RGPD.
Tratar datos personales lícitamente, proteger los derechos y acreditar la aplicación de forma trazable.
- Reglamento (UE) 2016/679 · BDSG
- Por Derya Altinay
- Actualizado: 22/10/2026
- Tiempo de lectura: 10 min.
Respuesta breve.
El RGPD regula el tratamiento de datos personales en su ámbito europeo. Las empresas necesitan bases jurídicas adecuadas, información transparente, procedimientos de derechos y medidas de protección acordes al riesgo. Conforme al art. 5 RGPD, los responsables deben poder demostrar el cumplimiento de los principios. Los encargados tienen obligaciones propias y apoyan al responsable en su cumplimiento.
RGPD: protección de datos más allá de la seguridad informática.
El Reglamento General de Protección de Datos es derecho de la UE de aplicación directa que protege a las personas físicas respecto al tratamiento de sus datos personales. El Reglamento (UE) 2016/679 se aplica desde el 25 de mayo de 2018; GDPR es su abreviatura inglesa. En Alemania, especialmente la Ley Federal de Protección de Datos y las disposiciones sectoriales complementan el marco europeo.
El RGPD pregunta primero si un tratamiento es admisible y para qué finalidad. Una base de datos segura todavía no resuelve si la información recogida es necesaria ni cuánto tiempo puede conservarse. Los arts. 5 y 6 RGPD conectan principios y bases jurídicas; el art. 32 aborda, dentro de ese marco, la seguridad del tratamiento.
La protección de datos sigue siendo una tarea continua porque cambian las finalidades, los flujos de datos y los servicios utilizados. Conforme al art. 24 RGPD, el responsable debe adoptar medidas adecuadas, comprobar su idoneidad y actualizarlas cuando sea necesario. Un documento cumplimentado una sola vez no sustituye esta evaluación continua.
A qué empresas se aplica el RGPD.
Según el art. 2, el RGPD se aplica al tratamiento de datos personales allí comprendido, con independencia del tamaño de la empresa. Incluye, por ejemplo, datos de clientes, candidaturas o contenido de soporte con datos personales. Los datos seudonimizados siguen siendo personales si puede identificarse a una persona con información adicional; la información verdaderamente anónima se clasifica de forma distinta.
El ámbito territorial se deriva del art. 3 RGPD. Además del tratamiento en el contexto de un establecimiento en la UE, pueden quedar comprendidas determinadas ofertas a personas en la UE o la observación de su comportamiento por empresas de fuera de la UE. La mera ubicación del servidor o la accesibilidad de una web no lo determina por sí sola.
La función se determina para cada actividad concreta: los responsables deciden los fines y medios; los encargados tratan datos por cuenta del responsable. Una organización puede tener distintas funciones según la actividad. Los arts. 26 y 28 RGPD exigen acuerdos adecuados para la corresponsabilidad y el encargo del tratamiento, respectivamente; el título de un contrato por sí solo no aclara la función real.
Requisitos del RGPD para las empresas.
Los requisitos del RGPD conectan decisiones jurídicas con el funcionamiento real del tratamiento. Siete ámbitos de trabajo sirven de orientación; las obligaciones especiales adicionales dependen de la función, los datos, la actividad y los riesgos para las personas afectadas.
Definir los principios y las bases jurídicas.
Los arts. 5 y 6 RGPD exigen un tratamiento lícito, limitado a su finalidad y trazable. Limite los datos y su conservación a lo necesario y mantenga la información exacta. El consentimiento es una posible base jurídica; sus condiciones no pueden omitirse, como tampoco las de otras bases jurídicas.
Facilitar la transparencia y los derechos de los interesados.
Los arts. 12 a 22 RGPD abordan la información comprensible y derechos como acceso, rectificación o supresión. Los derechos tienen condiciones y excepciones distintas. Responsabilidades, búsqueda de datos, verificación de identidad y respuesta segura deben encajar; una política de privacidad por sí sola todavía no tramita una solicitud.
Organizar responsabilidades y proveedores.
Los arts. 24 a 30 RGPD regulan obligaciones organizativas, protección de datos desde el diseño, funciones y registros. El encargo del tratamiento del art. 28 exige, además de una base contractual adecuada, garantías suficientes del proveedor. La evaluación debe incluir los subencargados y los flujos de datos realmente utilizados, además de las condiciones contractuales generales.
Traducir el art. 32 RGPD en medidas eficaces.
Las medidas técnicas y organizativas deben crear un nivel de seguridad adecuado al riesgo. El art. 32 RGPD considera el contexto del tratamiento, el estado de la técnica, los costes y la probabilidad y gravedad de las posibles consecuencias para las personas. Según el riesgo, esto incluye control de acceso, cifrado, capacidad de recuperación y verificación periódica de la eficacia; no basta una lista universal fija.
Examinar los riesgos especiales y el asesoramiento.
Se requiere una evaluación de impacto relativa a la protección de datos conforme al art. 35 RGPD antes del tratamiento cuando sea probable que genere un alto riesgo para los derechos y libertades. Examine también las condiciones para designar un delegado de protección de datos conforme al art. 37 y, de forma complementaria, al § 38 BDSG. La función consultiva no sustituye la responsabilidad por el tratamiento.
Evaluar y notificar violaciones de datos personales.
El art. 33 RGPD exige, en principio, notificar a la autoridad competente, salvo que sea improbable que la violación genere un riesgo para los derechos y libertades. El art. 34 regula por separado la comunicación a los interesados cuando sea probable un alto riesgo. Los encargados informan al responsable sin demora; documentar el incidente sigue siendo una obligación propia.
Proteger por separado las transferencias a terceros países.
El capítulo V RGPD establece requisitos adicionales para las transferencias a terceros países. Examine los destinatarios reales, los accesos y el mecanismo de transferencia pertinente. Una transferencia admisible no sustituye ni la base jurídica del tratamiento ni las demás obligaciones de protección de datos; alojar en la UE tampoco resuelve todas las cuestiones de acceso externo.
La implantación del RGPD como proceso continuo.
Delimitar los tratamientos y las funciones.
Como primer paso práctico, registre finalidades, interesados, datos, sistemas y destinatarios de una actividad concreta y aclare quién es responsable de cada decisión.
Examinar la licitud y la información.
Evalúe las bases jurídicas, la necesidad y la conservación y contraste el tratamiento real con la información facilitada a los interesados.
Evaluar los riesgos y las obligaciones especiales.
Examine los riesgos para las personas y las condiciones de evaluación de impacto, delegado de protección de datos, encargo del tratamiento y transferencias a terceros países antes de introducir o modificar sustancialmente el tratamiento.
Implantar y comprobar las medidas.
Conecte las decisiones jurídicas y organizativas con medidas técnicas adecuadas y compruebe si, por ejemplo, las reglas de acceso, la supresión y la recuperación funcionan en el servicio examinado.
Preparar en la práctica los derechos y los incidentes.
Ensaye cómo detectar, escalar, evaluar y tramitar dentro de plazo las solicitudes y las violaciones de datos personales, incluidas las transferencias de responsabilidad entre empresas y proveedores.
Actualizar la documentación con los cambios.
Actualice decisiones y evidencias cuando cambien finalidades, destinatarios o riesgos y defina quién sigue las medidas pendientes y activa la siguiente revisión.
Evidencias del RGPD y certificación voluntaria.
La responsabilidad proactiva del art. 5, apartado 2, RGPD implica poder explicar y acreditar el cumplimiento de los principios. Los documentos adecuados pueden incluir registros de actividades de tratamiento, bases jurídicas justificadas, contratos, información de protección de datos, evaluaciones de impacto y comprobaciones de las medidas de protección. Lo decisivo es si reflejan el tratamiento real y permiten identificar qué decisión se tomó y con qué fundamento.
La autoridad de protección de datos tiene poderes de investigación y correctivos conforme al art. 58 RGPD. Por ello, la documentación debe ser localizable, comprensible y actual. El Reglamento no establece una obligación general de certificación con la que una empresa pueda dar por concluido todo su trabajo de protección de datos; la responsabilidad sigue correspondiendo al responsable y a los demás participantes obligados.
La certificación del art. 42 RGPD es voluntaria y se refiere a operaciones de tratamiento conforme a criterios aprobados. Según el apartado 4, no reduce la responsabilidad legal; el apartado 7 limita su vigencia a un máximo de tres años, con posibilidad de renovación. Un certificado de seguridad de la información no constituye automáticamente esa certificación de protección de datos.
La decisión de notificar una violación de datos debe acreditarse por separado. El art. 33 prevé una notificación sin demora y, de ser posible, dentro de las 72 horas desde que se tiene conocimiento, salvo que se aplique la excepción de riesgo. La documentación del apartado 5 también incluye violaciones no notificadas; la comunicación del art. 34 sigue su propio umbral de riesgo y las excepciones allí reguladas.
Más información en el blog.
- RGPD y seguridadConectar tratamientos, evaluación jurídica y medidas de protección en la operación.
- Examinar el encargo del tratamientoContrastar los compromisos contractuales con los flujos reales de datos del proveedor.
- Notificar una violación de datos personalesPreparar con más detalle la evaluación del incidente, la decisión de notificación y la documentación.
- Tramitar solicitudes de accesoOrganizar la búsqueda, la comprobación y la transmisión segura de una respuesta de acceso.
RGPD y otros marcos.
ISO 27001 apoya la organización de la seguridad de la información, pero no sustituye el examen de las bases jurídicas y los derechos de los interesados. NIS2 tiene destinatarios y obligaciones de notificación propios; un incidente puede requerir evaluaciones separadas bajo ambos marcos jurídicos. El Reglamento de IA de la UE añade requisitos para determinados sistemas de IA sin sustituir el análisis de protección de datos de los tratamientos personales.
En Secani.
Secani ofrece un perfil de protección de datos para funciones, contexto del tratamiento y transferencias, así como un catálogo editorial de evaluación del RGPD. El perfil registra datos de la empresa y apoya un inventario estructurado. La evaluación especializada del tratamiento real y de su licitud sigue siendo una tarea independiente; el perfil no es una autorización administrativa ni un análisis jurídico automático.
Siguiente paso.
Empiece con un tratamiento claramente delimitado, por ejemplo, la tramitación de solicitudes de soporte. Describa finalidad, datos, interesados, servicios participantes y destinatarios, y examine la base jurídica adecuada con los especialistas competentes. Documente después qué medidas de protección y procedimientos de derechos e incidentes se necesitan realmente.
Fuentes.
- Reglamento (UE) 2016/679: Reglamento General de Protección de Datos
- BfDI: RGPD y BDSG, Info 1, versión de marzo de 2026
- Comisión Europea: ámbito de aplicación y funciones del RGPD
- Comisión Europea: principios del tratamiento
- Comisión Europea: obligaciones de las empresas
- CEPD: seguridad de los datos personales
- CEPD: violaciones de datos personales
- CEPD: derechos de los interesados
- § 38 BDSG: delegados de protección de datos de entidades no públicas
Preguntas frecuentes.
No. El art. 6 RGPD contempla distintas bases jurídicas con condiciones propias. La que resulte válida depende de la finalidad y los hechos concretos; los requisitos adicionales, por ejemplo, para categorías especiales de datos, deben examinarse por separado.
No. Según el art. 33 RGPD, puede omitirse la notificación a la autoridad cuando sea improbable que la violación genere un riesgo para los derechos y libertades. Aun así, debe documentarse; la comunicación a los interesados del art. 34 se evalúa por separado.
No. Un SGSI puede apoyar la seguridad del tratamiento, pero no resuelve automáticamente las cuestiones de base jurídica, transparencia o derechos de los interesados. Su ámbito y el tratamiento real deben examinarse por separado.
Sí, si su tratamiento está comprendido en el ámbito material y territorial. El tamaño de la empresa por sí solo no crea una excepción general; determinadas obligaciones dependen de condiciones adicionales.
Organizar la protección de datos de forma trazable.
Conozca el perfil de protección de datos y el catálogo editorial del RGPD en Secani.
Esta página ofrece una orientación general y no sustituye el análisis jurídico del caso concreto. Son determinantes las disposiciones vigentes y el tratamiento concreto.