--- type: concepto_politico canonical: https://www.politicaelectoral.com/es/europa/conceptos-politicos/rgpd name: "RGPD: qué obliga, qué derechos da y qué multas impone" categoria: ley siglas: RGPD ano_creacion: 2016 fuentes: - https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking - https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location - https://www.edpb.europa.eu/news/news/2023/12-billion-euro-fine-facebook-result-edpb-binding-decision_en - https://noyb.eu/en/digital-omnibus-eu-dpas-reject-many-proposed-changes-gdpr - https://www.ismsforum.es/ficheros/descargas/informe-de-sanciones-20261770735613.pdf - https://documentos.fedea.net/pubs/ap/2026/ap2026-02.pdf country: europa lang: es updated_at: 2026-11-04T16:35:16 --- El **RGPD** (Reglamento General de Protección de Datos, Reglamento (UE) 2016/679; en inglés, GDPR) es la ley europea que dice qué puede hacer cualquier empresa, administración o asociación con los datos de una persona: su nombre, su correo, su localización o su cara. Se aplica desde el 25 de mayo de 2018 en los 27 países de la UE y en Islandia, Noruega y Liechtenstein, y alcanza a cualquier organización del mundo que ofrezca servicios a residentes europeos o vigile su comportamiento. En España lo completa la [Ley Orgánica 3/2018](https://www.politicaelectoral.com/es/espana/conceptos-politicos/ley-organica-3-2018-proteccion-datos.md) y lo vigila la [Agencia Española de Protección de Datos](https://www.politicaelectoral.com/es/espana/instituciones/aepd.md) (AEPD). Obliga a tener un motivo legal para cada uso de datos, a explicar qué se hace con ellos y a protegerlos; da a cada persona el derecho a saber qué datos tienen de ella, corregirlos, borrarlos, llevárselos a otro proveedor y oponerse a que una máquina decida sobre ella; y multa con hasta 20 millones de euros o el 4 % de la facturación mundial. Importa ahora porque 2026 ha traído las mayores sanciones desde la de Meta (825 millones a Uber, 403 a Google), porque la [Comisión Europea](https://www.politicaelectoral.com/es/europa/instituciones/comision-europea.md) propone recortarlo con el «ómnibus digital» y porque el marco que permite enviar datos a Estados Unidos vuelve a estar ante el [Tribunal de Justicia](https://www.politicaelectoral.com/es/europa/instituciones/tribunal-de-justicia.md). ## Qué obliga: principios, bases jurídicas y deberes El reglamento arranca con siete principios (artículo 5): licitud y transparencia, limitación de la finalidad (los datos se usan para lo que se recogieron), minimización, exactitud, conservación limitada, seguridad y «responsabilidad proactiva»: la empresa debe poder demostrar que cumple, no esperar a que la pillen. Todo tratamiento necesita una de las seis **bases jurídicas** del artículo 6: el consentimiento, un contrato (la tienda necesita la dirección para enviar el pedido), una obligación legal (el banco conserva datos por la normativa antiblanqueo), los intereses vitales, una misión de interés público o el «interés legítimo» de la empresa, ponderado frente a los derechos de la persona. Los datos de salud, ideología, religión, afiliación sindical, orientación sexual, biometría y origen étnico son «categorías especiales» (artículo 9), prohibidas salvo excepciones tasadas. De ahí salen los deberes prácticos: informar al recoger los datos, llevar un registro de actividades, hacer una evaluación de impacto antes de un tratamiento de alto riesgo (artículo 35: Aena pagó 10 millones de euros en 2025 por probar reconocimiento facial en aeropuertos sin hacerla), privacidad por defecto, notificar las brechas a la autoridad en 72 horas y nombrar un delegado de protección de datos cuando el tratamiento es masivo o sensible. ## Qué derechos da | Derecho | Artículo | Qué permite | Ejemplo real | |---|---|---|---| | Acceso | 15 | Saber qué datos tiene una organización, para qué y a quién los cede | Pedir a un banco todo lo que guarda de un cliente | | Rectificación | 16 | Corregir datos inexactos | Un fichero de morosos con una deuda ya pagada | | Supresión («olvido») | 17 | Borrar los datos cuando ya no son necesarios | Google desindexa resultados irrelevantes sobre una persona (sentencia Google Spain, 2014) | | Portabilidad | 20 | Recibir los datos en formato legible por máquina y pasarlos a otro proveedor | Cambiar de banco llevándose el historial | | Oposición | 21 | Negarse al tratamiento, siempre en marketing directo | Darse de baja de llamadas comerciales (Vodafone, 8,15 millones de multa en 2021) | | No ser objeto de decisiones automatizadas | 22 | Que una decisión con efectos jurídicos la revise una persona | Uber desactivaba conductores por algoritmo: 825 millones de multa en 2026 | Fuente: Reglamento (UE) 2016/679, capítulo III; resoluciones de la AEPD (2021) y de la Autoriteit Persoonsgegevens neerlandesa (21 de agosto de 2026). La empresa tiene un mes para responder, gratis. Si no contesta, la reclamación va a la AEPD, que en 2025 recibió 30.931, un 64 % más que en 2024 según su memoria. ## Consentimiento y cookies El consentimiento del RGPD es exigente: libre, específico, informado e inequívoco, tan fácil de retirar como de dar y nunca por una casilla premarcada. Por eso cayó el modelo de dar por consentido el perfilado publicitario al aceptar las condiciones: la autoridad irlandesa multó a Meta con 390 millones en enero de 2023 por apoyar la publicidad personalizada en el «contrato», y la alternativa «paga o consiente» le costó otros 200 millones en abril de 2025 bajo la [Ley de Mercados Digitales](https://www.politicaelectoral.com/es/europa/conceptos-politicos/dsa-y-dma.md). Las cookies las regula la Directiva ePrivacy de 2002 (en España, el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información), pero el consentimiento que exigen es el del RGPD, y la guía de la AEPD obliga desde enero de 2024 a que rechazar sea tan fácil como aceptar. La «fatiga del consentimiento» es uno de los argumentos de la Comisión para su reforma. ## Las multas: hasta el 4 % de la facturación El artículo 83 fija dos escalones: hasta 10 millones de euros o el 2 % de la facturación mundial por fallos de organización, y hasta 20 millones o el 4 % por violar los principios, las bases jurídicas, los derechos o las transferencias. Sanciona la autoridad del país de la sede europea (la «ventanilla única»), por lo que Irlanda, sede de Meta, Google, TikTok y LinkedIn, concentra las mayores. | Empresa | Multa | Autoridad y fecha | Motivo | |---|---|---|---| | Meta (Facebook) | 1.200 millones € | Irlanda, mayo de 2023 | Seguir enviando datos de usuarios europeos a Estados Unidos tras la sentencia Schrems II | | Uber | 825 millones € | Países Bajos, agosto de 2026 | Desactivar conductores por decisiones totalmente automatizadas (2018-2022) e informar mal del perfilado; recurrida | | Amazon | 746 millones € | Luxemburgo, julio de 2021 | Publicidad personalizada sin consentimiento válido | | TikTok | 530 millones € | Irlanda, mayo de 2025 | Transferencias de datos de usuarios europeos a China y falta de transparencia; recurrida | | Google | 403 millones € | Irlanda, septiembre de 2026 | Datos de localización (historial de ubicaciones y actividad web) sin base lícita ni transparencia; seis meses para corregirlo | | Meta (Facebook e Instagram) | 390 millones € | Irlanda, enero de 2023 | Publicidad personalizada apoyada en el «contrato» | | LinkedIn | 310 millones € | Irlanda, octubre de 2024 | Publicidad conductual sin base jurídica | | Uber | 290 millones € | Países Bajos, agosto de 2024 | Transferencias de datos de conductores a Estados Unidos; recurrida | Fuente: Data Protection Commission (Irlanda), Autoriteit Persoonsgegevens (Países Bajos), tablón de noticias del Comité Europeo de Protección de Datos e «Informe de sanciones en RGPD 2025» de ISMS Forum. En España el modelo es otro: muchas multas de cuantía moderada. La AEPD es la autoridad que más sanciones ha impuesto en la UE desde 2018, más de 3.000 por 164 millones de euros según el recuento de ISMS Forum. En 2025 el importe anual batió su récord, 48,1 millones según la memoria de la Agencia, y los expedientes por brechas pasaron de 30 a 77. Las mayores de la historia son las de Aena (10,04 millones, 2025), Google (10 millones, 2022, por ceder datos a terceros y dificultar el derecho al olvido), Vodafone (8,15 millones, 2021, llamadas comerciales a quien se había dado de baja), Endesa (6,1 millones, 2023, una brecha mal notificada), CaixaBank (6 millones, 2021) y BBVA (5 millones, 2020), estas dos por tratar datos sin informar con claridad. ## Transferencias a Estados Unidos: la saga Schrems Los datos solo pueden salir de la UE hacia países con protección «adecuada» o con garantías contractuales. El problema con Estados Unidos es la vigilancia de sus agencias: el Tribunal de Justicia anuló en 2015 el acuerdo Safe Harbour (sentencia Schrems I, por la denuncia del austriaco Max Schrems contra Facebook) y en julio de 2020 el Privacy Shield (Schrems II). La multa de 1.200 millones a Meta fue por seguir transfiriendo con cláusulas tipo que el tribunal había dicho que no bastaban. El tercer intento es el Marco de Privacidad de Datos (DPF), que la Comisión aprobó el 10 de julio de 2023 sobre una orden ejecutiva del presidente Biden que limita la vigilancia y crea un tribunal de revisión. El diputado francés Philippe Latombe lo recurrió; el Tribunal General lo desestimó el 3 de septiembre de 2025 (asunto T-553/23) y Latombe apeló al Tribunal de Justicia el 31 de octubre de 2025 (C-703/25 P), recurso pendiente a noviembre de 2026. El fondo no es solo jurídico: la Administración de [Donald Trump](https://www.politicaelectoral.com/es/eeuu/politicos/donald-trump.md) destituyó en enero de 2025 a tres de los cinco miembros del PCLOB, el organismo independiente que vigila el sistema de recurso, y noyb, la organización de Schrems, sostiene que el marco debería caer como los dos anteriores. ## El «ómnibus digital» y sus críticos El 19 de noviembre de 2025 la Comisión presentó el paquete ómnibus digital (procedimiento 2025/0360(COD)), su primera reforma del RGPD. Propone que un dato deje de ser «personal» para quien no tenga medios razonables de identificar a la persona, lo que saca del reglamento muchos datos seudonimizados; que el entrenamiento de inteligencia artificial pueda apoyarse en el interés legítimo; que el derecho de acceso pueda negarse cuando se usa para fines ajenos a la protección de datos (preparar un pleito laboral, por ejemplo); ampliar de 72 a 96 horas el plazo de notificación de brechas; y reducir las ventanas de cookies. La Comisión calcula un ahorro de al menos 6.000 millones de euros hasta 2029, según Fedea. Los supervisores se han opuesto a lo esencial: el Comité Europeo de Protección de Datos y el Supervisor Europeo emitieron el 11 de febrero de 2026 un dictamen conjunto que rechaza estrechar la definición de dato personal («va mucho más allá de una modificación puntual») y avisa de que limitar el acceso choca con la jurisprudencia del Tribunal. Schrems resume la crítica: no son «cambios técnicos ni simplificación, sino limitaciones del derecho a la protección de datos». Desde el otro lado, Judith Arnal (Fedea, enero de 2026) defiende que el paquete es «necesario e insuficiente»: necesario porque la inseguridad jurídica sobre la IA perjudica a las empresas europeas, insuficiente porque no toca la fragmentación entre 27 autoridades. Miguel Recio, presidente de la asociación de profesionales de la privacidad APEP, escribía en El Español (julio de 2026) que «la simplificación no puede erosionar los derechos de las personas». A noviembre de 2026 el expediente sigue en primera lectura en el [Parlamento Europeo](https://www.politicaelectoral.com/es/europa/instituciones/parlamento-europeo.md), donde noyb contaba más de mil enmiendas en octubre, sin fecha de votación. La parte de inteligencia artificial va por separado y más rápido: el acuerdo provisional del 7 de mayo de 2026 retrasa las obligaciones de alto riesgo a diciembre de 2027 y agosto de 2028. Con sentido común: el RGPD ha dado a los europeos derechos que ningún otro bloque tiene y ha obligado a las plataformas a cambiar de modelo de negocio, pero su coste lo pagan sobre todo las pymes. La discusión real no es si simplificar, sino si la simplificación recorta derechos (la definición de dato personal, el acceso) o solo trámites (las brechas, las cookies). ## América Latina: leyes hijas del RGPD El modelo europeo se ha copiado en buena parte de la región. Brasil aprobó en 2018 la Ley General de Protección de Datos (LGPD), en vigor desde 2020, con autoridad propia (ANPD) y multas de hasta el 2 % de la facturación local. Argentina tiene desde 2000 la Ley 25.326 y es, con Uruguay, el único país latinoamericano al que la UE reconoce protección «adecuada». Chile sustituyó su ley de 1999 por la Ley 21.719, publicada en diciembre de 2024, que crea una Agencia de Protección de Datos Personales; debía aplicarse desde diciembre de 2026, pero el Gobierno propuso en septiembre de 2026 retrasarla al 1 de diciembre de 2027 (Ministerio de Economía), proyecto aún en trámite. Colombia aplica la Ley 1581 de 2012 a través de la Superintendencia de Industria y Comercio, y México estrenó en marzo de 2025 una nueva ley tras suprimir el INAI, su organismo autónomo, y pasar la supervisión a una secretaría del Gobierno federal, un cambio que las organizaciones Artículo 19 y Fundar calificaron de «grave retroceso». ## Preguntas frecuentes **¿A quién obliga el RGPD?** A cualquier organización que trate datos de personas residentes en la UE, esté donde esté, salvo el uso doméstico y la seguridad nacional. **¿Cuál es la multa máxima del RGPD?** Veinte millones de euros o el 4 % de la facturación mundial anual, la cifra que sea mayor. **¿Cuál ha sido la mayor multa del RGPD?** Los 1.200 millones de euros a Meta en mayo de 2023 por transferir datos a Estados Unidos; la segunda, 825 millones a Uber en 2026. **¿Qué diferencia hay entre el RGPD y la LOPDGDD?** El RGPD es el reglamento europeo, directamente aplicable; la Ley Orgánica 3/2018 lo adapta en España y añade derechos digitales. **¿Se puede enviar datos a Estados Unidos?** Sí, bajo el Marco de Privacidad de Datos de 2023, vigente mientras el Tribunal de Justicia resuelve el recurso de Latombe.