El Reglamento (UE) 2016/679 (RGPD) obliga desde el 25 de mayo de 2018 a todo responsable o encargado del tratamiento a garantizar la licitud, lealtad y transparencia en el tratamiento de datos personales; en España esa obligación se complementa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La Agencia Española de Protección de Datos (AEPD) es la autoridad de control con capacidad sancionadora a nivel estatal.
| Servicio | Qué incluye | Plazo orientativo | Órgano relevante |
|---|---|---|---|
| Auditoría de cumplimiento | Mapeo de tratamientos, análisis de riesgos y plan de medidas | 2–6 semanas según alcance | AEPD / Responsable interno |
| Implantación de políticas | Política de privacidad, contratos con encargados y registros de actividades | 2–8 semanas | Responsable del tratamiento |
| Formación y protocolos | Formación para empleados y planes de respuesta a brechas | Sesiones puntuales o plan anual | Responsable / AEPD (en caso de inspección) |
| Defensa ante sanciones | Recurso administrativo y, si procede, contencioso-administrativo | Plazos legales: reposición 1 mes / contencioso 2 meses | Juzgados de lo Contencioso-Administrativo de Zaragoza |
Obligaciones básicas del RGPD aplicables en Zaragoza
El RGPD establece bases jurídicas del tratamiento (art. 6 RGPD), derechos de los interesados (arts. 15 a 22 RGPD) y medidas técnicas y organizativas apropiadas (art. 32 RGPD). En España, la LOPDGDD desarrolla y adapta esos preceptos para su aplicación nacional.
Concretamente, cualquier empresa en Zaragoza que trate datos personales debe mantener un registro de actividades (art. 30 RGPD cuando proceda), aplicar criterios de minimización de datos y documentar las decisiones sobre análisis de riesgo y evaluaciones de impacto cuando el tratamiento pueda entrañar alto riesgo (art. 35 RGPD).
Pasos prácticos para cumplir la normativa: procedimiento recomendado
-
Auditoría inicial: identificar responsables, encargados y los flujos de datos. La auditoría debe recoger tipos de datos, bases legales y destinatarios.
-
Análisis de riesgos y, si procede, Evaluación de Impacto en la Protección de Datos (EIPD) conforme al art. 35 RGPD para tratamientos de alto riesgo.
-
Redacción e implantación de documentación: registros, cláusulas informativas y contratos con encargados del tratamiento (art. 28 RGPD).
-
Formación del personal y establecimiento de protocolos para notificación de brechas: el responsable debe notificar a la AEPD en un plazo máximo de 72 horas cuando proceda (art. 33 RGPD).
-
Revisión periódica y mantenimiento de cumplimiento: actualizaciones tras cambios en actividades o normativa.
Órganos competentes y particularidades de tramitar este asunto desde Zaragoza
La supervisión en materia de protección de datos corresponde a la AEPD a nivel estatal (https://www.aepd.es). En caso de sanciones administrativas dictadas por la AEPD, el recurso contencioso-administrativo se plantea ante los Juzgados de lo Contencioso-Administrativo de la provincia de Zaragoza.
Para asuntos penales relacionados con delitos contra la intimidad o la inviolabilidad de las comunicaciones, la vía es el Juzgado de Instrucción competente en el Partido Judicial de Zaragoza. A efectos de consulta profesional y protocolos locales, existe el Ilustre Colegio de la Abogacía de Zaragoza (ICAZ), que agrupa a la mayoría de letrados con práctica en protección de datos en la provincia.
Cómo trabaja un abogado especializado en protección de datos
Un abogado especialista realiza primero la auditoría legal y técnica necesaria para valorar riesgos y redactar la documentación exigible (política de privacidad, contratos, EIPD). En cuestiones de cumplimiento, aplica las obligaciones del art. 6 RGPD y la LOPDGDD y asesora sobre medidas técnicas conforme al art. 32 RGPD.
Si existe una notificación de infracción de la AEPD, el abogado prepara la contestación administrativa y, si procede, eleva recurso contencioso-administrativo ante los tribunales; también puede coordinar con peritos informáticos para la prueba técnica en procedimientos administrativos o judiciales.
Advertencia experta sobre plazos y consecuencias
Advertencia: frente a una resolución sancionadora de la AEPD puede interponerse recurso de reposición en el plazo de un mes desde la notificación o directamente recurso contencioso-administrativo ante los Juzgados de lo Contencioso-Administrativo en el plazo de dos meses; no agotar estos plazos puede impedir la tutela judicial efectiva.
Además, el incumplimiento continuado de las obligaciones del RGPD puede conllevar sanciones previstas en el art. 83 del Reglamento, que incluyen multas de hasta el 4% del volumen de negocio anual global o 20 millones de euros, según la infracción (parámetros recogidos en el propio texto del RGPD).
Recursos y enlaces oficiales y relacionados
Para consultar los textos normativos y guías oficiales: el RGPD se recoge en el Reglamento (UE) 2016/679 y la LOPDGDD en el Boletín Oficial del Estado; la AEPD publica guías y procedimientos en su web oficial https://www.aepd.es y el BOE está disponible en https://www.boe.es.
Contenido relacionado de Asesor.Legal que puede ayudar en cuestiones conexas: https://asesor.legal/abogado-para-relaciones-paterno-filiales-en-zaragoza/ y https://asesor.legal/abogado-para-subvenciones-agrarias-en-zaragoza/.
Preguntas frecuentes
¿Ante qué órgano debo recurrir una sanción de la AEPD si mi empresa está en Zaragoza?
Contra una resolución sancionadora de la AEPD puede interponerse recurso de reposición en el plazo de un mes o recurso contencioso-administrativo ante los Juzgados de lo Contencioso-Administrativo de Zaragoza en el plazo de dos meses desde la notificación.
¿Dónde solicitar asesoramiento profesional especializado en protección de datos en Zaragoza?
Puede dirigirse a abogados colegiados en el Ilustre Colegio de la Abogacía de Zaragoza (ICAZ) que ofrezcan servicios de auditoría, EIPD y defensa administrativa y judicial en materia de protección de datos.
Si sufro una brecha de seguridad en Zaragoza, ¿en cuánto tiempo debo notificarla a la AEPD?
La notificación a la AEPD debe realizarse, cuando proceda, dentro de las 72 horas siguientes a tener constancia de la brecha, y simultáneamente hay obligaciones de comunicación a los interesados en determinados supuestos (art. 33 y 34 RGPD).
¿La normativa autonómica de Aragón afecta a mi tratamiento de datos como empresa local?
Las normas autonómicas pueden contener disposiciones específicas, especialmente para el sector público; conviene consultar el Boletín Oficial de Aragón (BOA) y, si procede, solicitar asesoramiento para verificar la aplicabilidad en su caso concreto.
¿Qué documentación mínima debería entregar un abogado tras una auditoría de protección de datos?
Informe de auditoría con inventario de tratamientos, medidas correctoras propuestas, registros de actividades actualizados y, si procede, la Evaluación de Impacto en la Protección de Datos (EIPD) y los contratos con encargados del tratamiento.
Contenido generado con inteligencia artificial. Tiene carácter informativo general y no constituye asesoramiento jurídico. Para su caso concreto, consulte con un abogado colegiado. Última revisión: agosto de 2026.
