1. ¿En qué artículo de la Constitución Española se fundamenta el derecho fundamental a la protección de datos personales?A) Artículo 18.1 B) Artículo 18.3 C) Artículo 20.1 D) Artículo 18.4 Correcta: D. El artículo 18.4 encarga a la ley limitar el uso de la informática para garantizar el honor y la intimidad. El 18.3 es el secreto de las comunicaciones, incluidas las postales.Fuente: Manual 2022, tema 12, apdo. 12.1.1 (pág. PDF 3)
2. Una empresa informática presta a Correos los servicios que necesita para el funcionamiento de sus sistemas y trata datos personales por cuenta de Correos. ¿Qué figura es en protección de datos?A) Responsable del tratamiento B) Encargada del tratamiento C) Corresponsable del tratamiento D) Tercero Correcta: B. El responsable decide los fines y medios del tratamiento (Correos, respecto a los datos de sus clientes); el encargado trata datos por cuenta del responsable.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 7)
3. Según el RGPD, ¿puede considerarse consentimiento el silencio del interesado o una casilla ya marcada?A) No: el consentimiento exige una acción afirmativa clara B) Sí, si el interesado fue informado previamente C) Sí, cuando el tratamiento le beneficia D) Sí, pero solo para fines de mercadotecnia Correcta: A. El consentimiento debe ser libre, específico, informado e inequívoco. El consentimiento tácito o presunto queda excluido.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 8 y 14)
4. Para contratar un envío postal se piden nombre, apellidos y dirección. Preguntar además al cliente si tiene hijos vulnera el principio de:A) exactitud B) limitación del plazo de conservación C) responsabilidad proactiva D) minimización de datos Correcta: D. La minimización exige que los datos sean adecuados, pertinentes y limitados a lo necesario para la finalidad; no se pueden recoger datos por si resultan útiles en el futuro.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 11)
5. Ante una violación de la seguridad de los datos personales, ¿en qué plazo debe notificarse a la autoridad de control, a ser posible?A) Antes de 24 horas B) Antes de 7 días naturales C) Antes de 72 horas desde que se tuvo constancia D) Antes de un mes Correcta: C. La notificación debe describir la violación, las categorías y el número de afectados, las consecuencias y las medidas adoptadas. Si hay alto riesgo, también se comunica a los interesados.Fuente: Manual 2022, tema 12, apdo. 12.1.4 (pág. PDF 26-27)
6. ¿Cuál es el plazo máximo para responder a una solicitud de ejercicio de derechos en protección de datos?A) 10 días hábiles, sin posibilidad de prórroga B) Dos meses, ampliables hasta seis meses C) Un mes desde la recepción, ampliable otros dos meses si es necesario D) Tres meses desde que se identifica al solicitante Correcta: C. Estos derechos son personalísimos: solo los ejercen el interesado o su representante. La prórroga debe comunicarse al interesado con sus motivos.Fuente: Manual 2022, tema 12, apdo. 12.1.3 (pág. PDF 16)
7. ¿Cuál es la multa administrativa máxima que prevé el RGPD para las infracciones más graves?A) 20 millones de euros o el 4 % del volumen de negocio anual global, la cuantía mayor B) 10 millones de euros o el 2 % del volumen de negocio anual global, la cuantía mayor C) 20 millones de euros o el 2 % del volumen de negocio anual global, la cuantía mayor D) 10 millones de euros o el 4 % del volumen de negocio anual global, la cuantía mayor Correcta: A. El nivel de 20 millones y 4 % se aplica, por ejemplo, al incumplimiento de los principios básicos, de las condiciones del consentimiento o de los derechos de los interesados. La AEPD es la autoridad que la impone.Fuente: Manual 2022, tema 12, apdo. 12.1.5 (pág. PDF 28)
8. En el blanqueo de capitales, ¿cómo se llama la fase en que el dinero en efectivo se introduce en el sistema financiero para desvincularlo del delito?A) Encubrimiento B) Integración C) Financiación D) Colocación Correcta: D. Las tres fases son colocación, encubrimiento (muchas transacciones para disipar el rastro) e integración (los fondos vuelven a la economía con apariencia legítima).Fuente: Manual 2022, tema 12, apdo. 12.2.1 (pág. PDF 30)
9. ¿Por qué actividad está Correos incluido entre los sujetos obligados de la Ley 10/2010 de prevención del blanqueo de capitales?A) Por la admisión de paquetería internacional B) Por los servicios postales de giro y transferencia C) Por la venta de sellos y productos filatélicos D) Por la entrega de notificaciones administrativas Correcta: B. Lo establece el artículo 2.1.j de la Ley 10/2010. Por eso Correos aplica diligencia debida en la admisión y el pago de giros.Fuente: Manual 2022, tema 12, apdo. 12.2.1 (pág. PDF 30)
10. ¿Durante cuánto tiempo conserva Correos los documentos de las operaciones y de las medidas de diligencia debida en materia de PBC?A) 5 años B) 10 años C) 7 años D) 15 años Correcta: B. El plazo se cuenta desde la ejecución de la operación o el fin de la relación de negocios. Tras 5 años, la documentación solo es accesible por los órganos de control interno y las autoridades.Fuente: Manual 2022, tema 12, apdo. 12.2.3 (pág. PDF 49)
11. ¿A partir de qué importe individual se comunican mensualmente al SEPBLAC las operaciones de giro?A) Superior a 600 euros B) Superior a 3.000 euros C) Superior a 10.000 euros D) Superior a 1.500 euros Correcta: D. También se comunican mensualmente los fraccionamientos: operaciones de clientes que acumuladas en el mes superan los 1.500 euros.Fuente: Manual 2022, tema 12, apdo. 12.2.4 (pág. PDF 59)
12. Un empleado detecta una operación sospechosa y la comunica al Área de Prevención. ¿Qué puede decir al cliente sobre ello?A) Nada: no se pueden revelar al cliente ni a terceros esas actuaciones B) Que la operación está siendo examinada y puede tardar unos días C) Que ha sido comunicada al SEPBLAC, si él lo pregunta D) Solo el motivo concreto de la sospecha Correcta: A. El deber de confidencialidad es una de las obligaciones de PBC; además, el empleado debe abstenerse de ejecutar la operación sospechosa.Fuente: Manual 2022, tema 12, apdo. 12.2.4 (pág. PDF 59-60)
13. Una persona con responsabilidad pública deja su cargo. ¿Durante cuánto tiempo se siguen aplicando las medidas reforzadas de diligencia debida?A) Seis meses B) Un año C) Dos años D) Cinco años Correcta: C. Pasado ese plazo se aplican medidas adecuadas al riesgo que siga presentando el cliente. La admisión de estas personas como clientes la autoriza el responsable de oficina o unidad.Fuente: Manual 2022, tema 12, apdo. 12.2.2 (pág. PDF 45)
14. En el envío de dinero, ¿cuál de estas conductas del cliente es un indicio de transacción inducida por una estafa?A) Enviar siempre el mismo importe a un familiar conocido desde hace años B) Pedir un justificante del giro para su contabilidad C) Preguntar el horario de la oficina antes de operar D) Mostrarse confundido o inquieto, sobre todo si es una persona mayor Correcta: D. Otros indicios son estar muy entusiasmado por enviar o recibir dinero, preocuparse por una emergencia familiar, enviar dinero por primera vez o hacer varias transacciones en pocos días.Fuente: Manual 2022, tema 12, apdo. 12.2.5 (pág. PDF 65)
15. ¿Con qué frecuencia mínima revisa el Comité de Cumplimiento el Código de Conducta de Correos?A) Cada año B) Al menos una vez cada dos años C) Cada tres años D) Cada cinco años Correcta: B. Además, lo revisa siempre que cambien las normativas externas o internas que le afectan.Fuente: Manual 2022, tema 12, apdo. 12.3.1 (pág. PDF 77)
16. ¿Ante qué órgano se tramitan las comunicaciones del Canal de Comunicación y Denuncias del Grupo Correos?A) La Comisión de Control de PBC B) El Comité de Seguridad de la Información C) El Comité de Cumplimiento D) El Consejo de Transparencia y Buen Gobierno Correcta: C. El canal permite informar de conductas contrarias al código ético o susceptibles de implicar riesgo penal, por vía verbal, postal, electrónica o por la web corporativa, también de forma anónima.Fuente: Manual 2022, tema 12, apdo. 12.3.1 (pág. PDF 75-77)
17. Según la Ley 19/2013 de transparencia, ¿qué se entiende si vence el plazo máximo para resolver una solicitud de acceso a la información sin resolución expresa?A) Que la solicitud ha sido desestimada B) Que la solicitud ha sido concedida C) Que debe repetirse la solicitud D) Que el plazo se amplía automáticamente un mes más Correcta: A. El plazo general es de un mes, ampliable otro mes por volumen o complejidad. Contra la desestimación cabe reclamación potestativa ante el Consejo de Transparencia y Buen Gobierno.Fuente: Manual 2022, tema 12, apdo. 12.3.2 (pág. PDF 116-117)
18. En ciberseguridad, ¿cómo se llama el phishing que se realiza a través de SMS?A) Smishing B) Vishing C) Ransomware D) Spoofing Correcta: A. El vishing es el phishing por voz. El phishing en general es la estafa telemática para obtener datos confidenciales como contraseñas o datos bancarios.Fuente: Manual 2022, tema 12, apdo. 12.4.1 (pág. PDF 129)
19. ¿Qué es el ransomware?A) Un correo fraudulento que suplanta a un banco para pedir datos B) Una táctica de persuasión para obtener datos sensibles de una persona C) Un software que cifra la información del usuario y pide un rescate para devolver el acceso D) Una debilidad de un activo que facilita una amenaza Correcta: C. El ciberdelincuente toma el control del equipo infectado y «secuestra» la información cifrándola; después extorsiona al usuario.Fuente: Manual 2022, tema 12, apdo. 12.4.1 (pág. PDF 129)
20. ¿Qué certificación muestra el compromiso de Correos con las buenas prácticas en seguridad de la información?A) ISO 9001 B) ISO 27001 C) ISO 9000 D) Sello de Excelencia EFQM Correcta: B. ISO 27001/27002 es un referente para fijar medidas de seguridad: control de accesos, comunicaciones, respaldo de la información, etc. ISO 9001 es la de calidad.Fuente: Manual 2022, tema 12, apdo. 12.4.1 (pág. PDF 132)
21. ¿Qué diferencia a un reglamento europeo, como el RGPD, de una directiva?A) Se aplica directamente en los Estados miembros sin transposición interna B) Fija solo objetivos y cada país elabora sus propias leyes para cumplirlos C) Solo obliga a las administraciones públicas y no a las empresas privadas D) Necesita siempre una ley nacional que lo desarrolle para ser exigible Correcta: A. La Directiva 95/46/CE dejó una protección fragmentada; el RGPD busca un nivel coherente en toda la Unión.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 4)
22. En protección de datos, ¿se considera tratamiento que un empleado de una oficina vea los datos del DNI de una persona?A) No, solo hay tratamiento si se copian o se guardan los datos B) No, siempre que el DNI se devuelva al cliente en el acto C) Sí, la mera visualización de los datos ya es un tratamiento D) Sí, pero únicamente si se registra el número en un sistema informático Correcta: C. Tratamiento es cualquier operación sobre datos personales, automatizada o no: recogida, consulta, utilización, supresión, etc.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 6)
23. ¿Qué ocurre con un dato seudonimizado respecto a la normativa de protección de datos?A) Deja de ser dato personal y puede usarse libremente por la empresa B) Sigue siendo dato personal y continúa protegido por la normativa C) Solo es dato personal si se guarda en papel D) Pasa a ser dato personal únicamente si el interesado así lo solicita Correcta: B. La seudonimización impide atribuir el dato a un interesado sin información adicional, pero esa información existe por separado.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 6)
24. ¿Cuál es la autoridad de control estatal en España en materia de protección de datos?A) El Consejo de Transparencia y Buen Gobierno B) El Comité Europeo de Protección de Datos C) El Servicio Ejecutivo de la Comisión de Prevención del Blanqueo D) La Agencia Española de Protección de Datos Correcta: D. Además existen autoridades autonómicas con competencias sobre los tratamientos de su sector público.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 8)
25. Según el principio de limitación del plazo de conservación, ¿qué debe pasar con los datos cuando ya no son necesarios?A) Se conservan de forma indefinida por si hacen falta en el futuro B) Se borran el mismo día sin ningún bloqueo previo C) Se traspasan al archivo general de la compañía sin límite de tiempo D) Se bloquean durante el plazo de prescripción y después se destruyen Correcta: D. No pueden conservarse indefinidamente: el responsable debe analizar el plazo estrictamente necesario.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 11)
26. Un empleado de Correos deja de trabajar en la compañía. ¿Hasta cuándo se mantiene su deber de confidencialidad sobre los datos personales que conoció?A) Hasta un año después de dejar la empresa de forma definitiva B) De forma indefinida, aunque haya terminado la relación laboral C) Hasta que se cancelen los datos en todos los sistemas de la empresa D) Hasta diez años contados desde la fecha de la baja Correcta: B. El deber de confidencialidad es complementario del secreto profesional y no se extingue con la relación laboral.Fuente: Manual 2022, tema 12, apdo. 12.1.2 (pág. PDF 12)
27. Si el interesado ejerce un derecho en protección de datos y la solicitud es compleja o numerosa, ¿qué prórroga puede aplicarse al plazo de respuesta?A) Quince días naturales más, sin necesidad de informar al interesado B) Un mes más, solo con autorización previa de la autoridad de control C) Dos meses más, comunicando al interesado los motivos D) Tres meses más, si el interesado lo acepta por escrito Correcta: C. El plazo general es de un mes desde la recepción; la prórroga es excepcional.Fuente: Manual 2022, tema 12, apdo. 12.1.3 (pág. PDF 16)
28. En el derecho de portabilidad, ¿en qué formato tiene derecho el interesado a recibir sus datos?A) Estructurado, de uso común y lectura mecánica B) Impreso en papel y firmado por el responsable C) Cifrado, para que solo pueda leerlo el nuevo responsable D) Resumido en un informe sin datos identificativos Correcta: A. También puede pedir que se transmitan directamente a otro responsable cuando sea técnicamente posible.Fuente: Manual 2022, tema 12, apdo. 12.1.3 (pág. PDF 18)
29. ¿Cuándo debe el responsable realizar una evaluación de impacto relativa a la protección de datos?A) Siempre que se trate cualquier dato personal, sea cual sea el nivel de riesgo B) Cuando un tratamiento pueda entrañar un alto riesgo para los derechos de las personas C) Solo cuando la autoridad de control lo exija por escrito a la empresa D) Únicamente tras sufrir una violación de la seguridad de los datos Correcta: B. El caso típico es la evaluación sistemática y exhaustiva de aspectos personales, o el uso de nuevas tecnologías.Fuente: Manual 2022, tema 12, apdo. 12.1.4 (pág. PDF 24)
30. ¿Qué órgano es el de control interno en materia de prevención del blanqueo de capitales en Correos?A) El Comité de Cumplimiento B) El Consejo de Transparencia C) El Área de Seguridad de la Información D) La Comisión de Control Correcta: D. Se reúne al menos una vez al mes y su representante comunica al SEPBLAC lo que proceda.Fuente: Manual 2022, tema 12, apdo. 12.2.3 (pág. PDF 50-51)
31. Un empleado comunica una operación sospechosa al Área de Prevención del Blanqueo de Capitales. ¿En qué plazo máximo debe acusar recibo esta área?A) 5 días desde la recepción de la comunicación B) 24 horas desde la recepción de la comunicación C) 15 días naturales desde la recepción de la comunicación D) 3 meses desde la recepción de la comunicación Correcta: A. Después dispone de 3 meses para informar del estado y de 6 meses para terminar el análisis y notificar las medidas.Fuente: Manual 2022, tema 12, apdo. 12.2.4 (pág. PDF 61)
32. ¿Dónde recibe la formación en prevención del blanqueo el personal de distribución?A) En el Campus Virtual, igual que el personal de oficina B) Solo en cursos presenciales anuales C) En el espacio formativo de la PDA D) En la plataforma Conecta, sin registro de la formación Correcta: C. El personal de oficina la recibe en el Campus Virtual de Correos (CVC), y Formación registra la realizada y superada.Fuente: Manual 2022, tema 12, apdo. 12.2.3 (pág. PDF 49)
33. En el Código General de Conducta de Correos, ¿qué se dice de una situación de conflicto de interés?A) Es siempre una infracción grave, aunque se comunique a tiempo B) Solo es infracción si causa un perjuicio económico directo al Grupo C) No es infracción en sí, pero no divulgarla ni consultar cómo actuar sí lo es D) Debe resolverla por su cuenta el propio empleado sin avisar a nadie Correcta: C. El empleado debe informar al Comité de Cumplimiento por los canales internos, como el Canal de Comunicación y Denuncias.Fuente: Manual 2022, tema 12, apdo. 12.3.1 (pág. PDF 74)
34. ¿Qué garantiza el Grupo Correos al denunciante que utiliza el Canal de Comunicación y Denuncias?A) Que no habrá represalias contra él por parte de superiores ni de implicados B) Que su identidad será publicada para dar transparencia al caso a la plantilla C) Que la denuncia se resolverá siempre en un plazo máximo de una semana D) Que cobrará una compensación económica si se confirman los hechos Correcta: A. A cambio, debe usar el canal con honestidad y cooperar con el Comité de Cumplimiento durante la investigación.Fuente: Manual 2022, tema 12, apdo. 12.3.1 (pág. PDF 76)
35. Contra una resolución de un derecho de acceso a la información pública, ¿qué reclamación puede interponerse ante el Consejo de Transparencia y Buen Gobierno?A) Una reclamación obligatoria, en el plazo de tres meses B) Un recurso de alzada, en el plazo de diez días C) Una reclamación potestativa, en el plazo de un año D) Una reclamación potestativa, en el plazo de un mes Correcta: D. Es previa a la vía contencioso-administrativa y está prevista en el artículo 24 de la Ley 19/2013.Fuente: Manual 2022, tema 12, apdo. 12.3.2 (pág. PDF 117)
36. Según las normas de contraseñas de Correos, ¿cada cuánto se debe cambiar la contraseña como mínimo?A) Cada semana B) Una vez al año C) Cada cinco años D) Solo cuando el sistema lo bloquea Correcta: B. Además, una contraseña segura tiene al menos ocho caracteres alfanuméricos con mayúsculas, minúsculas, dígitos y signos.Fuente: Manual 2022, tema 12, apdo. 12.4.2 (pág. PDF 135)
37. ¿Cómo se llama la suplantación de identidad realizada mediante una llamada de voz?A) Phishing B) Smishing C) Pharming D) Vishing Correcta: D. El interlocutor se hace pasar por un empleado de confianza, suele usar urgencia y pide datos o credenciales.Fuente: Manual 2022, tema 12, apdo. 12.4.2 (pág. PDF 136)
38. Una persona recibe un correo, supuestamente de Correos, que le pide pagar online una tasa de aduana para recibir un paquete. ¿Qué debe saber?A) Correos nunca pide datos bancarios por e-mail ni pagos online para recibir un paquete B) Es un procedimiento habitual cuando el paquete viene del extranjero o de otro país C) Solo es fraude si el pago supera un importe determinado por la aduana D) Es válido si el correo incluye el logotipo oficial de Correos y su dirección Correcta: A. Las campañas que piden completar la dirección de entrega o pagar tasas son de las más habituales.Fuente: Manual 2022, tema 12, apdo. 12.4.2 (pág. PDF 136)
39. Entre las recomendaciones para proteger la PDA de reparto, ¿cuál se indica?A) Dejarla desbloqueada para agilizar las entregas B) Compartir la contraseña con el compañero de turno C) No conectarla a redes públicas D) Descargar aplicaciones desde cualquier tienda Correcta: C. También hay que bloquearla cuando no se usa y comunicar al CAU cualquier robo o pérdida.Fuente: Manual 2022, tema 12, apdo. 12.4.2 (pág. PDF 133)
40. Al usar servicios en la nube para guardar ficheros de trabajo, ¿qué se recomienda?A) Usar cualquier servicio gratuito y compartir los ficheros sin cifrar con todos B) Usar servicios que respeten la privacidad de la UE y no guardar todo solo en la nube C) Guardar la información solo en la nube para ahorrar copias locales de seguridad D) Compartir las claves con todo el equipo para facilitar el acceso a los ficheros Correcta: B. También conviene activar el doble factor de autenticación y almacenar cifrados los ficheros con datos personales.Fuente: Manual 2022, tema 12, apdo. 12.4.3 (pág. PDF 140)