Protección de datos para empresas en España.
La protección de datos de una empresa española se rige por el Reglamento (UE) 2016/679 (RGPD) y por la Ley Orgánica 3/2018 (LOPDGDD). La autoridad estatal de control es la Agencia Española de Protección de Datos (AEPD).
Esta página ordena el tema para una pyme: el delegado de protección de datos, los procedimientos que exige la norma, las herramientas gratuitas y las guías de esta web, cada una en su sitio.
Qué cubre la protección de datos en una empresa.
El RGPD se aplica al tratamiento de datos personales, automatizado o en ficheros (art. 2.1), y eso incluye los de tus clientes, empleados y proveedores. Se traduce en obligaciones que se repiten: llevar un registro de actividades de tratamiento (art. 30), hacer una evaluación de impacto cuando el riesgo es alto (art. 35), notificar las brechas de seguridad a la AEPD (art. 33) y atender los derechos de las personas (arts. 12 a 22).
El delegado de protección de datos (DPO) no es obligatorio para todas las empresas: lo es en los supuestos del art. 37.1 del RGPD y en las entidades que lista el art. 34.1 de la LOPDGDD; en el resto es voluntario. Esta página forma parte del área de cumplimiento normativo. Cada bloque de abajo enlaza a la pieza que desarrolla el tema.
El delegado de protección de datos.
DPO: cuándo es obligatorio, funciones y cómo designarlo
Los supuestos del art. 37.1 del RGPD y del art. 34 de la LOPDGDD, las funciones del art. 39 y cómo se designa.
DPO interno o externo: cuál elegir
Qué cambia entre un DPO de plantilla y uno externo en independencia, conflicto de intereses y disponibilidad.
Designar al DPO y comunicarlo a la AEPD en diez días
Los pasos para nombrarlo y el plazo de diez días que fija el art. 34.3 de la LOPDGDD para designaciones, nombramientos y ceses.
Servicio de DPO externo.
DPO externo para pymes
Mi servicio completo: revisión inicial, registro de actividades, evaluaciones de impacto, formación, gestión de brechas, informe periódico y acompañamiento ante la AEPD.
Precio de un DPO externo: qué incluye y de qué depende
Los factores que mueven el presupuesto de un DPO externo y qué debe incluir la contratación.
Obligaciones y procedimientos.
Registro de actividades de tratamiento
Qué recoge el art. 30 del RGPD y en qué casos no se aplica la excepción para organizaciones de menos de 250 personas.
Evaluación de impacto en protección de datos
Cuándo es obligatoria la evaluación de impacto (art. 35 del RGPD) y cómo se hace paso a paso.
Caso AENA: una multa por una EIPD mal hecha
Una sanción de la AEPD por una evaluación de impacto defectuosa en un sistema de reconocimiento facial.
Brecha de datos: ¿notificar a la AEPD?
Cuándo notificar en 72 horas (art. 33 del RGPD) y cuándo avisar también a las personas afectadas.
Derechos ARCO y RGPD: cómo atenderlos en tu empresa
Los derechos de los arts. 15 a 22 del RGPD y el plazo de un mes del art. 12.3 para responder.
Guías generales de RGPD.
Protección de datos por sector.
DPO en colegios y centros educativos
El art. 34.1.b de la LOPDGDD obliga a designar DPO a los centros docentes de cualquier nivel y a las universidades públicas y privadas.
¿Necesita DPO una comunidad de propietarios?
Cuándo una comunidad debe plantearse un DPO y qué obligaciones de protección de datos tiene aunque no lo nombre.
Herramientas gratuitas.
- Generador de registro de actividades de tratamiento. Registro pre-rellenado por actividad, editable e imprimible (art. 30 del RGPD).
- Simulador de brecha de datos. Comprueba si debes notificar a la AEPD en 72 horas y si hay que avisar a los afectados.
- ¿Necesito un DPO? Comprueba si tu empresa está obligada. Comprueba en 2 minutos si tu empresa debe nombrar un delegado de protección de datos según el RGPD (art. 37) y la LOPDGDD (art. 34). Gratis y sin registro.
- Calculadora de sanciones del RGPD. Rango orientativo de una multa según facturación, intencionalidad, reincidencia y categorías de datos (art. 83).
Todas funcionan sin registro. Te dan una primera respuesta orientativa; la decisión final la toma quien conoce tu caso.
Sanciones y su alcance.
El RGPD fija dos tramos de multa. Hasta 10 millones de euros o, tratándose de una empresa, el 2 % del volumen de negocio total anual global del ejercicio anterior, el que sea mayor, por incumplir las obligaciones de los artículos 25 a 39, entre ellas el registro de actividades, la notificación de brechas, la evaluación de impacto y las del delegado de protección de datos (art. 83.4). Y hasta 20 millones o el 4 %, por vulnerar los principios básicos del tratamiento, los derechos de las personas o las normas de transferencias internacionales (art. 83.5).
Son máximos. La autoridad gradúa cada multa según la naturaleza, gravedad y duración de la infracción, la intencionalidad o negligencia y las medidas tomadas para paliar el daño, entre otros factores (art. 83.2). En España, la LOPDGDD tipifica como infracción grave no designar al DPO cuando es exigible (art. 73.v) y no permitir su participación efectiva en las cuestiones de protección de datos (art. 73.w), y como leve no publicar sus datos de contacto o no comunicarlos a la autoridad cuando su nombramiento es exigible (art. 74.p).
La guía de RGPD para empresas desarrolla el régimen sancionador y la calculadora de sanciones da un rango orientativo.
Normas y marcos relacionados.
ENS y protección de datos: cómo encaja con el RGPD
Se solapan en el art. 32 del RGPD: qué exige cada norma y cómo reutilizar el trabajo de una para la otra.
ISO 27701 y protección de datos: qué añade sobre la 27001
Qué evidencias da ante el RGPD y por qué no equivale a la certificación del artículo 42.
Art. 27 del AI Act: a quién obliga la EIDF y a quién no
La evaluación de impacto en derechos fundamentales del reglamento de IA, frente a la EIPD del RGPD.
ENS: adecuación, auditoría y certificación
El otro hub de cumplimiento que cruza con la protección de datos en el sector público y sus proveedores.
FAQ rápidas
Lo que más se pregunta
¿Qué normas regulan la protección de datos de una empresa en España?
Dos. El Reglamento (UE) 2016/679 (RGPD), obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el ordenamiento español al RGPD y completa sus disposiciones (art. 1 LOPDGDD). La autoridad estatal de control es la Agencia Española de Protección de Datos (AEPD), autoridad administrativa independiente (art. 44 LOPDGDD).
¿Qué empresas están obligadas a nombrar un delegado de protección de datos?
Las que cumplen alguno de los supuestos del art. 37.1 del RGPD: tratamiento por una autoridad u organismo público, observación habitual y sistemática de personas a gran escala como actividad principal, o tratamiento a gran escala de categorías especiales de datos o de condenas e infracciones penales. Además, el art. 34.1 de la LOPDGDD lista entidades que deben designarlo en todo caso, entre ellas los centros docentes de cualquier nivel, las universidades, las aseguradoras, las entidades de crédito y los centros sanitarios obligados a conservar historias clínicas. En el resto de casos la designación es voluntaria (art. 34.2 LOPDGDD).
¿Qué es el registro de actividades de tratamiento y quién debe llevarlo?
Es el documento donde el responsable del tratamiento recoge, entre otros datos, los fines del tratamiento, las categorías de personas y de datos, los destinatarios, las transferencias internacionales, los plazos de supresión y las medidas de seguridad (art. 30.1 del RGPD). La obligación no se aplica a organizaciones de menos de 250 personas, salvo que el tratamiento pueda entrañar un riesgo para los derechos y libertades de las personas, no sea ocasional o incluya categorías especiales de datos o datos de condenas e infracciones penales (art. 30.5 del RGPD).
¿Qué plazos hay que tener presentes en protección de datos?
Tres, según el procedimiento. Notificar una brecha de seguridad a la AEPD sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, salvo que sea improbable que suponga un riesgo para las personas (art. 33.1 del RGPD). Responder a quien ejerce un derecho en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses en casos complejos (art. 12.3 del RGPD). Y comunicar a la AEPD en diez días las designaciones, nombramientos y ceses de delegados de protección de datos (art. 34.3 de la LOPDGDD).
¿Necesitas un DPO externo?
Ver el servicio de DPO externo → Primera sesión de 30 minutos sin coste →Primera sesión sin coste, 30 minutos.
Videollamada. Cuéntame en qué estás y te digo con franqueza si puedo ayudarte.
Agendar sesión →