RGPD en España: Tus Derechos Explicados (Guía Completa 2026)

El Reglamento General de Protección de Datos (RGPD) es la norma europea que regula cómo empresas y organismos pueden tratar tus datos personales. En España, se complementa con la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) y su cumplimiento lo supervisa la Agencia Española de Protección de Datos (AEPD). Como ciudadano, tienes un conjunto de derechos muy potentes que, sin embargo, poca gente conoce en profundidad.

En esta guía te explicamos, uno por uno, todos los derechos que el RGPD te reconoce en España, cómo ejercerlos, qué plazos existen y qué hacer cuando una empresa no responde. El objetivo es que salgas de aquí sabiendo exactamente qué puedes exigir y cómo hacerlo.

Qué es el RGPD y por qué te afecta directamente

El RGPD (Reglamento UE 2016/679) es la ley marco de protección de datos que se aplica en todos los países de la Unión Europea desde el 25 de mayo de 2018. Regula cualquier tratamiento de datos personales realizado por empresas, administraciones públicas, asociaciones o profesionales que operen en la UE o dirijan servicios a ciudadanos europeos.

Te afecta directamente porque prácticamente todo lo que haces genera datos personales: cuando compras en una tienda online, te registras en una red social, envías tu currículum, usas una app móvil o incluso cuando caminas frente a una cámara de videovigilancia. Todos esos tratamientos deben cumplir el RGPD.

Principios básicos que toda empresa debe cumplir

• Licitud, lealtad y transparencia: deben informarte de forma clara sobre qué datos recogen y para qué.
• Limitación de la finalidad: solo pueden usar tus datos para los fines que te comunicaron.
• Minimización: solo pueden pedir los datos estrictamente necesarios.
• Exactitud: deben mantener tus datos actualizados.
• Limitación del plazo de conservación: no pueden guardar tus datos indefinidamente.
• Integridad y confidencialidad: deben protegerlos con medidas de seguridad adecuadas.
• Responsabilidad proactiva: deben poder demostrar que cumplen la normativa.

Los 8 derechos que te otorga el RGPD en España

El RGPD reconoce ocho derechos fundamentales, conocidos como los derechos ARCO-POL (una evolución de los antiguos derechos ARCO). Vamos a analizarlos uno a uno con ejemplos prácticos.

1. Derecho de información

Antes de recoger tus datos, cualquier organización debe informarte de forma clara y accesible sobre:

1. Quién es el responsable del tratamiento (nombre y contacto).
2. Con qué finalidad se tratarán tus datos.
3. La base legal del tratamiento (consentimiento, contrato, interés legítimo, etc.).
4. Los destinatarios o categorías de destinatarios.
5. El plazo de conservación.
6. Los derechos que puedes ejercer y cómo hacerlo.
7. Si existen transferencias internacionales de datos.

Esta información suele aparecer en la política de privacidad y en los avisos de recogida de datos. Si una web te pide el email sin explicar nada, está incumpliendo el RGPD.

2. Derecho de acceso

Puedes solicitar a cualquier empresa u organismo que te confirme si está tratando datos personales tuyos y, en caso afirmativo, que te facilite una copia. Además, deben decirte:

• Qué categorías de datos tienen sobre ti.
• Con qué finalidad los tratan.
• A quién los han cedido o comunicado.
• Cuánto tiempo los conservarán.
• Si existen decisiones automatizadas o elaboración de perfiles.

Plazo de respuesta: 1 mes desde que reciben tu solicitud (ampliable a 2 meses en casos complejos).

3. Derecho de rectificación

Si detectas que una empresa tiene datos tuyos incorrectos o incompletos, puedes exigir que los rectifiquen. Por ejemplo, si tu banco tiene una dirección antigua, si Hacienda ha registrado mal tu apellido o si una tienda online mantiene datos obsoletos sobre ti.

4. Derecho de supresión (derecho al olvido)

Es uno de los derechos más conocidos. Puedes solicitar la eliminación de tus datos personales cuando:

• Ya no son necesarios para la finalidad para la que se recogieron.
• Retiras el consentimiento y no hay otra base legal para tratarlos.
• Te opones al tratamiento y no prevalecen intereses legítimos.
• Los datos han sido tratados ilícitamente.
• Deben suprimirse para cumplir una obligación legal.

El derecho al olvido en buscadores (como Google) permite pedir la desindexación de resultados obsoletos, irrelevantes o excesivos sobre tu persona.

5. Derecho a la limitación del tratamiento

Puedes solicitar que una empresa "congele" el uso de tus datos sin llegar a borrarlos. Esto es útil cuando, por ejemplo, has impugnado la exactitud de los datos y quieres que no se usen mientras se resuelve la disputa, o cuando necesitas conservarlos para una reclamación aunque ya no los uses.

6. Derecho a la portabilidad

Te permite recibir tus datos personales en un formato estructurado, de uso común y lectura mecánica (JSON, CSV, XML) y transmitirlos a otro responsable. Es especialmente relevante para servicios como redes sociales, plataformas de música o proveedores de correo, donde puedes llevarte tu "historial" a otro proveedor.

7. Derecho de oposición

Puedes oponerte al tratamiento de tus datos por motivos relacionados con tu situación particular. En dos casos, la oposición es absoluta y sin justificación:

• Cuando se usan tus datos para marketing directo (publicidad, newsletters comerciales).
• Cuando se elabora un perfil comercial con esa finalidad.

8. Derecho a no ser objeto de decisiones automatizadas

Tienes derecho a no verte sometido a decisiones basadas únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que produzcan efectos jurídicos sobre ti. Ejemplos: denegación automática de un crédito, filtrado algorítmico de un CV o cálculo automático de una prima de seguro. Puedes exigir intervención humana.

Tabla comparativa: derechos, plazos y cuándo aplicarlos

Derecho	Cuándo usarlo	Plazo de respuesta	Coste
Información	Antes o al recoger datos	Inmediato	Gratuito
Acceso	Saber qué datos tienen sobre ti	1 mes (ampliable a 2)	Gratuito (primera copia)
Rectificación	Datos incorrectos o incompletos	1 mes	Gratuito
Supresión	Borrar datos innecesarios o ilícitos	1 mes	Gratuito
Limitación	Congelar temporalmente el tratamiento	1 mes	Gratuito
Portabilidad	Migrar datos a otro proveedor	1 mes	Gratuito
Oposición	Marketing, perfilado, interés legítimo	1 mes	Gratuito
Decisiones automatizadas	Denegaciones o perfiles algorítmicos	1 mes	Gratuito

Cómo ejercer tus derechos paso a paso

Ejercer un derecho del RGPD es más sencillo de lo que parece. Sigue estos pasos:

1. Identifica al responsable del tratamiento: busca en la política de privacidad de la empresa el email o la dirección postal del responsable o del delegado de protección de datos (DPD).
2. Redacta la solicitud: indica claramente qué derecho ejercitas, tus datos identificativos y adjunta copia de tu DNI o documento equivalente.
3. Envíala por un medio con acuse de recibo: email con confirmación de lectura, burofax, formulario oficial de la empresa o correo certificado.
4. Espera la respuesta: tienen 1 mes para contestar. Si no lo hacen o la respuesta es insatisfactoria, puedes reclamar.
5. Reclama ante la AEPD: si el responsable no responde o incumple, presenta una reclamación gratuita en sede.aepd.gob.es.

Plantilla básica de solicitud

Puedes usar esta estructura mínima:

"Yo, [nombre y apellidos], con DNI [número], al amparo de los artículos 15-22 del RGPD y de la LOPDGDD 3/2018, solicito ejercer el derecho de [acceso/rectificación/supresión/…] respecto a los datos personales que su entidad trata sobre mí. Ruego me confirmen la recepción y respondan en el plazo legalmente establecido de un mes. En [ciudad], a [fecha]. Firmado."

El papel de la AEPD y las sanciones

La Agencia Española de Protección de Datos es la autoridad de control independiente encargada de velar por el cumplimiento del RGPD en España. Sus funciones principales son:

• Tramitar reclamaciones de ciudadanos.
• Investigar posibles infracciones.
• Imponer sanciones administrativas.
• Emitir guías y criterios interpretativos.
• Autorizar transferencias internacionales cuando procede.

Las sanciones del RGPD son de las más elevadas del mundo: pueden llegar hasta 20 millones de euros o el 4 % de la facturación anual global de la empresa, la cifra que sea mayor. En España se han impuesto multas millonarias a grandes tecnológicas, bancos, telecos y compañías energéticas por incumplimientos graves.

Casos prácticos habituales en España

Recibes spam pese a haberte dado de baja

Ejerce el derecho de oposición al marketing directo por escrito. Si continúa, reclama ante la AEPD. Es una infracción tipificada y sancionable.

Una empresa filtra tus datos en una brecha de seguridad

La empresa está obligada a notificar la brecha a la AEPD en 72 horas y, si el riesgo es alto, también a ti. Si detectas un uso indebido, actúa rápido: te recomendamos leer nuestra guía sobre cómo reaccionar ante un robo de datos y minimizar el daño.

Videovigilancia en tu comunidad de vecinos

Debe existir cartel informativo visible, la finalidad debe ser proporcional (seguridad) y las grabaciones no pueden conservarse más de 30 días salvo prueba en proceso judicial.

Un buscador muestra información obsoleta sobre ti

Puedes ejercer el derecho al olvido directamente en el formulario de Google, Bing o el buscador correspondiente. Si te lo deniegan sin justificación, reclama ante la AEPD.

WhatsApp, redes sociales y apps

Aunque muchas de estas empresas estén fuera de España, si dirigen servicios a usuarios europeos deben cumplir el RGPD. Para reforzar tu privacidad en el día a día, revisa nuestra guía de privacidad en WhatsApp para 2026.

Buenas prácticas para proteger tus datos día a día

Conocer tus derechos es fundamental, pero prevenir es aún mejor. Algunas recomendaciones:

• Lee las políticas de privacidad antes de aceptar. Sí, son tediosas, pero al menos revisa las secciones sobre cesiones y plazos.
• Configura los banners de cookies: rechaza las no esenciales y personaliza siempre que puedas.
• Usa contraseñas robustas y autenticación en dos pasos en todos los servicios importantes.
• Comparte enlaces con privacidad: cuando difundas contenido en redes o mensajería, evita URLs que expongan más información de la necesaria. Herramientas como Lunyb permiten acortar enlaces con analíticas propias, sin trackers de terceros, algo que ayuda a cumplir el principio de minimización.
• Revisa periódicamente qué apps y servicios tienen acceso a tu cuenta de Google, Apple o redes sociales, y retira permisos innecesarios.
• Habilita DNS cifrado (DoH/DoT) en tu navegador o sistema operativo para evitar que tu proveedor vea todos los dominios que visitas.

RGPD y empresas: si tienes un negocio, también te aplica

Si eres autónomo, pyme o gestionas una web con formulario de contacto, el RGPD también te obliga. Los mínimos que debes cumplir son:

1. Publicar una política de privacidad clara y accesible.
2. Incluir un aviso de cookies conforme a la guía de la AEPD.
3. Mantener un Registro de Actividades de Tratamiento (RAT).
4. Firmar contratos de encargado con proveedores que traten datos por ti.
5. Notificar brechas de seguridad en menos de 72 horas.
6. Designar un DPD si tratas datos a gran escala o categorías especiales.

Si trabajas con enlaces cortos, campañas de marketing o gestionas urls corporativas, elegir una plataforma con opciones de cumplimiento europeo marca la diferencia. Puedes comparar alternativas en nuestro análisis de la mejor plataforma de gestión de enlaces en 2026, así como en las reviews de Short.io y TinyURL.

Preguntas frecuentes sobre el RGPD en España

¿Cuánto tiempo tarda una empresa en responder a mi solicitud de derechos?

El plazo legal es de un mes desde la recepción de la solicitud. En casos especialmente complejos, puede ampliarse dos meses adicionales, pero deben notificártelo dentro del primer mes y motivarlo. Si superan ese plazo sin justificación, puedes reclamar ante la AEPD.

¿Cuánto cuesta reclamar ante la AEPD?

Es totalmente gratuito. Puedes presentar la reclamación de forma electrónica en la sede electrónica de la AEPD con certificado digital, Cl@ve o incluso sin certificado en algunos supuestos. No necesitas abogado ni procurador para el procedimiento administrativo.

¿Puedo pedir que Google elimine noticias antiguas sobre mí?

Sí, mediante el derecho al olvido. Google ofrece un formulario específico para solicitar la desindexación de resultados. Deben valorar si la información es obsoleta, irrelevante o excesiva frente al interés público. Si te la deniegan y crees que tienes razón, reclama ante la AEPD.

¿El RGPD se aplica también a empresas de fuera de la UE?

Sí, siempre que dirijan bienes o servicios a residentes en la Unión Europea o monitoricen su comportamiento. Por eso gigantes estadounidenses como Meta, Google o Amazon deben cumplirlo cuando operan con usuarios europeos, y han sido sancionados varias veces por incumplimientos.

¿Qué hago si una empresa me pide datos que considero excesivos?

Aplica el principio de minimización: solo pueden pedir lo estrictamente necesario para la finalidad. Puedes negarte a proporcionar datos excesivos y, si insisten condicionando el servicio, plantearlo como una consulta o reclamación ante la AEPD. Un ejemplo típico es pedir el DNI para acceder a un descuento comercial sin justificación proporcional.

Conclusión

El RGPD no es una simple burocracia europea: es un escudo real y efectivo para proteger tu identidad digital, tu economía y tu reputación. Conocer los ocho derechos que te reconoce —acceso, rectificación, supresión, limitación, portabilidad, oposición, información y no ser objeto de decisiones automatizadas— y saber cómo ejercerlos ante la AEPD te sitúa en una posición mucho más fuerte frente a empresas y administraciones.

Empieza hoy revisando qué servicios tienen datos tuyos, elimina cuentas que ya no uses y activa las opciones de privacidad en tus herramientas habituales. Cada pequeño paso reduce tu exposición y refuerza tus derechos.