¿Qué es el RGPD? Guía en lenguaje claro sobre la normativa europea de protección de datos

El RGPD (Reglamento General de Protección de Datos) es la ley integral de la Unión Europea sobre el tratamiento de datos personales. Es exigible desde el 25 de mayo de 2018 y se aplica a cualquier organización, con independencia de dónde esté establecida, que ofrezca bienes o servicios a personas en la UE o que supervise su comportamiento. El reglamento establece siete principios para el tratamiento de datos personales, seis bases jurídicas que lo legitiman y un conjunto de derechos que las personas pueden ejercer frente a las organizaciones que poseen sus datos. Las organizaciones deben proteger los datos personales, notificar a una autoridad de control en un plazo de 72 horas las violaciones de seguridad que cumplan los criterios previstos, y recurrir a un mecanismo válido antes de trasladar datos fuera de la UE y del Espacio Económico Europeo (EEE). Las multas pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual mundial, la cifra que sea mayor.

Para las organizaciones que intercambian datos personales con clientes, socios y reguladores, el cumplimiento depende de controlar cómo se envían, comparten y consultan esos datos. Kiteworks ofrece un plano de control para el intercambio seguro de datos que ayuda a las organizaciones a aplicar cifrado, control de acceso y registro de auditoría en el correo electrónico, el uso compartido de archivos y las API.

Esta página ofrece información general, no asesoramiento jurídico. Para obtener orientación sobre cómo se aplica el RGPD a su organización, consulte a su equipo jurídico o de privacidad.

Puntos clave

1. La geografía no limita el alcance del RGPD

El RGPD sigue a la persona, no al domicilio de la empresa. Una organización estadounidense sin oficinas en la UE queda sujeta al reglamento si ofrece bienes o servicios a personas en la UE o supervisa su comportamiento, por ejemplo mediante analítica web o seguimiento publicitario.

2. Todo uso de datos personales necesita una base jurídica

El consentimiento es solo una de las seis bases jurídicas, y a menudo no es la más adecuada. Las otras cinco son el contrato, la obligación legal, los intereses vitales, la misión de interés público y el interés legítimo. Elegir y documentar la base correcta antes de iniciar el tratamiento es un requisito esencial de responsabilidad proactiva.

3. Las personas tienen derechos exigibles y el plazo de respuesta es corto

La mayoría de las solicitudes de los interesados deben responderse en el plazo de un mes. Ese plazo puede prorrogarse otros dos meses en el caso de solicitudes complejas o numerosas, pero solo si se informa a la persona dentro del primer mes.

4. La seguridad y la respuesta ante violaciones son deberes legales expresos

El RGPD exige medidas técnicas y organizativas apropiadas y fija un plazo de 72 horas para notificar las violaciones de seguridad. El cifrado, el control de acceso y los registros de auditoría son los controles que los reguladores buscan con más frecuencia después de un incidente.

5. Las transferencias internacionales requieren un mecanismo válido

Los datos personales solo pueden salir de la UE y del EEE al amparo de una decisión de adecuación, de garantías adecuadas o de una excepción de interpretación restrictiva. Las normas sobre transferencias han cambiado en varias ocasiones por sentencias judiciales, por lo que conviene que las organizaciones documenten su mecanismo y una alternativa de respaldo.

¿Qué es el RGPD y a quién protege?

El RGPD (Reglamento (UE) 2016/679) sustituyó a la Directiva de protección de datos de 1995 y dotó a la UE de un conjunto único de normas de protección de datos que se aplican directamente en todos los Estados miembros. Protege los datos personales de las personas en la UE y en el resto del EEE, y les da control sobre cómo las organizaciones recogen, utilizan, comparten y conservan esos datos.

Los Estados miembros conservan cierto margen para añadir normas nacionales, razón por la cual las organizaciones suelen tener que considerar también leyes como la Ley Federal alemana de Protección de Datos (BDSG) y la Ley francesa de Protección de Datos. El marketing por correo electrónico y las cookies se regulan aparte mediante las normas de privacidad en las comunicaciones electrónicas (ePrivacy), que se describen en nuestra guía sobre las Privacy and Electronic Communications Regulations.

¿Quién debe cumplir el RGPD?

El artículo 3 define el ámbito de aplicación. El RGPD se aplica a las organizaciones establecidas en la UE y también a las organizaciones de fuera de la UE que ofrecen bienes o servicios a personas en la UE o supervisan su comportamiento allí. Para el primer supuesto no se exige que haya un pago, de modo que una aplicación gratuita dirigida a usuarios de la UE también queda cubierta.

El reglamento asigna las obligaciones según el papel de cada parte:

• Los responsables del tratamiento deciden por qué y cómo se tratan los datos personales. Soportan la principal carga de cumplimiento.
• Los encargados del tratamiento tratan datos personales por cuenta del responsable, como ocurre con un proveedor de nube o un servicio de nóminas. Deben seguir instrucciones documentadas y cumplir sus propios deberes de seguridad y de llevanza de registros.

Las organizaciones estadounidenses pueden consultar nuestra guía para las empresas de EE. UU. que tratan datos de la UE, con pasos prácticos sobre el alcance y la soberanía de los datos.

¿Qué se considera dato personal según el RGPD?

Dato personal es toda información sobre una persona identificada o identificable (artículo 4). Incluye identificadores evidentes, como nombres y direcciones de correo electrónico, y otros menos obvios, como direcciones IP, identificadores de dispositivo, datos de localización e identificadores en línea. Los datos seudonimizados siguen siendo datos personales porque pueden volver a vincularse a una persona. Nuestra entrada sobre PII y PHI explica en qué se diferencian los conceptos estadounidenses.

El artículo 9 añade las categorías especiales de datos, que reciben una protección reforzada: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos y biométricos utilizados para identificar, datos de salud y datos sobre la vida sexual o la orientación sexual. El tratamiento de estas categorías está prohibido salvo que se cumpla una condición específica, como el consentimiento explícito.

¿Cuáles son los siete principios del RGPD?

El artículo 5 establece los principios que debe cumplir toda actividad de tratamiento:

1. Licitud, lealtad y transparencia: trate los datos de forma lícita e informe a las personas de lo que hace con ellos.
2. Limitación de la finalidad: recoja los datos con fines determinados y no los utilice de manera incompatible con ellos.
3. Minimización de datos: recoja solo lo adecuado, pertinente y necesario. Consulte nuestra guía sobre la minimización de datos.
4. Exactitud: mantenga los datos personales exactos y rectifique o suprima sin demora los que sean inexactos.
5. Limitación del plazo de conservación: conserve los datos identificables solo durante el tiempo necesario.
6. Integridad y confidencialidad: proteja los datos frente al acceso no autorizado, la pérdida o el daño.
7. Responsabilidad proactiva: sea capaz de demostrar el cumplimiento de todo lo anterior.

¿Cuáles son las seis bases jurídicas del tratamiento?

El artículo 6 exige al menos una base jurídica para cada finalidad de tratamiento:

• Consentimiento: la persona ha aceptado la finalidad concreta.
• Contrato: el tratamiento es necesario para ejecutar o celebrar un contrato con la persona.
• Obligación legal: el tratamiento es necesario para cumplir la ley.
• Intereses vitales: el tratamiento es necesario para proteger la vida de alguien.
• Misión de interés público: el tratamiento es necesario para una misión realizada en interés público o para una función oficial.
• Interés legítimo: el tratamiento es necesario para satisfacer intereses legítimos de la organización o de un tercero, salvo que prevalezcan los derechos de la persona.

¿Cuáles son los requisitos del consentimiento según el RGPD?

Para ser válido, el consentimiento debe ser libre, específico, informado e inequívoco, y requiere un acto afirmativo claro. Las casillas premarcadas no cuentan. Las personas deben poder retirar su consentimiento con la misma facilidad con que lo otorgaron, y las organizaciones deben poder demostrar que lo obtuvieron (artículo 7). Para los servicios en línea ofrecidos directamente a menores, el artículo 8 fija por defecto en 16 años la edad del consentimiento digital, y los Estados miembros pueden rebajarla, sin que pueda ser inferior a 13 años.

¿Qué derechos tienen las personas según el RGPD?

Los artículos 12 a 22 otorgan a las personas los siguientes derechos sobre sus datos personales:

1. El derecho a ser informado sobre la recogida y el uso de sus datos.
2. El derecho de acceso a sus datos y a información sobre cómo se tratan.
3. El derecho de rectificación de los datos inexactos o incompletos.
4. El derecho de supresión, conocido a menudo como derecho al olvido, en circunstancias determinadas.
5. El derecho a la limitación del tratamiento en ciertos supuestos.
6. El derecho a la portabilidad de los datos, que permite recibirlos en un formato estructurado, de uso común y lectura mecánica.
7. El derecho de oposición al tratamiento, incluidos el marketing directo y el tratamiento basado en el interés legítimo.
8. Los derechos relacionados con las decisiones individuales automatizadas y la elaboración de perfiles, incluido el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de modo similar.

Las personas también tienen derecho a presentar una reclamación ante una autoridad de control (artículo 77) y a reclamar una indemnización por los daños sufridos (artículo 82). Las organizaciones deben responder a las solicitudes sin dilación indebida y, en todo caso, en el plazo de un mes desde su recepción. El artículo 12, apartado 3, permite prorrogar el plazo otros dos meses cuando las solicitudes sean complejas o numerosas, siempre que se informe a la persona dentro del primer mes. La gestión de las solicitudes resulta mucho más sencilla cuando los registros de auditoría muestran dónde se almacenan los datos personales y quién ha accedido a ellos. Consulte nuestra guía sobre los registros de auditoría.

¿Qué exige el RGPD a las organizaciones?

Además de los principios y los derechos, el RGPD establece deberes operativos específicos:

• Protección de datos desde el diseño y por defecto (artículo 25): incorpore controles de privacidad en los sistemas y limite el tratamiento a lo que requiera cada finalidad.
• Contratos con encargados del tratamiento (artículo 28): utilice acuerdos escritos que obliguen a los encargados a seguir instrucciones documentadas y a aplicar medidas de seguridad.
• Registro de las actividades de tratamiento (artículo 30): mantenga un registro de las actividades de tratamiento, con exenciones limitadas para las organizaciones más pequeñas.
• Seguridad del tratamiento (artículo 32): aplique medidas técnicas y organizativas apropiadas, que pueden incluir cifrado, seudonimización, control de acceso y pruebas periódicas.
• Notificación de violaciones de seguridad (artículos 33 y 34): notifique a la autoridad de control sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tenga conocimiento de la violación, salvo que sea improbable que suponga un riesgo para las personas. Notifique a las personas afectadas sin dilación indebida cuando el riesgo sea alto.
• Evaluaciones de impacto relativas a la protección de datos, EIPD (artículo 35): evalúe los tratamientos de alto riesgo antes de iniciarlos. Consulte nuestra guía sobre la evaluación de impacto en la privacidad.
• Delegado de protección de datos, DPD (artículos 37 a 39): designe un delegado de protección de datos si es una autoridad pública o si sus actividades principales consisten en una observación habitual a gran escala o en el tratamiento a gran escala de categorías especiales de datos.

¿Cómo funcionan las normas del RGPD sobre transferencias internacionales?

El capítulo V (artículos 44 a 50) restringe las transferencias de datos personales a países de fuera de la UE y del EEE. Una transferencia solo se permite por una de estas vías:

• Una decisión de adecuación de la Comisión Europea, que constata que un país o un marco ofrece una protección esencialmente equivalente.
• Garantías adecuadas, normalmente las cláusulas contractuales tipo (SCC) o las normas corporativas vinculantes (BCR), por lo general combinadas con una evaluación de impacto de la transferencia.
• Una excepción, como el consentimiento explícito para una transferencia concreta, que los reguladores interpretan de forma restrictiva.

El Tribunal de Justicia invalidó en 2020 el Escudo de Privacidad UE-EE. UU. (EU-U.S. Privacy Shield) en la sentencia Schrems II, por lo que las organizaciones ya no deben apoyarse en él. Nuestras guías sobre la evaluación de impacto de la transferencia y los riesgos de las transferencias transfronterizas de datos explican cómo documentar un mecanismo, y el artículo sobre la CLOUD Act y la protección de datos europea aborda el conflicto entre las leyes de acceso de EE. UU. y las normas de la UE. Sobre la ubicación de los datos, consulte los requisitos de residencia de datos del RGPD.

¿Cómo afecta el RGPD a las empresas estadounidenses?

Toda empresa estadounidense que venda a personas en la UE, les dirija marketing o realice un seguimiento de ellas debe partir de la premisa de que el RGPD se le aplica y debería llevar a cabo una breve lista de acciones:

1. Mapee por dónde entran, circulan y salen de sus sistemas los datos personales de la UE.
2. Identifique y documente una base jurídica para cada finalidad de tratamiento.
3. Actualice los avisos de privacidad, los flujos de consentimiento y los contratos con proveedores.
4. Establezca un proceso para atender las solicitudes de los interesados en el plazo de un mes.
5. Ponga a prueba su respuesta ante violaciones de seguridad con el plazo de 72 horas.
6. Documente el mecanismo de transferencia de cada flujo de datos de la UE hacia Estados Unidos.

Muchas organizaciones estadounidenses se enfrentan además a leyes estatales de privacidad que se solapan con el RGPD. Nuestras guías sobre la California Privacy Rights Act (CPRA, ley de derechos de privacidad de California), los requisitos de cumplimiento de la CCPA (California Consumer Privacy Act, ley de privacidad del consumidor de California) y las leyes de privacidad de datos en el mundo muestran en qué coinciden esos regímenes con el RGPD y en qué se diferencian.

¿Qué sanciones prevé el RGPD por incumplimiento?

El artículo 83 establece dos niveles de multas administrativas:

• Nivel inferior: hasta 10 millones de euros o el 2 % de la facturación anual mundial total, la cifra que sea mayor. Este nivel abarca infracciones como el incumplimiento de las obligaciones de los responsables y encargados del tratamiento, incluidos los deberes de seguridad y de notificación de violaciones.
• Nivel superior: hasta 20 millones de euros o el 4 % de la facturación anual mundial total, la cifra que sea mayor. Este nivel abarca las infracciones de los principios básicos del tratamiento, las condiciones del consentimiento, los derechos de los interesados y las normas sobre transferencias internacionales.

Los reguladores valoran la naturaleza, la gravedad y la duración de la infracción, si fue intencionada, las medidas adoptadas para paliar el daño y la cooperación con la autoridad (artículo 83, apartado 2). También pueden ordenar que cese el tratamiento, exigir la supresión de datos o suspender flujos de datos (artículo 58). Las personas pueden reclamar una indemnización de forma independiente. Para conocer casos recientes y las lecciones que dejan, lea nuestro análisis de las multas del RGPD y las tendencias de aplicación.

Situación actual y cambios pendientes

Esta sección se revisa y actualiza por separado del resto de la página. Última revisión: octubre de 2026.

Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework). La Comisión Europea adoptó una decisión de adecuación para el Marco de Privacidad de Datos UE-EE. UU. el 10 de julio de 2023. El 3 de septiembre de 2025, el Tribunal General de la UE desestimó un recurso contra la decisión (Latombe v Commission), y el recurrente interpuso recurso de casación ante el Tribunal de Justicia el 31 de octubre de 2025. La decisión seguía en vigor en el momento de esta revisión. Dado que cabe la posibilidad de que se revoque, muchas organizaciones mantienen disponibles las cláusulas contractuales tipo como solución de respaldo.

Propuesta Digital Omnibus. La Comisión Europea ha propuesto cambios en el RGPD dentro de su paquete Digital Omnibus. En febrero de 2026, el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos emitieron un dictamen conjunto. Se opusieron a los cambios que reducirían la definición de dato personal. Apoyaron en parte otros, entre ellos un umbral más alto para la notificación de violaciones de seguridad y un plazo de notificación más largo, de 96 horas. El paquete seguía siendo una propuesta en el momento de esta revisión, por lo que las obligaciones vigentes, incluido el plazo de 72 horas, no han cambiado.

Ejemplos de aplicación. Las multas elevadas recientes muestran en qué se centran los reguladores. La Comisión de Protección de Datos de Irlanda multó a Meta con 1200 millones de euros en 2023 por transferir datos de usuarios de la UE a Estados Unidos sin garantías adecuadas, a TikTok con 530 millones de euros en 2025 por transferencias a China y a LinkedIn con 310 millones de euros en 2024 por la base jurídica de su publicidad conductual.

Cómo ayuda Kiteworks a las organizaciones a respaldar el cumplimiento del RGPD

La mayoría de las obligaciones del RGPD se resumen en controlar lo que ocurre con los datos personales una vez que salen de un sistema de registro. Kiteworks ofrece un plano de control para el intercambio seguro de datos que gobierna cómo se envían, comparten y consultan los datos personales en el correo electrónico, el uso compartido de archivos y las API. La plataforma ayuda a las organizaciones a respaldar los requisitos del RGPD de las siguientes maneras:

• Claves de cifrado propiedad del cliente. Los clientes son propietarios de sus claves de cifrado, por lo que el personal de Kiteworks no puede descifrar los datos de un cliente. Conozca los motivos en nuestro artículo sobre el control de claves de cifrado propiedad del cliente.
• Cifrado doble. Los datos se cifran a nivel de archivo y de nuevo a nivel de disco, cada vez con claves distintas. Obtenga más información sobre el cifrado doble.
• Acceso con privilegios mínimos y registro de auditoría. Los permisos granulares limitan quién puede ver o descargar datos personales, y un único registro de auditoría documenta la actividad de usuarios, datos y sistemas. Los registros de auditoría se anonimizan por defecto para respaldar los requisitos de privacidad. Consulte nuestra guía sobre el registro de auditoría.
• Controles de soberanía de los datos. El geovallado y los ajustes de ubicación permiten a las organizaciones mantener los datos de un usuario en un país determinado y mostrar a los auditores dónde se almacenan. Explore la soberanía de los datos en la plataforma.
• Informes de cumplimiento del RGPD. Los informes integrados resumen la configuración de políticas, las operaciones pertinentes y las verificaciones de datos para apoyar la preparación de auditorías.
• Formularios web seguros. Las organizaciones pueden recoger consentimientos y datos personales mediante formularios web seguros con avisos personalizables.

Los mismos controles se aplican al correo electrónico, a la transferencia gestionada de archivos y a SFTP. Explore el plano de control de datos de Kiteworks o lea nuestro conjunto completo de recursos de cumplimiento del RGPD.

Volver al Glosario de Riesgo y Cumplimiento