Por Diego 
En intervención social, educación, sanidad o empleo, hay una frase que aparece constantemente: eso no te lo puedo dar por la LOPD. Muchas veces se dice con buena intención. Otras, por miedo. Y otras, sencillamente, porque suena serio y parece que así se cierra la conversación.
El problema es que en no pocas ocasiones se invoca la protección de datos sin saber realmente qué regula la ley, qué no regula y, sobre todo, qué permite.
Este artículo pretende aclararlo de forma sencilla y práctica.
¿Qué es realmente la LOPD?
En España, la norma clave ya no es la antigua LOPD de 1999. Desde 2018 el marco jurídico es:
- El Reglamento (UE) 2016/679, conocido como RGPD.
- La Ley Orgánica 3/2018, que adapta el RGPD al ordenamiento español y desarrolla algunos aspectos concretos.
Cuando alguien habla de “la LOPD”, normalmente se refiere a este conjunto normativo, aunque muchas veces lo haga con conceptos desactualizados.
¿Qué protege la normativa de protección de datos?
La ley protege los datos personales, es decir, cualquier información que identifique o pueda identificar a una persona física.
Ejemplos claros:
- Nombre y apellidos.
- DNI.
- Teléfono.
- Dirección.
- Historia social.
- Datos de salud.
- Situación económica.
- Imágenes.
No protege:
- Datos de personas jurídicas.
- Información completamente anonimizada.
- Opiniones generales sin referencia identificable.
El objetivo no es ocultar información por sistema. El objetivo es proteger los derechos y libertades de las personas, especialmente su intimidad.
Principios básicos que sí debemos conocer
El RGPD establece principios muy concretos. Entre los más importantes:
- Licitud, lealtad y transparencia.
- Limitación de la finalidad.
- Minimización de datos.
- Exactitud.
- Limitación del plazo de conservación.
- Integridad y confidencialidad.
- Responsabilidad proactiva.
Esto significa que no basta con no contarlo. Hay que saber por qué tratamos datos, para qué, con qué base legal y cómo los protegemos.
El gran malentendido dentro de las entidades
Aquí viene uno de los puntos más relevantes en el ámbito social.
Es relativamente frecuente que dentro de la misma entidad:
- Se niegue información a compañeros.
- Se bloqueen expedientes.
- Se alegue protección de datos como excusa para no compartir información necesaria para la intervención.
Pero la ley no prohíbe el intercambio interno de datos cuando:
- Existe una finalidad legítima.
- La persona trabajadora necesita esos datos para el desempeño de sus funciones.
- Todos han firmado acuerdos de confidencialidad.
- La entidad actúa como responsable del tratamiento.
Si un profesional necesita determinada información para atender correctamente a una persona usuaria, el intercambio interno puede ser perfectamente legal. Lo que no es legal es compartir datos sin justificación o por mera curiosidad.
Confundir confidencialidad con incomunicación es un error operativo y jurídico.
¿Qué base legal permite tratar datos?
El RGPD establece varias bases jurídicas. Las más habituales en el ámbito social son:
- Cumplimiento de una obligación legal.
- Ejecución de una misión realizada en interés público.
- Ejecución de un contrato.
- Consentimiento.
- Protección de intereses vitales.
En servicios sociales, orientación laboral o intervención comunitaria, muchas veces la base no es el consentimiento, sino la misión de interés público o la obligación legal.
Esto es importante, porque demuestra que el tratamiento de datos no siempre depende de si me firma el papel. Depende del marco jurídico que legitima la actuación.
Datos especialmente protegidos
Los datos de salud, ideología, religión, orientación sexual, origen étnico o afiliación sindical tienen una protección reforzada.
Pero protección reforzada no significa prohibición absoluta. Significa que:
- Solo pueden tratarse si existe habilitación legal clara.
- Deben aplicarse medidas técnicas y organizativas más estrictas.
En intervención social, trabajamos continuamente con este tipo de datos. La clave no es evitar tratarlos, sino hacerlo correctamente.
El Reglamento que desarrolla la ley
Antes del RGPD existía el Real Decreto 1720/2007, que desarrollaba la antigua LOPD de 1999.
Ese reglamento ya no está vigente como marco principal, porque el RGPD es directamente aplicable en todos los Estados miembros de la Unión Europea.
Hoy el desarrollo práctico se articula a través de:
- El propio RGPD.
- La Ley Orgánica 3/2018.
- Criterios e instrucciones de la Agencia Española de Protección de Datos.
Es decir, el sistema actual es más europeo y menos reglamentista que antes.
Errores habituales en la práctica profesional
Algunos ejemplos reales que conviene cuestionar:
- Negarse a compartir información con otro profesional del mismo equipo sin analizar si es necesaria para la intervención.
- Exigir consentimiento cuando existe base legal suficiente.
- Guardar datos eternamente por si acaso.
- Utilizar la protección de datos como argumento para evitar conflictos internos.
- Creer que la protección de datos impide coordinarse.
La normativa no está diseñada para bloquear la acción social, sino para hacerla responsable.
Confidencialidad no es secretismo
Todos firmamos cláusulas de confidencialidad. Eso significa que:
- No podemos divulgar datos fuera del marco profesional.
- Debemos proteger la información frente a terceros.
- Debemos usarla solo para la finalidad prevista.
No significa:
- Ocultar información a compañeros que la necesitan.
- Crear compartimentos estancos dentro de la misma organización.
- Convertir la ley en una barrera defensiva.
La ley protege a la persona usuaria, no las dinámicas de poder internas.
Cuando la ley no es el problema, sino su desconocimiento
La protección de datos es una herramienta de garantía de derechos, no un escudo para el miedo o la desinformación.
Invocar “la LOPD” sin saber qué dice realmente:
- Genera inseguridad.
- Dificulta la intervención.
- Debilita el trabajo en equipo.
- Puede llevar incluso a malas prácticas.
Como profesionales, nuestra responsabilidad no es repetir fórmulas, sino entender el marco legal que regula nuestra intervención.
La pregunta no debería ser ¿puedo compartir esto?. La pregunta correcta es: ¿tengo base legal y finalidad legítima para tratar este dato en el ejercicio de mis funciones?”. Si la respuesta es sí, la ley no es el problema. Es el desconocimiento.