Qué es la LOPD y qué relación tiene con el RGPD
La LOPD actual es la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales (LOPDGDD), en vigor desde diciembre de 2018. No sustituye al RGPD: lo complementa y lo precisa en lo que la norma europea deja margen a cada país.
El Reglamento (UE) 2016/679 se aplica directamente en toda la Unión desde mayo de 2018. En la práctica, las obligaciones de fondo salen del RGPD y la LOPDGDD añade los detalles españoles: edades de consentimiento, régimen de infracciones, derechos digitales y el funcionamiento de la AEPD.
A quién obliga
A cualquier organización que trate datos personales: nombres, correos, nóminas, teléfonos, direcciones IP o imágenes de cámaras. Da igual el tamaño: un autónomo con una lista de clientes está dentro, y una filial con cincuenta empleados también.
El RGPD tiene alcance extraterritorial: si tu empresa no está en la UE pero ofrece servicios a personas de la UE, le aplica igualmente. Para una pyme española que abre filial en Portugal o Alemania, cada sociedad es responsable independiente de sus propios tratamientos, aunque compartan marca y dirección.
Las obligaciones que de verdad importan
No necesitas montar un departamento de cumplimiento para empezar: la mayoría de pymes cumplen con un registro sencillo, contratos con proveedores y políticas claras. El error común es pagar por un informe de consultora y no hacer lo básico.
Key points
- Registro de actividades de tratamiento: inventario de qué datos tratas, para qué y con qué base legal
- Información a los interesados: explicar de forma clara qué se hace con sus datos, en las cláusulas de privacidad
- Base de legitimación: consentimiento, contrato, obligación legal o interés legítimo, nunca un "por si acaso"
- Encargados de tratamiento: contrato con quien trate datos por tu cuenta, como gestorías, nóminas, hosting o email marketing
- Medidas de seguridad proporcionadas al riesgo: cifrado, control de accesos, gestión de contraseñas
- Brechas de seguridad: notificar a la autoridad en 72 horas si hay riesgo para las personas, y a los afectados si el riesgo es alto
El delegado de protección de datos
El DPO solo es obligatorio en casos concretos: administraciones públicas, tratamientos a gran escala de categorías especiales de datos o seguimiento sistemático a gran escala de personas. Una pyme normal con clientes y empleados no lo necesita.
La LOPDGDD amplía la obligación a ciertos sectores regulados, como los centros que tratan datos de salud, pero la regla general para la empresa media es que no hace falta. Si te lo piden, es porque el tratamiento tiene una escala o una sensibilidad concreta.
Sanciones y cómo evitarlas
Las multas del RGPD llegan hasta 20 millones de euros o el 4% del volumen de negocio anual global, lo que sea mayor. En España, la AEPD gradúa las infracciones de la LOPDGDD en leves, graves y muy graves, con cuantías que van de unos pocos miles de euros hasta ese tope de 20 millones.
La mayoría de expedientes contra pymes acaban en cifras mucho menores, pero el coste real suele estar en la gestión del incidente y en la noticia. Las sanciones se mitigan reconociendo el incumplimiento, corrigiéndolo y cooperando con la autoridad.
