- El RGPD es el Reglamento General de Protección de Datos, el Reglamento (UE) 2016/679. Regula cómo puede su empresa recoger y usar los datos de las personas y qué derechos tienen ellas.
- Se aplica en toda la Unión Europea desde el 25 de mayo de 2018. Art. 99
- En España lo completa la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y su cumplimiento lo supervisa la Agencia Española de Protección de Datos (AEPD).
- Se creó porque la norma europea anterior era de 1995, anterior a las redes sociales y a los smartphones, y cada país la aplicaba a su manera.
- Su empresa está obligada aunque sea pequeña: basta con tener una lista de clientes, de empleados o de suscriptores. Art. 2 y 3
- Las multas pueden llegar a 20 millones de euros o al 4 % del volumen de negocio anual mundial, si esta segunda cifra es mayor. Art. 83.5
Qué es el RGPD
Es la ley europea de protección de datos personales. Al ser un reglamento, se aplica en España directamente y tal como está redactado. La LOPDGDD no lo sustituye: desarrolla lo que el propio RGPD deja en manos de cada país y añade un título dedicado a los derechos digitales.
Para saber si algo que hace su empresa entra en el RGPD, le bastan dos definiciones.
Un dato personal es cualquier información sobre una persona identificable: el nombre, el correo electrónico, el número de cliente, la matrícula de la furgoneta de un proveedor o la dirección IP de quien entra en su tienda online. Art. 4.1
Un tratamiento es casi cualquier cosa que haga con esos datos: recogerlos, guardarlos, consultarlos, enviarlos por correo o borrarlos. Una simple hoja de Excel con la lista de clientes ya cuenta. Art. 4.2
Quedan fuera, en cambio, los contactos que guarda en el móvil para uso personal. Art. 2.2.c
En España, la autoridad de control es la AEPD. Cataluña, el País Vasco y Andalucía tienen además su propia autoridad para el sector público de su territorio, pero a una empresa privada le corresponde siempre la AEPD. Todas las autoridades de la UE se coordinan en el Comité Europeo de Protección de Datos (CEPD), que publica directrices sobre cómo interpretar el Reglamento. Si le surge una duda de interpretación, acuda primero a las directrices del CEPD y a las guías de la AEPD.
Por qué se creó el RGPD
El RGPD sustituyó a la Directiva 95/46/CE, de 1995. Los considerandos (el texto que precede a los artículos y explica qué buscaba el legislador) recogen cuatro motivos para el cambio.
La tecnología había superado la ley de 1995
En 1995 poca gente tenía correo electrónico en casa. Veinte años después, nuestros datos pasaban por redes sociales, tiendas online, servicios en la nube y empresas de publicidad que elaboran perfiles. El Reglamento señala como nuevos retos la “rápida evolución tecnológica” y la globalización. Considerando 6
Cada país tenía reglas distintas
La directiva de 1995 había que trasponerla, y cada país aprobó su propia ley. España, que ya tenía la LORTAD de 1992, la sustituyó por la LOPD de 1999; Francia, Italia y Alemania tenían las suyas, cada una con sus plazos, excepciones y sanciones. Una tienda online que vendiera en España, Francia y Portugal se topaba con tres regímenes distintos para el mismo tipo de cliente. El RGPD reconoce que esa fragmentación creaba inseguridad jurídica y frenaba el mercado interior. Considerandos 9 y 10
La protección de datos pasó a ser un derecho fundamental
En España, la Constitución de 1978 ya encargaba a la ley limitar “el uso de la informática” para proteger la intimidad (art. 18.4). En 2009, con el Tratado de Lisboa, la Carta de los Derechos Fundamentales de la UE pasó a ser vinculante, y su artículo 8 reconoce que “toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan”. Y el artículo 16 del Tratado de Funcionamiento de la UE dio a la Unión la base para legislar con una regla única para todos. Considerando 1
Las personas habían perdido el control
El Reglamento quiere que cada persona controle sus propios datos y que haya la confianza necesaria para que crezca la economía digital. Considerando 7 Dos hechos aceleraron las negociaciones: las revelaciones sobre vigilancia masiva de 2013 y la sentencia del Tribunal de Justicia de la UE sobre el “derecho al olvido” en 2014, que tuvo su origen en la reclamación de un ciudadano español contra Google ante la AEPD.
De la propuesta a la aplicación
| Fecha | Qué pasó |
|---|---|
| 29 oct. 1992 | España aprueba la LORTAD (Ley Orgánica 5/1992) |
| 24 oct. 1995 | Se adopta la Directiva 95/46/CE |
| 13 dic. 1999 | La LOPD (Ley Orgánica 15/1999) sustituye a la LORTAD |
| 25 ene. 2012 | La Comisión Europea propone el nuevo reglamento |
| 13 may. 2014 | Sentencia del “derecho al olvido” (asunto C-131/12, Google Spain) |
| 27 abr. 2016 | El Parlamento Europeo y el Consejo adoptan el RGPD |
| 25 may. 2018 | El RGPD empieza a aplicarse y la directiva queda derogada |
| 5 dic. 2018 | España aprueba la LOPDGDD (Ley Orgánica 3/2018) |
Entre la adopción y la aplicación, las empresas tuvieron dos años para prepararse. Muchas lo dejaron para mayo de 2018: de ahí aquella avalancha de correos que pedían su consentimiento y que seguramente recordará.
Los 7 principios del RGPD
Casi todas las reglas del RGPD salen de siete principios. Cuando dude de si algo está permitido, contrástelo con esta tabla. Art. 5
| Principio | Qué significa para su empresa |
|---|---|
| Licitud, lealtad y transparencia | Necesita un motivo previsto en la ley para usar los datos y debe explicar a las personas qué hace con ellos. |
| Limitación de la finalidad | Usa los datos para lo que los recogió. El correo que le dieron para enviar una factura no sirve, sin más, para la newsletter. |
| Minimización de datos | Pide solo lo que necesita. Para entregar un sofá no hace falta la fecha de nacimiento del cliente. |
| Exactitud | Corrige los datos que estén mal. |
| Limitación del plazo de conservación | Fija cuánto tiempo guarda cada tipo de dato y lo borra al terminar ese plazo. |
| Integridad y confidencialidad | Protege los datos frente a accesos indebidos, pérdidas y envíos a quien no debía recibirlos. |
| Responsabilidad proactiva | Puede demostrar con documentos que cumple los otros seis. |
El último es el que más trabajo da en el día a día, porque obliga a tener registros, políticas y pruebas de que cada decisión se pensó. Art. 5.2
Las seis bases jurídicas
Para usar datos personales, su empresa necesita al menos una de estas: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, interés público o interés legítimo. Art. 6.1
Mucha gente cree que el RGPD obliga a pedir consentimiento para todo. Para facturar a un cliente, la base es el contrato y la obligación legal de facturar. Pedirle el consentimiento sería incluso un error, porque podría retirarlo cuando quisiera.
Los derechos de las personas
Sus clientes, sus empleados y cualquier otra persona cuyos datos trate pueden ejercer ante usted una serie de derechos. Por regla general, tiene un mes para responder. Art. 12.3
| Derecho | Qué puede pedir la persona | Artículo |
|---|---|---|
| Información | Saber quién trata los datos, para qué y durante cuánto tiempo | 13 y 14 |
| Acceso | Una copia de los datos y la explicación de cómo se usan | 15 |
| Rectificación | Corregir datos erróneos | 16 |
| Supresión | Que borre los datos, en ciertos casos (“derecho al olvido”) | 17 |
| Limitación | Que suspenda el uso de los datos mientras se resuelve una discrepancia | 18 |
| Portabilidad | Recibir los datos en un formato que pueda llevarse a otro servicio | 20 |
| Oposición | Que deje de usar los datos para ciertos fines, como el marketing directo | 21 |
| Decisiones automatizadas | No quedar sujeta a una decisión con efectos importantes tomada solo por un sistema automático | 22 |
Si le ha llegado un correo que pide “una copia de todos los datos que tienen sobre mí”, es una solicitud de derecho de acceso y el plazo de un mes ya corre. La guía Derecho de acceso y supresión explica qué hacer cada día de ese mes e incluye respuestas modelo.
Qué le pide el RGPD a su empresa
En una pyme, estas son las obligaciones que suelen llegar primero, en el orden en que le recomendamos abordarlas.
- Saber qué datos tiene, para qué los usa y dónde están. Para eso está el registro de actividades de tratamiento, en el que se apoya casi todo lo demás. Art. 30 La guía Registro de actividades de tratamiento explica cómo rellenarlo, y puede empezar con nuestra plantilla gratuita en Excel.
- Informar a las personas con una política de privacidad clara en la web, en los formularios y en los contratos. La LOPDGDD permite informar por capas: lo básico en el propio formulario y el resto en un enlace. Art. 13 RGPD y art. 11 LOPDGDD
- Tener un procedimiento para las solicitudes de acceso, rectificación y supresión, y dejar constancia de cada una. El registro de solicitudes de acceso y supresión ya trae los plazos calculados.
- Saber qué hacer cuando algo sale mal. Si una brecha de datos personales supone un riesgo para las personas, tiene 72 horas para notificarla a la AEPD por su sede electrónica, fines de semana incluidos. Art. 33 La guía Brecha de datos personales: qué hacer en las primeras 72 horas le acompaña hora a hora.
- Firmar un contrato con cada proveedor que trate datos por encargo suyo (los encargados del tratamiento), como el programa de facturación o la herramienta de email marketing. Art. 28
- Comprobar si necesita un delegado de protección de datos (DPD o DPO). El RGPD lo exige a las entidades públicas y a las organizaciones cuya actividad principal consiste en observar a personas a gran escala o en tratar datos sensibles a gran escala. Art. 37 La LOPDGDD añade una lista concreta: entre otros, centros educativos, entidades financieras y aseguradoras, centros sanitarios obligados a llevar historia clínica, empresas de seguridad privada y quienes hacen publicidad y prospección comercial a partir de perfiles. Art. 34 LOPDGDD Si es consultor y lleva varias empresas, la guía DPO externo con varios clientes está pensada para usted.
Lo que es distinto en España
La LOPDGDD suma al RGPD estas reglas, que toda pyme española debe conocer:
| Tema | Regla en España |
|---|---|
| Edad para consentir en servicios online | 14 años; por debajo, consienten los padres o tutores (art. 7 LOPDGDD) |
| Datos de personas fallecidas | Las personas vinculadas al fallecido por razones familiares o de hecho, y sus herederos, pueden pedir acceso, rectificación o supresión, salvo que la persona lo prohibiera (art. 3 LOPDGDD) |
| Videovigilancia | Las imágenes se borran en un mes, salvo que hagan falta para acreditar un delito (art. 22 LOPDGDD) |
| Derechos digitales en el trabajo | Desconexión digital e intimidad en el uso de dispositivos y de la videovigilancia en el trabajo (art. 87 a 91 LOPDGDD) |
| Infracciones | Plazos de prescripción de 1, 2 o 3 años según la gravedad (art. 72 a 74 LOPDGDD) |
¿Está cambiando el RGPD?
El texto de 2016 sigue en vigor, pero la UE negocia cambios que aligeran algunas obligaciones, sobre todo para las empresas pequeñas.
El paquete Omnibus IV, propuesto en mayo de 2025, amplía la exención del registro de actividades de tratamiento; el acuerdo provisional de junio de 2026 la extiende a las organizaciones con menos de 1000 personas. El Digital Omnibus, de noviembre de 2025, toca la notificación de brechas de datos y las solicitudes de acceso excesivas.
Ninguno de estos cambios se aplica todavía, así que por ahora hay que cumplir las reglas de siempre. Seguimos cada paso en el artículo Digital Omnibus: lo que Bruselas quiere cambiar en las brechas de datos y el derecho de acceso.
Preguntas frecuentes
¿El RGPD se aplica a las pequeñas empresas?
Sí, a cualquier organización que trate datos personales, sea cual sea su tamaño. Las que tienen menos de 250 empleados se benefician de una exención parcial del registro de actividades, pero las demás reglas se les aplican igual. Art. 30.5
¿Qué diferencia hay entre el RGPD y la LOPDGDD?
El RGPD es la norma europea y se aplica directamente. La LOPDGDD es la ley española que lo adapta y completa: fija la edad de consentimiento en 14 años, enumera quién debe tener DPO, regula la videovigilancia y añade derechos digitales. Debe cumplir las dos.
¿El RGPD se aplica a empresas de fuera de la UE?
Sí, cuando ofrecen bienes o servicios a personas que están en la UE o hacen un seguimiento de su comportamiento, por ejemplo con publicidad dirigida. Art. 3.2
¿Quién controla el RGPD en España?
La Agencia Española de Protección de Datos (AEPD). Es a quien se notifican las brechas de datos y ante quien cualquier cliente puede presentar una reclamación.
¿Necesito siempre consentimiento para usar datos personales?
No. El consentimiento es solo una de las seis bases posibles. Para facturar, enviar un pedido o pagar las nóminas, la base es el contrato o una obligación legal. Art. 6.1
Fuentes
- Reglamento (UE) 2016/679 (RGPD), considerandos 1, 6, 7, 9 y 10; art. 2 a 6, 12 a 22, 28, 30, 33, 37, 83 y 99 (EUR-Lex)
- Directiva 95/46/CE (EUR-Lex)
- Carta de los Derechos Fundamentales de la Unión Europea, art. 8 (EUR-Lex)
- Tratado de Funcionamiento de la Unión Europea, art. 16 (EUR-Lex)
- Propuesta de la Comisión COM(2012) 11 (EUR-Lex)
- Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) (BOE)
- Constitución Española, art. 18 (BOE)
- TJUE, asunto C-131/12, Google Spain (Curia)
- AEPD, sitio oficial y notificación de brechas
- CEPD, sitio oficial
Actualizado: 24 de octubre de 2026. Este artículo es información general y no sustituye al asesoramiento jurídico sobre un caso concreto.