Desde el 25 de mayo de 2018 el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) obligan a todas las empresas que traten datos personales en España a implantar medidas de privacidad y de rendición de cuentas. Para iniciar una adaptación práctica, consulte Asesor.Legal y aplique los pasos que se detallan en esta guía actualizada a 2026.
Resumen ejecutivo: obligaciones esenciales
Las empresas que tratan datos personales deben, como mínimo: mantener un registro de actividades de tratamiento, documentar la base jurídica de cada tratamiento, aplicar medidas técnicas y organizativas proporcionales, facilitar el ejercicio de los derechos de los interesados y notificar brechas de seguridad a la AEPD cuando proceda. La Agencia Española de Protección de Datos mantiene guías y herramientas actualizadas: AEPD.
Tabla comparativa: obligaciones según tamaño y tipo de datos
| Obligación | Aplicación general | PYMES / Autónomos | Datos especialmente protegidos |
|---|---|---|---|
| Registro de actividades | Registrar finalidades, categorías, destinatarios, plazos y medidas de seguridad. | Registro proporcional: enfoque por procesos y sistemas críticos. | Registro con documentación adicional de bases jurídicas y controles reforzados. |
| EIPD (Evaluación de Impacto) | Obligatoria cuando el tratamiento entrañe alto riesgo para derechos y libertades. | Requerida sólo si el tratamiento a escala o la tecnología usada generan alto riesgo; se puede externalizar la asistencia. | Normalmente exigible: análisis detallado y medidas de mitigación específicas. |
| Medidas de seguridad | Cifrado aplicable, control de accesos, gestión de vulnerabilidades y copias de seguridad. | Medidas proporcionadas y documentadas; formación mínima al personal. | Controles de acceso estrictos, logging avanzado y protección jurídica de accesos. |
| Notificación de brechas | Notificar a la AEPD en 72 horas si existe riesgo para derechos; informar a afectados si procede. | Procedimiento interno y persona de contacto definida. | Comunicación prioritaria y medidas urgentes de mitigación y soporte a afectados. |
| Contratos con encargados | Contrato escrito con instrucciones, medidas de seguridad y condiciones de subcontratación. | Cláusulas adaptadas y comprobación de medidas del proveedor. | Revisión exhaustiva y auditorías periódicas. |
Guía procedimental: pasos claros para cumplir
- Inventario y mapa de datos: identifica qué datos recoges, por qué, dónde se almacenan y con quién se comparten (incluir servicios cloud y subcontratistas).
- Determina la base jurídica de cada tratamiento: consentimiento, contrato, obligación legal, interés legítimo u otra base prevista.
- Registra las actividades de tratamiento: documenta finalidades, categorías, plazos, destinatarios y medidas de seguridad.
- Clasifica datos sensibles y evalúa la necesidad de una Evaluación de Impacto (EIPD) cuando exista alto riesgo.
- Implanta medidas técnicas y organizativas: cifrado en tránsito y reposo, control de accesos por rol, backups, logging y gestión de vulnerabilidades.
- Revisa y actualiza contratos con encargados y subencargados; incluye cláusulas de seguridad y auditoría.
- Diseña protocolos para el ejercicio de derechos (acceso, rectificación, supresión, oposición y portabilidad) con flujos documentados.
- Establece procedimientos para detección y notificación de brechas: formularios, responsables y plantillas para la AEPD y afectados.
- Forma al personal periódicamente y realiza simulacros de incidentes.
- Implementa revisiones y auditorías internas y externas; actualiza registros y políticas según resultados y cambios normativos.
Responsabilidades: quién hace qué
- Responsable del tratamiento: decide finalidades y medios; debe aplicar el principio de responsabilidad proactiva y conservar la documentación que demuestre cumplimiento.
- Delegado de Protección de Datos (DPD/DPO): obligatorio en ciertos supuestos (autoridades públicas, tratamientos a gran escala o de categorías especiales) y recomendable cuando el volumen o la complejidad lo aconsejen.
- Encargados del tratamiento (proveedores): deben seguir instrucciones documentadas y garantizar medidas de seguridad contractualmente.
- Personal: formación continua y protocolos para minimizar errores humanos y evitar filtraciones.
Advertencia experta (plazo y consecuencia concreta)
Si se produce una brecha de seguridad que implique riesgo para los derechos y libertades de las personas, la empresa debe notificarla a la AEPD en un plazo máximo de 72 horas desde que tenga constancia del incidente. El incumplimiento de esta obligación o la falta de medidas adecuadas puede acarrear sanciones administrativas de hasta 20 millones de euros o el 4 % del volumen de negocio global anual, la cantidad que resulte mayor.
Contratos con encargados y transferencias internacionales
Formalice contratos escritos con proveedores que actúen como encargados, con instrucciones claras, medidas de seguridad y condiciones para subcontratación y auditorías. Para transferencias internacionales, verifique si existen decisiones de adecuación, cláusulas contractuales tipo u otras garantías apropiadas. Para apoyo en redacción e implementación puede revisar recursos y servicios en Asesor.Legal.
Herramientas y soluciones prácticas
Combine soluciones técnicas (cifrado, control de accesos, gestión de incidentes y backups) con políticas internas y formación. Use registros automatizados para facilitar auditorías y plantillas para notificaciones a la AEPD. Si necesita una implantación guiada, Asesor.Legal ofrece recursos y asesoramiento práctico.
Recursos oficiales y lectura recomendada
- Agencia Española de Protección de Datos (AEPD): https://www.aepd.es (guías, herramientas y formularios actualizados).
- Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD): consulte los textos legales y las guías de la AEPD.
Preguntas frecuentes
¿Todas las empresas deben nombrar un Delegado de Protección de Datos? No. Es obligatorio sólo en casos concretos (autoridades públicas; tratamientos a gran escala que requieran vigilancia sistemática; o tratamiento a gran escala de categorías especiales). En otras situaciones conviene evaluar la designación según riesgos y tamaño.
¿Cómo se documenta un consentimiento válido? Debe ser libre, específico, informado e inequívoco. Conserve registros que prueben cuándo, cómo y con qué información se otorgó el consentimiento, y facilite su retirada con la misma facilidad.
¿Cuánto tiempo debo conservar los registros de actividades? No existe un plazo único: deben conservarse mientras sean necesarios para acreditar el cumplimiento. Tras la supresión de los datos puede conservarse documentación mínima que justifique las decisiones de eliminación o anonimización.
¿Qué medidas de seguridad son imprescindibles? Las medidas deben ser proporcionadas al riesgo: control de accesos, cifrado cuando proceda, copias de seguridad periódicas, registro de incidentes y formación del personal. Para datos sensibles o tratamientos masivos se exigirán controles adicionales.
Contenido elaborado con apoyo de IA. Carácter informativo. Consulte con un abogado colegiado. Última revisión: Mayo 2026.