RGPD-Express
Estructure su cumplimiento RGPD
Los artículos clave del RGPD
El RGPD (Reglamento (UE) 2016/679) estructura el método RGPD-Express
Art. 30 - Registro de actividades de tratamiento
Obligación de llevar un registro, tanto para el responsable del tratamiento como para el encargado del tratamiento. La exención prevista en el 30.5 para las estructuras de menos de 250 empleados solo se aplica a los tratamientos ocasionales.
Art. 28 - Encargado del tratamiento
Encuadramiento contractual de todo encargado que trate datos por cuenta suya: garantías suficientes, cláusulas obligatorias, subcontratación ulterior autorizada por escrito previo.
Art. 32 - Seguridad del tratamiento
Medidas técnicas y organizativas apropiadas al riesgo: seudonimización, cifrado, medios que garanticen la confidencialidad y la disponibilidad, procedimiento de verificación y evaluación regular.
Art. 35 - Evaluación de impacto (EIPD)
Obligatoria únicamente cuando el tratamiento pueda entrañar un riesgo elevado: evaluación sistemática con efecto jurídico, datos sensibles a gran escala, o vigilancia sistemática de una zona accesible al público.
Vigilancia normativa - fuentes oficiales
Lo que dice realmente el texto, traducido a un lenguaje sencillo. Cada punto remite al texto oficial.
¿Qué es exactamente el RGPD?
Es el texto europeo que regula la recogida y el uso de los datos personales (clientes, empleados, prospectos...). Fue adoptado el 27 de abril de 2016 y publicado en el Diario Oficial de la Unión Europea el 4 de mayo de 2016.
Desde cuándo se aplica
El reglamento entró en vigor veinte días después de su publicación, pero solo es realmente aplicable desde el 25 de mayo de 2018. Es esta fecha la que cuenta para sus obligaciones concretas.
El registro de actividades de tratamiento: el documento base
Debe mantener la lista de lo que hace con los datos personales: para qué, con quién, cuánto tiempo los conserva, cómo los protege. Existe una excepción para las estructuras de menos de 250 empleados, pero solo si el tratamiento es ocasional; una actividad comercial regular no se beneficia de ella.
¿Hay que nombrar un delegado de protección de datos (DPO)?
Solo es obligatorio en tres situaciones precisas: usted es un organismo público, o su actividad principal consiste en vigilar a personas de forma habitual y a gran escala, o en tratar a gran escala datos sensibles. Fuera de estos casos, nombrar un DPO sigue siendo facultativo.
En caso de fuga de datos: 72 horas para avisar a la autoridad
Si se pierden, roban o exponen datos personales, debe informar de ello a la CNIL (o a la autoridad competente) a más tardar 72 horas después de tener conocimiento del hecho, salvo que el riesgo para las personas sea insignificante. También debe conservar un registro escrito de cada incidente.
Si el riesgo es elevado, sus clientes o empleados también deben ser avisados
Cuando una fuga de datos supone un riesgo elevado para las personas afectadas, debe informarles directamente, en un lenguaje claro y sencillo. Puede quedar dispensado de esta comunicación si los datos estaban cifrados o si ya ha neutralizado el riesgo.
Las sanciones, en claro
En caso de incumplimiento, la multa puede llegar hasta 10 millones de euros (o el 2% de la facturación mundial de la empresa) para los incumplimientos más comunes, y hasta 20 millones de euros (o el 4% de la facturación mundial) para los atentados más graves contra los derechos de las personas; siempre se retiene el importe más elevado. El importe real depende de la gravedad, del carácter intencional o negligente de la infracción y de la cooperación con la autoridad.
¿A quién afecta el RGPD?
La pregunta que más nos hacen: «¿Esto me afecta realmente a mí, que soy una estructura pequeña?». Respuesta corta y con fuente: sí, casi siempre.
El verdadero desencadenante: tratar un dato personal
El RGPD se aplica en cuanto una organización trata, aunque sea parcialmente de forma automatizada, o en un fichero estructurado, una información relativa a una persona identificada o identificable: nombre, correo electrónico, teléfono, dirección IP, datos de localización...
En concreto, esto cubre un fichero de clientes, la nómina de los empleados, los currículums recibidos, una cámara de videovigilancia, un boletín informativo, un CRM o las cookies de medición de audiencia.
Las escasas excepciones
El RGPD no se aplica en cuatro casos precisos:
- un uso estrictamente personal o doméstico (su agenda de contactos privada, por ejemplo)
- las actividades fuera del ámbito del derecho de la Unión Europea
- las actividades de los Estados miembros relativas a la política exterior común
- los tratamientos de las autoridades para la prevención de infracciones penales (régimen aparte)
No importa dónde esté establecido
El RGPD se aplica en cuanto su empresa tiene un establecimiento en la Unión Europea, o en cuanto se dirige a personas que se encuentran en ella: ofreciéndoles bienes o servicios (incluso gratuitos), o siguiendo su comportamiento (elaboración de perfiles, cookies de seguimiento).
La CNIL cita dos ejemplos elocuentes: una empresa francesa que exporta únicamente a Marruecos sigue sometida al RGPD en cuanto trata datos de personas en la UE; un sitio de comercio electrónico chino que entrega en Francia también debe respetarlo.
Dos roles posibles, dos niveles de obligaciones
Responsable del tratamiento: el organismo que decide por qué y cómo se utilizan los datos (su empresa, un ayuntamiento, una asociación). Normalmente es usted.
Encargado del tratamiento: el proveedor que trata estos datos siguiendo sus instrucciones (proveedor de alojamiento, software de nóminas, agencia de marketing...). También tiene sus propias obligaciones, distintas de las suyas.
Empresas privadas
de la microempresa al gran grupo, desde el primer fichero de clientes o la primera nómina
Sector público
ayuntamientos, entidades locales, administraciones, centros sanitarios
Asociaciones, autónomos, profesionales independientes
profesiones liberales, comerciantes, startups: ninguna exención vinculada al estatuto
Las preguntas que realmente se hace un directivo
Sin jerga jurídica: las 7 preguntas más frecuentes, una respuesta sencilla, y el texto oficial detrás de cada respuesta.
Haga clic en una pregunta para ver la respuesta y su fuente.
No. El consentimiento es solo una opción entre seis. El RGPD (artículo 6) autoriza también el tratamiento cuando es necesario para la ejecución de un contrato, para el cumplimiento de una obligación legal, para salvaguardar intereses vitales, para una misión de interés público, o para el interés legítimo de su empresa (por ejemplo gestionar la relación con un cliente ya existente), siempre que los derechos de la persona no prevalezcan.
Depende de a quién contacte:
- Particulares (B2C): consentimiento previo obligatorio (casilla que marcar, nunca premarcada), salvo para volver a proponer un producto similar a un cliente ya existente.
- Profesionales (B2B): posible sin consentimiento previo si el mensaje concierne a su actividad, siempre que se les haya informado y se les deje un medio sencillo para rechazarlo.
En todos los casos: remitente identificable y enlace de baja fácil.
En general sí, sobre todo si los datos ya no sirven para nada, si la persona retira su consentimiento, o si se opone sin que usted tenga un motivo legítimo en contra. En cambio, puede negarse si debe conservar esos datos por una obligación legal, por ejemplo una factura que hay que guardar 10 años para la contabilidad, o para defenderse en un procedimiento judicial.
1 mes a partir de la recepción de la solicitud. Este plazo puede prorrogarse 2 meses si la solicitud es compleja o si recibe muchas, pero debe avisar a la persona de esta prórroga dentro del mes inicial.
Sí, pero no sin precaución. Tres casos posibles: el país se beneficia de una decisión oficial de la Comisión Europea que reconoce un nivel de protección adecuado; en su defecto, su proveedor debe ofrecer garantías apropiadas (cláusulas contractuales tipo, la mayoría de las veces); o, solo para casos puntuales, se aplica una excepción precisa (consentimiento explícito, ejecución de un contrato...).
Sí. La mayoría de las cookies (publicidad personalizada, botones de redes sociales...) requieren un consentimiento previo de su visitante, otorgado libremente, tan fácil de retirar como de dar. Aceptar las condiciones generales no cuenta como un consentimiento válido. Algunas cookies técnicas (carrito de compra, autenticación, preferencia de idioma) están dispensadas de este consentimiento.
La CNIL suele empezar por un control (presencial o en línea) y después un requerimiento para ponerse en conformidad en un plazo determinado. Las sanciones económicas existen pero se mantienen proporcionadas al tamaño de la estructura: la CNIL ha sancionado por ejemplo a pequeñas empresas con importes de entre 2 000 y 20 000 euros por incumplimientos relativos a la seguridad, las cookies o el derecho de acceso, muy lejos de los topes máximos (hasta 20 millones de euros o el 4% de la facturación mundial para los incumplimientos más graves).
El calendario del RGPD, en claro
El RGPD no nació en 2018 y no se ha quedado congelado desde entonces. Aquí tiene, en orden, lo que ya ha ocurrido (y que sigue siendo la regla del juego hoy) y lo que todavía está en discusión en Bruselas, con, para cada etapa, el texto oficial que lo demuestra.
Ya en vigor hoy
- El RGPD se aplica plenamente desde el 25 de mayo de 2018 - es LA fecha que cuenta para sus obligaciones.
- La ley francesa "Informatique et Libertés" fue actualizada en consecuencia (2018).
- Las nuevas cláusulas contractuales tipo para las transferencias fuera de la UE están en vigor desde finales de 2022.
- El marco de transferencia de datos hacia Estados Unidos (Data Privacy Framework) está en vigor desde julio de 2023.
Todavía en discusión, aún no obligatorio
- Una simplificación del registro de actividades de tratamiento (art. 30) para las estructuras de menos de 750 empleados, propuesta por la Comisión en mayo de 2025 - todavía no es un texto en vigor.
- Un reglamento para armonizar los procedimientos entre autoridades de control nacionales en las investigaciones transfronterizas - acuerdo político en junio de 2025, adopción formal no confirmada a día de hoy.
- No se fíe de estos anuncios para posponer su puesta en conformidad: la base de 2018 sigue siendo la regla mientras no se publique nada en el Diario Oficial.
Se adopta el texto
El Parlamento Europeo y el Consejo adoptan el Reglamento (UE) 2016/679, el RGPD. fuente EUR-Lex ↗
Publicación oficial
El texto se publica en el Diario Oficial de la Unión Europea (JO L 119, páginas 1 a 88). fuente EUR-Lex ↗
Entrada en vigor jurídica
El reglamento "entra en vigor el vigésimo día siguiente al de su publicación" (art. 99). Existe jurídicamente, pero su aplicación efectiva a las empresas todavía se difiere dos años - el tiempo de organizarse. fuente CNIL, art. 99 ↗
El RGPD se aplica plenamente
A partir de esta fecha, todas las organizaciones que tratan datos personales de residentes europeos deben estar en conformidad real, no solo "sobre el papel". Es la fecha que hay que recordar. fuente CNIL, art. 99 ↗
Se actualiza la ley francesa
La ley n.º 2018-493 adapta el derecho francés al RGPD y transpone la directiva "policía-justicia" (2016/680), basándose en la ley Informatique et Libertés de 1978. fuente Légifrance ↗
La ley de 1978 se reescribe por completo
La ordenanza n.º 2018-1125 completa la puesta en coherencia de la ley Informatique et Libertés con el RGPD y la directiva 2016/680. fuente Légifrance ↗
1.er balance de la Comisión Europea
Dos años después de su entrada en aplicación, la Comisión publica su primer informe: el RGPD alcanza sus objetivos, pero son necesarias mejoras (armonización entre países, cooperación entre autoridades). fuente EUR-Lex (COM 2020) ↗
Sentencia "Schrems II"
El Tribunal de Justicia de la Unión Europea invalida el "Privacy Shield" que regulaba las transferencias de datos hacia Estados Unidos: las garantías estadounidenses sobre el acceso de las autoridades públicas a los datos no se consideran suficientes. fuente EUR-Lex ↗
Nuevas cláusulas contractuales tipo
Entran en vigor nuevos modelos de cláusulas para regular las transferencias de datos fuera de la UE, con un período de transición de 15 meses para sustituir los contratos antiguos ya firmados. fuente EUR-Lex (2021/914) ↗
Nuevo marco UE - Estados Unidos
La Comisión adopta la decisión de adecuación "EU-US Data Privacy Framework", que sustituye al Privacy Shield invalidado en 2020 y asegura de nuevo las transferencias hacia las empresas estadounidenses. fuente EUR-Lex (2023/1795) ↗
2.º balance de la Comisión Europea
Fuerte aumento de las sanciones hacia las grandes empresas tecnológicas, pero persisten las divergencias entre autoridades nacionales. La Comisión recomienda acompañar mejor a las pymes. fuente EUR-Lex (COM 2024) ↗
Propuesta de simplificación para las pymes
La Comisión propone, en su paquete de simplificación del mercado único, extender a 750 empleados (en lugar de 250) la excepción a la llevanza completa del registro de actividades de tratamiento (art. 30), limitada a los tratamientos "de alto riesgo". Es una propuesta, todavía no un texto en vigor. fuente Comisión Europea ↗
Acuerdo sobre normas procedimentales comunes
El Consejo y el Parlamento Europeo llegan a un acuerdo político sobre normas procedimentales adicionales para armonizar la forma en que las autoridades de control nacionales cooperan en las investigaciones transfronterizas. La adopción formal y la publicación en el Diario Oficial están aún por confirmar. fuente Comisión Europea ↗
Calendario elaborado a partir de fuentes oficiales (EUR-Lex, CNIL, Légifrance, Comisión Europea) consultadas el 18 de julio de 2026. Las dos últimas etapas son propuestas o acuerdos políticos en curso. Esto es una síntesis pedagógica y no constituye un dictamen jurídico.
Las sanciones del RGPD, en claro
La cifra que asusta - « 20 millones de euros » - circula por todas partes, pero no explica cómo funciona realmente. Aquí tiene, con fuentes oficiales de apoyo, quién sanciona, cómo, y por qué importes reales.
o hasta el 2 % de la facturación anual mundial de la empresa (se retiene el importe más elevado de los dos).
Nivel aplicable a los incumplimientos «habituales»: registro de actividades de tratamiento, seguridad de los datos, obligaciones del encargado del tratamiento, falta de evaluación de impacto...
o hasta el 4 % de la facturación anual mundial (ídem, se retiene el importe más elevado de los dos).
Nivel aplicable a los incumplimientos más graves: ausencia de base legal, vulneración de los derechos de las personas, transferencias ilegales fuera de la UE...
¿Quién decide? La formación restringida de la CNIL
No es la CNIL «general» la que sanciona, sino un órgano distinto e independiente: la formación restringida, compuesta por 5 miembros y un presidente diferente del presidente de la CNIL. Es ella la única que instruye los expedientes y dicta las sanciones. Las decisiones más importantes se hacen públicas.
Lo que hace variar el importe real
El artículo 83 del RGPD impone a la CNIL tener en cuenta varios criterios antes de fijar una multa, en particular:
- la gravedad, la naturaleza y la duración del incumplimiento
- el carácter intencionado o la simple negligencia
- las medidas ya adoptadas para reducir el daño
- la cooperación con la CNIL y los incumplimientos anteriores
- las categorías de datos afectados
Antes de la multa: una respuesta graduada (artículo 58 del RGPD)
- Advertencia
- Llamada al orden
- Requerimiento formal
- Orden de puesta en conformidad
- Multa administrativa (art. 83)
| Fecha | Organismo | Importe | Motivo |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Falta de transparencia, ausencia de consentimiento válido para la publicidad personalizada |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookies instalados sin consentimiento previo |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Rechazar las cookies más complicado que aceptarlas |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Mismo motivo: rechazo de las cookies hecho demasiado difícil |
| 17/10/2022 | Clearview AI | 20 M € | Reconocimiento facial sin base legal, negativa a cooperar |
| 10/11/2022 | Discord Inc. | 800 000 € | Conservación excesiva de datos, seguridad e información insuficientes |
| 15/06/2023 | Criteo | 40 M € | Incumplimientos relativos al consentimiento de cookies y a los derechos de las personas |
¿Y para una estructura más modesta? Importes proporcionados
La CNIL también sanciona a estructuras pequeñas y medianas, pero con importes sin ninguna comparación con los grandes grupos internacionales. Solo en las deliberaciones de diciembre de 2025, se encuentran por ejemplo: 5 000 € para una sociedad de gestión hotelera (videovigilancia no conforme), 7 000 € y 5 000 € para dos sociedades editoras de periódicos (cookies no válidas), 10 000 € para una sociedad de carga aeroportuaria (videovigilancia ilícita), o incluso 20 000 € para una universidad (finalidades no respetadas). En el otro extremo de la escala, una sociedad del sector terciario fue sancionada con 3,5 M € el mismo mes por una acumulación de incumplimientos graves (seguridad, transparencia, cookies). El importe sigue la gravedad y el tamaño, no al revés.
Su autoridad de control, según su país
En Europa, cada país tiene sus propias autoridades. Aquí tiene, para los 30 países del Espacio Económico Europeo, la autoridad de protección de datos (su interlocutor en materia de RGPD) y la autoridad nacional de ciberseguridad. Cada nombre remite al sitio oficial.
Fuentes: sitios oficiales de las autoridades y lista de los miembros del EDPB (edpb.europa.eu), consultados el 18 de julio de 2026. Autoridades de protección de datos confirmadas: 30/30. Autoridades de ciberseguridad confirmadas: 28/30. Las menciones «a confirmar» indican una fuente oficial no consolidada a día de hoy.
Su propio Microsoft 365: la puntuación gratuita
SYAGA Audit lee la configuración de seguridad de su Microsoft 365 y le entrega una puntuación gratuita, punto por punto. Es solo lectura: dentro de los límites de los derechos que Microsoft permite conceder para la lectura pura, e incluso cuando un derecho permitiera actuar, nosotros solo leemos. Esta puntuación no sustituye a una auditoría realizada por un profesional independiente.