Services RGPD / Espagne
RGPD et LOPDGDD en Espagne — ce que chaque norme exige
Le RGPD est le règlement européen, directement applicable en Espagne sans transposition. La LOPDGDD — Ley Orgánica 3/2018 sur la protection des données personnelles et la garantie des droits numériques — est la loi espagnole qui le développe, le précise et lui ajoute des obligations propres. Votre entreprise répond des deux, devant une seule autorité : l’AEPD.
Vous agissez pour un client ? Nous sommes mandatés derrière des conseils professionnels et nous vous rendons compte. La relation avec votre client reste la vôtre.
Ce que fait chaque norme, en termes clairs
Le RGPD pose le cadre
Les principes (licéité, minimisation, responsabilité), les bases légales, les droits des personnes, les rôles de responsable et de sous-traitant, les analyses d’impact, les violations et le régime de sanctions. Il est identique dans toute l’UE et n’a besoin d’aucune loi nationale pour s’appliquer.
La LOPDGDD ajoute les petites lignes espagnoles
Là où le règlement laisse une marge, l’Espagne l’a comblée : qui doit désigner un DPO (article 34), le devoir de blocage des données (article 32), l’âge du consentement des mineurs fixé à 14 ans, des règles concrètes pour la vidéosurveillance et les dispositifs d’alerte interne, et tout un titre de droits numériques — déconnexion, vie privée face aux appareils de l’entreprise et plus.
Responsable, sous-traitant et DPO — la distinction qui ordonne tout
Trois rôles qui reviennent confondus d’audit en audit — et dont la confusion invalide des contrats et des mentions entiers.
- RESPONSABLE du traitement : qui décide des finalités et des moyens — votre entreprise, pour ses propres données clients et salariés
- SOUS-TRAITANT : qui traite pour le compte du responsable — le prestataire de paie, le cabinet comptable, la plateforme cloud ; il faut un contrat article 28
- DPO (delegado de protección de datos) : la fonction indépendante qui supervise et conseille — elle ne décide d’aucune finalité, ne traite pour personne et répond de son jugement devant l’AEPD
La case dans laquelle tombe chaque prestataire et chaque service décide des contrats à signer, des mentions à donner et des responsabilités assumées. Mettre cela en ordre est en général le premier livrable de notre audit RGPD.
Ce que la LOPDGDD exige et que le RGPD ne mentionne jamais
- Article 34 : la liste espagnole des entités tenues de désigner un DPO — plus large que les trois déclencheurs européens
- Article 32 : le devoir de blocage — les données rectifiées ou effacées restent immobilisées pendant les délais de prescription
- Article 7 : consentement des mineurs valable dès 14 ans
- Article 22 : présomptions et règles propres à la vidéosurveillance
- Article 24 : dispositifs d’alerte interne
- Titre X : droits numériques — déconnexion, vie privée face aux appareils de l’entreprise et géolocalisation au travail
Aucune de ces obligations ne figure dans un modèle RGPD générique écrit pour toute l’Europe. C’est la couche qui distingue un prestataire qui connaît l’Espagne d’un prestataire qui traduit des documents.
Notre couverture
Un seul programme qui traite le RGPD et la LOPDGDD comme ce qu’ils sont — une seule obligation à deux sources. Un audit contre les deux lois, un DPO externalisé notifié à l’AEPD, des registres et contrats article 28 en ordre, et — pour les entreprises avec des clients britanniques — la couverture UK GDPR depuis notre entité du Royaume-Uni, vérifiable à Companies House (17350509), aux côtés de l’entité européenne au registre de Malte (C 95774).
Questions, réponses
Quelle est la différence entre responsable, sous-traitant et DPO en Espagne ?
Trois rôles que le RGPD définit précisément. Le responsable décide des finalités et des moyens — votre entreprise, pour ses propres données. Le sous-traitant traite pour le compte du responsable — prestataire de paie, cabinet comptable, plateforme cloud. Et le DPO ne traite pour personne : c’est la fonction indépendante qui supervise la conformité, conseille et sert d’interlocuteur à l’AEPD. Les confondre est l’erreur la plus fréquente que nous trouvons en audit.
Si nous respectons le RGPD, respectons-nous déjà la LOPDGDD ?
Pas automatiquement. La LOPDGDD développe le règlement européen pour l’Espagne et ajoute ses propres obligations : la liste de l’article 34 des entités tenues de désigner un DPO, le devoir de blocage de l’article 32, l’âge du consentement fixé à 14 ans, des règles propres à la vidéosurveillance et aux dispositifs d’alerte, et tout un titre de droits numériques. Une entreprise peut couvrir raisonnablement le RGPD et enfreindre malgré tout des obligations purement espagnoles.
Qu’est-ce que le devoir de blocage de l’article 32 LOPDGDD ?
Une particularité espagnole : quand une donnée est rectifiée ou effacée, le responsable doit la bloquer — la conserver immobilisée, à la disposition exclusive des juges, tribunaux, du ministère public ou des administrations compétentes, pendant les délais de prescription des responsabilités possibles. Ce n’est pas une simple suppression : c’est une obligation technique et organisationnelle concrète que beaucoup de fournisseurs étrangers de modèles RGPD ne mentionnent même pas.
Un cabinet de Malte et du Royaume-Uni peut-il gérer la conformité espagnole ?
Le RGPD est directement applicable dans toute l’UE, et notre entité européenne — Privacy Core Services Ltd, C 95774, Malte — est établie dans le même cadre que votre entreprise. Nous travaillons la couche espagnole (LOPDGDD, critères et guides de l’AEPD) comme partie du service, la désignation du DPO est notifiée à l’AEPD comme avec tout prestataire local, et nous ajoutons ce qu’un prestataire purement local n’a pas : la couverture UK GDPR depuis notre entité britannique pour les clients exposés au Royaume-Uni.
Commencez par une courte conversation
Dites-nous ce que votre entreprise traite et pour qui, et nous vous dirons clairement ce que le RGPD et la LOPDGDD exigent — et ce qu’ils n’exigent pas. Pas d’inscription automatique ; nous répondons sous un jour ouvré.