La base jurídica de la investigación en el RGPD: consentimiento, misión de interés público y garantías del artículo 89

Elegir la base jurídica es la primera decisión de protección de datos de cualquier proyecto de investigación, y la que más a menudo se confunde con la ética de la investigación. Esta guía explica en qué se diferencia el consentimiento del RGPD del consentimiento informado ético, cuándo usan las universidades la misión de interés público (artículo 6.1.e), cómo funcionan el artículo 9.2.j) y el artículo 89 con las categorías especiales de datos, cómo completan las leyes nacionales de ocho países europeos lo que deja abierto el reglamento y qué supone todo ello para la reutilización de datos, los datos de redes sociales, las grabaciones y las herramientas de IA. Termina con una tabla de decisión y una lista de comprobación.

Publicado el 9 de octubre de 2026 · Fuentes verificadas el 9 de octubre de 2026

También disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Português

1. ¿Por qué importa tanto la base jurídica en la investigación?

La base jurídica determina qué derechos tienen los participantes, qué ocurre cuando alguien se retira, si los datos pueden reutilizarse en proyectos posteriores y qué debe decir la información a los participantes. Debe elegirse antes de que empiece el tratamiento y no puede sustituirse sin más después. En la investigación, la elección se complica porque las normas éticas usan también la palabra «consentimiento» para algo distinto.

El artículo 6.1 del RGPD recoge seis bases jurídicas; cuatro son relevantes para la investigación: el consentimiento (letra a), la obligación legal (letra c), la misión de interés público (letra e) y el interés legítimo (letra f). Las categorías especiales de datos necesitan además una excepción del artículo 9.2. Ambas decisiones se enmarcan en las reglas del RGPD sobre investigación: el artículo 5.1.b) sobre el tratamiento ulterior, el artículo 5.1.e) sobre la conservación y el artículo 89 sobre garantías y excepciones.

El considerando 159 dice que la investigación científica debe interpretarse «de manera amplia». El CEPD es más prudente. En sus directrices sobre el consentimiento afirma que el concepto "may not be stretched beyond its common meaning" (no puede ampliarse más allá de su significado común) y se refiere a la investigación organizada conforme a las normas metodológicas y éticas del sector (Directrices 05/2020, apartado 153). El borrador de directrices sobre investigación de 2026 añade seis factores indicativos, empezando por un "methodical and systematic approach" (enfoque metódico y sistemático) y la "adherence to ethical standards" (adhesión a normas éticas).

2. ¿Qué diferencia hay entre el consentimiento del RGPD y el consentimiento informado ético?

El consentimiento informado ético protege la dignidad y la integridad de la persona: nadie debe ser incluido en una investigación sin saberlo y aceptarlo. El consentimiento del RGPD es una de las seis bases jurídicas del tratamiento de datos personales, con condiciones estrictas: libre, específico, informado, inequívoco y revocable. Un estudio puede exigir el primero sin basarse en el segundo como base jurídica.

Los organismos europeos han sido coherentes en este punto:

• Dictamen 3/2019 del CEPD sobre ensayos clínicos: el consentimiento informado del Reglamento de ensayos clínicos "must not be confused with the notion of consent as a legal ground" (no debe confundirse con el concepto de consentimiento como base jurídica) del RGPD (apartado 15). Un claro desequilibrio de poder impide que el consentimiento sea libre.
• Directrices 05/2020 del CEPD sobre el consentimiento: el consentimiento para el uso de datos personales "should be distinguished from other consent requirements that serve as an ethical standard or procedural obligation" (debe distinguirse de otros requisitos de consentimiento que sirven como norma ética u obligación procedimental) (apartado 154). El consentimiento ético "could be considered as an additional safeguard" (podría considerarse una garantía adicional).
• Respuesta del CEPD a la Comisión sobre la investigación sanitaria (2 de febrero de 2021): el consentimiento informado para participar "can and must be distinguished from explicit consent" (puede y debe distinguirse del consentimiento explícito) como base del tratamiento (apartado 5).
• Dictamen preliminar del SEPD sobre la investigación científica (2020): el consentimiento del RGPD "differs conceptually and operationally from 'informed consent' of human participants in research" (difiere conceptual y operativamente del «consentimiento informado» de los participantes humanos en la investigación) (resumen).
• Borrador de Directrices 1/2026 del CEPD: el consentimiento ético "is not required by the GDPR, but may be considered as an additional safeguard according to Article 89 GDPR" (no lo exige el RGPD, pero puede considerarse una garantía adicional conforme al artículo 89 del RGPD) (apartado 53). Si se piden ambos a la vez, la solicitud del RGPD debe distinguirse claramente (apartado 55).

Las autoridades nacionales dicen lo mismo. La CNIL francesa aconseja que, cuando se utilice el consentimiento del RGPD, el formulario tenga dos casillas separadas, «l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche» (una para recoger el consentimiento RGPD, la otra para participar en la investigación), y señala que la investigación basada en el interés público puede seguir necesitando la aceptación de los participantes para tomar parte (CNIL). La Health Research Authority del Reino Unido lo resume en una frase: "Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation" (el consentimiento para participar en una investigación no es lo mismo que el consentimiento como base jurídica del tratamiento según la normativa de protección de datos) (HRA).

Una fuente apunta en otra dirección. La nota de la Comisión «Ethics and data protection» para Horizonte Europa (5 de julio de 2021) pide un procedimiento de consentimiento que cumpla los estándares del RGPD cuando los datos se recogen directamente. La redactó un grupo de expertos y advierte que "does not constitute official EU guidance" (no constituye una orientación oficial de la UE) (Comisión).

Análisis de Validemic Los comités de ética y los DPD a menudo no se entienden porque ambos hablan de «consentimiento». Una solución sencilla es usar palabras distintas en las plantillas: «aceptación de participar» para el requisito ético y «consentimiento para el tratamiento de datos» solo cuando la base sea realmente el artículo 6.1.a).

3. ¿Qué bases jurídicas del artículo 6 puede usar la investigación?

La investigación puede basarse en el consentimiento, la misión de interés público, el interés legítimo y, para partes concretas, la obligación legal. La elección depende sobre todo de quién es el responsable. En las orientaciones que hemos leído, las universidades públicas utilizan mayoritariamente la misión de interés público; las entidades privadas sin un mandato de investigación establecido por ley recurren al interés legítimo o al consentimiento.

El borrador de directrices 1/2026 señala además que la misión de interés público "is not limited to public entities" (no se limita a las entidades públicas): las entidades privadas pueden utilizarla "if the legal act covers their activities" (si el acto jurídico abarca sus actividades) (apartado 58). Que una universidad concreta sea una «autoridad pública» depende también del derecho nacional, lo que importa para las universidades privadas en algunos países.

4. ¿Cómo respalda el derecho nacional la investigación basada en la misión de interés público? Ocho países

El artículo 6.3 exige que la misión de interés público esté establecida por el Derecho de la Unión o de los Estados miembros. Esa norma no tiene que describir cada proyecto. El borrador del CEPD indica que puede autorizar la investigación "without necessarily specifying how the research is to be undertaken" (sin especificar necesariamente cómo debe llevarse a cabo) (apartado 57). En la práctica, las universidades se remiten a su ley de universidades, y varios países tienen disposiciones sobre investigación en sus leyes de desarrollo del RGPD. La tabla resume las disposiciones que leímos el 9 de octubre de 2026.

Dos países vecinos fuera de la tabla: en Irlanda, el Trinity College Dublin indica a sus investigadores que "explicit consent is required for any health research in Ireland" (el consentimiento explícito es obligatorio para cualquier investigación sanitaria en Irlanda), en consonancia con las normas nacionales de investigación en salud. En el Reino Unido, el UK GDPR tiene la misma estructura, y la HRA señala que las autoridades públicas que investigan "will use 'task in the public interest' as their legal basis" (utilizarán la misión de interés público como base jurídica).

Estos resúmenes son selectivos. Las leyes nacionales contienen más condiciones y normas sectoriales (salud, registros, biobancos), y algunas cambian a menudo: la ley finlandesa se modificó en mayo de 2026 (380/2026). Leed la disposición completa y consultad a vuestro DPD antes de basaros en ella.

5. ¿Qué base jurídica utilizan realmente las universidades europeas?

La mayoría de las orientaciones universitarias que hemos leído hacen de la misión de interés público la opción por defecto para la investigación y mantienen el consentimiento como requisito ético. Los detalles varían según el país, sobre todo en las categorías especiales de datos. En sus propias palabras:

La cláusula informativa de Edimburgo para participantes también hace visible la distinción: el consentimiento para usar información personal "(which we rarely request) is separate from your ethical consent to participate" (que rara vez solicitamos) es independiente de su consentimiento ético para participar) (Edimburgo).

Análisis de Validemic El patrón es claro en los países nórdicos, Bélgica, Irlanda y el Reino Unido. Los Países Bajos son la principal excepción para las categorías especiales, porque el artículo 24 de la UAVG hace del consentimiento explícito el punto de partida. Las universidades españolas y danesas suelen recoger ambas bases y dejan que decida cada proyecto. Lo que todas comparten es la instrucción de decidir proyecto por proyecto e informar a los participantes.

¿Estáis evaluando a un proveedor? Validemic contrasta su documentación con el RGPD y el Reglamento de IA e indica la fuente de cada conclusión. Probad el entorno de demostración

6. ¿Qué excepción del artículo 9 se aplica a las categorías especiales de datos en la investigación?

Las categorías especiales de datos necesitan una excepción del artículo 9.2 además de la base del artículo 6. En investigación, las opciones realistas son el consentimiento explícito (9.2.a), la excepción de investigación (9.2.j), los datos que la persona ha hecho manifiestamente públicos (9.2.e) y las excepciones de interés público esencial o de salud pública (9.2.g e i) cuando el derecho nacional o de la Unión las prevea.

El artículo 9.2.j) cubre el tratamiento necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89.1, sobre la base del Derecho de la Unión o de los Estados miembros. Esa norma debe ser proporcional, respetar en lo esencial el derecho a la protección de datos y «establecer medidas adecuadas y específicas». El borrador del CEPD añade que los responsables deben poder demostrar que la norma se aplica a su tratamiento y que cumplen sus condiciones (apartado 74). Cita como ejemplos, entre otros, el art. 10 danés, el art. 6.1.7 finlandés, el art. 44.6 francés, el art. 27.1 de la BDSG alemana y la ley sueca de evaluación ética, aunque advierte que "The EDPB has not reviewed nor analysed the laws referred to" (el CEPD no ha revisado ni analizado las leyes mencionadas).

El artículo 9.4 permite a los Estados miembros añadir condiciones para los datos genéticos, biométricos y de salud, así que un estudio multinacional puede necesitar el consentimiento explícito en un país y ninguno en otro. Para los ensayos clínicos, el Dictamen 3/2019 del CEPD menciona como alternativas al consentimiento la misión de interés público con el artículo 9.2.i) o j), o el interés legítimo con el artículo 9.2.j).

7. ¿Qué garantías exige el artículo 89.1?

El artículo 89.1 exige garantías adecuadas para el tratamiento con fines de investigación, con medidas técnicas y organizativas «en particular para garantizar el respeto del principio de minimización de los datos personales». Menciona la seudonimización como una medida posible. Cuando la investigación pueda realizarse con datos que ya no permitan identificar a las personas, «esos fines se alcanzarán de ese modo».

Las directrices del CEPD sobre el consentimiento afirman que "Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data" (la anonimización es la solución preferible en cuanto el fin de la investigación pueda alcanzarse sin tratar datos personales) (apartado 160). El borrador de 2026 añade una lista de garantías adicionales: supervisión independiente o ética, entornos de tratamiento seguros, tecnologías de mejora de la privacidad, medidas de protección en la publicación y condiciones para el uso posterior. La respuesta del CEPD de 2021 también vincula ambas cosas: la presunción de compatibilidad para la investigación posterior "can only be used" (solo puede utilizarse) si se respetan las garantías del artículo 89.1 (apartado 20).

En la práctica, las garantías que buscan los DPD y los comités de ética son:

1. Un plan de gestión de datos que justifique cada dato recogido.
2. Seudonimización en el primer momento práctico, con la clave guardada por separado y acceso restringido.
3. Anonimización para compartir y publicar siempre que sea posible.
4. Almacenamiento seguro en servicios aprobados por la universidad; véase nuestra guía sobre datos de investigación en la nube (en inglés).
5. Un contrato del artículo 28 con cada proveedor y, fuera del EEE, un instrumento de transferencia. Nuestras guías sobre el acuerdo de intercambio de datos y el acuerdo de corresponsabilidad (en inglés) tratan los socios.
6. Una EIPD cuando el riesgo sea alto (según la Universidad de Bergen, la autoridad noruega de protección de datos la exige para la investigación con categorías especiales que no se basa en el consentimiento). Nuestra herramienta de cribado de EIPD y nuestra plantilla de EIPD (en inglés) ayudan a hacerla.
7. Normas de conservación que indiquen cuánto tiempo se guardan los datos identificables; véase nuestra guía sobre el calendario de conservación (en inglés).

8. ¿Qué derechos de los interesados pueden limitarse en la investigación?

El propio RGPD limita algunos derechos en la investigación, y el artículo 89.2 permite que el Derecho de la Unión o nacional establezca excepciones a los derechos de acceso, rectificación, limitación y oposición (arts. 15, 16, 18 y 21), pero solo en la medida en que esos derechos «imposibiliten u obstaculicen gravemente» la investigación y la excepción sea necesaria.

• Supresión: el artículo 17.3.d) excluye el derecho de supresión cuando haría imposible u obstaculizaría gravemente la investigación, con las garantías del artículo 89.1.
• Oposición: el artículo 21.6 reconoce el derecho a oponerse al tratamiento con fines de investigación, «salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público».
• Información: cuando los datos no se obtienen del interesado, el artículo 14.5.b) admite una excepción por imposibilidad o esfuerzo desproporcionado, pero el responsable debe proteger sus intereses, «inclusive haciendo pública la información». La Universidad de Aarhus, por ejemplo, publica una lista de los proyectos de investigación que usan esta excepción. El artículo 13 no contiene una excepción equivalente para los datos recogidos directamente.
• Excepciones nacionales: véase la tabla por países de la sección 4.
• Retirada del consentimiento: no se aplica ninguna de estas excepciones. Si se retira el consentimiento, el CEPD dice que el responsable "must in principle delete the personal data straight away" (en principio debe suprimir los datos personales de inmediato) si quiere continuar la investigación (05/2020, apartado 163).

Nuestra guía sobre el derecho de acceso en las universidades (en inglés) explica cómo gestionar las solicitudes en la práctica.

9. ¿Pueden reutilizarse los datos de investigación? Tratamiento ulterior y uso secundario

Sí, a menudo. El artículo 5.1.b) establece que, de acuerdo con el artículo 89.1, el tratamiento ulterior con fines de investigación científica «no se considerará incompatible con los fines iniciales». El considerando 50 añade que ese tratamiento debe considerarse una operación de tratamiento lícita y compatible. Pero la compatibilidad no lo resuelve todo: el responsable sigue necesitando una base jurídica y, para las categorías especiales de datos, una excepción del artículo 9.

El borrador 1/2026 del CEPD indica que el test de compatibilidad del artículo 6.4 no es necesario para la investigación posterior (apartado 19), pero sigue siendo necesario comprobar la licitud, y no siempre es posible apoyarse en la base original, en particular si era el consentimiento (apartados 21 y 22). La respuesta del CEPD de 2021 añade que un hospital que se basa en el artículo 9.2.h) para la asistencia sanitaria puede necesitar otra excepción del artículo 9 para usar las historias clínicas en investigación.

Situaciones habituales de uso secundario en las universidades:

• Reutilizar datos de un proyecto propio anterior. Comprobad qué se dijo a los participantes y si la base original, sobre todo el consentimiento, cubre el nuevo uso. El Trinity College Dublin indica a sus investigadores que el uso secundario se presume compatible "if the research is in the public interest" (si la investigación es de interés público), con las garantías del artículo 89.1.
• Usar el conjunto de datos de otro investigador o de un archivo. Os convertís en un nuevo responsable o en corresponsables. Necesitáis vuestra propia base jurídica, un acuerdo de intercambio de datos y, normalmente, informar conforme al artículo 14.
• Datos de registros y administrativos. Las leyes nacionales de registros y las autoridades que conceden los permisos suelen fijar las condiciones. Dinamarca exige la autorización de Datatilsynet para algunas comunicaciones (art. 10.3).
• Datos de estudiantes y personal procedentes de los sistemas de la universidad. La investigación sobre los propios estudiantes de la universidad exige cuidado por el desequilibrio de poder; véase nuestra guía sobre analítica del aprendizaje (en inglés).

A partir de 2029, el Reglamento (UE) 2025/327 relativo al Espacio Europeo de Datos de Salud añadirá una vía independiente para el uso secundario de datos sanitarios electrónicos a través de los organismos de acceso a datos sanitarios. Su capítulo IV, sobre el uso secundario, se aplica a partir del 26 de marzo de 2029 (Reglamento EEDS).

10. ¿Admite el RGPD el consentimiento amplio?

Sí, con límites. El considerando 33 dice que debe permitirse a los interesados «dar su consentimiento para determinados ámbitos de investigación científica que respeten las normas éticas reconocidas». El CEPD lo interpreta de forma restrictiva: "does not disapply the obligations with regard to the requirement of specific consent" (no exime de las obligaciones relativas al requisito de un consentimiento específico), y el RGPD "cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes" (no puede interpretarse de modo que permita al responsable eludir el principio fundamental de especificar los fines) (05/2020, apartados 156 y 158). Para las categorías especiales de datos, esa flexibilidad se somete a "a high degree of scrutiny" (un examen muy riguroso) (apartado 157).

El borrador de 2026 describe dos modelos. El consentimiento amplio cubre proyectos futuros dentro de un ámbito de investigación definido, y "it is not sufficient to only state that personal data will be used for scientific research purposes" (no basta con indicar que los datos personales se usarán con fines de investigación científica) (apartado 44). El consentimiento dinámico vuelve a preguntar a las personas a medida que se conoce cada proyecto, lo que el CEPD califica de "often the appropriate way" (a menudo la vía adecuada) en estudios a largo plazo con contacto regular (apartado 52). Entre las garantías que propone para el consentimiento amplio figuran un custodio de datos independiente, un consentimiento limitado en el tiempo y una supervisión independiente (apartados 48 y 49).

España (para la investigación en salud) y Portugal han recogido el consentimiento amplio en su legislación nacional. Análisis de Validemic Cuando el derecho nacional lo permite, combinar la aceptación de participar con la misión de interés público como base del RGPD evita los problemas de retirada y de especificidad del consentimiento amplio.

11. Datos de redes sociales, grabaciones, transcripciones y herramientas de IA

Datos de redes sociales

Las publicaciones públicas siguen siendo datos personales. La universidad necesita una base jurídica (normalmente la misión de interés público en una universidad pública), y las categorías especiales de datos que aparezcan en las publicaciones solo quedan cubiertas por el artículo 9.2.e) si son datos que «el interesado ha hecho manifiestamente públicos». El borrador del CEPD indica que los responsables deben comprobar que el contenido se publicó "following an active choice by the data subject" (tras una elección activa del interesado) y revisar la configuración de la plataforma (apartado 70). Una foto publicada por un amigo no cuenta (apartado 71). Su ejemplo práctico seudonimiza las publicaciones recogidas e informa a los usuarios conforme al artículo 14.

La nota ética de la Comisión añade que "It is not enough that the data be accessible" (no basta con que los datos sean accesibles) y pide a los investigadores que revisen las condiciones de la plataforma. Sikt menciona los estudios de internet como caso típico de interés público.

Grabaciones y transcripciones de entrevistas

Una grabación de voz o de vídeo identifica a quien habla, y el contenido de las entrevistas incluye a menudo categorías especiales de datos (salud, religión, opiniones políticas) del participante o de terceros. La base jurídica es la misma que la del estudio, pero la nota ética de la Comisión pide un procedimiento de consentimiento específico para "intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking" (métodos intrusivos como la elaboración de perfiles de comportamiento, la grabación de audio o vídeo o el seguimiento de la geolocalización). Sikt señala que el consentimiento puede documentarse "on a sound recording" (en una grabación de sonido).

Análisis de Validemic Cuestiones prácticas:

• Suprimid o seudonimizad las grabaciones una vez revisada la transcripción, salvo que haya un motivo documentado para conservarlas.
• Eliminad de las transcripciones los nombres y datos identificativos de terceros.
• Tratad cualquier servicio de transcripción como un encargado que necesita un contrato de encargo y una revisión de las transferencias. Comparad Otter.ai, Amberscript, Trint y la opción de la transcripción local con Whisper.
• Usad herramientas aprobadas para el análisis cualitativo; consultad nuestras fichas de NVivo y ATLAS.ti.

Herramientas de IA en la investigación

Subir datos de entrevistas a una herramienta de IA generativa es un tratamiento. Necesita la base jurídica del estudio, debe ajustarse a lo que se dijo a los participantes, y el proveedor pasa a ser encargado (o responsable, si usa los datos para sus propios fines). Comprobad el uso para entrenamiento, el lugar del tratamiento y si el plan institucional cuenta con contrato de encargo. Nuestra guía sobre el RGPD y las herramientas de IA en la investigación lo trata en detalle, y herramientas de IA aprobadas en universidades europeas (ambas en inglés) muestra qué permiten otras instituciones.

12. ¿Qué debe decir la información a los participantes sobre la base jurídica?

Los artículos 13.1.c) y 14.1.c) exigen que la información indique los fines y la base jurídica. En la investigación, eso significa nombrar la base del artículo 6, la excepción del artículo 9 para las categorías especiales y la ley nacional en la que se apoya. La instrucción del Trinity College Dublin es breve: informar a los participantes de la base jurídica "In advance of any data collection" (antes de recoger ningún dato).

• Indicad la base con claridad, por ejemplo: «Tratamos sus datos porque la investigación es una misión realizada en interés público (artículo 6.1.e del RGPD, sobre la base de [ley nacional de universidades]). Su aceptación de participar es un requisito ético y no es la base jurídica».
• Si la base es el consentimiento, explicad cómo retirarlo y qué ocurre con los datos ya recogidos.
• Si la base es la misión de interés público, explicad el derecho de oposición y sus límites en la investigación.
• Mencionad las excepciones nacionales a los derechos en las que os apoyéis.
• Si los datos pueden reutilizarse en investigaciones posteriores, decidlo y describid las garantías.

Nuestra guía sobre la información a los participantes en investigaciones (en inglés) incluye una plantilla gratuita en Word con esta redacción, y hay una versión finlandesa en tietosuojaseloste-malli.

13. Tabla de decisión: ¿qué base jurídica para cada situación?

Análisis de Validemic La tabla muestra opciones habituales en una universidad pública de la UE o el EEE. Es un punto de partida para hablar con el DPD, no una regla. El derecho nacional y el proyecto concreto pueden cambiar la respuesta.

14. ¿Qué está cambiando? Novedades pendientes en la UE y en los Estados miembros

• Directrices 1/2026 del CEPD sobre investigación científica. Adoptadas el 15 de abril de 2026 para consulta pública, abierta hasta el 25 de junio de 2026 (página de la consulta, nota de prensa). A 9 de octubre de 2026 no encontramos una versión definitiva en el sitio web del CEPD, y el orden del día del pleno del 17 de septiembre de 2026 no las incluía. El borrador puede cambiar.
• Propuesta de Ómnibus Digital. La propuesta de la Comisión de 19 de noviembre de 2025 añadiría al RGPD una definición de investigación científica y reformularía el artículo 5.1.b). La ficha del Parlamento Europeo la muestra pendiente de decisión en comisión (procedimiento 2025/0360(COD)). No es derecho vigente.
• Espacio Europeo de Datos de Salud. El Reglamento (UE) 2025/327 se aplica a partir del 26 de marzo de 2027, y el capítulo sobre el uso secundario a partir del 26 de marzo de 2029.
• Suecia. Una modificación de la ley de evaluación ética (SFS 2026:1229), que según riksdagen.se entra en vigor el 1 de julio de 2027, añade un artículo 6 a que permite realizar algunas investigaciones con datos sensibles sin evaluación ética, por ejemplo con el consentimiento de un participante adulto.

15. Lista de comprobación: elegir y documentar la base jurídica

Para una visión general del RGPD en la docencia, la investigación y la gestión, consultad nuestra guía El RGPD en las universidades y la página El RGPD explicado.

Fuentes

Todas las fuentes se consultaron el 9 de octubre de 2026.

1. Reglamento (UE) 2016/679 (RGPD), texto del Diario Oficial, artículos 5, 6, 9, 13, 14, 17, 21 y 89 y considerandos 33, 50, 156, 157 y 159 (leído a través de la Oficina de Publicaciones de la UE).
2. Comité Europeo de Protección de Datos, Directrices 05/2020 sobre el consentimiento en el sentido del Reglamento 2016/679, versión 1.1, sección 7.2, apartados 153 a 165.
3. Comité Europeo de Protección de Datos, Guidelines 1/2026 on processing of personal data for scientific research purposes, adoptadas el 15 de abril de 2026, versión para consulta pública, y la página de la consulta.
4. Comité Europeo de Protección de Datos, Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2 de febrero de 2021.
5. Comité Europeo de Protección de Datos, Dictamen 3/2019 sobre la interacción entre el Reglamento de ensayos clínicos y el RGPD, 23 de enero de 2019.
6. Comité Europeo de Protección de Datos, lista de noticias (consultada para comprobar la adopción definitiva de las Directrices 1/2026) y orden del día del pleno de 17 de septiembre de 2026.
7. Supervisor Europeo de Protección de Datos, A Preliminary Opinion on data protection and scientific research, 6 de enero de 2020.
8. Comisión Europea (grupo de expertos), Ethics and data protection, 5 de julio de 2021.
9. Observatorio Legislativo del Parlamento Europeo, procedimiento 2025/0360(COD), Ómnibus Digital.
10. Reglamento (UE) 2025/327 relativo al Espacio Europeo de Datos de Salud, disposiciones finales sobre las fechas de aplicación.
11. Suecia: Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning y Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
12. Noruega: Personopplysningsloven (LOV-2018-06-15-38), artículos 8 a 10, lovdata.no.
13. Finlandia: Tietosuojalaki (1050/2018), versión consolidada que incluye la modificación 380/2026, finlex.fi.
14. Dinamarca: Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
15. Países Bajos: Uitvoeringswet Algemene verordening gegevensbescherming, artículos 24 y 44, wetten.overheid.nl.
16. Francia: CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6 de enero de 2022) y Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4 de febrero de 2026).
17. España: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
18. Portugal: Lei n.º 58/2019, de 8 de agosto, artículo 31, texto consolidado en pgdlisboa.pt.
19. Health Research Authority del Reino Unido, Legal basis for processing data.
20. Sikt, Legal bases for personal data processing in research.
21. Universidad de Bergen, General principles for processing personal data in research.
22. Universidad de Estocolmo, Personuppgiftsbehandling vid Stockholms universitet.
23. Universidad de Lund, Template B: information on processing of personal data in research (Word, abril de 2026).
24. Universidad de Helsinki, RDM Advanced webinar series FAQ y Emplacing Heritage data protection notice.
25. Universidad de Aarhus, Personal data in research at Aarhus University when we are the data controller y Research projects exempt from the duty to inform.
26. Universidad de Utrecht, Facultad de Ciencias Sociales y del Comportamiento, Dealing with Consent in Scientific Research, 3 de febrero de 2025.
27. KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases.
28. Trinity College Dublin, Legal Basis for Research.
29. Universidad de Edimburgo, Research and Data Protection Legislation (guidance for researchers) y Privacy notice for research participants.
30. Universidad de Essex, Data Protection and research activity.
31. Universidad de Granada, Secretaría General, Producción investigadora (registro de actividades de tratamiento).

Sobre esta página

Fuentes verificadas el 9 de octubre de 2026. Leímos el RGPD en la versión del Diario Oficial, los documentos del CEPD, del SEPD y de la Comisión citados, las leyes nacionales en sus sitios de publicación oficial o consolidada y cada página universitaria que citamos. Las citas son breves y se copiaron de las páginas tal como estaban publicadas en la fecha de comprobación; las que están en otras lenguas se reproducen en su versión original con una traducción al español entre paréntesis, y las citas del RGPD siguen su texto oficial en español. Nuestra interpretación propia figura señalada como análisis de Validemic. Las directrices del CEPD sobre investigación son un borrador sometido a consulta y el Ómnibus Digital es una propuesta; actualizaremos esta página cuando cambie cualquiera de los dos. Esta página ofrece información general, no asesoramiento jurídico. El derecho nacional, las normas sectoriales y las políticas de vuestra institución pueden añadir requisitos, así que confirmad la base jurídica de cada proyecto con vuestro delegado de protección de datos. Si detectáis un error o un dato desactualizado, escribidnos y lo corregiremos.