RGPD: qué es y qué obliga a tu negocio

RGPD: qué es, qué obliga y cómo afecta a tu negocio digital

El Reglamento General de Protección de Datos es la norma de la Unión Europea que regula cómo las empresas y autónomos pueden recoger, almacenar y usar datos personales de personas físicas. Entró en vigor en mayo de 2018 y afecta a cualquier negocio que trate datos de ciudadanos europeos, sin importar su tamaño ni su sector.

Hasta aquí, lo que ya sabes o puedes leer en cualquier sitio. Lo que no vas a encontrar tan fácil es la parte que más me interesa contarte: cómo afecta el RGPD a quien hace publicidad digital, capta leads y tiene listas de correo. Porque si tienes un formulario de contacto, un píxel de Meta o una secuencia de email marketing, la norma te obliga a cosas muy concretas que no son opcionales.

Qué es el RGPD y de dónde viene

El RGPD es el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, aprobado el 27 de abril de 2016 y aplicable desde el 25 de mayo de 2018. Sustituyó a la anterior Directiva 95/46/CE, que llevaba décadas sin actualizarse y ya no servía para el entorno digital actual.

Antes de que existiera este reglamento, cada país de la Unión Europea tenía su propia ley de protección de datos. El problema es que eso generaba un mapa normativo imposible de gestionar para cualquier empresa que operase en varios países. El RGPD unificó las reglas: una sola norma, válida en toda la UE, directamente aplicable sin necesidad de transposición.

Eso es importante: el RGPD no es una ley española que el legislador español redactó. Es un reglamento europeo que se aplica directamente en todos los estados miembros. España no lo reescribió; lo complementó con su propia ley orgánica, que es la LOPDGDD.

Si quieres leer el texto oficial completo, lo tienes en el Diario Oficial de la Unión Europea y en el BOE consolidado, que incluye tanto el reglamento como la ley orgánica española. Hay también versiones en PDF descargables desde ambas fuentes si necesitas el texto completo para consulta o archivo.

RGPD y LOPDGDD: la diferencia que importa

El RGPD establece el marco general. La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) lo adapta a España y añade algunas especificidades que el reglamento europeo dejó abiertas para que cada estado regulase.

En la práctica, si cumples el RGPD, cumples la mayor parte de la LOPDGDD. Pero la ley orgánica añade detalles que en sectores como el laboral o el de la salud hacen diferencia.

A quién se aplica el RGPD

A ti. Si tienes un negocio, aunque seas autónomo, aunque tengas cuatro clientes y una base de datos de cien contactos.

El reglamento se aplica a cualquier persona física o jurídica, pública o privada, que trate datos personales de personas físicas que se encuentren en la Unión Europea. No hay umbral mínimo de tamaño de empresa. No hay exención por facturación. No hay excepción para autónomos.

Lo que sí hay es proporcionalidad en las obligaciones. No se le exige lo mismo a una multinacional con cientos de miles de clientes que a un consultor independiente con una lista de trescientos contactos. Pero el marco legal es el mismo, y la obligación de cumplirlo también.

Se aplica cuando:

• Recoges datos de clientes, prospectos, suscriptores o empleados.
• Usas herramientas que recogen datos de forma automática, como píxeles, cookies o formularios.
• Tratas datos en nombre de otra empresa (en ese caso eres lo que la norma llama "encargado del tratamiento", es decir, alguien que maneja datos ajenos por encargo de un responsable).

Si operas desde España pero tienes clientes en cualquier país de la UE, la norma te aplica para todos ellos.

Qué son los datos personales según el reglamento

El RGPD define dato personal como cualquier información sobre una persona física identificada o identificable. La palabra clave es "identificable": no hace falta que el dato por sí solo identifique a alguien; basta con que pueda hacerlo combinado con otra información.

Ejemplos concretos:

• Nombre y apellidos.
• Dirección de correo electrónico.
• Número de teléfono.
• Dirección IP.
• Datos de localización.
• Identificadores de cookies.
• Comportamiento de navegación vinculado a un usuario.

Y luego están las categorías especiales de datos, que el reglamento trata con más cuidado porque su mal uso puede causar daños graves. Aquí entran el origen étnico, las opiniones políticas, las creencias religiosas, los datos de salud, la orientación sexual y los datos biométricos o genéticos. Para tratar estas categorías hacen falta condiciones adicionales de legitimidad.

Los seis principios del RGPD que tienes que conocer

El artículo 5 del reglamento recoge los principios que deben guiar cualquier tratamiento de datos personales. Son seis, y no son negociables:

1. Licitud, lealtad y transparencia. Tienes que tener una razón legal para tratar los datos y el afectado tiene que saber qué haces con ellos.

2. Limitación de la finalidad. Los datos se recogen para un fin concreto y solo se pueden usar para ese fin. Si quieres usarlos para otra cosa, necesitas una nueva base legal.

3. Minimización de datos. Solo recoges lo que necesitas. Si para enviarte una newsletter basta con el correo electrónico, no pides también el DNI, el teléfono y la fecha de nacimiento.

4. Exactitud. Los datos tienen que estar actualizados. Si alguien cambia de dirección o de correo, tienes que poder actualizar o suprimir los datos desactualizados.

5. Limitación del plazo de conservación. No puedes guardar datos para siempre. Tienes que definir durante cuánto tiempo los necesitas y borrarlos cuando ese plazo pase.

6. Integridad y confidencialidad. Tienes que aplicar medidas de seguridad para proteger los datos frente a accesos no autorizados, pérdidas o destrucción accidental.

Obligaciones principales para empresas y autónomos

Base jurídica: por qué puedes tratar esos datos

Para tratar datos personales necesitas una razón legal. El RGPD llama a esto base jurídica, y define seis posibles:

• Consentimiento: la persona lo ha dado de forma libre, específica, informada e inequívoca.
• Ejecución de un contrato: necesitas los datos para cumplir lo que has prometido.
• Obligación legal: la ley te obliga a tratar esos datos.
• Intereses vitales: para proteger la vida de alguien.
• Interés público o ejercicio de poderes públicos.
• Interés legítimo: cuando tu interés o el de un tercero prevalece sobre los derechos del afectado, siempre que se justifique.

En marketing digital, las bases que más usarás son el consentimiento y el interés legítimo. Y son las que más conflictos generan, porque no siempre está claro cuándo una cosa es la otra.

Registro de actividades de tratamiento

Si tu empresa tiene más de 250 empleados, el registro es obligatorio. Por debajo de ese umbral, también lo es si el tratamiento puede entrañar riesgo para los derechos de las personas, si no es ocasional o si incluye categorías especiales de datos. En la práctica, la mayoría de negocios que hacen marketing digital tienen que mantenerlo.

El registro es un documento interno donde describes qué datos tratas, para qué, con qué base jurídica, durante cuánto tiempo y a quién se los cedes o de quién los recibes.

Delegado de Protección de Datos (DPD)

El Delegado de Protección de Datos es la figura que supervisa el cumplimiento del reglamento dentro de la organización. No toda empresa está obligada a nombrarlo: solo las que traten datos a gran escala, las que traten categorías especiales de forma sistemática o las autoridades públicas. Si eres una pyme de servicios o un autónomo, es probable que no lo necesites, pero sí puede convenirte si manejas datos sensibles.

Brechas de seguridad

Si sufres una brecha de seguridad que compromete datos personales, tienes 72 horas para notificarlo a la AEPD. Si la brecha puede causar daño a las personas afectadas, también tienes que comunicárselo a ellas. No hacerlo es una infracción grave.

Cómo afecta el RGPD al marketing digital: formularios, píxeles y listas

Aquí es donde más negocios se juegan el cumplimiento sin saberlo. Y es el ángulo que casi nadie te cuenta desde el lado del marketing.

Formularios de captación de leads

Cada vez que alguien rellena un formulario en tu web, esa persona te está dando datos personales. Para que ese tratamiento sea legal necesitas:

• Informar de quién eres, para qué vas a usar los datos y cuánto tiempo los guardarás. Esto va en la cláusula de privacidad del formulario, no en una página enterrada en el footer.
• Obtener consentimiento explícito si vas a usar esos datos para enviar comunicaciones comerciales. Una casilla premarcada no es consentimiento. Una casilla en blanco que el usuario marca activamente, sí.
• No usar los datos para fines distintos del que informaste en el momento de la recogida. Si alguien pidió un presupuesto y no marcó que quería recibir tu newsletter, no puedes meterlo en tu lista.

Píxeles de seguimiento

El píxel de Meta y el tag de Google recogen datos de comportamiento de las personas que visitan tu web: qué páginas ven, qué botones pulsan, si completan un formulario. Eso son datos personales según el RGPD, aunque tú no veas el nombre ni el correo de quien los genera.

Para usar estos píxeles legalmente necesitas:

• Una política de cookies actualizada que los mencione.
• Un banner de cookies que permita al usuario aceptar o rechazar su uso antes de que se activen.
• Contratos de encargado del tratamiento con Meta y Google (estos contratos suelen estar disponibles en sus plataformas y hay que aceptarlos).

Si tienes el píxel activo sin consentimiento previo, estás cometiendo una infracción. La AEPD ha sancionado por esto.

Email marketing y listas de correo

Si tienes una lista de suscriptores, cada dirección de correo es un dato personal. Las obligaciones son claras:

• Tienes que poder demostrar que cada persona de tu lista dio su consentimiento. No basta con que tú lo recuerdes: necesitas el registro del cuándo y el cómo.
• Cada correo comercial tiene que incluir un enlace de baja funcional y fácil de usar.
• Si compras listas de contactos, la probabilidad de que esos datos se hayan recogido con consentimiento válido para tus comunicaciones concretas es prácticamente nula. Comprar listas es un riesgo legal alto.

Si estás revisando cómo tienes montada tu captación de leads y quieres saber si tu estructura de campañas y formularios aguanta un escrutinio, una auditoría de marketing puede ser el punto de partida.

Cookies

La política de cookies y el banner de consentimiento no son solo para cumplir con la Ley de Cookies española. Son también parte del cumplimiento del RGPD cuando las cookies recogen datos personales o de comportamiento. La AEPD publicó en 2023 una guía actualizada que aclara cuándo hace falta consentimiento y cómo tiene que presentarse el banner.

Derechos de los ciudadanos que debes respetar

El RGPD reconoce a las personas físicas una serie de derechos sobre sus propios datos. Como empresa o autónomo, tienes que estar en condiciones de atenderlos cuando alguien los ejerce. El plazo general de respuesta es un mes.

Derecho de acceso: la persona puede pedirte que le confirmes si tratas sus datos y, si es así, que le des una copia de ellos y te expliques cómo los usas.

Derecho de rectificación: puede pedirte que corrijas datos incorrectos o incompletos.

Derecho de supresión (el popular "derecho al olvido"): puede pedirte que borres sus datos cuando ya no sean necesarios para el fin que los recogiste, cuando retire su consentimiento o cuando los hayas tratado de forma ilícita.

Derecho de portabilidad: puede pedirte los datos que te dio en un formato estructurado y legible para llevárselos a otro proveedor. Aplica cuando el tratamiento se basa en consentimiento o contrato.

Derecho de oposición: puede oponerse a que uses sus datos para marketing directo. En ese caso, tienes que dejar de usarlos para ese fin de forma inmediata y sin excepciones.

Derecho a la limitación del tratamiento: puede pedirte que pares el uso de sus datos mientras se resuelve una controversia sobre su exactitud o licitud.

En la práctica, lo que necesitas es tener un canal claro para recibir estas solicitudes (un correo electrónico específico o un formulario), un procedimiento interno para gestionarlas en plazo y un registro de las solicitudes recibidas y cómo las resolviste.

Sanciones: qué pasa si no cumples

El RGPD establece dos niveles de sanción económica:

• Hasta 10 millones de euros o el 2 % de la facturación anual global del ejercicio anterior (la que sea mayor) para infracciones de menor gravedad, como no tener el registro de actividades en orden, no notificar una brecha en plazo o no nombrar al DPD cuando era obligatorio.
• Hasta 20 millones de euros o el 4 % de la facturación anual global para las infracciones más graves, como tratar datos sin base jurídica, no respetar los derechos de los afectados o transferir datos fuera de la UE sin garantías.

En España, quien investiga, instruye y sanciona es la Agencia Española de Protección de Datos (AEPD). Puede actuar de oficio, por denuncia de un afectado o a partir de una inspección propia.

Las multas reales a pymes y autónomos suelen ser mucho menores que los máximos, pero existen. La AEPD publica un registro de sanciones que incluye multas a empresas de todos los tamaños. Y más allá de la multa económica, una resolución sancionadora incluye la obligación de corregir la infracción, lo que en algunos casos obliga a desmantelar sistemas de captación enteros.

No hace falta llegar a la multa para tener un problema. Una denuncia ante la AEPD puede abrir una investigación que paralice parte de tu operativa durante meses.

Preguntas frecuentes sobre el RGPD

¿El RGPD es lo mismo que el GDPR?

Sí. GDPR es el acrónimo inglés de General Data Protection Regulation, que es el nombre en inglés del mismo reglamento. En español se llama RGPD (Reglamento General de Protección de Datos). Misma norma, mismo texto, distinto idioma. Si ves referencias al GDPR en documentación técnica, en plataformas publicitarias o en contratos con proveedores extranjeros, están hablando del mismo reglamento.

¿Dónde puedo leer el RGPD en el BOE o en PDF?

El texto oficial en español está disponible en dos fuentes:

• Diario Oficial de la Unión Europea: eur-lex.europa.eu. Aquí está el texto original del Reglamento (UE) 2016/679. También puedes descargarlo en PDF desde esa misma página.
• BOE consolidado: el BOE recoge la Ley Orgánica 3/2018 (LOPDGDD), que es la norma española que complementa el RGPD. La versión consolidada incluye todas las modificaciones posteriores y está disponible en boe.es.

El texto del RGPD propiamente dicho no aparece en el BOE porque, al ser un reglamento europeo, no necesitó publicarse allí para ser aplicable. Se aplica directamente desde el Diario Oficial de la UE.

¿Los autónomos también tienen que cumplir el RGPD?

Sí, si tratan datos de terceros. Y casi todos los autónomos lo hacen: tienen datos de clientes, de proveedores, de pacientes, de alumnos.

Algunos ejemplos concretos:

• Un abogado que gestiona datos de sus clientes en expedientes judiciales.
• Una clínica dental que almacena historial clínico de sus pacientes.
• Un formador online que tiene una lista de alumnos con sus correos y datos de pago.
• Un consultor que lleva una base de datos de prospectos a los que hace seguimiento.

En todos estos casos, el RGPD aplica. La diferencia respecto a una gran empresa es que algunos requisitos (como la obligación de nombrar un DPD) pueden no ser aplicables, pero las obligaciones básicas, como tener base jurídica para el tratamiento, informar a los afectados y respetar sus derechos, son iguales.

¿Qué diferencia hay entre responsable y encargado del tratamiento?

El responsable del tratamiento es quien decide para qué se tratan los datos y cómo. Si tienes un negocio y recoges datos de tus clientes, eres el responsable.

El encargado del tratamiento es quien trata datos por cuenta del responsable. Por ejemplo, la plataforma de email marketing que usas para enviar tus campañas es un encargado: trata los datos de tus suscriptores, pero lo hace siguiendo tus instrucciones y para tu negocio. Con estos encargados tienes que firmar un contrato de encargado del tratamiento, que suele estar disponible en los términos de servicio de las propias plataformas.

¿Qué pasa si tengo el consentimiento de mis contactos de antes de mayo de 2018?

Depende de cómo lo recogiste. Si el proceso de recogida cumplía ya los requisitos del RGPD (consentimiento libre, específico, informado e inequívoco, sin casillas premarcadas), puedes seguir usándolo. Si no cumplía esos requisitos, técnicamente ese consentimiento no es válido bajo el reglamento y deberías haber renovado la base de datos o eliminado los contactos que no reconfirmaron.

Para terminar

El RGPD no va a desaparecer, y las plataformas publicitarias lo están integrando cada vez más en sus propias herramientas: el modo de consentimiento de Google, las API de conversiones de Meta y los cambios en el seguimiento de iOS son todos consecuencias directas de esta norma.

Si tienes un negocio digital y captas leads, tienes que saber qué datos recoges, con qué base jurídica, y si tus formularios, tus píxeles y tus listas están configurados para cumplir la norma. No es un problema solo legal; es un problema de captación, porque una configuración mal hecha puede afectar al rendimiento de tus campañas y al seguimiento de tus conversiones.

Si quieres saber si lo tienes bien montado, puedo revisarlo. Así es exactamente como funciona la auditoría de marketing: miro lo que tienes, te digo qué está roto y en qué orden se arregla.