RGPD: guía práctica de referencia para organizaciones

Lo esencial en dos minutos

El Reglamento General de Protección de Datos regula el uso de información sobre personas. En cada etapa conviene preguntar: ¿por qué necesitamos estos datos, qué permite utilizarlos, quién puede acceder y cuándo se eliminarán? La seguridad forma parte de la respuesta, pero no sustituye las demás obligaciones.

Una pyme puede empezar por clientes, plantilla y proveedores. Identifique finalidades y bases jurídicas, informe a las personas, limite accesos, defina conservación y compruebe los servicios contratados. Prepare las solicitudes de derechos y los incidentes antes de la primera emergencia. No todo tratamiento exige consentimiento, no toda empresa necesita un DPD y no todos los servidores deben estar en Europa.

Este artículo se dirige a responsables de negocios, equipos de TI, desarrolladores y propietarios de sitios. Última comprobación de fuentes: 4 de noviembre de 2026. Es información para adaptar a cada organización; no ha recibido una validación jurídica profesional. Los artículos citados indican obligaciones; las autoridades explican su interpretación; nuestros métodos y plazos de proyecto son buenas prácticas propuestas.

Contenido

A quién y a qué se aplica el RGPD

El Reglamento (UE) 2016/679 se adoptó el 27 de abril de 2016, entró en vigor el 24 de mayo de 2016 y se aplica desde el 25 de mayo de 2018. Protege derechos fundamentales y facilita la circulación de datos con garantías comunes. El marco también se aplica en el EEE mediante sus mecanismos propios. Las normas nacionales siguen siendo relevantes para empleo, menores y comunicaciones comerciales.

El artículo 2 comprende tratamientos automatizados y datos manuales que forman o van a formar parte de un fichero. Un archivo organizado de candidaturas en papel puede estar incluido. Las actividades exclusivamente personales o domésticas quedan excluidas; una empresa no puede invocar esa excepción para su cartera de clientes. Existen otras exclusiones, como determinadas actividades fuera del Derecho de la Unión y ciertos tratamientos policiales regulados por normas diferentes.

El artículo 3 abarca tratamientos vinculados a un establecimiento en la Unión aunque las operaciones ocurran fuera. Una entidad extranjera también puede quedar incluida si ofrece bienes o servicios, incluso gratuitos, a personas en la Unión o controla allí su comportamiento. La mera accesibilidad de una web no demuestra necesariamente ese enfoque. Valore conjuntamente entregas, monedas, idiomas y publicidad dirigida.

La nacionalidad no es el criterio territorial. Un visitante estadounidense en la Unión puede estar protegido; un ciudadano europeo en el extranjero no somete automáticamente cualquier compra al RGPD. Autónomos, asociaciones, pymes y organismos públicos pueden tener obligaciones. Analice actividades concretas antes de declarar exenta a toda una organización. Artículos 2 y 3.

Reconocer datos personales y categorías especiales

Son personales los datos relativos a una persona física identificada o identificable. Nombre, correo profesional nominativo, número de cliente, ubicación o dirección IP pueden serlo. La información de una sociedad puede identificar a su autónomo titular o a una persona de contacto. Combinar fuentes razonablemente disponibles también puede permitir identificar a alguien.

El artículo 9 protege especialmente origen racial o étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos, biométricos destinados a identificar unívocamente, salud, vida sexual y orientación sexual. Normalmente hacen falta una base del artículo 6 y una excepción del artículo 9. Una fotografía corriente no es automáticamente un dato biométrico de categoría especial. Condenas e infracciones penales tienen el régimen separado del artículo 10: control oficial o autorización legal con garantías.

La seudonimización puede sustituir nombres por códigos de empleado y proteger la tabla de correspondencias. Los datos siguen siendo personales. Aplicar un hash al correo no demuestra anonimato si puede adivinarse o relacionarse. La anonimización requiere que la identificación deje de ser razonablemente probable, considerando medios, costes, tiempo y tecnología disponibles.

Para desarrolladores, también cuentan exportaciones, registros, eventos analíticos y adjuntos de soporte. Un correo en una URL puede propagarse por registros y referencias. Utilice datos sintéticos de prueba y retire identificadores innecesarios desde el origen. Son prácticas de minimización, no instrucciones técnicas universales impuestas literalmente por el reglamento. Artículo 4, artículos 9–10 y considerando 26.

Responsable, encargado, DPD y representante

El responsable determina fines y medios esenciales. El encargado trata datos por cuenta del responsable y siguiendo instrucciones. Una tienda suele ser responsable de sus pedidos; el alojamiento contratado puede actuar como encargado. El proveedor puede ser responsable de su propia facturación o prevención del fraude. La denominación contractual no sustituye el análisis de lo que cada entidad decide realmente.

Los corresponsables determinan conjuntamente fines y medios. El artículo 26 exige distribuir obligaciones de forma transparente y poner los aspectos esenciales del acuerdo a disposición de las personas. Estas pueden ejercer derechos frente a cada responsable. Un encargado que decide utilizar información para fines propios puede convertirse en responsable de ese tratamiento. Califique cada flujo, en vez de asignar una etiqueta permanente a toda una empresa.

El delegado de protección de datos, DPD, es obligatorio para autoridades y organismos públicos, salvo tribunales en su función judicial, y cuando las actividades principales requieren observación habitual y sistemática a gran escala o tratamiento a gran escala de datos de los artículos 9 o 10. El Derecho nacional puede añadir supuestos. Asesora, supervisa y coopera con autoridades; la dirección sigue siendo responsable. Necesita independencia, recursos, acceso a la dirección y ausencia de conflictos. Puede ser externo o compartido cuando se cumplan las condiciones.

Una organización comprendida en el artículo 3(2) normalmente debe designar representante en la Unión. La excepción del artículo 27 es limitada: tratamiento ocasional, sin categorías especiales o datos penales a gran escala y con riesgo improbable; las autoridades públicas tienen una excepción propia. Representante y DPD son funciones distintas. Las personas pueden reclamar ante una autoridad, entre otros lugares, donde residen habitualmente, trabajan o se produjo la supuesta infracción. Artículos 26–29, 37–39 y 77.

Principios y seis bases jurídicas

El artículo 5 exige licitud, lealtad, transparencia, fines determinados, minimización, exactitud, conservación limitada y seguridad adecuada. La responsabilidad proactiva implica demostrar su cumplimiento. Una hoja de decisiones que el equipo aplica resulta más útil que una política elegante que nadie sigue. Analice cada finalidad antes de recoger datos.

La necesidad contractual es estricta: añadir publicidad comportamental a las condiciones no la hace necesaria para entregar un producto. Una obligación legal necesita una norma aplicable, no una política interna. La misión de interés público requiere fundamento jurídico. Las autoridades públicas no pueden recurrir al interés legítimo en el ejercicio de sus funciones. Artículos 5 y 6.

Para el interés legítimo, documente el objetivo concreto, la necesidad y la ponderación frente a expectativas, derechos e impacto sobre las personas. Estudie opciones menos invasivas y garantías, especialmente para menores y personas vulnerables. Un registro de seguridad limitado y protegido se justifica más fácilmente que vigilar indefinidamente toda actividad laboral. La sigla LIA suele identificar esta evaluación; no reemplaza el razonamiento.

Puede escribir: «Conservamos identidad de facturación para la obligación contable aplicable; las preferencias comerciales se gestionan aparte». Cada finalidad puede tener una base diferente. No cambie silenciosamente de consentimiento a interés legítimo después de una retirada para continuar exactamente el mismo uso. Definir la base obliga a explicar qué necesita realmente el negocio y qué puede dejar de hacer.

Consentimiento, menores y conservación

El consentimiento debe ser libre, específico, informado e inequívoco, mediante una acción afirmativa. El silencio, las casillas premarcadas y aceptar condiciones generales no bastan. Separe fines opcionales, explique quién trata y para qué, conserve prueba del texto y elección, y facilite retirar el consentimiento tanto como otorgarlo. Retirarlo no invalida los tratamientos previos lícitos. Algunas situaciones requieren consentimiento explícito, incluidas determinadas excepciones del artículo 9.

En el empleo, la dependencia puede impedir una elección libre. Evite condicionar un servicio a permisos innecesarios. Mantenga pruebas proporcionadas: demostrar una suscripción no exige crear un expediente completo de identidad. Un registro útil incluye versión del aviso, finalidad, fecha, canal y estado de retirada. Artículos 4(11), 7 y 9.

El artículo 8 establece 16 años por defecto para servicios de la sociedad de la información ofrecidos directamente a menores y basados en consentimiento; cada Estado puede reducirlo hasta 13. Francia utiliza 15 en este contexto, con consentimiento conjunto del menor y titular de responsabilidad parental por debajo. España fija el umbral nacional en 14 años. No son edades universales para contratos ni cualquier tratamiento. Compruebe país, servicio, base y medidas proporcionadas de verificación de edad y autorización. Comisión, CNIL, AEPD.

No existe un plazo RGPD único para todos los documentos. Defina uso activo, archivo restringido para obligaciones o reclamaciones y eliminación o anonimización. Verifique normas fiscales, laborales y de prescripción. Registre hecho inicial, duración, motivo, responsable y método. Cerrar una cuenta puede eliminar el perfil mientras ciertas facturas deben mantenerse con acceso limitado. Incluya exportaciones y copias de seguridad, evitando que una restauración reactive datos eliminados.

Derechos, excepciones y plazos

La información debe explicar fines, bases, destinatarios, transferencias, conservación, derechos y contactos. Los artículos 13 y 14 distinguen recogida directa e indirecta. En esta última, normalmente debe informarse en un plazo razonable de hasta un mes, o antes al comunicar por primera vez con la persona o revelar los datos, con las excepciones previstas.

El acceso incluye confirmación, copia y contexto. La rectificación corrige inexactitudes. La supresión se aplica en determinados supuestos, con excepciones por obligaciones legales, expresión, interés público o defensa de reclamaciones. La limitación conserva datos mientras se examina una controversia. Comunique rectificaciones, supresiones o limitaciones a destinatarios salvo imposibilidad o esfuerzo desproporcionado, e identifíquelos cuando se solicite.

La portabilidad comprende datos facilitados por la persona y tratados automáticamente sobre consentimiento o contrato, en formato estructurado, común y legible por máquina. No incluye cualquier análisis interno ni archivos en papel. La oposición afecta especialmente a interés legítimo y misión pública según sus condiciones. Oponerse a la mercadotecnia directa obliga a cesar ese uso, incluida la elaboración de perfiles relacionada.

Responda sin dilación indebida y en un mes. La complejidad o número de solicitudes permite ampliar dos meses, informando y motivando dentro del primero. En general son gratuitas; una petición manifiestamente infundada o excesiva puede justificar un canon razonable o rechazo, que debe demostrar el responsable. Pida identificación adicional solo ante dudas razonables y de forma proporcionada. Motive rechazos e indique reclamación y tutela judicial. Artículos 12–21.

El artículo 22 limita decisiones exclusivamente automatizadas con efectos jurídicos o similares significativos. Existen excepciones por necesidad contractual, autorización legal o consentimiento explícito con garantías; las categorías especiales tienen restricciones añadidas. Cuando proceda, explique significativamente la lógica y permita intervención humana, expresar un punto de vista e impugnar. Una persona que acepta automáticamente una puntuación sin poder reconsiderarla no constituye una garantía efectiva.

Ejemplo: acceso y cierre de cuenta

Un cliente escribe: «Envíen mis datos y cierren mi cuenta». Registre ambas solicitudes, recepción y vencimiento, y confirme la recepción. Verifique identidad mediante un canal ya autenticado cuando sea posible. No exija pasaporte por defecto. Aclarar algo puede ser necesario, pero no debe obstaculizar el derecho ni presumirse que detiene automáticamente el plazo legal.

Busque en cuentas, pedidos, CRM, soporte, marketing y encargados correspondientes. Solicite datos y contexto a cada propietario de sistema. Proteja derechos de terceros: oculte información ajena cuando esté justificado en lugar de rechazar todo. Una exportación explicada resulta más útil que numerosas tablas incomprensibles sin indicar qué representan.

Elimine lo que carezca de fundamento, detenga promociones y explique registros conservados, base, controles y duración. Puede necesitar una lista mínima de exclusión para no volver a enviar publicidad. Programe caducidad de copias y reaplique supresiones tras restauraciones. Entregue la copia de forma segura dentro del plazo y explique acciones y excepciones.

Cierre el expediente con evidencia de búsquedas, decisiones, instrucciones a encargados y entrega. Si un sistema olvidado causó retraso, corrija el proceso. Hace falta una gestión repetible, no una investigación de identidad compleja para cada petición sencilla. El ejemplo propone una forma de cumplir las obligaciones anteriores; todos sus detalles no constituyen un procedimiento obligatorio universal.

Organizar un programa proporcionado

Mapee actividades, no solo aplicaciones. Para cada finalidad identifique personas, campos, origen, destinatarios, almacenamiento, acceso, base, conservación y transferencias. «Selección de candidatos» es la actividad; la plataforma de selección es una herramienta. Incluya papel, carpetas compartidas, cuentas personales usadas para trabajar y accesos del soporte de proveedores.

El registro del artículo 30 contiene información prescrita para responsables y, por separado, encargados. La excepción para menos de 250 personas es limitada: no comprende tratamientos no ocasionales, que puedan entrañar riesgo o que incluyan datos de los artículos 9 o 10. Nóminas y gestión habitual de clientes suelen impedir considerar ocasional la actividad. Pocos empleados nunca eximen de todo el reglamento.

Redacte avisos por capas fieles a la realidad. Un texto breve junto al formulario resume lo esencial y enlaza detalles; mencionar herramientas que no utiliza engaña. Designe quién atiende el contacto y quién cubre ausencias. Forme a soporte, recursos humanos, marketing y desarrollo sobre decisiones propias de su función, además de cualquier presentación anual común.

El contrato del artículo 28 regula instrucciones, confidencialidad, seguridad, asistencia, subencargados, devolución o supresión e información de auditoría. Verifique garantías antes de contratar y después. La subcontratación requiere autorización escrita específica o general; la general exige informar de cambios y permitir oposición. Una afirmación comercial de «preparado para el RGPD» no responde por sí sola a esas preguntas. Artículos 24, 28 y 30.

Diseño, evaluación de impacto y seguridad

El artículo 25 integra protección desde el diseño y por defecto. Formulario mínimo, perfiles públicos desactivados, registros breves, permisos por función y eliminación funcional son ejemplos. Antes de una función, pregunte si bastan menos campos o cálculo local. Revise telemetría e informes de errores: su utilidad técnica no elimina la necesidad de base e información.

La evaluación de impacto relativa a la protección de datos, EIPD, es obligatoria antes de tratamientos que probablemente entrañen alto riesgo. El artículo 35 menciona ciertas evaluaciones automatizadas exhaustivas, categorías especiales a gran escala y observación sistemática a gran escala de zonas públicas. Consulte listas de la autoridad competente. No toda base de datos nueva requiere EIPD, pero documente por qué el análisis inicial la descarta.

Una evaluación útil describe la operación, examina necesidad y proporcionalidad, valora riesgos para personas y asigna medidas a responsables. Recabe asesoramiento del DPD cuando exista. Si persiste alto riesgo residual pese a medidas, el artículo 36 exige consulta previa a la autoridad. Completar un formulario sin corregir un diseño peligroso no resuelve el problema.

El artículo 32 exige seguridad adecuada al riesgo considerando contexto, tecnología y costes. Contraseñas únicas, MFA o claves de acceso, mínimo privilegio, bajas puntuales, cifrado, hash seguro, copias probadas, parches y monitorización son opciones. Pruebe recuperación además de prevención. Son medios prácticos, no una lista legal universal. La guía 2FA y el generador de políticas de contraseñas ayudan con las cuentas; no certifican cumplimiento.

Web, cookies, marketing y comercio electrónico

El RGPD regula tratamientos personales; las normas nacionales derivadas de ePrivacy también regulan almacenamiento o lectura en dispositivos y comunicaciones electrónicas. Un rastreador puede necesitar consentimiento incluso antes de discutir si contiene datos personales. Las tecnologías estrictamente necesarias pueden estar exentas bajo las reglas aplicables; financiar la web con anuncios no convierte sus rastreadores en necesarios.

Bloquee rastreadores no exentos antes de la elección, explique finalidades y destinatarios, permita rechazo real y retirada posterior. Audite cargas efectivas, vídeos, chat, widgets y envíos desde servidor. Un botón de rechazo que deja funcionar la publicidad no soluciona nada. Algunas mediciones de audiencia tienen exenciones nacionales estrechas y condicionadas; llamarlas «estadísticas» no basta. CNIL.

Limite los campos del formulario a su finalidad. La dirección de entrega sirve para un pedido, no necesariamente para un boletín. Separe mensajes transaccionales y comerciales. En Francia, los correos comerciales a consumidores normalmente requieren consentimiento previo, con excepción condicionada para clientes y productos similares. Abrir una cuenta no basta. La prospección profesional puede seguir condiciones diferentes cuando se relaciona con la profesión, con información y oposición sencilla. No traslade automáticamente esa regla francesa a España u otro país: compruebe normativa local y canal. CNIL.

Una tienda distingue entrega, contabilidad, soporte y publicidad, reduce exposición de pagos y verifica extensiones. Guarde prueba del consentimiento cuando corresponda y exclusiones para evitar reimportar contactos dados de baja. Privacidad, condiciones de venta y cookies cumplen funciones diferentes. HTTPS protege el transporte; no acredita licitud de recogida, conservación o publicidad.

Nube, SaaS e inteligencia artificial generativa

Antes de un CRM, nube o servicio colaborativo, identifique entidad contratante, ubicaciones de almacenamiento y soporte, subencargados, accesos, retención, ayuda en incidentes y opciones de salida. Revise configuraciones reales. Una región europea no descarta acceso desde un tercer país. La organización conserva responsabilidad por selección y uso del servicio.

Introducir un ticket real o un CV en un prompt puede comunicar información a otra entidad. Determine funciones y bases, minimice entradas, examine categorías especiales, informe de usos pertinentes y revise transferencias. Compruebe entrenamiento, duración de conversaciones y registros, revisión humana y alcance de eliminación. Desactivar entrenamiento solo resuelve una parte.

Una práctica interna útil consiste en aprobar herramientas y categorías permitidas, ofrecer ejemplos sintéticos y establecer un proceso de excepción. Retire identificadores, recordando que un diagnóstico raro o historial detallado puede identificar sin nombre. Restrinja también salidas generadas: un resumen puede conservar los datos sensibles del original.

El dictamen 28/2024 del CEPD analiza modelos, anonimato e interés legítimo caso por caso; es interpretación de la autoridad, no permiso general para entrenar con información pública. Publicar datos no elimina su protección. Examine también el artículo 22 en selección y decisiones significativas. Compruebe resultados antes de usarlos: información personal inventada puede originar otro problema de exactitud y derechos. Dictamen del CEPD.

Transferencias internacionales: elegir garantías

El capítulo V no exige almacenar todo en Europa. Identifique primero si existe transferencia, incluidos determinados accesos remotos por una entidad distinta en un tercer país, y después el mecanismo que cubre destinatario y finalidad. La base del artículo 6 y el mecanismo internacional responden a cuestiones distintas; uno no sustituye al otro.

Una decisión de adecuación permite transferencias dentro de su alcance sin garantías del artículo 46. La lista de la Comisión consultada incluye el Marco de Privacidad de Datos UE–EE. UU., DPF, para entidades estadounidenses participantes. Verifique participación activa de la entidad exacta y datos cubiertos. No comprende a todos los proveedores de Estados Unidos. La adecuación canadiense tiene alcance comercial definido; no autoriza automáticamente cualquier destinatario. Lista de la Comisión.

Si no existe adecuación aplicable, el artículo 46 prevé cláusulas contractuales tipo, normas corporativas vinculantes y otras garantías permitidas. Seleccione módulos correctos, examine Derecho y prácticas del país y añada medidas complementarias cuando sean necesarias. Firmar no neutraliza un régimen de acceso incompatible. Si no puede conseguirse protección adecuada, no debe mantenerse la transferencia bajo ese dispositivo.

Las excepciones del artículo 49 son restrictivas y no deberían sostener por defecto transferencias recurrentes. El consentimiento explícito a una transferencia arriesgada no sustituye cómodamente una estrategia de proveedores. Revise decisiones, participación y accesos con el tiempo. El antiguo Privacy Shield no es el DPF actual. Feche sus comprobaciones y repítalas antes de nuevas comunicaciones, sin depender indefinidamente de la fecha de este artículo.

Brechas: documentación, 72 horas y alto riesgo

Una violación de seguridad de datos personales provoca destrucción, pérdida, alteración, comunicación o acceso no autorizados, accidentales o ilícitos. Un correo de nómina mal enviado, ransomware que bloquea expedientes o un portátil sin cifrar perdido pueden constituirla. No hace falta un atacante, y ausencia de robo demostrado no prueba ausencia de riesgo.

Contenga, preserve pruebas, determine hechos y evalúe efectos sobre personas. Registre categorías, volumen aproximado de personas y registros, exposición, protecciones y remedios. Debe documentar todas las brechas, también cuando no se notifican, explicando el motivo. El encargado informa al responsable sin dilación indebida; no debe asumir que puede esperar siempre 72 horas.

El responsable notifica a la autoridad competente sin dilación indebida y, de ser posible, dentro de las 72 horas de tener constancia, salvo que sea improbable un riesgo para derechos y libertades. Explique retrasos y facilite información por fases si hace falta. No espere al informe forense final para una notificación inicial. Artículo 33.

Informe a personas sin dilación indebida cuando sea probable alto riesgo, con excepciones del artículo 34, por ejemplo protección que haga ininteligibles los datos o medidas posteriores que eliminen ese riesgo. Es un umbral y deber distinto, no un correo universal en 72 horas. Explique hechos, consecuencias, medidas y contacto en lenguaje claro. Evite pedir contraseñas o crear oportunidades de suplantación en sus comunicaciones.

Cinco casos prácticos y sus evidencias

Pyme: una agencia de doce personas guarda nóminas, clientes y colaboradores en carpetas compartidas. Mapea finalidades, restringe salarios y retira accesos al terminar contratos. Sus actividades habituales impiden deducir una exención de registro solo por tamaño. Conserve inventario, revisión de permisos y conservación. Asigne un propietario de negocio por actividad en vez de transferir todas las decisiones jurídicas al proveedor informático.

Tienda: utiliza dirección y contacto para entregar y mantiene facturas por obligaciones nacionales. Separa promociones opcionales, considerando excepciones locales, y bloquea publicidad antes del consentimiento. Guarde formulario, versión informativa, auditoría de rastreadores y contratos. Rechazar publicidad debe permitir una compra ordinaria sin recogida innecesaria.

SaaS: procesa espacios de trabajo por instrucciones pero determina su facturación. Separa funciones, ofrece condiciones del artículo 28, supervisa subencargados y prueba exportación y eliminación por cliente. Un producto puede necesitar análisis distintos según función. Conserve mapa de roles, garantías de seguridad y evaluación de transferencias. Compruebe que un exportador no revela datos de otra organización.

Selección: limita CV y notas, informa a candidatos y justifica conservación. Una bolsa futura requiere análisis propio. No recoge salud por defecto y estudia EIPD y artículo 22 antes de clasificar automáticamente. Guarde aviso, criterios, plazos y prueba de que una persona revisora puede modificar de verdad una propuesta de decisión.

Incidente: un empleado envía salarios a una dirección externa equivocada. El equipo pide detener uso y eliminar, verifica evidencia disponible, limita exposición y analiza suplantación, confidencialidad y efectos laborales. Decide separadamente artículos 33 y 34. La tranquilidad expresada por el destinatario es una evidencia, no prueba automática de riesgo nulo. Conserve cronología, análisis, comunicaciones y correcciones.

Sanciones, costes y mitos

Las autoridades pueden investigar, advertir, apercibir, ordenar cumplimiento, limitar tratamientos y suspender transferencias. El artículo 83 establece según infracción máximos de 10 millones de euros o 2 % de facturación anual mundial, o 20 millones o 4 %; para empresas se aplica el mayor importe correspondiente. Son techos, no tarifas automáticas. Influyen gravedad, duración, intención, mitigación, cooperación y antecedentes. La indemnización del artículo 82 es otra cuestión. Artículos 58 y 82–83.

No existe un coste universal. Estime horas de inventario, avisos, contratos, ingeniería, formación y derechos, más asesoría o evaluaciones necesarias. Presupueste revisiones y simulacros recurrentes. Un documento barato puede ocultar una eliminación que no funciona. Priorice riesgos reales y fundamentos ausentes, además del texto visible en una página web.

Mitos que conviene abandonar: consentimiento para todo; exención total por tener menos de 250 empleados; DPD obligatorio siempre; ciudadanía como prueba territorial; supresión absoluta; informar a todos en 72 horas; alojamiento europeo obligatorio; y banner, certificado TLS o puntuación automática como demostración completa. Cada afirmación omite condiciones esenciales explicadas en este artículo.

Otros regímenes: UK GDPR es un marco distinto con cambios y orientaciones británicas. Las leyes federales y provinciales de Canadá y la normativa de Quebec modificada por la Ley 25 tienen alcance, derechos y reglas de incidentes propios. Cumplir una no demuestra cumplir las demás. La guía de Ley 25 aporta contexto; determine leyes aplicables antes de adaptar una plantilla europea.

Lista operativa y plan adaptable de 30, 60 y 90 días

• □ Alcance y normas nacionales identificados
• □ Fines, flujos y registro del artículo 30 revisados
• □ Bases y condiciones de artículos 9/10 documentadas
• □ Avisos coherentes con sistemas y destinatarios reales
• □ Conservación, exportación y eliminación probadas
• □ Contacto de derechos, responsable y sustitución definidos
• □ Contratos y cambios de subencargados revisados
• □ Mecanismo internacional y estado del receptor comprobados
• □ Necesidad de DPD, representante y EIPD evaluada
• □ Mínimo privilegio, MFA y recuperación probados
• □ Rechazo de rastreadores y publicidad verificado
• □ Usos de IA aprobados con límites de entrada y retención
• □ Registro de brechas y decisiones diferenciadas preparados
• □ Personal formado y revisiones periódicas asignadas

Días 1–30: descubrir y contener. Nombre una persona coordinadora, identifique leyes, mapee actividades y proveedores críticos, corrija accesos expuestos y prepare derechos y escalado de incidentes. Entregue registro inicial, riesgos priorizados y responsables. No retrase una urgencia de seguridad o un tratamiento ilícito hasta la fase siguiente.

Días 31–60: alinear documentos y sistemas. Documente bases, reescriba avisos, complete contratos, compruebe transferencias e implante conservación y correcciones comerciales. Evalúe qué proyectos necesitan EIPD. Entregue evidencia de un ensayo real de exportación o eliminación; una promesa escrita no basta si el sistema no la ejecuta.

Días 61–90: ensayar y mantener. Simule solicitud y brecha, pruebe restauración, forme equipos y revise proveedores. La dirección asigna recursos a pendientes. Defina revisiones ante herramientas, finalidades, adquisiciones, leyes e incidentes nuevos. Es un marco de proyecto adaptable, no una moratoria jurídica ni una garantía de cumplimiento en tres meses.

Glosario

Tratamiento: cualquier operación, incluidos almacenamiento y eliminación. Interesado: persona a la que se refieren los datos. Responsable: determina fines y medios esenciales. Encargado: actúa por cuenta del responsable. Corresponsables: deciden conjuntamente. DPD: función independiente de asesoramiento y supervisión cuando se designa. Representante UE: contacto del artículo 27, diferente del DPD. EIPD: evaluación del alto riesgo y medidas. CCT: cláusulas contractuales tipo para transferencias determinadas. Seudonimización: separación de identidad conservando información adicional. Anonimización: eliminación de identificabilidad razonable. Brecha: incidente que afecta confidencialidad, integridad o disponibilidad de datos personales.

Preguntas frecuentes por temas

Alcance y responsabilidades

¿Tiene obligaciones un autónomo?

Sí, si realiza tratamientos incluidos. El tamaño no elimina base jurídica, información ni seguridad adecuadas. Ver la sección.

¿Están exentas las asociaciones?

No existe una exención general. Socios, donaciones y voluntariado requieren análisis, también de posibles categorías especiales. Ver la sección.

¿Está incluida cualquier web extranjera?

No. Examine establecimiento, oferta a personas en la Unión y observación allí; accesibilidad por sí sola no resuelve el alcance. Ver la sección.

¿Es personal una dirección IP?

Puede serlo si se relaciona con una persona identificable. Importan contexto y medios de identificación disponibles. Ver la sección.

¿Un hash anonimiza un correo?

No necesariamente. Un identificador adivinable o relacionable puede seguir siendo personal; seudonimizar no equivale a anonimizar. Ver la sección.

¿Siempre necesitamos DPD?

No. Aplique artículo 37 y requisitos nacionales; asigne de todos modos responsabilidades operativas aunque no sea obligatorio. Ver la sección.

¿Puede el proveedor TI ser DPD?

En algunos casos, evaluando independencia, competencia, recursos y conflictos. Administrar sistemas puede entrar en conflicto con supervisar esas decisiones. Ver la sección.

¿Representante y DPD son iguales?

No. El representante del artículo 27 es contacto designado en la Unión; el DPD asesora y supervisa bajo otras condiciones. Ver la sección.

Licitud y conservación

¿Hay que consentir cada factura?

Normalmente no. Una obligación aplicable puede fundamentar conservación contable; publicidad opcional es otra finalidad. Ver la sección.

¿Vale una casilla premarcada?

No para acreditar consentimiento. Se necesita acción afirmativa y las demás condiciones de libertad e información real. Ver la sección.

¿Sirve el interés legítimo para todo?

No. Exige finalidad legítima, necesidad y ponderación favorable; otras normas pueden seguir requiriendo consentimiento. Ver la sección.

¿Es igual la edad en toda Europa?

No. El artículo 8 permite umbrales de 13 a 16 en su contexto; otras leyes y bases necesitan análisis separado. Ver la sección.

¿Cuánto se guarda un expediente de cliente?

Lo justificado por cada finalidad y obligaciones nacionales. Documente plazos y compruebe eliminación efectiva en los sistemas. Ver la sección.

¿Pueden reutilizarse libremente datos públicos?

No. Un perfil público puede seguir siendo personal. La finalidad nueva requiere análisis propio de licitud y lealtad. Ver la sección.

Derechos de las personas

¿Es incondicional la supresión?

No. Obligaciones legales y excepciones del artículo 17 pueden justificar retención. Explique motivo y limite el uso restante. Ver la sección.

¿Tenemos treinta días para responder?

La regla es un mes, sin dilación indebida. Ampliar requiere condiciones e información dentro del plazo inicial. Ver la sección.

¿Siempre hay que pedir identificación?

No. Pida prueba adicional ante dudas razonables, con medidas proporcionadas y canales autenticados cuando proceda. Ver la sección.

¿El acceso incluye todo documento original?

El derecho comprende datos y contexto; algunos documentos pueden necesitarse para una copia inteligible, protegiendo derechos ajenos. Ver la sección.

¿Incluye portabilidad todas las puntuaciones?

No. Abarca determinados datos facilitados por la persona y tratados automáticamente sobre consentimiento o contrato, no cualquier análisis interno. Ver la sección.

¿Puede alguien detener la publicidad?

Sí. La oposición obliga a cesar ese uso y perfiles asociados; una exclusión mínima justificada puede preservar la elección. Ver la sección.

Sitios y proveedores

¿Basta un banner de cookies?

No. Deben cumplir funcionamiento real, información, elecciones y tratamientos. Mostrar un banner no demuestra el conjunto. Ver la sección.

¿Toda analítica está exenta?

No. Depende de condiciones nacionales y configuración. La reutilización publicitaria puede impedir una exención. Ver la sección.

¿Abrir una cuenta autoriza boletines?

No automáticamente. Examine normativa local y relación real; la excepción francesa para clientes exige más que registrarse. Ver la sección.

¿Deben estar los servidores en la UE?

No. Hay transferencias lícitas con mecanismos del capítulo V y cumplimiento de las demás obligaciones. Ver la sección.

¿Alojamiento europeo elimina transferencias?

No necesariamente. Revise entidades extranjeras, soporte y transferencias posteriores, además de ubicación física. Ver la sección.

¿Puede introducirse un CV en una IA?

Solo tras evaluar uso, funciones, base, minimización, seguridad y transferencias. Ser público o tener cuenta de pago no basta. Ver la sección.

Incidentes e implantación

¿Se notifica todo incidente a la autoridad?

Debe documentarse toda brecha personal; se notifica salvo riesgo improbable. No todo fallo informático es una brecha personal. Ver la sección.

¿Hay que avisar a todos en 72 horas?

No. El plazo de autoridad y la comunicación a personas por alto riesgo tienen umbrales y tiempos diferentes. Ver la sección.

¿La multa siempre es del cuatro por ciento?

No. Hay diferentes máximos y factores concretos, además de poderes correctivos y posible indemnización separada. Ver la sección.

¿El plan de noventa días certifica cumplimiento?

No. Ordena prioridades y pruebas; alcance, riesgos y pendientes determinan trabajo y mantenimiento continuo. Ver la sección.

Fuentes, comprobación y seguimiento legislativo

El reglamento es la fuente jurídica primaria. EUR-Lex presentó una comprobación automática de acceso durante la investigación; también se consultó el texto en el BOE español. El CEPD conecta obligaciones y trabajo cotidiano; la CNIL ofrece orientación práctica y nacional; la Comisión proporciona alcance y transferencias. Las orientaciones no sustituyen legislación ni decisiones judiciales vinculantes.

Se compararon además GDPR.eu, sitio divulgativo no oficial, e IT Governance, cuyo enlace redirige actualmente a GRC Solutions. GDPR.eu facilita una introducción, pero la página examinada confunde la comunicación a personas con las 72 horas para la autoridad y simplifica las reglas sobre menores. GRC ayuda a localizar cuestiones de implantación con orientación comercial. Ninguno fundamenta aquí una obligación jurídica. Casos, registros de decisión y calendario son herramientas editoriales originales.

En la comprobación, los expedientes parlamentarios Omnibus IV y Digital Omnibus seguían mostrando procedimientos legislativos en curso. No aplique reducciones del registro o cambios de brechas simplemente porque se han propuesto. Este artículo utiliza las condiciones actuales del artículo 30 y las 72 horas del artículo 33. Consulte expedientes y Diario Oficial antes de invocar una reforma; no se establece aquí una fecha futura de aprobación. Omnibus IV, Digital Omnibus.

• Regulation (EU) 2016/679 — EUR-Lex
• Reglamento (UE) 2016/679 — BOE
• EDPB / CEPD — SME guide
• European Commission — Data protection
• CNIL — Comprendre le RGPD
• European Commission — Children
• CNIL — Consentement
• AEPD — Menores y consentimiento
• CNIL — Cookies et publicité
• CNIL — Prospection électronique
• EDPB / CEPD — Opinion 28/2024
• European Commission — Adequacy decisions
• European Parliament — 2025/0130(COD)
• European Parliament — 2025/0360(COD)
• GDPR.eu — What is GDPR?
• GRC Solutions — Data protection