Qué es el RGPD y qué tiene que hacer tu empresa

Equipo de Adapta RGPD · revisado el 27/10/2026

El RGPD es el Reglamento (UE) 2016/679, la norma europea que regula cómo se pueden usar los datos de las personas. Se aplica desde el 25 de mayo de 2018 a cualquier empresa, autónomo o entidad que trate datos de personas físicas en la Unión Europea.

RGPD, LOPD y LOPDGDD: qué es cada cosa

• RGPD: el reglamento europeo. Es directamente aplicable en España y es la norma principal.
• LOPDGDD: la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. Adapta el RGPD a España y añade reglas propias: videovigilancia, edad de consentimiento de menores, derechos digitales de los trabajadores o el delegado de protección de datos obligatorio en ciertos sectores.
• LOPD: así se sigue llamando a la protección de datos en general. La antigua Ley 15/1999 está derogada; hoy, cuando alguien dice «la LOPD», se refiere al RGPD más la LOPDGDD.

¿A quién obliga?

A cualquiera que trate datos de personas físicas fuera del ámbito doméstico: empresas de cualquier tamaño, autónomos, comunidades de propietarios, asociaciones o administraciones. Tratar es casi cualquier cosa: recoger, guardar, consultar, enviar o borrar datos, en papel o en digital.

No importa el tamaño. Un autónomo con una agenda de clientes está obligado igual que una gran empresa, aunque su documentación sea más sencilla.

Los principios que hay que respetar

• Licitud: cada uso de datos necesita una base legal: un contrato, una obligación legal, el consentimiento o un interés legítimo.
• Transparencia: informar a las personas de qué haces con sus datos.
• Minimización: pedir solo los datos necesarios.
• Limitación del plazo: no guardarlos más tiempo del necesario.
• Seguridad: protegerlos de pérdidas, robos y accesos indebidos.
• Responsabilidad proactiva: poder demostrar que cumples. Es la clave: si llega una inspección, hay que enseñar papeles.

Qué tiene que tener una empresa, como mínimo

1. El registro de actividades de tratamiento.
2. Un análisis de riesgos y las medidas de seguridad que salgan de él.
3. Cláusulas informativas para clientes, empleados y formularios.
4. Contratos de encargado del tratamiento con los proveedores que acceden a datos: gestoría, informático, alojamiento web, software.
5. Procedimientos para atender los derechos de las personas y para gestionar brechas de seguridad.
6. Si tienes web, los textos que exige la LSSI.

¿Y si no cumplo?

La Agencia Española de Protección de Datos puede imponer sanciones que, en el RGPD, llegan a 20 millones de euros o el 4 % de la facturación anual mundial. A una pyme no le van a poner esas cifras, pero las multas de miles de euros por no informar o por cámaras mal puestas son habituales. Lo contamos en la guía de multas.

Otras guías

• LSSI: qué exige a tu web y a tus correos
• Registro de actividades de tratamiento
• Multas por protección de datos
• Qué pasa si me denuncian ante la AEPD
• Facilita RGPD: cuándo basta y cuándo no
• Protección de datos «a coste cero»: cómo detectar el engaño