El RGPD regula cómo se recogen, usan, almacenan y protegen los datos personales. Si una empresa tiene un sitio web, formularios, una tienda en línea o una base de datos de clientes, esta norma afecta a la seguridad, a la atención al cliente y a la confianza que transmite.
Qué es el RGPD y por qué cambió la protección de datos
RGPD significa Reglamento General de Protección de Datos. Su referencia legal es el Reglamento (UE) 2016/679, aprobado el 14 de abril de 2016 y publicado el 4 de mayo de 2016. Entró en vigor 20 días después, el 24 de mayo de 2016, y empezó a aplicarse de forma efectiva el 25 de mayo de 2018.
Su objetivo es dar más control a las personas sobre sus datos personales y obligar a las organizaciones a tratarlos con transparencia, seguridad y responsabilidad. Sustituyó a la Directiva 95/46/CE y, en España, dejó obsoleta la LOPD de 1999, dentro de una evolución normativa que se completó con la regulación española de 2018.
Un dato personal no es solo el nombre o el DNI. También puede ser un correo electrónico, una dirección IP, una ubicación, un identificador de cliente, datos de salud, información laboral o cualquier dato que permita identificar directa o indirectamente a una persona física.
A quién se aplica: no depende solo de dónde esté la empresa
El RGPD se aplica a empresas, autónomos, asociaciones, administraciones y organizaciones que tratan datos personales de personas situadas en la Unión Europea o en el Espacio Económico Europeo. La clave no es únicamente dónde está registrada la entidad, sino qué datos trata y de quién son.
Por eso, una empresa fuera de la UE también puede estar obligada si ofrece productos o servicios a residentes en la UE, o si analiza su comportamiento mediante seguimiento, perfiles, publicidad personalizada o análisis avanzado.
Ejemplos cotidianos donde entra el RGPD
Un sitio web corporativo con formulario de contacto trata datos personales. Un comercio electrónico que gestiona pedidos también. Una empresa que envía campañas a una lista de correos, una clínica que almacena historiales, una academia con expedientes de alumnos o una aplicación que crea cuentas de usuario entran en el terreno del tratamiento de datos.
En cambio, el uso estrictamente doméstico, como una agenda personal sin finalidad profesional ni comercial, queda fuera del enfoque típico del RGPD. La frontera práctica aparece cuando hay organización, finalidad y tratamiento sistemático.
Responsable y encargado del tratamiento: la diferencia que conviene tener clara
Una de las confusiones más habituales está entre responsable del tratamiento y encargado del tratamiento. La distinción importa porque determina quién decide, quién ejecuta y quién debe responder ante usuarios y ante autoridades de protección de datos como la AEPD.
| Figura | Qué hace | Ejemplo práctico |
|---|---|---|
| Responsable del tratamiento | Decide para qué y cómo se tratan los datos. | Una tienda en línea que recoge datos para vender, facturar y enviar pedidos. |
| Encargado del tratamiento | Trata datos por cuenta del responsable, siguiendo sus instrucciones. | Un proveedor de alojamiento, una plataforma de correo o una gestoría externa. |
Si contratas a un proveedor que accede a datos personales, necesitas regular esa relación. No basta con confiar en que el proveedor sea serio: debe existir una base contractual que indique instrucciones, medidas de seguridad, confidencialidad y condiciones de conservación o eliminación de los datos.
Derechos de las personas y obligaciones básicas de las empresas
El RGPD no se queda en una declaración general. Reconoce derechos concretos a los interesados y obliga a las organizaciones a tener procesos para atenderlos.
Derechos que reconoce el RGPD
Las personas pueden solicitar acceso a sus datos, pedir su rectificación, solicitar la supresión o derecho al olvido, oponerse a ciertos tratamientos, limitar el uso de sus datos y ejercer la portabilidad para recibirlos en un formato estructurado y legible por máquina.
Esto implica que una empresa debe saber dónde están los datos, por qué los tiene, durante cuánto tiempo los conserva y cómo puede responder si alguien pide ejercer un derecho. Si la información está repartida entre hojas de cálculo, buzones, herramientas externas y copias antiguas, cumplir se vuelve más lento y arriesgado.
Obligaciones prácticas de cumplimiento
Las obligaciones más importantes pasan por informar con una política de privacidad clara, obtener consentimiento explícito cuando sea necesario, mantener un registro de actividades de tratamiento, aplicar medidas de seguridad adecuadas, revisar proveedores, evaluar riesgos y documentar decisiones.
En ciertos casos también puede ser necesario designar un Delegado de Protección de Datos, o DPD, especialmente cuando el tratamiento exige una supervisión especializada por volumen, sensibilidad o naturaleza de los datos. Además, si se produce una violación de seguridad que afecte a datos personales, la notificación debe gestionarse en un plazo de 72 horas cuando corresponda.
Inventariar dónde están los datos, quién accede a ellos y cuánto tiempo se conservan ayuda a detectar duplicados, permisos excesivos y copias antiguas. También facilita responder mejor ante solicitudes de acceso o supresión, que suelen ser más lentas cuando la información está repartida entre varias herramientas.
Sanciones, riesgos y primeros pasos para adaptarse
El incumplimiento del RGPD puede generar sanciones económicas relevantes. Las multas pueden llegar a 20 millones de euros o al 4 % del volumen de negocio anual global, según la gravedad. En otros supuestos, pueden alcanzar 10 millones de euros o el 2 %. Pero el impacto no es solo económico: también hay daño reputacional, pérdida de confianza y bloqueo operativo si no se sabe responder ante una incidencia.
Checklist inicial para una empresa
- Identificar qué datos personales se recogen y con qué finalidad.
- Revisar formularios, bases de datos y herramientas de gestión de clientes.
- Actualizar la política de privacidad con lenguaje claro.
- Comprobar la base legal de cada tratamiento: consentimiento, contrato, obligación legal, interés legítimo u otra aplicable.
- Firmar acuerdos con encargados del tratamiento que acceden a datos.
- Limitar accesos internos y aplicar medidas de seguridad adecuadas.
- Preparar un procedimiento para derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.
- Definir un protocolo ante violaciones de datos y valorar si se requiere DPD o evaluación de impacto.
La idea central es simple: el RGPD exige tratar menos datos, tratarlos mejor y poder demostrarlo. No se trata de acumular documentos, sino de convertir la privacidad en una práctica real dentro de la organización.
{«@type»:»Article»,»@context»:»https://schema.org»,»headline»:»RGPD: qué es, a quién aplica y qué exige una empresa»,»inLanguage»:»es-ES»,»description»:»El RGPD regula cómo se recogen, usan, almacenan y protegen los datos personales. Si una empresa tiene un sitio web, formularios, una tienda en línea o una base de datos de…»}