Contenido Mapa de conocimiento

Antes de leer

Este sitio NO es asesoría legal, y usarlo no crea una relación entre abogado y cliente. Es un conjunto de hallazgos, contrastados con fuentes publicadas y fechados, que pueden ayudar a desarrolladores de software y a otras personas. Para una decisión importante, consulta a un abogado habilitado en el país correspondiente.

Unión Europea y EEE

Abrir en el mapa de conocimiento

Fuentes revisadas por última vez:

El Reglamento General de Protección de Datos, o RGPD, es la principal ley de privacidad de la Unión Europea. Se aplica desde el 25 de mayo de 2018 y obliga directamente a todos los Estados miembros, sin necesidad de una ley nacional que lo ponga en vigor.1

De un vistazo

Pregunta Respuesta
Ley principal Reglamento (UE) 2016/679, el RGPD2
Responder una solicitud de derechos En un mes, prorrogable dos más si es compleja3
Notificar una brecha a la autoridad En 72 horas de ser posible, salvo que sea improbable que genere un riesgo4
Edad para consentir solo en línea 16 años, que un país puede bajar hasta no menos de 135
Multa más alta 20 millones de euros o el 4 % del volumen de negocio mundial anual, lo que sea mayor6

Islandia, Liechtenstein y Noruega participan a través del Espacio Económico Europeo: sus autoridades integran el Comité Europeo de Protección de Datos.7

A quién protege y quién debe cumplirlo

Protege a las personas, los «interesados» de la ley, y no depende de la ciudadanía. Se aplica a una organización establecida en la UE, sin importar dónde se traten los datos. También alcanza a una organización fuera de la UE cuando ofrece bienes o servicios a personas en la UE, incluso gratis, o controla su comportamiento en la UE.8

No se aplica a una persona que actúa con fines exclusivamente personales o domésticos, como guardar los números de sus amistades.9

Qué son los datos personales

Los datos personales son cualquier información sobre una persona identificada o identificable. Los ejemplos de la propia ley incluyen un nombre, un número de identificación, datos de localización y un identificador en línea.10

Algunas categorías tienen protección especial, y tratarlas está prohibido salvo una excepción de la lista: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos usados para identificar a alguien, datos de salud y datos sobre la vida sexual o la orientación sexual.11

Las reglas básicas

Los datos personales deben tratarse de manera lícita, leal y transparente; recogerse con fines determinados; limitarse a lo necesario; ser exactos; conservarse solo el tiempo necesario; y mantenerse seguros. La organización responsable debe poder demostrar que cumple estas reglas.12

Todo uso de datos personales necesita una de seis razones legales:13

  1. el consentimiento de la persona;
  2. un contrato con la persona;
  3. una obligación legal;
  4. proteger intereses vitales de alguien;
  5. una misión de interés público;
  6. los intereses legítimos de la organización, salvo que prevalezcan los derechos de la persona.

El consentimiento debe ser libre, específico, informado e inequívoco, y manifestarse con una acción clara.14 Debe ser tan fácil retirarlo como darlo.15

Tus derechos

Derecho Qué te permite
Información16 Saber quién tiene tus datos, para qué y por cuánto tiempo
Acceso17 Obtener una copia de tus datos
Rectificación18 Corregir datos erróneos
Supresión19 Borrar datos, en los casos que la ley enumera
Limitación20 Pausar el uso de tus datos en ciertos casos
Portabilidad21 Recibir en formato legible por máquina los datos que entregaste
Oposición22 Oponerte a algunos usos; a la publicidad directa, en cualquier momento
Decisión humana23 No quedar sujeto a una decisión importante tomada solo por una máquina, con excepciones

Cómo ejercerlos

Pídeselo directamente a la organización. Debe actuar sin dilación indebida y en el plazo de un mes, y puede tardar dos meses más en una solicitud compleja si te explica por qué dentro del primer mes. Es gratis, salvo que la solicitud sea manifiestamente infundada o excesiva.3

Si no obtienes respuesta

Puedes reclamar ante una autoridad, en particular donde vives o trabajas o donde ocurrió el problema.24 El Comité Europeo de Protección de Datos publica la autoridad de cada país.7 También puedes acudir a los tribunales,25 encargar a una organización sin fines de lucro que actúe por ti26 y reclamar una indemnización por daños materiales o inmateriales.27

Cuando hay una brecha

Una violación de la seguridad de los datos personales debe notificarse a la autoridad sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que se tiene constancia de ella, salvo que sea improbable que genere un riesgo para las personas.4 Si el riesgo es alto, también debe informarse a las personas, sin dilación indebida.28

Enviar datos fuera de Europa

Los datos solo pueden salir conforme a las reglas del capítulo V del RGPD.29 Cuando la Comisión Europea ha resuelto que un lugar protege los datos de manera adecuada, no se necesita otra garantía.30 La lista de la Comisión, revisada el 9 de noviembre de 2026, incluye a Andorra, Argentina, Brasil, Canadá (solo organizaciones comerciales), las Islas Feroe, Guernsey, Israel, la Isla de Man, Japón, Jersey, Nueva Zelanda, la República de Corea, Suiza, el Reino Unido, Estados Unidos (solo las empresas adheridas al Marco de Privacidad de Datos UE-EE. UU.), Uruguay y la Organización Europea de Patentes.31 En otros casos, una organización necesita garantías adecuadas32 o una de pocas excepciones acotadas.33

Multas

Las multas llegan a 20 millones de euros o al 4 % del volumen de negocio mundial anual, lo que sea mayor, por infringir los principios básicos, los derechos de las personas o las reglas de transferencia. Otras obligaciones llevan hasta 10 millones de euros o el 2 %.6

Lo que puede cambiar

Lo anterior es la ley vigente. La UE negocia un paquete de reformas, el Ómnibus Digital, que cambiaría partes del RGPD. El Consejo fijó su posición el 21 de octubre de 2026. Entre otras cosas, daría a las organizaciones 96 horas para notificar una brecha, y exigiría notificarla a la autoridad solo cuando sea probable que genere un riesgo alto.34 Las negociaciones comienzan solo cuando el Parlamento Europeo tenga su propia posición,35 y el 9 de noviembre de 2026 su expediente seguía a la espera de una decisión de comisión.36

Las cookies y tecnologías similares se rigen principalmente por otra ley, la Directiva sobre la privacidad y las comunicaciones electrónicas.

Referencias

  1. RGPD, artículo 99: Entrada en vigor y aplicación ↩

  2. Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos), texto completo ↩

  3. RGPD, artículo 12, apartados 3 y 5: Transparencia y modalidades de ejercicio de los derechos ↩ ↩2

  4. RGPD, artículo 33, apartado 1: Notificación a la autoridad de control ↩ ↩2

  5. RGPD, artículo 8, apartado 1: Condiciones aplicables al consentimiento del niño ↩

  6. RGPD, artículo 83, apartados 4 y 5: Multas administrativas ↩ ↩2

  7. Comité Europeo de Protección de Datos: miembros (en inglés) ↩ ↩2

  8. RGPD, artículo 3: Ámbito territorial ↩

  9. RGPD, artículo 2, apartado 2, letra c): Ámbito de aplicación material ↩

  10. RGPD, artículo 4, punto 1: Definiciones ↩

  11. RGPD, artículo 9: Tratamiento de categorías especiales de datos personales ↩

  12. RGPD, artículo 5: Principios relativos al tratamiento ↩

  13. RGPD, artículo 6, apartado 1: Licitud del tratamiento ↩

  14. RGPD, artículo 4, punto 11: Definiciones ↩

  15. RGPD, artículo 7, apartado 3: Condiciones para el consentimiento ↩

  16. RGPD, artículos 13 y 14: Información que deberá facilitarse ↩

  17. RGPD, artículo 15: Derecho de acceso del interesado ↩

  18. RGPD, artículo 16: Derecho de rectificación ↩

  19. RGPD, artículo 17: Derecho de supresión ↩

  20. RGPD, artículo 18: Derecho a la limitación del tratamiento ↩

  21. RGPD, artículo 20: Derecho a la portabilidad de los datos ↩

  22. RGPD, artículo 21: Derecho de oposición ↩

  23. RGPD, artículo 22: Decisiones individuales automatizadas ↩

  24. RGPD, artículo 77: Derecho a presentar una reclamación ↩

  25. RGPD, artículo 79: Derecho a la tutela judicial efectiva ↩

  26. RGPD, artículo 80: Representación de los interesados ↩

  27. RGPD, artículo 82: Derecho a indemnización y responsabilidad ↩

  28. RGPD, artículo 34, apartado 1: Comunicación al interesado ↩

  29. RGPD, artículo 44: Principio general de las transferencias ↩

  30. RGPD, artículo 45: Transferencias basadas en una decisión de adecuación ↩

  31. Comisión Europea: adecuación para países no pertenecientes a la UE (en inglés) ↩

  32. RGPD, artículo 46: Transferencias mediante garantías adecuadas ↩

  33. RGPD, artículo 49: Excepciones para situaciones específicas ↩

  34. Consejo de la UE, documento 14756/26: mandato de negociación con el Parlamento Europeo, 22 de octubre de 2026 (en inglés) ↩

  35. Consejo de la UE, comunicado del 21 de octubre de 2026 (en inglés) ↩

  36. Observatorio Legislativo del Parlamento Europeo: procedimiento 2025/0360(COD) (en inglés) ↩