El RGPD, Reglamento (UE) 2016/679 (GDPR en inglés), es la norma europea de protección de datos personales: regula cómo las organizaciones recogen, usan, conservan y comparten datos de personas físicas y da a esas personas derechos sobre ellos. Se aplica desde el 25 de mayo de 2018. Exige un delegado de protección de datos (DPO) solo en algunos casos.
Esta ficha es información general y no constituye asesoramiento jurídico. Verificada el 15 de octubre de 2026 contra el Reglamento en el Diario Oficial de la UE (copia del BOE), la Ley Orgánica 3/2018 en el BOE (última actualización publicada el 27 de diciembre de 2025) y la página de la AEPD sobre el DPO.
Cómo funciona
Todo tratamiento debe respetar los principios del artículo 5 (licitud, finalidad determinada, minimización, exactitud, conservación limitada, seguridad), tener una base jurídica y respetar derechos como acceso, rectificación, supresión u oposición.
La organización debe poder demostrar lo que hace: saber qué datos trata y para qué, formalizar con cada encargado un contrato u otro acto jurídico y aplicar medidas técnicas y organizativas adecuadas al riesgo. El responsable notifica las violaciones de la seguridad de los datos personales a la autoridad sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia, salvo que sea improbable que entrañen un riesgo para los derechos y libertades de las personas; el encargado debe avisarle sin dilación. Si es probable que entrañen un alto riesgo, también se comunica a las personas afectadas, con excepciones (por ejemplo, si los datos estaban cifrados).
Delegado de protección de datos (DPO)
El artículo 37 obliga a designarlo cuando trata datos un organismo público (salvo los tribunales en su función judicial), cuando la actividad principal exige una observación habitual y sistemática de personas a gran escala o cuando consiste en tratar a gran escala categorías especiales de datos o datos penales. El Derecho de la UE o nacional puede exigirlo en otros casos: la ley española lo hace en su artículo 34 (por ejemplo, centros docentes, entidades de crédito o aseguradoras). En los demás casos es voluntario.
El DPO asesora, supervisa el cumplimiento y coopera con la autoridad, con independencia.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una tienda online pierde un portátil con clientes sin cifrar. Documenta qué datos había y valora si es probable que haya riesgo para las personas: si lo hay, notifica a la autoridad en plazo y, si es alto, a las personas; si no, deja constancia de la valoración. El cifrado y las copias se preparan antes.
Límites
Cumplir el RGPD no consiste en publicar una política ni en comprar una herramienta. El DPO asesora y supervisa, pero cumplir y demostrarlo sigue siendo responsabilidad de la organización (artículo 24).
Cuándo llamar a un experto
Pide ayuda si no sabes si debes designar un DPO, o si sufres una violación de seguridad y el plazo corre. Para interpretar la norma en tu caso, consulta a un profesional del derecho o a un DPO cualificado.
En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: revisamos accesos, cifrado y copias de seguridad, aplicamos los controles técnicos que falten y formamos al equipo. No prestamos asesoramiento jurídico; nuestro trabajo es técnico y formativo. Consulta nuestro servicio de ciberseguridad, la guía del plan de seguridad informática o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: DLP, NIS2 y ISO 27001.
Fuentes oficiales: el Reglamento (UE) 2016/679 en el Diario Oficial (copia del BOE), la Ley Orgánica 3/2018 y la página de la AEPD sobre el delegado de protección de datos.