La protección de datos personales debido a los profundos cambios normativos producidos en el último año, es un tema de gran actualidad que conviene tomar en serio. Debemos de ser conscientes de que los datos personales que tratamos no nos pertenecen y por tanto, tenemos la responsabilidad de hacer un tratamiento adecuado de los mismos. Los recientes cambios legislativos de 2018 han sido de calado, Reglamento Europeo 2016/79 General de Protección de Datos (RGPD) y Ley 3/2018 Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). La nueva normativa ha generado nuevas obligaciones que afectan a las Instituciones de Control Externo (en adelante ICEX) como responsables de tratamientos de datos. En este trabajo, tomaré como referencia la experiencia del Órgano de control externo vasco, Tribunal Vasco de Cuentas Públicas / Herri-Kontuen Euskal Epaitegia (en adelante TVCP), al cual pertenezco y se repasarán los cambios necesarios para la adaptación. Como cuestión importante se analizará también, el cambio del planteamiento de la normativa en lo relativo a la comunicación de datos por parte de los fiscalizados a las ICEX. Y para terminar, un supuesto práctico que aunque no suele ser habitual, en alguna ocasión se ha planteado en la tarea de fiscalización y es aquél en el que algún fiscalizado, con la “excusa” de la protección de los datos personales, se niega a facilitar los datos solicitados por el Órgano de control.

The protection of personal data due to the profound regulatory changes produced in the last year, is a topic of great relevance that should be taken seriously. We must be aware that the personal data we process does not belong to us and therefore, we have the responsibility to make an appropriate treatment of them. The recent legislative changes of 2018 have been important, European Regulation 2016/79 General Data Protection (GDPR) and Law 3/2018 Organic Protection of Personal Data and Guarantee of Digital Rights (LOPDGDD). The new regulations have generated new obligations that affect the External Control Institutions (hereinafter ICEX) as responsible for data processing. In this work, I will take as reference the experience of the Basque External Control Body, the Basque Court of Public Accounts / Herri-Kontuen Euskal Epaitegia (hereinafter TVCP), to which I belong and the changes necessary for adaptation will be reviewed. As an important issue will also be analyzed, the change in the approach of the regulations regarding the communication of data by those audited to the ICEX. And finally, a practical assumption that although it is not usual, on some occasion has been raised in the task of inspection and is one in which some inspected, with the "excuse" of the protection of personal data, refuses to provide the data requested by the Control Body.