BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64103
I. DISPOSICIONES GENERALES
JEFATURA DEL ESTADO
8806 Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales 
tratados para fines de prevención, detección, investigación y enjuiciamiento 
de infracciones penales y de ejecución de sanciones penales.
FELIPE VI
REY DE ESPAÑA
A todos los que la presente vieren y entendieren.
Sabed: Que las Cortes Generales han aprobado y Yo vengo en sancionar la siguiente 
ley orgánica:
PREÁMBULO
I
La Unión Europea es un espacio en el que los estándares y las garantías de protección 
de los derechos de las personas físicas a la protección de los datos personales se 
encuentran en la vanguardia internacional y constituyen un referente mundial. El rápido 
desarrollo tecnológico, especialmente de Internet, así como la creciente globalización de 
la economía mundial y europea han hecho imprescindible abordar la reforma del marco 
jurídico de la protección de datos, al objeto de consolidar e incluso mejorar este elevado 
nivel de protección a través de la creación de un marco legislativo nuevo, adaptado a la 
realidad cambiante, al tiempo que sólido, coherente e integral. En definitiva, un entorno 
normativo para un mundo globalizado y digital.
En este sentido, la Comunicación de la Comisión Europea «Un enfoque global de la 
protección de los datos personales en la Unión Europea», de 4 de noviembre de 2010, 
precedida de un intenso periodo de consultas durante más de dos años con los Estados 
miembros, el público en general, así como con los distintos sectores afectados, sentó las 
bases de lo que sería esta nueva perspectiva normativa.
El marco normativo resultante consta, principalmente, de dos instrumentos: el 
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril 
de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento 
de datos personales y a la libre circulación de estos datos y por el que se deroga la 
Directiva 95/46/CE (Reglamento General de Protección de Datos), que sustituye a una 
norma vigente desde hacía más de veinte años, y la Directiva (UE) 2016/680 del 
Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las 
personas físicas en lo que respecta al tratamiento de datos personales por parte de las 
autoridades competentes para fines de prevención, investigación, detección o 
enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre 
circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del 
Consejo.
En nuestro ordenamiento jurídico, la Ley Orgánica 3/2018, de 5 de diciembre, de 
Protección de Datos Personales y garantía de los derechos digitales, adaptó el Reglamento 
General de Protección de Datos, en lo que respecta al tratamiento de los datos personales 
y a la libre circulación de estos datos.
II
La Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril 
de 2016, objeto de transposición por esta Ley Orgánica, deroga la Decisión 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64104
Marco 2008/977/JAI del Consejo, de 27 de noviembre de 2008, relativa a la protección de 
datos personales tratados en el marco de la cooperación policial y judicial en materia 
penal, que había sido superada por varias razones.
En primer lugar, se trataba de una norma previa al Tratado de Lisboa que requería de 
su oportuna adaptación a los nuevos Tratados, en particular, al artículo 16 del Tratado de 
Funcionamiento de la Unión Europea, que exige que el Consejo y el Parlamento Europeo, 
a través del procedimiento legislativo ordinario, regulen la protección de los datos 
personales.
En segundo término, la decisión marco se aprobó conforme a la estructura de pilares 
de la Unión Europea, previa al Tratado de Lisboa, por lo que contaba con un ámbito de 
aplicación limitado exclusivamente al tratamiento de datos personales de carácter 
transfronterizo entre los Estados miembros, sin alcanzar, por tanto, a los tratamientos de 
carácter estrictamente nacional.
Asimismo, otorgaba una amplísima capacidad de maniobra a los Estados miembros, 
sin asegurar un nivel mínimo de armonización deseable en determinados ámbitos, como 
el reconocimiento en todos los Estados del derecho de acceso de los interesados a sus 
propios datos, el principio del tratamiento de los datos para fines determinados o las 
condiciones para las transferencias internacionales.
En definitiva, la fragmentación y complejidad de la regulación en este campo 
perjudicaba la necesaria confianza entre los actores de la cooperación policial y judicial 
penal en Europa, quienes mostraban recelos a compartir información, entre otros motivos, 
por la ausencia de una mínima armonización en cuanto a la protección de los datos de 
carácter personal; unos datos que resultan esenciales en el terreno de la cooperación 
operativa.
III
La Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril 
de 2016, subsana estas deficiencias, ampliando su ámbito de aplicación al tratamiento 
nacional de los datos personales en el espacio de la cooperación policial y judicial penal. 
Toda vez que cubre otras carencias de la normativa europea anterior, dado que incluye la 
regulación de los datos genéticos –que reclamaba el Tribunal Europeo de Derechos 
Humanos-, así como la distinción entre los datos personales según su grado de exactitud 
y fiabilidad, o la diferenciación entre distintas categorías de interesados.
Resulta pertinente poner de relieve que la citada directiva que transpone esta Ley 
Orgánica se aprobó como respuesta a las crecientes amenazas para la seguridad en el 
contexto nacional e internacional, que tienen, en numerosos casos, un componente 
transfronterizo. Por esta razón, la cooperación internacional y la transmisión de información 
de carácter personal entre los servicios policiales y judiciales de los países implicados se 
convierten en un objetivo ineludible. En efecto, los atentados terroristas de Nueva York 
en 2001 supusieron un punto de inflexión en la necesidad de reforzar la cooperación 
judicial y policial en la lucha contra el terrorismo, como volvería a ponerse de manifiesto 
con ocasión de los atentados de Bruselas y Niza en 2016.
La cooperación encaminada a compartir a tiempo la información operativa precisa se 
erige en un requisito de eficacia en la prevención y lucha contra este tipo de amenazas. 
Todo ello, teniendo en cuenta el estado de la técnica, que permite, en la actualidad, 
tratamientos de datos a gran escala en el ámbito de la seguridad.
Este intercambio de información debe realizarse, en todo caso, de manera que se 
garanticen los principios democráticos y la seguridad de las personas a lo largo de las 
fases del tratamiento.
En consecuencia, esta Ley Orgánica asume la finalidad de lograr un elevado nivel de 
protección de los derechos de la ciudadanía, en general, y de sus datos personales, en 
particular, que resulte homologable al del resto de los Estados miembros de la Unión 
Europea, incorporando y concretando las reglas que establece la directiva.
En este sentido, la Constitución española fue precursora del reconocimiento y la 
defensa del derecho fundamental a la protección de datos personales. Así, el artículo 18.4 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64105
de nuestra norma fundamental dispone que la ley limitará el uso de la informática para 
garantizar el honor y la intimidad personal y familiar de la ciudadanía y el pleno ejercicio de 
sus derechos. El Tribunal Constitucional, en reiterada jurisprudencia, entiende la protección 
de datos como un derecho fundamental que garantiza a toda persona la capacidad de 
controlar el uso y destino de sus datos, con el propósito de evitar el tráfico ilícito o lesivo 
de los mismos o una utilización para fines distintos de los que justificaron su obtención.
Por todo ello, la transposición de esta directiva por los Estados miembros supone el 
establecimiento de un marco jurídico consistente, que proporciona la seguridad jurídica 
necesaria para facilitar la cooperación policial y judicial penal y, por tanto, una mayor 
eficacia en el desempeño de sus funciones por las Fuerzas y Cuerpos de Seguridad y de 
nuestro sistema judicial penal en su conjunto, incluido el penitenciario.
IV
Esta Ley Orgánica consta de sesenta y cinco artículos estructurados en ocho capítulos, 
cinco disposiciones adicionales, una disposición transitoria, una disposición derogatoria y 
doce disposiciones finales.
El capítulo I, relativo a las disposiciones generales, define el objeto de la Ley Orgánica, 
entendiéndose como la regulación del tratamiento de los datos personales para fines de 
prevención, detección, investigación y enjuiciamiento de infracciones penales y de 
ejecución de sanciones penales, incluida la protección y de prevención frente a las 
amenazas contra la seguridad pública, cuando dicho tratamiento se lleve a cabo por los 
órganos que, a efectos de esta Ley Orgánica, tengan la consideración de autoridades 
competentes.
La finalidad principal es que los datos sean tratados por estas autoridades competentes 
de manera que se cumplan los fines prevenidos a la par que establecer los mayores 
estándares de protección de los derechos fundamentales y las libertades de los 
ciudadanos, de forma que se cumpla lo dispuesto en el artículo 8, apartado 1, de la Carta 
de los Derechos Fundamentales de la Unión Europea, así como en el artículo 16, 
apartado 1, del Tratado de Funcionamiento de la Unión Europea y el artículo 18.4 de la 
Constitución.
Asimismo, en correspondencia con lo que dispone el artículo 22.6 de la Ley 
Orgánica 3/2018, de 5 de diciembre, cuando el tratamiento de los datos personales se 
realice para alguno de los fines establecidos en esta Ley Orgánica y proceda de las 
imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las 
Fuerzas y Cuerpos de Seguridad, o bien se lleve a cabo por los órganos competentes para 
la vigilancia y control en los centros penitenciarios o para el control, regulación, vigilancia 
y disciplina del tráfico, dichos tratamientos se regularán por las disposiciones de esta Ley 
Orgánica complementándose, en lo que no resulte contrario a su contenido, con la 
normativa vigente que regula estos ámbitos. De este modo, se establece un nuevo sistema 
que gira en torno a las obligaciones de los responsables del tratamiento y a las distintas 
misiones que se les asignan.
Aunque se deben excluir con carácter general, se incluyen igualmente algunas 
previsiones específicas para el tratamiento de los datos de personas fallecidas a similitud 
de lo que se dispone en la precitada Ley Orgánica 3/2018, de 5 de diciembre.
Las autoridades competentes, a efectos de esta Ley Orgánica, se definen como 
autoridades públicas con competencias legalmente encomendadas para la consecución de 
los fines específicos incluidos en el ámbito de aplicación. En concreto, se determina que 
serán autoridades competentes: las Fuerzas y Cuerpos de Seguridad; las autoridades 
judiciales del orden jurisdiccional penal y el Ministerio Fiscal; las Administraciones 
Penitenciarias; la Dirección Adjunta de Vigilancia Aduanera; el Servicio Ejecutivo de la 
Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias; y la 
Comisión de Vigilancia de Actividades de Financiación del Terrorismo. Todo ello, sin 
perjuicio de que los tratamientos que se lleven a cabo por los órganos jurisdiccionales se 
rijan por lo dispuesto en esta Ley Orgánica, en la Ley Orgánica 6/1985, de 1 de julio, del 
Poder Judicial, y en las leyes procesales penales.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64106
Se excluyen expresamente del ámbito de aplicación ciertos tratamientos, como los 
realizados por las autoridades competentes para fines distintos de los cubiertos por la Ley 
Orgánica; los llevados a cabo por los órganos de la Administración General del Estado en 
el marco de las actividades comprendidas en el ámbito del capítulo II del título V del 
Tratado de la Unión Europea, en relación a la Política Exterior y de Seguridad Común; los 
derivados de una actividad no comprendida en el ámbito de aplicación del Derecho de la 
Unión Europea; y los sometidos a la normativa sobre materias clasificadas. Entre estos 
últimos se mencionan expresamente como incluidos los tratamientos relativos a la Defensa 
Nacional.
El capítulo II se refiere a los principios de protección de datos cuya garantía 
corresponde al responsable del tratamiento. Estos principios se regulan en términos 
similares a lo establecido en el Reglamento General de Protección de Datos, con algunas 
especialidades propias del ámbito de esta Ley Orgánica.
Se incluye un deber de colaboración con las autoridades competentes, según el cual, 
salvo que legalmente sea exigible una autorización judicial, las Administraciones 
Públicas o cualquier persona física o jurídica deberá proporcionar a las autoridades 
judiciales, al Ministerio Fiscal o a la Policía Judicial la información necesaria para la 
investigación o enjuiciamiento de infracciones penales o la ejecución de las penas y la 
información necesaria para la protección y prevención frente a un peligro real y grave 
para la seguridad pública. Todo ello, con la obligación de no informar al interesado de 
dichos tratamientos ulteriores. Esta última precisión resulta fundamental para evitar que 
la puesta de la información a disposición del interesado pueda poner en peligro los fines 
que, de acuerdo con la directiva y esta Ley Orgánica, justifican el tratamiento de los 
datos.
Se regulan, también, los plazos de conservación y de revisión de los datos de carácter 
personal tratados, siendo relevante el establecimiento de un plazo máximo de conservación 
de los datos con carácter general y la implantación de un sistema que permite al 
responsable revisar, en el plazo que el mismo establezca dentro del margen legal, la 
necesidad de conservar, limitar o suprimir el conjunto de los datos personales contenidos 
en cada una de sus actividades de tratamiento. El responsable deberá, en sus tratamientos, 
distinguir los datos que correspondan a las diversas categorías de interesados, tales como 
los sospechosos, los condenados o los sancionados, las víctimas o los terceros 
involucrados, así como diferenciar, en la medida de lo posible, si los datos que trata son 
datos basados en hechos o en apreciaciones.
Se exigen igualmente ciertas condiciones que determinan la licitud de todo tratamiento 
de datos de carácter personal, esto es, que sean tratados por las autoridades competentes; 
que resulten necesarios para los fines de esta Ley Orgánica y que, en caso necesario y en 
cada ámbito particular, se especifiquen las especialidades por una norma con rango de ley 
que incluya unos contenidos mínimos.
En el supuesto de transmisión de datos sujetos a condiciones específicas de 
tratamiento, dichas condiciones deberán ser respetadas por el destinatario de los mismos, 
en especial, la prohibición de transmitirlos o de utilizarlos para fines distintos para los que 
fueron transmitidos.
De igual modo, se exige que el tratamiento de categorías especiales de datos, como 
son los que revelen el origen étnico o racial, las opiniones políticas, las convicciones 
religiosas o filosóficas, la afiliación sindical o los genéticos o biométricos, sólo pueda tener 
lugar cuando sea estrictamente necesario y se cumplan ciertas condiciones.
Los datos biométricos (como las huellas dactilares o la imagen facial) sólo se 
consideran incluidos en esta categoría especial cuando su tratamiento está dirigido a 
identificar de manera unívoca a una persona física. Esta necesidad de identificación en las 
actuaciones amparadas legalmente se lleva a cabo, con frecuencia, por las distintas 
autoridades competentes. El propósito es singularizar los autores o partícipes de 
infracciones penales, así como poder reconocer si son las personas que se supone o se 
busca, y de esta forma, atribuir o exonerar, sin género de dudas, la participación en 
determinados hechos, gracias a posibles indicios o vestigios biométricos.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64107
Habida cuenta de la vertiginosa evolución tecnológica y los medios electrónicos de los 
que se dispone, se incluye la habilitación legal que facilite una respuesta rápida y adecuada 
en el uso de estos datos, con el objetivo final de garantizar y proteger los derechos de los 
interesados y de la ciudadanía en general.
Se prohíbe, igualmente, la adopción de decisiones individuales automatizadas, incluida 
la elaboración de perfiles en este ámbito, salvo que esté autorizado por una norma con 
rango de ley del ordenamiento jurídico español o europeo.
El capítulo III, se divide en dos secciones y aborda los derechos de las personas. 
Regula una serie de condiciones generales del ejercicio de los derechos, tales como la 
obligación exigible al responsable de facilitar la información correspondiente a los derechos 
del interesado de forma concisa, con un lenguaje claro y sencillo y de manera gratuita. Se 
establece la información que debe ponerse a disposición del interesado, siendo algunos 
datos obligatorios, en todo caso, y otros en casos concretos.
Se reconocen los derechos de acceso, rectificación, supresión y limitación del 
tratamiento. En virtud de tales derechos se faculta al interesado a conocer si se están 
tratando o no sus datos y, en caso afirmativo, acceder a cierta información sobre el 
tratamiento; a obtener la rectificación de sus datos si estos resultaran inexactos; a 
suprimirlos cuando fueran contrarios a lo dispuesto en los artículos 6, 11 o 13, o cuando 
así lo requiera una obligación legal exigible al responsable; y a limitar el tratamiento, 
cuando el interesado ponga en duda la exactitud de los datos o estos datos deban 
conservarse únicamente a efectos probatorios.
Estos derechos podrán ser ejercidos por el interesado directamente o, en determinados 
casos, a través de la autoridad de protección de datos.
Dispone esta Ley Orgánica que estos derechos pueden ser restringidos por ciertas 
causas tasadas, como cuando sea necesario para evitar que se obstaculice una 
investigación o se ponga en peligro la seguridad pública o la seguridad nacional.
Se establece, en su sección segunda, un régimen especial de derechos de los 
interesados en el marco de investigaciones y procesos penales.
El capítulo IV recoge las obligaciones y responsabilidades de los responsables y 
encargados de protección de datos, las medidas de seguridad y la figura del delegado de 
protección de datos, a lo largo de tres secciones. El responsable del tratamiento, teniendo 
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los 
niveles de riesgo para los derechos y libertades de las personas físicas, aplicará las 
medidas técnicas y organizativas apropiadas.
El encargado del tratamiento llevará a cabo sus funciones por cuenta del responsable, 
debiendo ofrecer garantías para aplicar medidas técnicas y organizativas apropiadas.
Todo responsable y encargado del tratamiento deberá conservar un registro de 
actividades de tratamiento, con datos identificativos, tales como los datos de contacto del 
responsable, los fines o las categorías de interesados, y un registro de operaciones, pieza 
angular de este sistema e instrumento básico para acreditar el cumplimiento de varios de 
los principios de tratamiento, que comprenderá la recogida, la alteración, las consultas y 
las transferencias de los datos personales entre otras operaciones. Asimismo, están 
obligados a cooperar con la autoridad de protección de datos, en el marco de la legislación 
vigente.
Se establecen ciertas obligaciones que responden a un nuevo modelo de 
responsabilidad activa que exige una valoración previa del riesgo que pudiera generar el 
tratamiento de los datos de carácter personal para los interesados, para, a partir de dicha 
valoración, adoptar las medidas que procedan.
Se presta una atención detallada a la seguridad del tratamiento, regulándose alguna 
de las medidas de seguridad que se aplicarán, si bien solo se dispone como obligatoria la 
puesta en marcha del citado registro de operaciones como medida técnica y organizativa, 
siendo las demás las que el responsable determine como las más adecuadas para lograr 
el control que se le solicita en virtud del tipo de tratamiento que se esté llevando a cabo y 
del nivel de riesgo que se estime, tras el correspondiente análisis. Se impone, asimismo, 
el deber de notificación a la autoridad de protección de datos de cualquier violación de la 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64108
seguridad que, con carácter general, deberá ser notificada al interesado, salvo en 
supuestos expresamente previstos en la ley.
El delegado de protección de datos se configura como el órgano o figura de 
asesoramiento y supervisión de los responsables de protección de datos, que podrá ser 
único para varias autoridades competentes y cuya designación será obligatoria salvo en 
relación con los tratamientos de datos con fines jurisdiccionales. En el caso de que se 
dispongan tratamientos que queden bajo distintos ámbitos de aplicación, con el fin de 
evitar disfunciones en las organizaciones de las autoridades competentes, se establece 
que la figura del delegado de protección de datos será única para todos ellos.
El capítulo V regula las transferencias de datos personales realizadas por las 
autoridades competentes españolas a un Estado que no sea miembro de la Unión Europea 
o a una organización internacional, incluidas las transferencias ulteriores a otro Estado que 
no pertenezca a la Unión Europea u otra organización internacional y se establecen las 
condiciones que deberán cumplirse para que estas sean lícitas.
Así, con el fin de garantizar que no se menoscabe el nivel de protección de las 
personas físicas previsto en esta Ley Orgánica, la transferencia respetará ciertas 
condiciones previstas en la misma. De este modo, sólo deben realizarse cuando sean 
necesarias para los fines de esta Ley Orgánica y cuando el responsable del tratamiento en 
el tercer país u organización internacional sea autoridad competente en relación a dichos 
fines.
Asimismo, cuando el dato se transfiere a un tercer país o a una organización 
internacional, la autoridad competente del Estado miembro en el que se obtuvo el dato, 
debe autorizar previamente esta transferencia y las ulteriores que puedan tener lugar a 
otro tercer país o a una organización internacional. En cuanto al tercer país u organización 
internacional destinatario de la trasferencia, deberá ser objeto de evaluación por la 
Comisión Europea a la vista de su nivel de protección de datos o, en caso de ausencia de 
decisión, debe entenderse por el responsable del tratamiento que ofrece garantías 
adecuadas. Sólo por las causas excepcionales previstas en esta Ley Orgánica se podrán 
autorizar transferencias fuera de estos supuestos. Este capítulo finaliza con la regulación 
de la transferencia internacional de datos personales a destinatarios que, no siendo 
autoridades competentes, están establecidos en terceros países.
El capítulo VI, relativo a las autoridades de protección de datos, dispone que dichas 
autoridades sean la Agencia Española de Protección de Datos y las Agencias Autonómicas 
de Protección de Datos, en sus respectivos ámbitos competenciales. Asimismo, la Ley 
Orgánica recoge sus potestades, funciones y la asistencia entre autoridades de protección 
de datos de los Estados miembros. Se remite en lo restante a la normativa que les resulte 
de aplicación.
El capítulo VII prevé que los procedimientos de reclamación que se planteen ante las 
autoridades de protección de datos se rijan por lo establecido en la Ley Orgánica 3/2018, 
de 5 de diciembre, o, en su caso, por la normativa reguladora de la autoridad de protección 
de datos correspondiente. Se refiere a aquellos supuestos en que los responsables o 
encargados del tratamiento, o de la autoridad de protección de datos, en su caso, 
incumplan esta Ley Orgánica y generen un daño o lesión en los bienes o derechos del 
interesado.
Este capítulo, además, aborda la responsabilidad de los responsables o encargados 
del tratamiento o de la autoridad de protección de datos, en su caso, cuando incumplan 
esta Ley Orgánica y se genere un daño o lesión en los bienes o derechos de un interesado. 
De igual modo, se detalla la forma de ejercer el derecho a la tutela judicial efectiva ante la 
jurisdicción contencioso-administrativa contra las decisiones de una autoridad de 
protección de datos que puedan entenderse que conciernen a los interesados.
Finalmente, el capítulo VIII regula el régimen sancionador específico aplicable ante 
incumplimientos de las obligaciones previstas en esta Ley Orgánica. Se definen los sujetos 
sobre los que recaerá la responsabilidad por las infracciones cometidas. Se determinan las 
reglas del concurso de normas para resolver los casos en los que un hecho pueda ser 
calificado con arreglo a dos o más de ellas, al tiempo que se tipifican las infracciones, que, 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64109
en función de su gravedad, podrán ser leves, graves o muy graves. Por último, se 
establecen las sanciones que se pueden imponer, y se fijan los plazos de prescripción 
tanto de las infracciones como de las sanciones y de caducidad.
Las disposiciones adicionales se refieren a regímenes específicos, al intercambio de 
datos dentro de la Unión Europea, a los acuerdos internacionales en el ámbito de la 
cooperación judicial en materia penal y de la cooperación policial, y a los tratamientos que 
se efectúen en relación con los ficheros y al Registro de Población de las Administraciones 
Públicas.
Las disposiciones finales introducen las modificaciones necesarias en la Ley 
Orgánica 1/1979, de 26 de septiembre, General Penitenciaria, para adecuarla a las 
previsiones de esta Ley Orgánica en relación con los tratamientos para ejecución de la 
pena; en la Ley 50/1981, de 30 de diciembre; en la Ley Orgánica 6/1985, de 1 de julio; en 
la Ley Orgánica 3/2018, de 5 de diciembre; en la Ley Orgánica 1/2020, de 16 de 
septiembre, sobre la utilización de los datos del registro de nombres de pasajeros para la 
prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos 
graves en correspondencia con determinadas obligaciones de los operadores; en la 
Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en 
el deporte; en la Ley 5/2014, de 4 de abril, de Seguridad Privada para adecuar, en ambos 
casos, los plazos de caducidad de los expedientes sancionadores; y en el texto refundido 
de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial, aprobado por 
el Real Decreto Legislativo 6/2015, de 30 de octubre, para dar soporte legal específico a 
las matriculaciones por razones de Seguridad Nacional.
En la elaboración de esta Ley Orgánica se han observado los principios de necesidad, 
eficacia, proporcionalidad, seguridad jurídica, transparencia y eficiencia, exigidos por el 
artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común 
de las Administraciones Públicas.
En primer lugar, se trata de una norma necesaria, dado que la transposición de la 
Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, 
exige una ley de carácter orgánico, al afectar la norma comunitaria a un derecho 
fundamental reconocido en el artículo 18 de la Constitución y por imperativo del artículo 81 
de la misma. En este sentido, el artículo 18.4 de la Constitución dispone que la ley limitará 
el uso de la informática para garantizar el honor y la intimidad personal y familiar de la 
ciudadanía y el pleno ejercicio de sus derechos.
Esta Ley Orgánica, además, incorpora a nuestro ordenamiento interno los instrumentos 
que permitirán una eficaz protección de los datos de las personas físicas frente a su 
tratamiento por parte de las autoridades competentes con fines de prevención, detección, 
investigación o enjuiciamiento de infracciones penales o de ejecución de sanciones 
penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad 
pública.
Por lo que respecta al principio de seguridad jurídica, en razón de la materia objeto de 
regulación, la transposición de la directiva se realiza mediante una Ley Orgánica, cuya 
tramitación e integración en el ordenamiento jurídico goza de las garantías que amparan 
las normas de esta naturaleza.
En cuanto al principio de proporcionalidad, esta Ley Orgánica contempla un importante 
número de garantías orientadas a que el tratamiento de datos personales sea proporcional, 
oportuno, mínimo y suficiente para el cumplimiento de los fines que se persiguen. En 
particular, su tratamiento se sujeta a los principios que rigen el tratamiento de datos 
personales, por lo que se exige que no sean tratados para otros fines distintos de los 
establecidos en la norma, salvo que dicho tratamiento esté autorizado por el Derecho de la 
Unión Europea o por nuestro Derecho interno. Cuando los datos personales sean tratados 
para otros fines que no sean los de la prevención, detección, investigación o enjuiciamiento 
de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la 
prevención frente a las amenazas contra la seguridad pública, se aplicará el Reglamento 
General de Protección de Datos, a menos que el tratamiento se efectúe como parte de una 
actividad que quede fuera del ámbito de aplicación del Derecho de la Unión Europea.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64110
Se cumple, también, el principio de transparencia, puesto que esta norma ha sido 
sometida a los correspondientes trámites de participación pública, esto es, el de consulta 
pública previa y el de audiencia e información pública.
En la tramitación de esta Ley Orgánica, además de los diversos Ministerios concernidos 
por razón de la materia, han emitido informe la Agencia Española de Protección de Datos; 
la Agencia Vasca de Protección de Datos; la Autoridad Catalana de Protección de Datos; 
el Consejo Fiscal; el Consejo General del Poder Judicial; los Departamentos de Seguridad 
Pública del Gobierno Vasco y de Interior de la Generalidad de Cataluña; y finalmente el 
Consejo de Estado. Se trata, por tanto, de un texto en el cual se han incorporado las 
consideraciones de órganos tan relevantes como los expuestos.
Por último, esta Ley Orgánica se dicta al amparo de las reglas 1.ª, 6.ª, 18.ª y 29.ª del 
artículo 149.1 de la Constitución, que atribuyen al Estado las competencias exclusivas, 
respectivamente, para la regulación de las condiciones básicas que garanticen la igualdad 
de todos los españoles en el ejercicio de los derechos y en el cumplimiento de los deberes 
constitucionales; sobre legislación penal, penitenciaria y procesal; respecto a las bases del 
régimen jurídico de las Administraciones Públicas, el procedimiento administrativo común 
y en relación al sistema de responsabilidad de todas las Administraciones públicas; y en 
materia de seguridad pública.
CAPÍTULO I
Disposiciones generales
Artículo 1. Objeto.
Esta Ley Orgánica tiene por objeto establecer las normas relativas a la protección de 
las personas físicas en lo que respecta al tratamiento de los datos de carácter personal por 
parte de las autoridades competentes, con fines de prevención, detección, investigación y 
enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la 
protección y prevención frente a las amenazas contra la seguridad pública.
Artículo 2. Ámbito de aplicación.
1. Será de aplicación al tratamiento total o parcialmente automatizado de datos 
personales, así como al tratamiento no automatizado de datos personales contenidos o 
destinados a ser incluidos en un fichero, realizado por las autoridades competentes, con 
fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de 
ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas 
contra la seguridad pública.
2. El tratamiento de los datos personales llevado a cabo con ocasión de la tramitación 
por los órganos judiciales y fiscalías de las actuaciones o procesos de los que sean 
competentes, así como el realizado dentro de la gestión de la Oficina judicial y fiscal, en el 
ámbito del artículo 1, se regirá por lo dispuesto en la presente Ley Orgánica, sin perjuicio 
de las disposiciones de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, las leyes 
procesales que le sean aplicables y, en su caso, por la Ley 50/1981, de 30 de diciembre, 
por la que se regula el Estatuto Orgánico del Ministerio Fiscal. Las autoridades de 
protección de datos a las que se refiere el capítulo VI no serán competentes para controlar 
estas operaciones de tratamiento.
3. Quedan fuera del ámbito de aplicación de esta Ley Orgánica los siguientes 
tratamientos de datos personales:
a) Los realizados por las autoridades competentes para fines distintos de los 
previstos en el artículo 1, incluidos los fines de archivo por razones de interés público, 
investigación científica e histórica o estadísticos. Estos tratamientos se someterán 
plenamente a lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y 
del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64111
que respecta al tratamiento de datos personales y a la libre circulación de estos datos y 
por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos), 
así como en la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales 
y garantía de los derechos digitales.
b) Los llevados a cabo por los órganos de la Administración General del Estado en el 
marco de las actividades comprendidas en el ámbito de aplicación del capítulo II del título 
V del Tratado de la Unión Europea.
c) Los tratamientos que afecten a actividades no comprendidas en el ámbito de 
aplicación del Derecho de la Unión Europea.
d) Los sometidos a la normativa sobre materias clasificadas, entre los que se 
encuentran los tratamientos relativos a la Defensa Nacional.
e) Los tratamientos realizados en las acciones civiles y procedimientos administrativos 
o de cualquier índole vinculados con los procesos penales que no tengan como objetivo 
directo ninguno de los fines del artículo 1.
4. Esta Ley Orgánica no se aplicará a los tratamientos de datos de personas 
fallecidas, sin perjuicio de lo establecido en el artículo siguiente.
Artículo 3. Datos de personas fallecidas.
1. Las personas vinculadas al fallecido por razones familiares o de hecho, así como 
sus herederos, podrán dirigirse al responsable o encargado del tratamiento al objeto de 
solicitar el acceso, rectificación o supresión de los datos de aquel. Estos derechos se 
regularán de acuerdo con lo dispuesto en esta Ley Orgánica.
2. En caso de fallecimiento de menores, estas facultades podrán ejercerse también 
por sus representantes legales o, en el marco de sus competencias, por el Ministerio 
Fiscal, que podrá actuar de oficio o a instancia de cualquier persona interesada.
3. En caso de fallecimiento de personas con discapacidad, estas facultades también 
podrán ejercerse, además de por quienes señala el apartado anterior, por quienes 
hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se 
entendieran comprendidas en las medidas de apoyo prestadas por el designado.
Artículo 4. Autoridades competentes.
1. Será autoridad competente, a los efectos de esta Ley Orgánica, toda autoridad 
pública que tenga competencias encomendadas legalmente para el tratamiento de datos 
personales con alguno de los fines previstos en el artículo 1.
En particular, tendrán esa consideración, en el ámbito de sus respectivas competencias, 
las siguientes autoridades:
a) Las Fuerzas y Cuerpos de Seguridad.
b) Las Administraciones Penitenciarias.
c) La Dirección Adjunta de Vigilancia Aduanera de la Agencia Estatal de 
Administración Tributaria.
d) El Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e 
Infracciones Monetarias.
e) La Comisión de Vigilancia de Actividades de Financiación del Terrorismo.
2. También tendrán consideración de autoridades competentes las Autoridades 
judiciales del orden jurisdiccional penal y el Ministerio Fiscal.
Artículo 5. Definiciones.
A efectos de esta Ley Orgánica se entenderá por:
a) «datos personales»: toda información sobre una persona física identificada o 
identificable («el interesado»); se considerará persona física identificable a toda persona 
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64112
identificador, como por ejemplo un nombre, un número de identificación, unos datos de 
localización, un identificador en línea o uno o varios elementos propios de la identidad 
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
b) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre 
datos personales o conjuntos de datos personales, ya sea por procedimientos 
automatizados o no, como la recogida, registro, organización, estructuración, conservación, 
adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, 
difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, 
supresión o destrucción;
c) «limitación del tratamiento»: el marcado de los datos personales conservados con 
el fin de limitar su tratamiento en el futuro;
d) «elaboración de perfiles»: toda forma de tratamiento automatizado de datos 
personales consistente en utilizar datos personales para evaluar determinados 
aspectos personales de una persona física, en particular para analizar o predecir 
aspectos relativos al rendimiento profesional, situación económica, salud, preferencias 
personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha 
persona física;
e) «seudonimización»: el tratamiento de datos personales de manera tal que ya no 
puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha 
información adicional se mantenga por separado y esté sujeta a medidas técnicas y 
organizativas destinadas a garantizar que los datos personales no se atribuyan a una 
persona física identificada o identificable;
f) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo 
a criterios determinados, ya sea centralizado, descentralizado o dispersado de forma 
funcional o geográfica;
g) «responsable del tratamiento» o «responsable»: la autoridad competente que sola 
o conjuntamente con otras, determine los fines y medios del tratamiento de datos 
personales; en caso de que los fines y medios del tratamiento estén determinados por el 
Derecho de la Unión Europea o por la legislación española, dichas normas podrán designar 
al responsable del tratamiento, o bien los criterios para su nombramiento.
h) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad 
pública, servicio u otro organismo que trate datos personales por cuenta del responsable 
del tratamiento;
i) «destinatario»: la persona física o jurídica, autoridad pública, servicio o cualquier 
otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No 
obstante, no se considerará destinatarios las autoridades públicas que puedan recibir 
datos personales en el marco de una investigación concreta de conformidad con la 
legislación española o de la Unión Europea; el tratamiento de tales datos por las citadas 
autoridades públicas será conforme con las normas en materia de protección de datos 
aplicables a los fines del tratamiento;
j) «violación de la seguridad de los datos personales»: toda violación de la seguridad 
que ocasione la destrucción, pérdida o alteración accidental o ilícita, o la comunicación o 
acceso no autorizados a datos personales transmitidos, conservados o tratados de otra 
forma;
k) «datos genéticos»: datos personales relativos a las características genéticas 
heredadas o adquiridas de una persona física que proporcionen una información única 
sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una 
muestra biológica de la persona física de que se trate;
l) «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico 
específico, relativos a las características físicas, fisiológicas o de conducta de una persona 
física que permitan o confirmen la identificación única de dicha persona, como imágenes 
faciales o datos dactiloscópicos;
m) «datos relativos a la salud»: datos personales relativos a la salud física o mental 
de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen 
información sobre su estado de salud;
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64113
n) «organización internacional»: una organización internacional y sus entes 
subordinados de Derecho internacional público o cualquier otro organismo creado 
mediante un acuerdo entre dos o más países o en virtud de tal acuerdo.
CAPÍTULO II
Principios, licitud del tratamiento y videovigilancia
Sección 1.ª Principios y licitud del tratamiento
Artículo 6. Principios relativos al tratamiento de datos personales.
1. Los datos personales serán:
a) Tratados de manera lícita y leal.
b) Recogidos con fines determinados, explícitos y legítimos, y no serán tratados de 
forma incompatible con esos fines.
c) Adecuados, pertinentes y no excesivos en relación con los fines para los que son 
tratados.
d) Exactos y, si fuera necesario, actualizados. Se adoptarán todas las medidas 
razonables para que se supriman o rectifiquen, sin dilación indebida, los datos personales 
que sean inexactos con respecto a los fines para los que son tratados.
e) Conservados de forma que permitan identificar al interesado durante un período 
no superior al necesario para los fines para los que son tratados.
f) Tratados de manera que se garantice una seguridad adecuada, incluida la 
protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o 
daño accidental. Para ello, se utilizarán las medidas técnicas u organizativas adecuadas.
2. Los datos personales recogidos por las autoridades competentes no serán tratados 
para otros fines distintos de los establecidos en el artículo 1, salvo que dicho tratamiento 
esté autorizado por el Derecho de la Unión Europea o por la legislación española. Cuando 
los datos personales sean tratados para otros fines, se aplicará el Reglamento General de 
Protección de Datos y la Ley Orgánica 3/2018, de 5 de diciembre, a menos que el 
tratamiento se efectúe como parte de una actividad que quede fuera del ámbito de 
aplicación del Derecho de la Unión Europea.
3. Los datos personales podrán ser tratados por el mismo responsable o por otro, 
para fines establecidos en el artículo 1 distintos de aquel para el que hayan sido recogidos, 
en la medida en que concurran cumulativamente las dos circunstancias siguientes:
a) Que el responsable del tratamiento sea competente para tratar los datos para ese 
otro fin, de acuerdo con el Derecho de la Unión Europea o la legislación española.
b) Que el tratamiento sea necesario y proporcionado para la consecución de ese otro 
fin, de acuerdo con el Derecho de la Unión Europea o la legislación española.
4. El tratamiento por el mismo responsable o por otro podrá incluir el archivo por 
razones de interés público, y el uso científico, estadístico o histórico para los fines 
establecidos en el artículo 1, con sujeción a las garantías adecuadas para los derechos y 
libertades de los interesados.
5. El responsable del tratamiento deberá garantizar y estar en condiciones de 
demostrar el cumplimiento de lo establecido en este artículo.
Artículo 7. Deber de colaboración.
1. Las Administraciones públicas, así como cualquier persona física o jurídica, 
proporcionarán a las autoridades judiciales, al Ministerio Fiscal o a la Policía Judicial los 
datos, informes, antecedentes y justificantes que les soliciten y que sean necesarios para 
la investigación y enjuiciamiento de infracciones penales o para la ejecución de las penas. 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64114
La petición de la Policía Judicial se deberá ajustar exclusivamente al ejercicio de las 
funciones que le encomienda el artículo 549.1 de la Ley Orgánica 6/1985, de 1 de julio y 
deberá efectuarse siempre de forma motivada, concreta y específica, dando cuenta en 
todo caso a la autoridad judicial y fiscal.
La comunicación de datos, informes, antecedentes y justificantes por la Administración 
Tributaria, la Administración de la Seguridad Social y la Inspección de Trabajo y Seguridad 
Social, se efectuará de acuerdo con su legislación respectiva.
2. En los restantes casos, las Administraciones públicas, así como cualquier persona 
física o jurídica, proporcionarán los datos, informes, antecedentes y justificantes a las 
autoridades competentes que los soliciten, siempre que estos sean necesarios para el 
desarrollo específico de sus misiones para la prevención, detección e investigación de 
infracciones penales y para la prevención y protección frente a un peligro real y grave para 
la seguridad pública. La petición de la autoridad competente deberá ser concreta y 
específica y contener la motivación que acredite su relación con los indicados supuestos.
3. No será de aplicación lo dispuesto en los apartados anteriores cuando legalmente 
sea exigible la autorización judicial para recabar los datos necesarios para el cumplimiento 
de los fines del artículo 1.
4. En los supuestos contemplados en los apartados anteriores, el interesado no será 
informado de la transmisión de sus datos a las autoridades competentes, ni de haber 
facilitado el acceso a los mismos por dichas autoridades de cualquier otra forma, a fin de 
garantizar la actividad investigadora.
Con el mismo propósito, los sujetos a los que el ordenamiento jurídico imponga un 
deber específico de colaboración con las autoridades competentes para el cumplimiento 
de los fines establecidos en el artículo 1, no informarán al interesado de la transmisión de 
sus datos a dichas autoridades, ni de haber facilitado el acceso a los mismos por dichas 
autoridades de cualquier otra forma, en cumplimiento de sus obligaciones específicas.
Artículo 8. Plazos de conservación y revisión.
1. El responsable del tratamiento determinará que la conservación de los datos 
personales tenga lugar sólo durante el tiempo necesario para cumplir con los fines 
previstos en el artículo 1.
2. El responsable del tratamiento deberá revisar la necesidad de conservar, limitar o 
suprimir el conjunto de los datos personales contenidos en cada una de las actividades de 
tratamiento bajo su responsabilidad, como máximo cada tres años, atendiendo 
especialmente en cada revisión a la edad del afectado, el carácter de los datos y a la 
conclusión de una investigación o procedimiento penal. Si es posible, se hará mediante el 
tratamiento automatizado apropiado.
3. Con carácter general, el plazo máximo para la supresión de los datos será de 
veinte años, salvo que concurran factores como la existencia de investigaciones abiertas 
o delitos que no hayan prescrito, la no conclusión de la ejecución de la pena, reincidencia, 
necesidad de protección de las víctimas u otras circunstancias motivadas que hagan 
necesario el tratamiento de los datos para el cumplimiento de los fines del artículo 1.
Artículo 9. Distinción entre categorías de interesados.
El responsable del tratamiento, en la medida de lo posible, establecerá entre los datos 
personales de las distintas categorías de interesados, distinciones tales como:
a) Personas respecto de las cuales existan motivos fundados para presumir que 
hayan cometido, puedan cometer o colaborar en la comisión de una infracción penal.
b) Personas condenadas o sancionadas por una infracción penal.
c) Víctimas o afectados por una infracción penal o que puedan serlo.
d) Terceros involucrados en una infracción penal como son: personas que puedan 
ser citadas a testificar en investigaciones relacionadas con infracciones o procesos 
penales ulteriores, personas que puedan facilitar información sobre dichas infracciones, 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64115
o personas de contacto o asociados de una de las personas mencionadas en las letras a) 
y b).
Lo anterior no debe impedir la aplicación del derecho a la presunción de inocencia tal 
como lo garantiza el artículo 24 de la Constitución.
Artículo 10. Verificación de la calidad de los datos personales.
1. El responsable del tratamiento, en la medida de lo posible, establecerá una 
distinción entre los datos personales basados en hechos y los basados en apreciaciones 
personales.
2. Las autoridades competentes adoptarán todas las medidas razonables para 
garantizar que los datos personales que sean inexactos, incompletos o no estén 
actualizados, no se transmitan ni se pongan a disposición de terceros. En toda transmisión 
de datos se trasladará al mismo tiempo la valoración de su calidad, exactitud y 
actualización.
En la medida de lo posible, en todas las transmisiones de datos personales se añadirá 
la información necesaria para que la autoridad competente receptora pueda valorar hasta 
qué punto son exactos, completos y fiables, y en qué medida están actualizados. 
Igualmente, la autoridad competente transmisora, en la medida en que sea factible, 
controlará la calidad de los datos personales antes de transmitirlos o ponerlos a disposición 
de terceros.
3. Si se observara que los datos personales transmitidos son incorrectos o que se 
han transmitido ilegalmente, estas circunstancias se pondrán en conocimiento del 
destinatario sin dilación indebida. En tal caso, los datos deberán rectificarse o suprimirse, 
o el tratamiento deberá limitarse de conformidad con lo previsto en el artículo 23.
Artículo 11. Licitud del tratamiento.
1. El tratamiento sólo será lícito en la medida en que sea necesario para los fines 
señalados en el artículo 1 y se realice por una autoridad competente en ejercicio de sus 
funciones.
2. Cualquier ley que regule tratamientos de datos personales para los fines incluidos 
dentro del ámbito de aplicación de esta Ley Orgánica deberá indicar, al menos, los 
objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las 
finalidades del tratamiento.
Artículo 12. Condiciones específicas de tratamiento.
1. Cuando el Derecho de la Unión Europea o la legislación española prevea 
condiciones específicas aplicables al tratamiento, la autoridad competente transmitente 
deberá informar al destinatario al que se transmitan los datos, de dichas condiciones y de 
la obligación de respetarlas.
2. Las condiciones específicas de tratamiento podrán ser, entre otras, la prohibición 
de transmisión de datos o de su utilización para fines distintos para los que fueron 
transmitidos o, en caso de limitación del derecho a la información, la prohibición de dar 
información al interesado sin la autorización previa de la autoridad transmisora.
3. La autoridad competente transmitente no aplicará a los destinatarios de otros 
Estados miembros de la Unión Europea o de organismos, agencias y órganos establecidos 
en virtud de los capítulos 4 y 5 del título V de la tercera parte del Tratado de Funcionamiento 
de la Unión Europea, condiciones distintas de las aplicables a las transmisiones de datos 
similares dentro de España.
Artículo 13. Tratamiento de categorías especiales de datos personales.
1. El tratamiento de datos personales que revelen el origen étnico o racial, las 
opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64116
el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera 
unívoca a una persona física, los datos relativos a la salud o a la vida sexual o a la 
orientación sexual de una persona física, sólo se permitirá cuando sea estrictamente 
necesario, con sujeción a las garantías adecuadas para los derechos y libertades del 
interesado y cuando se cumplan alguna de las siguientes circunstancias:
a) Se encuentre previsto por una norma con rango de ley o por el Derecho de la 
Unión Europea.
b) Resulte necesario para proteger los intereses vitales, así como los derechos y 
libertades fundamentales del interesado o de otra persona física.
c) Dicho tratamiento se refiera a datos que el interesado haya hecho manifiestamente 
públicos.
2. Las autoridades competentes, en el marco de sus respectivas funciones y 
competencias, podrán tratar datos biométricos dirigidos a identificar de manera unívoca a una 
persona física con los fines de prevención, investigación, detección de infracciones penales, 
incluidas la protección y la prevención frente a las amenazas contra la seguridad pública.
3. Los datos de los menores de edad y de las personas con capacidad modificada 
judicialmente o que estén incursas en procesos de dicha naturaleza, se tratarán 
garantizando el interés superior de los mismos y con el nivel de seguridad adecuado.
Artículo 14. Mecanismo de decisión individual automatizado.
1. Están prohibidas las decisiones basadas únicamente en un tratamiento 
automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos negativos 
para el interesado o que le afecten significativamente, salvo que se autorice expresamente 
por una norma con rango de ley o por el Derecho de la Unión Europea. La norma habilitante 
del tratamiento deberá establecer las medidas adecuadas para salvaguardar los derechos 
y libertades del interesado, incluyendo el derecho a obtener la intervención humana en el 
proceso de revisión de la decisión adoptada.
2. Las decisiones a las que se refiere el apartado anterior no se basarán en las 
categorías especiales de datos personales contempladas en el artículo 13, salvo que se 
hayan tomado las medidas adecuadas para salvaguardar los derechos y libertades y los 
intereses legítimos del interesado.
3. Queda prohibida la elaboración de perfiles que dé lugar a una discriminación de 
las personas físicas sobre la base de categorías especiales de datos personales 
establecidas en el artículo 13.
Sección 2.ª Tratamiento de datos personales en el ámbito de la videovigilancia por 
Fuerzas y Cuerpos de Seguridad
Artículo 15. Sistemas de grabación de imágenes y sonido por las Fuerzas y Cuerpos de 
Seguridad.
1. La captación, reproducción y tratamiento de datos personales por las Fuerzas y 
Cuerpos de Seguridad en los términos previstos en esta Ley Orgánica, así como las 
actividades preparatorias, no se considerarán intromisiones ilegítimas en el derecho al 
honor, a la intimidad personal y familiar y a la propia imagen, a los efectos de lo establecido 
en el artículo 2.2 de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho 
al honor, a la intimidad personal y familiar y a la propia imagen.
2. En la instalación de sistemas de grabación de imágenes y sonidos se tendrán en 
cuenta, conforme al principio de proporcionalidad, los siguientes criterios: asegurar la 
protección de los edificios e instalaciones propias; asegurar la protección de edificios e 
instalaciones públicas y de sus accesos que estén bajo custodia; salvaguardar y proteger 
las instalaciones útiles para la seguridad nacional y prevenir, detectar o investigar la 
comisión de infracciones penales y la protección y prevención frente a las amenazas 
contra la seguridad pública.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64117
Artículo 16. Instalación de sistemas fijos.
1. En las vías o lugares públicos donde se instalen videocámaras fijas, el responsable 
del tratamiento deberá realizar una valoración del citado principio de proporcionalidad en 
su doble versión de idoneidad e intervención mínima. Asimismo, deberá llevar a cabo un 
análisis de los riesgos o una evaluación de impacto de protección de datos relativo al 
tratamiento que se pretenda realizar, en función del nivel de perjuicio que se pueda derivar 
para la ciudadanía y de la finalidad perseguida.
Se entenderá por videocámara fija aquella anclada a un soporte fijo o fachada, aunque 
el sistema de grabación se pueda mover en cualquier dirección.
2. Esta disposición se aplicará asimismo cuando las Fuerzas y Cuerpos de Seguridad 
utilicen instalaciones fijas de videocámaras de las que no sean titulares y exista, por su 
parte, un control y dirección efectiva del proceso completo de tratamiento.
3. Estas instalaciones fijas de videocámaras no estarán sujetas al control preventivo 
de las entidades locales previsto en su legislación reguladora básica, ni al ejercicio de las 
competencias de las diferentes Administraciones públicas, sin perjuicio de que deban 
respetar los principios de la legislación vigente en cada ámbito material de la actuación 
administrativa.
4. Los propietarios y, en su caso, los titulares de derechos reales sobre los bienes 
afectados por estas instalaciones, o quienes los posean por cualquier título, están 
obligados a facilitar y permitir su instalación y mantenimiento, sin perjuicio de las 
indemnizaciones que procedan.
5. Los ciudadanos serán informados de manera clara y permanente de la existencia 
de estas videocámaras fijas, sin especificar su emplazamiento, así como de la autoridad 
responsable del tratamiento ante la que poder ejercer sus derechos.
Artículo 17. Dispositivos móviles.
1. Podrán utilizarse dispositivos de toma de imágenes y sonido de carácter móvil 
para el mejor cumplimiento de los fines previstos en esta Ley Orgánica, conforme a las 
competencias específicas de las Fuerzas y Cuerpos de Seguridad. La toma de imagen y 
sonido, que ha de ser conjunta, queda supeditada, en todo caso, a la concurrencia de un 
peligro o evento concreto. El uso de los dispositivos móviles deberá estar autorizado por 
la persona titular de la Delegación o Subdelegación del Gobierno, quien atenderá a la 
naturaleza de los eventuales hechos susceptibles de filmación, adecuando la utilización de 
dichos dispositivos a los principios de tratamiento y al de proporcionalidad.
En el caso de los Cuerpos de Policía propios de las Comunidades Autónomas que 
tengan y ejerzan competencias asumidas para la protección de las personas y bienes y 
para el mantenimiento del orden público, serán sus órganos correspondientes los que 
autorizarán este tipo de actuaciones para sus fuerzas policiales, así como para las 
dependientes de las Corporaciones locales radicadas en su territorio.
2. En estos supuestos de dispositivos móviles, las autorizaciones no se podrán 
conceder en ningún caso con carácter indefinido o permanente, siendo otorgadas por el 
plazo adecuado a la naturaleza y las circunstancias derivadas del peligro o evento 
concreto, por un periodo máximo de un mes prorrogable por otro.
3. En casos de urgencia o necesidad inaplazable será el responsable operativo de 
las Fuerzas y Cuerpos de Seguridad competentes el que podrá determinar su uso, siendo 
comunicada tal actuación con la mayor brevedad posible, y siempre en el plazo de 24 
horas, al Delegado o Subdelegado del Gobierno o autoridad competente de las 
comunidades autónomas.
Artículo 18. Tratamiento y conservación de las imágenes.
1. Realizada la filmación de acuerdo con los requisitos establecidos en esta Ley 
Orgánica, si la grabación captara la comisión de hechos que pudieran ser constitutivos de 
infracciones penales, las Fuerzas y Cuerpos de Seguridad pondrán la cinta o soporte 
original de las imágenes y sonidos en su integridad, a disposición judicial a la mayor 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64118
brevedad posible y, en todo caso, en el plazo máximo de setenta y dos horas desde su 
grabación. De no poder redactarse el atestado en tal plazo, se relatarán verbalmente los 
hechos a la autoridad judicial, o al Ministerio Fiscal, junto con la entrega de la grabación.
2. Si se captaran hechos que pudieran ser constitutivos de infracciones 
administrativas relacionadas con la seguridad pública, se remitirán al órgano competente, 
de inmediato, para el inicio del oportuno procedimiento sancionador.
3. Las grabaciones serán destruidas en el plazo máximo de tres meses desde su 
captación, salvo que estén relacionadas con infracciones penales o administrativas graves 
o muy graves en materia de seguridad pública, sujetas a una investigación policial en 
curso o con un procedimiento judicial o administrativo abierto.
Artículo 19. Régimen disciplinario.
1. Sin perjuicio de las responsabilidades penales en las que pudieran incurrir, las 
infracciones a lo dispuesto en esta Ley Orgánica por los miembros de las Fuerzas y Cuerpos 
de Seguridad, serán sancionadas con arreglo al régimen disciplinario correspondiente a los 
infractores y, en su defecto, con sujeción al régimen general de sanciones en materia de 
protección de datos de carácter personal establecido en esta Ley Orgánica.
2. Se considerarán faltas muy graves en el régimen disciplinario de las Fuerzas y 
Cuerpos de Seguridad del Estado, las siguientes infracciones:
a) Alterar o manipular los registros de imágenes y sonidos, siempre que no constituya 
delito.
b) Permitir el acceso de personas no autorizadas a las imágenes y sonidos grabados 
o utilizar estos para fines distintos de los previstos legalmente.
c) Reproducir las imágenes y sonidos para fines distintos de los previstos en esta Ley 
Orgánica.
d) Utilizar los medios técnicos regulados en esta Ley Orgánica para fines distintos de 
los previstos en la misma.
CAPÍTULO III
Derechos de las personas
Sección 1.ª Régimen general
Artículo 20. Condiciones generales de ejercicio de los derechos de los interesados.
1. El responsable del tratamiento deberá facilitar al interesado, de forma concisa, 
inteligible, de fácil acceso y con lenguaje claro y sencillo para todas las personas, incluidas 
aquellas con discapacidad, toda la información contemplada en el artículo 21, así como la 
derivada de los artículos 14, 22 a 26 y 39.
Además, el responsable del tratamiento deberá adoptar las medidas necesarias para 
garantizar al interesado el ejercicio de sus derechos a los que se refieren los artículos 14 
y 22 a 26.
2. El interesado, con capacidad de obrar, podrá actuar en su propio nombre y 
representación o por medio de representantes, de acuerdo con lo previsto en la normativa 
sobre el procedimiento administrativo común de las Administraciones Públicas.
3. La información será facilitada por cualquier medio adecuado, incluidos los medios 
electrónicos, procurando utilizar el mismo medio empleado en la solicitud.
4. El responsable del tratamiento informará por escrito al interesado, sin dilación 
indebida, sobre el curso dado a su solicitud. La solicitud se entenderá desestimada si 
transcurrido un mes desde su presentación no ha sido resuelta expresamente y notificada 
al interesado.
5. La información a la que se refiere el apartado 1 se facilitará gratuitamente. Cuando 
las solicitudes de un interesado sean manifiestamente infundadas o excesivas, en 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64119
particular debido a su carácter repetitivo, el responsable del tratamiento podrá inadmitirlas 
a trámite, mediante resolución motivada.
El responsable del tratamiento deberá demostrar el carácter manifiestamente 
infundado o excesivo de la solicitud.
En todo caso se considerará que la solicitud es repetitiva cuando se realicen tres 
solicitudes sobre el mismo supuesto durante el plazo de seis meses, salvo que exista 
causa legítima para ello.
6. Cuando el responsable del tratamiento tenga dudas razonables acerca de la 
identidad de la persona física que formula la solicitud a la que se refieren los artículos 22 
y 23, le requerirá para que facilite la información complementaria que resulte necesaria 
para confirmar su identidad en el plazo de diez días. Transcurrido dicho plazo sin que se 
aporte la información, se le tendrá por desistido de su petición mediante resolución 
motivada. El plazo al que se refiere el apartado 4 comenzará a computarse desde la fecha 
en la que se facilite dicha información complementaria.
Artículo 21. Información que debe ponerse a disposición del interesado.
1. El responsable del tratamiento de los datos pondrá a disposición del interesado, al 
menos, la siguiente información:
a) La identificación del responsable del tratamiento y sus datos de contacto.
b) Los datos de contacto del delegado de protección de datos, en su caso.
c) Los fines del tratamiento a los que se destinen los datos personales.
d) El derecho a presentar una reclamación ante la autoridad de protección de datos 
competente y los datos de contacto de la misma.
e) El derecho a solicitar del responsable del tratamiento el acceso a los datos 
personales relativos al interesado y su rectificación, supresión o la limitación de su 
tratamiento.
2. Además de la información a la que se refiere el apartado 1, atendiendo a las 
circunstancias del caso concreto, el responsable del tratamiento proporcionará al 
interesado la siguiente información adicional para permitir el ejercicio de sus derechos:
a) La base jurídica del tratamiento.
b) El plazo durante el cual se conservarán los datos personales o, cuando esto no 
sea posible, los criterios utilizados para determinar ese plazo.
c) Las categorías de destinatarios de los datos personales, cuando corresponda, en 
particular, los establecidos en Estados que no sean miembros de la Unión Europea u 
organizaciones internacionales.
d) Cualquier otra información necesaria, en especial, cuando los datos personales se 
hayan recogido sin conocimiento del interesado.
Artículo 22. Derecho de acceso del interesado a sus datos personales.
1. El interesado tendrá derecho a obtener del responsable del tratamiento 
confirmación de si se están tratando o no datos personales que le conciernen. En caso de 
que se confirme el tratamiento, el interesado tendrá derecho a acceder a dichos datos 
personales, así como a la siguiente información:
a) Los fines y la base jurídica del tratamiento.
b) Las categorías de datos personales de que se trate.
c) Los destinatarios o las categorías de destinatarios a quienes hayan sido 
comunicados los datos personales, en particular, los destinatarios establecidos en Estados 
que no sean miembros de la Unión Europea u organizaciones internacionales.
d) El plazo de conservación de los datos personales, cuando sea posible, o, en caso 
contrario, los criterios utilizados para determinar dicho plazo.
e) La existencia del derecho a solicitar del responsable del tratamiento la rectificación 
o supresión de los datos personales relativos al interesado o la limitación de su tratamiento.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64120
f) El derecho a presentar una reclamación ante la autoridad de protección de datos 
competente y los datos de contacto de la misma.
g) La comunicación de los datos personales objeto de tratamiento, así como cualquier 
información disponible sobre su origen, sin revelar la identidad de ninguna persona física, 
en especial en el caso de fuentes confidenciales.
2. Cuando el responsable trate una gran cantidad de información relativa al 
interesado y éste ejercite su derecho de acceso sin especificar si se refiere a todos o a una 
parte de los datos, el responsable podrá requerir al interesado que concrete la solicitud en 
el plazo de diez días.
3. Se entenderá concedido el derecho de acceso si el responsable del tratamiento 
facilita al interesado un sistema remoto, directo y seguro que garantice, de modo 
permanente, el acceso a la totalidad de sus datos personales. La notificación informando 
al interesado del procedimiento puesto en marcha a través de este sistema, permitirá 
denegar su solicitud de acceso efectuada por otras vías.
Si el acceso remoto no facilita la totalidad de la información contenida en el apartado 1, 
el interesado tendrá derecho a solicitarla.
4. Cuando el interesado elija un medio distinto al que se le ofrece que suponga un 
coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho interesado 
asumirá el exceso de coste que su elección comporte. En este caso, sólo será exigible al 
responsable del tratamiento que la satisfacción del derecho de acceso a través del medio 
propuesto se produzca sin dilaciones indebidas. Si el interesado no asumiera el exceso de 
coste, se le facilitará el acceso por el medio inicialmente propuesto por el responsable del 
tratamiento.
Artículo 23. Derechos de rectificación, supresión de datos personales y limitación de su 
tratamiento.
1. El interesado tendrá derecho a obtener del responsable del tratamiento, sin 
dilación indebida, la rectificación de los datos personales que le conciernen, cuando tales 
datos resulten inexactos.
Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se 
completen los datos personales cuando estos resulten incompletos.
El interesado deberá indicar en su solicitud a qué datos se refiere y la corrección que 
haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa 
del carácter incompleto o inexacto de los datos objeto de tratamiento.
2. El responsable del tratamiento, a iniciativa propia o como consecuencia del 
ejercicio del derecho de supresión del interesado, suprimirá los datos personales sin 
dilación indebida y, en todo caso, en el plazo máximo de un mes a contar desde que tenga 
conocimiento, cuando el tratamiento infrinja los artículos 6, 11 o 13, o cuando los datos 
personales deban ser suprimidos en virtud de una obligación legal a la que esté sujeto.
3. En lugar de proceder a la supresión, el responsable del tratamiento limitará el 
tratamiento de los datos personales cuando se dé alguna de las siguientes circunstancias:
a) El interesado ponga en duda la exactitud de los datos personales y no pueda 
determinarse su exactitud o inexactitud.
b) Los datos personales hayan de conservarse a efectos probatorios.
Cuando el tratamiento esté limitado en virtud de la letra a), el responsable del 
tratamiento informará al interesado antes de levantar la limitación del tratamiento.
4. En caso de que el responsable del tratamiento rectifique unos datos personales 
inexactos que provengan de otra autoridad competente, se deberá comunicar a esta la 
rectificación.
5. Cuando los datos personales hayan sido rectificados o suprimidos o el tratamiento 
haya sido limitado, el responsable del tratamiento lo notificará a los destinatarios, que 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64121
deberán rectificar o suprimir los datos personales que estén bajo su responsabilidad o 
limitar su tratamiento.
Artículo 24. Restricciones a los derechos de información, acceso, rectificación, supresión 
de datos personales y a la limitación de su tratamiento.
1. El responsable del tratamiento podrá aplazar, limitar u omitir la información a la 
que se refiere el artículo 21.2, así como denegar, total o parcialmente, las solicitudes de 
ejercicio de los derechos contemplados en los artículos 22 y 23, siempre que, teniendo en 
cuenta los derechos fundamentales y los intereses legítimos de la persona afectada, 
resulte necesario y proporcional para la consecución de los siguientes fines:
a) Impedir que se obstaculicen indagaciones, investigaciones o procedimientos 
judiciales.
b) Evitar que se cause perjuicio a la prevención, detección, investigación y 
enjuiciamiento de infracciones penales o a la ejecución de sanciones penales.
c) Proteger la seguridad pública.
d) Proteger la Seguridad Nacional.
e) Proteger los derechos y libertades de otras personas.
2. En caso de restricción de los derechos contemplados en los artículos 22 y 23, el 
responsable del tratamiento informará por escrito al interesado sin dilación indebida, y en 
todo caso, en el plazo de un mes a contar desde que tenga conocimiento, de dicha 
restricción, de las razones de la misma, así como de las posibilidades de presentar una 
reclamación ante la autoridad de protección de datos, sin perjuicio de las restantes 
acciones judiciales que pueda ejercer en virtud de lo dispuesto en esta Ley Orgánica.
Las razones de la restricción podrán ser omitidas o ser sustituidas por una redacción 
neutra cuando la revelación de los motivos de la restricción pueda poner en riesgo los fines 
a los que se refiere el apartado anterior.
3. El responsable del tratamiento documentará los fundamentos de hecho o de 
derecho en los que se sustente la decisión denegatoria del ejercicio del derecho de acceso. 
Dicha información estará a disposición de las autoridades de protección de datos.
Artículo 25.  Ejercicio de los derechos del interesado a través de la autoridad de protección 
de datos.
1. En los casos en que se produzca un aplazamiento, limitación u omisión de la 
información a que se refiere el artículo 21 o una restricción del ejercicio de los derechos 
contemplados en los artículos 22 y 23, en los términos previstos en el artículo 24, el 
interesado podrá ejercer sus derechos a través de la autoridad de protección de datos 
competente. El responsable del tratamiento informará al interesado de esta posibilidad.
2. Cuando, en virtud de lo establecido en el apartado anterior, se ejerciten los 
derechos a través de la autoridad de protección de datos, esta deberá informar al 
interesado, al menos, de la realización de todas las comprobaciones necesarias o la 
revisión correspondiente y de su derecho a interponer recurso contencioso-administrativo.
Sección 2.ª Régimen especial
Artículo 26.  Derechos de los interesados como consecuencia de investigaciones y 
procesos penales.
1. El ejercicio de los derechos de información, acceso, rectificación, supresión y 
limitación del tratamiento a los que se hace referencia en los artículos anteriores se llevará 
a cabo de conformidad con las normas procesales penales cuando los datos personales 
figuren en una resolución judicial, o en un registro, diligencias o expedientes tramitados en 
el curso de investigaciones y procesos penales.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64122
2. Cuando los datos sean objeto de un tratamiento con fines jurisdiccionales del que 
sea responsable un órgano del orden jurisdiccional penal, o el Ministerio Fiscal, el ejercicio 
de los derechos de información, acceso, rectificación, supresión y limitación del tratamiento 
se realizará de conformidad con lo previsto en la Ley Orgánica 6/1985, de 1 de julio, en las 
normas procesales y en su caso, el Estatuto Orgánico del Ministerio Fiscal.
3. En defecto de regulación del ejercicio de estos derechos en dichas normas, se 
aplicará lo dispuesto en esta Ley Orgánica.
CAPÍTULO IV
Responsable y encargado de tratamiento
Sección 1.ª Obligaciones generales
Artículo 27. Obligaciones del responsable del tratamiento.
1. El responsable del tratamiento, tomando en consideración la naturaleza, el ámbito, 
el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y 
libertades de las personas físicas, aplicará las medidas técnicas y organizativas apropiadas 
para garantizar que el tratamiento se lleve a cabo de acuerdo con esta Ley Orgánica y con 
lo previsto en la legislación sectorial y en sus normas de desarrollo. Tales medidas se 
revisarán y actualizarán cuando resulte necesario.
2. Entre las medidas mencionadas en el apartado anterior se incluirá la aplicación de 
las oportunas políticas de protección de datos, cuando sean proporcionadas en relación 
con las actividades de tratamiento.
Artículo 28. Protección de datos desde el diseño y por defecto.
1. En el momento de determinar los medios para el tratamiento, así como en el 
momento del tratamiento propiamente dicho, deberán aplicarse las medidas técnicas y 
organizativas que resulten apropiadas conforme al estado de la técnica y el coste de la 
aplicación, la naturaleza, el ámbito, el contexto, los fines del tratamiento y los riesgos para 
los derechos y libertades de las personas físicas. El objetivo será salvaguardar los 
principios de protección de datos de forma efectiva, al tiempo que integrar las garantías 
necesarias en el tratamiento. Entre estas medidas técnicas, se podrá adoptar la 
seudonimización de los datos personales a los efectos de contribuir a la aplicación de los 
principios establecidos en esta Ley Orgánica, en particular, el de minimización de datos 
personales.
2. Además, las medidas técnicas y organizativas deberán garantizar que, por defecto, 
sólo sean objeto de tratamiento los datos personales que resulten necesarios para cada 
uno de los fines específicos del tratamiento. Dicha obligación se aplicará a la cantidad de 
datos personales recogidos, a la extensión de su tratamiento, a su período de conservación 
y a su accesibilidad.
Tales medidas garantizarán que, por defecto, los datos personales no sean accesibles 
a un número indeterminado de personas sin intervención humana.
Artículo 29. Supuestos de corresponsabilidad en el tratamiento.
1. Cuando dos o más responsables del tratamiento determinen conjuntamente los 
objetivos y los medios de tratamiento serán considerados corresponsables del tratamiento.
2. Salvo que las responsabilidades hayan sido previstas por el Derecho de la Unión 
Europea o por la legislación española, los corresponsables del tratamiento establecerán, 
de modo transparente y de mutuo acuerdo, a través del instrumento oportuno, sus 
respectivas responsabilidades en el cumplimiento de esta Ley Orgánica, en particular, en 
lo referido al ejercicio de los derechos del interesado y a sus respectivas obligaciones en 
el suministro de la información contemplada en el artículo 21.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64123
El citado acuerdo designará el punto de contacto para los interesados, a menos que 
venga ya determinado legalmente.
La concreción de las responsabilidades se realizará atendiendo a las actividades que 
efectivamente desarrolle cada uno de los corresponsables del tratamiento.
Artículo 30. Encargado del tratamiento.
1. Cuando una operación de tratamiento vaya a ser llevada a cabo por cuenta de un 
responsable del tratamiento, este recurrirá únicamente a encargados que ofrezcan 
garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera 
que el tratamiento sea conforme con los requisitos de esta Ley Orgánica y garantice la 
protección de los derechos del interesado.
El encargado podrá ser una persona física o jurídica, de naturaleza privada o pública.
2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización 
previa por escrito del responsable del tratamiento. El encargado informará siempre al 
responsable de cualquier cambio previsto referido a la adición o sustitución de otros 
encargados, pudiendo el responsable oponerse a dichos cambios.
3. El tratamiento por medio de un encargado se regirá por un contrato, convenio u 
otro instrumento jurídico que corresponda, por escrito, incluyendo la posibilidad del formato 
electrónico, concluido con arreglo al Derecho de la Unión Europea o a la legislación 
española. Dicho instrumento jurídico vinculará al encargado con el responsable y fijará el 
objeto y la duración del tratamiento, su naturaleza y finalidad, el tipo de datos personales 
y categorías de interesados, así como las obligaciones y derechos del responsable.
El instrumento jurídico estipulará, en particular, que el encargado del tratamiento 
deberá:
a) Actuar únicamente siguiendo las instrucciones del responsable del tratamiento.
b) Garantizar, a través del instrumento o sistema oportuno, que las personas 
autorizadas para tratar datos personales se hayan comprometido a respetar la 
confidencialidad o estén sujetas a una obligación profesional de secreto o 
confidencialidad.
c) Asistir al responsable del tratamiento por cualquier medio adecuado para garantizar 
el cumplimiento de las disposiciones sobre los derechos del interesado.
d) Suprimir o devolver, a elección del responsable del tratamiento, todos los datos 
personales al responsable del tratamiento, una vez finalice la prestación de los servicios 
de tratamiento, así como suprimir las copias existentes, a menos que el Derecho de la 
Unión Europea o la legislación española requieran la conservación de los datos personales.
e) Poner a disposición del responsable del tratamiento toda la información necesaria 
para demostrar el cumplimiento de estas obligaciones.
f) Respetar las condiciones indicadas en este apartado y en el apartado 2 para 
contratar a otro encargado del tratamiento.
4. Si un encargado del tratamiento determinase los fines y medios de dicho 
tratamiento, infringiendo esta Ley Orgánica, será considerado responsable con respecto a 
ese tratamiento.
5. El encargado del tratamiento se regirá, en lo no previsto por esta Ley Orgánica, 
por lo establecido en la Ley Orgánica 3/2018, de 5 de diciembre.
Artículo 31. Tratamiento bajo la autoridad del responsable o del encargado del 
tratamiento.
El encargado del tratamiento, así como cualquier persona que actúe bajo la autoridad 
del responsable o del encargado del tratamiento y tenga acceso a datos personales, sólo 
podrá someterlos a tratamiento siguiendo instrucciones del responsable del tratamiento, a 
menos que esté obligado a hacerlo por el Derecho de la Unión Europea o por la legislación 
española.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64124
Artículo 32. Registros de las actividades de tratamiento.
1. Cada responsable debe conservar un registro de todas las actividades de 
tratamiento de datos personales efectuadas bajo su responsabilidad. Dicho registro deberá 
contener la información siguiente:
a) La identificación del responsable del tratamiento y sus datos de contacto, así 
como, en su caso, del corresponsable y del delegado de protección de datos.
b) Los fines del tratamiento.
c) Las categorías de destinatarios a quienes se hayan comunicado o vayan a 
comunicarse los datos personales, incluidos los destinatarios en Estados que no sean 
miembros de la Unión Europea u organizaciones internacionales.
d) La descripción de las categorías de interesados y de las categorías de datos 
personales.
e) El recurso a la elaboración de perfiles, en su caso.
f) Las categorías de transferencias de datos personales a un Estado que no sea 
miembro de la Unión Europea o a una organización internacional, en su caso.
g) La indicación de la base jurídica del tratamiento, así como, en su caso, las 
transferencias internacionales de las que van a ser objeto los datos personales.
h) Los plazos previstos para la supresión de las diferentes categorías de datos 
personales, cuando sea posible.
i) La descripción general de las medidas técnicas y organizativas de seguridad a las 
que se refiere el artículo 37.1, cuando sea posible.
2. Cada encargado del tratamiento llevará un registro de todas las actividades de 
tratamiento de datos personales efectuadas en nombre de un responsable. Este registro 
contendrá la información siguiente:
a) El nombre y los datos de contacto del encargado o encargados del tratamiento, 
de cada responsable del tratamiento en cuyo nombre actúe el encargado y, en su caso, 
del delegado de protección de datos.
b) Las categorías de tratamientos efectuados en nombre de cada responsable.
c) Las transferencias de datos personales a un Estado que no sea miembro de la 
Unión Europea o a una organización internacional, en su caso, incluida la identificación de 
dicho Estado o de dicha organización internacional cuando el responsable del tratamiento 
así lo ordene explícitamente.
d) La descripción general de las medidas técnicas y organizativas de seguridad a las 
que se refiere el artículo 37.1, cuando sea posible.
3. Los registros referidos en este artículo se establecerán y llevarán por escrito, 
incluida la posibilidad del formato electrónico.
Estos registros estarán a disposición de la autoridad de protección de datos 
competente, a solicitud de esta, de conformidad con lo dispuesto legalmente.
4. Los responsables de los tratamientos harán público el registro de sus actividades 
de tratamiento, accesible por medios electrónicos, en el que constará la información a la 
que se refiere el apartado 1.
Artículo 33. Registro de operaciones.
1. Los responsables y encargados del tratamiento deberán mantener registros de, al 
menos, las siguientes operaciones de tratamiento en sistemas de tratamiento 
automatizados: recogida, alteración, consulta, comunicación, incluidas las transferencias, 
y combinación o supresión. Los registros de consulta y comunicación harán posible 
determinar la justificación, la fecha y la hora de tales operaciones y, en la medida de lo 
posible, el nombre de la persona que consultó o comunicó los datos personales, así como 
la identidad de los destinatarios de dichos datos personales.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64125
2. Estos registros se utilizarán únicamente a efectos de verificar la legalidad del 
tratamiento, controlar el cumplimiento de las medidas y de las políticas de protección de 
datos y garantizar la integridad y la seguridad de los datos personales en el ámbito de los 
procesos penales.
Dichos registros estarán a disposición de la autoridad de protección de datos 
competente a solicitud de esta, de conformidad con lo dispuesto legalmente.
Artículo 34. Cooperación con las autoridades de protección de datos.
El responsable y el encargado del tratamiento cooperarán con la autoridad de 
protección de datos competente, en el marco de la legislación vigente, cuando esta lo 
solicite en el desempeño de sus funciones.
Artículo 35. Evaluación de impacto relativa a la protección de datos.
1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas 
tecnologías, suponga por su naturaleza, alcance, contexto o fines, un alto riesgo para los 
derechos y libertades de las personas físicas, el responsable del tratamiento realizará, con 
carácter previo, una evaluación del impacto de las operaciones de tratamiento previstas en 
la protección de datos personales.
2. La evaluación incluirá, como mínimo, una descripción general de las operaciones 
de tratamiento previstas, una evaluación de riesgos para los derechos y libertades de los 
interesados, las medidas contempladas para hacer frente a estos peligros, así como las 
medidas de seguridad y mecanismos destinados a garantizar la protección de los datos 
personales y a demostrar su conformidad con esta Ley Orgánica. Esta evaluación tendrá 
en cuenta los derechos e intereses legítimos de los interesados y de las demás personas 
afectadas.
3. Las autoridades de protección de datos podrán establecer una lista de tratamientos 
que estén sujetos a la realización de una evaluación de impacto con arreglo a lo dispuesto 
en el apartado anterior y, del mismo modo, podrán establecer una lista de tratamientos que 
no estén sujetos a esta obligación. Ambas listas tendrán un carácter meramente orientativo.
Artículo 36. Consulta previa a la autoridad de protección de datos.
1. El responsable o el encargado del tratamiento consultará a la autoridad de 
protección de datos, antes de proceder al tratamiento de datos personales que vayan a 
formar parte de un nuevo fichero, en cualquiera de las siguientes circunstancias:
a) Cuando la evaluación del impacto en la protección de los datos indique que el 
tratamiento entrañaría un alto nivel de riesgo, a falta de medidas adoptadas por el 
responsable para mitigar el riesgo o los posibles daños.
b) Cuando el tipo de tratamiento pueda generar un alto nivel de riesgo para los 
derechos y libertades de los interesados, en particular, cuando se usen tecnologías, 
mecanismos o procedimientos nuevos.
2. La autoridad de protección de datos correspondiente podrá establecer una lista de 
carácter orientativo, de las operaciones de tratamiento sujetas a consulta previa, con 
arreglo a lo dispuesto en el apartado anterior.
3. El responsable del tratamiento facilitará a la autoridad de protección de datos 
competente, la evaluación de impacto contemplada en el artículo 35 y, previa solicitud, 
cualquier información adicional que permita a dicha autoridad de protección de datos 
evaluar la conformidad del tratamiento y, más concretamente, el nivel de riesgo para la 
protección de los datos personales del interesado y las garantías correspondientes.
4. Cuando la autoridad de protección de datos considere que el tratamiento previsto 
en el apartado 1 pudiera infringir lo dispuesto en esta Ley Orgánica deberá, en un plazo de 
seis semanas desde la solicitud de la consulta, asesorar por escrito al responsable del 
tratamiento y, en su caso, al encargado del tratamiento, en especial, cuando el responsable 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64126
del tratamiento no haya identificado o mitigado suficientemente el peligro o el nivel de 
riesgo. Asimismo, la autoridad de protección de datos podrá ejercer cualquiera de sus 
potestades de investigación, corrección o consulta.
Este plazo podrá prorrogarse un mes, en función de la complejidad del tratamiento 
previsto. La autoridad de protección de datos informará al responsable y, en su caso, al 
encargado acerca de la prórroga, en el plazo de un mes a partir de la recepción de la 
solicitud de consulta, junto con los motivos de la dilación.
En caso de no contestar a la consulta en el plazo previsto, no operará la presunción 
del carácter favorable del mismo.
Sección 2.ª Seguridad de los datos personales
Artículo 37. Seguridad del tratamiento.
1. El responsable y el encargado del tratamiento, teniendo en cuenta el estado de la 
técnica y los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del 
tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas 
físicas, aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de 
seguridad adecuado, especialmente en lo relativo al tratamiento de las categorías de datos 
personales a las que se refiere el artículo 13. En particular, deberán aplicar a los tratamientos 
de datos personales las medidas incluidas en el Esquema Nacional de Seguridad.
2. Por lo que respecta al tratamiento automatizado, el responsable o encargado del 
tratamiento, a raíz de una evaluación de los riesgos, pondrá en práctica medidas de control 
con el siguiente propósito:
a) En el control de acceso a los equipamientos, denegar el acceso a personas no 
autorizadas a los equipamientos utilizados para el tratamiento.
b) En el control de los soportes de datos, impedir que estos puedan ser leídos, 
copiados, modificados o cancelados por personas no autorizadas.
c) En el control del almacenamiento, impedir que se introduzcan sin autorización 
datos personales, o que estos puedan inspeccionarse, modificarse o suprimirse sin 
autorización.
d) En el control de los usuarios, impedir que los sistemas de tratamiento automatizado 
puedan ser utilizados por personas no autorizadas por medio de instalaciones de 
transmisión de datos.
e) En el control del acceso a los datos, garantizar que las personas autorizadas a 
utilizar un sistema de tratamiento automatizado, sólo puedan tener acceso a los datos 
personales para los que han sido autorizados.
f) En el control de la transmisión, garantizar que sea posible verificar y establecer a 
qué organismos se han transmitido o pueden transmitirse, o a cuya disposición pueden 
ponerse los datos personales mediante equipamientos de comunicación de datos.
g) En el control de la introducción, garantizar que pueda verificarse y constatarse, a 
posteriori, qué datos personales se han introducido en los sistemas de tratamiento 
automatizado, en qué momento y quién los ha introducido.
h) En el control del transporte, impedir que durante las transferencias de datos 
personales o durante el transporte de soportes de datos, los datos personales puedan ser 
leídos, copiados, modificados o suprimidos sin autorización.
i) En el control de restablecimiento, garantizar que los sistemas instalados puedan 
restablecerse en caso de interrupción.
j) En el control de fiabilidad e integridad, garantizar que las funciones del sistema no 
presenten defectos, que los errores de funcionamiento sean señalados y que los datos 
personales almacenados no se degraden por fallos de funcionamiento del sistema.
Artículo 38. Notificación a la autoridad de protección de datos de una violación de la 
seguridad de los datos personales.
1. Cualquier violación de la seguridad de los datos personales será notificada por el 
responsable del tratamiento a la autoridad de protección de datos competente, a menos 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64127
que sea improbable que la violación de la seguridad de los datos personales constituya un 
peligro para los derechos y las libertades de las personas físicas.
La notificación deberá realizarse en el plazo de las setenta y dos horas siguientes al 
momento en que se haya tenido constancia de ella. En caso contrario, deberá ir 
acompañada de los motivos de la dilación.
2. El encargado del tratamiento notificará, sin dilación indebida, al responsable del 
tratamiento, las violaciones de la seguridad de los datos personales de las que tenga 
conocimiento.
3. La notificación contemplada en el apartado 1 deberá, al menos:
a) Referir la naturaleza de la violación de la seguridad de los datos personales, 
incluyendo, cuando sea posible, las categorías y el número aproximado de personas 
afectadas, así como las categorías y el número aproximado de registros de datos 
personales afectados por la violación de la seguridad.
b) Comunicar el nombre y los datos de contacto del delegado de protección de datos 
o de otro punto de contacto en el que pueda obtenerse más información.
c) Detallar las posibles consecuencias de la violación de la seguridad de los datos 
personales.
d) Describir las medidas adoptadas o propuestas por el responsable del tratamiento 
para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si 
procede, las medidas adoptadas para mitigar sus posibles efectos negativos.
4. Si no fuera posible facilitar la información simultáneamente, se podrá facilitar de 
forma progresiva, a medida que se disponga de ella.
5. El responsable del tratamiento documentará cualquier violación de la seguridad de 
los datos personales, incluidos los hechos relativos a dicha violación, sus efectos y las 
medidas correctivas adoptadas.
Dicha documentación estará a disposición de la autoridad de protección de datos 
competente al objeto de verificar el cumplimiento de lo dispuesto en este artículo.
6. Cuando la violación de la seguridad de los datos personales afecte a datos que 
hayan sido transmitidos por el responsable del tratamiento o al responsable del tratamiento 
de otro Estado miembro de la Unión Europea, la información recogida en el apartado 3 se 
comunicará al responsable del tratamiento de dicho Estado.
7. Todas las actividades relacionadas en este artículo se realizarán sin dilaciones 
indebidas.
Artículo 39. Comunicación de una violación de la seguridad de los datos personales al 
interesado.
1. Cuando existan indicios de que una violación de la seguridad de los datos 
personales supondría un alto riesgo para los derechos y libertades de las personas físicas, 
el responsable del tratamiento comunicará al interesado, sin dilación indebida, la violación 
de la seguridad de los datos personales.
2. La comunicación al interesado describirá con lenguaje claro, sencillo y accesible 
conforme a sus circunstancias y capacidades, la naturaleza de la violación de la seguridad 
de los datos personales y contendrá, al menos, la información y las medidas a las que se 
refiere el artículo 38.3. b), c) y d).
3. No se efectuará la comunicación al interesado que prevé el apartado 1 cuando se 
cumpla alguna de las condiciones siguientes:
a) Que el responsable del tratamiento haya adoptado medidas apropiadas de 
protección técnica y organizativa y dichas medidas se hayan aplicado a los datos 
personales afectados por la violación de la seguridad antes de la misma, en particular, 
aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté 
autorizada a acceder a ellos, como en el caso del cifrado.
b) Que el responsable del tratamiento haya tomado medidas ulteriores para 
garantizar que no se materialice el alto nivel de riesgo para los derechos y libertades del 
interesado a que hace referencia el apartado 1.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64128
c) Que suponga un esfuerzo desproporcionado, en cuyo caso, se optará por su 
publicación en el boletín oficial correspondiente, en la sede electrónica del responsable del 
tratamiento o en otro canal oficial que permita una comunicación efectiva con el interesado.
4. En el supuesto de que el responsable del tratamiento no haya comunicado al 
interesado la violación de la seguridad de los datos personales, la autoridad de protección 
de datos competente, una vez valorada la existencia de un alto nivel de riesgo, podrá 
exigirle que proceda a dicha comunicación, o bien que determine la concurrencia de 
alguna de las condiciones previstas en el apartado 3.
5. La comunicación al interesado referida en el apartado 1 podrá aplazarse, limitarse 
u omitirse con sujeción a las condiciones y por los motivos previstos en el artículo 24.
Sección 3.ª Delegado de protección de datos
Artículo 40. Designación del delegado de protección de datos.
1. Los responsables del tratamiento designarán, en todo caso, un delegado de 
protección de datos. No estarán obligados a designarlo los órganos jurisdiccionales o el 
Ministerio Fiscal cuando el tratamiento de datos personales se realice en el ejercicio de 
sus funciones jurisdiccionales.
2. El delegado de protección de datos será designado atendiendo a sus cualidades 
profesionales. En concreto, se tendrán en cuenta sus conocimientos especializados en 
legislación, su experiencia en materia de protección de datos y su capacidad para 
desempeñar las funciones a las que se refiere el artículo 42. En el caso de haber designado 
un delegado de protección de datos al amparo del Reglamento General de Protección de 
Datos, este será el que asumirá las funciones de delegado de protección de datos previstas 
en esta Ley Orgánica.
3. Podrá designarse a un único delegado de protección de datos para varias 
autoridades competentes, teniendo en cuenta la estructura organizativa y el tamaño de 
estas.
4. Los responsables del tratamiento publicarán los datos de contacto del delegado de 
protección de datos y comunicarán a la autoridad de protección de datos competente su 
designación y cese, en el plazo de diez días desde que se haya producido.
Artículo 41. Posición del delegado de protección de datos.
1. El responsable del tratamiento velará porque el delegado de protección de datos 
participe adecuada y oportunamente en todas las cuestiones relativas a la protección de 
datos personales, al tiempo que cuidará de que mantenga sus conocimientos 
especializados, cuente con los recursos necesarios para el desempeño de sus funciones 
y acceda a los datos personales y a las operaciones de tratamiento.
2. El delegado de protección de datos no podrá ser removido ni sancionado por el 
responsable o el encargado por desempeñar sus funciones, salvo que incurriera en dolo o 
negligencia grave en su ejercicio. Se garantizará la independencia del delegado de 
protección de datos dentro de la organización, debiendo evitar cualquier conflicto de 
intereses.
3. En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso 
a los datos personales y procesos de tratamiento. La existencia de cualquier deber de 
confidencialidad o secreto no permitirá que el responsable o el encargado del tratamiento 
se oponga a dicho acceso.
4. Cuando el delegado de protección de datos aprecie la existencia de una 
vulneración relevante en materia de protección de datos lo documentará y lo comunicará 
inmediatamente a los órganos de dirección del responsable o del encargado del 
tratamiento.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64129
Artículo 42. Funciones del delegado de protección de datos.
El responsable del tratamiento encomendará al delegado de protección de datos, al 
menos, las siguientes funciones:
a) Informar y asesorar al responsable del tratamiento y a los empleados que se 
ocupen del mismo, acerca de las obligaciones que les incumben en virtud de esta Ley 
Orgánica y de otras disposiciones de protección de datos aplicables.
b) Supervisar el cumplimiento de lo dispuesto en esta Ley Orgánica y en otras 
disposiciones de protección de datos aplicables, así como de lo establecido en las políticas 
del responsable del tratamiento en materia de protección de datos personales, incluidas la 
asignación de responsabilidades, la concienciación y formación del personal que participe 
en las operaciones de tratamiento y las auditorías correspondientes.
c) Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto 
relativa a la protección de datos y supervisar su realización.
d) Cooperar con la autoridad de protección de datos en los términos de la legislación 
vigente.
e) Actuar como punto de contacto de la autoridad de protección de datos para las 
cuestiones relacionadas con el tratamiento, incluida la consulta previa referida en el 
artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.
CAPÍTULO V
Transferencias de datos personales a terceros países que no sean miembros de la 
Unión Europea o a organizaciones internacionales
Artículo 43. Principios generales de las transferencias de datos personales.
1. Al objeto de garantizar el nivel de protección de las personas físicas previsto en 
esta Ley Orgánica, cualquier transferencia de datos personales realizada por las 
autoridades competentes españolas a un Estado que no sea miembro de la Unión Europea 
o a una organización internacional, incluidas las transferencias ulteriores a otro Estado que 
no pertenezca a la Unión Europea o a otra organización internacional, deberá cumplir las 
siguientes condiciones:
a) Que la transferencia sea necesaria para los fines establecidos en el artículo 1.
b) Que los datos personales sean transferidos a un responsable del tratamiento 
competente para los fines mencionados en el artículo 1.
c) Que, en caso de que los datos personales hayan sido transferidos a la autoridad 
competente española procedentes de otro Estado miembro de la Unión Europea, dicho 
Estado miembro autorice previamente la transferencia ulterior de conformidad con su 
Derecho nacional.
d) Que la Comisión Europea haya adoptado una decisión de adecuación de acuerdo 
con el artículo 44 o, a falta de dicha decisión, cuando se hayan aportado o existan 
garantías apropiadas de conformidad con el artículo 45 o, a falta de ambas, cuando 
resulten de aplicación las excepciones para situaciones específicas de acuerdo con el 
artículo 46.
e) Cuando se trate de una transferencia ulterior a un Estado que no sea miembro de 
la Unión Europea u organización internacional, de datos transferidos inicialmente por una 
autoridad competente española, esta autorizará la transferencia ulterior, una vez 
considerados todos los factores pertinentes, entre estos, la gravedad de la infracción 
penal, la finalidad para la que se transfirieron inicialmente los datos personales y el nivel 
de protección existente en ese Estado u organización internacional a los que se transfieran 
ulteriormente los datos personales.
2. Las transferencias de datos personales por las autoridades españolas sin 
autorización previa de otro Estado miembro, conforme al párrafo 1c), sólo se permitirán si 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64130
la transferencia de datos personales resulta necesaria para prevenir una amenaza 
inmediata y grave para la seguridad pública, tanto de un Estado miembro de la Unión 
Europea como no perteneciente a la misma, o para los intereses fundamentales de un 
Estado miembro de la Unión Europea, y cuando la autorización previa no pueda 
conseguirse a su debido tiempo.
Las autoridades españolas informarán sin dilación a la autoridad responsable de 
conceder la autorización previa, y en todo caso en el plazo máximo de diez días a contar 
desde que se haya producido la transferencia.
3. Se impulsará el establecimiento de mecanismos de cooperación internacional y de 
asistencia mutua y se fomentará el intercambio de normativa y de buenas prácticas con los 
Estados que no sean miembros de la Unión Europea y con las organizaciones 
internacionales, de manera que se facilite la aplicación efectiva de la legislación sobre la 
protección de datos personales, inclusive en el ámbito de la resolución de conflictos 
jurisdiccionales, procurando la participación de todas las partes interesadas.
Artículo 44. Transferencias basadas en una decisión de adecuación.
1. Cuando la Comisión Europea, mediante una decisión de adecuación, haya 
decidido que un Estado que no sea miembro de la Unión Europea, un territorio o uno o 
varios sectores específicos de dicho Estado, o la organización internacional de que se 
trate, garantizan un nivel de protección adecuado, podrán realizarse transferencias de 
datos personales a ese Estado u organización internacional. Dichas transferencias no 
requerirán ninguna autorización específica.
2. Toda decisión de adecuación de la Comisión Europea que determine que un 
Estado que no sea miembro de la Unión Europea, un territorio o uno o varios sectores 
específicos de dicho Estado, o una organización internacional ha dejado de garantizar un 
nivel de protección adecuado, se entenderá sin perjuicio de las transferencias de datos 
personales a dicho Estado, territorio o sector del mismo o a la organización internacional 
de que se trate, en virtud de los artículos 45 y 46.
Artículo 45. Transferencias mediante garantías apropiadas.
1. En ausencia de una decisión de adecuación de la Comisión Europea conforme al 
artículo 44 podrán realizarse transferencias de datos personales a un Estado que no sea 
miembro de la Unión Europea o a una organización internacional cuando concurra alguna 
de las siguientes circunstancias:
a) Se hayan aportado garantías apropiadas respecto a la protección de datos 
personales en un instrumento jurídicamente vinculante.
b) Se hayan evaluado, por parte del responsable del tratamiento, todas las 
circunstancias que concurren en la transferencia de datos personales y se haya concluido 
que existen garantías apropiadas respecto a la protección de datos personales.
2. El responsable del tratamiento informará a la autoridad de protección de datos 
competente acerca de las categorías de transferencias a tenor del párrafo 1.b).
3. Cuando las transferencias se basen en lo dispuesto en el párrafo 1.b) deberán 
documentarse. La documentación se pondrá a disposición de la autoridad de protección 
de datos competente, previa solicitud, con inclusión de la siguiente información: fecha, 
hora de la transferencia, información sobre la autoridad competente destinataria, 
justificación de la transferencia y datos personales transferidos.
Artículo 46. Excepciones para situaciones específicas.
1. En ausencia de una decisión de adecuación de la Comisión Europea o de 
garantías apropiadas de acuerdo con los artículos 44 y 45, podrán realizarse transferencias 
de datos personales a un Estado que no sea miembro de la Unión Europea o a una 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64131
organización internacional cuando la transferencia sea necesaria por concurrir alguna de 
las siguientes circunstancias:
a) Para proteger los intereses vitales o los derechos y libertades fundamentales del 
interesado o de otra persona.
b) Para salvaguardar intereses legítimos del interesado reconocidos por la legislación 
española.
c) Para prevenir una amenaza grave e inmediata para la seguridad pública de un 
Estado, tanto miembro de la Unión Europea como no perteneciente a la misma.
d) En casos individuales, a efectos del artículo 1.
e) Para el ejercicio, en un caso individual, de acciones legales o para la defensa 
frente a ellas en relación con los fines incluidos en el artículo 1.
2. Los datos personales no se transferirán, si la autoridad competente de la 
transferencia determina que los derechos y libertades fundamentales del interesado 
prevalecen sobre el interés público en la transferencia, establecido en las letras d) y e) del 
apartado anterior.
3. Las transferencias basadas en lo dispuesto en este artículo deberán documentarse. 
Esta documentación quedará a disposición de la autoridad de protección de datos 
competente, con inclusión de la fecha y la hora de la transferencia, la información sobre la 
autoridad competente destinataria, la justificación de la transferencia y los datos personales 
transferidos.
Artículo 47. Transferencias directas de datos personales a destinatarios, que no sean 
autoridades competentes, establecidos en Estados no pertenecientes a la Unión 
Europea.
1. Excepcionalmente, en casos particulares y específicos y sin perjuicio de la 
existencia de un acuerdo internacional entre España y un Estado que no sea miembro de 
la Unión Europea en el ámbito de la cooperación judicial penal o de la cooperación policial, 
las autoridades competentes españolas podrán transferir datos personales directamente a 
destinatarios que no tengan la condición de autoridad competente, establecidos en 
Estados que no sean miembros de la Unión Europea, siempre que se cumplan las 
disposiciones de esta Ley Orgánica y se satisfagan todas las condiciones siguientes:
a) Que la transferencia sea estrictamente necesaria para la realización de una 
función de la autoridad competente que lleva a cabo la transferencia conforme al Derecho 
de la Unión Europea o a la legislación española, con cualquiera de los fines del artículo 1.
b) Que la autoridad competente que realiza la transferencia determine que ninguno 
de los derechos y libertades fundamentales del interesado son superiores al interés público 
que precise de la transferencia de que se trate.
c) Que la autoridad competente que realiza la transferencia considere que la 
transferencia a una autoridad competente del Estado en el que está establecido el 
destinatario, con cualquiera de los fines del artículo 1, resultaría ineficaz o inadecuada, en 
particular porque la transferencia no pueda efectuarse dentro de plazo.
d) Que se informe sin dilación indebida a la autoridad competente para los fines que 
contempla el artículo 1 de dicho Estado, salvo que esto resulte ineficaz o inadecuado.
e) Que la autoridad competente que realiza la transferencia informe al destinatario de 
la finalidad o finalidades específicas para las que puede tratar los datos personales, 
siempre y cuando dicho tratamiento sea necesario.
2. La autoridad competente que realiza la transferencia informará a la autoridad de 
protección de datos competente acerca de las transferencias efectuadas a tenor de este 
artículo.
3. Las transferencias basadas en lo dispuesto en este artículo deberán 
documentarse.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64132
CAPÍTULO VI
Autoridades de Protección de Datos Independientes
Artículo 48. Autoridades de protección de datos.
A los efectos de esta Ley Orgánica son autoridades de protección de datos 
independientes:
a) La Agencia Española de Protección de Datos.
b) Las autoridades autonómicas de protección de datos, exclusivamente en relación 
a aquellos tratamientos de los que sean responsables en su ámbito de competencia, y 
conforme a lo dispuesto en el artículo 57.1 de la Ley Orgánica 3/2018, de 5 de diciembre, 
y en la normativa autonómica aplicable.
Dichas autoridades se regirán por esta Ley Orgánica respecto de los tratamientos 
sometidos a la misma, de acuerdo con los principios de cooperación institucional, 
coordinación de criterios e información mutua, y por lo establecido en el Título VII de la Ley 
Orgánica 3/2018, de 5 de diciembre, y en sus normas de creación, así como por lo que 
establezcan sus normas de desarrollo.
La Agencia Española de Protección de Datos actuará como representante de las 
autoridades de protección de datos en el Comité Europeo de Protección de Datos.
Artículo 49. Funciones.
1. Las autoridades de protección de datos ejercerán, respecto de los tratamientos 
sometidos a esta Ley Orgánica, las siguientes funciones:
a) Supervisar y hacer cumplir las disposiciones adoptadas con arreglo a esta Ley 
Orgánica.
b) Promover la sensibilización y la comprensión de la ciudadanía acerca de los 
riesgos, normas, garantías y derechos relativos al tratamiento.
c) Asesorar a las Cortes Generales, al Gobierno de la Nación y a los organismos 
dependientes o vinculados a la Administración General del Estado, así como, de acuerdo 
con su ámbito competencial, a las Asambleas Legislativas de las comunidades autónomas, 
los Consejos de Gobierno y los organismos dependientes o vinculados a la Administración 
de las comunidades autónomas, acerca de las medidas legislativas y administrativas 
relativas a la protección de los derechos y libertades de las personas físicas con respecto 
al tratamiento.
d) Promover la sensibilización de los responsables y encargados del tratamiento en 
relación con las obligaciones que les incumben.
e) Facilitar la información solicitada por los interesados sobre el ejercicio de sus 
derechos en virtud de esta Ley Orgánica y, en su caso, cooperar a tal fin con las 
autoridades de protección de datos de otros Estados miembros de la Unión Europea.
f) Tramitar y responder las reclamaciones presentadas por un interesado o por una 
entidad, organización o asociación de conformidad con el artículo 55, e investigar, en la 
medida oportuna, el motivo de la reclamación e informar al reclamante sobre el curso y el 
resultado de la investigación en un plazo razonable.
g) Controlar, de acuerdo con lo dispuesto en el artículo 25, la licitud del tratamiento e 
informar al interesado en un plazo razonable sobre el resultado del control o sobre los 
motivos por los que no se ha llevado a cabo.
h) Cooperar, en particular compartiendo información, con otras autoridades de 
protección de datos y prestarse asistencia mutua.
i) Llevar a cabo investigaciones sobre la aplicación de esta Ley Orgánica, en 
particular basándose en la información recibida de otra autoridad de protección de datos u 
otra autoridad pública.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64133
j) Realizar un seguimiento de acontecimientos que sean de interés, en la medida en 
que tengan incidencia en la protección de datos personales, de manera concreta sobre el 
desarrollo de las tecnologías de la información y la comunicación.
k) Prestar asesoramiento sobre las operaciones de tratamiento contempladas en el 
artículo 36.
l) Contribuir a las actividades del Comité Europeo de Protección de Datos.
m) Informar todas las disposiciones legales o reglamentarias que afecten a 
tratamientos sometidos a esta Ley Orgánica.
2. Las autoridades de protección de datos adoptarán medidas tendentes a facilitar la 
formulación de las reclamaciones incluidas en el párrafo 1f), tales como proporcionar 
formularios que puedan cumplimentarse electrónicamente, sin excluir otros medios.
3. El desempeño de las funciones de las autoridades de control no implicará coste 
alguno para el interesado ni para el delegado de protección de datos.
4. Cuando las solicitudes sean manifiestamente infundadas o excesivas, 
especialmente debido a su carácter repetitivo, la autoridad de protección de datos podrá 
negarse a actuar respecto de la solicitud. La carga de la demostración del carácter 
manifiestamente infundado o excesivo de la solicitud recaerá en la autoridad de protección 
de datos.
Artículo 50. Potestades.
Las autoridades de protección de datos tendrán atribuidas, en el ámbito de esta Ley 
Orgánica, las siguientes potestades:
a) De investigación, incluyendo el acceso a todos los datos que estén siendo tratados 
por el responsable o el encargado del tratamiento, en los términos previstos por la 
legislación vigente.
b) De advertencia y control de lo exigido en esta Ley Orgánica, incluida la sanción 
de las infracciones cometidas, la elaboración de recomendaciones, órdenes de 
rectificación, supresión o limitación del tratamiento de datos personales o de limitación 
temporal o definitiva del tratamiento, incluida su prohibición, así como la orden a los 
responsables del tratamiento de comunicar las vulneraciones de seguridad de los datos 
a los interesados.
c) De asesoramiento, que comprende la consulta previa prevista en el artículo 36 y 
la emisión, por propia iniciativa o previa solicitud, de dictámenes destinados a las Cortes 
Generales o al Gobierno, a otras instituciones u organismos, así como al público en 
general, acerca de todo asunto relacionado con la protección de datos personales sujeto 
a esta Ley Orgánica.
Artículo 51. Asistencia entre autoridades de protección de datos de los Estados miembros 
de la Unión Europea.
1. Las autoridades de protección de datos españolas facilitarán la asistencia y 
cooperación necesaria a las autoridades de protección de datos de otros Estados 
miembros de la Unión Europea, debiendo responder a las solicitudes de estas sin dilación 
indebida, y en cualquier caso, en el plazo máximo de un mes desde su recepción. La 
asistencia mutua abarcará, en particular, las solicitudes de información y las medidas de 
control, así como las solicitudes para llevar a cabo consultas, inspecciones e 
investigaciones.
2. Las autoridades de protección de datos españolas podrán solicitar, en el ejercicio 
de sus funciones, la asistencia y cooperación de las autoridades de protección de datos de 
otros Estados miembros de la Unión Europea.
Las solicitudes deberán contener toda la información necesaria para su contestación, 
incluidos los motivos y la finalidad de la solicitud. La información intercambiada se utilizará 
únicamente para el fin para el que haya sido solicitada.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64134
3. Las contestaciones de las autoridades de protección de datos españolas deberán 
indicar los resultados obtenidos o las medidas adoptadas con base en la solicitud 
recibida. Estas respuestas serán remitidas en formato electrónico, en la medida de lo 
posible.
4. La solicitud de asistencia procedente de una autoridad de protección de datos de 
un Estado miembro de la Unión Europea únicamente podrá negarse a ser atendida, de 
manera motivada, cuando la autoridad de protección de datos española no sea competente 
respecto al objeto o a las medidas solicitadas, o bien cuando el hecho de atender la 
solicitud vulnere la legislación española o el Derecho de la Unión Europea. Se informará, 
en su caso, de la restricción de los derechos del interesado adoptada en aplicación del 
artículo 24.
5. Las medidas adoptadas con ocasión de una solicitud de asistencia mutua serán 
gratuitas, sin perjuicio de que en circunstancias excepcionales puedan pactarse 
indemnizaciones por gastos específicos derivados de la prestación de la asistencia.
CAPÍTULO VII
Reclamaciones
Artículo 52. Régimen aplicable a los procedimientos tramitados ante las autoridades de 
protección de datos.
1. En el caso de que los interesados aprecien que el tratamiento de los datos 
personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida 
su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán 
derecho a presentar una reclamación ante la autoridad de protección de datos.
2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos 
competente con sujeción al procedimiento establecido en el título VIII de la Ley 
Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades 
Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales 
sobre los procedimientos administrativos y el régimen jurídico del sector público.
3. En el caso de que la actuación provenga de un órgano judicial o del Ministerio 
Fiscal cuando se realice el tratamiento con fines jurisdiccionales la responsabilidad se 
regirá por lo dispuesto en el Título V del Libro III de la Ley Orgánica 6/1985, de 1 de julio, 
del Poder Judicial.
4. Sin perjuicio de lo dispuesto en el artículo 55, todo interesado tendrá derecho a 
interponer recurso contencioso-administrativo, de acuerdo con su normativa reguladora, 
en caso de que la autoridad de protección de datos competente no dicte resolución 
expresa y se la notifique en el plazo de tres meses.
Artículo 53. Derecho a indemnización por entes del sector público.
1. Los interesados tendrán derecho a ser indemnizados por el responsable del 
tratamiento, o por el encargado del tratamiento cuando formen parte del sector público, en 
el caso de que sufran daño o lesión en sus bienes o derechos como consecuencia del 
incumplimiento de lo dispuesto en esta Ley Orgánica.
2. Cuando quien incumpla lo dispuesto en esta Ley Orgánica tenga la consideración 
de Administración pública, la responsabilidad se exigirá de acuerdo con la legislación 
reguladora del régimen de responsabilidad patrimonial previsto en la normativa sobre el 
procedimiento administrativo común de las Administraciones públicas y sobre el régimen 
jurídico del sector público.
3. En el caso de que la actuación provenga de un órgano judicial o del Ministerio 
Fiscal cuando se realice el tratamiento con fines jurisdiccionales la responsabilidad se 
regirá por lo dispuesto en el Título V del Libro III de la Ley Orgánica 6/1985, de 1 de julio, 
del Poder Judicial.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64135
Artículo 54. Derecho a indemnización por encargados del tratamiento del sector privado.
1. Los interesados que sufran daño o lesión en sus bienes o derechos por parte del 
encargado del tratamiento que no forme parte del sector público, como consecuencia del 
incumplimiento de lo dispuesto en esta Ley Orgánica, tendrán derecho a ser indemnizados.
2. El encargado del tratamiento estará obligado a indemnizar todos los daños y 
perjuicios que cause a los interesados o a terceros como resultado de las operaciones de 
tratamientos de datos previstas en el contrato u otro instrumento o acto jurídico suscrito 
con el responsable del tratamiento conforme al artículo 30, de conformidad con el régimen 
de responsabilidad del contratista por los daños causados a terceros regulado en la 
normativa sobre contratos del sector público.
3. Cuando tales daños y perjuicios hayan sido ocasionados como consecuencia 
inmediata y directa de una orden de la autoridad competente responsable del tratamiento, 
será esta la responsable.
4. Los interesados o los terceros perjudicados podrán requerir al responsable del 
tratamiento, dentro del año siguiente a la producción del hecho, para que informe, una vez 
oído el encargado del tratamiento, acerca de a cuál de las partes contratantes o de las que 
hayan suscrito el acto jurídico conforme al artículo 30, corresponde la responsabilidad de 
los daños. El ejercicio de esta facultad interrumpe el plazo de prescripción de la acción.
5. Con independencia de lo previsto en los apartados anteriores, el encargado del 
tratamiento que no forme parte del sector público responderá de los daños y perjuicios que 
durante las operaciones de tratamiento de datos cause. Deberá hacerlo tanto respecto del 
responsable del tratamiento, como respecto del interesado o de terceros por 
incumplimientos de esta Ley Orgánica, de infracciones de preceptos legales o 
reglamentarios, o por el incumplimiento de las previsiones contenidas en el contrato o en 
otro acto jurídico suscrito. El encargado del tratamiento que no forme parte del sector 
público deberá haber incurrido en actuaciones que le sean imputables, sin perjuicio de la 
aplicación del régimen sancionador, en su caso.
Artículo 55. Tutela judicial efectiva.
1. Sin perjuicio de cualquier otro recurso administrativo o reclamación, toda persona 
física o jurídica tendrá derecho a recurrir ante la jurisdicción contencioso-administrativa, de 
acuerdo con su legislación reguladora, contra los actos y resoluciones dictadas por la 
autoridad de protección de datos competente.
2. El interesado podrá conferir su representación a una entidad, organización o 
asociación sin ánimo de lucro que haya sido correctamente constituida, cuyos objetivos 
estatutarios sean de interés público y que actúe en el ámbito de la protección de los 
derechos y libertades de los interesados en materia de protección de sus datos personales, 
para que ejerza los derechos contemplados en el apartado anterior.
CAPÍTULO VIII
Régimen sancionador
Artículo 56. Sujetos responsables.
1. La responsabilidad por las infracciones cometidas recaerá directamente en los 
sujetos obligados que, por acción u omisión, realizaran la conducta en que consista la 
infracción.
2. Están sujetos al régimen sancionador:
a) Los responsables de los tratamientos.
b) Los encargados de los tratamientos.
c) Los representantes de los encargados no establecidos en el territorio de la Unión 
Europea.
d) El resto de las personas físicas o jurídicas obligadas por el contenido del deber de 
colaboración establecido en el artículo 7.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64136
3. No será de aplicación el régimen sancionador establecido en este capítulo al 
delegado de protección de datos.
Artículo 57. Concurso de normas.
1. Los hechos susceptibles de ser calificados con arreglo a dos o más preceptos de 
esta u otra Ley, siempre que no constituyan infracciones al Reglamento General de 
Protección de Datos, ni a la Ley Orgánica 3/2018, de 5 de diciembre, se sancionarán 
observando las siguientes reglas:
a) El precepto especial se aplicará con preferencia al general.
b) El precepto más amplio o complejo absorberá el que sancione las infracciones 
subsumidas en aquel.
c) En defecto de los criterios anteriores, se aplicará el precepto que sancione los 
hechos con la sanción mayor.
2. En el caso de que un solo hecho constituya dos o más infracciones, o cuando una 
de ellas sea medio necesario para cometer la otra, la conducta será sancionada por 
aquella infracción que conlleve una mayor sanción.
Artículo 58. Infracciones muy graves.
Son infracciones muy graves:
a) El tratamiento de datos personales que vulnere los principios y garantías 
establecidos en el artículo 6 o sin que concurra alguna de las condiciones de licitud del 
tratamiento establecidas en el artículo 11, siempre que se causen perjuicios de carácter 
muy grave a los interesados.
b) El acceso, cesión, alteración y divulgación de los datos al margen de los supuestos 
autorizados por el responsable o encargado de los datos, siempre que no constituya ilícito 
penal.
c) La transferencia temporal o definitiva de datos de carácter personal con destino a 
Estados que no sean miembros de la Unión Europea o a destinatarios que no sean 
autoridades competentes, establecidos en dichos Estados incumpliendo las condiciones 
previstas en los artículos 43 y 47.
d) La utilización de los datos para una finalidad que no sea compatible con el objetivo 
para el que fueron recogidos o cuando no se cumplan las condiciones establecidas en el 
artículo 6, siempre que no se cuente con una base legal para ello.
e) El tratamiento de datos personales de las categorías especiales sin que concurra 
alguna de las circunstancias previstas en el artículo 13 o sin garantizar las medidas de 
seguridad adecuadas, que cause perjuicios graves a los interesados.
f) La omisión del deber de informar al interesado acerca del tratamiento de sus datos 
de carácter personal conforme a lo dispuesto en esta Ley Orgánica.
g) La vulneración del deber de confidencialidad del encargado del tratamiento, 
establecido en el artículo 30.
h) La adopción de decisiones individuales automatizadas sin las garantías señaladas en 
el artículo 14, siempre que se causen perjuicios de carácter muy grave para los interesados.
i) El impedimento, la obstaculización o la falta de atención reiterada del ejercicio de 
los derechos del interesado de acceso, rectificación, supresión de sus datos o limitación 
del tratamiento, siempre que se causen perjuicios de carácter muy grave para los 
interesados.
j) La negativa a proporcionar a las autoridades competentes la información necesaria 
para la prevención, detección, investigación y enjuiciamiento de infracciones penales, para 
la ejecución de sanciones penales o para la protección y prevención frente a las amenazas 
contra la seguridad pública de acuerdo con lo previsto en el artículo 7, así como a informar 
al interesado cuando se comuniquen sus datos en virtud del deber de colaboración 
establecido en dicho artículo.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64137
k) La resistencia u obstrucción del ejercicio de la función inspectora de las autoridades 
de protección de datos competentes.
l) La falta de notificación a las autoridades de protección de datos competentes 
acerca de una violación de la seguridad de los datos personales, cuando sea exigible, así 
como la ausencia de comunicación al interesado de una violación de la seguridad cuando 
sea procedente de acuerdo con el artículo 39, siempre que se deriven perjuicios de 
carácter muy grave para el interesado.
m) El incumplimiento de las resoluciones dictadas por las autoridades de protección 
de datos competentes, en el ejercicio de las potestades que le confiere el artículo 50.
n) No facilitar el acceso del personal de las autoridades de protección de datos 
competentes a los datos personales, información, locales, equipos y medios de tratamiento, 
cuando sean requeridos por las mismas, en el ejercicio de sus poderes de investigación.
ñ) El incumplimiento de los plazos de conservación y revisión establecidos en virtud 
del artículo 8.
Artículo 59. Infracciones graves.
Son infracciones graves:
a) El tratamiento de los datos de carácter personal cuando se incumplan los principios 
del artículo 6 o las condiciones de licitud del tratamiento del artículo 11, siempre que no 
constituya una infracción muy grave.
b) El tratamiento de datos personales de las categorías especiales sin que concurra 
alguna de las circunstancias previstas en el artículo 13 o sin garantizar las medidas de 
seguridad adecuadas, siempre que no constituya una infracción muy grave.
c) La adopción de decisiones individuales automatizadas sin las garantías señaladas 
en el artículo 14, siempre que no constituya una infracción muy grave.
d) La falta de designación de un delegado de protección de datos en los términos 
previstos en el artículo 40 o no posibilitar la efectiva participación del mismo en todas las 
cuestiones relativas a la protección de datos personales, no respaldarlo o interferir en el 
desempeño de sus funciones.
e) El incumplimiento de la puesta a disposición al interesado de la información 
prevista en el artículo 21 o del deber de comunicación al mismo, o a la autoridad de 
protección de datos competente, de una violación de la seguridad de los datos, que 
entrañe un grave perjuicio para los derechos y libertades del interesado.
f) La ausencia de adopción de aquellas medidas técnicas y organizativas que 
resulten apropiadas para aplicar de forma efectiva los principios de protección de datos, 
incluidas las medidas oportunas desde el diseño y por defecto, así como para integrar las 
garantías necesarias en el tratamiento.
g) El impedimento, la falta de atención o la obstaculización de los derechos del 
interesado de acceso, rectificación, supresión de sus datos o limitación del tratamiento, 
siempre que no constituya infracción muy grave.
h) El incumplimiento de la obligación de llevanza de los registros de actividades de 
tratamiento o del registro de operaciones de tratamiento, si se causan perjuicios de 
carácter grave a los interesados.
i) El incumplimiento de las estipulaciones recogidas en el contrato u acto jurídico que 
vincula al responsable y al encargado del tratamiento, salvo en los supuestos en que fuese 
necesario para evitar la infracción de la legislación en materia de protección de datos y se 
hubiese advertido de ello al responsable o al encargado del tratamiento, así como el 
incumplimiento de las obligaciones impuestas en el artículo 30.
j) La falta de colaboración diligente con las autoridades competentes en el 
cumplimiento de las obligaciones establecidas en el artículo 7, cuando no constituya una 
infracción muy grave.
k) La falta de cooperación, la actuación negligente o el impedimento de la función 
inspectora de las autoridades de protección de datos competentes, cuando no constituya 
infracción muy grave.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64138
l) El incumplimiento de la evaluación de impacto en la protección de los datos de 
carácter personal, si se derivan perjuicios o riesgos de carácter grave para los 
interesados.
m) El tratamiento de datos personales sin haber consultado previamente a la 
autoridad de protección de datos competente, en los casos en que dicha consulta resulte 
preceptiva conforme al artículo 36.
Artículo 60. Infracciones leves.
Son infracciones leves:
a) La afectación leve de los derechos de los interesados como consecuencia de la 
ausencia de la debida diligencia o del carácter inadecuado o insuficiente de las medidas 
técnicas y organizativas que se hubiesen implantado.
b) El incumplimiento del principio de transparencia de la información o del derecho 
de información del interesado establecido en el artículo 21 cuando no se facilite toda la 
información exigida en esta Ley Orgánica.
c) La inobservancia de la obligación de informar al interesado y a los destinatarios a 
los que se hayan comunicado o de los que procedan los datos personales rectificados, 
suprimidos o respecto de los que se haya limitado el tratamiento, conforme a lo establecido 
en el artículo 23.
d) El incumplimiento de la llevanza de registros de actividades de tratamiento o del 
registro de operaciones o que los mismos no incorporen toda la información exigida 
legalmente, siempre que no constituya infracción grave.
e) El incumplimiento de la obligación de suprimir los datos referidos a una persona 
fallecida cuando fuera exigible legalmente.
f) La falta de formalización por los corresponsables del tratamiento del acuerdo que 
determine las obligaciones, funciones y responsabilidades respectivas, a propósito del 
tratamiento de datos personales y de sus relaciones con los interesados, así como la 
inexactitud o la falta de concreción en la determinación de las mismas.
g) El incumplimiento de la obligación del encargado del tratamiento de informar al 
responsable del tratamiento acerca de una posible infracción de las disposiciones de esta 
Ley Orgánica, como consecuencia de una instrucción recibida de este.
h) La notificación incompleta o defectuosa a la autoridad de protección de datos 
competente de la información relacionada con una violación de seguridad de los datos 
personales, el incumplimiento de la obligación de documentarla o del deber de comunicar 
al interesado su existencia, cuando no constituya una infracción grave.
i) La aportación de información inexacta o incompleta a la autoridad de protección de 
datos competente, en los supuestos en los que el responsable del tratamiento deba 
elevarle una consulta previa.
j) La falta de publicación de los datos de contacto del delegado de protección de 
datos, o la ausencia de comunicación de su designación y cese a la autoridad de protección 
de datos competente, de conformidad con el artículo 40, cuando su nombramiento sea 
exigible de acuerdo con esta Ley Orgánica.
Artículo 61. Régimen jurídico.
El ejercicio de la potestad sancionadora, que corresponde a las Autoridades de 
protección de datos competentes, se regirá por lo dispuesto en el presente Capítulo, 
por los títulos VII y IX de la Ley Orgánica 3/2018, de 5 de diciembre, y, en cuanto no 
las contradigan, con carácter supletorio, por la normativa sobre procedimiento 
administrativo común de las Administraciones públicas y el régimen jurídico del sector 
público.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64139
Artículo 62. Sanciones.
Por la comisión de las infracciones tipificadas en esta Ley Orgánica se impondrán las 
siguientes sanciones:
1. En caso de que el sujeto responsable sea algunos de los enumerados en el 
artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, se impondrán las sanciones y 
se adoptarán las medidas establecidas en dicho artículo.
2. En caso de que el sujeto infractor sea distinto de los señalados en el artículo 77.1 
de la Ley Orgánica 3/2018, de 5 de diciembre, podrá ser sancionado, con multa de la 
siguiente cuantía:
a) Las infracciones muy graves, con multa de 360.001 a 1.000.000 euros.
b) Las infracciones graves, con multa de 60.001 a 360.000 euros.
c) Las leves, con multa de 6.000 a 60.000 euros.
A efectos de la determinación de la cuantía de la sanción, se tendrán en cuenta los 
criterios establecidos en el artículo 83.2 del Reglamento General de Protección de Datos 
y en el artículo 76.2 de la Ley Orgánica 3/2018, de 5 de diciembre.
Artículo 63. Prescripción de las infracciones y sanciones.
1. Las infracciones administrativas tipificadas en esta Ley Orgánica prescribirán a los 
seis meses, a los dos o a los tres años de haberse cometido, según sean leves, graves o 
muy graves, respectivamente.
Los plazos señalados en esta Ley Orgánica se computarán desde el día en que se 
haya cometido la infracción. No obstante, en los casos de infracciones continuadas o 
permanentes, los plazos se computarán desde que finalizó la conducta infractora.
Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del 
procedimiento sancionador, reiniciándose el plazo de prescripción si el expediente 
sancionador estuviere paralizado durante más de seis meses por causas no imputables al 
presunto infractor.
Se interrumpirá igualmente la prescripción como consecuencia de la apertura de un 
procedimiento judicial penal, hasta que la autoridad judicial comunique al órgano 
administrativo su finalización.
2. Las sanciones impuestas por infracciones muy graves prescribirán a los tres años, 
las impuestas por infracciones graves, a los dos años, y las impuestas por infracciones 
leves al año, computados desde el día siguiente a aquel en que adquiera firmeza en vía 
administrativa la resolución por la que se impone la sanción.
La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del 
procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado 
durante más de seis meses por causa no imputable al infractor.
Artículo 64. Caducidad del procedimiento.
1. El procedimiento caducará transcurridos seis meses desde su incoación sin que 
se haya notificado la resolución, debiendo, no obstante, tenerse en cuenta en el cómputo 
las posibles paralizaciones por causas imputables al interesado o la suspensión que 
debiera acordarse por la existencia de un procedimiento judicial penal, cuando concurra 
identidad de sujeto, hecho y fundamento, hasta la finalización de este.
2. La resolución que declare la caducidad se notificará al interesado y pondrá fin al 
procedimiento, sin perjuicio de que la administración pueda acordar la incoación de un 
nuevo procedimiento en tanto no haya prescrito la infracción. Los procedimientos 
caducados no interrumpirán el plazo de prescripción.
Artículo 65. Carácter subsidiario del procedimiento administrativo sancionador respecto 
del penal.
1. No podrán sancionarse los hechos que hayan sido sancionados penal o 
administrativamente cuando se aprecie identidad de sujeto, de hecho y de fundamento.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64140
2. En los supuestos en que las conductas pudieran ser constitutivas de delito, el 
órgano administrativo pasará el tanto de culpa a la autoridad judicial o al Ministerio Fiscal 
y se abstendrá de seguir el procedimiento sancionador mientras la autoridad judicial no 
dicte sentencia firme o resolución que de otro modo ponga fin al procedimiento penal, o el 
Ministerio Fiscal no acuerde la improcedencia de iniciar o proseguir las actuaciones en vía 
penal, quedando hasta entonces interrumpido el plazo de prescripción.
La autoridad judicial y el Ministerio Fiscal comunicarán al órgano administrativo la 
resolución o acuerdo que hubieran adoptado.
3. De no haberse estimado la existencia de ilícito penal, o en el caso de haberse 
dictado resolución de otro tipo que ponga fin al procedimiento penal, podrá iniciarse o 
proseguir el procedimiento sancionador. En todo caso, el órgano administrativo quedará 
vinculado por los hechos declarados probados en vía judicial.
4. Las medidas cautelares adoptadas antes de la intervención judicial podrán 
mantenerse mientras la autoridad judicial no resuelva otra cosa.
Disposición adicional primera. Regímenes específicos.
1. El tratamiento de los datos personales procedentes de las imágenes y sonidos 
obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos 
de Seguridad, por los órganos competentes para la vigilancia y control en los centros 
penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, para los fines 
previstos en al artículo 1, se regirá por esta Ley Orgánica, sin perjuicio de los requisitos 
establecidos en regímenes legales especiales que regulan otros ámbitos concretos como 
el procesal penal, la regulación del tráfico o la protección de instalaciones propias.
2. Fuera de estos supuestos, dichos tratamientos se regirán por su legislación 
específica y supletoriamente por el Reglamento (UE) 2016/679 y por la Ley 
Orgánica 3/2018, de 5 de diciembre.
Disposición adicional segunda. Intercambio de datos dentro de la Unión Europea.
El intercambio de datos personales por parte de las autoridades competentes 
españolas en el interior de la Unión Europea, cuando el Derecho de la Unión Europea o la 
legislación española exijan dicho intercambio, no estará limitado ni prohibido por motivos 
relacionados con la protección de las personas físicas respecto al tratamiento de sus datos 
personales.
Disposición adicional tercera. Acuerdos internacionales en el ámbito de la cooperación 
judicial en materia penal y de la cooperación policial.
Los acuerdos internacionales en el ámbito de la cooperación judicial en materia penal 
y de la cooperación policial que impliquen la transferencia de datos personales a Estados 
que no sean miembros de la Unión Europea u organizaciones internacionales y que 
hubieran sido celebrados por España antes del 6 de mayo de 2016, cumpliendo lo 
dispuesto en el Derecho de la Unión Europea aplicable antes de dicha fecha, seguirán en 
vigor hasta que sean objeto de modificación, enmienda o terminación.
Disposición adicional cuarta. Ficheros y Registro de Población de las Administraciones 
Públicas.
1. Las autoridades competentes podrán solicitar al Instituto Nacional de Estadística y 
a los órganos estadísticos de ámbito autonómico, sin consentimiento del interesado, una 
copia actualizada del fichero formado con los datos del documento de identidad, nombre, 
apellidos, domicilio, sexo y fecha de nacimiento que constan en el padrón municipal de 
habitantes y en el censo electoral correspondiente a los territorios donde ejerzan sus 
competencias. Esta solicitud deberá estar motivada en base a cualquiera de los fines de 
prevención, detección, investigación y enjuiciamiento de infracciones penales o de 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64141
ejecución de sanciones penales, incluidas la protección y la prevención frente a las 
amenazas contra la seguridad pública.
2. Los datos obtenidos tendrán como único propósito el cumplimiento de los fines de 
prevención, detección, investigación y enjuiciamiento de infracciones penales o de 
ejecución de sanciones penales, así como de protección y de prevención frente a las 
amenazas contra la seguridad pública y la comunicación de estas autoridades con los 
interesados residentes en los respectivos territorios, respecto a las relaciones jurídico-
administrativas derivadas de las competencias respectivas.
Disposición adicional quinta. Referencias normativas.
Las referencias contenidas en normas vigentes en relación a las disposiciones que se 
derogan expresamente, deberán entenderse efectuadas a los artículos de esta Ley 
Orgánica que regulan la misma materia que aquellas.
Disposición transitoria única. Duración del mandato inicial de la persona titular de la 
Dirección de Supervisión y Control de Protección de datos del Consejo General del 
Poder Judicial.
La duración del mandato del primer nombramiento de la persona titular de la Dirección 
de Supervisión y Control de Protección de datos del Consejo General del Poder Judicial 
será de tres años no renovable.
Disposición derogatoria única. Derogación normativa.
Quedan derogadas todas las normas de igual o inferior rango en lo que contradigan o 
se opongan a lo dispuesto en esta Ley Orgánica.
Disposición final primera. Modificación de la Ley Orgánica 1/1979, de 26 de septiembre, 
General Penitenciaria.
Se introduce un nuevo artículo 15 bis en la Ley Orgánica 1/1979, de 26 de septiembre, 
General Penitenciaria, que queda redactado como sigue:
«Artículo 15 bis. Tratamientos de datos de carácter personal.
1. Admitido en el establecimiento un interno, se procederá a verificar su 
identidad personal, efectuando la reseña alfabética, dactilar y fotográfica, así como 
a la inscripción en el libro de ingresos y a la apertura de un expediente personal 
relativo a su situación procesal y penitenciaria, respecto del que se reconoce el 
derecho de acceso. Este derecho sólo se verá limitado de forma individualizada y 
fundamentada en concretas razones de seguridad o tratamiento.
2. El tratamiento de los datos personales de los internos se regirá por lo 
previsto en la Ley Orgánica de protección de datos personales tratados para fines 
de prevención, detección, investigación y enjuiciamiento de infracciones penales 
y de ejecución de sanciones penales. Los datos personales de categorías 
especiales que no figuren en el apartado anterior se podrán tratar con el 
consentimiento del interesado. Sólo se prescindirá de dicho consentimiento 
cuando sea estrictamente necesario y se efectúe con las garantías adecuadas 
para proteger el derecho a la protección de datos de los interesados, atendiendo 
al tipo de datos que se traten y a las finalidades de los distintos tratamientos 
dirigidos a la ejecución de la pena.
3. Igualmente se procederá al cacheo de su persona y al registro de sus 
efectos, retirándose los enseres y objetos no autorizados.
4. En el momento del ingreso se adoptarán las medidas de higiene personal 
necesarias, entregándose al interno las prendas de vestir adecuadas que precise, 
firmando el mismo su recepción.»
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64142
Disposición final segunda.  Modificación de la Ley 50/1981, de 30 de diciembre, 
reguladora del Estatuto Orgánico del Ministerio Fiscal.
Uno. Se modifica el artículo 12 para incluir en nuevo apartado n) con la siguiente 
redacción:
«n) La Unidad de Supervisión y Control de Protección de Datos.»
Dos. Se modifica el artículo 20 incluyendo un nuevo apartado Cuatro con la siguiente 
redacción:
«Cuatro. En la Fiscalía General del Estado, de igual modo, existirá la Unidad 
de Supervisión y Control de Protección de Datos que ejercerá las competencias 
que corresponden a la autoridad de protección de datos con fines jurisdiccionales 
sobre el tratamiento de los mismos realizado por el Ministerio Fiscal, de acuerdo 
con lo establecido en el artículo 236 octies de la Ley Orgánica del Poder Judicial en 
el ámbito de sus competencias y facultades. Su regulación se remitirá a los 
términos previstos en la Ley Orgánica del Poder Judicial en cuanto le sea de 
aplicación.
Al frente de la Unidad de Supervisión y Control de Protección de Datos se 
nombrará por mayoría absoluta del Pleno del Consejo Fiscal una persona titular de 
la Unidad, de entre juristas de reconocida competencia con al menos quince años 
de ejercicio profesional y con conocimientos y experiencia acreditados en materia 
de protección de datos.
La duración del mandato de la persona titular de la Unidad de Supervisión y 
Control de Protección de Datos será de cinco años, no renovable. Durante su 
mandato permanecerá, en su caso, en situación de servicios especiales y ejercerá 
exclusivamente las funciones inherentes a su cargo. Sólo podrá ser cesada por 
incapacidad o incumplimiento grave de sus deberes, apreciados por el Pleno 
mediante mayoría absoluta.
El régimen de incompatibilidades de la persona titular de la Unidad de 
Supervisión y Control de Protección de Datos será el mismo que el establecido para 
los Fiscales al servicio de los órganos técnicos de la Fiscalía General del Estado. La 
persona titular de la Unidad de Supervisión y Control de Protección de Datos deberá 
ejercer sus funciones con absoluta independencia y neutralidad.
La persona titular y el resto de personal adscrito a la Unidad de Supervisión y 
Control de Protección de Datos estarán sujetos al deber de secreto profesional, 
tanto durante su mandato como después del mismo, con relación a las informaciones 
confidenciales de las que hayan tenido conocimiento en el cumplimiento de sus 
funciones o el ejercicio de sus atribuciones. Este deber de secreto profesional se 
aplicará en particular a la información que faciliten las personas físicas a la Unidad 
de Supervisión y Control de Protección de Datos en materia de infracciones de la 
presente normativa.
La composición, organización y funcionamiento de la Unidad de Supervisión y 
Control de Protección de Datos será regulada reglamentariamente. Se deberá velar 
porque la Unidad cuente, en todo caso, con todos los medios personales y 
materiales necesarios para el adecuado ejercicio de sus funciones.»
Tres. Se modifica el artículo 14 para incluir en el apartado 4 una nueva letra l) con el 
contenido siguiente:
«l) Nombrar por mayoría absoluta a la persona titular de la Unidad de 
Supervisión y Control de Protección de Datos.»
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64143
Disposición final tercera. Modificación de la Ley Orgánica 6/1985 de 1 de julio, del Poder 
Judicial.
Los artículos que se relacionan quedarán modificados en los términos siguientes:
Uno. El artículo 234 queda redactado como sigue:
«Artículo 234.
1. Los Letrados de la Administración de Justicia y funcionarios competentes de 
la oficina judicial y de la oficina fiscal facilitarán a los interesados cuanta información 
soliciten sobre el estado de las actuaciones procesales, que podrán examinar y 
conocer, salvo que sean o hubieren sido declaradas secretas o reservadas conforme 
a la ley.
2. Las partes y cualquier persona que acredite un interés legítimo y directo 
tendrán derecho a obtener, en la forma dispuesta en las leyes procesales y, en su 
caso, en la Ley 18/2011, de 5 de julio, reguladora del uso de las tecnologías de la 
información y la comunicación en la Administración de Justicia, copias simples de 
los escritos y documentos que consten en los autos, no declarados secretos ni 
reservados. También tendrán derecho a que se les expidan los testimonios y 
certificados en los casos y a través del cauce establecido en las leyes 
procesales.»
Dos. El artículo 235 queda redactado como sigue:
«Artículo 235.
El acceso a las resoluciones judiciales, o a determinados extremos de las 
mismas, o a otras actuaciones procesales, por quienes no son parte en el 
procedimiento y acrediten un interés legítimo y directo, podrá llevarse a cabo previa 
disociación, anonimización u otra medida de protección de los datos de carácter 
personal que las mismos contuvieren y con pleno respeto al derecho a la intimidad, 
a los derechos de las personas que requieran un especial deber de tutela o a la 
garantía del anonimato de las víctimas o perjudicados, cuando proceda.»
Tres. El artículo 235 bis queda redactado como sigue:
«Artículo 235 bis.
1. Es público el acceso a los datos personales contenidos en los fallos de las 
sentencias firmes condenatorias, cuando se hubieren dictado en virtud de los delitos 
previstos en los siguientes artículos:
a) Los artículos 305, 305 bis y 306 de la Ley Orgánica 10/1995, de 23 de 
noviembre, del Código Penal.
b) Los artículos 257 y 258 de la Ley Orgánica 10/1995, de 23 de noviembre, 
del Código Penal, cuando el acreedor defraudado hubiese sido la Hacienda Pública.
c) El artículo 2 de la Ley Orgánica 12/1995, de 12 de diciembre, de Represión 
del Contrabando, siempre que exista un perjuicio para la Hacienda Pública estatal o 
de la Unión Europea.
2. En los casos previstos en el apartado anterior, el Letrado de la Administración 
de Justicia emitirá certificado en el que se harán constar los siguientes datos:
a) Los que permitan la identificación del proceso judicial.
b) Nombre y apellidos o denominación social del condenado y, en su caso, del 
responsable civil.
c) Delito por el que se le hubiera condenado.
d) Las penas impuestas.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64144
e) La cuantía correspondiente al perjuicio causado a la Hacienda Pública por 
todos los conceptos, según lo establecido en la sentencia.
Mediante diligencia de ordenación el Letrado de la Administración de Justicia 
ordenará su publicación en el «Boletín Oficial del Estado».
3. Lo dispuesto en este artículo no será de aplicación en el caso de que el 
condenado o, en su caso, el responsable civil, hubiera satisfecho o consignado en 
la cuenta de depósitos y consignaciones del órgano judicial competente la totalidad 
de la cuantía correspondiente al perjuicio causado a la Hacienda Pública por todos 
los conceptos, con anterioridad a la firmeza de la sentencia.»
Cuatro. El artículo 236 queda redactado como sigue:
«Artículo 236.
La publicidad de los edictos se realizará a través del Tablón Edictal Judicial 
Único, en la forma en que se disponga reglamentariamente, incluyendo los datos 
estrictamente necesarios para cumplir con su finalidad.»
Cinco. El artículo 236 bis queda redactado como sigue:
«Artículo 236 bis.
1. El tratamiento de los datos personales podrá realizarse con fines 
jurisdiccionales o no jurisdiccionales. Tendrá fines jurisdiccionales el tratamiento de 
los datos que se encuentren incorporados a los procesos que tengan por finalidad 
el ejercicio de la actividad jurisdiccional.
2. El tratamiento de los datos personales en la Administración de Justicia se 
llevará cabo por el órgano competente y, dentro de él, por quien tenga la 
competencia atribuida por la normativa vigente.»
Seis. El artículo 236 ter queda redactado como sigue:
«Artículo 236 ter.
1. El tratamiento de los datos personales llevado a cabo con ocasión de la 
tramitación por los órganos judiciales y fiscalías de los procesos de los que sean 
competentes, así como el realizado dentro de la gestión de la Oficina judicial y fiscal, 
se regirá por lo dispuesto en el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 
y su normativa de desarrollo, sin perjuicio de las especialidades establecidas en el 
presente Capítulo y en las leyes procesales.
2. En el ámbito de la jurisdicción penal, el tratamiento de los datos personales 
llevado a cabo con ocasión de la tramitación por los órganos judiciales y fiscalías 
de los procesos, diligencias o expedientes de los que sean competentes, así como 
el realizado dentro de la gestión de la Oficina judicial y fiscal, se regirá por lo 
dispuesto en la Ley Orgánica de protección de datos personales tratados con fines 
de prevención, detección, investigación o enjuiciamiento de infracciones penales 
y de ejecución de sanciones penales, sin perjuicio de las especialidades 
establecidas en el presente Capítulo y en las leyes procesales y, en su caso, en la 
Ley 50/1981, de 30 de diciembre, por la que se regula el Estatuto Orgánico del 
Ministerio Fiscal.
3. No será necesario el consentimiento del interesado para que se proceda al 
tratamiento de los datos personales en el ejercicio de la actividad jurisdiccional, ya 
sean éstos facilitados por las partes o recabados a solicitud de los órganos 
competentes, sin perjuicio de lo dispuesto en las normas procesales para la validez 
de la prueba.»
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64145
Siete. El artículo 236 quáter queda redactado como sigue:
«Artículo 236 quáter.
Cuando se proceda al tratamiento con fines no jurisdiccionales se estará a lo 
dispuesto en el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 y su normativa 
de desarrollo.»
Ocho. El artículo 236 quinquies queda redactado como sigue:
«Artículo 236 quinquies.
1. Las resoluciones y actuaciones procesales deberán contener los datos 
personales que sean adecuados, pertinentes y limitados a lo necesario en relación 
con los fines para los que son tratados, en especial para garantizar el derecho a la 
tutela judicial efectiva, sin que, en ningún caso, pueda producirse indefensión.
2. Los Jueces y Magistrados, los Fiscales y los Letrados de la Administración 
de Justicia, conforme a sus competencias, podrán adoptar las medidas que sean 
necesarias para la supresión de los datos personales de las resoluciones y de los 
documentos a los que puedan acceder las partes durante la tramitación del proceso 
siempre que no sean necesarios para garantizar el derecho a la tutela judicial 
efectiva, sin que, en ningún caso, pueda producirse indefensión.
3. Los datos personales que las partes conocen a través del proceso deberán 
ser tratados por éstas de conformidad con la normativa general de protección de 
datos. Esta obligación también incumbe a los profesionales que representan y 
asisten a las partes, así como a cualquier otro que intervenga en el procedimiento.
4. Se deberán comunicar a los órganos competentes dependientes del 
Consejo General del Poder Judicial, de la Fiscalía General del Estado y del 
Ministerio de Justicia, en lo que proceda, los datos tratados con fines jurisdiccionales 
que sean estrictamente necesarios para el ejercicio de las funciones de inspección 
y control establecidas en esta Ley, y su normativa de desarrollo. También se deberán 
facilitar los datos tratados con fines no jurisdiccionales cuando ello esté justificado 
por la interposición de un recurso o sea necesario para el ejercicio de las 
competencias que tengan legalmente atribuidas.
5. Las Oficinas de Comunicación establecidas en esta Ley, en el ejercicio de 
sus funciones de comunicación institucional, deberán velar por el respeto del 
derecho fundamental a la protección de datos personales de aquellos que hubieran 
intervenido en el procedimiento de que se trate. Para cumplir con su finalidad, 
podrán recabar los datos necesarios de las autoridades competentes.
6. Los Letrados de la Administración de Justicia deberán facilitar a la Abogacía 
del Estado los datos personales, la información y los documentos que sean 
requeridos para el desempeño de la representación y defensa del Reino de España 
ante el Tribunal Europeo de Derechos Humanos y otros órganos internacionales en 
materia de protección de derechos Humanos, en particular ante el Comité de 
Naciones Unidas. A tales efectos, se establecerán igualmente los mecanismos de 
comunicación con la Fiscalía General del Estado, a través de sus unidades 
competentes.»
Nueve. El artículo 236 sexies queda redactado como sigue:
«Artículo 236 sexies.
1. La Administración competente deberá suministrar los medios tecnológicos 
adecuados para que se proceda al tratamiento de los datos personales conforme a 
las disposiciones legales y reglamentarias.
2. La Administración competente deberá cumplir con las responsabilidades 
que en materia de tratamiento y protección de datos personales se le atribuya como 
administración prestacional.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64146
3. Se deberán adoptar las medidas organizativas adecuadas para que la 
Oficina judicial y fiscal realice un adecuado tratamiento de los datos personales. 
Previo informe del Consejo General del Poder judicial, y, en su caso, de la Fiscalía 
General del Estado, el Ministerio de Justicia deberá elaborar y actualizar los códigos 
de conducta destinados a contribuir a la correcta aplicación de la normativa de 
protección de datos personales en la Oficina judicial y fiscal, adecuando los 
principios de la normativa general a los propios de la regulación procesal y 
organización de la Oficina judicial y fiscal.
4. El Ministerio de Justicia y las Comunidades Autónomas con competencias 
en la materia, dentro de las políticas de apoyo a la Administración de Justicia y 
desarrollo de la gestión electrónica de los procedimientos, podrán realizar el 
tratamiento de datos no personales para el ejercicio de sus competencias de gestión 
pública, incluyendo el desarrollo e implementación de sistemas automáticos de 
clasificación documental orientados a la tramitación procesal, con cumplimiento de 
la normativa de interoperabilidad, seguridad y protección de datos que resulte 
aplicable.»
Diez. El artículo 236 septies queda redactado como sigue:
«Artículo 236 septies.
1. En relación con el tratamiento de los datos personales con fines 
jurisdiccionales, los derechos de información, acceso, rectificación, supresión, 
oposición y limitación se tramitarán conforme a las normas que resulten de 
aplicación al proceso en que los datos fueron recabados. Estos derechos deberán 
ejercitarse ante los órganos judiciales, fiscalías u Oficina judicial en los que se 
tramita el procedimiento, y las peticiones deberán resolverse por quien tenga la 
competencia atribuida en la normativa orgánica y procesal.
2. En todo caso se denegará el acceso a los datos objeto de tratamiento con 
fines jurisdiccionales cuando las diligencias procesales en que se haya recabado la 
información sean o hayan sido declaradas secretas o reservadas.
3. En relación con el tratamiento de los datos personales con fines no 
jurisdiccionales, los interesados podrán ejercitar los derechos de información, 
acceso, rectificación, supresión, oposición y limitación en los términos establecidos 
en la normativa general de protección de datos.»
Once. El artículo 236 octies queda redactado como sigue:
«Artículo 236 octies.
1. Respecto a las operaciones de tratamiento efectuadas con fines 
jurisdiccionales por los Juzgados, Tribunales, Fiscalías, y las Oficinas judicial y 
fiscal, corresponderán al Consejo General del Poder Judicial y a la Fiscalía General 
del Estado, en el ámbito de sus respectivas competencias, las siguientes funciones:
a) Supervisar el cumplimiento de la normativa de protección de datos 
personales mediante el ejercicio de la labor inspectora otorgada en la presente Ley 
y el Estatuto Orgánico del Ministerio Fiscal.
b) Promover la sensibilización de los profesionales de la Administración de 
Justicia y su comprensión de los riesgos, normas, garantías, derechos y obligaciones 
en relación con el tratamiento.
c) Emitir informe sobre los códigos de conducta destinados a contribuir a la 
correcta aplicación de la normativa de protección de datos personales en la Oficina 
judicial y fiscal.
d) Previa solicitud, facilitar información a cualquier interesado en relación con 
el ejercicio de sus derechos en materia de protección de datos.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64147
e) Tramitar y responder las reclamaciones presentadas por un interesado o 
por asociaciones, organizaciones y entidades que tengan capacidad procesal o 
legitimación para defender intereses colectivos, en los términos que determinen las 
leyes de aplicación al proceso en que los datos fueron recabados. Se informará al 
reclamante sobre el curso y resultado de la reclamación en un plazo razonable, 
previa realización de la investigación oportuna si se considera necesario.
2. Los tratamientos de datos con fines no jurisdiccionales estarán sometidos a 
la competencia de la Agencia Española de Protección de Datos, que también 
supervisará el cumplimiento de aquellos tratamientos que no sean competencia de 
las autoridades indicadas en el apartado anterior.
3. El Consejo General del Poder Judicial, la Fiscalía General del Estado y la 
Agencia Española de Protección de Datos colaborarán en aras del adecuado 
ejercicio de las respectivas competencias que la presente Ley Orgánica les atribuye 
en materia de protección de datos personales en el ámbito de la Administración de 
Justicia.
4. Cuando con ocasión de la realización de actuaciones de investigación 
relacionadas con la posible comisión de una infracción de la normativa de protección 
de datos, las autoridades competentes a las que se refieran los apartados anteriores 
apreciasen la existencia de indicios que supongan la competencia de otra autoridad, 
darán inmediatamente traslado a esta última a fin de que prosiga con la tramitación 
del procedimiento.»
Doce. El artículo 236 nonies, queda redactado como sigue:
«Artículo 236 nonies.
1. Las competencias que corresponden a la autoridad de protección de datos 
personales con fines jurisdiccionales serán ejercidas respecto del tratamiento de los 
mismos realizado por Juzgados y Tribunales de acuerdo con lo establecido en el 
artículo 236 octies, por la Dirección de Supervisión y Control de Protección de Datos 
del Consejo General del Poder Judicial.
2. Al frente de la Dirección de Supervisión y Control de Protección de Datos se 
nombrará por mayoría absoluta del Pleno del Consejo General del Poder Judicial 
una persona titular de la Dirección, de entre juristas de reconocida competencia con 
al menos quince años de ejercicio profesional y con conocimientos y experiencia 
acreditados en materia de protección de datos.
3. La duración del mandato de la persona titular de la Dirección de Supervisión 
y Control de Protección de Datos será de cinco años, no renovable. Durante su 
mandato permanecerá, en su caso, en situación de servicios especiales y ejercerá 
exclusivamente las funciones inherentes a su cargo. Sólo podrá ser cesada por 
incapacidad o incumplimiento grave de sus deberes, apreciados por el Pleno 
mediante mayoría absoluta.
4. El régimen de incompatibilidades de la persona titular de la Dirección de 
Supervisión y Control de Protección de Datos será el mismo que el establecido para 
los Magistrados al servicio de los órganos técnicos del Consejo General del Poder 
Judicial. La persona titular de la Dirección de Supervisión y Control de Protección de 
Datos deberá ejercer sus funciones con absoluta independencia y neutralidad.
5. La persona titular y el resto de personal adscrito a la Dirección de 
Supervisión y Control de Protección de Datos estarán sujetos al deber de secreto 
profesional, tanto durante su mandato como después del mismo, con relación a las 
informaciones confidenciales de las que hayan tenido conocimiento en el 
cumplimiento de sus funciones o el ejercicio de sus atribuciones. Este deber de 
secreto profesional se aplicará en particular a la información que faciliten las 
personas físicas a la Dirección de Supervisión y Control de Protección de Datos en 
materia de infracciones de la presente normativa.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64148
6. La composición, organización y funcionamiento de la Dirección de 
Supervisión y Control de Protección de Datos será regulada reglamentariamente. 
El Consejo General del Poder Judicial deberá velar porque la Dirección cuente, en 
todo caso, con todos los medios personales y materiales necesarios para el 
adecuado ejercicio de sus funciones.»
Trece. El artículo 236 decies, queda redactado como sigue:
«Artículo 236 decies.
1. Los tratamientos de datos llevados a cabo por el Consejo General del Poder 
judicial y la Fiscalía General del Estado en el ejercicio de sus competencias 
quedarán sometidos a lo dispuesto en la legislación vigente en materia de protección 
de datos personales. Dichos tratamientos no serán considerados en ningún caso 
realizados con fines jurisdiccionales.
2. Las operaciones de tratamiento de datos personales del Consejo General 
del Poder Judicial y de los órganos integrantes del mismo serán autorizados por 
acuerdo del Consejo General del Poder Judicial, a propuesta de la Secretaría 
General, que ostentará la condición de responsable del tratamiento respecto de los 
mismos.
3. Las operaciones de tratamiento de datos personales de la Fiscalía General 
del Estado serán autorizadas según determine el Estatuto Orgánico del Ministerio 
Fiscal y las Instrucciones que se dicten al respecto.»
Catorce. El ordinal 19.º del apartado 1 del artículo 560 queda redactado como sigue:
«Artículo 560.
1.º (…)
19.º En materia de protección de datos personales, ejercerá las funciones 
definidas en el artículo 236 octies.»
Disposición final cuarta. Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de 
Protección de Datos Personales y garantía de los derechos digitales.
Uno. Se incluye un nuevo apartado 5 en el artículo 2 con la siguiente redacción:
«Artículo 2.
5. El tratamiento de datos llevado a cabo con ocasión de la tramitación por el 
Ministerio Fiscal de los procesos de los que sea competente, así como el realizado 
con esos fines dentro de la gestión de la Oficina Fiscal, se regirán por lo dispuesto 
en el Reglamento (UE) 2016/679 y la presente Ley Orgánica, sin perjuicio de las 
disposiciones de la Ley 50/1981, de 30 de diciembre, reguladora del Estatuto 
Orgánico del Ministerio Fiscal, la Ley Orgánica 6/1985, de 1 de julio, del Poder 
Judicial y de las normas procesales que le sean aplicables.»
Dos. Se modifica el apartado 3 del artículo 44, que queda redactado como sigue:
«Artículo 44.
3. La Agencia Española de Protección de Datos, el Consejo General del Poder 
Judicial y en su caso, la Fiscalía General del Estado, colaborarán en aras del 
adecuado ejercicio de las respectivas competencias que la Ley Orgánica 6/1985, 
de 1 de julio, del Poder Judicial, les atribuye en materia de protección de datos 
personales en el ámbito de la Administración de Justicia.»
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64149
Tres. Se modifica la disposición adicional decimoquinta que queda redactada como 
sigue:
«Disposición adicional decimoquinta. Requerimiento de información por parte de 
la Comisión Nacional del Mercado de Valores.
Cuando no haya podido obtener por otros medios la información necesaria para 
realizar sus labores de supervisión e inspección relacionadas con la detección de 
delitos graves, la Comisión Nacional del Mercado de Valores podrá recabar de los 
operadores que presten servicios de comunicaciones electrónicas disponibles al 
público y de los prestadores de servicios de la sociedad de la información, los datos 
que obren en su poder relativos a la comunicación electrónica o servicio de la 
sociedad de la información proporcionados por dichos prestadores que sean 
distintos a su contenido y resulten imprescindibles para el ejercicio de dichas 
labores.
La cesión de estos datos requerirá la previa obtención de autorización judicial 
otorgada conforme a las normas procesales.»
Disposición final quinta. Modificación de la Ley Orgánica 1/2020, de 16 de septiembre, 
sobre la utilización de los datos del registro de nombres de pasajeros para la 
prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos 
graves.
Se modifica el artículo 10 que queda redactado como sigue:
«1. Los momentos en los que las compañías aéreas deben transmitir los 
datos PNR a la UIP serán los siguientes:
a) Entre las 24 y las 48 horas antes de la hora de salida programada del vuelo, e
b) inmediatamente después del cierre del vuelo, una vez que los pasajeros 
hayan embarcado en el avión en preparación de la salida y no sea posible embarcar 
o desembarcar.
Las compañías aéreas podrán limitar esta transmisión prevista en el párrafo b) 
a las actualizaciones de la información transmitida conforme al párrafo a).
2. El Proveedor de Servicios de Navegación Aérea en el espacio aéreo de 
soberanía española, comunicará a la UIP los cambios de destino, así como las 
escalas no programadas que le sean notificados por la tripulación de la aeronave o 
por otro Proveedor de Servicios de Navegación Aérea».
3. Además, cuando sea necesario acceder a los datos PNR para responder a 
una amenaza real y concreta relacionada con delitos de terrorismo o con delitos 
graves, en momentos distintos de los previstos en el apartado 1, todos los sujetos 
obligados, caso por caso, deberán transmitir a la UIP dichos datos con carácter 
inmediato al requerimiento recibido.»
Disposición final sexta. Modificación de la Ley 19/2007, de 11 de julio, contra la violencia, 
el racismo, la xenofobia y la intolerancia en el deporte.
Se modifica el artículo 30 que queda redactado como sigue:
«Artículo 30. Procedimiento sancionador.
1. El ejercicio de la potestad sancionadora a la que se refiere este título, se 
regirá por lo dispuesto en la Ley 39/2015, de 1 de octubre, del Procedimiento 
Administrativo Común de las Administraciones Públicas, la Ley 40/2015, de 1 de 
octubre, de Régimen Jurídico del Sector Público y sus disposiciones de desarrollo, 
sin perjuicio de las especialidades que se regulan en este título.
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64150
2. El procedimiento caducará transcurridos seis meses desde su incoación sin 
que se haya notificado la resolución, debiendo, no obstante, tenerse en cuenta en el 
cómputo las posibles paralizaciones por causas imputables al interesado o la 
suspensión que debiera acordarse por la existencia de un procedimiento judicial 
penal, cuando concurra identidad de sujeto, hecho y fundamento, hasta la 
finalización de éste.»
Disposición final séptima. Modificación de la Ley 5/2014, de 4 de abril, de Seguridad 
Privada.
Se modifica el artículo 69 que queda redactado como sigue:
«Artículo 69. Régimen Jurídico.
1. El ejercicio de la potestad sancionadora en materia de seguridad privada se 
regirá por lo dispuesto en la Ley 39/2015, de 1 de octubre, del Procedimiento 
Administrativo Común de las Administraciones Públicas, la Ley 40/2015, de 1 de 
octubre, de Régimen Jurídico del Sector Público y sus disposiciones de desarrollo, 
sin perjuicio de las especialidades que se regulan en este título.
2. El procedimiento caducará transcurridos seis meses desde su incoación sin 
que se haya notificado la resolución, debiendo, no obstante, tenerse en cuenta en el 
cómputo las posibles paralizaciones por causas imputables al interesado o la 
suspensión que debiera acordarse por la existencia de un procedimiento judicial 
penal, cuando concurra identidad de sujeto, hecho y fundamento, hasta la 
finalización de éste.
3. Iniciado el procedimiento sancionador, el órgano que haya ordenado su 
incoación podrá adoptar las medidas cautelares necesarias para garantizar su 
adecuada instrucción, así como para evitar la continuación de la infracción o 
asegurar el pago de la sanción, en el caso de que ésta fuese pecuniaria, y el 
cumplimiento de la misma en los demás supuestos.
4. Dichas medidas, que deberán ser congruentes con la naturaleza de la 
presunta infracción y proporcionadas a la gravedad de la misma, podrán consistir en:
a) La ocupación o precinto de vehículos, armas, material o equipo prohibido, 
no homologado o que resulte peligroso o perjudicial, así como de los instrumentos 
y efectos de la infracción.
b) La retirada preventiva de las autorizaciones, habilitaciones, permisos o 
licencias, o la suspensión, en su caso, de la eficacia de las declaraciones 
responsables.
c) La suspensión de la habilitación del personal de seguridad privada y, en su 
caso, de la tramitación del procedimiento para el otorgamiento de aquélla, mientras 
dure la instrucción de expedientes por infracciones graves o muy graves en materia 
de seguridad privada.
También podrán ser suspendidas las indicadas habilitación y tramitación, hasta 
tanto finalice el proceso por delitos contra dicho personal.
5. Las medidas cautelares previstas en los párrafos b) y c) del apartado 
anterior no podrán tener una duración superior a un año.»
Disposición final octava. Modificación del texto refundido de la Ley sobre Tráfico, 
Circulación de Vehículos a Motor y Seguridad Vial, aprobado por el Real Decreto 
Legislativo 6/2015, de 30 de octubre.
Se modifica el artículo 68 que queda redactado como sigue:
«Artículo 68. Matrículas.
1. Para poner en circulación vehículos a motor, así como remolques de masa 
máxima autorizada superior a la que reglamentariamente se determine, es preciso 
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64151
matricularlos y que lleven las placas de matrícula con los caracteres que se les 
asigne del modo que se establezca. Esta obligación será exigida a los ciclomotores 
en los términos que reglamentariamente se determine.
2. Deben ser objeto de matriculación definitiva en España los vehículos a los 
que se refiere el apartado anterior, cuando se destinen a ser utilizados en el territorio 
español por personas o entidades que sean residentes en España o que sean 
titulares de establecimientos situados en España. Reglamentariamente se 
establecerán los plazos, requisitos y condiciones para el cumplimiento de esta 
obligación y las posibles exenciones a la misma.
3. La matriculación ordinaria será única para cada vehículo, salvo en los 
supuestos que se determinen reglamentariamente. Cuando concurran circunstancias 
que puedan afectar a la Seguridad Nacional, el Secretario de Estado de Seguridad 
podrá autorizar una nueva matrícula distinta de la inicialmente asignada. Este tipo 
de matrículas no serán públicas en el Registro General de Vehículos e, incluso en 
circunstancias excepcionales, podrá utilizarse una titularidad supuesta en el marco 
de la actuación de las Fuerzas y Cuerpos de Seguridad y del Centro Nacional de 
Inteligencia en el tráfico jurídico.
4. En casos justificados, la autoridad competente para expedir el permiso de 
circulación podrá conceder permisos de circulación temporales y provisionales en 
los términos que se determine reglamentariamente.»
Disposición final novena. Naturaleza de la ley.
Esta ley tiene el carácter de Ley Orgánica. No obstante, tienen carácter ordinario:
a) El capítulo VI.
b) El capítulo VII.
c) El capítulo VIII.
d) Las disposiciones finales segunda, sexta, séptima y octava.
Disposición final décima. Título competencial.
Esta Ley Orgánica se dicta al amparo de las reglas 1.ª, 6.ª, 18.ª y 29.ª del artículo 149.1 
de la Constitución, que atribuyen al Estado las competencias exclusivas, respectivamente, 
para la regulación de las condiciones básicas que garanticen la igualdad de todos los 
españoles en el ejercicio de los derechos y en el cumplimiento de los deberes 
constitucionales; respecto a las bases del régimen jurídico de las Administraciones 
Públicas, el procedimiento administrativo común y en relación al sistema de responsabilidad 
de todas las Administraciones públicas; sobre legislación penal, penitenciaria, procesal; y 
en materia de seguridad pública.
Disposición final undécima. Incorporación del Derecho de la Unión Europea.
Mediante esta Ley Orgánica se incorpora al ordenamiento jurídico español la 
Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, 
relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos 
personales por parte de las autoridades competentes para fines de prevención, detección, 
investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones 
penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión 
Marco 2008/977/JAI del Consejo.
Disposición final duodécima. Entrada en vigor.
Esta Ley Orgánica entrará en vigor a los veinte días de su publicación en el «Boletín 
Oficial del Estado».
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
BOLETÍN OFICIAL DEL ESTADO
Núm. 126  Jueves 27 de mayo de 2021  Sec. I.   Pág. 64152
No obstante, las previsiones contenidas en el capítulo IV producirán efectos a los seis 
meses de la entrada en vigor de la Ley Orgánica.
Por tanto,
Mando a todos los españoles, particulares y autoridades, que guarden y hagan guardar 
esta ley orgánica.
Madrid, 26 de mayo de 2021.
FELIPE R.
El Presidente del Gobierno,
PEDRO SÁNCHEZ PÉREZ-CASTEJÓN
cve: BOE-A-2021-8806
Verificable en https://www.boe.es
https://www.boe.es  BOLETÍN OFICIAL  DEL  ESTADO D. L.: M-1/1958 - ISSN: 0212-033X