≡En resumen
- En España no hay una sola «ley de protección de datos»: se aplican juntos el RGPD europeo y la LOPDGDD, que lo concreta y añade derechos digitales.
- Todo tratamiento necesita una de las seis bases legales del artículo 6 del RGPD; el consentimiento es solo una de ellas.
- Los datos de salud son una categoría especial: una clínica necesita medidas reforzadas y, en general, un delegado de protección de datos.
- Una brecha de seguridad con riesgo para las personas se notifica a la AEPD en un máximo de 72 horas.
- Tu web necesita aviso legal, política de privacidad, formularios con información básica y un banner de cookies que permita rechazar con la misma facilidad que aceptar.
01 ¿Qué es la ley de protección de datos?
Cuando en España se habla de «la ley de protección de datos» o «la LOPD» se mezclan en realidad dos normas que se aplican a la vez. El Reglamento General de Protección de Datos (RGPD) es un reglamento europeo, directamente aplicable en todos los Estados miembros desde el 25 de mayo de 2018. La Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) adapta el RGPD al derecho español, concreta los aspectos que el reglamento deja a cada país y añade un catálogo de derechos digitales.
La antigua LOPD (Ley Orgánica 15/1999) quedó derogada con la LOPDGDD, así que cualquier cláusula o política de privacidad que todavía cite la «LOPD de 1999» o se base en su reglamento de desarrollo de 2007 está desactualizada.
02 RGPD, LOPDGDD y otras normas que debes conocer
| Norma | Qué regula | Te afecta si… |
|---|---|---|
| RGPD, Reglamento (UE) 2016/679 | Principios, bases legales, derechos, obligaciones y sanciones en toda la UE | Tratas datos de personas en la UE, aunque tu empresa esté fuera |
| LOPDGDD, Ley Orgánica 3/2018 | Adaptación española del RGPD: menores, DPD obligatorio, régimen sancionador, derechos digitales | Tratas datos en España |
| LSSI, Ley 34/2002 | Aviso legal de la web, comunicaciones comerciales electrónicas y cookies (art. 22.2) | Tienes una web, una tienda online o envías newsletters |
| Ley 41/2002, de autonomía del paciente | Historia clínica: contenido, acceso y conservación | Eres un centro o profesional sanitario |
03 Los principios de la protección de datos (art. 5 RGPD)
El artículo 5 del RGPD fija siete principios que funcionan como una lista de control: si un tratamiento incumple cualquiera de ellos, es ilícito aunque tengas el consentimiento de la persona.
Licitud, lealtad y transparencia
Tratas los datos con una base legal, sin engaños y explicando de forma clara qué haces con ellos.
Limitación de la finalidad
Recoges los datos para fines concretos y no los usas después para otros incompatibles: el teléfono de una cita no sirve para vender otro producto.
Minimización de datos
Pides solo lo necesario. Si para un presupuesto basta el email, no exijas DNI ni fecha de nacimiento.
Exactitud
Mantienes los datos al día y corriges o borras los inexactos sin demora.
Limitación del plazo de conservación
Guardas los datos solo el tiempo necesario y luego los bloqueas o eliminas.
Integridad, confidencialidad y responsabilidad proactiva
Proteges los datos con medidas de seguridad y, además, debes poder demostrar que cumples (art. 5.2).
04 Bases legales: cuándo puedes tratar datos personales
| Base legal | Cuándo se usa | Ejemplo |
|---|---|---|
| Consentimiento | La persona acepta de forma libre, específica, informada e inequívoca | Suscripción a una newsletter |
| Ejecución de un contrato | Los datos son necesarios para prestar el servicio o preparar el contrato | Dirección de envío de un pedido online |
| Obligación legal | Una ley te obliga a tratarlos | Conservar facturas por obligaciones fiscales |
| Intereses vitales | Proteger la vida o la integridad de una persona | Atención de urgencia a un paciente inconsciente |
| Interés público o poderes públicos | Misiones de interés público previstas por ley | Tratamientos de las administraciones |
| Interés legítimo | Tu interés prevalece sobre los derechos del afectado tras ponderarlo | Videovigilancia de seguridad de un local |
05 Derechos de las personas: acceso, supresión, portabilidad…
| Derecho | En qué consiste | Artículo |
|---|---|---|
| Información | Saber quién trata sus datos, para qué, con qué base y durante cuánto tiempo | Arts. 13 y 14 |
| Acceso | Obtener confirmación y una copia de sus datos | Art. 15 |
| Rectificación | Corregir datos inexactos o incompletos | Art. 16 |
| Supresión («derecho al olvido») | Que se borren cuando ya no son necesarios o el tratamiento es ilícito | Art. 17 |
| Limitación | Congelar el uso de los datos mientras se resuelve una reclamación | Art. 18 |
| Portabilidad | Recibir sus datos en formato estructurado y llevarlos a otro proveedor | Art. 20 |
| Oposición | Oponerse al tratamiento, por ejemplo a la mercadotecnia directa | Art. 21 |
| Decisiones automatizadas | No ser objeto de decisiones basadas solo en tratamiento automatizado con efectos jurídicos | Art. 22 |
06 Obligaciones de empresas y profesionales: DPD, registro y brechas
-
1
Registro de actividades de tratamiento
Documenta qué datos tratas, para qué, a quién los comunicas y cuánto tiempo los guardas (art. 30). Las empresas de menos de 250 trabajadores también deben llevarlo si el tratamiento no es ocasional, entraña riesgo o incluye categorías especiales.
-
2
Contratos con los encargados
Tu hosting, tu herramienta de email marketing o tu programa de gestión tratan datos por cuenta tuya: necesitas con cada uno un contrato de encargo del tratamiento (art. 28).
-
3
Medidas de seguridad según el riesgo
Cifrado, control de accesos, copias de seguridad y capacidad de restaurar los datos tras un incidente (art. 32).
-
4
Evaluación de impacto cuando hay alto riesgo
Obligatoria, por ejemplo, para tratamientos a gran escala de datos de salud o para la observación sistemática a gran escala de zonas de acceso público (art. 35).
-
5
Delegado de protección de datos (DPD)
Obligatorio para autoridades públicas y para quien observa personas a gran escala o trata a gran escala categorías especiales (art. 37 RGPD). El artículo 34 de la LOPDGDD amplía la lista: centros docentes, entidades financieras, aseguradoras, centros sanitarios, empresas de publicidad que elaboran perfiles, entre otros.
-
6
Gestión de brechas de seguridad
Notifica a la AEPD sin dilación indebida y, como máximo, en 72 horas desde que la conoces, salvo que sea improbable que suponga un riesgo (art. 33). Si el riesgo es alto, avisa también a los afectados (art. 34).
72 h
Plazo máximo para notificar una brecha a la autoridad de control
Fuente: Art. 33 RGPD
1 mes
Plazo para responder a un ejercicio de derechos, ampliable dos meses más
Fuente: Art. 12.3 RGPD
14 años
Edad mínima para consentir sin padres en España
Fuente: Art. 7 LOPDGDD
La AEPD ofrece herramientas gratuitas que ahorran trabajo a una pyme: Facilita_RGPD genera la documentación básica cuando el tratamiento es de bajo riesgo y Comunica-Brecha RGPD te ayuda a decidir si debes informar a los afectados tras un incidente. Las copias de seguridad no son un extra: sin ellas no puedes garantizar la disponibilidad que exige el artículo 32.
07 Datos de salud y clínicas: categorías especiales de datos
El artículo 9 del RGPD prohíbe, como regla general, tratar categorías especiales de datos: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos para identificar a una persona, datos de salud y datos sobre la vida u orientación sexual. Solo se pueden tratar si concurre una de las excepciones del artículo 9.2, como el consentimiento explícito o la asistencia sanitaria prestada por profesionales sujetos a secreto.
Por eso las clínicas médicas, dentales, de fisioterapia o de estética, las consultas de nutrición y las ópticas soportan las exigencias más altas: el DPD es obligatorio para los centros sanitarios obligados a llevar historias clínicas (salvo los profesionales que ejercen a título individual), el registro de actividades no admite excepciones y la historia clínica debe conservarse, como mínimo, cinco años desde el alta de cada proceso asistencial (art. 17 de la Ley 41/2002).
- Que el software para clínicas dentales o de gestión que uses aloje los datos en la UE, cifre la información y firme contigo un contrato de encargado.
- Que los recordatorios por WhatsApp o SMS no revelen el motivo de la cita.
- Que el consentimiento para enviar promociones sea aparte del que das para la asistencia.
- Que las fotos de «antes y después» se publiquen solo con consentimiento explícito.
Si además quieres atraer pacientes desde internet, en nuestra guía de marketing sanitario explicamos cómo hacer publicidad sin chocar con la normativa. Y si ningún programa del mercado encaja, un desarrollo de software SaaS propio te permite aplicar la privacidad desde el diseño (art. 25 RGPD): servidores en la UE, cifrado, registros de acceso y permisos por perfil.
08 Qué debe tener tu página web para cumplir la ley
- ✓Aviso legal con los datos identificativos del titular (art. 10 LSSI).
- ✓Política de privacidad con toda la información de los artículos 13 y 14 del RGPD: responsable, finalidades, bases legales, destinatarios, plazos, transferencias y derechos.
- ✓Información básica por capas junto a cada formulario, con enlace a la política completa (art. 11 LOPDGDD).
- ✓Casillas de consentimiento sin marcar y separadas para cada finalidad (por ejemplo, newsletter aparte).
- ✓Banner de cookies que no instale cookies no exentas antes de que el usuario acepte (art. 22.2 LSSI).
- ✓Política de cookies con los tipos, finalidades, terceros y plazos de conservación.
- ✓Conexión segura mediante HTTPS en todas las páginas con formularios o área privada.
- ✓Contratos de encargado con el hosting, las herramientas de analítica, el CRM y la plataforma de email.
Todo esto se planifica mejor al construir la web que al parchearla después. Cuando encargues un diseño web profesional, pide que incluya la gestión de consentimiento, los textos legales enlazados en el pie, el certificado HTTPS y formularios que solo pidan los datos necesarios. Y si vuelcas los contactos en un CRM, define desde el principio cuánto tiempo los conservarás.
09 Sanciones de la AEPD: multas por incumplir la protección de datos
| Tipo de infracción | Multa máxima | Prescripción de la infracción |
|---|---|---|
| RGPD, art. 83.4 (obligaciones del responsable y encargado, DPD, seguridad, brechas…) | 10 millones de € o el 2 % de la facturación anual mundial | Graves: 2 años (art. 73 LOPDGDD) |
| RGPD, art. 83.5 (principios, bases legales, consentimiento, derechos, transferencias) | 20 millones de € o el 4 % de la facturación anual mundial | Muy graves: 3 años (art. 72 LOPDGDD) |
| Infracciones leves de la LOPDGDD | Según la graduación del art. 83 RGPD | 1 año (art. 74 LOPDGDD) |
| LSSI: cookies sin información o sin consentimiento | Infracción leve: hasta 30.000 € (art. 39 LSSI) | Leves: 6 meses (art. 45 LSSI) |
Preguntas frecuentes sobre Ley de Protección de datos
Se aplican a la vez el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). La antigua LOPD de 1999 está derogada.
El RGPD es un reglamento europeo directamente aplicable en toda la UE; la LOPDGDD es la ley española que lo adapta, concreta aspectos como la edad de consentimiento o el DPD obligatorio y añade derechos digitales.
A cualquier empresa, autónomo, asociación o administración que trate datos de personas físicas, salvo el uso puramente personal o doméstico. No protege los datos de personas jurídicas.
Un máximo de 72 horas desde que tienes constancia de ella, salvo que sea improbable que suponga un riesgo para las personas. Se notifica en la sede electrónica de la AEPD.
Sí, en general. La LOPDGDD obliga a nombrar DPD a los centros sanitarios obligados a mantener historias clínicas, salvo a los profesionales sanitarios que ejercen a título individual.
Si instalas cookies no exentas sin informar ni pedir consentimiento incumples el artículo 22.2 de la LSSI, una infracción leve que puede costar hasta 30.000 euros.
Hasta 20 millones de euros o el 4 % de la facturación anual mundial del ejercicio anterior, la cifra que sea mayor, para las infracciones más graves.
No. El consentimiento es una de las seis bases legales; para gestionar un pedido basta el contrato y para conservar facturas, la obligación legal.
Fuentes consultadas
Sobre el autor
Equipo editorial de appyweb
Marketing, SEO y desarrollo con IA
Especialistas de appyweb en SEO, publicidad, desarrollo web y automatización con IA.