Índice de contenidos
Qué es el RGPD y a quién afecta
El Reglamento General de Protección de Datos (RGPD) constituye el marco jurídico europeo que regula el tratamiento de datos personales de las personas físicas dentro de la Unión Europea. Entró en aplicación el 25 de mayo de 2018 y afecta a cualquier organización que trate datos personales, independientemente de su tamaño o sector.
El RGPD afecta a empresas, administraciones públicas y profesionales autónomos. El Tribunal de Justicia de la UE ha reiterado que el concepto de tratamiento de datos personales debe interpretarse de forma amplia. En España se complementa con la Ley Orgánica 3/2018 (LOPDGDD).
Principales obligaciones para empresas
- Licitud del tratamiento — toda operación debe basarse en una base jurídica válida: consentimiento, contrato, obligación legal o interés legítimo. (Art. 6 RGPD)
- Minimización de datos — solo recoger los datos estrictamente necesarios para la finalidad perseguida. (Art. 5.1.c RGPD)
- Medidas de seguridad — control de accesos, cifrado, copias de seguridad y gestión de brechas. (Art. 32 RGPD)
- Registro de actividades de tratamiento — documentar finalidad, categorías de datos, destinatarios, plazos y medidas de seguridad. (Art. 30 RGPD)
Principales sanciones de la AEPD
Videovigilancia
Una de las infracciones más frecuentes. Problemas habituales: cámaras orientadas hacia la vía pública, ausencia de carteles informativos y grabación de zonas no permitidas. La AEPD ha reiterado que la videovigilancia debe respetar los principios de proporcionalidad y minimización.
Marketing sin consentimiento
Envío de comunicaciones comerciales sin consentimiento, especialmente en campañas de email marketing, llamadas comerciales y publicidad digital. El consentimiento debe ser libre, específico, informado e inequívoco. (Art. 7 RGPD)
Brechas de seguridad
Las empresas deben notificar las brechas a la autoridad de control en un plazo máximo de 72 horas. (Art. 33 RGPD) La falta de notificación o la adopción de medidas insuficientes ha motivado numerosas sanciones.
Multas previstas en el RGPD
El RGPD establece dos niveles de sanciones: infracciones graves con multas de hasta 10 millones de euros o el 2 % del volumen de negocio (incumplimiento de obligaciones del responsable, falta de registro o notificación de brechas); e infracciones muy graves de hasta 20 millones de euros o el 4 % de la facturación global (vulneración de principios básicos, tratamiento sin base jurídica, vulneración de derechos de los interesados).
Nuevos retos en 2026
La inteligencia artificial plantea nuevos desafíos: entrenamiento de modelos con datos personales, decisiones automatizadas y perfiles de usuarios están bajo la lupa del Comité Europeo de Protección de Datos. El uso de datos biométricos (reconocimiento facial, huellas) —considerados categorías especiales bajo el artículo 9 RGPD— requiere garantías reforzadas. Las autoridades europeas también están reforzando la supervisión del tratamiento masivo de datos en plataformas digitales.
Cómo evitar sanciones de la AEPD
Las organizaciones pueden reducir significativamente el riesgo mediante auditorías periódicas de cumplimiento, políticas de privacidad claras y accesibles que informen sobre finalidad, base jurídica, derechos y plazos de conservación, y formación interna del personal — muchos incumplimientos se producen por errores humanos.
Preguntas frecuentes
Guillermo Quirós Llano
Abogado · Colegiado n.º 131635 del Ilustre Colegio de la Abogacía de Madrid y n.º 31908 del Ilustre Colegio de la Abogacía de Barcelona
Socio director de Quirós Abogados, S.L.P., sociedad profesional inscrita en el Ilustre Colegio de la Abogacía de Gijón con el número de registro 17/2010