Jurisdicciones / España
RGPD y LOPDGDD — qué añade la ley española al reglamento europeo
El RGPD es el reglamento europeo, directamente aplicable en España sin necesidad de transposición. La LOPDGDD — Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales — es la ley española que lo desarrolla, lo concreta y le añade obligaciones propias. Su empresa responde ante las dos, y ante una sola autoridad: la AEPD.
¿Actúa para un cliente? Trabajamos detrás de asesorías y despachos profesionales y le informamos a usted. La relación con su cliente sigue siendo suya.
Qué pone cada norma, en términos claros
El RGPD pone el marco
Los principios (licitud, minimización, responsabilidad proactiva), las bases jurídicas, los derechos de los interesados, las figuras de responsable y encargado, las evaluaciones de impacto, las violaciones de seguridad y el régimen sancionador. Es idéntico en toda la UE y no necesita ley nacional para aplicarse.
La LOPDGDD pone la letra pequeña española
Dónde el reglamento deja margen, España lo ha rellenado: quién está obligado a designar DPD (artículo 34), el deber de bloqueo de los datos (artículo 32), la edad de consentimiento de los menores en 14 años, reglas concretas para videovigilancia y sistemas de denuncias internas, y el título de derechos digitales — desconexión, intimidad frente a dispositivos de la empresa y más.
Responsable, encargado y delegado — la distinción que lo ordena todo
Tres palabras que en las auditorías aparecen confundidas constantemente, y cuya confusión invalida contratos y avisos enteros.
- RESPONSABLE del tratamiento: quien decide los fines y los medios — su empresa, respecto de sus datos de clientes y empleados
- ENCARGADO del tratamiento: quien trata datos por cuenta del responsable — la gestoría, el proveedor de nómina, la plataforma en la nube; necesita contrato del artículo 28
- DELEGADO de protección de datos (DPD): la figura independiente que supervisa y asesora — no decide fines, no trata por cuenta de nadie, y responde de su criterio ante la AEPD
De la casilla en la que cae cada proveedor y cada departamento dependen los contratos que hay que firmar, los avisos que hay que dar y las responsabilidades que se asumen. Ponerlo en orden es normalmente el primer entregable de nuestra auditoría RGPD.
Lo que la LOPDGDD exige y el RGPD no menciona
- Artículo 34: la lista española de entidades obligadas a designar DPD — más amplia que los tres supuestos europeos
- Artículo 32: el deber de bloqueo — los datos rectificados o suprimidos se conservan inmovilizados durante los plazos de prescripción
- Artículo 7: consentimiento de los menores válido desde los 14 años
- Artículo 22: presunciones y reglas propias para la videovigilancia
- Artículo 24: sistemas de información de denuncias internas
- Título X: derechos digitales — desconexión digital, intimidad frente a dispositivos y geolocalización en el ámbito laboral
Ninguna de estas obligaciones aparece en una plantilla RGPD genérica escrita para toda Europa. Es la capa que distingue a un proveedor que conoce España de uno que traduce documentos.
Cómo lo cubrimos
Un solo programa que trata el RGPD y la LOPDGDD como lo que son — una sola obligación con dos fuentes. Auditoría contra ambas normas, DPD externo comunicado a la AEPD, registros y contratos del artículo 28 en orden, y — para empresas con clientes británicos — la cobertura del UK GDPR desde nuestra entidad del Reino Unido, verificable en Companies House (17350509), junto a la europea en el registro mercantil de Malta (C 95774).
Preguntas, respondidas
¿Cuál es la diferencia entre responsable, encargado y delegado?
Tres figuras distintas que el RGPD define con precisión. El responsable del tratamiento decide los fines y los medios — es su empresa, respecto de sus propios datos. El encargado del tratamiento trata datos por cuenta del responsable — su gestoría, su proveedor de nómina, su plataforma en la nube. Y el delegado de protección de datos (DPD) no trata datos por cuenta de nadie: es la figura independiente que supervisa el cumplimiento, asesora y actúa de interlocutor con la AEPD. Confundirlas es el error más frecuente que encontramos en las auditorías.
Si cumplimos el RGPD, ¿cumplimos ya la LOPDGDD?
No automáticamente. La LOPDGDD desarrolla y concreta el reglamento europeo para España y añade obligaciones propias: la lista de entidades obligadas a designar DPD del artículo 34, el deber de bloqueo de datos del artículo 32, la edad de consentimiento de los menores fijada en 14 años, reglas específicas para la videovigilancia y los sistemas de denuncias internas, y todo un título de derechos digitales. Una empresa puede tener el RGPD razonablemente cubierto y aun así incumplir obligaciones puramente españolas.
¿Qué es el deber de bloqueo del artículo 32 LOPDGDD?
Una particularidad española: cuando se rectifica o suprime un dato, el responsable debe bloquearlo — conservarlo inmovilizado, a disposición exclusiva de jueces, tribunales, el Ministerio Fiscal o las administraciones competentes, durante los plazos de prescripción de las posibles responsabilidades. No es simple borrado: es una obligación técnica y organizativa concreta que muchos proveedores extranjeros de plantillas RGPD ni mencionan.
¿Puede una firma de Malta y Reino Unido llevar el cumplimiento español?
El RGPD es directamente aplicable en toda la UE, y nuestra entidad europea — Privacy Core Services Ltd, C 95774, Malta — está establecida dentro del mismo marco que su empresa. Trabajamos la capa española (LOPDGDD, criterios y guías de la AEPD) como parte del servicio, la designación de DPD se comunica a la AEPD como con cualquier proveedor local, y añadimos algo que un proveedor puramente local no tiene: cobertura del UK GDPR desde nuestra entidad británica para clientes con exposición al Reino Unido.
Empiece con una conversación corta
Cuéntenos qué trata su empresa y para quién, y le diremos con claridad qué le exigen el RGPD y la LOPDGDD — y qué no. Sin alta automática; respondemos en un día laborable.