Maurice Müller
Senior Content Manager
Maurice Müller es periodista y estratega de contenidos, con experiencia tanto en medios impresos como digitales. En Formalize, convierte temas complejos de cumplimiento y regulación en contenido claro y práctico para profesionales de cumplimiento, riesgo y seguridad de toda Europa.
Conclusiones clave:
El cumplimiento del RGPD abarca mucho más que los avisos de privacidad y los banners de cookies: tratamiento lícito, derechos de los interesados, registros, EIPD, seguridad, proveedores y gestión de las violaciones de la seguridad de los datos personales.
Se aplica a las organizaciones establecidas en la UE y a las de fuera que ofrecen bienes o servicios a personas en la UE o controlan su comportamiento. El tamaño, por sí solo, no exime a nadie.
El responsable del tratamiento es responsable de cumplir y de poder demostrarlo. Un delegado de protección de datos asesora y supervisa, pero no asume personalmente esa responsabilidad.
Las multas pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio total anual mundial, lo que resulte mayor, pero las autoridades las fijan caso por caso y disponen de otras herramientas, desde apercibimientos hasta la prohibición del tratamiento.
Se avecinan cambios, pero la mayoría todavía no son ley. El plazo de 72 horas para notificar las violaciones de seguridad sigue vigente, aunque el Digital Omnibus propone ampliarlo a 96 horas.
Pregunta a una empresa si cumple el RGPD y la respuesta suele ser que sí. Pídele que demuestre por qué un proveedor concreto tiene acceso a los datos de clientes, qué base jurídica ampara la campaña de marketing del último trimestre o cuándo se revisó por última vez su evaluación de impacto relativa a la protección de datos, y la respuesta puede tardar semanas.
Son estas últimas preguntas las que cuentan. El principio de responsabilidad proactiva del RGPD exige a los responsables del tratamiento cumplir sus normas y poder demostrar que las cumplen. En la práctica, eso convierte el reglamento en algo más que un texto jurídico que se lee una vez: pasa a ser un conjunto de procesos que se ejecutan a diario.
¿Qué es el cumplimiento del RGPD?
Cumplir el RGPD significa atender las obligaciones del Reglamento (UE) 2016/679 que se aplican a cómo trata tu organización los datos personales, y conservar las evidencias que lo demuestran. El reglamento se aplica en la UE desde el 25 de mayo de 2018, y también en Islandia, Liechtenstein y Noruega como parte del Espacio Económico Europeo.
Lo que implica depende de lo que hagas con los datos personales, pero la mayoría de los programas cubren los mismos ámbitos: una base jurídica para cada actividad de tratamiento, información clara para los interesados, procesos para atender sus derechos, un registro de actividades de tratamiento, evaluaciones de riesgos, medidas de seguridad, supervisión de proveedores y una forma de gestionar las violaciones de la seguridad de los datos personales. Afecta a las personas, los procesos, la tecnología y la documentación, y por eso rara vez recae en un solo equipo.
Dos figuras marcan todo lo demás. El responsable del tratamiento decide por qué y cómo se tratan los datos personales. El encargado del tratamiento trata datos personales por cuenta de un responsable, como un proveedor de nóminas o un servicio en la nube. Una organización puede actuar como responsable en algunas actividades y como encargada en otras. Descubre cómo el software de cumplimiento del RGPD de Formalize ayuda a los equipos a gestionar registros, responsabilidades y evidencias.
¿Quién debe cumplir el RGPD?
El RGPD se aplica a más organizaciones de las que muchas suponen. Su ámbito territorial va mucho más allá de la UE, y solo unas pocas actividades quedan totalmente fuera:
Situación | ¿Se aplica el RGPD? | Qué debes saber |
|---|---|---|
Organización establecida en la UE que trata datos personales | Sí | Se aplica con independencia de dónde tenga lugar el tratamiento, incluso en servidores fuera de la UE. |
Organización fuera de la UE que ofrece bienes o servicios a personas en la UE | Sí | Se aplica tanto si la oferta es de pago como gratuita. Por lo general, deben designar a un representante en la UE, con excepciones limitadas. |
Organización fuera de la UE que controla el comportamiento de personas en la UE | Sí | Esto abarca, por ejemplo, el seguimiento en línea y la elaboración de perfiles. |
Encargado del tratamiento que actúa por cuenta de un responsable | Sí | Los encargados tienen obligaciones directas propias, como la seguridad y la llevanza de registros. |
Pequeña o mediana empresa | Sí | Algunas obligaciones son más ligeras, como la exención del registro de actividades para organizaciones con menos de 250 empleados, pero esa exención tiene excepciones importantes. |
Persona física que actúa en un ámbito exclusivamente personal o doméstico | No | La exención doméstica cubre las actividades privadas, no las empresariales. |
El tamaño de la empresa no determina si se aplica el RGPD. Lo que varía es qué obligaciones concretas se aplican, y eso depende del tratamiento y de su riesgo. Una empresa cuyas actividades principales consisten en una observación habitual y sistemática de personas a gran escala, por ejemplo, debe designar a un delegado de protección de datos y normalmente necesitará evaluaciones de impacto relativas a la protección de datos. Una pequeña empresa que trata datos de contacto básicos de clientes normalmente no.
Checklist de cumplimiento del RGPD: cómo lograr y mantener el cumplimiento
Una vez que sabes que el RGPD se aplica, el trabajo se reduce a diez pasos, desde mapear tus datos hasta revisar el programa con el tiempo:
1. Confirma si el RGPD se aplica y cómo
Comprueba tu ámbito de aplicación, identifica en qué casos actúas como responsable del tratamiento y en cuáles como encargado, y verifica si debes designar un delegado de protección de datos o un representante en la Unión.
2. Mapea los datos personales que tratas
Identifica qué datos personales conservas, de dónde proceden, qué sistemas los almacenan, quién puede acceder a ellos y adónde van, incluidas las transferencias fuera del Espacio Económico Europeo.
3. Create and maintain your record of processing activities (RoPA)
El artículo 30 rexige un registro de actividades de tratamiento que recoja los fines, las categorías de datos y de interesados, los destinatarios, las transferencias, los plazos de conservación y las medidas de seguridad. Incluso cuando se aplica la exención para empresas pequeñas, este registro es la columna vertebral de todo lo demás de esta lista.
4. Establece y documenta las bases jurídicas
Elige una de las seis bases jurídicas para cada actividad de tratamiento: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público o intereses legítimos. Cuando te apoyes en los intereses legítimos, documenta la ponderación. Cuando te apoyes en el consentimiento, conserva constancia de él. Para las categorías especiales de datos personales, como los datos de salud, necesitas además una de las circunstancias del artículo 9.
5. Ofrece información clara sobre privacidad
Explica a las personas qué haces con sus datos, por qué, con qué base jurídica y durante cuánto tiempo, en un lenguaje que puedan entender. Esa información debe facilitarse en el momento de recoger los datos o, si los obtienes de otra fuente, a más tardar en el plazo de un mes.
6. Crea procesos para los derechos de los interesados
Las personas pueden solicitar el acceso, la rectificación, la supresión o la portabilidad de sus datos, la limitación del tratamiento o la oposición a él, y pueden impugnar determinadas decisiones automatizadas. Dispones de un mes para responder, ampliable en dos meses más para solicitudes complejas, por lo que cada solicitud necesita un responsable, un paso de verificación y una forma de controlar el plazo.
7. Realiza evaluaciones de impacto cuando sean obligatorias
La evaluación de impacto relativa a la protección de datos es obligatoria cuando es probable que el tratamiento entrañe un alto riesgo para las personas, como la elaboración de perfiles a gran escala con efectos significativos sobre ellas, o el tratamiento a gran escala de datos sensibles. Nuestra guía sobre la evaluación de impacto relativa a la protección de datos explica cuándo y cómo realizarla.
8. Gestiona a los encargados del tratamiento y a los proveedores terceros
Formaliza los acuerdos del artículo 28, comprueba que los proveedores pueden cumplir tus requisitos de seguridad, aprueba a sus subencargados y haz seguimiento de ellos, y asegúrate de que cualquier transferencia fuera del Espacio Económico Europeo se apoye en un mecanismo válido. Un enfoque estructurado de gestión de terceros evita que esto se desmorone a medida que crece la lista de proveedores.
9. Implanta medidas de seguridad adecuadas y procesos para las violaciones de seguridad
Aplica medidas de seguridad acordes con el riesgo y prepárate para las violaciones antes de que ocurran. Una violación de la seguridad de los datos personales debe notificarse a la autoridad de control sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que se tenga constancia de ella, salvo que sea improbable que entrañe un riesgo para las personas, y debe comunicarse directamente a los interesados si el riesgo para ellos es alto. Toda violación, se notifique o no, debe documentarse en un registro interno. Conectar las violaciones con tu gestión de riesgos más amplia muestra dónde deben mejorar los controles.
10. Forma a tu personal y revista de forma continua
Forma a las personas que tratan datos personales y revisa el programa con regularidad. Los nuevos sistemas, los nuevos proveedores y los nuevos usos de los datos, como la IA, son los momentos en que los registros y las evaluaciones se quedan desactualizados con más frecuencia.
Convierte la checklist en un programa que funcione
Trae tu registro de actividades de tratamiento actual, por disperso que esté hoy. Te mostraremos cómo se ven estos diez pasos cuando funcionan como flujos de trabajo, con responsables y evidencias asociados.
¿Cuáles son los 7 principios del RGPD?
El artículo 5 establece siete principios sobre los que se apoya todo lo demás. La tercera columna es donde el cumplimiento se vuelve práctico: es lo que deberías poder demostrar si alguien te lo pregunta.
Principio | Qué significa | Qué deberías poder demostrar |
|---|---|---|
Licitud, lealtad y transparencia | Tratar los datos con una base jurídica válida, de formas que las personas esperarían razonablemente, e informarles de ello | Bases jurídicas documentadas y avisos de privacidad claros |
Limitación de la finalidad | Recoger los datos con fines determinados y no reutilizarlos para fines incompatibles | Fines registrados por actividad y comprobaciones de compatibilidad para los nuevos usos |
Minimización de datos | Recoger únicamente lo que la finalidad requiere realmente | Una justificación de los campos de datos que recoges |
Exactitud | Mantener los datos correctos y actualizados | Procesos para corregir y actualizar los registros |
Limitación del plazo de conservación | Conservar los datos solo durante el tiempo necesario | Un calendario de conservación y evidencia de que la supresión se lleva a cabo |
Integridad y confidencialidad | Proteger los datos con una seguridad adecuada | Controles de acceso, medidas de seguridad y registros de incidentes |
Responsabilidad proactiva | Asumir la responsabilidad de todo lo anterior y poder demostrarlo | Todo lo anterior, mantenido al día |
¿Quién es responsable de garantizar el cumplimiento del RGPD?
Aquí es fácil confundir dos cosas: la responsabilidad proactiva y la responsabilidad operativa.
La responsabilidad proactiva recae en el responsable del tratamiento. La organización que decide por qué y cómo se tratan los datos es responsable de cumplir los principios y de poder demostrarlo. En la práctica, esto significa que la alta dirección debe asegurarse de que existan las estructuras, los recursos y las responsabilidades adecuados.
Los encargados del tratamiento tienen obligaciones propias. Deben trabajar con arreglo a un contrato con el responsable que cumpla el artículo 28, mantener una seguridad adecuada, llevar sus propios registros y notificar al responsable las violaciones de seguridad sin dilación indebida.
El delegado de protección de datos asesora y supervisa. Informa a la organización sobre sus obligaciones, supervisa el cumplimiento, asesora sobre las evaluaciones de impacto relativas a la protección de datos y actúa como punto de contacto con la autoridad de control. Su designación es obligatoria en determinados casos, como las autoridades públicas o las organizaciones cuyas actividades principales consisten en un seguimiento a gran escala. Pero el delegado no asume personalmente la responsabilidad proactiva de la organización, y no debería plantearse como si lo hiciera.
El trabajo operativo se reparte por toda la empresa. Los equipos jurídico y de privacidad interpretan las normas, TI y seguridad protegen los sistemas, RR. HH. gestiona los datos de los empleados, compras gestiona a los proveedores y marketing documenta los fines de las campañas, las bases jurídicas y el consentimiento cuando proceda. El cumplimiento del RGPD funciona cuando cada uno de estos equipos sabe qué parte le corresponde.
El RGPD y la IA: ¿cuáles son los requisitos de cumplimiento?
Usar IA no suspende el RGPD. Siempre que un sistema de IA trate datos personales, ya sea en el entrenamiento, en las instrucciones que escriben las personas o en los resultados que genera, el reglamento se aplica en su totalidad.
Unos cuantos requisitos son especialmente importantes:
A legal basis for each phase: Developing a model and using it are separate processing activities. The European Data Protection Board's Dictamen 28/2024 del Comité Europeo de Protección de Datos confirma que el interés legítimo puede ser una base válida, pero solo tras una prueba de tres pasos documentada, y que un modelo entrenado con datos personales no es anónimo de forma automática.
Limitación de la finalidad y minimización de datos: los datos recogidos para atención al cliente no se convierten automáticamente en datos de entrenamiento para un nuevo modelo.
Transparencia: las personas deben saber cuándo y cómo la IA trata sus datos.
Evaluaciones de impacto: las nuevas tecnologías que tratan datos personales a gran escala suelen alcanzar el umbral de alto riesgo.
Decisiones automatizadas: Article 22 restringe las decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de modo similar a las personas. Cuando se permiten estas decisiones, las personas tienen derecho a obtener intervención humana y a impugnar el resultado.
Proveedores de IA: un proveedor de IA externo suele actuar como encargado del tratamiento, lo que hace entrar en juego los contratos del artículo 28 y, con frecuencia, también las transferencias internacionales.
El Reglamento de IA de la UE añade sus propios requisitos, sin sustituir ninguno de los anteriores. Tras el Digital Omnibus sobre IA, sus obligaciones para los sistemas de alto riesgo se aplican desde el 2 de diciembre de 2027 para los sistemas independientes y desde el 2 de agosto de 2028 para la IA integrada en productos regulados. Nuestra página sobre el Reglamento de IA explica cómo encajan ambas normas.
¿Cuáles son las sanciones por incumplir el RGPD?
Las multas acaparan los titulares, pero las autoridades de control disponen de un abanico de medidas más amplio. Pueden emitir advertencias y apercibimientos, ordenar a una organización que ajuste su tratamiento al reglamento, limitar el tratamiento de forma temporal o definitiva y suspender las transferencias de datos fuera del Espacio Económico Europeo. Además, las personas pueden reclamar una indemnización por los daños causados por una infracción.
Cuando las autoridades imponen una multa, el artículo 83 fija dos niveles máximos:
Nivel | Multa máxima | Infracciones típicas |
|---|---|---|
Nivel inferior | 10 millones de euros o el 2 % del volumen de negocio total anual mundial, lo que resulte mayor | Obligaciones como los registros, la seguridad, las evaluaciones de impacto y la figura del delegado de protección de datos |
Nivel superior | 20 millones de euros o el 4 % del volumen de negocio total anual mundial, lo que resulte mayor | Los principios básicos, las bases jurídicas, los derechos de los interesados y las transferencias internacionales |
Se trata de límites máximos, no de puntos de partida. Las autoridades deciden caso por caso, atendiendo a la naturaleza, la gravedad y la duración de la infracción, a si fue intencionada o negligente, a lo que hizo la organización para paliar los daños y a su grado de cooperación. Un programa bien documentado no excluye una multa, pero las medidas que hayas adoptado y tu forma de cooperar figuran entre los factores que las autoridades valoran.
Qué está cambiando: el RGPD en 2026 y 2027
El núcleo del RGPD no ha cambiado desde 2018, pero conviene seguir de cerca tres novedades:
Nuevas normas de aplicación transfronteriza, a partir del 2 de abril de 2027: El Reglamento (UE) 2025/2518 armoniza la forma en que las autoridades tramitan los casos transfronterizos, con plazos para las investigaciones y derechos procesales más claros para las organizaciones implicadas. No cambia lo que exige el RGPD, pero pretende que la aplicación transfronteriza sea más rápida.
El Digital Omnibus, todavía en fase de propuesta. Publicado por la Comisión Europea en noviembre de 2025, restringiría la definición de datos personales, ampliaría a 96 horas el plazo de notificación de las violaciones de alto riesgo, introduciría un punto de entrada único para la notificación de incidentes y aclararía el interés legítimo para la IA. A septiembre de 2026, sigue en primera lectura: las comisiones del Parlamento Europeo no han votado y el Consejo no ha acordado su posición negociadora. Hasta que se adopte, se aplican las normas actuales.
Transferencias a EE. UU. El Marco de Privacidad de Datos UE-EE. UU. sigue siendo válido tras la confirmación del Tribunal General de la UE en septiembre de 2025, pero hay un recurso pendiente ante el Tribunal de Justicia. La presión ha aumentado desde la sentencia del Tribunal Supremo de EE. UU. de junio de 2026 sobre la independencia de la Comisión Federal de Comercio, la agencia que vela por el cumplimiento de los principios del marco, tras la cual la organización de defensa de la privacidad noyb pidió a la Comisión que lo retirara. Las organizaciones que se apoyen en él deben comprobar que cada destinatario tiene una certificación activa y que esta cubre los datos pertinentes, y saber cuál sería su alternativa.
Software de cumplimiento del RGPD: qué es y cómo elegirlo
El software de cumplimiento del RGPD ayuda a las organizaciones a gestionar en un solo lugar las partes recurrentes de un programa de privacidad: el registro de actividades de tratamiento, las evaluaciones de impacto, las solicitudes de los interesados, las evaluaciones de proveedores, los registros de violaciones de seguridad y la documentación que los une. Por sí solo no hace que una organización cumpla. Las decisiones siguen siendo de las personas, pero el software facilita mucho mantenerlas al día y mostrarlas cuando se piden.
Al comparar soluciones, unas pocas preguntas resultan más útiles que una lista de funciones:
¿Cubre tus procesos reales, desde el registro de actividades de tratamiento hasta la gestión de violaciones de seguridad, o solo una parte?
¿Gestiona el trabajo recurrente, como los recordatorios de revisión, los plazos de las solicitudes y las reevaluaciones de proveedores?
¿Pueden usarlo personas ajenas al equipo de privacidad, como RR. HH., TI y compras?
¿Puede generar evidencias a petición, con una pista de auditoría de quién decidió qué y cuándo?
¿Funciona junto con tus otros marcos, como ISO 27001 o NIS2, si también los gestionas?
No existe un único mejor software de cumplimiento del RGPD. La elección adecuada depende de cuántas actividades de tratamiento llevas a cabo, cuántos equipos intervienen y qué más necesitas gestionar. Para conocer la categoría en general, consulta nuestra guía sobre software de gestión del cumplimiento.
Cómo apoya Formalize el cumplimiento del RGPD
Formalize está diseñado para la parte del cumplimiento del RGPD que nunca termina: mantener al día el registro de actividades de tratamiento, las solicitudes y los proveedores, y conservar juntas las evidencias.
Un registro de actividades de tratamiento con flujos de trabajo guiados conforme al artículo 30, conectado con tus proveedores y subencargados, y exportable en PDF o Excel.
Solicitudes de los interesados con seguimiento desde la recepción hasta el cierre, con entrega segura de los datos y eliminación pasado un plazo establecido.
Auditorías de proveedores configurables y flujos de trabajo de evaluaciones de impacto y de evaluaciones de impacto de las transferencias.
Gestión de riesgos e incidentes, incluidas las violaciones de la seguridad de los datos personales, junto con marcos como ISO 27001 y NIS2 en el mismo sistema.
Más de 8000 organizaciones usan los productos de Formalize. Consulta los precios para ver los planes disponibles.