Cada vez que un cliente deja su correo electrónico, un empleado firma un contrato o un proveedor envía una factura, una empresa trata datos personales. Desde hace 8 años todo esto está regulado por unas siglas que muchos empresarios han oído pero pocos comprenden de verdad: el RGPD. Entender el RGPD es el primer paso para gestionar la privacidad correctamente y evitar sanciones que pueden alcanzar el 4% de la facturación global. En este artículo explicamos en términos sencillos el significado del RGPD, su origen europeo, los 7 principios que lo sostienen y qué ha cambiado concretamente para las pymes desde el 25 de mayo de 2018.
Al final tendrás un panorama claro de las obligaciones, las oportunidades y los cambios que llegan en 2026, para entender por dónde empezar a poner tu organización en conformidad.
Qué es el RGPD: una definición sencilla
El RGPD es el Reglamento General de Protección de Datos de la Unión Europea, en vigor desde el 25 de mayo de 2018. Las siglas corresponden a General Data Protection Regulation y al Reglamento (UE) 2016/679, aprobado por el Parlamento Europeo el 27 de abril de 2016.
En la práctica, el RGPD es la ley europea que establece cómo las empresas, los profesionales y las administraciones públicas deben recoger, conservar, usar y proteger los datos personales de las personas. Se aplica a cualquier información que permita identificar directa o indirectamente a una persona: nombre, correo electrónico, número de teléfono, dirección IP, datos de salud, fotografías, preferencias de compra y mucho más.
La palabra clave que conviene retener es responsabilidad proactiva: el RGPD exige a las empresas demostrar activamente que cumplen las normas, no solo declararlo. Este es el verdadero cambio cultural que trajo el Reglamento.
Datos personales y categorías especiales de datos: la diferencia
El RGPD distingue dos grandes categorías de datos. Los datos personales comunes incluyen información ordinaria como nombre y apellidos, dirección, número de identificación fiscal, correo corporativo, datos de navegación y datos bancarios. Estos datos requieren protección, pero su recogida sigue reglas estándar.
Las categorías especiales de datos, llamadas habitualmente datos sensibles, incluyen información que merece una protección reforzada: origen racial y étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos, datos biométricos, datos de salud y orientación sexual. Los datos judiciales también entran en una categoría especial. Tratar esta información exige bases jurídicas más estrictas y medidas de seguridad reforzadas, a menudo acompañadas de una evaluación de impacto específica.
Quién debe cumplir el RGPD
El RGPD se aplica a todas las organizaciones que tratan datos personales de personas situadas en la Unión Europea, con independencia de dónde tenga su sede la empresa. Un e-commerce con sede en Estados Unidos que vende a clientes europeos debe cumplir el RGPD exactamente igual que una tienda local de un pequeño municipio europeo.
El ámbito de aplicación incluye:
Empresas privadas de cualquier tamaño, desde autónomos hasta multinacionales
Administraciones y organismos públicos
Profesionales autónomos como abogados, asesores fiscales, médicos y consultores
Asociaciones, fundaciones y entidades del tercer sector
Startups y negocios digitales con sede fuera de la UE pero con clientes europeos
La única exclusión afecta al tratamiento realizado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas, como una agenda de contactos privada.
El origen del RGPD: por qué Europa quiso una ley nueva
El RGPD nació de la necesidad de actualizar una normativa que tenía más de 20 años. La anterior Directiva 95/46/CE se remontaba a 1995, una época en la que internet estaba en pañales, los smartphones no existían y las redes sociales eran ciencia ficción.
Con la explosión de la tecnología digital, el flujo de datos personales cambió radicalmente. Big data, computación en la nube, inteligencia artificial y plataformas globales dejaron obsoleto el viejo sistema, basado en leyes nacionales distintas en los 27 Estados miembros. La Unión Europea decidió por tanto sustituir la directiva por un reglamento, es decir, un acto jurídico que se aplica de forma directa y uniforme en todos los países de la UE, sin necesidad de leyes nacionales de transposición.
El proceso de aprobación fue largo y complejo: más de 4 años de negociaciones entre la Comisión, el Parlamento y el Consejo Europeo. El texto final buscó equilibrar dos necesidades: proteger los derechos fundamentales de los ciudadanos y favorecer la libre circulación de datos dentro del mercado único digital.
Hitos principales
Estas son las fechas clave que marcaron el nacimiento y la evolución del RGPD:
25 de enero de 2012: la Comisión Europea presenta la propuesta de reforma
27 de abril de 2016: aprobación definitiva del Reglamento (UE) 2016/679
24 de mayo de 2016: entrada en vigor formal del Reglamento
25 de mayo de 2018: plena aplicación en todos los Estados miembros, con plazo de adecuación
19 de septiembre de 2018: entra en vigor en Italia el Decreto Legislativo 101/2018, que armoniza el Código de Privacidad nacional con el RGPD
Desde entonces, el Comité Europeo de Protección de Datos (EDPB) ha publicado decenas de directrices que aclaran la aplicación práctica del Reglamento en escenarios concretos como marketing, videovigilancia, cookies y transferencias internacionales.
El papel de las autoridades nacionales de protección de datos
Cada Estado miembro de la UE tiene su propia autoridad de control. En España es la Agencia Española de Protección de Datos; en Italia, el Garante per la Protezione dei Dati Personali, creado ya en 1997. Con el RGPD, las competencias de estas autoridades se ampliaron: hoy supervisan la aplicación del Reglamento, reciben reclamaciones de los ciudadanos, realizan inspecciones y pueden imponer multas administrativas muy elevadas.
Estas autoridades publican con regularidad resoluciones, preguntas frecuentes y plantillas operativas que sirven de referencia práctica para las empresas. Sus decisiones a menudo sientan precedente y orientan a sectores económicos enteros, de la sanidad al marketing digital, de la videovigilancia a los recursos humanos.
Los 7 principios fundamentales del RGPD
El RGPD se construye sobre 7 principios generales enumerados en el artículo 5, que funcionan como brújula de cualquier actividad de tratamiento. Respetarlos es la base del cumplimiento.
Licitud, lealtad y transparencia
Todo tratamiento debe contar con una base jurídica válida entre las previstas en el artículo 6: el consentimiento del interesado, la ejecución de un contrato, una obligación legal, el interés vital, el interés público o el interés legítimo del responsable. El tratamiento debe ser leal con el interesado y transparente: la persona debe saber quién trata sus datos, con qué finalidades y cómo. De ahí nace la obligación de facilitar una información de privacidad, un documento claro y completo que toda empresa debe entregar antes de recoger datos.
Limitación de la finalidad
Los datos recogidos para una finalidad concreta no pueden usarse para fines distintos e incompatibles. Si recoges el correo de un cliente para enviarle la confirmación de un pedido, no puedes usarlo automáticamente para newsletters promocionales sin un consentimiento adicional. Este principio obliga a definir de antemano y de forma explícita las finalidades del tratamiento, y a respetarlas en el tiempo.
Minimización de datos
Solo deben recogerse los datos estrictamente necesarios para alcanzar la finalidad declarada. Si para suscribir a alguien a una newsletter basta una dirección de correo, pedirle además la fecha de nacimiento, la profesión y el domicilio vulnera el principio de minimización. Este enfoque reduce también el riesgo en caso de brecha de datos: cuanta menos información conservas, menor es el daño potencial.
Exactitud
Los datos deben ser exactos y estar actualizados. El responsable del tratamiento debe adoptar procedimientos para corregir o suprimir sin dilación los datos inexactos. El interesado puede solicitar la rectificación en cualquier momento, y la empresa debe responder en el plazo de un mes.
Limitación del plazo de conservación
Los datos deben conservarse solo durante el tiempo estrictamente necesario para las finalidades del tratamiento. Definir plazos de conservación razonables y documentarlos en el registro de actividades de tratamiento es una obligación específica. Al terminar el plazo, los datos deben suprimirse o anonimizarse de forma irreversible.
Integridad y confidencialidad
Los datos deben protegerse con medidas técnicas y organizativas adecuadas frente a tratamientos no autorizados, pérdida accidental, destrucción o daño. Cifrado, copias de seguridad, control de accesos, actualización de sistemas y formación del personal son las medidas más habituales. El nivel de protección debe ser proporcional al riesgo: los datos de salud exigen más garantías que una simple lista de correos corporativos.
Responsabilidad proactiva
Es el principio más innovador. El responsable del tratamiento debe poder demostrar que cumple todos los demás principios. No basta con cumplir: hay que poder probarlo con documentación, registros, procedimientos, evaluaciones de impacto y formación documentada. Es el paso de un modelo burocrático a uno de gestión, basado en el análisis del riesgo y en la capacidad de rendir cuentas de las propias decisiones.
Qué ha cambiado concretamente para las empresas
Antes del 25 de mayo de 2018, la privacidad en la mayoría de los países de la UE se regía por leyes nacionales más antiguas que exigían trámites formales, a menudo poco más que papeles archivados y olvidados. Con el RGPD el enfoque cambió profundamente: menos formularios estándar, más responsabilidad sustancial.
Las empresas han tenido que repensar procesos organizativos enteros. Ya no basta con rellenar un formulario y archivarlo: hace falta un sistema vivo de gestión de la privacidad que acompañe cada actividad empresarial, desde la recogida del currículum de un candidato hasta la gestión de la newsletter, de la videovigilancia corporativa a las copias de seguridad de los servidores.
Los cambios más significativos afectan a cinco áreas operativas: documentación obligatoria, derechos de los interesados, roles de responsabilidad, gestión de incidentes y sanciones.
Nuevos documentos obligatorios
Las empresas deben preparar y mantener actualizado un conjunto de documentos que incluye:
Registro de actividades de tratamiento: una lista estructurada de todos los tratamientos de datos personales que realiza la empresa, con finalidades, categorías de datos, destinatarios y plazos de conservación
Cláusulas informativas actualizadas para clientes, empleados, proveedores, candidatos y visitantes del sitio web
Designación de encargados (proveedores externos que tratan datos por cuenta de la empresa)
Evaluación de impacto (EIPD) para los tratamientos de alto riesgo
Políticas internas sobre gestión de brechas de datos, ejercicio de derechos y conservación de datos
Registros de la formación impartida al personal
Nuevos derechos para los interesados
El RGPD reforzó y amplió los derechos de las personas. Todo ciudadano puede ejercer:
El derecho de acceso a sus propios datos
El derecho de rectificación en caso de datos inexactos
El derecho de supresión, conocido como derecho al olvido
El derecho a la limitación del tratamiento
El derecho a la portabilidad de los datos en un formato estructurado
El derecho de oposición al tratamiento
El derecho a no ser objeto de decisiones automatizadas
Las empresas deben responder a las solicitudes en el plazo de un mes, ampliable a 3 meses en casos complejos, y deben hacerlo gratuitamente. Ignorar o gestionar mal una solicitud de este tipo expone a la empresa a reclamaciones ante la autoridad de control y a sanciones.
El papel del DPO
El Reglamento introdujo la figura del delegado de protección de datos (DPO). Designarlo es obligatorio para las administraciones públicas, para las entidades que realizan observación sistemática a gran escala y para quienes tratan categorías especiales de datos a gran escala. Muchas pymes, aun sin estar obligadas, optan por designar un DPO de forma voluntaria para contar con un punto de referencia competente y estructurado en la materia.
Sanciones del RGPD: qué arriesgan las empresas que no cumplen
Las sanciones son uno de los aspectos que hicieron famoso al RGPD en todo el mundo. Se calculan sobre la facturación anual global de la empresa y pueden alcanzar importes muy elevados.
El Reglamento prevé dos niveles de multas administrativas. Las infracciones menos graves, como no llevar el registro de actividades de tratamiento o no designar un DPO, pueden suponer multas de hasta 10 millones de euros o el 2% de la facturación anual global. Las infracciones más graves, como el incumplimiento de los principios fundamentales o de los derechos de los interesados, pueden llegar a 20 millones de euros o al 4% de la facturación anual global. Se aplica siempre el mayor de los dos importes.
Más allá de las sanciones económicas, hay consecuencias indirectas a menudo más dañinas: pérdida de reputación, comunicación pública obligatoria de la brecha, reclamaciones individuales y colectivas de indemnización, y la facultad de la autoridad de bloquear determinados tratamientos.
Ejemplos reales de aplicación
Las autoridades nacionales de la UE han impuesto numerosas sanciones significativas en los últimos años. Empresas de telecomunicaciones, utilities, plataformas digitales, hospitales y ayuntamientos han sido sancionados por infracciones que a menudo tienen que ver con telemarketing agresivo, falta de consentimiento, cláusulas informativas inadecuadas, brechas de datos no comunicadas y videovigilancia ilícita. Esas resoluciones son públicas y constituyen un recurso valioso para entender qué conductas evitar y cómo estructurar los propios procesos.
Cómo reducir el riesgo de sanción
La estrategia más eficaz es demostrar que se ha adoptado un enfoque serio y documentado del cumplimiento. Ante una inspección o una brecha de datos, la autoridad valora la actitud global de la empresa: tener documentación actualizada, personal formado, procedimientos operativos y medidas técnicas adecuadas puede reducir sensiblemente el importe de la multa o llevar a un simple apercibimiento.
Brecha de datos: qué es y cómo gestionarla
Una brecha de datos es un incidente de seguridad que ocasiona la destrucción, pérdida, alteración, comunicación no autorizada o acceso a datos personales. Puede derivar de un ciberataque, pero también de un error humano, como enviar un correo al destinatario equivocado o perder un portátil corporativo.
El RGPD exige al responsable del tratamiento notificar a la autoridad de control toda brecha en un plazo de 72 horas desde que tiene constancia de ella, salvo que sea improbable que entrañe un riesgo para los derechos de los interesados. Si la brecha presenta un riesgo alto, hay que informar también directamente a las personas afectadas, en lenguaje claro y con instrucciones prácticas para protegerse.
Gestionar bien una brecha exige un procedimiento interno predefinido en el que participen IT, el área legal, comunicación y dirección. Improvisar en 72 horas es imposible: prepararse por adelantado es la clave.
Documentar los incidentes
Incluso los incidentes que no se notifican a la autoridad deben anotarse en un registro interno de brechas, describiendo el suceso, sus causas, los datos implicados, las medidas adoptadas y una valoración del riesgo. Ese registro es uno de los documentos más solicitados en una inspección y demuestra la capacidad de la empresa para vigilar y gestionar los incidentes de forma estructurada.
RGPD y sitios web: cookies, formularios y newsletters
El sitio web de cualquier empresa es un punto donde se recogen datos personales y, por tanto, está sujeto al RGPD. Las tres áreas más críticas son: cookies, formularios de contacto y suscripciones a newsletters.
Las cookies exigen un banner de cookies conforme que permita al usuario aceptar, rechazar o personalizar su elección antes de que se activen cookies no técnicas. Las directrices publicadas por las autoridades han aclarado que el desplazamiento o la simple navegación no equivalen a consentimiento, y que rechazar debe ser tan fácil como aceptar.
Los formularios de contacto deben incluir una cláusula informativa específica, una casilla de consentimiento cuando sea necesaria y la recogida únicamente de los datos imprescindibles. Las newsletters requieren consentimiento explícito, separado de otras finalidades, preferiblemente con doble opt-in y con la posibilidad de darse de baja en cualquier momento.
Videovigilancia y RGPD
Las cámaras corporativas también entran en el ámbito del RGPD. Las empresas deben colocar un cartel informativo antes de la zona vigilada, valorar la proporcionalidad del tratamiento, limitar la conservación de las imágenes a unos pocos días (por lo general de 24 a 72 horas, salvo motivos específicos para más tiempo) y proteger adecuadamente los sistemas de grabación. Las autoridades han publicado directrices detalladas y han sancionado reiteradamente instalaciones realizadas sin estas garantías.
RGPD e ISO 27001: por qué integrar los dos sistemas
La norma internacional ISO 27001 define los requisitos de un sistema de gestión de la seguridad de la información. Muchas de las medidas que exige el RGPD encuentran en la ISO 27001 una herramienta operativa concreta: análisis de riesgos, control de accesos, gestión de incidentes, cifrado, formación y gestión de proveedores.
Integrar RGPD e ISO 27001 permite matar dos pájaros de un tiro: se construye un único sistema que responde tanto a las obligaciones normativas europeas como a los requisitos de la norma internacional, muy valorada por clientes y socios sobre todo en los sectores tecnológico, sanitario y financiero.
La certificación ISO 27001 no es obligatoria para cumplir el RGPD, pero constituye la prueba más sólida de haber adoptado medidas de seguridad adecuadas. Ante una brecha de datos o una inspección, la certificación es un atenuante de peso que demuestra el enfoque responsable de la empresa.
Sinergia con otras normas
Más allá de la ISO 27001, el RGPD se integra bien con la ISO 9001 sobre calidad, la ISO 42001 sobre sistemas de gestión de la inteligencia artificial y la Directiva NIS2 sobre ciberseguridad. Construir un sistema de gestión integrado ahorra tiempo, reduce la documentación duplicada y permite presentar al mercado una postura de cumplimiento completa.
Lo que llega en 2026
El marco normativo europeo sobre protección de datos sigue evolucionando. 2026 traerá varios cambios que las empresas deben empezar a vigilar desde ya.
La propuesta de simplificación del RGPD para las pymes, presentada por la Comisión Europea en 2025 dentro del paquete Omnibus de simplificación digital, está muy avanzada. El objetivo es reducir la carga documental de las empresas con menos de 750 empleados, manteniendo intactos los principios que protegen a los interesados. Las simplificaciones afectarán al registro de actividades de tratamiento, a algunas evaluaciones de impacto y a las obligaciones de notificación en casos de bajo riesgo.
Al mismo tiempo, el EU AI Act entrará en plena aplicación y se entrelazará con el RGPD siempre que los sistemas de IA traten datos personales. Las empresas que usen IA para selección de personal, marketing predictivo, credit scoring o atención al cliente tendrán que gestionar los dos marcos normativos de forma coordinada.
Continuará también la implantación del Data Act y del Data Governance Act, que redefinen cómo pueden compartirse los datos no personales e industriales dentro del mercado único europeo. Aunque no modifican directamente el RGPD, obligan a actualizar los procedimientos internos de gestión de datos.
Cómo prepararse
Para afrontar 2026 con tranquilidad conviene hacer un chequeo completo del sistema de privacidad durante 2025. Revisar las cláusulas informativas, el registro de actividades de tratamiento, los procedimientos de brecha de datos, la formación del personal y la seguridad técnica permite partir de una base sólida sobre la que construir las nuevas reglas. Las empresas que lo dejen para después corren el riesgo de que el marco se vuelva más complejo justo cuando no están preparadas.
Pon tu empresa en conformidad con Complaion
Entender el RGPD es el primer paso. Aplicarlo de verdad en tu empresa requiere método, experiencia y herramientas adecuadas. Complaion acompaña a las pymes a lo largo de todo el recorrido de conformidad con el RGPD: análisis inicial, redacción de la documentación, formación del personal, procedimientos operativos, gestión de brechas de datos y seguimiento continuo. Gracias a nuestra plataforma digital y a consultores dedicados, reducimos drásticamente los plazos de adecuación frente a los enfoques tradicionales, poniéndote en conformidad en pocas semanas en lugar de muchos meses.
Cada proyecto se construye sobre la situación real de tu empresa: sector, tamaño, procesos y punto de partida. Solicita una consulta gratuita y un presupuesto a medida a Complaion y descubre cómo proteger los datos de tu organización con un socio experto a tu lado.
Preguntas frecuentes sobre el RGPD
¿El RGPD se aplica también a pequeñas empresas y autónomos?
Sí, el RGPD se aplica a cualquiera que trate datos personales en el ejercicio de su actividad, con independencia de su tamaño. También un autónomo con un solo empleado, un artesano con clientes particulares o un profesional independiente deben cumplir el Reglamento. Los procedimientos operativos y la complejidad documental varían, pero los principios fundamentales valen para todos. Algunas obligaciones, como designar un DPO, dependen de la naturaleza del tratamiento más que del tamaño de la empresa.
¿Qué diferencia hay entre responsable y encargado del tratamiento?
El responsable del tratamiento es quien decide las finalidades y los medios del tratamiento, es decir, la empresa o el profesional que recoge y usa los datos para sus propios fines. El encargado, en cambio, es un tercero que trata datos por cuenta del responsable, como un proveedor de servicios en la nube, una gestoría de nóminas o una agencia de email marketing. Entre responsable y encargado debe firmarse siempre un contrato específico que regule el tratamiento, tal como exige el artículo 28 del RGPD.
¿Hace falta siempre el consentimiento para tratar datos personales?
No, el consentimiento es solo una de las 6 bases jurídicas previstas por el RGPD. Muchos tratamientos se apoyan en otras bases, como la ejecución de un contrato (por ejemplo, los datos necesarios para emitir una factura), una obligación legal (por ejemplo, la conservación de documentación fiscal), el interés legítimo (en casos concretos y documentados) o el interés público. El consentimiento se exige en supuestos específicos como las newsletters promocionales, las cookies no técnicas o el tratamiento de categorías especiales de datos sin otra base jurídica.
¿Qué hago si sufro un ciberataque con pérdida de datos?
Activa de inmediato el procedimiento interno de brecha de datos, valora el alcance de la brecha y el riesgo para los interesados, notifica a la autoridad de control en un plazo de 72 horas desde que tienes constancia a través del canal previsto y, si el riesgo es alto, informa directamente a las personas afectadas. El incidente debe anotarse siempre en el registro interno de brechas, incluso cuando no sea necesario notificar a la autoridad. Tener un procedimiento predefinido y un equipo formado es esencial para cumplir unos plazos tan ajustados.
¿Puedo conservar los datos de clientes para siempre?
No, el principio de limitación del plazo de conservación exige guardar los datos solo durante el tiempo estrictamente necesario para las finalidades del tratamiento. Los plazos varían según el tipo de dato y la finalidad: los datos fiscales y contables deben conservarse durante los años que fije la ley, los contratos generalmente durante el plazo de prescripción de las acciones contractuales, y los datos de marketing habitualmente durante periodos mucho más cortos. Cada empresa debe definir sus propios plazos en el registro de actividades de tratamiento y aplicarlos de forma coherente.
¿El RGPD obliga a tener un DPO?
Designar un DPO es obligatorio solo en tres supuestos: administraciones y organismos públicos, actividades principales consistentes en la observación sistemática a gran escala de los interesados, y actividades principales consistentes en el tratamiento a gran escala de categorías especiales de datos. La mayoría de las pymes no está obligada, pero puede optar igualmente por designar un DPO de forma voluntaria. Incluso sin DPO, alguien dentro o fuera de la empresa debe ocuparse de la materia con competencia.
¿Cuál es la multa mínima del RGPD?
El RGPD no fija multas mínimas estrictas, pero establece criterios de proporcionalidad. La autoridad valora la gravedad, la duración y la naturaleza de la infracción, el número de interesados afectados, el daño sufrido, el grado de responsabilidad, las medidas adoptadas para mitigar el daño, las infracciones anteriores y la cooperación con la autoridad. En casos leves las multas pueden sustituirse por apercibimientos, sobre todo si la empresa demuestra un enfoque serio y colaborador. El importe máximo puede alcanzar los 20 millones de euros o el 4% de la facturación anual global.
¿Qué cambiará con la simplificación del RGPD para pymes prevista para 2026?
La propuesta de simplificación pretende reducir la carga documental de las empresas con menos de 750 empleados, aligerando algunas obligaciones como llevar el registro de actividades de tratamiento para actividades de bajo riesgo y simplificando determinadas evaluaciones de impacto. Los principios fundamentales del RGPD permanecerán inalterados, igual que los derechos de los interesados y la obligación de garantizar la seguridad de los datos. Las pymes seguirán necesitando un sistema sólido de gestión de la privacidad, pero podrán beneficiarse de procedimientos agilizados en situaciones concretas.
