La protección de datos personales forma parte de la gestión diaria de cualquier empresa: desde la contratación de trabajadores hasta la relación con clientes y proveedores. Contar con una asesoría jurídica para empresas ayuda a identificar las obligaciones aplicables, revisar los procedimientos internos y prevenir incumplimientos que pueden afectar tanto a la organización como a las personas cuyos datos trata.
La Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) complementa en España al Reglamento General de Protección de Datos (RGPD). Aunque sigue vigente, ha experimentado modificaciones desde su aprobación que conviene tener en cuenta.
¿Qué normativa regula la protección de datos en España?
El marco general se articula en torno al Reglamento (UE) 2016/679, aplicable desde el 25 de mayo de 2018, y la LOPDGDD, vigente desde el 7 de diciembre de ese año.
Ambas normas deben aplicarse conjuntamente, atendiendo también a la legislación sectorial correspondiente. La norma española desarrolla determinados aspectos del reglamento europeo y reconoce derechos digitales. Consultar la LOPDGDD en el BOE.
Obligaciones de protección de datos para las empresas
Las empresas deben conocer qué datos personales tratan, para qué los utilizan y cuál es la base jurídica que permite hacerlo. El consentimiento no es la única base legal: también pueden resultar aplicables, entre otras, la ejecución de un contrato o el cumplimiento de una obligación legal.
Entre las obligaciones esenciales se encuentran:
- Informar de forma clara sobre el tratamiento de los datos.
- Recoger únicamente los datos necesarios para cada finalidad.
- Establecer plazos de conservación adecuados.
- Implantar medidas de seguridad proporcionadas al riesgo.
- Facilitar el ejercicio de los derechos de las personas.
- Regular la relación con proveedores que actúen como encargados del tratamiento.
- Formalizar por escrito la relación con los encargados del tratamiento mediante un contrato con el contenido mínimo que exige el artículo 28 del RGPD.
- Llevar un registro de actividades de tratamiento. Las empresas con menos de 250 trabajadores solo están exentas cuando el tratamiento es ocasional, no entraña riesgos y no incluye categorías especiales de datos, algo poco habitual en la práctica: la gestión de nóminas, por ejemplo, es un tratamiento continuado.
- Notificar a la Agencia Española de Protección de Datos las brechas de seguridad sin dilación indebida y, a más tardar, en las 72 horas siguientes a tener constancia de ellas, salvo que sea improbable que supongan un riesgo para las personas afectadas. Si el riesgo es alto, también debe comunicarse a los interesados.
- Realizar una evaluación de impacto antes de iniciar tratamientos que probablemente entrañen un alto riesgo para los derechos y libertades de las personas. La AEPD publica una lista orientativa de los tratamientos que la requieren. Artículos 28, 30, 33, 34 y 35 del RGPD.
La empresa debe poder acreditar el cumplimiento de estas obligaciones, conforme al principio de responsabilidad proactiva. Consultar el RGPD.
Información por capas y consentimiento de menores
La LOPDGDD permite ofrecer una primera capa de información básica y facilitar el acceso sencillo e inmediato a la información restante.
Cuando el tratamiento se basa en consentimiento, los menores de 14 años necesitan el de quienes ejercen la patria potestad o tutela. A partir de esa edad pueden consentir, con las excepciones legales previstas. Artículos 7 y 11 de la LOPDGDD.
¿Cuándo es obligatorio un delegado de protección de datos?
No todas las empresas deben designar un delegado de protección de datos. La obligación depende de los supuestos del RGPD y de la LOPDGDD, que incluye determinados sectores y actividades. También puede nombrarse voluntariamente. Artículo 34 de la LOPDGDD.
Derechos digitales de los trabajadores
La utilización de herramientas tecnológicas para organizar y supervisar el trabajo debe respetar la intimidad de las personas trabajadoras.
Uso de dispositivos digitales. La empresa debe establecer criterios de utilización, informar a la plantilla y contar con la participación de sus representantes en su elaboración. Permitir el uso privado exige garantías adicionales.
Desconexión digital. Las personas trabajadoras tienen derecho al descanso fuera de su jornada. La empresa debe elaborar una política interna, previa audiencia de sus representantes, que concrete cómo se ejerce este derecho e incluya acciones de formación y sensibilización.
Videovigilancia y grabación de sonidos. Informar de la existencia de cámaras no legitima cualquier control. Deben respetarse los límites legales y quedan excluidos los espacios de descanso, aseos y vestuarios. La grabación de sonido exige riesgos relevantes para la seguridad y debe respetar la proporcionalidad y la intervención mínima.
Geolocalización. Su utilización requiere información previa sobre la existencia y características del sistema, además del respeto a los límites del control empresarial. Guía de la AEPD sobre protección de datos en las relaciones laborales.
Cambios posteriores en la normativa de protección de datos
Entre las modificaciones relevantes para las empresas destacan las siguientes:
- Protección del informante. La Ley 2/2023 modificó el artículo 24 de la LOPDGDD para conectar el tratamiento de datos con el marco regulador de los sistemas de información sobre infracciones. Ley 2/2023.
- Procedimientos ante la AEPD. La reforma de 2023 introdujo un procedimiento específico de apercibimiento, con una duración máxima de seis meses.
- Exclusión publicitaria. La Ley 10/2025 modificó la regulación de los sistemas de exclusión publicitaria, concretando las entidades que pueden crearlos y remitiendo determinadas medidas a desarrollo reglamentario. Ley 10/2025.
Asimismo, el Tribunal Constitucional anuló en 2019 el apartado que permitía a los partidos recopilar datos relativos a opiniones políticas. La nulidad afectó al artículo 58 bis.1 de la LOREG, no a todo el precepto. Sentencia 76/2019.
Reforma europea en tramitación. En noviembre de 2025, la Comisión Europea presentó el paquete conocido como Ómnibus Digital, que incluye una propuesta de modificación del RGPD. Entre otras medidas, plantea precisar el concepto de dato personal, crear un punto único para notificar incidentes y ampliar de 72 a 96 horas el plazo para comunicar las brechas de seguridad. Se trata de una propuesta todavía en tramitación: hasta que se apruebe y entre en vigor, las empresas deben seguir cumpliendo el RGPD y la LOPDGDD en su redacción actual. Consulta pública del Ómnibus Digital.
Sanciones por incumplir la protección de datos
El RGPD establece dos niveles máximos de multas, según la infracción: 10 millones de euros o el 2 %, y 20 millones o el 4 %. En empresas, el porcentaje se refiere al volumen de negocio anual global del ejercicio anterior y se aplica el importe superior. La sanción concreta depende de las circunstancias del caso. Artículo 83 del RGPD.
Inspección de la AEPD y prescripción de infracciones y sanciones
La Agencia Española de Protección de Datos puede investigar de oficio o a raíz de una reclamación si una empresa cumple la normativa. Durante esas actuaciones, su personal puede requerir información y documentación, examinar equipos y sistemas, y acceder a las instalaciones donde se tratan los datos. El acceso a un domicilio requiere el consentimiento de su titular o una autorización judicial. Las empresas están obligadas a colaborar con la Agencia y a facilitarle la información que solicite. Artículos 51 a 53 de la LOPDGDD.
La LOPDGDD clasifica las infracciones en muy graves, graves y leves, y fija para cada categoría un plazo de prescripción distinto:
- Muy graves: prescriben a los tres años.
- Graves: prescriben a los dos años.
- Leves: prescriben al año.
Las sanciones ya impuestas tienen sus propios plazos, que dependen de su cuantía:
- Hasta 40.000 euros: prescriben al año.
- Entre 40.001 y 300.000 euros: prescriben a los dos años.
- Más de 300.000 euros: prescriben a los tres años.
Artículos 72 a 78 de la LOPDGDD.
Conviene no confundir los dos conceptos: la prescripción de la infracción limita el tiempo del que dispone la Agencia para iniciar el procedimiento, mientras que la de la sanción limita el plazo para exigir su cumplimiento una vez impuesta. Conservar la documentación que acredita el cumplimiento, conforme al principio de responsabilidad proactiva, es la mejor defensa ante una actuación inspectora.
Asesoramiento jurídico para cumplir la normativa de protección de datos
La protección de datos requiere revisar periódicamente cómo se recoge, utiliza, conserva y comparte la información personal. Los cambios en los procesos, proveedores o herramientas tecnológicas pueden hacer necesario adaptar las medidas de cumplimiento.
Desde el área de asesoría jurídica de GSM&B, ayudamos a las empresas a abordar sus obligaciones en materia de protección de datos y a incorporar la prevención jurídica a su actividad. Un asesoramiento adaptado permite tomar decisiones con mayor seguridad y proteger la confianza de clientes, trabajadores y colaboradores.
