800 enlaces y un hilo conductor: así se lee el RGPD junto a la LOPDGDD
Cuando el Reglamento General de Protección de Datos empezó a aplicarse en mayo de 2018, uno de los problemas prácticos más inmediatos para los profesionales españoles no fue comprender el RGPD en abstracto, sino entender cómo ese texto reglamentario europeo se articulaba con la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) que llegó meses después. Dos textos normativos con lógicas distintas —uno reglamentario y de aplicación directa, el otro de transposición y complemento—, con articulados propios, considerandos extensos y referencias cruzadas que no siempre resultan evidentes para quien los aplica en el día a día.
F. Javier Sempere (@fjavier_sempere) encontró una respuesta metodológica a ese problema que, con el tiempo, ha resultado ser una de las herramientas de referencia más citadas y premiadas del panorama jurídico español en materia de protección de datos: el Crossover entre el RGPD y la LOPDGDD, cuya tercera versión —"The Perfecto Mix V.3.0"— fue publicada en septiembre de 2023. Disponible para descarga en este artículo, el documento reúne en 259 páginas la arquitectura normativa completa de la protección de datos en España, cruzando sistemáticamente cada artículo del RGPD con sus correlatos en la LOPDGDD, los considerandos del Reglamento, y más de 800 recursos jurídicos enlazados directamente: guías, resoluciones, informes, sentencias y documentos de autoridades de control de toda Europa.
Lo que sigue es un análisis de la obra, su metodología, su alcance y su relevancia práctica para cualquier profesional del derecho, el compliance o la protección de datos que trabaje en el ordenamiento jurídico español.
Una obra premiada con historia propia
Conviene situar el Crossover en su contexto. La primera versión del documento se publicó prácticamente al mismo tiempo que el RGPD empezaba a aplicarse, en 2018. La segunda versión amplió el trabajo incorporando más de 400 enlaces a documentos de autoridades de protección de datos, organizaciones y tribunales. Esa segunda versión mereció dos reconocimientos relevantes: el premio de la Asociación Española de Profesionales de la Privacidad (APEP) en la categoría de trayectoria profesional, y el de ENATIC como investigación en Derecho Digital.
La tercera versión que ahora analizamos da un paso más en dos dimensiones. La primera, cuantitativa: los enlaces pasan de 400 a más de 800, cubriendo ahora guías, resoluciones e informes de la AEPD, el Comité Europeo de Protección de Datos (CEPD), la autoridad francesa (CNIL), la autoridad del Reino Unido (ICO), la Autoridad Catalana de Protección de Datos (APDAT), además de resoluciones del TJUE, el Tribunal Constitucional, el Tribunal Supremo y la Audiencia Nacional. La segunda dimensión es cualitativa: los enlaces ya no aparecen como notas a pie de página, sino como hipervínculos integrados en el texto, lo que convierte al documento en una herramienta de navegación directa hacia las fuentes primarias.
El propio autor señala en la presentación de esta versión que algunos artículos han sido actualizados para reflejar modificaciones normativas —tanto en el RGPD, mediante una corrección de errores, como en la LOPDGDD, cuya última modificación data del propio 2023—. Esta actualización es relevante porque el ordenamiento de protección de datos no es estático: el TJUE sigue dictando sentencias que reinterpretan preceptos del Reglamento, la AEPD actualiza sus criterios interpretativos, y el CEPD publica directrices que modulan la aplicación práctica de muchos artículos.
La metodología del crossover: artículo a artículo, considerando a considerando
La denominación crossover describe con precisión la metodología del trabajo. El documento no es un comentario del RGPD ni un comentario de la LOPDGDD: es un instrumento de conexión entre ambos textos, que permite al lector ver simultáneamente qué dice el artículo del Reglamento, qué considerandos lo informan y qué artículos de la LOPDGDD lo complementan, transponen o especifican.
Esta estructura tripartita —RGPD / Considerandos / LOPDGDD— es la columna vertebral del documento. Para cada precepto del RGPD, el Crossover identifica los considerandos relevantes (que en el RGPD son 173 y funcionan como criterio interpretativo esencial) y los artículos de la LOPDGDD que guardan relación directa con él. A esta estructura base se añaden los hipervínculos: cada conexión normativa se acompaña de referencias a los recursos que permiten profundizar en su interpretación y aplicación práctica.
Lo que resulta particularmente valioso desde el punto de vista metodológico es que el Crossover no solo conecta las normas evidentes —el artículo del RGPD sobre consentimiento con el artículo de la LOPDGDD sobre consentimiento—, sino que también traza conexiones menos obvias: las disposiciones adicionales y transitorias de la LOPDGDD que afectan a determinados artículos del RGPD, las disposiciones finales que modifican otras leyes, los regímenes sectoriales que la LOPDGDD establece para ámbitos específicos como el laboral, el electoral, el sanitario o el de las administraciones públicas.
Así, por ejemplo, el artículo 6 del RGPD sobre licitud del tratamiento conecta en el Crossover no solo con el artículo 8 de la LOPDGDD sobre tratamiento por obligación legal o interés público, sino también con la disposición adicional novena (tratamiento de datos en relación con la notificación de incidentes de seguridad), la disposición adicional décima (comunicaciones de datos por los sujetos del artículo 77.1) y la disposición final duodécima que modifica la Ley de Procedimiento Administrativo Común. Esta visión de conjunto es lo que ningún comentario por separado puede ofrecer con la misma eficiencia.
El índice como mapa del sistema de protección de datos español
El índice del Crossover —que ocupa las primeras 16 páginas del documento y se estructura en 16 apartados— es en sí mismo un mapa conceptual del sistema de protección de datos en España. Su lectura revela la arquitectura normativa completa y las grandes categorías en que se organiza el RGPD y su transposición.
Las materias cubiertas son exhaustivas. El documento arranca con el objeto y ámbito de aplicación (artículos 1 a 4 RGPD, artículos 1 a 3 LOPDGDD), sigue con los principios del tratamiento (artículo 5 RGPD y sus correlatos en la LOPDGDD), y desarrolla en detalle las bases de legitimación (artículos 6 a 10 RGPD), los derechos de los interesados (artículos 12 a 22 RGPD con sus correspondientes artículos 11 a 18 LOPDGDD), las obligaciones del responsable y el encargado del tratamiento (artículos 24 a 31 RGPD), la seguridad y las violaciones de datos (artículos 32 a 34 RGPD), las evaluaciones de impacto (artículos 35 y 36 RGPD), el delegado de protección de datos (artículos 37 a 39 RGPD y artículos 34 a 37 LOPDGDD), los códigos de conducta y certificaciones (artículos 40 a 43 RGPD), las transferencias internacionales (artículos 44 a 50 RGPD), el régimen de las autoridades de control (artículos 51 a 59 RGPD), el Comité Europeo de Protección de Datos (artículos 68 a 76 RGPD), los mecanismos de cooperación y coherencia (artículos 56, 60 a 67 RGPD), el régimen de reclamaciones y tutela judicial (artículos 77 a 82 RGPD), el régimen sancionador (artículos 83 y 84 RGPD), y los tratamientos específicos como el laboral, el de investigación, el de acceso a información pública o el de datos de iglesias y asociaciones religiosas (artículos 85 a 91 RGPD).
A todo ello se añade una sección específica sobre los Derechos Digitales reconocidos en el Título X de la LOPDGDD (artículos 79 a 97), que incluye el derecho a la neutralidad de Internet, el derecho de acceso universal, el derecho a la seguridad digital, el derecho a la educación digital, la protección de menores en Internet, el derecho al olvido en búsquedas y redes sociales, el derecho a la desconexión digital laboral y el testamento digital.
Dicho esto, el valor del índice no es solo descriptivo. Es funcional: permite al lector localizar con precisión qué parte del documento consultar ante cualquier cuestión concreta de protección de datos, ahorrando el tiempo que de otro modo habría de invertirse en recorrer articulados paralelos.
Los 800 enlaces: una bibliografía jurídica viva
El elemento más singular del Crossover respecto a cualquier otro instrumento de consulta es su sistema de referencias enlazadas. Los más de 800 hipervínculos no son adornos bibliográficos: son la capa de inteligencia práctica que convierte un texto normativo en una herramienta de trabajo real.
Las fuentes enlazadas responden a una lógica de cubrimiento comprensivo del ecosistema de recursos de protección de datos. La AEPD es, naturalmente, la fuente más citada: guías sectoriales, informes jurídicos, resoluciones sancionadoras, consultas frecuentes (FAQs), documentos de adaptación sectorial al RGPD, infografías, artículos del blog institucional y análisis temáticos sobre tecnologías emergentes como blockchain, IoT, 5G, datos de navegación, fingerprinting o neurodatos. Esta cobertura de la AEPD refleja la extraordinaria producción doctrinal de la Agencia, que en los años transcurridos desde la aplicación del RGPD ha publicado una cantidad de criterios interpretativos sin precedentes en la historia de la protección de datos en España.
El CEPD (Comité Europeo de Protección de Datos) es la segunda gran fuente. Las directrices del CEPD —sobre tratamiento de datos en vehículos conectados, sobre targeting en redes sociales, sobre decisiones individuales automatizadas, sobre transferencias internacionales, sobre el concepto de responsable del tratamiento, entre otras muchas— son las que modulan la interpretación uniforme del RGPD en toda la Unión, y su inclusión en el Crossover permite al lector acceder directamente al criterio europeo sobre cada cuestión.
Ahora bien, el Crossover va más allá de la AEPD y el CEPD. Incluye referencias a la CNIL francesa, cuya producción doctrinal en materia de privacidad es especialmente relevante en el ámbito tecnológico; a la ICO británica, cuyo enfoque regulatorio post-Brexit sigue siendo una referencia comparada de primer orden; a la Autoridad Catalana de Protección de Datos; y a organismos como ISMS Forum, APEP, la CRUE o la Conferencia Episcopal. Se añaden, además, resoluciones judiciales del TJUE —incluyendo sentencias hito como las relativas a la excepción doméstica, las transferencias internacionales o la responsabilidad de las plataformas—, del Tribunal Constitucional, del Tribunal Supremo y de la Audiencia Nacional.
Lo que resulta llamativo es que este sistema de referencias no es estático: la versión 3.0 actualizó y amplió los enlaces existentes en la versión 2.0, incorporando jurisprudencia y documentos publicados entre 2020 y 2023. Esto convierte al Crossover en algo más que un documento: es una instantánea del estado del arte doctrinal y jurisprudencial en materia de protección de datos en España y Europa a septiembre de 2023.
El Título X de la LOPDGDD: los derechos digitales como segundo eje del documento
Una de las aportaciones más relevantes del Crossover respecto a otros instrumentos de referencia es su tratamiento sistemático del Título X de la LOPDGDD, dedicado a los derechos digitales. Este Título, que carecía de antecedente directo en el RGPD —pues regula materias que el Reglamento europeo no aborda—, constituye una de las contribuciones más originales del legislador español al derecho de la era digital.
El documento abarca los derechos reconocidos en los artículos 79 a 97 de la LOPDGDD. La neutralidad de Internet (artículo 80), el acceso universal (artículo 81) y la seguridad digital (artículo 82) conforman la base de una ciudadanía digital que el legislador quiso constitucionalizar implícitamente. El derecho a la educación digital (artículo 83), conectado con disposiciones que modifican la Ley Orgánica de Universidades y la Ley Orgánica de Educación, señala la voluntad del legislador de integrar la alfabetización digital en el sistema educativo formal.
Más específicos en su aplicación son el derecho al olvido en búsquedas de Internet (artículo 93) —que complementa el artículo 17 del RGPD con previsiones específicas para motores de búsqueda— y el derecho al olvido en servicios de redes sociales (artículo 94). El derecho de rectificación en Internet (artículo 85) y el derecho a la actualización de informaciones en medios de comunicación digitales (artículo 86) plantean tensiones reales con la libertad de información que el Crossover documenta mediante referencias a resoluciones y pronunciamientos de la AEPD.
En el ámbito laboral, los artículos 87 y 88 de la LOPDGDD sobre intimidad en el uso de dispositivos digitales y desconexión digital han generado una práctica aplicativa —negociaciones colectivas, pronunciamientos judiciales, criterios de la AEPD— que el documento recoge a través de sus enlaces. El derecho al testamento digital (artículo 96) y el derecho de portabilidad en redes sociales (artículo 95) completan un catálogo que, cinco años después de su promulgación, sigue siendo pionero en el derecho comparado europeo.
Relevancia práctica: para qué sirve este documento y a quién
Es importante ser precisos sobre el uso práctico del Crossover, porque su naturaleza metodológica lo distingue de otros instrumentos y condiciona cómo debe emplearse.
El Crossover no es un manual de cumplimiento. No explica paso a paso cómo implementar un sistema de gestión de protección de datos, ni proporciona plantillas de contratos de encargo del tratamiento o evaluaciones de impacto. Tampoco es un comentario jurídico en sentido estricto: no argumenta, no critica, no toma posición doctrinal sobre las cuestiones interpretativas más controvertidas. Su función es diferente y más modesta en apariencia, pero extraordinariamente útil en la práctica: es un instrumento de navegación.
Para el abogado o el delegado de protección de datos que trabaja con el RGPD y la LOPDGDD, el Crossover responde con eficiencia a una necesidad cotidiana: cuando tengo delante el artículo X del RGPD, ¿qué dice la LOPDGDD sobre esa materia? ¿Qué considerandos del Reglamento debo tener en cuenta para interpretarlo correctamente? ¿Qué ha dicho la AEPD o el CEPD sobre este precepto? ¿Existe jurisprudencia relevante del TJUE? Responder a esas preguntas de forma separada requeriría consultar el texto del RGPD, buscar los considerandos por número, localizar los artículos correspondientes de la LOPDGDD, acceder a la web de la AEPD para buscar documentos temáticos, y revisar la base de datos del CEPD para encontrar directrices pertinentes. El Crossover comprime todo ese proceso en un único instrumento.
Para el responsable de cumplimiento de una empresa que no tiene formación jurídica específica en protección de datos, el documento ofrece un mapa que permite entender la arquitectura del sistema normativo antes de acudir al asesoramiento especializado. Y para el estudiante o el académico que se introduce en la materia, proporciona una visión panorámica que ningún manual estándar puede ofrecer con esa densidad de referencias.
Conviene señalar también lo que el Crossover no puede hacer. Al estar referenciado a septiembre de 2023, algunos de los recursos enlazados pueden haber sido actualizados o complementados por desarrollos posteriores —nuevas directrices del CEPD, resoluciones sancionadoras recientes de la AEPD, sentencias del TJUE dictadas desde esa fecha—. El usuario avanzado debe complementar el documento con una verificación del estado actual de las fuentes citadas, especialmente en áreas de rápida evolución como las transferencias internacionales de datos, los sistemas de inteligencia artificial o los derechos digitales en el ámbito laboral.
El autor: una contribución individual al bien común doctrinal
No es habitual que un documento de estas características sea obra de una sola persona, y menos que esté disponible de forma gratuita. F. Javier Sempere, profesional especializado en protección de datos cuyo perfil en LinkedIn documenta una trayectoria extensa en el sector, ha dedicado más de cinco años a construir, mantener y actualizar esta herramienta que, como reconoce en la presentación de la versión 3.0, comenzó como una solución personal a un problema de consulta y se ha convertido en una referencia colectiva.
Los dos premios recibidos por la versión anterior —de APEP y de ENATIC— son un reconocimiento institucional a esa contribución. Pero quizá más elocuente que los premios es la forma en que el documento circula en la comunidad de profesionales de la protección de datos: citado en formaciones, recomendado en comunidades de práctica, enlazado en artículos y análisis. La versión 3.0 extiende ese alcance con más recursos y una navegabilidad mejorada.
El gesto de poner un trabajo de esta envergadura a disposición libre es, en sí mismo, un posicionamiento ético sobre cómo debería circular el conocimiento jurídico especializado. En un contexto en que las herramientas de consulta de calidad suelen estar detrás de barreras de pago, el Crossover de Javier Sempere representa un modelo distinto.
Conclusión: un instrumento que no debería faltar en ninguna biblioteca de protección de datos
El Crossover RGPD-LOPDGDD V.3.0 — The Perfecto Mix de F. Javier Sempere es, sin exageración, uno de los instrumentos de referencia más útiles disponibles en español para quien trabaja con la normativa de protección de datos. Su valor no reside en la originalidad doctrinal —no pretende serlo— sino en la eficiencia metodológica: conecta de forma sistemática dos textos normativos complementarios, los ancla en sus fuentes interpretativas auténticas y proporciona acceso directo a más de 800 recursos jurídicos de primera línea.
Para los profesionales del derecho que trabajan en España, el documento resuelve uno de los problemas más concretos del trabajo diario con el RGPD: la necesidad de moverse simultáneamente entre el texto europeo, la norma española de transposición y el corpus creciente de criterios interpretativos de las autoridades de control. Para los responsables de cumplimiento y los delegados de protección de datos, ofrece un mapa que orienta antes de profundizar. Para cualquier operador jurídico que necesite saber qué dice el sistema normativo español de protección de datos sobre cualquier materia, el Crossover es el primer lugar donde buscar.
El único límite es temporal: al estar actualizado a septiembre de 2023, los desarrollos normativos y jurisprudenciales posteriores —en particular en materia de IA, transferencias internacionales y derechos digitales en el ámbito laboral— requieren consulta complementaria. Pero ese límite es inevitable en cualquier obra de estas características, y no resta valor a lo que el documento ofrece: una arquitectura de referencia sobre la que construir cualquier análisis de protección de datos en el ordenamiento jurídico español.
La versión 3.0 está disponible para descarga directa: Crossover entre el RGPD y la LOPDGDD V.3.0 — F. Javier Sempere (septiembre 2023). Su lectura —o mejor, su consulta sistemática— es una inversión que cualquier profesional de la privacidad amortizará en la primera jornada de trabajo.
Sobre el autor del documento:
F. Javier Sempere (@fjavier_sempere) es profesional especializado en protección de datos y autor del Crossover entre el RGPD y la LOPDGDD, obra premiada por APEP y ENATIC. Su perfil profesional puede consultarse en LinkedIn. El documento analizado en este artículo es de su autoría exclusiva y se distribuye gratuitamente.
Puntos clave para el profesional:
- El Crossover conecta artículo a artículo el RGPD con la LOPDGDD, incluyendo considerandos y disposiciones adicionales y transitorias que los comentarios estándar suelen omitir.
- Los más de 800 hipervínculos dan acceso directo a guías, resoluciones e informes de la AEPD, CEPD, CNIL, ICO, APDAT y otros organismos, además de jurisprudencia del TJUE, TS, TC y AN.
- El documento cubre íntegramente el Título X de la LOPDGDD sobre Derechos Digitales, incluyendo desconexión digital, derecho al olvido en redes sociales y testamento digital.
- La versión 3.0 actualiza artículos modificados en 2023 tanto en el RGPD como en la LOPDGDD.
- El documento no sustituye al asesoramiento jurídico ni al análisis doctrinal: es un instrumento de navegación y localización de fuentes, no un comentario interpretativo.
- Referenciado a septiembre de 2023: los desarrollos posteriores en IA, transferencias internacionales y ámbito laboral requieren consulta adicional.
Artículos relacionados
Guía ICO sobre tecnologías de almacenamiento y acceso 2026
La ICO actualiza su marco regulatorio sobre cookies y rastreo web: 43.000 proveedores afectados, nuevas excepciones PECR por la DUAA y obligaciones reforzadas de consentimiento.
Revista RPIT nº 1 AEPD: privacidad, IA y derechos fundamentales
Análisis del primer número de la Revista de Privacidad, Innovación y Tecnología de la AEPD: gobernanza algorítmica, sesgos y protección de datos en la era de la IA.
Cesión de grabaciones como acta: AEPD sanciona a gestora de fondos por falta de consentimiento específico
Análisis de la resolución AEPD EXP202407307 sobre la cesión no consentida de grabaciones de videollamada como actas. Vulneración del art. 6.1 RGPD y doctrina del consentimiento finalista.
Agentes de IA como extensiones conductuales: privacidad en riesgo
El 34,6% de los agentes de IA filtra datos sensibles de sus propietarios sin configuración explícita. Análisis doctrinal sobre privacidad, identidad digital y RGPD.