RGPD en España: Tus Derechos Explicados (Guía 2026)

El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) te otorgan un conjunto de derechos fundamentales sobre cómo las empresas tratan tu información personal. Sin embargo, muchos ciudadanos en España desconocen cuáles son estos derechos o cómo ejercerlos de forma efectiva.

En esta guía detallada vas a descubrir, uno por uno, los derechos que te amparan como ciudadano, los plazos legales que deben respetar las empresas y los pasos exactos para presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si tus derechos no se respetan.

¿Qué es el RGPD y por qué te afecta en España?

El RGPD (Reglamento UE 2016/679) es la normativa europea que, desde el 25 de mayo de 2018, regula el tratamiento de datos personales en todos los países de la Unión Europea. En España se complementa con la LOPDGDD (Ley Orgánica 3/2018), que adapta y amplía algunas disposiciones al contexto nacional.

Te afecta porque cualquier organización —pública o privada— que trate tus datos personales (nombre, email, DNI, IP, datos de salud, hábitos de navegación, etc.) debe cumplir estrictamente con esta normativa. Esto incluye desde la panadería del barrio que gestiona un fichero de clientes hasta multinacionales como Google o Meta.

Principios básicos del RGPD

• Licitud, lealtad y transparencia: los datos deben tratarse de forma legal y clara.
• Limitación de la finalidad: solo pueden usarse para los fines declarados.
• Minimización: solo se recopilan los datos imprescindibles.
• Exactitud: los datos deben ser precisos y estar actualizados.
• Limitación del plazo de conservación: no pueden guardarse indefinidamente.
• Integridad y confidencialidad: deben protegerse frente a accesos no autorizados.

Los 8 derechos RGPD en España que debes conocer

El RGPD reconoce ocho derechos principales, conocidos como "derechos ARSULIPO" (acrónimo de Acceso, Rectificación, Supresión, Limitación, Portabilidad y Oposición), más dos adicionales: información y decisiones automatizadas.

1. Derecho de información

Antes de recoger tus datos, cualquier organización está obligada a informarte de manera clara y comprensible sobre:

• La identidad del responsable del tratamiento.
• La finalidad y base jurídica para tratar tus datos.
• Los destinatarios o categorías de destinatarios.
• El plazo de conservación.
• Tus derechos y cómo ejercerlos.
• Datos de contacto del Delegado de Protección de Datos (si existe).

Esta información suele proporcionarse mediante la política de privacidad y los avisos legales de los formularios web.

2. Derecho de acceso

Tienes derecho a solicitar y obtener una copia de todos los datos personales que una organización tenga sobre ti, así como información sobre cómo y por qué los está tratando. La empresa debe responder en el plazo máximo de un mes (ampliable a dos meses en casos complejos).

3. Derecho de rectificación

Si los datos que una organización tiene sobre ti son inexactos o están incompletos, puedes exigir su corrección o completado. Por ejemplo, si tu banco tiene mal escrito tu apellido o una dirección antigua.

4. Derecho de supresión ("derecho al olvido")

Puedes solicitar la eliminación de tus datos personales cuando:

1. Ya no sean necesarios para la finalidad para la que se recogieron.
2. Retires el consentimiento previamente otorgado.
3. Te opongas al tratamiento y no prevalezcan motivos legítimos.
4. Los datos se hayan tratado ilícitamente.
5. Deban suprimirse por obligación legal.

Este derecho es especialmente relevante para pedir la retirada de información personal de buscadores como Google (resultados de búsqueda sobre tu nombre).

5. Derecho a la limitación del tratamiento

Puedes solicitar que tus datos se "congelen" temporalmente —es decir, que se conserven pero no se utilicen— mientras se verifica, por ejemplo, su exactitud o la legitimidad del tratamiento.

6. Derecho a la portabilidad

Tienes derecho a recibir tus datos personales en un formato estructurado, de uso común y lectura mecánica (típicamente JSON, CSV o XML), y a transmitirlos a otro responsable sin impedimentos. Esto es especialmente útil para cambiar de proveedor (por ejemplo, migrar de una red social o un servicio de streaming a otro).

7. Derecho de oposición

Puedes oponerte al tratamiento de tus datos por motivos relacionados con tu situación particular, incluso cuando el tratamiento sea lícito. En el caso del marketing directo (publicidad personalizada), este derecho es absoluto: basta con oponerte para que cesen las comunicaciones.

8. Derecho a no ser objeto de decisiones automatizadas

Tienes derecho a que no se tomen decisiones basadas únicamente en algoritmos automatizados (incluida la elaboración de perfiles) que te produzcan efectos jurídicos o significativos. Por ejemplo, denegaciones automáticas de un préstamo o de una contratación laboral sin intervención humana.

Tabla resumen de los derechos RGPD

Derecho	Qué permite	Plazo de respuesta
Información	Conocer qué se hace con tus datos	En el momento de la recogida
Acceso	Obtener copia de tus datos	1 mes (ampliable a 2)
Rectificación	Corregir datos inexactos	1 mes
Supresión	Borrar tus datos	1 mes
Limitación	Suspender el tratamiento	1 mes
Portabilidad	Trasladar tus datos a otro proveedor	1 mes
Oposición	Oponerte al tratamiento	1 mes
Decisiones automatizadas	Exigir intervención humana	1 mes

Cómo ejercer tus derechos RGPD paso a paso

Ejercer tus derechos es gratuito y debe ser facilitado por la organización. Sigue este procedimiento:

1. Identifica al responsable del tratamiento. Revisa la política de privacidad del servicio para encontrar el nombre y los datos de contacto, incluido el correo del Delegado de Protección de Datos (DPO) si lo hay.
2. Redacta tu solicitud por escrito. Indica claramente qué derecho ejerces, tus datos identificativos (nombre, DNI) y una dirección para recibir respuesta. Adjunta copia del DNI o documento equivalente.
3. Envía la solicitud. Preferiblemente por un medio que deje constancia: email con acuse de recibo, burofax o formulario oficial del responsable.
4. Espera la respuesta. La organización tiene un mes para responder (dos adicionales en casos complejos, siempre notificándote la prórroga).
5. Si no responden o la respuesta es insatisfactoria, puedes reclamar ante la AEPD.

Modelo básico de solicitud

La AEPD facilita en su web (aepd.es) formularios tipo para cada derecho. Son recomendables porque incluyen todos los campos legalmente exigidos y aceleran el trámite.

Cómo reclamar ante la AEPD

La Agencia Española de Protección de Datos es la autoridad competente para supervisar el cumplimiento del RGPD en España. Si una empresa no responde en plazo o vulnera tus derechos, puedes presentar una reclamación.

Pasos para reclamar

1. Accede a la sede electrónica de la AEPD (sedeagpd.gob.es).
2. Identifícate con certificado digital, DNIe o Cl@ve.
3. Selecciona el procedimiento "Reclamación por falta de atención en el ejercicio de derechos" o "Reclamación por tratamiento indebido".
4. Rellena el formulario y aporta pruebas: copia de la solicitud enviada, acuse de recibo, respuesta recibida (o ausencia de ella).
5. Envía la reclamación. La AEPD te asignará un número de expediente para hacer seguimiento.

La AEPD puede imponer sanciones muy relevantes a las empresas infractoras: desde apercibimientos hasta multas de hasta 20 millones de euros o el 4% de la facturación global anual.

Casos prácticos frecuentes

Recibir spam tras no haber dado tu consentimiento

Si una empresa te envía publicidad sin tu consentimiento previo, puedes ejercer el derecho de oposición y, si continúa, reclamar a la AEPD. Guarda siempre copia de los correos y de las solicitudes de baja no atendidas.

Resultados negativos sobre ti en Google

Puedes solicitar la retirada mediante el formulario de "Derecho al olvido" de Google. Si deniegan la retirada, puedes reclamar ante la AEPD, que valorará si el interés público prevalece sobre tu derecho.

Fuga de datos (brecha de seguridad)

Si eres víctima de una brecha, la empresa está obligada a notificártelo "sin dilación indebida" cuando la brecha suponga un alto riesgo para tus derechos. También debe notificarlo a la AEPD en 72 horas. Cambia tus contraseñas afectadas de inmediato: puedes consultar nuestra guía definitiva de contraseñas seguras para reforzar tus cuentas.

RGPD y privacidad digital en el día a día

Más allá de ejercer tus derechos de forma reactiva, es recomendable adoptar hábitos preventivos para minimizar la exposición de tus datos:

• Revisa las políticas de privacidad antes de registrarte en nuevos servicios.
• Configura adecuadamente tus perfiles en redes sociales y mensajería. Para WhatsApp, consulta nuestra guía de configuración óptima de privacidad.
• Rechaza cookies no esenciales cuando navegues.
• Utiliza herramientas que respeten tu privacidad para gestionar enlaces, compartir contenido y almacenar información. Por ejemplo, servicios como Lunyb permiten acortar y gestionar URLs cumpliendo con el RGPD y sin perfilado invasivo del usuario.
• Activa la autenticación en dos pasos en todos los servicios que la ofrezcan.

Obligaciones del responsable del tratamiento

Como contrapartida a tus derechos, las empresas tienen obligaciones estrictas:

• Mantener un registro de actividades de tratamiento.
• Aplicar medidas técnicas y organizativas adecuadas (cifrado, seudonimización, control de accesos).
• Designar un Delegado de Protección de Datos (DPO) cuando corresponda.
• Realizar evaluaciones de impacto (EIPD) en tratamientos de alto riesgo.
• Notificar brechas de seguridad en 72 horas a la AEPD.
• Firmar contratos de encargado de tratamiento con terceros proveedores.

Novedades 2025-2026: tendencias de aplicación del RGPD

En los últimos ejercicios, la AEPD ha intensificado su labor sancionadora, especialmente en áreas como:

• Cookies y rastreo publicitario: con sanciones a empresas que utilizan muros de cookies o diseños engañosos (dark patterns).
• Inteligencia artificial: aplicación conjunta del RGPD y del nuevo Reglamento de IA (AI Act) para sistemas que tratan datos personales.
• Transferencias internacionales: especial atención a los flujos de datos hacia EE. UU. y terceros países sin nivel adecuado de protección.
• Menores de edad: protección reforzada frente al perfilado y la publicidad personalizada.

Preguntas frecuentes sobre el RGPD en España

¿Es gratuito ejercer mis derechos RGPD?

Sí, el ejercicio de los derechos es totalmente gratuito. Solo si las solicitudes son manifiestamente infundadas o excesivas (por ejemplo, repetitivas) el responsable podría cobrar un canon razonable o negarse a actuar, debiendo justificarlo.

¿Qué pasa si una empresa no responde a mi solicitud en un mes?

El silencio administrativo o la ausencia de respuesta constituye una infracción. Puedes presentar una reclamación ante la AEPD aportando copia de tu solicitud original y acuse de envío. La AEPD iniciará un procedimiento que puede terminar en sanción económica.

¿Puedo ejercer mis derechos en nombre de un familiar?

Sí, siempre que acredites la representación: con poder notarial para adultos, o con el libro de familia y documento de identidad en el caso de menores de edad. Para personas fallecidas, los herederos pueden solicitar el acceso, rectificación o supresión salvo oposición expresa del fallecido en vida.

¿El RGPD se aplica también a empresas fuera de la UE?

Sí. El RGPD aplica a cualquier organización, independientemente de dónde esté establecida, cuando ofrezca bienes o servicios a residentes en la UE o monitorice su comportamiento. Por eso gigantes como Meta, Google o Amazon deben cumplir el RGPD con usuarios españoles.

¿Cuánto puede multar la AEPD a una empresa infractora?

Las sanciones pueden alcanzar los 20 millones de euros o el 4% de la facturación global anual del grupo empresarial, aplicándose la cantidad mayor. La AEPD también puede imponer apercibimientos, obligaciones de hacer o cesar tratamientos ilícitos.