Adaptación RGPD para Empresas y Autónomos en España

El RGPD (Reglamento General de Protección de Datos, UE 2016/679) es la norma europea que garantiza el derecho de toda persona a controlar sus datos personales. La LOPDGDD (Ley Orgánica 3/2018) es su desarrollo en España.

Toda empresa, autónomo o entidad —sin importar su tamaño— que trate datos de personas físicas (clientes, empleados, proveedores, usuarios de una web…) está obligada a cumplirlo. No existe mínimo de facturación ni de número de trabajadores.

Su incumplimiento puede suponer multas de hasta 20 millones de euros o el 4% del volumen de negocio global, además de daño reputacional.

Sí. El RGPD lleva en vigor desde mayo de 2018 y no ha sido derogado. Lo que sí ha cambiado es el entorno de aplicación:

• La AEPD ha incrementado significativamente la actividad sancionadora: en 2025 superó los 30 millones de euros en multas.
• El uso de inteligencia artificial añade nuevas obligaciones de transparencia y protección de datos que se solapan con el AI Act.
• Las cookies y el consentimiento siguen siendo uno de los focos principales de inspección.
• Las transferencias internacionales de datos (por ejemplo, a servicios cloud de EE.UU.) requieren revisión periódica de las bases legales utilizadas.

Si te adaptaste en 2018–2020 y no has actualizado tu documentación desde entonces, es muy probable que estés incumpliendo la normativa actual.

El paquete documental mínimo exigido por el RGPD incluye:

• Registro de Actividades de Tratamiento (RAT) — obligatorio para todas las empresas.
• Análisis de riesgos de cada actividad de tratamiento.
• Política de privacidad actualizada y accesible en tu web.
• Textos legales en formularios, contratos y comunicaciones.
• Contratos de Encargo del Tratamiento con proveedores que accedan a tus datos (nóminas, gestoría, CRM cloud…).
• Compromisos de confidencialidad firmados por empleados.
• Procedimiento de respuesta a derechos de los interesados y a brechas de seguridad.
• Evaluación de Impacto (EIPD) cuando el tratamiento implique alto riesgo.

Si usas IA o sistemas automatizados de toma de decisiones, se añaden obligaciones específicas de transparencia.

El RGPD reconoce los siguientes derechos a toda persona cuyos datos tratéis, que tu empresa debe atender en el plazo máximo de 30 días:

• Acceso: saber qué datos se tratan y con qué finalidad.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión (“derecho al olvido”): eliminar los datos cuando ya no sean necesarios.
• Limitación del tratamiento: suspender el uso de los datos en determinados supuestos.
• Portabilidad: obtener los datos en formato estándar para cambiar de proveedor.
• Oposición: oponerse al tratamiento, especialmente en marketing directo o perfilado.
• No ser objeto de decisiones automatizadas sin intervención humana con efectos significativos.

Debes tener un procedimiento documentado para gestionar cada uno de estos derechos.

Las infracciones del RGPD se dividen en dos tramos:

• Graves Hasta 10 millones € o el 2% del volumen de negocio global: incumplimientos técnicos, falta de contratos con encargados, no notificar brechas de seguridad.
• Muy graves Hasta 20 millones € o el 4% del volumen de negocio global: vulneración de principios básicos, tratamiento sin base legal, violación de derechos de los interesados, transferencias ilegales.

En España, la AEPD puede también imponer advertencias, apercibimientos y prohibiciones temporales de tratamiento. En 2025 impuso multas relevantes a empresas de todos los sectores, incluyendo pymes.

Además de la multa administrativa, el incumplimiento puede acarrear reclamaciones civiles de los afectados por daños y perjuicios.

Adaptarse al RGPD una sola vez no es suficiente. El cumplimiento es continuo. El mantenimiento anual incluye:

• Actualización del Registro de Actividades cuando cambien proveedores, empleados o procesos.
• Revisión de contratos de Encargo del Tratamiento.
• Adaptación a cambios legislativos (el AI Act, por ejemplo, añade nuevas obligaciones en 2026).
• Auditoría interna de cumplimiento.
• Formación periódica del personal.
• Actualización de los textos legales de la web si cambian los servicios o las cookies utilizadas.

Con SIGNA360, tu plataforma de cumplimiento se actualiza automáticamente con cada cambio normativo relevante.

La videovigilancia es tratamiento de datos personales y debe cumplir el RGPD. Las obligaciones principales son:

• Señalización visible de la zona videovigilada con el distintivo aprobado por la AEPD.
• Política de privacidad específica accesible con información completa sobre el tratamiento.
• Las imágenes deben conservarse un máximo de 30 días (salvo que se hayan facilitado a las Fuerzas y Cuerpos de Seguridad).
• Acceso restringido a las grabaciones.
• Registro del tratamiento en el RAT.
• Contrato con el encargado del tratamiento si el sistema es gestionado por una empresa de seguridad externa.

Sí. Usar estos servicios te convierte en “deployer” (desplegador) de un sistema de IA de propósito general (GPAI). Tus obligaciones dependen de cómo uses esa IA:

• Si la usas para tareas internas de baja incidencia (redactar correos, resumir documentos), las obligaciones son básicas: transparencia interna y formación mínima del personal.
• Si la usas en procesos que afectan a personas (decisiones de RRHH, perfilado de clientes, créditos, diagnósticos…), puedes estar en el ámbito de los sistemas de alto riesgo, con obligaciones mucho más estrictas.
• Además, si los datos que introduces en la IA son datos personales, el RGPD se aplica simultáneamente.

Nuestro Test AI Act gratuito te indica en 5 preguntas qué obligaciones concretas te aplican.

• Febrero 2025: Prohibición de los sistemas de IA de riesgo inaceptable (puntuación social, manipulación subliminal, biometría en tiempo real en espacios públicos con excepciones).
• Agosto 2025: Obligaciones para los modelos de IA de propósito general (GPAI) y sus proveedores.
• Agosto 2026: Obligaciones para los sistemas de IA de alto riesgo listados en el Anexo III del Reglamento (RRHH, crédito, educación, salud, infraestructuras críticas…). Ahora
• Agosto 2027: Resto de sistemas de alto riesgo (Anexo I).

Si tu empresa usa sistemas de IA en ámbitos de alto riesgo, el plazo ya ha vencido. La AESIA (Agencia Española de Supervisión de la IA) ha iniciado sus funciones de supervisión.

El AI Act clasifica los sistemas de IA en cuatro niveles de riesgo:

• Inaceptable Prohibidos. Ej: reconocimiento de emociones en el trabajo, puntuación social, manipulación de comportamiento.
• Alto Permitidos con obligaciones estrictas. Incluyen: selección de personal por IA, scoring crediticio, asistentes médicos de diagnóstico, sistemas educativos de evaluación, control de infraestructuras críticas, reconocimiento biométrico.
• Limitado Obligaciones de transparencia. Ej: chatbots, generadores de imágenes/vídeo, deepfakes.
• Mínimo Sin obligaciones específicas. Ej: filtros antispam, IA de videojuegos.

Si tienes dudas sobre tu clasificación, contacta con nuestros asesores o realiza el Test AI Act gratuito.

• Riesgo inaceptable Hasta 35 millones € o el 7% del volumen de negocio global.
• Incumplimientos generales Hasta 15 millones € o el 3%.
• Información incorrecta Hasta 7,5 millones € o el 1,5%.

Las multas del AI Act son potencialmente superiores a las del RGPD. El organismo supervisor en España es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial).

La Ley 2/2023, de 20 de febrero (que transpone la Directiva europea 2019/1937) obliga a implantar un sistema interno de información (canal de denuncias) para que empleados y terceros puedan comunicar incumplimientos legales de forma confidencial y segura.

Es obligatorio para:

• Empresas privadas con 50 o más trabajadores.
• Todas las Administraciones Públicas, partidos políticos, sindicatos y fundaciones financiadas con fondos públicos.
• Empresas del sector financiero, independientemente de su tamaño.

Las empresas de entre 50 y 249 trabajadores podían compartir canal hasta el 1 de enero de 2025, fecha a partir de la cual deben tener su propio sistema.

Sí. El plazo para empresas de más de 249 trabajadores venció en junio de 2023. Para empresas de 50 a 249 trabajadores, el plazo era el 1 de enero de 2024.

Las sanciones por incumplimiento son:

• Infracciones graves Multas de hasta 300.000 € para personas jurídicas.
• Infracciones muy graves Multas de hasta 1.000.000 € para personas jurídicas.

Además, el incumplimiento puede acarrear responsabilidad penal de los administradores en algunos supuestos y pérdida de contratos públicos.

La Directiva (UE) 2022/2555 (NIS2) es la norma europea de ciberseguridad que sustituye y amplía considerablemente la anterior NIS1. Establece obligaciones de seguridad para las redes y sistemas de información de las organizaciones consideradas esenciales o importantes.

Afecta a empresas de sectores críticos con más de 50 trabajadores o más de 10 millones € de facturación, incluyendo:

• Energía, transporte, banca, infraestructuras de mercados financieros, sanidad, agua, infraestructura digital.
• Servicios postales, gestión de residuos, fabricación de productos críticos, alimentación.
• Proveedores de servicios digitales: plataformas de comercio electrónico, motores de búsqueda, redes sociales, cloud, centros de datos.
• Administraciones públicas.

SIGNA360 se actualiza de forma continua, no solo anualmente. Nuestro equipo jurídico monitoriza las publicaciones del DOUE, el BOE, la AEPD, la AESIA y el INCIBE, e integra los cambios relevantes en la plataforma en el menor plazo posible.

Las actualizaciones incluyen:

• Nuevas plantillas documentales adaptadas a cambios legislativos.
• Alertas automáticas cuando tu documentación requiere revisión por un cambio normativo.
• Actualizaciones de los módulos de AI Act y NIS2 conforme avanza su aplicación.

Todo sin coste adicional durante la vigencia de tu licencia.