El RGPD (Reglamento General de Protección de Datos) obliga a todas las empresas que tratan datos personales de ciudadanos europeos a gestionar esos datos de forma lícita, transparente y segura, y a poder demostrar ese cumplimiento en cualquier momento. En España, el RGPD se aplica junto con la LOPDGDD. Las sanciones pueden llegar a 20 millones de euros o el 4% de la facturación anual. En 2026, la Agencia Española de Protección de Datos (AEPD) ha aumentado su actividad sancionadora, especialmente en empresas de servicios digitales.
Hay una confusión habitual con el RGPD: la mayoría de las empresas saben que existe y que tienen que cumplirlo, pero pocas tienen claro en qué consiste ese cumplimiento en la práctica. Poner el banner de cookies en la web y tener una política de privacidad es solo el principio. El RGPD es una forma de gestionar los datos de las personas, no un formulario que se rellena una vez.
Esta guía explica qué exige el RGPD a una empresa normal, cómo saber si estás cumpliendo y qué pasa si no lo haces.
¿Qué obliga el RGPD a las empresas a hacer en la práctica?
El RGPD establece un principio central que lo cambia todo: la responsabilidad proactiva. No basta con no hacer nada malo con los datos. Tienes que poder demostrar activamente que los estás gestionando correctamente.
En la práctica, esto se traduce en obligaciones concretas:
Registro de actividades de tratamiento — Toda empresa que trate datos personales de forma sistemática está obligada a mantener un registro interno de qué datos trata, para qué, en qué base legal, cuánto tiempo los conserva y con quién los comparte. No es un documento público, sino un registro interno que la AEPD puede solicitar en cualquier momento.
Base legal para cada tratamiento — Cada vez que usas datos personales de alguien, tiene que haber una razón jurídica que lo justifique. Las más habituales son: consentimiento (cuando el usuario acepta explícitamente), contrato (cuando los datos son necesarios para ejecutar un contrato), obligación legal (cuando la ley te obliga a tratar esos datos) o interés legítimo (cuando tienes una razón comercial legítima que no perjudica al usuario).
Información transparente a los usuarios — Las personas cuyos datos tratas tienen derecho a saber qué datos tienes, para qué los usas, cuánto tiempo los conservas y qué pueden hacer para ejercer sus derechos. Eso se materializa en políticas de privacidad, avisos legales y, cuando aplica, formularios de consentimiento.
Medidas de seguridad técnicas y organizativas — El RGPD no especifica exactamente qué medidas de seguridad hay que aplicar, pero sí exige que sean «apropiadas al nivel de riesgo». En la práctica: cifrado de datos sensibles, control de acceso, políticas de contraseñas, copias de seguridad y formación del personal que accede a datos personales.
Notificación de brechas de seguridad — Si tu empresa sufre una brecha de seguridad que afecta a datos personales (un robo de información, un ataque de ransomware que cifra datos de clientes, un envío de correo a destinatarios equivocados), tienes la obligación de notificarlo a la AEPD en un plazo máximo de 72 horas desde que lo detectas. Si la brecha puede causar daños a los afectados, también hay que informarles directamente.
¿Qué es el principio de responsabilidad proactiva y cómo afecta a tu empresa?
La responsabilidad proactiva es el cambio más profundo que introdujo el RGPD respecto a la normativa anterior. Antes, bastaba con no incumplir las normas. Ahora, tienes que poder demostrar que las cumples.
Eso significa que si la AEPD llega a tu empresa y pregunta «¿cómo gestionáis los datos de vuestros clientes?», la respuesta «los tratamos correctamente» no es suficiente. Necesitas documentación: el registro de tratamientos, los contratos con encargados externos que tratan datos por tu cuenta (la gestoría, el proveedor de email, el CRM cloud), los formularios de consentimiento, la política de privacidad actualizada.
La ausencia de documentación es en sí misma un incumplimiento del RGPD, aunque los datos se estén tratando correctamente en la práctica.
¿Qué es el DPO o Delegado de Protección de Datos y qué empresa está obligada a tenerlo?
El Delegado de Protección de Datos (DPO, por sus siglas en inglés) es un rol obligatorio en determinadas organizaciones:
- Autoridades y organismos públicos
- Empresas cuya actividad principal implique el seguimiento habitual y sistemático de personas a gran escala (plataformas de seguimiento, empresas de publicidad digital basada en datos de comportamiento)
- Empresas que traten a gran escala datos especialmente sensibles: datos de salud, datos genéticos, datos biométricos, información sobre condenas penales
Para la mayoría de pymes de servicios o comercio, el DPO no es obligatorio. Dicho esto, muchas empresas optan por designar un responsable interno de protección de datos o contratar un DPO externo como buena práctica, aunque no sean obligadas.
¿Qué pasa si una empresa sufre una brecha de datos en España en 2026?
La obligación de notificar a la AEPD en 72 horas se aplica cuando la brecha puede suponer un riesgo para los derechos y libertades de los afectados. No todas las brechas hay que notificar: si los datos estaban cifrados y el acceso no autorizado no puede descifrarlos, el riesgo puede ser considerado bajo.
El procedimiento:
- Detectar y contener la brecha lo antes posible
- Evaluar el riesgo para los afectados
- Notificar a la AEPD si el riesgo es probable (en 72 horas desde la detección)
- Notificar directamente a los afectados si el riesgo para ellos es alto
- Documentar todo el proceso internamente, aunque no se haya notificado
La notificación tardía o la falta de notificación cuando era obligatoria es una infracción en sí misma, independientemente de la gravedad de la brecha original.
Para gestionar este tipo de incidentes correctamente, en DSI incluimos en nuestros servicios de soporte IT el protocolo de respuesta a incidentes de seguridad, que cubre la detección, contención y documentación de brechas de datos. Nuestra guía sobre ciberseguridad para pymes cubre también las medidas preventivas que reducen el riesgo de que esos incidentes ocurran.
¿Cuáles son las sanciones del RGPD en España en 2026?
El RGPD establece dos niveles de sanción:
- Infracciones menos graves: hasta 10 millones de euros o el 2% de la facturación global anual del ejercicio anterior (la cifra mayor de las dos).
- Infracciones más graves: hasta 20 millones de euros o el 4% de la facturación global anual (la cifra mayor).
Las infracciones más graves incluyen el incumplimiento de los principios básicos del tratamiento, el incumplimiento de las condiciones del consentimiento y las transferencias internacionales no autorizadas. Las menos graves incluyen no llevar el registro de actividades de tratamiento o no notificar una brecha en plazo.
En la práctica, la AEPD tiene en cuenta el tamaño de la empresa y las circunstancias del caso. Las pymes raramente reciben sanciones del máximo legal, pero sí reciben multas de entre 5.000 y 50.000 euros por incumplimientos concretos. En 2025, la AEPD impuso multas por un total superior a 30 millones de euros, con un incremento notable en resoluciones relacionadas con gestión de datos en plataformas digitales.
Este contenido es orientativo y no sustituye asesoramiento jurídico personalizado.
Preguntas frecuentes sobre el RGPD para empresas
¿El RGPD solo aplica a las grandes empresas o también a las pymes y autónomos?
El RGPD se aplica a cualquier empresa u organización que trate datos personales de ciudadanos europeos, independientemente de su tamaño. Un autónomo que tenga la lista de correo de sus clientes ya está tratando datos personales y tiene obligaciones bajo el RGPD. Las diferencias para las empresas más pequeñas están en la proporcionalidad de las medidas: no se exigen los mismos controles a una pyme de 5 personas que a una empresa de 500.
¿Qué ocurre si un proveedor externo sufre una brecha de datos que afecta a tus clientes?
Aunque la brecha sea técnicamente responsabilidad del proveedor, tú como empresa que le encargaste el tratamiento eres corresponsable ante tus clientes y ante la AEPD. Por eso es esencial tener contratos de encargo de tratamiento firmados con todos los proveedores externos que traten datos personales por tu cuenta: la gestoría, el proveedor de email, el CRM, el sistema de backups cloud. Esos contratos regulan las responsabilidades de cada parte.
¿Cuánto tiempo debo conservar los datos de mis clientes según el RGPD?
El RGPD establece el principio de limitación del plazo de conservación: los datos solo pueden mantenerse el tiempo necesario para la finalidad para la que se recogieron. En la práctica, los datos de clientes con relaciones contractuales suelen conservarse durante la vigencia del contrato más el período de prescripción de posibles reclamaciones (habitualmente 5-10 años según el tipo de obligación). Los datos de personas que contactaron pero no llegaron a ser clientes deben borrarse antes si no hay razón para seguir teniéndolos.
¿Es obligatorio tener un banner de cookies según el RGPD?
El banner de cookies es obligatorio en España cuando la web utiliza cookies no estrictamente técnicas: cookies de análisis (Google Analytics), cookies de publicidad, cookies de redes sociales. La obligación no viene directamente del RGPD sino de la Ley de Servicios de la Sociedad de la Información (LSSI) en combinación con el RGPD para el tratamiento de datos que esas cookies generan. Una web que solo usa cookies técnicas (para que el carrito de la compra funcione, por ejemplo) no necesita banner de consentimiento.
