1. ¿Qué es la Ley Orgánica de Protección de Datos?
La LOPD, Ley Orgánica de Protección de Datos de
Carácter Personal 15/1999, es una ley de obligado
cumplimiento para todas las empresas. Su
incumplimiento puede acarrear duras sanciones por
parte de la Agencia Española de Protección de Datos que
van desde los 900€ hasta los 600.000€.
De acuerdo con la Ley, son datos de carácter personal
cualquier información concerniente a personas físicas identificadas o identificables, es decir,
toda información que aporte datos sobre una persona física concreta o bien que a través de
dicha información se pueda llegar a identificar.
Hoy en día, cualquier empresa cuenta con este tipo de datos de carácter personal, ya sean
datos de clientes o incluso datos de los propios empleados como por ejemplo en las nóminas.
Debido al gran desconomiento sobre esta ley, solo un mínimo porcentaje de las empresas
españolas cumple con la LOPD pero recordemos, el desconocimiento de la ley no exime de su
cumplimiento.
Todas las empresas deben por tanto cumplir con una serie de factores técnicos y organizativos
para garantizar la seguridad de dichos datos y que, en resumen, son los siguientes:
Legalizar todos los ficheros automatizados en la Agencia Española de Protección de
Datos.
Legitimar todos los datos que sean almacenados en dichos ficheros.
Garantizar la protección de dichos ficheros, adoptando las medidas de seguridad
oportunas, además de crear y mantener el Documento de Seguridad Homologado.
No todos los ficheros son iguales, diferenciandose en tres niveles: Nivel Básico, Nivel Medio y
Nivel Avanzado. Estos niveles dependerán del tipo de datos a almacenar y contemplan
distintas actuaciones a la hora de adaptar su empresa a la LOPD.
LEGISLACION
A continuación le ofrecemos los últimos documentos publicados por la Agencia Española de
Protección de Datos y el Mnisterio de Industria Turismo y Comercio en los que se recoge la
legislacion vigente referente tanto a la Ley Orgánica de Protección de Datos de Carácter

2. Personal como a la Ley de Servicios de la Sociedad de la Información y de Comercio
Electrónico.
Ley Orgánica de Protección de Datos de Carácter Personal
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter
Personal
Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el
Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de
protección de datos de carácter personal.
Ley 2/2011, de 4 de marzo, de Economía Sostenible
Nota informativa: A partir de su publicación en el B.O.E., el 5 de marzo de 2011,
entra en vigor la Ley de Economía Sostenible, la cual incluye modificaciones a la Ley
Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal
en su Disposición final quincuagésima sexta. (Versión completa B.O.E.)
Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico
Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico
Aviso Jurídico
Los documentos que se ofrecen en estas páginas están destinados a su uso como instrumento
documental. Dichos documentos han sido extraidos de la Agencia Española de Protección de
Datos (www.agpd.es) y del Ministerio de Industria Turismo y Comercio (www.mityc.es)
SANCIONES
La LOPD, y su reciente modificación a través de la Ley 2/2011, de 4 de marzo, de Economía
Sostenible, prevee la posibilidad de aplicar sanciones, que pueden variar desde los 900€ hasta
los 600.000€, a quienes no cumplan con la Ley. Estas sanciones se dividen en tres categorías
dependiendo del tipo de falta cometida. Algunos ejemplos de sanciones son los siguientes:
Infracciones leves - Sanciones desde 900€ hasta 40.000€
No solicitar la inscripción del fichero de datos de carácter personal en el Registro
General de Protección de Datos
Recopilar datos personales sin informar previamente

3. Transmisión de datos a un encargado de tratamiento sin haber regulado
correctamente la relación con éste.
Infracciones graves - Sanciones desde 40.001€ hasta 300.000€
Tratar datos de carácter personal sin el consentiemiento de los afectados.
La vulneración del deber de secreto.
Impedir o dificultar a los afectados que ejerzan sus derechos de acceso, rectificación,
cancelación y oposición.
Mantener los ficheros sin las debidas condiciones de seguridad.
Infracciones muy graves - Sanciones desde 300.001€ hasta 600.000€
Recogida de datos de manera engañosa o fraudulenta
La comunicación o cesión de datos cuando ésta no esté permitida
No atender de forma sistemática los requerimientos de la AEPD
La transferencia temporal o definitiva de datos de carácter personal con destino a
países sin nivel de protección equiparable o sin autorización
La cuantía de las sanciones se calculará teniendo en consideración factores como la naturaleza
de los derechos personales afectados, el grado de intencionalidad, los beneficios obtenidos,
los daños y perjuicios causados a las personas interesadas y a terceras personas, así como
otras circunstancias que se consideren relevantes en cada caso.
GLOSARIO
Datos de carácter personal: Cualquier información concerniente a personas físicas
identificadas o identificables.
Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la
forma o modalidad de su creación, almacenamiento, organización y acceso.
Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no,

4. que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y
cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas,
interconexiones y transferencias.
Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o
privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del
tratamiento.
Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier
otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del
responsable del tratamiento.
Declarante: Persona física que cumplimenta la solicitud de inscripción y actúa como mediador
entre la Agencia y el titular/responsable del fichero. No debe necesariamente coincidir con el
titular/responsable.
Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento.
Identificación del afectado: Cualquier elemento que permita determinar directa o
indirectamente la identidad física, fisiológica, psíquica, económica, cultural o social de la
persona afectada.
Bloqueo de datos: La identificación y reserva de los datos de carácter personal con el
fin de impedir su tratamiento.
Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca,
específica e informada, mediante la que el interesado consienta el tratamiento de datos
personales que le conciernen.
Comunicación o cesión de datos: Toda revelación de datos realizada a una persona
distinta del interesado.
Fuentes accesibles al público: Aquellos ficheros cuya consulta puede ser realizada por
cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su
caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso
público, exclusivamente, el censo promocional, los repertorios telefónicos en los
términos previstos por su normativa específica y las listas de personas pertenecientes a

5. grupos de profesionales que contengan únicamente los datos de nombre, título,
profesión, actividad, grado académico, dirección e indicación de su pertenencia al
grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y
Boletines oficiales y los medios de comunicación.
Persona identificable: Toda persona cuya identidad pueda determinarse, directa o
indirectamente, mediante cualquier información referida a su identidad física,
fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará
identificable si dicha identificación requiere plazos o actividades desproporcionados.
Datos de carácter personal relacionados con la salud: Las informaciones
concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En
particular, se consideran datos relacionados con la salud de las personas los referidos a
su porcentaje de discapacidad y a su información genética.
Destinatario o cesionario: La persona física o jurídica, pública o privada u órgano
administrativo, al que se revelen los datos.
Procedimiento de disociación: Todo tratamiento de datos personales de modo que la
información que se obtenga no pueda asociarse a persona identificada o identificable.
Dato disociado: Aquél que no permite la identificación de un afectado o interesado.
Transferencia de datos: El transporte de los datos entre sistemas informáticos por
cualquier medio de transmisión, así como el transporte de soportes de datos por correo o
por cualquier otro medio convencional.
Transferencia internacional de datos: Tratamiento de datos que supone una
transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien
constituya una cesión o comunicación de datos, bien tenga por objeto la realización de
un tratamiento de datos por cuenta del responsable del fichero establecido en territorio
español.
Destinatario o cesionario: La persona física o jurídica, pública o privada u órgano
administrativo, al que se revelen los datos.
Exportador de datos personales: La persona física o jurídica, pública o privada, u
órgano administrativo situado en territorio español y responsable del tratamiento de los
datos de carácter personal que son objeto de transferencia internacional a un país
tercero.
Importador de datos personales: La persona física o jurídica, pública o privada, u

6. órgano administrativo receptor de los datos en caso de transferencia internacional de los
mismos a un tercer país, ya sea responsable del tratamiento, encargada del tratamiento o
tercero.
PREGUNTAS FRECUENTES
¿Se aplica la LOPD a los empresarios individuales o autónomos? ¿Y a las personas jurídicas? ¿Y
a los datos de personas ya fallecidas?
Con carácter general, el objeto de la Ley está regulado en los artículos 1 y 2.1 de la Ley
Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que
expresamente establecen:
Artículo 1. Objeto: La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que
concierne al tratamiento de los datos personales, las libertades públicas y los derechos
fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y
familiar.
Artículo 2. Ámbito de aplicación: La presente Ley Orgánica será de aplicación a los datos de
carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a
toda modalidad de uso posterior de estos datos por los sectores público y privado.
Por ello, no le es de aplicación la Ley Orgánica 15/1999:
A los datos de personas jurídicas.
A los datos de las personas fallecidas.
Por el contrario, sí le es de aplicación:
A los datos de los empresarios individuales - personas físicas (por ejemplo,
autónomos).
A la grabación de datos de voz e imágenes, siempre que las mismas permitan la
identificación de las personas que aparecen en dichas voces o imágenes y se hallen
incorporadas a ficheros informáticos.
A los ficheros de empresas que tengan una relación de personas físicas de contacto,
como Administradores, Gerentes, Directores Generales, Comerciales, etc.
¿Porqué hay que pagar para adaptar mi empresa a la LOPD? Tengo entendido que inscribir los
ficheros en la AGPD es totalmente gratuita.
En efecto, la inscripción de los ficheros se puede realizar de manera totalmente gratuita a

7. través de la web de la Agencia General de Protección de Datos. Sin embargo, para cumplir la
Ley no vale únicamente con inscribir los ficheros.
Además de inscribir los ficheros, la Ley exige cumplir otros requisitos como son:
Elaboración de un Documento de Seguridad
Realización de Auditorías al menos cada 2 años, según el nivel
Llevar un Registro de Incidencias
Llevar un Registro de Peticiones ARCO
Llevar un Registro de Entradas y Salidas
Llevar un Registro de Copias de Seguridad
Garantizar la protección de datos tanto en nuestra empresa como en las empresas
externas que puedan tener acceso a los ficheros de la misma
Todos lo anterior también puede usted realizarlo de forma gratuita.
En Mediagestlopd.es somos conscientes de que no todas las empresas disponen de los
recursos y tiempo necesarios para realizarlos, es por ello que ofrecemos nuestros servicios.
¿Qué puede suceder si mi empresa no cumple con la LOPD? ¿Hay sanciones?
La LOPD prevee la posibilidad de aplicar sanciones, que pueden variar desde los 600€ hasta los
600.000€, a quienes no cumplan con la Ley. Estas sanciones se dividen en tres categorías
dependiendo del tipo de falta cometida. Algunos ejemplos de sanciones son los siguientes:
Infracciones leves - Sanciones desde 601,01€ hasta 60.101,21€
No solicitar la inscripción del fichero en la AGPD
No atender a las solicitudes de rectificación o cancelación
Infracciones graves - Sanciones desde 60.101,21€ hasta 300.506,25€
No inscribir los ficheros en la AGPD
No disponer de Documento de Seguridad
No disponer acuerdos con las empresas externas que garanticen la seguridad de los
datos
Infracciones muy graves - Sanciones desde 300.506,25€ hasta 601.012,1€
No atender u obstaculizar de forma sistemática el ejercicio de los derechos de acceso,

8. rectificación, cancelación u oposición
No atender de forma sistemática el deber legal de notificación de la inclusión de datos
de carácter personal en un fichero
¿Cómo puede ayudarme www.Mediagestlopd.es a cumplir con la LOPD? ¿Cúanto tiempo
necesito?
En www.mediagestlopd.es, no sólo podrá registrar los ficheros en la AGPD, sino que además
tendrá a su disposición muchas otras funciones como son:
Asistente de evaluación del cumplimiento de la LOPD
Asistente para la fá creación y notificación de ficheros
Elaboración del Documento de Seguridad
Elaboración de la documentación legal necesaria (cláusulas, contratos, ...)
Gestión online de Incidencias
Gestión online de peticiones ARCO
Gestión online de Entradas y Salidas
Gestión online de Copias de Seguridad
Guía de recomendaciones técnicas
Podrá realizar la adaptación en un tiempo mínimo, incluso en una mañana!
Y todo ello desde la comodidad de su hogar u oficina, y al mejor precio del mercado.
¿Que es un fichero de datos de carácter personal?
El concepto de fichero está descrito en el artículo 3.b) de la Ley Orgánica 15/1999, de 13 de
diciembre, según el cual, se define el fichero como 'todo conjunto organizado de datos de
carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento,
organización y acceso'.
En consecuencia, Vd. debe inscribir en el Registro General de Protección de Datos todos los
ficheros que contengan datos de carácter personal (por ejemplo: fichero pacientes, fichero
informes, fichero nóminas, fichero clientes, etc.), aunque contengan solamente el nombre y
apellidos de la persona de contacto, el administrador o gerente de la empresa.

9. ¿Debo obligatoriamente inscribir los ficheros manuales o en papel (listados, fichas, etc...)?
El soporte papel (como son los listados o las fichas) entra dentro de la definición de soportes
físicos en general.
Los ficheros manuales (no automatizados), creados con posterioridad a la fecha de entrada en
vigor de la LOPD (14 de enero de 2000), deberán ser notificados para su inscripción en el
RGPD. Sin embargo, los ficheros manuales que ya existieran antes de la entrada en vigor de la
LOPD, no será obligatoria la notificación para su inscripción hasta octubre de 2007, de
conformidad con lo establecido en el último párrafo de la Disposición Adicional Primera.
¿Se considera dentro del ámbito de aplicación de la LOPD revelar datos de carácter personal
en una página web?
De acuerdo con la definición de tratamiento de datos prevista en el artículo 3 c) de la LOPD,
hacer referencia en una pagina web a una persona e identificarla por su nombre o por otros
medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a
sus aficiones, constituye un tratamiento de datos de carácter personal, siendo necesario
cumplir las previsiones establecidas en la Ley.
Lo que acaba de indicarse ha sido ratificado, en cuanto a la existencia de un tratamiento de
datos de carácter personal por la Sentencia del Tribunal de Justicia de las Comunidades
Europeas, de 6 de noviembre de 2003 (CASO LINDQVIST).