GDPR / RGPD: Reglamento General de Protección de Datos
Desde 2018, el marco de referencia para la protección de datos en la UE — con registro de actividades de tratamiento, obligación de notificación de violaciones de datos en un plazo de 72 horas, amplios derechos de los interesados y multas de hasta el 4 % de la facturación anual mundial.
El pilar más antiguo, pero aún central, del panorama de compliance de la UE.
El Reglamento (UE) 2016/679 («RGPD»/«GDPR») regula el tratamiento de datos personales de manera uniforme en toda la UE y se aplica directamente en todos los Estados miembros — para prácticamente cualquier organización que trate datos personales de personas en la UE, independientemente de su propia sede.
Los pilares centrales son el registro de actividades de tratamiento (Records of Processing Activities, ROPA, Art. 30), la evaluación de impacto relativa a la protección de datos (DPIA, Art. 35) en caso de riesgo probablemente alto, amplios derechos de los interesados (entre otros, acceso, supresión, portabilidad de datos) y medidas técnicas y organizativas (MTO, Art. 32).
En comparación con NIS2, DORA y el AI Act, el RGPD es plenamente aplicable desde 2018 y se concreta principalmente mediante directrices del Comité Europeo de Protección de Datos (CEPD) y de las autoridades de supervisión nacionales (en Austria: la Datenschutzbehörde, DSB).
Plazos importantes
El RGPD entra en vigor
El Reglamento (UE) 2016/679 se publica en el Diario Oficial; período transitorio de dos años hasta la plena aplicabilidad.
El RGPD es plenamente aplicable
Art. 99 apdo. 2: inicio de aplicación del reglamento en toda la UE — vigente hasta hoy, sin períodos transitorios adicionales.
Notificación de violaciones de la seguridad de los datos
Art. 33 apdo. 1: notificación a la autoridad de supervisión «sin dilación indebida y, de ser posible, a más tardar 72 horas» tras haber tenido constancia de la violación.
Hasta 20 millones de € o el 4 % de la facturación anual mundial
Art. 83 apdo. 5 (infracciones más graves, entre otras, principios básicos, derechos de los interesados); el Art. 83 apdo. 4 prevé para otras infracciones — entre otras, determinadas violaciones de la obligación de notificación — un marco inferior de hasta 10 millones de € / 2 %.
Qué exige el RGPD en concreto.
Registro de actividades de tratamiento (ROPA, Art. 30)
Documentación de todas las actividades de tratamiento de datos personales — finalidades, categorías, destinatarios, plazos de supresión, referencias a las MTO.
Evaluación de impacto relativa a la protección de datos (DPIA, Art. 35)
En caso de riesgo probablemente alto para los interesados: evaluación estructurada del riesgo, la necesidad y la proporcionalidad del tratamiento antes de su inicio.
Obligación de notificación en caso de violaciones de datos
Notificación a la autoridad de supervisión en un plazo de 72 horas (Art. 33), y en caso de alto riesgo, notificación adicional a los interesados (Art. 34).
Derechos de los interesados (DSAR)
Acceso, rectificación, supresión, limitación, portabilidad de datos y oposición — que en principio deben atenderse en el plazo de un mes (Art. 12 apdo. 3).
ROPA, DPIA y DSAR — conectados sin fisuras con ISO 27001.
El Framework Pack GDPR de ReportAct mantiene un registro de actividades de tratamiento conforme al Art. 30, respalda las evaluaciones de impacto relativas a la protección de datos conforme al Art. 35 con borrador asistido por IA, y ofrece una bandeja de entrada DSAR pública para solicitudes de los interesados (/dsar/[slug]).
La evaluación de las MTO conforme al Art. 32 está directamente vinculada al catálogo de controles de ISO/IEC 27001 — las medidas técnicas y organizativas no necesitan documentarse por duplicado.
En caso de una violación de datos sujeta a notificación, la cadena de evidencia sellada aporta la prueba de qué medida estaba vigente y cuándo — relevante para el plazo de 72 horas y la obligación de documentación conforme al Art. 33 apdo. 5.
Declaración de producto/posicionamiento, no constituye asesoramiento jurídico.
Consulte directamente
ReportAct no es una empresa de consultoría. Esta página no sustituye el asesoramiento jurídico. El marco de multas conforme al Art. 83 es de dos niveles: el Art. 83 apdo. 4 (hasta 10 millones de € / 2 %) y el Art. 83 apdo. 5 (hasta 20 millones de € / 4 %) se aplican a distintos tipos de infracciones — qué marco se aplica en cada caso depende de la infracción concreta. Se aplican nuestras Condiciones Generales.
ROPA, DPIA, DSAR — sellados, no solo declarados.
Empiece de inmediato con su registro de actividades de tratamiento — incluyendo bandeja de entrada DSAR y evaluación de MTO.