Los principios del art. 5 del RGPD (Reglamento UE 2016/679) son la regla de fondo de cualquier tratamiento de datos personales. No dicen solo cuándo puede tratarse un dato, sino cómo debe hacerse: con finalidad clara, los mínimos datos necesarios, exactitud, seguridad, plazo limitado y capacidad de demostrar el cumplimiento. En España se completan con el Título II de la LO 3/2018 LOPDGDD. Esta guía recoge los 7 principios con su jurisprudencia troncal del TJUE, la doctrina de la AEPD y los errores típicos del examen.
Marco normativo
| Norma | Contenido |
|---|---|
| Reglamento (UE) 2016/679 RGPD | Marco europeo |
| Art. 5 RGPD | Principios del tratamiento |
| Art. 6 RGPD | Bases jurídicas |
| Art. 9 RGPD | Categorías especiales |
| Art. 10 RGPD | Datos penales |
| Arts. 12-14 RGPD | Información y transparencia |
| Arts. 25-32 RGPD | Diseño, obligaciones del responsable y del encargado, seguridad |
| Arts. 33-34 RGPD | Notificación de brechas |
| Arts. 35-36 RGPD | EIPD y consulta previa |
| Arts. 37-39 RGPD | DPD |
| LO 3/2018 LOPDGDD, arts. 4-10 | Adaptaciones nacionales |
| STJUE varias | Doctrina troncal |
| AEPD: guías | Doctrina nacional |
Diferencia clave: principios (art. 5) vs bases (art. 6)
| Aspecto | Principios (art. 5) | Bases (art. 6) |
|---|---|---|
| Naturaleza | Regla de fondo cómo se trata | Justificación de licitud |
| Pregunta | ¿Cómo se trata? | ¿Por qué/con qué título? |
| Cumplimiento | Todos los 7 | Al menos una |
| Sanción | Hasta 20 M € o 4 % volumen global | Idem |
| Coexistencia | Necesarios ambos | Idem |
Trampa típica: pensar que tener una base jurídica del art. 6 basta. No basta. Hay que cumplir los principios del art. 5 simultáneamente.
Arts. 5 y 6 RGPD · dos preguntas distintas
La llave abre; las reglas siguen dentro
la llave: una base del art. 6las reglas de dentro: los siete del art. 51¿Con qué título?
Una de las seis bases del art. 6. Basta una, y tiene que existir antes de empezar.
2¿Cómo se trata?
Con los siete principios del art. 5 a la vez, de la recogida a la supresión.
3¿Puedo demostrarlo?
La responsabilidad proactiva (art. 5.2): registro, análisis de riesgos y, si hay alto riesgo, evaluación de impacto.
Los 7 principios del art. 5
| Principio | Apartado | Idea nuclear |
|---|---|---|
| Licitud, lealtad y transparencia | 5.1.a | Base jurídica + sin engaño + información clara |
| Limitación de la finalidad | 5.1.b | Fines determinados, explícitos y legítimos |
| Minimización de datos | 5.1.c | Adecuados, pertinentes y limitados a lo necesario |
| Exactitud | 5.1.d | Datos exactos y actualizados |
| Limitación del plazo de conservación | 5.1.e | Solo el tiempo necesario en forma identificable |
| Integridad y confidencialidad | 5.1.f | Seguridad técnica y organizativa |
| Responsabilidad proactiva | 5.2 | Cumplir + poder demostrarlo |
Art. 5 RGPD · los siete, en un formulario
Principio 1 — Licitud, lealtad y transparencia (art. 5.1.a)
Licitud
Conexión con el art. 6 RGPD (6 bases jurídicas). Pero la licitud no se agota en la base: debe cumplirse también la lealtad (sin engaño) y la transparencia (información clara).
Lealtad
No usar los datos para fines sorpresivos o engañosos. Ejemplo: recoger correos para gestionar una inscripción y revenderlos a un tercero sin información previa = ilícito.
Transparencia — arts. 12-14 RGPD
| Requisito | Detalle |
|---|---|
| Información | Concisa, transparente, inteligible, de fácil acceso |
| Lenguaje | Claro y sencillo, especialmente para menores |
| Modalidad | Por escrito o por otros medios |
| Datos directos del interesado | Art. 13 RGPD |
| Datos de fuente distinta | Art. 14 RGPD (en plazo razonable, máx 1 mes) |
STJUE relevante
- STJUE Planet49 (C-673/17, 2019): información clara sobre cookies y consentimiento.
- STJUE Schufa (C-634/21, 2023): transparencia sobre decisiones automatizadas.
Arts. 13 y 14 RGPD · informar en el acto o en un mes
Principio 2 — Limitación de la finalidad (art. 5.1.b)
| Requisito | Detalle |
|---|---|
| Fines determinados | Concretos, no genéricos |
| Fines explícitos | Comunicados al interesado |
| Fines legítimos | Conformes al ordenamiento |
| No usos ulteriores incompatibles | Salvo excepciones |
Excepciones — usos NO incompatibles
"El tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales, de acuerdo con el artículo 89, apartado 1."
| Finalidad ulterior | Régimen |
|---|---|
| Archivo en interés público | Compatible con garantías art. 89.1 |
| Investigación científica/histórica | Idem |
| Estadística | Idem |
Trampa típica: estos usos NO se consideran incompatibles, no que sean libres. Exigen las garantías del art. 89.1 (seudonimización, medidas de minimización, etc.).
Arts. 5.1.b y 6.4 RGPD · el fin ulterior
El mismo dato, otro fin: ¿cabe?
el fin con el que se recogióinvestigar: compatible, con garantíaspublicidad: otro finLo que se pesa para saber si el nuevo fin es compatible (art. 6.4)
a
Relación
Qué tienen que ver el fin inicial y el nuevo.
b
Contexto
Cómo se recogieron y qué relación hay con el responsable.
c
Naturaleza
Si son categorías especiales (art. 9) o datos penales (art. 10).
d
Consecuencias
Qué puede pasarle al interesado con el nuevo uso.
e
Garantías
Cifrado o seudonimización, por ejemplo.
Principio 3 — Minimización (art. 5.1.c)
"Adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados."
Art. 5.1.c RGPD · tres filtros
La maleta mínima
lo necesario para el fin«por si acaso»: fuera| Sub-principio | Detalle |
|---|---|
| Adecuación | Aptos para el fin |
| Pertinencia | Relevantes para el fin |
| Limitación a lo necesario | No más datos de los necesarios |
Tres preguntas a cada dato
1
¿Sirve para el fin?
Adecuado. Para aplicar el descuento de mayores de 65 años hay que conocer la edad.
2
¿Tiene que ver?
Pertinente. El estado civil no dice nada sobre quién puede reservar una pista del polideportivo.
3
¿Hace falta tanto?
Limitado a lo necesario. Para el descuento basta comprobar la edad; no hay que guardar una copia del DNI.
Conexión con privacy by design — art. 25 RGPD
"Protección de datos por defecto": por defecto deben tratarse la mínima cantidad de datos, durante el mínimo plazo y con la mínima accesibilidad necesaria.
Art. 25.2 RGPD · por defecto, lo mínimo
Principio 4 — Exactitud (art. 5.1.d)
| Requisito | Detalle |
|---|---|
| Exactos | Correctos en el momento del tratamiento |
| Actualizados | Cuando proceda |
| Medidas razonables | Para suprimir o rectificar inexactos |
| Conexión | Derecho de rectificación (art. 16 RGPD) |
Principio 5 — Limitación del plazo de conservación (art. 5.1.e)
| Aspecto | Detalle |
|---|---|
| Plazo | Solo durante el tiempo necesario |
| En forma identificable | Una vez no necesario, anonimizar o suprimir |
| Excepción | Conservación con fines de archivo, investigación científica o estadística |
| Bloqueo (LOPDGDD) | Cuando deba impedirse tratamiento ordinario pero conservarse a disposición de jueces, Fiscal o Administraciones |
Bloqueo de datos (LOPDGDD)
| Aspecto | Detalle |
|---|---|
| Cuándo | Al rectificar o suprimir datos, para atender posibles responsabilidades derivadas del tratamiento |
| Acceso | Solo a tribunales, Fiscal y Administraciones competentes |
| Plazo | Hasta cumplimiento del plazo de prescripción |
| Después | Supresión efectiva |
Art. 32 LOPDGDD · bloquear antes de destruir
El bloqueo no llega solo tras la supresión: también al rectificar (art. 32.1).
Principio 6 — Integridad y confidencialidad (art. 5.1.f)
| Requisito | Detalle |
|---|---|
| Seguridad técnica | Cifrado, seudonimización, control de acceso |
| Seguridad organizativa | Políticas, formación, contratos con encargados |
| Protección frente a | Acceso no autorizado, pérdida, destrucción, daño accidental |
| Conexión | Art. 32 RGPD (seguridad del tratamiento) |
Medidas del art. 32 RGPD
- Seudonimización y cifrado.
- Garantía permanente de confidencialidad, integridad, disponibilidad y resiliencia.
- Restauración rápida tras incidentes.
- Pruebas periódicas de eficacia.
Principio 7 — Responsabilidad proactiva (art. 5.2)
Lo que se pregunta tal cual
El literal, subrayado como en el temario
RGPD · Art. 5.2
"El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)."
- No basta con cumplir: el responsable tiene que poder probarlo ante la autoridad.
- El art. 24.1 lo desarrolla: medidas técnicas y organizativas apropiadas para garantizar y poder demostrar el cumplimiento, revisadas y actualizadas cuando haga falta.
Cómo demostrarlo
| Instrumento | Detalle |
|---|---|
| Registro de actividades del tratamiento (RAT) | Art. 30 RGPD |
| Análisis de riesgos | Para todos los tratamientos |
| Evaluación de impacto (EIPD) | Art. 35 si alto riesgo |
| Contratos con encargados | Art. 28 RGPD |
| Privacy by design | Art. 25 |
| Designación de DPD | Art. 37 RGPD |
| Notificación de brechas | Art. 33 (a AEPD en 72h) + art. 34 (al interesado) |
| Códigos de conducta y certificaciones | Arts. 40-43 |
Conexión con la LOPDGDD
| Artículo LOPDGDD | Materia | Conexión RGPD |
|---|---|---|
| Art. 4 | Exactitud | Principio 4 |
| Art. 5 | Deber de confidencialidad | Principio 6 |
| Art. 6 | Consentimiento | Base jurídica |
| Art. 7 | Consentimiento de menores | Edad 14 años |
| Art. 8 | Tratamiento por obligación legal, interés público o poderes públicos | Bases 6.1.c y 6.1.e |
| Art. 9 | Categorías especiales | Art. 9 RGPD |
| Art. 10 | Datos penales | Art. 10 RGPD |
El art. 9 LOPDGDD — matiz importante
| Aspecto | Detalle |
|---|---|
| Categorías especiales del art. 9.1 RGPD | Régimen estricto |
| Consentimiento explícito | No basta cuando la finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico |
| Excepciones del art. 9.2 RGPD | Aplican con cautela |
Sanciones por incumplimiento de los principios
| Tipo | Cuantía |
|---|---|
| Muy graves (vulneración de principios) | Hasta 20 millones € o 4 % volumen de negocio global, la cifra superior |
| Graves | Hasta 10 millones € o 2 % |
| Concurso con otras normas | Acumulativo |
Las sanciones por vulneración del art. 5 RGPD están en la categoría más alta (art. 83.5 RGPD).
Arts. 72 a 77 LOPDGDD · quién paga multa y quién no
Por eso el Ayuntamiento del caso 1 no se arriesga a 20 millones: a las Administraciones se les declara la infracción y se les ordenan medidas (art. 77.2), sin multa.
Casos prácticos
Caso 1 — Ayuntamiento con padrón
Ayuntamiento que mantiene datos de padrón sin actualizar durante 10 años.
| Pregunta | Respuesta |
|---|---|
| ¿Vulnera algún principio? | Exactitud (5.1.d) y plazo de conservación (5.1.e) |
| ¿Base jurídica? | Sí, obligación legal (Ley 7/1985) |
| ¿Sigue siendo lícito? | No, porque vulnera principios del art. 5 |
| ¿Sanción AEPD? | Declaración de infracción y posibles medidas correctoras, sin multa (art. 77.2 LOPDGDD) |
Caso 2 — Empresa con CCTV
Empresa instala cámaras grabando con audio en todo el local.
| Pregunta | Respuesta |
|---|---|
| ¿Principios vulnerados? | Minimización (5.1.c) — el audio excede lo necesario |
| Lugares prohibidos | Vestuarios, comedores (art. 89 LOPDGDD) |
| ¿Información previa? | Obligatoria por transparencia (5.1.a) |
| ¿Plazo de conservación de grabaciones? | Máximo un mes desde su captación, salvo conservación para acreditar actos contra personas, bienes o instalaciones (art. 22.3 LOPDGDD) |
Art. 22 LOPDGDD · la cámara del caso 2
El plazo es de un mes desde la captación (art. 22.3), no de «30 días». Y grabar sonido en el trabajo solo cabe si hay riesgos relevantes para la seguridad, con proporcionalidad e intervención mínima (art. 89.3).
Caso 3 — Reutilización con fines de investigación
Hospital quiere usar datos de pacientes para investigación científica.
| Pregunta | Respuesta |
|---|---|
| ¿Es uso ulterior incompatible? | No, art. 5.1.b RGPD lo admite con garantías del art. 89 |
| Garantías | Seudonimización, minimización, comité de ética |
| ¿Hace falta consentimiento? | Depende de la base jurídica del art. 6 y de la excepción aplicable del art. 9.2 RGPD; las salvaguardas técnicas no bastan por sí solas |
| ¿Base jurídica? | Interés público o consentimiento explícito según caso |
Seis trampas reales del examen
Cómo lo preguntan en el test
Las seis trampas, en la hoja de examen
Hoja de examenProtección de datos · principios
- "Licitud equivale a consentimiento" — Falso. Es una de las 6 bases del art. 6 RGPD. Puede haber otras (contrato, obligación legal, interés público, interés legítimo, intereses vitales).
- "Tener base jurídica basta para el cumplimiento RGPD" — Falso. Hay que cumplir simultáneamente los 7 principios del art. 5.
- "Los usos con fines de investigación son libres" — Falso. No son incompatibles, pero exigen las garantías del art. 89 (seudonimización, etc.).
- "Seudonimizar equivale a anonimizar" — Falso. El dato seudonimizado sigue siendo dato personal (puede reidentificarse con información adicional); el anonimizado no.
- "La responsabilidad proactiva exige solo no infringir" — Falso. Exige cumplir y poder demostrarlo (registros, EIPD, contratos, formación, brechas...).
- "El bloqueo de datos es lo mismo que la supresión" — Falso. El bloqueo es figura LOPDGDD: impide tratamiento ordinario pero conserva datos a disposición de jueces, Fiscal o Administraciones competentes.
Reformas y novedades
- eIDAS 2 (Reglamento UE 2024/1183) — identidad digital con tratamiento de datos.
- AI Act (Reglamento UE 2024/1689) — IA con tratamiento de datos.
- DSA (Reglamento UE 2022/2065) — servicios digitales.
- Directrices CEPD/EDPB 2024-2026 — actualizaciones interpretativas.
Fuentes oficiales
- BOE/DOUE: RGPD — texto oficial.
- BOE: LO 3/2018 LOPDGDD — adaptación nacional.
- AEPD: principios del tratamiento — guía oficial.
- STJUE Planet49 (C-673/17) — transparencia y consentimiento.
- Directrices EDPB — interpretación europea.
Posts hermanos
- Bases jurídicas del tratamiento: art. 6 RGPD
- Derechos digitales del Título X LOPDGDD
- Brecha de seguridad de datos: plazo de 72 horas
- Identificación personal en la vía pública: art. 16 LOPSC
- DNI, pasaporte y deber de identificación: arts. 8-13 LOPSC
- Despachos de detectives privados: Ley 5/2014
- Temario Policía Nacional 2026
Guía revisada el 27 de mayo de 2026 con el art. 5 RGPD (UE 2016/679), la LO 3/2018 LOPDGDD (Título II), las STJUE Planet49 (C-673/17) y Schufa (C-634/21) y las directrices del Comité Europeo de Protección de Datos.
Principio de minimización: ejemplo de examen
| Pregunta | Respuesta útil |
|---|---|
| ¿Qué datos pueden pedirse? | Los adecuados, pertinentes y limitados a lo necesario para la finalidad. |
| ¿Se puede pedir más «por si acaso»? | No; esa práctica exige revisar la minimización, además de la base jurídica. |
Ejemplo: una entidad solicita información que no necesita para el trámite declarado. El problema principal no es la exactitud, sino la adecuación y necesidad de los datos recogidos. Fuente oficial: artículo 5 RGPD.
