Cumplir el RGPD no consiste únicamente en publicar una política de privacidad o conseguir firmas de clientes y trabajadores. La protección de datos en las empresas exige identificar para qué se utiliza cada dato, justificar su tratamiento, limitar los accesos y poder demostrar que las garantías funcionan. El artículo 5 del RGPD convierte esta responsabilidad proactiva en una obligación transversal: afecta tanto a la gestión de clientes y proveedores como a las nóminas, las campañas comerciales y las herramientas digitales. Esta guía explica las principales obligaciones RGPD de una empresa española, los documentos que debe mantener, los plazos para responder a los interesados y comunicar incidentes, los supuestos de designación del delegado de protección de datos y las consecuencias del incumplimiento.
Todo tratamiento necesita una base jurídica y debe resultar comprensible para el interesado. Conforme a los artículos 5 y 6 del RGPD, disponer de datos no equivale a poder utilizarlos libremente. La transparencia exige explicar quién los trata y para qué; una política de privacidad genérica no sustituye la información correspondiente a cada formulario, servicio o relación laboral.
El artículo 5.1 del RGPD obliga a recoger datos para finalidades determinadas, explícitas y legítimas, y a limitarse a los adecuados, pertinentes y necesarios. Por ejemplo, los datos recibidos para seleccionar personal no pueden convertirse automáticamente en una base comercial. Antes de introducir una nueva finalidad, deben examinarse su compatibilidad y la legitimación del tratamiento posterior conforme al artículo 6.4.
Los datos deben mantenerse exactos y actualizarse cuando proceda. Tampoco pueden conservarse indefinidamente por si resultan útiles. El artículo 5 del RGPD exige vincular la conservación a la finalidad y proteger la información frente a accesos indebidos, pérdidas o alteraciones mediante medidas técnicas y organizativas adecuadas. Esto afecta tanto a archivos digitales como a documentación en papel.
La empresa debe cumplir y ser capaz de demostrarlo. El artículo 5.2 del RGPD exige una gestión verificable durante todo el ciclo de vida de los datos. Como aplicación práctica, conviene mantener procedimientos, registrar las decisiones relevantes, formar al personal y revisar periódicamente las medidas. Tener documentos desactualizados o desconectados de la operativa no acredita un cumplimiento efectivo.
El consentimiento debe ser libre, específico, informado e inequívoco. Las casillas premarcadas, el silencio o la inacción no bastan. El artículo 7 del RGPD obliga a demostrar que se obtuvo y a permitir su retirada con la misma facilidad con que se prestó. La retirada no convierte en ilícitos los tratamientos anteriores válidamente realizados.
El artículo 6.1.b del RGPD permite tratar los datos objetivamente necesarios para ejecutar un contrato con el interesado o atender medidas precontractuales solicitadas por él. Esta base puede amparar la prestación del servicio o la gestión ordinaria de la relación laboral. No legitima cualquier utilización por el simple hecho de mencionarla en las condiciones contractuales.
Las comunicaciones legalmente exigidas a Hacienda o a la Seguridad Social no requieren consentimiento. Los artículos 6.1.c del RGPD y 8 de la LOPDGDD exigen que la obligación esté prevista en el Derecho de la Unión o en una norma con rango de ley. Debe identificarse la obligación concreta, sin confundirla con una mera conveniencia empresarial.
El artículo 6.1.f del RGPD exige un interés legítimo, un tratamiento necesario y una ponderación en la que no prevalezcan los derechos del interesado. La valoración debe ser específica y documentada. Puede resultar relevante para determinadas actuaciones de seguridad o prevención del fraude, pero no constituye una autorización general para cualquier campaña comercial, especialmente cuando existe normativa sectorial sobre el canal utilizado.
El registro de actividades de tratamiento es obligatorio, como regla general, para responsables y encargados. La excepción del artículo 30.5 del RGPD se refiere a entidades con menos de 250 personas, pero desaparece cuando el tratamiento no es ocasional, puede entrañar un riesgo o comprende categorías especiales o datos penales. No se exige que el riesgo sea alto. Por ello, una pequeña empresa que gestiona habitualmente nóminas o clientes puede estar obligada a registrar esos tratamientos.
Según el artículo 30 del RGPD, el registro del responsable debe identificar sus datos de contacto, finalidades, categorías de interesados y datos, destinatarios y transferencias internacionales. Incluirá, cuando sea posible, plazos de supresión y una descripción general de las medidas de seguridad. Debe constar por escrito, también electrónicamente, mantenerse actualizado y ponerse a disposición de la autoridad cuando lo solicite.
El artículo 13 del RGPD exige informar al recoger los datos sobre responsable, finalidades, base jurídica, destinatarios, conservación y derechos, además de los restantes extremos aplicables, como transferencias internacionales o decisiones automatizadas. El artículo 11 de la LOPDGDD permite organizar la información por capas, siempre que el acceso a la información completa sea sencillo e inmediato.
Si los datos no se obtienen del interesado, el artículo 14 del RGPD exige informar también de su procedencia y categorías. Como regla general, debe hacerse dentro de un plazo razonable y, a más tardar, en un mes; si antes se contacta con el interesado o se comunican los datos a otro destinatario, la información debe proporcionarse como máximo en ese momento, salvo las excepciones legales.
Cuando un proveedor trata datos por cuenta de la empresa, debe existir un contrato u otro acto jurídico escrito conforme al artículo 28 del RGPD. Debe concretar objeto, duración, finalidades, datos e interesados, instrucciones, seguridad, asistencia, subcontratación, auditorías y devolución o supresión final. La falta de formalización previa constituye una infracción contemplada en el artículo 73.k de la LOPDGDD, aunque no se produzca una filtración.
La empresa debe informar sobre los tratamientos laborales, sus finalidades, bases jurídicas, destinatarios y conservación conforme al artículo 13 del RGPD. Puede utilizar el contrato o un documento informativo separado, sin presentar esa información como un consentimiento general. Las comunicaciones tributarias y de Seguridad Social responden a obligaciones legales. Como lectura complementaria, puede incorporarse el enlace interno a cómo leer la nómina.
El artículo 9 del RGPD comprende datos sobre origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, genética, salud, vida sexual y orientación sexual, además de datos biométricos dirigidos a identificar unívocamente. Su tratamiento está generalmente prohibido salvo excepción aplicable. Además, el artículo 9 de la LOPDGDD impide fundamentar únicamente en el consentimiento ciertos tratamientos dirigidos principalmente a identificar aspectos especialmente sensibles.
La gestión laboral no autoriza a conocer cualquier información médica. Los artículos 5 y 9 del RGPD obligan a limitar la recogida y los accesos a lo necesario y jurídicamente habilitado. La empresa no dispone de un acceso general al diagnóstico o tratamiento del trabajador; en vigilancia de la salud, el artículo 22 de la Ley de Prevención de Riesgos Laborales limita el acceso empresarial a las conclusiones legalmente previstas.
Los datos relativos a condenas e infracciones penales están sujetos al régimen específico del artículo 10 del RGPD y no pueden recabarse indiscriminadamente en selección. Conviene distinguirlos de los certificados negativos: en el supuesto Amazon Flex se ha admitido un tratamiento diferenciado de documentos que acreditaban la inexistencia de antecedentes. Esta distinción no permite generalizar su exigencia a cualquier empleo ni prescindir de necesidad, proporcionalidad y legitimación.
Acceso, rectificación, supresión, limitación, oposición y portabilidad permiten controlar el uso de los datos. No tienen idénticos presupuestos: el artículo 20 del RGPD limita la portabilidad a determinados tratamientos automatizados basados en consentimiento o contrato. Además, el sistema de derechos incorpora garantías respecto de decisiones individuales automatizadas, incluida la elaboración de perfiles, conforme al artículo 22.
El artículo 12.3 del RGPD establece un mes desde la recepción para responder, sin dilación indebida. Puede ampliarse otros dos meses por complejidad o número de solicitudes, comunicándolo y motivándolo dentro del primer mes. Conviene registrar recepción, actuaciones y respuesta: el artículo 12.4 de la LOPDGDD atribuye al responsable la prueba de haber cumplido.
No existe una excepción universal que permita rechazar cualquier derecho por conservar datos legalmente. Por ejemplo, el artículo 17.3 del RGPD limita la supresión cuando resulte necesaria para obligaciones legales o reclamaciones. La negativa debe explicar la causa concreta e informar sobre reclamación y tutela judicial. Las solicitudes manifiestamente infundadas o excesivas tienen un régimen específico cuya justificación corresponde al responsable.
El artículo 35 del RGPD exige una evaluación previa cuando sea probable un alto riesgo. Incluye evaluaciones sistemáticas y exhaustivas automatizadas que fundamenten decisiones con efectos jurídicos o similares, tratamientos a gran escala de datos especiales o penales y observación sistemática a gran escala de zonas de acceso público. No toda elaboración de perfiles ni toda cámara obliga automáticamente a realizarla: deben examinarse las características concretas y las listas de la autoridad.
La EIPD debe describir operaciones y finalidades, justificar necesidad y proporcionalidad, valorar riesgos para las personas y establecer garantías y medidas para afrontarlos. Conforme al artículo 35 del RGPD, debe recabarse asesoramiento del delegado si existe y revisarse cuando cambie el riesgo. No es un formulario que legitime por sí mismo un tratamiento sin base jurídica.
El artículo 37 del RGPD obliga a designar delegado en autoridades y organismos públicos, con la excepción judicial prevista, y en determinadas actividades principales de seguimiento habitual y sistemático a gran escala o tratamiento a gran escala de datos especiales y penales. El tamaño de la plantilla no constituye por sí solo el criterio decisivo.
El artículo 34 de la LOPDGDD añade entidades obligadas, entre ellas centros docentes, aseguradoras, empresas de seguridad privada y centros sanitarios obligados a mantener historias clínicas, exceptuando determinados profesionales sanitarios individuales. También contempla otros sectores y condiciones específicas. Designaciones y ceses deben comunicarse a la autoridad competente en diez días, incluso cuando el nombramiento sea voluntario.
El delegado puede pertenecer a la plantilla o prestar servicios externos. El artículo 37 del RGPD exige conocimientos especializados en Derecho y práctica de protección de datos y capacidad para desarrollar sus funciones. La elección debe responder a una cualificación real y a las necesidades de la organización, no únicamente a disponer de una persona formalmente identificada.
El artículo 39 del RGPD le atribuye informar y asesorar, supervisar el cumplimiento, contribuir a la formación y auditorías, asesorar sobre evaluaciones de impacto y cooperar con la autoridad de control. Su intervención debe atender a los riesgos de los tratamientos. Nombrarlo no sustituye las obligaciones que corresponden al responsable o al encargado.
El artículo 83 del RGPD establece dos niveles principales: hasta 10 millones de euros o el 2 % del volumen de negocio total anual global del ejercicio anterior, y hasta 20 millones o el 4 %, optándose en cada nivel por la cifra mayor. El segundo comprende, entre otras, infracciones de principios, legitimación y derechos. Son máximos legales, no importes automáticos.
No existe un límite general de 50.000 euros para pymes. La falta de contratos de encargo, del registro exigible, de información o de atención de derechos puede generar responsabilidad conforme a los artículos 72 a 74 de la LOPDGDD. La cuantía depende de gravedad, duración, afectados, negligencia, medidas adoptadas y demás criterios del artículo 83 del RGPD; no puede anticiparse solo por el tamaño empresarial.
La AEPD puede iniciar actuaciones por propia iniciativa o como consecuencia de reclamación, respetando defensa y audiencia conforme a los artículos 63 y 64 de la LOPDGDD. Los actos de su Presidencia son recurribles directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional. El artículo 50 prevé la publicación de resoluciones, por lo que el riesgo empresarial no se limita a la multa.
Sí: una plantilla reducida no elimina las obligaciones relativas a los tratamientos de clientes, trabajadores u otras personas. Incluso el registro puede resultar obligatorio cuando los tratamientos no sean ocasionales. Las medidas deben adaptarse a la actividad y al riesgo, sin confundir proporcionalidad con exención de cumplimiento.
El artículo 21 de la LSSI exige solicitud o autorización previa, salvo relación contractual anterior con datos obtenidos lícitamente y publicidad de productos o servicios propios similares a los contratados. Debe ofrecerse oposición sencilla y gratuita al recoger los datos y en cada comunicación. El interés legítimo del RGPD no permite eludir estas condiciones sectoriales.
No existe un plazo único para todos los datos. El artículo 5.1.e del RGPD exige conservarlos solo mientras sean necesarios para su finalidad, considerando las obligaciones legales y necesidades de defensa de reclamaciones que resulten aplicables. La empresa debe concretar plazos o criterios por categorías documentales e informar de ellos, evitando conservar toda la ficha comercial indefinidamente.
Puede serlo si responde a una finalidad legítima y supera los límites de necesidad y proporcionalidad. El artículo 89 de la LOPDGDD exige información laboral previa en los términos legalmente previstos. Las facultades empresariales no amparan una vigilancia indiscriminada: deben evitarse captaciones excesivas y especialmente invasivas de trabajadores o clientes.
Debe activarse la respuesta interna, valorar el riesgo y documentar hechos, efectos y medidas. El artículo 33 del RGPD exige notificar a la autoridad sin dilación indebida y, de ser posible, dentro de las 72 horas desde que se tiene constancia, salvo improbabilidad de riesgo. Si existe probable alto riesgo, el artículo 34 exige además comunicarlo a los afectados sin dilación indebida, salvo sus excepciones. Toda brecha debe documentarse, aunque no se notifique.
Para profundizar en el análisis exhaustivo de normativas sectoriales, obligaciones de cumplimiento y herramientas prácticas de gestión legal, resulta de gran utilidad consultar obras de referencia como el Memento Protección de Datos de Lefebvre.
Permisos parentales en 2025
Ley de Vivienda
Desde Espacio Asesoría no disponemos de un servicio gratuito de asesoramiento, por lo que su comentario solo podrá ser respondido por otros lectores.
Si necesita una respuesta profesional, le recomendamos realice su pregunta desde el siguiente enlace, desde donde podrá establecer un contacto privado con un abogado.
Tu comentario ha sido enviado para ser revisado antes de ser publicado.