Recursos / Guía
Qué es el RGPD y qué exige a su empresa
El Reglamento General de Protección de Datos (RGPD) es la norma europea que regula cómo las organizaciones tratan los datos personales. Se aplica a casi cualquier empresa que trate datos de personas — clientes, empleados, usuarios de la web — y exige poder demostrar el cumplimiento, no solo afirmarlo.
El RGPD de un vistazo
- • Es el Reglamento (UE) 2016/679, aplicable desde el 25 de mayo de 2018 en toda la UE y el EEE.
- • Protege los datos personales: cualquier información sobre una persona física identificada o identificable.
- • Se aplica a responsables y encargados del tratamiento, dentro y — en ciertos casos — fuera de la UE.
- • En España lo complementa la Ley Orgánica 3/2018 (LOPDGDD), y la autoridad de control es la AEPD.
- • El principio central es la responsabilidad proactiva: hay que poder demostrar el cumplimiento con evidencias.
¿A quién se aplica el RGPD?
El RGPD se aplica a cualquier organización establecida en la UE que trate datos personales, con independencia de dónde tenga lugar el tratamiento. También alcanza a organizaciones de fuera de la UE cuando ofrecen bienes o servicios a personas en la UE u observan su comportamiento — el llamado alcance extraterritorial del artículo 3.
No importa el tamaño: una tienda en línea con diez clientes trata datos personales igual que una multinacional. Lo que cambia con el tamaño y el riesgo es la profundidad de las medidas: registros, evaluaciones de impacto, delegado de protección de datos y las medidas técnicas y organizativas.
Los principios que ordenan todo lo demás
- Licitud, lealtad y transparencia: cada tratamiento necesita una base jurídica del artículo 6 y una información clara al interesado.
- Limitación de la finalidad: los datos se recogen para fines determinados, explícitos y legítimos.
- Minimización de datos: solo los datos adecuados, pertinentes y limitados a lo necesario.
- Exactitud: los datos inexactos se corrigen o suprimen sin dilación.
- Limitación del plazo de conservación: los datos no se guardan más tiempo del necesario.
- Integridad y confidencialidad: seguridad adecuada, incluido el cifrado cuando procede (artículo 32).
- Responsabilidad proactiva: el responsable debe poder demostrar todo lo anterior.
Responsable y encargado del tratamiento
El responsable del tratamiento decide los fines y medios: es la empresa que determina por qué y cómo se tratan los datos. El encargado del tratamiento trata datos por cuenta del responsable — por ejemplo, un proveedor de nómina o de alojamiento. La relación se regula por contrato conforme al artículo 28, y cada figura tiene obligaciones propias.
El delegado de protección de datos (DPD)
El DPD informa, asesora y supervisa el cumplimiento con independencia. Es obligatorio para autoridades públicas, cuando las actividades principales exigen una observación habitual y sistemática a gran escala, o cuando se tratan a gran escala categorías especiales de datos (artículo 37). La LOPDGDD añade en su artículo 34 una lista de entidades que deben designarlo en España. Muchas empresas optan por un DPD externo para obtener independencia y experiencia sin contratar internamente.
Qué añade la LOPDGDD en España
La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), adapta el RGPD al ordenamiento español. Entre otras cosas, concreta la edad de consentimiento de los menores (14 años), regula la lista de entidades obligadas a designar un DPD y su comunicación a la AEPD, y añade los derechos digitales (desconexión digital, intimidad frente a dispositivos en el trabajo, etc.).
En la práctica, una empresa que opera en España cumple el RGPD y la LOPDGDD juntos: el reglamento fija el marco europeo y la ley orgánica lo concreta. La autoridad de control competente es la Agencia Española de Protección de Datos (AEPD).
Los derechos de los interesados
- Acceso: saber si se tratan sus datos y obtener una copia.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión («derecho al olvido»): eliminar los datos cuando ya no son necesarios o el tratamiento es ilícito.
- Limitación del tratamiento: congelar el uso de los datos en determinados supuestos.
- Portabilidad: recibir los datos en un formato estructurado y de uso común.
- Oposición: oponerse al tratamiento basado en interés legítimo o con fines de mercadotecnia directa.
- No ser objeto de decisiones automatizadas con efectos jurídicos sin garantías adecuadas.
Las solicitudes deben atenderse, por regla general, en el plazo de un mes. Un proceso ordenado de gestión de solicitudes de los interesados evita plazos incumplidos y respuestas incompletas.
Por dónde empezar: un programa RGPD en seis pasos
Mapear los datos
Identifique qué datos personales trata, de quién, dónde se almacenan y con qué proveedores se comparten.
Crear el RAT
Documente el registro de las actividades de tratamiento del artículo 30 — la columna vertebral de las evidencias.
Fijar las bases jurídicas
Asigne a cada tratamiento su base del artículo 6 y revise el consentimiento donde se use.
Informar con claridad
Actualice la política de privacidad, los avisos y el banner de cookies para reflejar la realidad.
Asegurar y contratar
Aplique medidas del artículo 32 y firme contratos del artículo 28 con los encargados.
Operar y demostrar
EIPD cuando haya alto riesgo, gestión de solicitudes e incidentes, formación y revisión periódica.
Errores frecuentes
- Copiar una política de privacidad de otra web sin adaptarla a los tratamientos reales.
- Pedir consentimiento para todo, incluso donde la base correcta es el contrato o el interés legítimo.
- Tratar el RGPD como un proyecto único en lugar de un programa continuo con revisiones.
- Olvidar a los encargados: proveedores sin contrato del artículo 28 ni garantías de transferencia.
- No documentar las decisiones — sin evidencias, el cumplimiento no se puede demostrar.
- Designar un DPD sin independencia real o sin comunicarlo a la AEPD cuando es obligatorio.
Aplíquelo a su empresa
Nuestro equipo construye programas RGPD con evidencias listas para auditoría: desde la auditoría y el análisis de brechas hasta el DPD externo y las evaluaciones de impacto. Cuéntenos su punto de partida y recibirá un presupuesto cerrado en 24 horas.
Qué es el RGPD — preguntas frecuentes
¿El RGPD se aplica a mi pequeña empresa?
Sí, si trata datos personales — clientes, empleados, usuarios de la web. El RGPD no tiene umbral de tamaño; lo que se ajusta al tamaño y al riesgo es la profundidad de las medidas y la documentación.
¿Cuál es la diferencia entre el RGPD y la LOPDGDD?
El RGPD es el reglamento europeo, directamente aplicable en toda la UE. La LOPDGDD es la ley orgánica española que lo adapta y concreta: edad de consentimiento, lista de entidades obligadas a designar DPD, derechos digitales y régimen sancionador nacional.
¿Necesito un delegado de protección de datos?
Depende de sus actividades. Es obligatorio en los supuestos del artículo 37 del RGPD y en la lista del artículo 34 de la LOPDGDD. Incluso cuando no es obligatorio, muchas empresas designan un DPD externo por la supervisión independiente y la experiencia que aporta. Nuestra evaluación de necesidad de DPD le da una respuesta preliminar documentada.
¿Qué pasa si mi empresa está fuera de la UE y vende a clientes españoles?
El RGPD puede aplicarse por su alcance extraterritorial, y podría necesitar además un representante en la UE conforme al artículo 27. El análisis se hace actividad por actividad — consulte nuestra guía sobre el artículo 27 para los detalles.
¿Se pregunta si necesita un DPD? Pruebe la evaluación de necesidad de DPD, o lea El artículo 27 explicado si opera desde fuera de la UE.
Fuentes primarias
- Texto consolidado del Reglamento (UE) 2016/679 — RGPD (EUR-Lex).
- Ley Orgánica 3/2018, de 5 de diciembre — LOPDGDD (BOE).
- Guías y herramientas de la Agencia Española de Protección de Datos (AEPD).
- Directrices del Comité Europeo de Protección de Datos (CEPD).