TL;DR — Lo esencial del RGPD
El Reglamento General de Protección de Datos (RGPD, Reglamento (UE) 2016/679) es la normativa europea que regula el tratamiento de datos personales. Se aplica a cualquier responsable o encargado establecido en la UE, o que ofrezca servicios a interesados en la UE. Exige seis bases jurídicas (Art. 6), garantiza ocho derechos al interesado, obliga a medidas de seguridad (Art. 32), regula las transferencias internacionales (Arts. 44-49) y prevé sanciones de hasta 20 millones de € o el 4% de la facturación global. En España se complementa con la LOPDGDD (Ley Orgánica 3/2018) y la AEPD es la autoridad de control.
Calendario de hitos clave
El RGPD y su entorno normativo han evolucionado desde 2018. Estos son los hitos relevantes:
Para el detalle de cada hito, consulta el glosario RGPD y la comparativa AI Act vs RGPD.
Áreas clave del RGPD
El Reglamento se estructura en torno a seis áreas fundamentales. Las obligaciones son proporcionales al riesgo del tratamiento:
Bases jurídicas
Seis bases del Art. 6 (consentimiento, contrato, obligación legal, interés vital, función pública, interés legítimo) más las del Art. 9 para datos sensibles.
Ejemplos: Consentimiento explícito, interés legítimo, contrato
Derechos del interesado
Ocho derechos: acceso, rectificación, supresión, limitación, portabilidad, oposición, no decisión automatizada y reclamación ante la AEPD.
Ejemplos: Derecho al olvido, portabilidad, oposición
Seguridad y brechas
Medidas técnicas y organizativas (Art. 32). Notificación de brechas en 72 horas (Art. 33).
Ejemplos: Cifrado, pseudonimización, registro de brechas
Transferencias internacionales
Países con decisión de adecuación o garantías adecuadas: CCT, BCR, códigos de conducta, certificaciones.
Ejemplos: CCT 2021, BCR, Marco UE-EE.UU.
DPO y EIPD
Delegado de Protección de Datos obligatorio en casos del Art. 37. Evaluación de Impacto obligatoria en casos del Art. 35.
Ejemplos: DPO interno o externo, EIPD/DPIA
Sanciones
Hasta 20 millones de € o el 4% de la facturación global (nivel superior). Hasta 10 millones o el 2% (nivel inferior).
Ejemplos: CaixaBank €6M, BBVA €5M, Vodafone €8M
Recursos RGPD
Glosario, herramientas, servicios y formación para el cumplimiento del Reglamento:
Glosario RGPD
45+ términos clave del Reglamento (UE) 2016/679 y la LOPDGDD con referencias a artículos.
AI Act vs RGPD
Tabla comparativa de ambas normativas: ámbito, obligaciones, sanciones y puntos de intersección.
Comprobador de Cumplimiento RGPD
Herramienta gratuita de autoevaluación con 15 preguntas en 12 áreas. Sin email ni registro.
DPO as a Service
Servicio de Delegado de Protección de Datos externo para empresas SaaS y tecnológicas.
Formación GDPR para Product Managers
Workshop práctico para equipos de producto que diseñan funcionalidades con datos personales.
Servicio de Regulación de IA y Datos
Asesoramiento integral en RGPD, AI Act y gobernanza de datos.
Guías sectorales del RGPD
Análisis específicos por vertical con casos de uso, bases jurídicas aplicables, sentencias y sanciones AEPD:
RGPD para Fintech
Scoring crediticio, Art. 22 RGPD, sentencia Schufa y sanciones AEPD en el sector financiero.
RGPD para SaaS
Contratos encargado-subencargado (Art. 28), transferencias internacionales y seguridad cloud.
RGPD para Healthtech
Datos de salud (Art. 9), DPIA obligatoria, bases jurídicas sanitarias y casos AEPD.
RGPD para Edtech
Datos de menores (LOPDGDD Art. 7), biometría en exámenes, consentimiento parental y AEPD.
RGPD para E-commerce
Cookies (LSSI), perfiles, decisiones automatizadas, dark patterns y sanciones AEPD.
Artículos relacionados
Calendario del AI Act para startups: fechas clave y cómo prepararse
Análisis detallado del calendario de implementación del Reglamento Europeo de IA para startups tecnológicas. Plazos, obligaciones por fase y estrategia de cumplimiento progresivo.
Cuánto cuesta cumplir con el AI Act: guía de costes para startups
Desglose realista de los costes de cumplimiento del AI Act según la categoría de riesgo de tu sistema de IA. Presupuestos orientativos, factores de coste y estrategias para optimizar la inversión.
Reglamento de IA: clasificación de sistemas y requisitos de cumplimiento
Guía práctica para clasificar sistemas de IA según el nivel de riesgo y determinar los requisitos de transparencia, documentación y gobernanza aplicables a cada categoría.
Transferencias internacionales de datos post-Schrems II
Mecanismos de transferencia internacional de datos conformes con la jurisprudencia del TJUE: cláusulas contractuales tipo, BCR, evaluaciones de impacto y medidas complementarias.
Preguntas frecuentes
¿Qué es el RGPD y a quién aplica?
El Reglamento General de Protección de Datos (RGPD, Reglamento (UE) 2016/679) es la normativa europea que regula el tratamiento de datos personales. Se aplica a cualquier responsable o encargado del tratamiento establecido en la UE que trate datos personales, o a quien no estando establecido en la UE ofrezca bienes o servicios a interesados en la UE o supervise su comportamiento. En España se complementa con la LOPDGDD (Ley Orgánica 3/2018).
¿Cuál es la diferencia entre responsable y encargado del tratamiento?
El responsable del tratamiento (Art. 4(7)) es quien determina los fines y medios del tratamiento (ej. una empresa que recoge datos de clientes). El encargado (Art. 4(8)) es quien trata datos por cuenta del responsable (ej. un proveedor cloud, un CRM, una agencia de marketing). La relación entre ambos se rige por un contrato de encargo de tratamiento (Art. 28) que establece obligaciones de seguridad, confidencialidad y subencargados.
¿Cuándo es obligatorio nombrar un DPO?
El Delegado de Protección de Datos (DPO) es obligatorio (Art. 37) cuando: (a) el tratamiento lo realiza una autoridad u organismo público; (b) las actividades principales del responsable consisten en operaciones que requieren evaluación sistemática y a gran escala (ej. scoring crediticio, vigilancia); o (c) se tratan a gran escala categorías especiales de datos (salud, biometría) o datos relativos a infracciones penales. Puede ser interno o externo (DPO as a Service).
¿Cuándo es obligatoria una Evaluación de Impacto (EIPD/DPIA)?
La EIPD es obligatoria (Art. 35) para tratamientos de alto riesgo, incluyendo: evaluación sistemática y exhaustiva de aspectos personales (scoring), tratamiento a gran escala de categorías especiales de datos, observación sistemática a gran escala de zonas públicas, o cuando lo exija la AEPD. Debe documentar el análisis de riesgos, las medidas de mitigación y la valoración residual. Es un requisito previo al inicio del tratamiento.
¿Qué sanciones prevé el RGPD?
El RGPD establece dos niveles: nivel superior (hasta 20 millones de € o el 4% de la facturación global anual, el mayor) para incumplimientos de principios básicos, derechos del interesado y transferencias; nivel inferior (hasta 10 millones de € o el 2%) para incumplimientos de obligaciones técnicas, DPO, notificación de brechas y cooperación con la autoridad. La AEPD ha impuesto multas de hasta €6 millones (CaixaBank, 2021) y €5 millones (BBVA, 2020).
¿Cómo se realizan transferencias internacionales de datos?
Las transferencias a países con decisión de adecuación (Japón, Suiza, Reino Unido, Marco UE-EE.UU.) no requieren autorización. Para el resto, se necesitan garantías adecuadas: Cláusulas Contractuales Tipo (CCT 2021), Normas Corporativas Vinculantes (BCR), códigos de conducta o certificaciones. Además, debe realizarse una Evaluación de Impacto de la Transferencia (TIA) para verificar que el país ofrece un nivel de protección esencialmente equivalente (Recomendaciones CEPD 01/2020).
¿Qué es el derecho a no ser objeto de decisiones automatizadas?
El Art. 22 RGPD otorga al interesado el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que produzca efectos jurídicos o le afecte significativamente de manera similar. El TJUE confirmó en el caso Schufa (2023) que el scoring crediticio constituye una decisión automatizada del Art. 22. Excepciones: contrato, autorización legal, consentimiento explícito, con garantías adicionales.
¿Qué autoridad supervisa el RGPD en España?
La Agencia Española de Protección de Datos (AEPD) es la autoridad de control competente en España. A nivel europeo, el Comité Europeo de Protección de Datos (CEPD/EDPB) coordina la aplicación entre Estados miembros mediante el mecanismo de ventanilla única (one-stop-shop, Art. 56). La AEPD publica guías sectoriales, resoluciones de infracciones y mantiene un registro de sanciones superior a 1 millón de €.