En España, la protección de datos de una empresa se rige por dos normas que se aplican a la vez: el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Afectan a cualquier empresa que trate datos de personas físicas, aunque sea solo la nómina de un empleado. Esta guía resume las obligaciones que una empresa tiene que poder demostrar si llega una inspección o si un cliente pide garantías.
Presupuesto sin compromiso
¿Necesitas ayuda con la protección de datos?
Te ponemos en contacto con una consultoría especializada que revisa tu caso.
Solicita tu presupuestoLas normas que aplican a una empresa
- RGPD, Reglamento (UE) 2016/679. Es la norma principal y se aplica directamente en toda la Unión Europea.
- LOPDGDD, Ley Orgánica 3/2018. Adapta el RGPD a España y añade los derechos digitales de la plantilla.
- LSSI, Ley 34/2002. Regula las comunicaciones comerciales electrónicas y las cookies de la web.
La autoridad que vigila su cumplimiento es la Agencia Española de Protección de Datos (AEPD).
Las obligaciones, una a una
1. Tratar los datos con una base legal
Cada tratamiento necesita una de las bases del artículo 6 del RGPD: contrato, obligación legal, interés legítimo, consentimiento u otras previstas. Las nóminas se apoyan en el contrato y en la ley. Una newsletter, normalmente en el consentimiento.
2. Informar a las personas
Quien entrega sus datos tiene derecho a saber quién los trata, para qué, durante cuánto tiempo y cómo ejercer sus derechos. Esto se hace con cláusulas en formularios, contratos, web y carteles de videovigilancia.
3. Llevar el registro de actividades de tratamiento
Es el inventario de los tratamientos de la empresa, con sus finalidades, categorías de datos, destinatarios y plazos de conservación. Lo regula el artículo 30 del RGPD.
4. Firmar contratos con los encargados
Cualquier proveedor que acceda a datos por cuenta de la empresa (gestoría, informática, nube, vigilancia) necesita un contrato de encargo con el contenido del artículo 28 del RGPD.
5. Aplicar medidas de seguridad
Las medidas tienen que ser proporcionadas al riesgo: control de accesos, copias de seguridad, cifrado cuando proceda y revisión periódica de que funcionan.
6. Gestionar las brechas de seguridad
Una pérdida o un acceso indebido a datos se registra y, si supone riesgo para las personas, se notifica a la AEPD en el plazo que fija el artículo 33 del RGPD.
7. Atender los derechos de las personas
Acceso, rectificación, supresión, oposición, limitación y portabilidad. La empresa necesita un procedimiento para responder dentro de plazo.
8. Evaluar el impacto cuando el riesgo es alto
Algunos tratamientos, como la videovigilancia a gran escala o el uso de datos biométricos, exigen una evaluación de impacto antes de empezar.
9. Designar delegado cuando es obligatorio
El artículo 37 del RGPD y el artículo 34 de la LOPDGDD fijan qué empresas deben tenerlo. Puedes ver los supuestos en la página de delegado de protección de datos externo.
10. Respetar los derechos digitales de la plantilla
La LOPDGDD regula la intimidad en el uso de dispositivos de la empresa, la desconexión digital, la videovigilancia y la geolocalización en el trabajo. Cada uno exige informar antes a la plantilla.
Tu caso
Cuéntanos tu situación y recibe un presupuesto de protección de datos
Una consultoría especializada te presenta el presupuesto por escrito.
Solicita tu presupuestoQué pasa si una empresa no cumple
El artículo 83 del RGPD prevé multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global en las infracciones más graves. La AEPD gradúa la sanción según la gravedad, la duración, el número de afectados y si la empresa colaboró. A la multa se suma el daño de perder un cliente que exige cumplimiento a sus proveedores.
Por dónde empezar
- Inventariar los tratamientos que tiene la empresa.
- Revisar qué documentos existen y cuáles faltan.
- Priorizar por riesgo: videovigilancia, datos de salud, proveedores sin contrato.
- Corregir y mantener, con revisiones periódicas.
Una auditoría inicial ordena estos pasos. Tienes más detalle en qué revisa una auditoría de protección de datos, y el servicio completo en la página de consultoría de protección de datos.
Preguntas frecuentes sobre la ley de protección de datos para empresas
¿Qué ley de protección de datos se aplica a las empresas en España?
Dos normas a la vez: el Reglamento (UE) 2016/679, conocido como RGPD, y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, la LOPDGDD. Si la empresa tiene web o vende en línea, se suma la Ley 34/2002 de servicios de la sociedad de la información.
¿Una empresa pequeña tiene que cumplir la ley de protección de datos?
Sí. Basta con tratar datos de una persona física, como un empleado o un cliente. El tamaño cambia el volumen de trabajo, no la obligación.
¿Cuál es la multa máxima por incumplir el RGPD?
El artículo 83 del RGPD fija un máximo de 20 millones de euros o el 4 % del volumen de negocio anual global, la cantidad que sea mayor, para las infracciones más graves. La sanción concreta depende de la gravedad, la duración y el número de afectados.
¿Hay alguna herramienta gratuita para empezar?
La AEPD ofrece Facilita_RGPD para empresas con tratamientos de escaso riesgo. Genera documentos básicos, pero la propia Agencia aclara que obtenerlos no equivale a cumplir de forma automática.
También te puede interesar leer sobre el delegado de protección de datos y sobre la protección de datos gratis y el coste cero.
Siguiente paso
Solicita tu presupuesto de protección de datos
Rellena el formulario de la portada en un par de minutos. Sin compromiso.
Solicita tu presupuestoNormatia no presta asesoramiento jurídico. La aplicación concreta a tu empresa debe confirmarla un profesional cualificado.