Principios del RGPD: el art. 5 explicado para oposiciones

Los principios del art. 5 del RGPD (Reglamento UE 2016/679) son la regla de fondo de cualquier tratamiento de datos personales. No dicen solo cuándo puede tratarse un dato, sino cómo debe hacerse: con finalidad clara, los mínimos datos necesarios, exactitud, seguridad, plazo limitado y capacidad de demostrar el cumplimiento. En España se completan con el Título II de la LO 3/2018 LOPDGDD. Esta guía recoge los 7 principios con su jurisprudencia troncal del TJUE, la doctrina de la AEPD y los errores típicos del examen.

Marco normativo

Diferencia clave: principios (art. 5) vs bases (art. 6)

Trampa típica: pensar que tener una base jurídica del art. 6 basta. No basta. Hay que cumplir los principios del art. 5 simultáneamente.

Los 7 principios del art. 5

Principio 1 — Licitud, lealtad y transparencia (art. 5.1.a)

Licitud

Conexión con el art. 6 RGPD (6 bases jurídicas). Pero la licitud no se agota en la base: debe cumplirse también la lealtad (sin engaño) y la transparencia (información clara).

Lealtad

No usar los datos para fines sorpresivos o engañosos. Ejemplo: recoger correos para gestionar una inscripción y revenderlos a un tercero sin información previa = ilícito.

Transparencia — arts. 12-14 RGPD

STJUE relevante

• STJUE Planet49 (C-673/17, 2019): información clara sobre cookies y consentimiento.
• STJUE Schufa (C-634/21, 2023): transparencia sobre decisiones automatizadas.

Principio 2 — Limitación de la finalidad (art. 5.1.b)

Excepciones — usos NO incompatibles

"El tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales, de acuerdo con el artículo 89, apartado 1."

Trampa típica: estos usos NO se consideran incompatibles, no que sean libres. Exigen las garantías del art. 89.1 (seudonimización, medidas de minimización, etc.).

Principio 3 — Minimización (art. 5.1.c)

"Adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados."

Conexión con privacy by design — art. 25 RGPD

"Protección de datos por defecto": por defecto deben tratarse la mínima cantidad de datos, durante el mínimo plazo y con la mínima accesibilidad necesaria.

Principio 4 — Exactitud (art. 5.1.d)

Principio 5 — Limitación del plazo de conservación (art. 5.1.e)

Bloqueo de datos (LOPDGDD)

Principio 6 — Integridad y confidencialidad (art. 5.1.f)

Medidas del art. 32 RGPD

• Seudonimización y cifrado.
• Garantía permanente de confidencialidad, integridad, disponibilidad y resiliencia.
• Restauración rápida tras incidentes.
• Pruebas periódicas de eficacia.

Principio 7 — Responsabilidad proactiva (art. 5.2)

"El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)."

Cómo demostrarlo

Conexión con la LOPDGDD

El art. 9 LOPDGDD — matiz importante

Sanciones por incumplimiento de los principios

Las sanciones por vulneración del art. 5 RGPD están en la categoría más alta (art. 83.5 RGPD).

Casos prácticos

Caso 1 — Ayuntamiento con padrón

Ayuntamiento que mantiene datos de padrón sin actualizar durante 10 años.

Caso 2 — Empresa con CCTV

Empresa instala cámaras grabando con audio en todo el local.

Caso 3 — Reutilización con fines de investigación

Hospital quiere usar datos de pacientes para investigación científica.

Seis trampas reales del examen

1. "Licitud equivale a consentimiento" — Falso. Es una de las 6 bases del art. 6 RGPD. Puede haber otras (contrato, obligación legal, interés público, interés legítimo, intereses vitales).
2. "Tener base jurídica basta para el cumplimiento RGPD" — Falso. Hay que cumplir simultáneamente los 7 principios del art. 5.
3. "Los usos con fines de investigación son libres" — Falso. No son incompatibles, pero exigen las garantías del art. 89 (seudonimización, etc.).
4. "Seudonimizar equivale a anonimizar" — Falso. El dato seudonimizado sigue siendo dato personal (puede reidentificarse con información adicional); el anonimizado no.
5. "La responsabilidad proactiva exige solo no infringir" — Falso. Exige cumplir y poder demostrarlo (registros, EIPD, contratos, formación, brechas...).
6. "El bloqueo de datos es lo mismo que la supresión" — Falso. El bloqueo es figura LOPDGDD: impide tratamiento ordinario pero conserva datos a disposición de jueces, Fiscal o Administraciones competentes.

Reformas y novedades

• eIDAS 2 (Reglamento UE 2024/1183) — identidad digital con tratamiento de datos.
• AI Act (Reglamento UE 2024/1689) — IA con tratamiento de datos.
• DSA (Reglamento UE 2022/2065) — servicios digitales.
• Directrices CEPD/EDPB 2024-2026 — actualizaciones interpretativas.

Fuentes oficiales

• BOE/DOUE: RGPD — texto oficial.
• BOE: LO 3/2018 LOPDGDD — adaptación nacional.
• AEPD: principios del tratamiento — guía oficial.
• STJUE Planet49 (C-673/17) — transparencia y consentimiento.
• Directrices EDPB — interpretación europea.

Posts hermanos

• Bases jurídicas del tratamiento: art. 6 RGPD
• Derechos digitales del Título X LOPDGDD
• Brecha de seguridad de datos: plazo de 72 horas
• Identificación personal en la vía pública: art. 16 LOPSC
• DNI, pasaporte y deber de identificación: arts. 8-13 LOPSC
• Despachos de detectives privados: Ley 5/2014
• Temario Policía Nacional 2026

Guía revisada el 27 de mayo de 2026 con el art. 5 RGPD (UE 2016/679), la LO 3/2018 LOPDGDD (Título II), las STJUE Planet49 (C-673/17) y Schufa (C-634/21) y las directrices del Comité Europeo de Protección de Datos.