El RGPD —Reglamento General de Protección de Datos, oficialmente Reglamento (UE) 2016/679— es la norma europea que regula cómo las organizaciones deben tratar los datos personales de cualquier persona en la Unión Europea. Publicado el 4 de mayo de 2016 y aplicable desde el 25 de mayo de 2018, sustituyó a la antigua Directiva 95/46/CE y transformó por completo el escenario del cumplimiento normativo en Europa.
A diferencia de una directiva, el RGPD es un reglamento de aplicación directa: no necesita transposición nacional para ser vinculante. Eso significa que obliga por igual a una empresa en España, en Alemania o en Polonia sin que cada Estado pueda rebajar sus exigencias.
Esta guía resume sus 99 artículos y 11 capítulos en un formato accesible, con tablas y ejemplos, para que cualquier responsable empresarial entienda qué le exige la norma y qué consecuencias tiene no cumplirla.
RGPD y LOPDGDD: dos normas que van de la mano
El RGPD convive en España con la LOPDGDD (Ley Orgánica 3/2018). No son alternativas: son complementarias. El RGPD fija el marco europeo; la LOPDGDD lo desarrolla y adapta al ordenamiento español.
| Característica | RGPD (UE 2016/679) | LOPDGDD (LO 3/2018) |
|---|---|---|
| Naturaleza | Reglamento europeo (aplicación directa) | Ley Orgánica española |
| Vigencia | 25 mayo 2018 | 7 diciembre 2018 |
| Ámbito | Todos los Estados miembro de la UE | Solo España |
| Función | Marco general europeo | Adapta y desarrolla el RGPD en España |
| Menores | 16 años (referencia) | 14 años (art. 7 LOPDGDD) |
| Derechos digitales | No contempla | Título X: 22 nuevos derechos |
| DPD sectorial | Art. 37: criterios generales | Art. 34: lista sectorial española |
| Órgano de control | Autoridades nacionales + EDPB | AEPD (Agencia Española de Protección de Datos) |
Estructura del RGPD: 11 Capítulos y 99 artículos
El RGPD se organiza en 11 Capítulos que van desde las definiciones básicas hasta las disposiciones finales. Sus 173 considerandos (recitals) no tienen fuerza normativa directa pero son esenciales para interpretar correctamente los artículos.
| Capítulo | Contenido | Artículos clave |
|---|---|---|
| Cap. I | Disposiciones generales | Art. 1–4 · Objeto, ámbito, definiciones |
| Cap. II | Principios | Art. 5–11 · Licitud, finalidad, minimización, exactitud, limitación, integridad |
| Cap. III | Derechos del interesado | Art. 12–23 · Acceso, rectificación, supresión, portabilidad… |
| Cap. IV | Responsable y encargado del tratamiento | Art. 24–43 · RAT, privacidad por diseño, contratos, DPD, EIPD |
| Cap. V | Transferencias internacionales | Art. 44–49 · Decisiones de adecuación, garantías, DPF |
| Cap. VI | Autoridades de control independientes | Art. 51–59 · AEPD y equivalentes en cada Estado |
| Cap. VII | Cooperación y coherencia | Art. 60–76 · Ventanilla única, EDPB, mecanismo de coherencia |
| Cap. VIII | Recursos, responsabilidad y sanciones | Art. 77–84 · Reclamaciones, indemnizaciones, multas |
| Cap. IX | Situaciones específicas de tratamiento | Art. 85–91 · Periodismo, archivos, salud, iglesias… |
| Cap. X | Actos delegados y de ejecución | Art. 92–93 |
| Cap. XI | Disposiciones finales | Art. 94–99 · Derogación Directiva 95/46/CE, entrada en vigor |
Ámbito de aplicación: ¿a quién obliga el RGPD?
El RGPD tiene un ámbito territorial extraordinariamente amplio (art. 3). No solo aplica a organizaciones establecidas en la UE: también aplica a cualquier organización fuera de la UE que ofrezca bienes o servicios a personas en la UE, o que monitorice su comportamiento.
- Ámbito material (art. 2): cualquier tratamiento de datos personales total o parcialmente automatizado, y también el tratamiento no automatizado cuando los datos formen parte de un fichero.
- Quedan excluidos: actividades fuera del ámbito del Derecho de la UE, seguridad nacional, actividades estrictamente personales o domésticas.
- Quién es el responsable: quien determina los fines y medios del tratamiento (art. 4.7).
- Quién es el encargado: quien trata datos por cuenta del responsable (art. 4.8).
Los principios del tratamiento (art. 5): la columna vertebral del RGPD
El artículo 5 recoge los 7 principios que rigen cualquier tratamiento de datos personales. Son el punto de partida de cualquier análisis de cumplimiento: si un tratamiento no puede encuadrarse bajo estos principios, no debe realizarse.
| Principio | Qué exige |
|---|---|
| Licitud, lealtad y transparencia | Los datos deben tratarse de forma lícita (con base jurídica), leal (sin engaños) y transparente (el interesado debe saber qué se hace con sus datos). |
| Limitación de la finalidad | Los datos se recogen para fines determinados, explícitos y legítimos. No pueden usarse después para fines incompatibles con el original. |
| Minimización | Solo se pueden tratar los datos adecuados, pertinentes y limitados a lo necesario para el fin perseguido. |
| Exactitud | Los datos deben ser exactos y actualizados. Los inexactos deben suprimirse o rectificarse sin dilación. |
| Limitación del plazo de conservación | Los datos no pueden conservarse más tiempo del necesario. Transcurrido el plazo, deben suprimirse o anonimizarse. |
| Integridad y confidencialidad | Los datos deben tratarse con medidas técnicas y organizativas que garanticen su seguridad frente a accesos no autorizados, pérdida o destrucción. |
| Responsabilidad proactiva (accountability) | El responsable debe poder demostrar activamente que cumple todos los principios anteriores. La carga de la prueba recae sobre él. |
Las bases de legitimación del tratamiento (art. 6)
Para que un tratamiento sea lícito, debe apoyarse en al menos una de las seis bases jurídicas del artículo 6. Elegir la base correcta no es un trámite: determina los derechos que puede ejercer el interesado, las obligaciones de información y la posibilidad de seguir tratando los datos si la base desaparece.
| Base | Cuándo aplica | Ejemplo práctico |
|---|---|---|
| Art. 6.1.a — Consentimiento | El interesado ha dado su consentimiento libre, específico, informado e inequívoco. | Newsletter de marketing |
| Art. 6.1.b — Contrato | Tratamiento necesario para ejecutar un contrato o para medidas precontractuales. | Datos de empleados, datos de clientes para facturación |
| Art. 6.1.c — Obligación legal | Tratamiento necesario para cumplir una obligación legal aplicable al responsable. | Retención de datos contables por normativa fiscal |
| Art. 6.1.d — Interés vital | Proteger intereses vitales del interesado u otras personas naturales. | Situación de emergencia médica |
| Art. 6.1.e — Interés público | Tratamiento necesario para el cumplimiento de una misión de interés público o el ejercicio de poderes públicos. | Administraciones públicas, organismos reguladores |
| Art. 6.1.f — Interés legítimo | Interés legítimo del responsable o un tercero, siempre que no prevalezcan los intereses o derechos del interesado (test de balance). | Seguridad de redes, prevención del fraude, marketing B2B |
Importante sobre el consentimiento (art. 7): debe ser libre, específico, informado e inequívoco. Las casillas premarcadas, el silencio y el consentimiento genérico no son válidos. Además, el interesado puede retirar el consentimiento en cualquier momento con la misma facilidad con que lo otorgó.
Datos de categorías especiales: el nivel más alto de protección (art. 9)
El RGPD prohíbe como regla general el tratamiento de ciertos datos por su especial sensibilidad. Solo pueden tratarse si concurre alguna de las excepciones tasadas del art. 9.2, y aplicando medidas reforzadas en todo caso.
- Datos que revelan el origen étnico o racial
- Opiniones políticas, convicciones religiosas o filosóficas
- Afiliación sindical
- Datos genéticos y biométricos orientados a identificar a una persona de forma unívoca
- Datos relativos a la salud
- Datos sobre la vida sexual u orientación sexual
Los datos biométricos en el entorno laboral merecen atención especial: su tratamiento está sujeto a restricciones severas. Según el criterio de la AEPD (Informe 0023/2023), el uso de sistemas biométricos —como el control de acceso por huella dactilar— carece de habilitación legal expresa en el ámbito laboral ordinario y, por tanto, requiere análisis jurídico individualizado antes de cualquier implantación.
"El RGPD no es burocracia: es arquitectura. Quien lo entiende así deja de preguntar qué documentos necesita y empieza a preguntar cómo trata los datos de sus clientes. Esa diferencia de enfoque separa a las empresas que cumplen de las que sólo aparentan hacerlo."
Mario P. Talamillo · Socio director, Certix®
Derechos de los interesados (arts. 12–23): el acrónimo ARSULIPO
El Capítulo III del RGPD reconoce un catálogo amplio de derechos que cualquier persona puede ejercer frente al responsable del tratamiento. El plazo general de respuesta es 1 mes, ampliable a 3 en casos complejos (siempre informando al interesado).
| Derecho | Artículo | Qué permite al interesado |
|---|---|---|
| Acceso | Art. 15 | Obtener confirmación de si sus datos son tratados, y acceder a ellos con información completa sobre el tratamiento. |
| Rectificación | Art. 16 | Corregir datos inexactos o completar datos incompletos. |
| Supresión ("derecho al olvido") | Art. 17 | Obtener la eliminación de sus datos cuando ya no sean necesarios, se retire el consentimiento o el tratamiento sea ilícito, entre otras causas. |
| Limitación | Art. 18 | Suspender el tratamiento mientras se resuelve una disputa sobre exactitud o ilicitud, conservando los datos bloqueados. |
| Portabilidad | Art. 20 | Recibir sus datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable. Solo aplica cuando la base es consentimiento o contrato y el tratamiento es automatizado. |
| Oposición | Art. 21 | Oponerse al tratamiento cuando la base sea interés legítimo o interés público. El responsable debe cesar el tratamiento salvo motivos imperiosos. |
| No decisiones automatizadas | Art. 22 | No ser objeto de decisiones basadas exclusivamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o le afecten significativamente. |
Obligaciones del responsable del tratamiento (Cap. IV)
El Capítulo IV es el más extenso y el que genera mayor volumen de trabajo práctico. Establece las obligaciones concretas que debe cumplir el responsable —y, en su caso, el encargado— del tratamiento.
| Obligación | Artículo | En qué consiste |
|---|---|---|
| Responsabilidad proactiva | Art. 24 | Aplicar medidas técnicas y organizativas apropiadas y poder demostrar que el tratamiento es conforme al RGPD. |
| Privacidad por diseño y por defecto | Art. 25 | Integrar la protección de datos desde el diseño del sistema y configurar los ajustes más restrictivos por defecto. |
| Contratos con encargados | Art. 28 | Formalizar contrato de encargo de tratamiento con todos los proveedores que accedan a datos personales por cuenta del responsable (cláusulas mínimas obligatorias). |
| Registro de actividades de tratamiento (RAT) | Art. 30 | Mantener un registro escrito de todos los tratamientos: finalidades, categorías de datos, plazos de conservación, medidas de seguridad. Obligatorio para la mayoría de organizaciones. |
| Medidas de seguridad | Art. 32 | Implementar medidas técnicas y organizativas apropiadas al riesgo: cifrado, seudonimización, control de accesos, planes de continuidad, auditorías… |
| Notificación de brechas a la autoridad | Art. 33 | Notificar a la AEPD en el plazo de 72 horas cualquier violación de seguridad que suponga un riesgo para los derechos y libertades de las personas. |
| Comunicación de brechas a interesados | Art. 34 | Cuando la brecha suponga un alto riesgo para los interesados, comunicársela sin dilación indebida en términos claros y sencillos. |
| Evaluación de impacto (EIPD/DPIA) | Art. 35 | Obligatoria cuando el tratamiento entrañe un alto riesgo: nuevas tecnologías, decisiones automatizadas con efectos jurídicos, tratamiento a gran escala de datos sensibles, videovigilancia de zonas públicas… |
| Consulta previa | Art. 36 | Si la EIPD concluye que el riesgo residual es alto y no puede mitigarse, el responsable debe consultar a la autoridad de control antes de iniciar el tratamiento. |
El Delegado de Protección de Datos (DPD/DPO): arts. 37–39
El RGPD establece en el artículo 37 los criterios generales que determinan la obligación de designar un Delegado de Protección de Datos (DPD), también conocido como DPO (Data Protection Officer). En España, el artículo 34 de la LOPDGDD amplía y concreta este listado para sectores específicos del tejido empresarial español.
¿Cuándo es obligatorio según el art. 37 RGPD?
- Cuando el tratamiento lo lleva a cabo una autoridad u organismo público (con excepciones).
- Cuando las actividades principales del responsable o encargado requieren una observación habitual y sistemática a gran escala de interesados.
- Cuando las actividades principales implican el tratamiento a gran escala de categorías especiales de datos (art. 9) o de datos relativos a condenas penales (art. 10).
La determinación de si una organización está obligada depende del análisis concreto de sus tratamientos: escala, frecuencia, categorías de datos y tipología de actividad. Esta es información orientativa; cada caso requiere análisis individualizado.
¿Qué hace el DPD? (art. 39)
- Informar y asesorar al responsable, al encargado y a los empleados sobre las obligaciones del RGPD.
- Supervisar el cumplimiento del RGPD y de las políticas internas.
- Asesorar en la realización de evaluaciones de impacto (EIPD).
- Actuar como punto de contacto con la autoridad de control (AEPD).
- Atender las consultas de los interesados sobre el ejercicio de sus derechos.
El DPD puede ser interno (empleado) o externo (servicio externalizado). En todo caso, debe contar con conocimientos especializados en Derecho y práctica en materia de protección de datos, y debe actuar con total independencia (art. 38): no puede recibir instrucciones sobre cómo ejercer sus funciones y no puede ser sancionado por hacerlas.
La Evaluación de Impacto (EIPD / DPIA): art. 35
La EIPD (Evaluación de Impacto relativa a la Protección de Datos) —o DPIA en inglés— es el instrumento del RGPD para gestionar los tratamientos de alto riesgo antes de iniciarlos. No es un trámite documental: es un proceso de análisis que debe llevar a decisiones reales sobre si el tratamiento puede realizarse y con qué medidas.
Cuándo es obligatoria:
- Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluida la elaboración de perfiles, y que produzca efectos jurídicos.
- Tratamiento a gran escala de categorías especiales (art. 9) o datos penales (art. 10).
- Observación sistemática a gran escala de una zona de acceso público (videovigilancia).
- Tratamientos incluidos en las listas de la AEPD de operaciones que requieren EIPD.
Contenido mínimo de la EIPD (art. 35.7):
- Descripción sistemática de las operaciones de tratamiento y sus fines.
- Evaluación de la necesidad y proporcionalidad.
- Evaluación de los riesgos para los derechos y libertades de los interesados.
- Medidas previstas para hacer frente a los riesgos, incluidas garantías, medidas de seguridad y mecanismos para garantizar la protección de datos.
Transferencias internacionales de datos (Cap. V)
Cuando los datos personales de personas en la UE se transfieren a un tercer país fuera del EEE (Espacio Económico Europeo), el RGPD exige que el nivel de protección no se degrade. Los artículos 44 a 49 establecen los mecanismos para garantizarlo.
| Mecanismo | En qué consiste | Países / Ejemplos |
|---|---|---|
| Decisión de adecuación (art. 45) | La Comisión Europea ha reconocido que el tercer país ofrece un nivel adecuado de protección. No se necesitan garantías adicionales. | Reino Unido, Japón, Suiza, Canadá, Israel, Nueva Zelanda… |
| Cláusulas contractuales tipo (CCT) (art. 46) | Contratos estándar aprobados por la Comisión que obligan al destinatario a ofrecer garantías equivalentes al RGPD. | Usadas con proveedores fuera del EEE sin adecuación |
| Data Privacy Framework — DPF (art. 45) | Decisión de adecuación específica para EE.UU. (vigente desde julio 2023). Las empresas estadounidenses adheridas al DPF pueden recibir datos sin CCT adicionales. | Google, Microsoft, Meta, Salesforce, AWS y miles de empresas adheridas al DPF |
| Normas corporativas vinculantes (BCR) (art. 47) | Políticas internas de protección de datos aprobadas por la autoridad de control, para transferencias intragrupo multinacional. | Grupos empresariales con filiales en países sin adecuación |
| Excepciones (art. 49) | En ausencia de los mecanismos anteriores, solo en circunstancias específicas: consentimiento explícito del interesado, ejecución de un contrato, interés público importante… | Uso puntual, no para transferencias masivas o habituales |
Nota sobre SaaS y herramientas cloud de proveedores en EE.UU.: si el proveedor está adherido al Data Privacy Framework (DPF), la transferencia es válida directamente. Antes de usar cualquier herramienta SaaS que procese datos personales, verifique si el proveedor figura en la lista pública del DPF (dataprivacyframework.gov). En caso contrario, será necesario recurrir a CCT u otro mecanismo del art. 46.
El régimen sancionador del RGPD (art. 83)
El RGPD establece un régimen de multas administrativas que supuso un punto de inflexión respecto a la normativa anterior. Las sanciones son proporcionadas, efectivas y disuasorias, y se determinan caso a caso atendiendo a criterios como la naturaleza, gravedad y duración de la infracción, el número de afectados, los daños sufridos y el comportamiento del infractor.
| Nivel | Sanción máxima | Infracciones |
|---|---|---|
| Nivel 1 (art. 83.4) | 10.000.000 € o 2% del volumen de negocio anual global | Incumplimiento de obligaciones de responsable/encargado (arts. 8, 11, 25–39, 42–43), o condiciones de certificación. |
| Nivel 2 (art. 83.5) | 20.000.000 € o 4% del volumen de negocio anual global | Infracción de principios (art. 5), bases de licitud (art. 6), condiciones de consentimiento (arts. 7 y 9), derechos de los interesados (arts. 12–22), transferencias internacionales (arts. 44–49). |
En España, la LOPDGDD adapta este régimen sancionador y lo complementa con un sistema de gradación propio (leve, grave, muy grave) que la AEPD aplica en sus procedimientos sancionadores.
La AEPD y el EDPB: la arquitectura de supervisión
El RGPD crea una arquitectura de supervisión descentralizada pero coordinada. Cada Estado miembro designa una o varias autoridades de control independientes. En España, esa autoridad es la AEPD (Agencia Española de Protección de Datos).
Por encima de las autoridades nacionales, el RGPD crea el EDPB (European Data Protection Board / Comité Europeo de Protección de Datos), integrado por los responsables de todas las autoridades nacionales y el Supervisor Europeo de Protección de Datos. El EDPB adopta directrices, recomendaciones y mejores prácticas que los responsables deben tener en cuenta.
El mecanismo de ventanilla única (art. 56) permite que las empresas con actividades transfronterizas en la UE sean supervisadas principalmente por la autoridad del Estado miembro donde tengan su establecimiento principal.
Checklist de cumplimiento RGPD
Este es un resumen operativo de los elementos que toda organización que trate datos personales debería tener en orden:
| ✓ | Elemento | Referencia |
|---|---|---|
| □ | Registro de actividades de tratamiento (RAT) | Art. 30 RGPD |
| □ | Cláusulas informativas y política de privacidad actualizadas | Arts. 13–14 RGPD |
| □ | Contratos de encargo de tratamiento con todos los proveedores | Art. 28 RGPD |
| □ | Política y medidas de seguridad documentadas | Art. 32 RGPD |
| □ | Protocolo de gestión de brechas de seguridad | Arts. 33–34 RGPD |
| □ | Procedimiento de atención de derechos ARSULIPO | Arts. 12–22 RGPD |
| □ | Análisis y legitimación de cada base de tratamiento | Art. 6 RGPD |
| □ | Evaluación sobre obligatoriedad de DPD | Art. 37 RGPD · Art. 34 LOPDGDD |
| □ | EIPD para tratamientos de alto riesgo | Art. 35 RGPD |
| □ | Verificación de transferencias internacionales (DPF / CCT / adecuación) | Arts. 44–49 RGPD |
| □ | Formación del personal con acceso a datos personales | Art. 24 RGPD · Considerando 39 |
| □ | Revisión y actualización ante cambios en tratamientos | Art. 24 RGPD (evaluación continua basada en el riesgo) |
Preguntas frecuentes sobre el RGPD
¿El RGPD solo aplica a grandes empresas?
No. El RGPD aplica a cualquier organización —independientemente de su tamaño— que trate datos personales de personas en la UE en el ejercicio de una actividad profesional o empresarial. La diferencia por tamaño está en algunas excepciones puntuales (por ejemplo, el RAT puede eximirse en ciertas microempresas si el tratamiento no es habitual ni implica datos sensibles), pero la obligación de cumplir los principios y proteger los derechos de los interesados es universal.
¿Qué diferencia hay entre responsable y encargado del tratamiento?
El responsable decide los fines y los medios del tratamiento (tu empresa cuando trata datos de sus clientes o empleados). El encargado trata datos por cuenta del responsable y siguiendo sus instrucciones (la asesoría laboral que gestiona nóminas, el proveedor de software CRM, la empresa de mensajería que entrega paquetes con los datos de clientes). La relación entre ambos debe formalizarse siempre en un contrato escrito con el contenido mínimo del art. 28 RGPD.
¿Qué es el RAT y quién debe tenerlo?
El Registro de Actividades de Tratamiento (RAT) es el inventario documentado de todos los tratamientos de datos que realiza una organización: qué datos trata, con qué finalidad, quiénes son los encargados, cuánto tiempo se conservan y qué medidas de seguridad se aplican. El art. 30.5 RGPD permite excepciones para organizaciones con menos de 250 empleados cuyo tratamiento no sea habitual, no afecte a datos especiales ni suponga riesgo para los derechos de las personas. En la práctica, la gran mayoría de empresas debe mantenerlo.
¿Cuándo debo notificar una brecha de seguridad a la AEPD?
Cuando sufras una violación de seguridad que suponga un riesgo para los derechos y libertades de las personas afectadas, tienes 72 horas desde que tengas conocimiento de ella para notificarlo a la AEPD (art. 33 RGPD). Si aún no tienes toda la información, puedes notificar en fases. Si la brecha supone un alto riesgo para los interesados, también debes comunicársela a ellos directamente (art. 34).
¿El consentimiento es siempre la base jurídica más segura?
Es un error común asumir que el consentimiento es la base jurídica preferente. De hecho, usarlo cuando otra base es más adecuada puede perjudicar al responsable: si el interesado retira el consentimiento, el tratamiento debe cesar, incluso aunque hubiera sido necesario para la relación contractual. El consentimiento es la base correcta para tratamientos opcionales (marketing, cookies no esenciales). Para la ejecución de un contrato, las obligaciones legales o el interés legítimo, deben usarse las bases correspondientes.
¿El RGPD exige auditorías periódicas?
El RGPD no establece una periodicidad fija para las auditorías de protección de datos. La obligación del responsable es mantener una evaluación continua basada en el riesgo (art. 24) y adaptar sus medidas cuando cambien los tratamientos, la tecnología o el contexto normativo. La frecuencia concreta de una revisión formal depende de la naturaleza de cada organización y sus tratamientos.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. Para una evaluación de la situación de tu organización, contacta con un especialista en protección de datos.