añade lo que el reglamento deja a cada Estado: la autoridad de control, el régimen sancionador, tratamientos concretos (videovigilancia, denuncias internas, exclusión publicitaria) y un catálogo propio de derechos digitales. Sustituyó a la Ley Orgánica 15/1999 y entró en vigor el 7 de diciembre de 2018.
El proyecto lo envió al Congreso el Gobierno de Mariano Rajoy en noviembre de 2017; tras la moción de censura de junio de 2018 lo culminó el Gobierno de Pedro Sánchez, y en la tramitación se añadieron el título X sobre derechos digitales y la «garantía de los derechos digitales» al nombre. El Congreso la aprobó en octubre de 2018 y el Senado, el 21 de noviembre de 2018, sin cambios, por 220 votos a favor y 21 en contra: Unidos Podemos, Compromís, Nueva Canarias y EH Bildu votaron en contra por el artículo que permitía a los partidos recopilar opiniones políticas, que el Tribunal Constitucional anuló seis meses después.
Qué dice
La ley tiene 97 artículos en diez títulos:
- Principios y derechos (títulos II y III): exactitud, confidencialidad, consentimiento (los menores pueden consentir desde los 14 años, artículo 7) y los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición del RGPD.
- Tratamientos concretos (título IV): datos de contacto profesionales, sistemas de denuncias internas, videovigilancia, sistemas de exclusión publicitaria (artículo 23, la «lista Robinson»), solvencia patrimonial, funciones de los partidos.
- Responsables y encargados (título V): registro de actividades y delegado de protección de datos, obligatorio, entre otros, en centros educativos, hospitales y entidades locales de más de 20.000 habitantes.
- Autoridades (título VII): la Agencia Española de Protección de Datos (AEPD) como autoridad administrativa independiente (artículo 44) y las autoridades autonómicas de protección de datos.
- Procedimientos y sanciones (títulos VIII y IX): infracciones muy graves, graves y leves (artículos 72 a 74) y las multas del RGPD, hasta 20 millones de euros o el 4 % de la facturación. Las administraciones públicas no pagan multas: reciben un apercibimiento con medidas correctoras y la AEPD puede proponer expedientes disciplinarios (artículo 77).
- Derechos digitales (título X, artículos 79 a 97): neutralidad de internet y acceso universal (80 y 81), educación digital (83), protección de menores (84 y 92), intimidad en el trabajo (87 a 90), desconexión digital (88), derecho al olvido en buscadores y redes (93 y 94), portabilidad (95) y testamento digital (96).
Marco legal
La ley desarrolla el artículo 18.4 de la Constitución, que manda limitar el uso de la informática para garantizar el honor y la intimidad.
Su disposición final tercera añadió a la LOREG el artículo 58 bis, que no estaba en el proyecto del Gobierno: procedía de la enmienda 331 del Grupo Socialista. Su apartado 1 permitía a los partidos recopilar datos sobre las opiniones políticas de los ciudadanos en el marco de sus actividades electorales. El Defensor del Pueblo, a petición de un grupo de juristas y asociaciones, lo recurrió el 5 de marzo de 2019, y la STC 76/2019, de 22 de mayo (ponente Cándido Conde-Pumpido), lo declaró inconstitucional y nulo por vulnerar los artículos 18.4 y 53.1 de la Constitución: la ley no concretaba el interés público, ni los límites del tratamiento, ni las garantías. Siguen vigentes los apartados que permiten enviar propaganda electoral por medios electrónicos, que debe identificarse como tal y ofrecer una forma sencilla y gratuita de oponerse.
Modificaciones recogidas en la ficha consolidada del BOE (última actualización: 27 de diciembre de 2025):
| Norma | Qué cambió |
|---|---|
| Ley Orgánica 3/2020 (LOMLOE) | Artículo 83 (educación digital). |
| Ley Orgánica 7/2021 | Artículos 2 y 44.3 y disposición adicional 15: tratamientos penales y cooperación con jueces y fiscales. |
| Ley 2/2023 (protección del informante) | Artículo 24, sistemas internos de información. |
| Ley 11/2023, de 8 de mayo | Artículos 48.2 (nombramiento de la presidencia de la AEPD), 50, 64 a 67, 75 y 77 (procedimientos); añade el artículo 53 bis (inspecciones por videoconferencia) y la disposición adicional 23 (modelos obligatorios de reclamación). |
| Ley 10/2025, de 26 de diciembre | Artículo 23.1, sistemas de exclusión publicitaria y servicios de preferencia. |
El Real Decreto 389/2021 aprobó el Estatuto de la AEPD. La presidencia se cubre por el procedimiento del artículo 48: propuesta del Gobierno, audiencia en la Comisión de Justicia del Congreso, ratificación por tres quintos (o mayoría absoluta en segunda votación) y mandato de cinco años renovable una vez. Lorenzo Cotino Hueso preside la Agencia desde el Real Decreto 142/2025, de 25 de febrero, con Francisco Pérez Bes como adjunto; sucedió a Mar España.
Aplicación práctica
La ley es el marco de la campaña de las elecciones generales del 29 de noviembre de 2026: los partidos pueden enviar propaganda electrónica identificada como tal, pero no elaborar perfiles ideológicos ni tratar opiniones políticas sin consentimiento, según la Circular 1/2019 de la AEPD. El historial de sanciones a partidos es largo pero de cuantías pequeñas: elDiario.es contó en diciembre de 2018 once sanciones a partidos por más de 24.000 euros en total, entre ellas 4.000 euros al PSC por copiar indebidamente el censo electoral con los DNI de los votantes en las generales de 2016 y 6.000 euros a Bildu por usar datos de residencia del censo. En febrero de 2023 la AEPD apercibió al grupo municipal de Vox en el Ayuntamiento de Madrid por grabar y difundir un vídeo con menores en un instituto público sin consentimiento, y le ordenó borrar las imágenes.
Con las administraciones la herramienta es la publicidad: el 20 de abril de 2023 la AEPD publicó por primera vez la lista de administraciones públicas que incumplen sus requerimientos o no acreditan las medidas correctoras, y exige delegado de protección de datos a los ayuntamientos de más de 20.000 habitantes. El artículo 23, reformado en diciembre de 2025, ampara además los «servicios de preferencia» para limitar las llamadas comerciales.
Críticas y debates
El gran debate político fue el artículo 58 bis. Unidos Podemos anunció que lo recurriría; el PSOE sostuvo que el precepto no permitía elaborar perfiles basados en opiniones políticas, y el PP votó a favor en el Senado. Tras la sentencia, el catedrático y exdirector de la Agencia José Luis Piñar escribió que la norma pretendía amparar un «uso claramente abusivo» de datos sensibles por los partidos. La AEPD, presidida entonces por Mar España, advirtió de que sancionaría a los partidos que elaborasen perfiles ideológicos.
El segundo debate es el de los derechos digitales: el título X no figuraba en el proyecto de 2017 y se incorporó durante la tramitación parlamentaria, y varios de sus artículos remiten a desarrollos posteriores: la desconexión digital depende de una política interna de cada empresa (artículo 88), los convenios colectivos pueden añadir garantías (artículo 91).
El tercero es la independencia de la AEPD. El nombramiento con ratificación parlamentaria se diseñó para alejarla del Gobierno. Y la regla de que las administraciones públicas no pagan multas (artículo 77) deja a ayuntamientos y ministerios con un apercibimiento allí donde una empresa pagaría millones; la AEPD lo compensa desde 2023 con la lista pública de incumplidores.
Preguntas frecuentes
¿Qué es la LOPDGDD? La Ley Orgánica 3/2018, que adapta España al RGPD, regula la AEPD y las sanciones y reconoce derechos digitales como la desconexión.
¿Qué pasó con el artículo 58 bis de los partidos políticos? El Tribunal Constitucional anuló en la STC 76/2019 el apartado que les permitía recopilar opiniones políticas, por falta de garantías.
¿Quién preside la Agencia Española de Protección de Datos? Lorenzo Cotino Hueso, nombrado por el Real Decreto 142/2025 tras su ratificación en la Comisión de Justicia del Congreso.
¿Pueden multar a un ayuntamiento o a un ministerio por protección de datos? No con dinero: el artículo 77 prevé un apercibimiento, medidas correctoras y la publicación de los incumplidores.
¿Cuál es la última reforma de la ley? La Ley 10/2025, de 26 de diciembre, que modificó el artículo 23 sobre exclusión publicitaria, en vigor desde el 28 de diciembre de 2025.