Formación Empresarial en Cumplimiento
Certificación Práctica de Cumplimiento del RGPD
Fortalezca la gobernanza de privacidad y prepare equipos para las exigencias europeas.
Si su empresa opera en España —o gestiona datos personales de personas en España—, no tiene una sola ley de protección de datos que cumplir. Tiene dos.
El Reglamento General de Protección de Datos de la UE, universalmente conocido como GDPR, establece la base que se aplica en los 27 estados miembros de la UE. Pero España ha superpuesto su propia ley nacional: la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales — la LOPDGDD.
Estas dos leyes no se reemplazan mutuamente. Trabajan en paralelo. El GDPR no puede entenderse en España sin la LOPDGDD, y la LOPDGDD no puede aplicarse correctamente sin saber dónde termina el GDPR y comienzan las normas nacionales de España.
Para la mayoría de las empresas, este marco dual es el aspecto más confuso del cumplimiento de la protección de datos en España. Las empresas que se centran solo en el GDPR pasan por alto obligaciones específicas de España que la AEPD aplica activamente. Las empresas que creen que la LOPDGDD reemplaza al GDPR malinterpretan completamente la arquitectura.
Esta guía aclara esa confusión. Explica qué es cada ley, cómo interactúan, en qué se diferencian de manera relevante para su negocio y cómo se ve el cumplimiento de ambas en la práctica en 2026.
Para una visión más amplia de lo que el GDPR exige a todas las empresas que operan en España, consulte nuestra guía principal: Cumplimiento del GDPR de la UE para empresas: La guía completa (2026).
Comprendiendo la Arquitectura: Por qué Existen Dos Leyes
El GDPR entró en vigor el 25 de mayo de 2018 como un reglamento de la UE directamente aplicable. Esto significa que no requiere una ley nacional para darle efecto —automáticamente se convirtió en ley en todos los estados miembros de la UE el mismo día, con el mismo texto. Todas las empresas en todos los países de la UE están sujetas al GDPR exactamente de la misma manera.
Sin embargo, el GDPR no es un código completo. Deliberadamente deja ciertas áreas abiertas a la discreción nacional —momentos en los que dice, en efecto, "los estados miembros pueden establecer sus propias normas sobre esto". Estas aperturas se conocen como "derogaciones" y "especificaciones" del GDPR.
La LOPDGDD, promulgada en España el 6 de diciembre de 2018, es la respuesta de España a esas aperturas. Hace tres cosas simultáneamente:
Adapta el GDPR al contexto legal español — rellenando áreas donde el GDPR permite la personalización nacional, como la edad mínima de consentimiento digital y los sectores con DPO obligatorio.
Complementa el GDPR con obligaciones específicas de España — añadiendo normas que van más allá de lo que exige el GDPR, destacando el amplio marco de derechos digitales en el Título X.
Especifica cómo se aplican los principios generales del GDPR en contextos españoles particulares — incluyendo videovigilancia, sistemas de información crediticia, canales de denuncia y secreto profesional.
El resultado es un marco donde el GDPR siempre se aplica como base, y la LOPDGDD eleva esa base o añade habitaciones nuevas al edificio por completo.
Una aclaración importante: la LOPDGDD no derogó ni reemplazó la anterior ley de protección de datos de España, la LOPD de 1999. Reemplazó esa ley mientras implementaba simultáneamente el GDPR en el sistema legal español. Este contexto histórico es importante porque algunas documentaciones de cumplimiento más antiguas en empresas españolas todavía hacen referencia a la LOPD de 1999 —que ha sido derogada y ya no está operativa.Donde el GDPR y la LOPDGDD están Alineados
La gran mayoría de lo que dice la LOPDGDD se alinea directamente con el GDPR. Los siete principios fundamentales de protección de datos —licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad— son los mismos en ambas leyes. Las seis bases jurídicas para el tratamiento de datos personales son las mismas. El marco para los derechos del interesado —acceso, rectificación, supresión, limitación, portabilidad y oposición— es el mismo.
La AEPD, como autoridad supervisora de España, aplica ambos marcos simultáneamente. No realiza investigaciones separadas por infracciones del GDPR e infracciones de la LOPDGDD; se evalúan conjuntamente en un único proceso de aplicación. Una multa de la AEPD se enmarca típicamente como una infracción de un artículo específico del GDPR, aunque también se pueden citar disposiciones de la LOPDGDD.
La estructura de las multas también está unificada. Las sanciones máximas bajo ambas leyes son las mismas: hasta 20 millones de euros o el 4% de la facturación global anual total para las infracciones más graves, y hasta 10 millones de euros o el 2% de la facturación global anual total para las menos graves. La LOPDGDD de España clasifica las infracciones como leves, graves o muy graves, con plazos de prescripción de uno, dos y tres años respectivamente —una estructura escalonada que complementa la propia categorización del GDPR.
Donde la LOPDGDD va más allá: Las principales diferencias
Aquí es donde el cumplimiento español se vuelve más exigente que el marco de referencia de la UE —y donde la mayoría de las brechas de cumplimiento existen para las empresas que operan en España.
1. La Edad de Consentimiento Digital: 14, No 16
El GDPR establece la edad mínima predeterminada en la que un niño puede dar su consentimiento válido para servicios digitales en 16 años, permitiendo a los estados miembros reducirla a un mínimo de 13 años. España la fijó en 14 años.
Esto significa que cualquier servicio digital que recopile datos personales de usuarios en España debe tratar a cualquier persona menor de 14 años como un niño que requiere el consentimiento de los padres o tutores —no 16 como en muchos otros países de la UE y no 13 como permitiría el GDPR.
Las implicaciones prácticas son sustanciales para cualquier negocio que tenga un sitio web, una aplicación, una plataforma de comercio electrónico o un servicio digital accesible para usuarios españoles. Los formularios de registro, los mecanismos de consentimiento y los sistemas de restricción de edad deben reflejar el umbral de 14 años específicamente para España.
En febrero de 2026, esto fue significativamente más allá. El presidente del Gobierno español, Pedro Sánchez, anunció en la Cumbre Mundial de Gobiernos en Dubái que España introduciría legislación que prohibiría por completo el acceso a redes sociales para niños menores de 16 años —exigiendo a las plataformas que implementen sistemas obligatorios y robustos de verificación de edad, no simples campos de fecha de nacimiento. El proyecto de ley debe pasar por el Congreso y el Senado de España antes de convertirse en ley, esperándose su aprobación en algún momento de finales de 2026 o 2027. Pero la dirección es clara: España avanza hacia las normas de protección de menores más estrictas de la UE, y las empresas que procesan datos de usuarios jóvenes en España deben seguir activamente estos desarrollos.
2. Los Requisitos Ampliados de DPO de la LOPDGDD
Según el Artículo 37 del GDPR, se requiere un DPO para organismos públicos, organizaciones que realizan un seguimiento sistemático a gran escala y organizaciones que procesan categorías especiales de datos sensibles a gran escala.
La LOPDGDD va considerablemente más allá. El Artículo 34 exige el nombramiento de un DPO en 16 sectores específicos, independientemente del tamaño de la empresa, el número de empleados o la escala del procesamiento. Esto incluye centros educativos privados de todos los tamaños, proveedores de atención médica de cualquier escala, entidades aseguradoras y financieras, empresas de seguridad privada, empresas de publicidad e investigación de mercado que elaboran perfiles de individuos, federaciones deportivas, entidades de juego y distribuidores de energía.
Un autónomo que dirige una clínica de fisioterapia privada está legalmente obligado a nombrar un DPO según la LOPDGDD. Una academia de idiomas con tres profesores tiene la misma obligación que un hospital nacional. Esta expansión específica de España del requisito de DPO no tiene equivalente en la mayoría de los estados miembros de la UE y es una de las obligaciones de cumplimiento más comúnmente pasadas por alto entre las pymes.
Para un desglose completo de quién necesita un DPO en España y cómo nombrarlo, consulte: ¿Necesita un Delegado de Protección de Datos (DPO) en España? Las reglas acaban de cambiar para las PYMES.
3. Bloqueo de Datos: La Obligación Única de Pre-Borrado en España
Una de las diferencias operativas más significativas entre el GDPR y la LOPDGDD es el concepto de "bloqueo de datos" —una obligación que no tiene un equivalente directo en el GDPR.
Según la LOPDGDD, cuando un interesado solicita la supresión de sus datos personales, y los datos no pueden ser eliminados inmediatamente porque deben conservarse para cumplir con obligaciones legales o para hacer frente a posibles responsabilidades, la organización debe "bloquear" los datos en lugar de simplemente conservarlos.
Los datos bloqueados deben almacenarse en un estado restringido —accesibles solo para personas específicas y solo para fines legales específicos, no utilizados para ningún propósito operativo, y eliminados una vez que finalice el período de retención legal.
Esto crea una obligación técnica y procedimental que la mayoría de los programas de cumplimiento centrados en el GDPR no abordan. Las organizaciones que operan en España necesitan sistemas capaces de colocar datos en un estado restringido, rastrear qué se ha bloqueado, por qué y durante cuánto tiempo, y eliminarlos automáticamente cuando finaliza el período de bloqueo. Los sistemas de TI que se han configurado puramente según el estándar del GDPR —permitiendo la eliminación o el procesamiento continuado, sin un estado intermedio— no satisfacen la LOPDGDD.
4. Carta de Derechos Digitales de España: Título X de la LOPDGDD
Quizás la característica más distintiva de la LOPDGDD, y una sin paralelo en ninguna otra ley de protección de datos de la UE, es el Título X —una carta integral de derechos digitales que abarca los Artículos 79 al 97.
Estas disposiciones van mucho más allá de la protección de datos y se adentran en una ciudadanía digital más amplia. Para las empresas con empleados en España, varias son directamente operativas:
El Derecho a la Desconexión Digital (Artículo 88): Los empleados tanto del sector público como privado tienen un derecho legal a la desconexión digital fuera del horario laboral. Los empleadores deben adoptar una política interna escrita, desarrollada en consulta con los representantes de los empleados, que defina cómo se ejerce este derecho. Las empresas que contactan a los empleados por correo electrónico, aplicaciones de mensajería o teléfono fuera del horario laboral sin una política de desconexión conforme incumplen la LOPDGDD.
Privacidad en Dispositivos Digitales en el Trabajo (Artículo 87): Los empleadores pueden establecer directrices de uso para el uso personal de dispositivos digitales proporcionados por el trabajo, pero deben informar a los empleados de estas directrices con antelación. El acceso al contenido de los dispositivos de trabajo para fines de monitoreo debe respetar la dignidad de los empleados y el principio de proporcionalidad.
Videovigilancia y Grabación de Audio en el Trabajo (Artículo 89): Las cámaras solo pueden usarse para fines de seguridad en el lugar de trabajo y deben estar claramente señalizadas. Fundamentalmente, la LOPDGDD prohíbe la grabación de audio con sistemas de videovigilancia en el lugar de trabajo —una regla que no tiene equivalente en el GDPR y es frecuentemente violada por empresas que instalan equipos de CCTV estándar sin ajustar la configuración de grabación de audio. La grabación encubierta está prohibida excepto en circunstancias estrechas y específicamente definidas.
Geolocalización de Trabajadores (Artículo 90): Cualquier uso de sistemas de geolocalización —incluido el seguimiento de vehículos— debe comunicarse a los trabajadores con antelación. Esto se aplica ya sea que el dispositivo sea un vehículo de la empresa, un teléfono de la empresa o cualquier otro sistema de seguimiento.
IA y Toma de Decisiones Algorítmicas en el Trabajo (Artículo 22 LOPDGDD): Los trabajadores y sus representantes deben ser informados de cualquier herramienta algorítmica o basada en IA que afecte las decisiones de empleo —incluidos los sistemas de evaluación del rendimiento, los algoritmos de programación y las herramientas de monitoreo de la productividad.
A partir de enero de 2026, España también introdujo el registro horario digital obligatorio. El horario de trabajo diario ahora debe registrarse a través de sistemas digitales a prueba de manipulaciones. Las hojas de tiempo manuales que se pueden editar retroactivamente sin un rastro de auditoría ya no cumplen con los requisitos laborales y de protección de datos españoles. Los inspectores laborales ahora pueden exigir acceso instantáneo a los registros digitales que prueban las horas de inicio y fin de los empleados.
5. Datos de Personas Fallecidas
El GDPR explícitamente no se aplica a las personas fallecidas —el Considerando 27 lo establece claramente, dejando el asunto a la legislación nacional. La LOPDGDD llena este vacío a través de los Artículos 3 y 96.
El Artículo 3 permite a los familiares y herederos de una persona fallecida solicitar el acceso, la rectificación o la supresión de los datos personales del fallecido —sujeto a las instrucciones contrarias que el fallecido haya dejado en vida. El Artículo 96 introduce el concepto de "voluntad digital" —las personas pueden designar instrucciones sobre lo que sucede con sus cuentas digitales y su presencia en línea después de la muerte, incluidos perfiles de redes sociales, cuentas de correo electrónico y datos almacenados en la nube. Los herederos pueden ejercer los derechos de acceso, supresión o rectificación a menos que el fallecido lo haya prohibido explícitamente.
Para las empresas que manejan datos de clientes o usuarios, esto significa que una solicitud de derechos del interesado puede provenir legítimamente de un familiar de una persona fallecida —y debe manejarse en consecuencia.
6. Informes de Crédito y Deudas: Las Reglas de los "Ficheros de Morosos"
La LOPDGDD establece normas específicas para la inclusión de personas en los registros de impagos de crédito —los llamados ficheros de morosos o ficheros de solvencia. Estas normas van más allá del marco general del GDPR:
La deuda debe ser cierta, vencida y exigible —las deudas impugnadas no pueden ser reportadas. El importe mínimo que se puede reportar es de 50 € —las deudas por debajo de este umbral no pueden incluirse en un fichero de solvencia. El acreedor debe notificar al deudor antes de incluirlo en el registro, dándole la oportunidad de impugnar o pagar la deuda. Se aplican estrictas obligaciones de exactitud, incluyendo la actualización y supresión obligatorias cuando la deuda se liquida.
Para cualquier negocio en España involucrado en crédito, cobro de deudas o servicios financieros, estas disposiciones son operativamente críticas. El incumplimiento de las mismas —particularmente el requisito de notificación previa— es una categoría de infracción que la AEPD ha aplicado directamente.
7. Partidos Políticos y Tratamiento Electoral
En una derogación que ha generado una controversia significativa desde 2018, la LOPDGDD permite a los partidos políticos utilizar datos personales de acceso público para fines de campaña electoral sin el consentimiento individual. Esto representa una desviación significativa del marco general de consentimiento e intereses legítimos del GDPR, y que el Tribunal Constitucional de España ha revisado sin anular.
Para la mayoría de las empresas, esta disposición no es directamente relevante. Pero para las organizaciones que brindan servicios de datos, consultoría política o plataformas de marketing en España, es importante conocer esta derogación específica —y sus límites.
Cómo es el Cumplimiento de Ambas Leyes en la Práctica
Dado el marco dual, una organización que cumple en España no puede depender solo de un programa de cumplimiento del GDPR. El cumplimiento de ambas leyes requiere, como mínimo, las siguientes adiciones específicas de España a un marco estándar del GDPR:
Umbral de edad de consentimiento en 14 años: Todos los mecanismos de consentimiento, flujos de registro y procesos de consentimiento parental deben reflejar el umbral español, no el predeterminado del GDPR de 16 años.
Evaluación del DPO según la lista de sectores de la LOPDGDD: Debe realizarse una evaluación de si se aplica alguna obligación de DPO obligatoria según el Artículo 34 de la LOPDGDD, junto con —no en lugar de— la evaluación del Artículo 37 del GDPR.
Capacidad de bloqueo de datos: Los sistemas de TI y los procesos de retención de datos deben ser capaces de colocar los datos en un estado restringido "bloqueado" entre la solicitud de supresión del interesado y el final del período de retención legal aplicable.
Política de desconexión digital: Cualquier empresa con empleados en España debe tener una política de desconexión digital por escrito, desarrollada en consulta con los representantes de los empleados, que defina cómo se ejerce el derecho a la desconexión en la práctica.
Auditoría de videovigilancia: Cualquier sistema de CCTV o monitoreo en el lugar de trabajo debe evaluarse según los requisitos de la LOPDGDD —señalización, limitación de la finalidad y, fundamentalmente, la grabación de audio debe deshabilitarse si no está legalmente justificada.
Notificación a los trabajadores para herramientas de IA: Si su empresa utiliza alguna IA, puntuación algorítmica o herramienta automatizada que afecte las decisiones de empleo, los empleados y sus representantes deben ser informados.
Procedimiento para personas fallecidas: Los procesos de derechos del interesado deben incluir un procedimiento para gestionar las solicitudes de los herederos o familiares de interesados fallecidos.
Procedimientos de informes de crédito: Cualquier empresa que informe deudas a los registros de crédito debe tener un proceso verificado para la notificación previa, la verificación del umbral mínimo de deuda y el mantenimiento de la exactitud.
El Riesgo Práctico de Tratarlas como Separadas
Algunas empresas manejan el RGPD y la LOPDGDD como si fueran marcos independientes, completando una auditoría del RGPD y luego tratando el cumplimiento de la LOPDGDD como un complemento opcional. Este enfoque conlleva un riesgo regulatorio real.
La AEPD aplica ambos marcos simultáneamente. No compartimenta una investigación en "problemas del RGPD" y "problemas de la LOPDGDD", sino que evalúa el panorama completo de cumplimiento de la organización. Una organización que tiene un programa RGPD técnicamente sólido pero que nunca ha abordado el requisito de desconexión digital, no tiene un proceso de bloqueo de datos, o tiene empleados en sectores con DPO obligatorio sin un DPO registrado, tiene importantes lagunas de cumplimiento, lagunas que la AEPD encontrará si investiga.
En 2024, la AEPD impuso un récord de 35,6 millones de euros en multas totales. En 2025, las notificaciones de violación de datos alcanzaron las 2.765, con más de 200 millones de personas notificadas de violaciones de alto riesgo, el doble que el año anterior. El volumen de aplicación no está disminuyendo. En todo caso, el enfoque de 2026 en la biometría, el procesamiento impulsado por la IA y la protección de menores está elevando aún más el listón.
Las empresas a las que la AEPD no multa no son las que trataron el cumplimiento como opcional. Son las que trataron ambas leyes, en conjunto, como el estándar operativo.
Un País, Dos Leyes, Cero Cumplimiento Opcional
El marco de protección de datos de España no es más complicado que el de otros países por el simple hecho de ser complejo. Refleja una elección legislativa deliberada para construir sobre la base del RGPD con derechos y protecciones que el legislador español consideró insuficientemente cubiertos a nivel de la UE, particularmente en torno a los derechos digitales en el empleo, la protección de menores y las obligaciones específicas del panorama financiero y de servicios profesionales español.
Para su negocio, la implicación práctica es sencilla. El cumplimiento del RGPD es el mínimo. La LOPDGDD eleva el listón en áreas específicas y añade obligaciones que no tienen un equivalente en el RGPD. El cumplimiento de una sin la otra no es un cumplimiento total en España, y la AEPD evalúa el panorama completo.
El curso "Cumplimiento del RGPD de la UE y Protección de Datos para Empresas" del Spanish Compliance Institute cubre ambas leyes en profundidad, desde los principios fundamentales del RGPD hasta las obligaciones específicas de la LOPDGDD que solo se aplican en España. Sus cinco módulos estructurados incluyen todo, desde los derechos de los interesados y el procesamiento lícito hasta la evaluación avanzada de riesgos, los derechos digitales en el lugar de trabajo y el cumplimiento específico del sector. El curso incluye 18 plantillas descargables diseñadas para el entorno regulatorio español.
También en esta serie:
- Cumplimiento del RGPD de la UE para Empresas: La Guía Completa (2026)
- Por qué España impone más multas de RGPD que casi cualquier otro país de la UE
- RGPD y la AEPD de España: Lo que toda empresa necesita saber sobre la Autoridad Española de Protección de Datos
- ¿Qué sucede si recibe una multa de RGPD en España? Un desglose paso a paso
- Reglas de consentimiento del RGPD en 2026: Lo que las empresas españolas deben actualizar ahora
- Responsável pela Proteção de Dados na Espanha: Quem Precisa de um DPO (Guia 2026)
- Cómo manejar una violación de datos del RGPD como empresa en España: La regla de las 72 horas explicada
- ¿Transfiere datos de clientes fuera de la UE? Lo que las empresas españolas necesitan saber en 2026
Frequently Asked Questions
01
What is the LOPDGDD and how does it relate to GDPR?
+
02
Which law takes precedence in Spain — GDPR or the LOPDGDD?
+
03
What is the main difference between GDPR and the LOPDGDD for businesses?
+
04
Does the LOPDGDD apply to non-Spanish companies?
+
05
What is "data blocking" under the LOPDGDD?
+
06
Does my business need a digital disconnection policy if I have employees in Spain?
+
07
Can I use audio recording in my workplace CCTV system in Spain?
+
08
What happens to a deceased customer's data under Spanish law?
+
09
Are the fine structures under GDPR and the LOPDGDD the same?
+
10
Should I have separate GDPR and LOPDGDD compliance programmes?
+
