Protección de datos y RGPD: obligaciones clave para empresas en España

El tratamiento de datos personales dejó de ser una cuestión meramente técnica hace ya varios años. Desde la entrada en vigor del Reglamento (UE) 2016/679 (RGPD) el 25 de mayo de 2018 y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), cualquier empresa que opere en España —con independencia de su tamaño— asume un conjunto de obligaciones cuyo incumplimiento puede acarrear sanciones millonarias y, cada vez con mayor frecuencia, un serio daño reputacional.

En 2025, la Agencia Española de Protección de Datos (AEPD) fue de nuevo la autoridad europea que más resoluciones sancionadoras dictó, con multas que superaron los 40 millones de euros acumulados. La tendencia continúa en 2026, con un foco creciente en el uso de inteligencia artificial, cookies y transferencias internacionales tras las últimas decisiones del Comité Europeo de Protección de Datos (CEPD).

Principios que rigen todo tratamiento

El artículo 5 del RGPD establece los principios que deben inspirar cualquier tratamiento de datos: licitud, lealtad y transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad y responsabilidad proactiva (accountability). Este último es especialmente relevante: no basta con cumplir, hay que poder demostrarlo documentalmente ante la AEPD en cualquier momento.

Obligaciones esenciales para las empresas

1. Registro de actividades de tratamiento (RAT)

El artículo 30 del RGPD obliga a llevar un registro interno de todas las actividades de tratamiento realizadas. Aunque el Reglamento contempla excepciones para empresas de menos de 250 empleados, en la práctica casi ninguna queda exenta, ya que basta con tratar datos de forma no ocasional (por ejemplo, nóminas o clientes) para estar obligado.

2. Base jurídica y deber de información

Todo tratamiento debe apoyarse en una de las bases legitimadoras del artículo 6: consentimiento, ejecución de contrato, obligación legal, interés vital, interés público o interés legítimo. Además, los artículos 13 y 14 exigen informar al interesado de forma clara, concisa y accesible sobre la identidad del responsable, la finalidad, la conservación, sus derechos y la posibilidad de reclamar ante la AEPD.

3. Contratos de encargo del tratamiento

Cuando un tercero (asesoría, proveedor cloud, empresa de marketing) trata datos por cuenta de la empresa, es obligatorio suscribir un contrato conforme al artículo 28 del RGPD. La AEPD ha sancionado en numerosas ocasiones la ausencia o insuficiencia de estos contratos.

4. Delegado de Protección de Datos (DPO)

Será obligatorio designar un DPO cuando:

• La actividad principal implique observación habitual y sistemática a gran escala de interesados.
• Se traten a gran escala categorías especiales de datos (salud, biometría, ideología, etc.).
• Se trate de una autoridad u organismo público.

Además, el artículo 34 de la LOPDGDD amplía el listado a entidades como colegios profesionales, entidades financieras, aseguradoras, operadoras de telecomunicaciones o centros educativos. El DPO debe comunicarse a la AEPD.

5. Evaluación de impacto (EIPD)

Cuando un tratamiento pueda entrañar un alto riesgo para los derechos y libertades —perfilado, uso de IA, videovigilancia masiva, biometría—, el artículo 35 obliga a realizar una Evaluación de Impacto previa. La AEPD publica listas orientativas de tratamientos que la requieren.

6. Medidas técnicas y organizativas

El artículo 32 exige aplicar medidas apropiadas al riesgo: cifrado, seudonimización, control de accesos, políticas de contraseñas, copias de seguridad, formación al personal y auditorías periódicas. El Esquema Nacional de Seguridad puede servir de referencia incluso al sector privado.

7. Notificación de brechas de seguridad

Cualquier violación de seguridad debe notificarse a la AEPD en un plazo máximo de 72 horas (artículo 33). Si supone un alto riesgo, también hay que comunicarla a los afectados. En 2025 se notificaron a la AEPD más de 2.400 brechas, cifra que crece anualmente por los ataques de ransomware.

8. Derechos de los interesados

La empresa debe habilitar canales para atender los derechos ARSOLIP: acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas. El plazo general de respuesta es de un mes, prorrogable dos meses en supuestos complejos.

Cookies, marketing y el nuevo escenario digital

La Guía sobre el uso de cookies de la AEPD, actualizada en 2024, exige que los banners ofrezcan rechazar con la misma facilidad que aceptar. Las multas por muros de cookies opacos se han multiplicado. Asimismo, cualquier campaña de email marketing debe respetar el artículo 21 de la LSSI-CE y contar con consentimiento previo o relación contractual previa.

Régimen sancionador

El RGPD prevé sanciones de hasta 20 millones de euros o el 4% de la facturación global anual, la cifra que sea mayor. La LOPDGDD clasifica las infracciones en leves, graves y muy graves, con plazos de prescripción de 1, 2 y 3 años respectivamente. Entre las sanciones más recientes de la AEPD destacan las impuestas a grandes plataformas tecnológicas y entidades financieras por bases legitimadoras defectuosas o transferencias internacionales sin garantías.

Conclusión práctica

Cumplir con el RGPD no es un trámite puntual, sino un proceso continuo de gobernanza del dato. Toda empresa debería, como mínimo: mantener actualizado su registro de actividades, revisar anualmente sus políticas de privacidad y cookies, formalizar contratos con encargados, formar al personal, disponer de un protocolo de brechas y evaluar si necesita un DPO. Invertir hoy en cumplimiento evita mañana sanciones, litigios y pérdida de confianza. En un entorno donde el dato es el activo más valioso, la protección de la privacidad se ha convertido en una ventaja competitiva —y en una obligación ineludible— para cualquier organización que opere en España.