Principios del RGPD: 8 casos prácticos resueltos

Los principios del RGPD se entienden mejor cuando puedes señalar qué falla en una situación concreta. Pedir información innecesaria, mantener un dato que se sabe incorrecto y conservar identificaciones sin un motivo vigente no plantean exactamente la misma pregunta, aunque en un tratamiento real puedan coincidir varios problemas.

Esta práctica reúne ocho casos originales tipo test, con cuatro alternativas y una solución razonada por caso. Trabaja el artículo 5 del Reglamento (UE) 2016/679 y sus conexiones necesarias con los artículos 6 y 89.1. Las situaciones son ficticias y delimitadas para estudiar; no son instrucciones para decidir sobre expedientes reales ni preguntas de un examen oficial.

Un mapa del artículo 5 antes de empezar

Referencia	Pregunta que ayuda a reconocerla	Precisión para estudiar
5.1.a: licitud, lealtad y transparencia	¿Cómo se trata la información en relación con el interesado?	Una base de licitud no elimina la transparencia
5.1.b: limitación de la finalidad	¿Para qué se recogieron los datos y para qué se quieren usar después?	La prohibición se refiere al uso ulterior incompatible, con las previsiones del propio artículo
5.1.c: minimización	¿Qué datos hacen falta para el fin?	Interesante o disponible no significa necesario
5.1.d: exactitud	¿Son correctos para el fin que cumplen?	Incluye medidas razonables frente a inexactitudes y actualización si es necesaria
5.1.e: plazo de conservación	¿Cuánto tiempo debe mantenerse la identificación?	No hay un plazo único para todos los tratamientos
5.1.f: integridad y confidencialidad	¿Qué seguridad adecuada necesitan los datos?	Incluye pérdidas y daños accidentales
5.2: responsabilidad proactiva	¿Se cumple el apartado 1 y puede demostrarse?	Una declaración genérica no sustituye el cumplimiento

La tabla es una orientación de estudio. La referencia normativa es el artículo 5 del RGPD publicado en el BOE. La explicación de principios de la AEPD permite repasar las diferencias con otra formulación oficial.

Responde sin abrir las soluciones y anota el apartado que justifica tu elección. En cada enunciado se precisa qué aspecto se pregunta: identificar un principio no equivale a declarar conforme todo el tratamiento. No añadas una base jurídica, una obligación de conservación o una excepción que el supuesto no da por existente.

Caso 1. Los campos de un formulario

Un servicio recoge datos para una finalidad determinada y legítima. Se ha comprobado que tres campos del formulario no son necesarios para ella. La pregunta se limita al principio que exige ajustar los datos a lo necesario, sin valorar aquí el resto del tratamiento. ¿Cuál es?

• A. Exactitud.
• B. Limitación del plazo de conservación.
• C. Minimización de datos.
• D. Responsabilidad proactiva.

Ver respuesta y explicación del caso 1

Correcta: C. La cantidad y pertinencia de los datos deben responder al fin del tratamiento. Que un dato pueda resultar interesante no acredita que sea necesario para ese fin. El supuesto permite identificar la minimización sin inventar qué datos concretos necesita cada servicio.

A se refiere a la corrección de la información; B, al tiempo durante el que se mantiene identificable; D, al cumplimiento y a poder demostrarlo. Una recogida excesiva también puede revelar otros problemas, pero la pregunta pide el principio que limita los datos a lo necesario.

Referencia: artículo 5.1.c del RGPD.

Caso 2. Un dato que ya se sabe incorrecto

Un responsable verifica que el dato de contacto utilizado para una finalidad vigente es inexacto. No se discute la legitimidad de la recogida ni el plazo de conservación. ¿Qué exige específicamente el principio de exactitud?

• A. Adoptar todas las medidas razonables para suprimir o rectificar sin dilación los datos inexactos respecto de los fines del tratamiento.
• B. Mantener el dato sin cambios hasta la siguiente revisión anual, aunque ya se haya comprobado el error.
• C. Conservar siempre la primera versión porque fue la facilitada inicialmente.
• D. Borrar necesariamente todos los datos de esa persona, incluidos los que son exactos y necesarios.

Ver respuesta y explicación del caso 2

Correcta: A. La regla conecta la corrección del dato con los fines para los que se trata e incorpora las medidas razonables y la actuación sin dilación. No establece una actualización periódica universal con un intervalo fijo.

B permite aplazar arbitrariamente un error comprobado; C convierte la versión inicial en intocable; D extiende la medida a información que el caso no ha declarado inexacta. La opción correcta tampoco obliga a rectificar cualquier dato histórico solo porque la situación de la persona haya cambiado: importa qué debe representar ese dato para su finalidad.

Referencia: artículo 5.1.d del RGPD.

Caso 3. Utilizar los datos para otra finalidad

Se proyecta un uso posterior de datos recogidos para unos fines iniciales. Antes de resolver si ese nuevo uso es admisible, se pregunta qué principio del artículo 5 impide tratarlos ulteriormente de manera incompatible con aquellos fines. ¿Cuál?

• A. Exactitud.
• B. Integridad y confidencialidad.
• C. Limitación del plazo de conservación.
• D. Limitación de la finalidad.

Ver respuesta y explicación del caso 3

Correcta: D. La palabra decisiva es incompatible. La limitación de la finalidad relaciona los fines de recogida con el uso posterior; no equivale a afirmar que todo cambio de finalidad esté prohibido. El artículo 5.1.b contempla además determinados tratamientos ulteriores de archivo, investigación o estadística en las condiciones del artículo 89.1.

A trata de datos correctos; B, de seguridad; C, de duración de la identificación. Identificar D no resuelve por sí solo la base jurídica ni todas las condiciones del nuevo uso. El artículo 6.4 regula la valoración de compatibilidad en el supuesto que describe: no lo conviertas en una autorización automática para reutilizar cualquier fichero.

Referencia: artículo 5.1.b del RGPD.

Caso 4. Conservar por si acaso

Ha terminado la finalidad que justificaba mantener identificables unos datos. El supuesto excluye expresamente cualquier otra finalidad válida, obligación de conservación, régimen de bloqueo o excepción aplicable. Se propone guardarlos identificables para siempre, solo «por si acaso». ¿Qué principio limita directamente esa duración?

• A. Exactitud.
• B. Limitación del plazo de conservación.
• C. Limitación de la finalidad, entendida como prohibición de toda conservación.
• D. Integridad y confidencialidad, que autoriza conservar indefinidamente si el archivo está protegido.

Ver respuesta y explicación del caso 4

Correcta: B. La identificación no debe mantenerse más tiempo del necesario para los fines del tratamiento. El enunciado excluye otras razones de conservación para que puedas aislar esta regla. Un archivo seguro también necesita una duración justificada.

A no responde al tiempo; C inventa una prohibición absoluta; D presenta la seguridad como sustituto del límite temporal. No traslades este caso a una orden de destruir expedientes reales: antes habría que comprobar las obligaciones de conservación, el bloqueo y las reglas específicas aplicables. Aquí esas circunstancias se han excluido de forma expresa.

Referencia: artículo 5.1.e del RGPD.

Caso 5. Pérdida accidental sin revelación

Una organización sostiene que el principio de integridad y confidencialidad solo exige evitar que terceros lean datos. Afirma que la pérdida o destrucción accidental quedan fuera de él. Según el artículo 5.1.f, ¿qué respuesta es correcta?

• A. La afirmación es correcta si nadie ha divulgado la información.
• B. El principio también contempla la protección frente a pérdida, destrucción o daño accidental mediante medidas técnicas u organizativas apropiadas.
• C. Solo se aplica a documentos en papel, porque los archivos informáticos tienen otras reglas.
• D. Exige exactamente la misma tecnología de seguridad en todos los tratamientos.

Ver respuesta y explicación del caso 5

Correcta: B. El artículo incluye tanto el tratamiento no autorizado o ilícito como la pérdida, destrucción o daño accidental. Por eso puede existir una cuestión de seguridad aunque no se haya revelado información a un tercero. La AEPD explica este principio atendiendo también a integridad, disponibilidad y análisis de riesgos.

A recorta el alcance; C inventa una exclusión por soporte; D transforma la exigencia de medidas apropiadas en una receta tecnológica universal. El caso pregunta por el alcance del principio: no permite concluir qué medida concreta era exigible ni resolver por sí solo una eventual responsabilidad.

Referencia: artículo 5.1.f del RGPD.

Caso 6. «Cumplimos, pero no podemos demostrarlo»

Un responsable afirma que basta con cumplir materialmente los principios del artículo 5.1 y que el RGPD no le exige estar en condiciones de demostrarlo. ¿Qué establece el artículo 5.2?

• A. Que el cumplimiento solo debe poder demostrarse si existe consentimiento.
• B. Que una declaración genérica de cumplimiento sustituye siempre las medidas reales.
• C. Que el responsable queda liberado de esta exigencia si utiliza un proveedor.
• D. Que el responsable responde del cumplimiento del apartado 1 y debe ser capaz de demostrarlo.

Ver respuesta y explicación del caso 6

Correcta: D. Esta es la responsabilidad proactiva. Tiene dos componentes unidos: cumplir y poder demostrar el cumplimiento. No basta con elegir entre medidas reales y prueba de esas medidas; la norma exige ambos planos.

A restringe indebidamente la regla a una base jurídica; B confunde una declaración con cumplimiento demostrable; C elimina sin fundamento la responsabilidad por recurrir a un proveedor. Tampoco debe deducirse que todo tratamiento exige idénticos documentos o una evaluación de impacto: las obligaciones concretas tienen sus propios presupuestos, que esta pregunta no examina.

Referencia: artículo 5.2 del RGPD.

Caso 7. Información que no se entiende

El ejercicio da por satisfechas las demás condiciones del tratamiento y aísla una deficiencia: la información dirigida al interesado es deliberadamente opaca y no permite comprender cómo se tratarán sus datos. ¿Qué grupo de principios del artículo 5.1.a debes identificar?

• A. Licitud, lealtad y transparencia.
• B. Exactitud.
• C. Limitación del plazo de conservación.
• D. Minimización de datos.

Ver respuesta y explicación del caso 7

Correcta: A. La transparencia forma parte del grupo de la letra a. El problema aislado no es que el dato sea incorrecto, que se mantenga demasiado tiempo o que se pidan más datos de los necesarios. Por eso B, C y D no responden a la cuestión planteada.

No confundas transparencia con pedir consentimiento en todos los casos. El artículo 6.1 contempla distintas bases de licitud, cada una con sus condiciones. Identificar una base adecuada no elimina los principios del artículo 5. En esta pregunta no se ha pedido determinar cuál es la base jurídica del tratamiento.

Referencia: artículo 5.1.a del RGPD.

Caso 8. Archivo en interés público y garantías

Se estudia la conservación durante periodos más largos, exclusivamente con fines de archivo en interés público, cumpliendo el artículo 89.1 y los demás requisitos aplicables del RGPD. ¿Qué lectura del artículo 5.1.e es correcta?

• A. Basta con llamar «archivo» a cualquier carpeta para conservar todos los datos sin condiciones.
• B. La conservación más larga permite también cualquier uso comercial posterior.
• C. Se contempla esa conservación más larga con las garantías correspondientes; no es una exención general del RGPD.
• D. La norma obliga a destruir todos los datos al terminar el uso inicial, sin admitir esta posibilidad.

Ver respuesta y explicación del caso 8

Correcta: C. El artículo 5.1.e contempla periodos más largos para los fines que enumera, con la exclusividad y las garantías indicadas. El 89.1 exige medidas técnicas y organizativas que garanticen, en particular, la minimización. Si esos fines pueden alcanzarse mediante un tratamiento ulterior que no permita o ya no permita identificar a las personas, deben alcanzarse así.

A convierte una denominación en habilitación; B elimina la condición de exclusividad; D niega una previsión expresa. La seudonimización puede formar parte de las medidas en los términos del 89.1: no es una fórmula que autorice siempre la conservación identificable ni una obligación técnica idéntica en todos los casos. Esta regla tampoco proporciona, por sí sola, toda la base jurídica del tratamiento.

Referencia: artículo 5.1.e y 89.1 del RGPD.

Clave y repaso de los errores

La clave es 1C, 2A, 3D, 4B, 5B, 6D, 7A y 8C. Es una práctica de aprendizaje: no se aplica una penalización ni un umbral de aprobado de una convocatoria.

Si has confundido los casos 1 y 4, escribe dos preguntas: «¿qué datos?» y «¿durante cuánto tiempo identificables?». Si has fallado el 2, revisa las palabras razonables, sin dilación y respecto de los fines. Si has fallado el 3 u 8, comprueba qué condiciones acompañan a la regla antes de elegir una alternativa absoluta.

Para el 5, explica una pérdida accidental en la que nadie haya leído los datos. Para el 6, separa cumplimiento real y capacidad de demostrarlo. Para el 7, distingue la transparencia de la elección de una base jurídica. Repite solo los casos que no puedas justificar con el apartado correspondiente; memorizar las letras no permite resolver una variación del supuesto.

Dónde encaja este repaso

El material de Oficialía de Recaudación de la Diputación de Valencia incluye una sección de protección de datos que enumera los principios del artículo 5. Puedes utilizar estos casos como práctica complementaria de ese apartado. Consulta la ficha para comprobar el alcance actual del producto de pago y contrástalo con tu programa; esta página se puede estudiar gratuitamente.

Para practicar una aplicación sectorial diferente, tienes los ocho casos de confidencialidad del celador. Allí se trabaja la normativa sobre información del paciente y deberes del personal estatutario. No traslades sus sujetos, accesos o competencias a cualquier tratamiento del RGPD: identifica primero qué norma y qué personal pregunta cada caso.

Fuentes y fecha de revisión

Revisión realizada el 20 de octubre de 2026 sobre el texto oficial del RGPD, artículos 5, 6 y 89.1, y la explicación de principios de la AEPD. Se han contrastado también las correcciones publicadas en el DOUE de 23 de mayo de 2018 y el DOUE de 4 de marzo de 2021; no modifican las reglas de los artículos 5, 6 y 89.1 utilizadas en estos ejercicios. La corrección de 2021 sobre el artículo 89 afecta a su apartado 2, que aquí no se usa para resolver los casos.

Si tu convocatoria fija una fecha de referencia normativa, comprueba el texto aplicable a esa fecha. Esta práctica se centra en reconocer principios: no desarrolla íntegramente los derechos, las bases jurídicas, la conservación documental ni las obligaciones sectoriales.

Preguntas frecuentes

¿Cuántos principios recoge el artículo 5 del RGPD?

El apartado 1 contiene seis letras, de la a a la f; la primera agrupa licitud, lealtad y transparencia. El apartado 2 añade la responsabilidad proactiva del responsable. Al estudiar una enumeración, comprueba si la pregunta pide las letras del apartado 1, los conceptos que agrupa o también el apartado 2.

¿Minimización y limitación del plazo de conservación son lo mismo?

Están relacionadas, pero el artículo 5 las formula por separado. La minimización exige datos adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento. La limitación del plazo de conservación regula cuánto tiempo se mantiene la identificación, con las condiciones y excepciones previstas.

¿El consentimiento permite ignorar los demás principios?

No. El consentimiento es una de las bases de licitud del artículo 6.1, cuando cumple sus condiciones. No dispensa de cumplir los principios del artículo 5 ni convierte en necesario cualquier dato que se quiera recoger.

¿La confidencialidad solo protege frente a la divulgación?

El artículo 5.1.f se denomina integridad y confidencialidad y también contempla la protección frente a pérdida, destrucción o daño accidental. Exige una seguridad adecuada mediante medidas técnicas u organizativas apropiadas.

¿Estos casos son preguntas oficiales de oposición?

No. Son ocho preguntas originales de aprendizaje con situaciones ficticias, una respuesta por caso y explicación de las alternativas. No anticipan preguntas futuras ni establecen una nota de corte para ninguna convocatoria.