🗂️ Tema 12: Ley Orgánica 3/2018 de protección de datos en los servicios de emergencias

Diputación Provincial de Ávila · Servicio de Prevención, Extinción de Incendios y Salvamento (SPEIS) · Bombero/a-Conductor

Resumen

Tema 12 del bloque I del anexo I de las bases (BOP de Ávila núm. 239, 12/12/2025). Epígrafe oficial: «Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y su incidencia en los Servicios de Emergencias». Los principios, los derechos de las personas y los derechos digitales en general se estudian en el tema 4; aquí se ve el resto de la ley (bases de licitud de las administraciones, responsable y encargado, seguridad, delegado, videovigilancia, régimen de las administraciones públicas) y cómo se aplica a un servicio de bomberos. Se usa el texto consolidado de la LO 3/2018 (última actualización publicada en el BOE el 27/12/2025, por la Ley 10/2025) y el Reglamento (UE) 2016/679 (RGPD) con sus correcciones de errores de 2018 y 2021.

Bases de licitud en una emergencia. Un tratamiento solo es lícito si encaja en alguna base del art. 6.1 RGPD. Para un servicio público de bomberos las principales son la misión realizada en interés público o en el ejercicio de poderes públicos (letra e) y la protección de intereses vitales del interesado o de otra persona física (letra d). La LO 3/2018 exige que la misión de interés público derive de una competencia atribuida por una norma con rango de ley (art. 8.2) y que la obligación legal esté prevista en una norma de la Unión o con rango de ley (art. 8.1). El interés legítimo (letra f) no se aplica a las autoridades públicas en el ejercicio de sus funciones. Según el considerando 46 del RGPD, el interés vital de otra persona solo debe usarse cuando el tratamiento no pueda basarse manifiestamente en otra base, y pone como ejemplo las emergencias humanitarias por catástrofes naturales o de origen humano.

Datos de salud. Los datos relativos a la salud (art. 4.15 RGPD: los que revelan información sobre el estado de salud física o mental, incluida la atención sanitaria) son categoría especial y su tratamiento está prohibido salvo excepción (art. 9.1). En una intervención la excepción clave es el art. 9.2.c: proteger intereses vitales del interesado o de otra persona cuando el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento (persona inconsciente, atrapada, desorientada). Los tratamientos de las letras g), h) e i) del art. 9.2 fundados en el Derecho español deben ampararse en una norma con rango de ley (art. 9.2 LO 3/2018), y la disposición adicional decimoséptima enumera las leyes que ya los amparan (General de Sanidad, Prevención de Riesgos Laborales, autonomía del paciente, General de Salud Pública, etc.).

Deber de secreto y personal. Todos los que intervienen en cualquier fase del tratamiento (también el bombero que conoce datos de una víctima) están sujetos al deber de confidencialidad, que es complementario del secreto profesional y continúa tras dejar el puesto (art. 5 LO 3/2018). El encargado y cualquier persona que actúe bajo la autoridad del responsable solo tratan los datos siguiendo instrucciones del responsable (art. 29 RGPD). Los datos de contacto y del puesto de quienes trabajan en una persona jurídica pueden tratarse, y las administraciones del art. 77.1 pueden hacerlo cuando derive de una obligación legal o de sus competencias (art. 19 LO 3/2018).

Responsable y encargado. Responsable es quien determina los fines y medios del tratamiento; encargado, quien trata datos por cuenta del responsable (art. 4.7 y 4.8 RGPD); su relación se rige por un contrato u otro acto jurídico por escrito (art. 28 RGPD). El acceso del encargado no es comunicación de datos; quien, figurando como encargado, use los datos para sus propias finalidades pasa a ser responsable; al acabar el servicio, el responsable decide si los datos se destruyen, se devuelven o se entregan a otro encargado (art. 33 LO 3/2018). En el sector público las funciones de encargado pueden atribuirse a un órgano mediante una norma reguladora. Las administraciones deben llevar el registro de actividades de tratamiento y hacer público un inventario accesible por medios electrónicos con su base legal (art. 31). Los datos se bloquean cuando se rectifican o suprimen (art. 32).

Seguridad, brechas y evaluación de impacto. Responsable y encargado aplican medidas técnicas y organizativas adecuadas al riesgo, como la seudonimización y el cifrado (art. 32 RGPD). Una violación de seguridad (destrucción, pérdida, alteración, comunicación o acceso no autorizados) se notifica a la autoridad de control sin dilación indebida y, si es posible, en 72 horas; el encargado avisa al responsable sin dilación; si hay alto riesgo se comunica también al interesado, salvo, por ejemplo, que los datos estuvieran cifrados (arts. 33 y 34). La evaluación de impacto es obligatoria, entre otros casos, para el tratamiento a gran escala de categorías especiales y para la observación sistemática a gran escala de una zona de acceso público (art. 35.3), y si muestra un alto riesgo no mitigado hay consulta previa a la autoridad, que responde en ocho semanas prorrogables seis (art. 36). La LO 3/2018 añade la lista de situaciones de mayor riesgo del art. 28.2 (categorías especiales, menores y personas con discapacidad, tratamientos masivos...).

Delegado de protección de datos y videovigilancia. Toda autoridad u organismo público, salvo los tribunales en función judicial, debe designar un delegado (art. 37.1.a RGPD), que puede ser único para varios organismos, no recibe instrucciones y rinde cuentas al más alto nivel jerárquico (art. 38). Las cámaras con fines de seguridad solo pueden captar la vía pública en lo imprescindible, nunca el interior de un domicilio privado; las imágenes se suprimen en un mes salvo que deban conservarse para acreditar actos contra personas, bienes o instalaciones, y se informa con un dispositivo en lugar visible (art. 22 LO 3/2018). El vuelo de drones con cámara no tiene artículo propio en la ley; se le aplican las reglas generales y, si supone observar de forma sistemática y a gran escala zonas públicas, la evaluación de impacto del art. 35.3.c RGPD.

Las administraciones como responsables y los derechos digitales del personal. La Administración local, los consorcios y los demás sujetos del art. 77.1 no reciben multas: la autoridad de protección de datos dicta resolución declarando la infracción y las medidas para corregirla, puede proponer actuaciones disciplinarias, amonestar con la denominación del cargo y ordenar su publicación en el boletín oficial, y comunica lo actuado al Defensor del Pueblo (art. 77). Los bomberos, como empleados públicos, tienen derecho a la intimidad en los dispositivos que les da el empleador, a la desconexión digital, a que no haya cámaras ni grabación de sonido en vestuarios, aseos, comedores o lugares de descanso y a ser informados de forma expresa, clara e inequívoca antes de usar geolocalización (arts. 87 a 91).

El 112 y la Ley 17/2015. La AEPD, en su informe 010/2026 sobre el acceso del Servicio de Emergencias del Principado de Asturias a los datos de abonados, recuerda que la Ley 11/2022 General de Telecomunicaciones (art. 74.6) aplica el RGPD y la LO 3/2018 a las comunicaciones de emergencia y que, por el principio de minimización, el acceso a los datos de los abonados debe ser reactivo, puntual y posterior a una llamada concreta, no una entrega masiva. La Ley 17/2015 del Sistema Nacional de Protección Civil, en su art. 7 bis, regula el deber de colaboración: la entrada en un domicilio y la evacuación de personas en peligro se rigen por el art. 15.2 de la LO 4/2015 de seguridad ciudadana, y las medidas restrictivas de derechos duran solo el tiempo estrictamente necesario.

Claves para el examen

• Bases de licitud típicas de un servicio de bomberos: misión de interés público (art. 6.1.e RGPD) e intereses vitales (art. 6.1.d).
• La misión de interés público debe derivar de una competencia atribuida por norma con rango de ley (art. 8.2 LO 3/2018).
• El interés legítimo no vale para autoridades públicas en el ejercicio de sus funciones (art. 6.1 RGPD).
• Datos de salud de una víctima inconsciente: art. 9.2.c RGPD (interés vital, interesado incapaz de consentir).
• Deber de confidencialidad para todos los que intervienen; complementa el secreto profesional (art. 5 LO 3/2018).
• El acceso del encargado no es comunicación de datos; si usa los datos para sus fines, pasa a ser responsable (art. 33).
• Brecha de seguridad: a la autoridad de control en 72 horas si es posible (art. 33 RGPD); al interesado si hay alto riesgo (art. 34).
• Evaluación de impacto obligatoria en la observación sistemática a gran escala de una zona de acceso público (art. 35.3.c RGPD).
• Consulta previa: la autoridad asesora en ocho semanas, prorrogables seis (art. 36.2 RGPD).
• Toda autoridad u organismo público designa delegado de protección de datos, salvo los tribunales en función judicial (art. 37.1.a RGPD).
• Videovigilancia: imágenes suprimidas en un mes; nunca el interior de un domicilio (art. 22 LO 3/2018).
• A las administraciones no se les multa: resolución declarando la infracción, posibles actuaciones disciplinarias y comunicación al Defensor del Pueblo (art. 77).
• Geolocalización del personal: información previa, expresa, clara e inequívoca (art. 90).
• 112: acceso a los datos de abonados reactivo y posterior a la llamada, por minimización (AEPD, informe 010/2026).

Vídeos recomendados

• Curso completo - Ley Orgánica 3/2018 de protección de datos personales

← Tema 11 · Tema 13 →

📲 Compártelo con tu grupo de la oposición: WhatsApp · Telegram · Copiar enlace