LOPDGDD : ce qu'elle ajoute à la loi européenne (RGPD) et quelles obligations vous avez

Cet article est une information générale sur la réglementation en matière de protection des données. Il ne remplace pas le conseil d'un avocat ni l'analyse concrète de votre entreprise : utilisez-le comme une carte, pas comme un avis juridique.

Sommaire

1. Qu'est-ce que la LOPDGDD et quel est son rapport avec le RGPD ?
2. Pourquoi existe-t-il une loi espagnole si le RGPD s'applique déjà directement ?
3. Qu'est-ce qui change pour les mineurs ?
4. Que dit-elle sur les données des personnes décédées ?
5. Quelles obligations ajoute-t-elle au quotidien de votre entreprise ?
6. Quand oblige-t-elle à avoir un délégué à la protection des données ?
7. Que sont les droits numériques du titre X ?
8. Que se passe-t-il en cas de non-respect ?
9. Questions fréquentes
10. Sources

Qu'est-ce que la LOPDGDD et quel est son rapport avec le RGPD ?

Le RGPD (Reglamento (UE) 2016/679) est la norme européenne de protection des données. Il s'applique de la même façon dans les 27 pays de l'Union depuis le 25 mai 2018, sans que chaque pays ait à le traduire dans sa propre loi : c'est pour cela qu'on parle de « règlement » et non de « directive ». Jusqu'ici, rien de différent de ce que vous savez déjà.

Ce qui se passe, c'est que le RGPD lui-même, dans plusieurs de ses articles, dit expressément « chaque État membre décide de ceci ». L'âge du consentement des mineurs, le régime de sanctions de chaque autorité nationale ou la façon de traiter les données dans le cadre du travail sont des exemples de points que le règlement laisse ouverts à chaque pays.

La LOPDGDD — Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales — est la loi avec laquelle l'Espagne comble ces vides. Elle a été publiée au BOE núm. 294, du 6 décembre 2018, et est entrée en vigueur le lendemain. Elle compte 97 articles répartis en dix titres, plus des dispositions additionnelles et finales.

Pourquoi existe-t-il une loi espagnole si le RGPD s'applique déjà directement ?

Pour deux raisons qu'il convient de distinguer :

• Développer les marges que le RGPD laisse ouvertes. Par exemple, l'âge du consentement des mineurs ou les règles concrètes du délégué à la protection des données en Espagne.
• Ajouter des droits que le RGPD ne couvre pas du tout. Le titre X de la LOPDGDD encadre des droits numériques — déconnexion numérique, testament numérique, droit à l'oubli dans les moteurs de recherche — qui n'ont pas d'équivalent dans le règlement européen : ils vont au-delà de la protection des données et entrent sur le terrain des droits numériques en général.

En pratique, pour votre entreprise, cela signifie que respecter uniquement le RGPD ne revient pas à respecter toute la réglementation espagnole. Il faut regarder les deux textes ensemble.

Qu'est-ce qui change pour les mineurs ?

Le RGPD (art. 8) fixe à 16 ans l'âge par défaut pour qu'un mineur donne son consentement pour des services en ligne qui lui sont destinés, mais laisse chaque pays l'abaisser jusqu'à un minimum de 13 ans.

L'Espagne a fixé cet âge à 14 ans (art. 7 LOPDGDD), et elle l'a fait pour le consentement en général, pas seulement pour les services en ligne. En dessous de 14 ans, le traitement fondé sur le consentement n'est valable que s'il est autorisé par la personne qui détient l'autorité parentale ou la tutelle du mineur. L'exception : lorsque la loi exige déjà cette autorisation pour l'acte lui-même — signer un contrat, par exemple — le consentement suit cette même règle.

Que dit-elle sur les données des personnes décédées ?

Le RGPD laisse hors de son champ les données des personnes décédées : c'est une décision de chaque pays. La LOPDGDD, elle, encadre bien ce cas, à son article 3 : les personnes liées au défunt par des raisons familiales ou de fait, ainsi que ses héritiers, peuvent demander au responsable du traitement d'accéder à ces données, de les corriger ou de demander leur effacement, sauf si le défunt l'avait expressément interdit de son vivant ou si une loi l'empêche.

C'est un droit qui n'existe pas comme tel dans le RGPD : c'est entièrement un apport de la loi espagnole.

Quelles obligations ajoute-t-elle au quotidien de votre entreprise ?

Au-delà des grands principes, la LOPDGDD apporte des éléments très concrets qu'une entreprise peut avoir besoin d'appliquer directement :

• Devoir de confidentialité (art. 5 LOPDGDD) : il oblige expressément toute personne qui intervient à n'importe quelle étape du traitement — et pas seulement le responsable — à ne pas divulguer les données qu'elle voit dans le cadre de son travail. C'est la base de la clause de confidentialité que votre équipe signe.
• Catégories particulières de données (art. 9 LOPDGDD) : il renforce le principe du RGPD selon lequel le simple consentement ne suffit pas toujours pour traiter des données d'opinion politique, d'appartenance syndicale, de religion, d'orientation sexuelle ou de santé : il faut parfois une base légale supplémentaire ou une garantie en plus.
• Vidéosurveillance (art. 22 LOPDGDD) : il fixe un régime propre pour les caméras de sécurité — panneau d'information obligatoire, effacement dans un délai maximum d'un mois — qui n'apparaît pas avec ce niveau de détail dans le RGPD.
• Systèmes d'exclusion publicitaire (art. 23 LOPDGDD), ce qu'on appelle les « listas Robinson » : il encadre l'obligation de consulter ces systèmes avant de mener certaines campagnes de publicité auprès de personnes qui ne sont pas clientes.

Aucun de ces quatre éléments n'est développé ainsi dans le texte du RGPD : ce sont des règles propres à la loi espagnole qui s'ajoutent aux principes généraux européens.

Quand oblige-t-elle à avoir un délégué à la protection des données ?

Le RGPD (art. 37.1) oblige à désigner un délégué à la protection des données dans trois cas généraux : être une autorité publique, effectuer un suivi régulier et systématique à grande échelle des personnes, ou traiter à grande échelle des données de catégorie particulière.

La LOPDGDD ajoute quelque chose que le RGPD n'a pas : une liste fermée de quinze types d'entités qui y sont tenues « dans tous les cas », indépendamment du fait qu'elles remplissent ou non ces critères généraux (art. 34.1 LOPDGDD). On y trouve, entre autres, les ordres professionnels, les établissements d'enseignement réglementés, les opérateurs de télécommunications à grande échelle, les banques, assureurs et entreprises de services d'investissement, les distributeurs d'énergie et de gaz, les entités responsables de fichiers communs de solvabilité ou de prévention de la fraude, certaines entreprises de publicité et de prospection commerciale, les centres de santé légalement tenus de conserver des dossiers médicaux — à l'exception du professionnel exerçant à titre individuel —, les entreprises de sécurité privée et les fédérations sportives lorsqu'elles traitent des données de mineurs.

Si votre entreprise n'entre dans aucun de ces quinze cas ni dans les critères généraux du RGPD, vous n'avez pas l'obligation de désigner un délégué. En désigner un volontairement reste une option valable (art. 34.2 LOPDGDD), même s'il faut savoir qu'une fois désigné, vous vous soumettez au même régime que si c'était obligatoire.

Que sont les droits numériques du titre X ?

Le titre X de la LOPDGDD (art. 79 à 97) est la partie la plus étrangère au RGPD : il ne développe aucun article du règlement européen, c'est une charte de droits numériques que l'Espagne a décidé d'inclure dans cette même loi. Certains de ses articles concernent directement toute entreprise ayant des salariés :

• Art. 87 : droit à la vie privée et à l'usage des appareils numériques dans le cadre du travail.
• Art. 88 : droit à la déconnexion numérique, avec l'obligation pour l'employeur d'élaborer une politique interne, après avoir entendu la représentation des travailleurs.
• Art. 89 : droit à la vie privée face à l'usage de dispositifs de vidéosurveillance et d'enregistrement sonore sur le lieu de travail.
• Art. 93 : droit à l'oubli dans les moteurs de recherche sur internet.
• Art. 96 : ce qu'on appelle le « testament numérique » : la personne désignée par le défunt, ou son exécuteur testamentaire, peut demander l'accès à ses contenus numériques pour exécuter ses instructions.

Si vous avez du personnel, les trois premiers sont ceux qui vous concernent le plus : ils exigent que vous ayez par écrit comment les appareils de l'entreprise sont utilisés, comment le repos en dehors des heures de travail est respecté et, s'il y a des caméras, qu'elles ne soient jamais dirigées vers les postes de travail de votre équipe.

Que se passe-t-il en cas de non-respect ?

L'AEPD (Agencia Española de Protección de Datos, l'autorité espagnole de protection des données) est celle qui surveille cela en Espagne. Elle peut demander des explications, ordonner des changements, avertir ou infliger une amende. Le RGPD fixe les maximums possibles à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, et jusqu'à 20 millions ou 4 %, selon l'infraction (art. 83 RGPD). C'est le chiffre le plus élevé des deux qui s'applique. La LOPDGDD, à son titre IX (art. 70 à 78), développe la façon dont les infractions sont classées en Espagne et leurs délais de prescription ; les critères exacts de graduation de chaque cas, il convient de les consulter directement dans le texte de la loi, via le lien des sources de cet article.

En pratique, ces chiffres sont le plafond légal, pas l'ordinaire : la sanction est graduée selon la gravité, la taille de l'entreprise et le fait que vous ayez coopéré ou non. Une petite entreprise qui s'organise et répond bien n'est pas dans ce scénario. C'est pour cela qu'il vaut mieux avoir réglé ce sujet : non pas pour éviter une frayeur ponctuelle, mais pour cesser d'y penser.

Questions fréquentes

La LOPDGDD remplace-t-elle le RGPD ?

Non. Le RGPD est la norme européenne et il prime ; la LOPDGDD le complète en Espagne, en développant les points que le règlement lui-même laisse ouverts à chaque pays et en ajoutant des droits numériques que le RGPD ne couvre pas.

Si mon entreprise respecte déjà le RGPD, me reste-t-il quelque chose à faire au titre de la LOPDGDD ?

Probablement oui, même s'il s'agit d'éléments précis : vérifiez l'âge du consentement des mineurs si vous traitez des données de personnes jeunes, le devoir de confidentialité explicite avec votre équipe, et — si vous avez des salariés — les politiques du titre X sur les appareils numériques, la déconnexion et la vidéosurveillance au travail.

À quel âge un mineur peut-il donner son consentement en Espagne ?

À partir de 14 ans (art. 7 LOPDGDD). En dessous, il faut le consentement de la personne qui détient l'autorité parentale ou la tutelle.

Toutes les entreprises ont-elles besoin d'un délégué à la protection des données ?

Non. Seules celles qui remplissent les critères généraux de l'art. 37.1 RGPD ou qui figurent dans la liste fermée de quinze types d'entités de l'art. 34.1 LOPDGDD. La plupart des PME et des indépendants ne sont dans aucun des deux groupes.

Où puis-je consulter le texte officiel de la LOPDGDD ?

Au Boletín Oficial del Estado, texte consolidé : boe.es/buscar/act.php?id=BOE-A-2018-16673.

---

Vous voulez voir cela appliqué à votre entreprise ? Tranquilia transforme ces obligations en un questionnaire et en documents qui vous concernent, adaptés à votre secteur. Si vous dirigez une asesoría ou une gestoría (cabinets espagnols qui gèrent la comptabilité, la fiscalité et la paie d'autres entreprises), consultez le guide pour les asesorías et gestorías. Le niveau gratuit permet de l'essayer avec jusqu'à 2 entreprises, sans carte et sans limite de temps, sur tranquilia.es.

Article rédigé par Tranquilia by GRAC SA. Publié le 16 juillet 2026. Dernière révision : 16 juillet 2026. Rédaction assistée par IA avec vérification de sources primaires ; ne constitue pas un conseil juridique individuel.

Sources

• Reglamento (UE) 2016/679 (RGPD) — EUR-Lex
• Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) — texte consolidé, BOE
• LOPDGDD — publication originale, BOE núm. 294, du 6 décembre 2018
• AEPD — Quel est l'âge auquel les mineurs peuvent donner leur consentement au traitement de leurs données personnelles ?
• AEPD — Agencia Española de Protección de Datos, site officiel