Pediste que borraran tus datos y te han contestado con un formulario que no lleva a ninguna parte, o directamente no te han contestado. La pregunta práctica no es si tienes derecho —lo tienes—, sino cuál de los seis derechos estás ejerciendo, ante quién y qué puedes hacer cuando te ignoran. Eso es lo que reparten entre sí el RGPD y esta ley española, que no lo sustituye sino que lo completa.
La LOPDGDD no sustituye al RGPD: lo completa
- La LOPDGDD tiene un doble objeto: adaptar el ordenamiento español al Reglamento (UE) 2016/679 y completarlo, y garantizar los derechos digitales de la ciudadanía. Ambos anclados en el artículo 18.4 de la Constitución.
- No sustituye al RGPD: lo complementa. El derecho fundamental a la protección de datos se ejerce con arreglo a las dos normas a la vez.
- Se aplica a cualquier tratamiento total o parcialmente automatizado, y también al no automatizado cuando los datos estén o vayan a estar en un fichero.
- Quedan fuera, entre otros, los tratamientos excluidos por el propio RGPD, los de personas fallecidas —con la salvedad de las previsiones específicas de la ley— y los sometidos a normativa de materias clasificadas.
- Cuando el tratamiento se funda en una obligación legal, esa obligación debe venir de una norma de la Unión o de una norma con rango de ley: no basta con un reglamento ni con una práctica interna.
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (conocida como LOPDGDD) es la norma española que adapta nuestro ordenamiento al Reglamento europeo de protección de datos. Se publicó en el Boletín Oficial del Estado el 6 de diciembre de 2018 (referencia BOE-A-2018-16673) y entró en vigor al día siguiente. Regula el tratamiento de los datos personales de las personas físicas, refuerza sus derechos y, como gran novedad, incorpora un catálogo de derechos digitales de la ciudadanía. Esta ficha resume su contenido con fines divulgativos.
Objeto y ámbito de aplicación
La LOPDGDD persigue un doble objetivo, recogido en su artículo 1: por un lado, adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 (RGPD) y completar sus disposiciones; por otro, garantizar los derechos digitales de la ciudadanía conforme al artículo 18.4 de la Constitución española.
Su ámbito de aplicación abarca, con carácter general, todo tratamiento de datos personales de personas físicas identificadas o identificables. Quedan fuera, entre otros, los tratamientos sometidos a normativa específica (como los relativos a la seguridad nacional o, en materia penal, a normas propias). La ley no protege a las personas jurídicas, aunque sí prevé reglas particulares para datos de empresarios individuales y de personas fallecidas.
Estructura de la ley
La LOPDGDD consta de 97 artículos distribuidos en diez títulos, además de 22 disposiciones adicionales, 6 transitorias, 1 derogatoria y 16 finales. Su organización es la siguiente:
| Título | Materia | Artículos |
|---|---|---|
| I | Disposiciones generales | 1 a 3 |
| II | Principios de protección de datos | 4 a 10 |
| III | Derechos de las personas | 11 a 18 |
| IV | Disposiciones aplicables a tratamientos concretos | 19 a 27 |
| V | Responsable y encargado del tratamiento | 28 a 39 |
| VI | Transferencias internacionales de datos | 40 a 43 |
| VII | Autoridades de protección de datos | 44 a 62 |
| VIII | Procedimientos en caso de posible vulneración | 63 a 69 |
| IX | Régimen sancionador | 70 a 78 |
| X | Garantía de los derechos digitales | 79 a 97 |
Contenidos y artículos clave
Principios del tratamiento (Título II)
El Título II concreta los principios que rigen cualquier tratamiento de datos. Entre ellos destacan:
- Exactitud de los datos (art. 4): los datos deben ser exactos y mantenerse actualizados.
- Deber de confidencialidad (art. 5), complementario al deber de secreto.
- Tratamiento basado en el consentimiento (art. 6), que debe ser libre e inequívoco.
- Consentimiento de los menores (art. 7): se fija en 14 años la edad a partir de la cual el menor puede consentir por sí mismo.
- Categorías especiales de datos (art. 9) y datos de naturaleza penal (art. 10), sometidos a protección reforzada.
Derechos de las personas (Título III)
La ley desarrolla, junto al RGPD, los derechos que toda persona puede ejercer ante el responsable del tratamiento:
- Derecho de acceso (art. 13): conocer qué datos se tratan y obtener una copia.
- Derecho de rectificación (art. 14): corregir datos inexactos o incompletos.
- Derecho de supresión o derecho al olvido (art. 15): solicitar el borrado de los datos.
- Derecho a la limitación del tratamiento (art. 16).
- Derecho a la portabilidad (art. 17): recibir los datos en formato estructurado y de uso común.
- Derecho de oposición (art. 18).
El artículo 12 fija reglas generales para ejercerlos (gratuidad por norma general, plazos de respuesta) y el artículo 11 regula el deber de transparencia e información.
La AEPD y las autoridades de control (Título VII)
El Título VII (artículos 44 a 62) regula las autoridades de protección de datos. La Agencia Española de Protección de Datos (AEPD) es la autoridad administrativa independiente de ámbito estatal, encargada de supervisar la aplicación de la normativa, atender reclamaciones, investigar y, en su caso, sancionar. Conviven con ella las autoridades autonómicas allí donde existen. Los Títulos VIII y IX desarrollan, respectivamente, el procedimiento ante posibles vulneraciones y el régimen sancionador, con infracciones leves, graves y muy graves.
Garantía de los derechos digitales (Título X)
El Título X es la aportación más original de la LOPDGDD, sin equivalente directo en el RGPD. Reconoce un catálogo de derechos para el entorno digital, entre ellos:
- Derecho a la neutralidad de Internet (art. 80) y acceso universal a Internet (art. 81).
- Derecho a la seguridad digital (art. 82) y a la educación digital (art. 83).
- Protección de los menores en Internet (art. 84) y protección de sus datos (art. 92).
- Derecho de rectificación en Internet (art. 85) y actualización de informaciones en medios digitales (art. 86).
- Intimidad y uso de dispositivos digitales en el ámbito laboral (art. 87) y derecho a la desconexión digital (art. 88).
- Intimidad frente a videovigilancia y grabación de sonidos (art. 89) y frente a geolocalización en el trabajo (art. 90).
- Derecho al olvido en búsquedas de Internet (art. 93) y en redes sociales (art. 94).
- Portabilidad en redes sociales (art. 95) y testamento digital (art. 96).
Reformas recientes vigentes en 2026
El texto consolidado de la LOPDGDD ha sido objeto de varias modificaciones desde su aprobación. Las principales vigentes a fecha de esta ficha son:
- Ley Orgánica 7/2021, de 26 de mayo: introdujo ajustes relativos a tratamientos vinculados a investigaciones (art. 2).
- Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas: modificó el artículo 24 sobre sistemas de información de denuncias internas.
- Ley 10/2025, de 26 de diciembre: modificó el artículo 23 sobre sistemas de exclusión publicitaria. Es la última actualización publicada del texto consolidado (27 de diciembre de 2025).
Conviene consultar siempre el texto consolidado del BOE, ya que la normativa puede actualizarse.
Relación con el RGPD y otras normas
A esa relación se ha sumado una norma nueva que se solapa con la protección de datos en buena parte de su ámbito: la ley de inteligencia artificial en España, que regula los sistemas de IA que tratan datos personales y sus obligaciones de transparencia.
La LOPDGDD no sustituye al Reglamento (UE) 2016/679 (RGPD), sino que lo complementa. El RGPD es directamente aplicable en toda la Unión Europea y constituye el marco principal; la ley española ejerce los márgenes que el propio Reglamento deja a los Estados (por ejemplo, la edad de consentimiento del menor o el régimen sancionador concreto) y añade el bloque de derechos digitales del Título X.
La LOPDGDD se relaciona, además, con otras normas: la Constitución (art. 18.4), el Estatuto de los Trabajadores en materia laboral (desconexión digital), la normativa de servicios de la sociedad de la información y, en el ámbito penal, la regulación específica derivada de la Directiva (UE) 2016/680.