RGPD en España: Tus Derechos Explicados (Guía Completa 2026)

El Reglamento General de Protección de Datos (RGPD) es la normativa europea que protege tus datos personales desde 2018. En España, se complementa con la LOPDGDD (Ley Orgánica 3/2018) y está supervisado por la Agencia Española de Protección de Datos (AEPD). Sin embargo, muchos ciudadanos desconocen los derechos concretos que les otorga esta legislación y cómo ejercerlos en el día a día.

En esta guía completa te explicamos, uno por uno, todos los derechos que tienes como titular de datos personales en España, con ejemplos prácticos, plazos legales y pasos concretos para hacerlos valer frente a empresas, administraciones públicas y plataformas online.

¿Qué es el RGPD y por qué te afecta?

El RGPD (Reglamento UE 2016/679) es una norma europea de aplicación directa en todos los Estados miembros que regula cómo las organizaciones deben tratar los datos personales de las personas físicas. Se aplica a cualquier empresa o entidad que procese datos de residentes en la UE, independientemente de dónde tenga su sede.

En España, la AEPD es la autoridad de control encargada de velar por su cumplimiento, investigar denuncias y sancionar infracciones. Las multas pueden alcanzar los 20 millones de euros o el 4% de la facturación global anual de la empresa infractora, lo que sea mayor.

¿A qué datos se aplica?

El RGPD protege cualquier información relativa a una persona física identificada o identificable. Esto incluye:

• Datos identificativos: nombre, DNI, dirección, teléfono, email.
• Datos económicos: cuenta bancaria, ingresos, historial crediticio.
• Datos técnicos: dirección IP, cookies, identificadores de dispositivo.
• Datos sensibles: salud, orientación sexual, ideología, religión, biometría.
• Datos de comportamiento: hábitos de navegación, geolocalización, preferencias.

Los 8 derechos fundamentales del RGPD

El RGPD reconoce ocho derechos principales a los ciudadanos. Los conocidos como derechos ARSULIPO (Acceso, Rectificación, Supresión, oposición, Limitación, Portabilidad y decisiones automatizadas) son la base de tu control sobre tus datos personales.

1. Derecho de acceso (Art. 15 RGPD)

Tienes derecho a saber si una organización trata tus datos personales, cuáles son, con qué finalidad, durante cuánto tiempo y a quién los cede. La empresa debe proporcionarte una copia gratuita de todos los datos que posee sobre ti.

Ejemplo práctico: puedes pedir a tu banco, red social o compañía telefónica un informe completo con todos los datos que almacenan sobre ti, incluyendo historial de operaciones, mensajes, llamadas o interacciones.

2. Derecho de rectificación (Art. 16 RGPD)

Si tus datos son inexactos o están incompletos, puedes exigir su corrección. La empresa debe modificarlos sin demora injustificada.

Ejemplo: si tu compañía eléctrica tiene mal escrito tu apellido o una dirección antigua, puedes solicitar formalmente la rectificación mediante un email o formulario en su web.

3. Derecho de supresión o "al olvido" (Art. 17 RGPD)

También conocido como derecho al olvido, te permite exigir la eliminación de tus datos cuando ya no sean necesarios, hayas retirado el consentimiento, te opongas al tratamiento o se hayan tratado ilícitamente.

Casos típicos:

• Solicitar a Google que desindexe un resultado de búsqueda con información obsoleta sobre ti.
• Pedir a una tienda online que borre tu cuenta y todo el historial asociado.
• Exigir a un foro que elimine un mensaje publicado hace años.

4. Derecho de oposición (Art. 21 RGPD)

Puedes oponerte al tratamiento de tus datos cuando la base legal sea el interés legítimo del responsable o para fines de marketing directo. En este último caso, la oposición es absoluta: no pueden negarse.

Ejemplo: recibes emails promocionales constantes de una empresa. Puedes ejercer la oposición y deben dejar de enviártelos inmediatamente.

5. Derecho a la limitación del tratamiento (Art. 18 RGPD)

Permite "congelar" el uso de tus datos temporalmente. La empresa los conserva, pero no puede seguir procesándolos hasta que se resuelva una disputa.

Cuándo aplicarlo: si has impugnado la exactitud de tus datos, el tratamiento es ilícito pero no quieres suprimirlos, o has ejercido oposición y se está evaluando tu solicitud.

6. Derecho a la portabilidad (Art. 20 RGPD)

Puedes recibir tus datos personales en un formato estructurado, de uso común y lectura mecánica (JSON, CSV, XML) y transmitirlos a otro responsable sin obstáculos.

Ejemplo real: descargar tu historial completo de Spotify o Instagram para migrarlo a otra plataforma, o exportar tus contactos de Gmail a otro servicio de correo.

7. Derecho a no ser objeto de decisiones automatizadas (Art. 22 RGPD)

Tienes derecho a no ser sometido a decisiones basadas únicamente en tratamientos automatizados (incluida la elaboración de perfiles) que produzcan efectos jurídicos o te afecten significativamente.

Ejemplo: un banco te deniega un préstamo automáticamente por un algoritmo de scoring. Puedes exigir intervención humana, expresar tu punto de vista e impugnar la decisión.

8. Derecho a ser informado (Arts. 13-14 RGPD)

Antes de recabar tus datos, la empresa debe informarte de forma clara y transparente sobre: identidad del responsable, finalidad, base jurídica, destinatarios, plazo de conservación y tus derechos. Esta es la razón por la que existen las políticas de privacidad.

Tabla comparativa: derechos y plazos

Derecho	Artículo RGPD	Plazo de respuesta	Coste
Acceso	Art. 15	1 mes (ampliable 2 meses)	Gratuito
Rectificación	Art. 16	1 mes	Gratuito
Supresión	Art. 17	1 mes	Gratuito
Oposición	Art. 21	1 mes	Gratuito
Limitación	Art. 18	1 mes	Gratuito
Portabilidad	Art. 20	1 mes	Gratuito
Decisiones automatizadas	Art. 22	1 mes	Gratuito

Cómo ejercer tus derechos paso a paso

Ejercer tus derechos RGPD es un proceso sencillo y gratuito. Sigue estos pasos:

1. Identifica al responsable del tratamiento: busca la política de privacidad de la empresa. Suele estar en el pie de la web.
2. Localiza al Delegado de Protección de Datos (DPO): si la empresa tiene uno, aparecerá su email de contacto en la política de privacidad.
3. Redacta la solicitud: identifícate con tu nombre completo y DNI, indica el derecho que ejercitas, describe la petición concreta y aporta documentación acreditativa si es necesario.
4. Envía la solicitud: por email, formulario web o correo postal certificado. Guarda siempre un justificante.
5. Espera la respuesta: la empresa tiene un mes para responder. Puede ampliarse a dos meses en casos complejos, avisándote antes.
6. Si no responden o rechazan tu solicitud: puedes reclamar ante la AEPD gratuitamente en su sede electrónica (sedeagpd.gob.es).

Modelo de solicitud básico

La AEPD proporciona modelos oficiales de solicitud descargables en su web. Como mínimo, tu escrito debe contener:

• Nombre y apellidos + copia del DNI.
• Domicilio a efectos de notificaciones.
• Petición concreta ("solicito ejercitar el derecho de acceso conforme al art. 15 RGPD").
• Fecha y firma.
• Documentos acreditativos si procede.

Reclamar ante la AEPD: cuándo y cómo

Si una empresa no responde a tu solicitud en el plazo legal, la respuesta es insatisfactoria o consideras que se ha vulnerado tu derecho a la protección de datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos.

Pasos para reclamar

1. Accede a la sede electrónica de la AEPD (sedeagpd.gob.es).
2. Selecciona "Reclamación por tutela de derechos" o "Reclamación por infracción de la normativa".
3. Rellena el formulario con tus datos, los del responsable y los hechos.
4. Adjunta la solicitud previa enviada a la empresa y su respuesta (o justificante del silencio).
5. Firma electrónicamente con Cl@ve, DNIe o certificado digital.

La AEPD abrirá un expediente y, si aprecia infracción, podrá sancionar a la empresa. El procedimiento es totalmente gratuito y no requiere abogado.

El RGPD y los acortadores de URL

Los servicios de acortamiento de enlaces también procesan datos personales: direcciones IP de quienes hacen clic, ubicación aproximada, navegador, sistema operativo y en algunos casos identificadores publicitarios. Por eso, elegir un acortador que cumpla el RGPD es fundamental si trabajas con audiencia europea.

Plataformas como Lunyb están diseñadas con la privacidad como prioridad: almacenan datos de forma agregada, ofrecen transparencia sobre qué información se recopila y permiten a los usuarios ejercer sus derechos fácilmente. Si estás comparando opciones, revisa nuestro análisis de la mejor plataforma de gestión de enlaces 2026 y la opinión detallada sobre Short.io para comparar cumplimiento normativo.

Cookies y consentimiento

Cualquier sitio web dirigido a usuarios europeos debe pedir consentimiento explícito antes de instalar cookies no técnicas. El botón "Aceptar todas" debe ser tan fácil de pulsar como "Rechazar todas". Los banners que ocultan la opción de rechazo o utilizan patrones oscuros vulneran el RGPD y son sancionables por la AEPD.

Datos sensibles: protección reforzada

El RGPD otorga protección especial a las llamadas categorías especiales de datos (Art. 9): salud, biometría, orientación sexual, ideología política, religión, afiliación sindical, origen étnico y datos genéticos.

Su tratamiento está prohibido por defecto y solo se permite en supuestos tasados: consentimiento explícito, obligación legal, interés vital, ejercicio de derechos laborales, etc. Empresas que traten estos datos deben aplicar medidas de seguridad reforzadas y, en muchos casos, realizar una Evaluación de Impacto (EIPD).

Menores y protección de datos

En España, la edad mínima para consentir el tratamiento de datos personales en servicios de la sociedad de la información es de 14 años (LOPDGDD art. 7). Por debajo de esa edad, se requiere consentimiento de padres o tutores legales.

Redes sociales, videojuegos y apps deben verificar la edad y obtener el consentimiento parental verificable cuando el usuario sea menor de 14 años. Las plataformas que no lo hacen se exponen a sanciones importantes.

Sanciones por incumplimiento del RGPD

Las multas del RGPD se dividen en dos tramos:

• Infracciones leves: hasta 10 millones de euros o 2% de la facturación global anual (lo que sea mayor). Incluyen fallos técnicos, falta de registro de actividades o notificación tardía de brechas.
• Infracciones graves: hasta 20 millones de euros o 4% de la facturación global anual. Incluyen tratar datos sin base legal, vulnerar derechos de los interesados o transferir datos fuera de la UE sin garantías.

La AEPD es una de las autoridades más activas de Europa. Empresas como Google, Meta, Amazon o entidades bancarias españolas han sido sancionadas con multas millonarias en los últimos años.

Consejos prácticos para proteger tus datos

Más allá de ejercer tus derechos, puedes tomar medidas activas para reducir tu exposición:

1. Revisa periódicamente los permisos concedidos a apps y webs en Google, Facebook o Apple.
2. Usa emails alias (como los de Apple Hide My Email o SimpleLogin) para registrarte en servicios que no son de confianza.
3. Rechaza cookies no esenciales siempre que sea posible.
4. Solicita la eliminación de cuentas antiguas que ya no uses.
5. Consulta si apareces en bases de datos de brokers. Nuestra guía sobre brokers de datos te explica cómo detectarlo y qué hacer.
6. Activa el DNS cifrado (DNS over HTTPS) en tu navegador para evitar el rastreo por parte de tu proveedor de Internet.
7. Comparte enlaces con opciones de privacidad. Si necesitas acortar URLs para campañas o comunicaciones, opta por servicios respetuosos con la privacidad y aprende a personalizar tus códigos QR sin exponer datos innecesarios.

Preguntas frecuentes sobre el RGPD en España

¿Cuánto tiempo tienen las empresas para responder a una solicitud RGPD?

El plazo general es de un mes desde la recepción de la solicitud. Puede ampliarse otros dos meses en casos especialmente complejos, pero la empresa debe notificarte la ampliación y motivarla dentro del primer mes.

¿Puedo pedir que Google borre resultados de búsqueda sobre mí?

Sí. El derecho al olvido te permite solicitar a Google la desindexación de resultados que sean obsoletos, inexactos, excesivos o irrelevantes. Google evalúa cada solicitud ponderando el interés público. Si rechaza tu petición, puedes reclamar ante la AEPD.

¿Qué pasa si una empresa ignora mi solicitud?

Si transcurre un mes sin respuesta o la respuesta es insatisfactoria, puedes presentar una reclamación gratuita ante la AEPD. La agencia investigará el caso y podrá sancionar a la empresa además de obligarla a atender tu derecho.

¿El RGPD se aplica a empresas fuera de la Unión Europea?

Sí, siempre que traten datos de residentes en la UE para ofrecerles bienes o servicios o para monitorizar su comportamiento. Por eso, plataformas como Facebook, TikTok o Amazon están obligadas a cumplirlo respecto a sus usuarios europeos, aunque su sede esté en EE.UU. o China.

¿Necesito abogado para reclamar ante la AEPD?

No. El procedimiento es gratuito, se realiza online mediante la sede electrónica de la AEPD y no requiere representación letrada. Solo necesitas un certificado digital, Cl@ve o DNI electrónico para firmar la reclamación.

Conclusión

El RGPD te otorga un control real sobre tus datos personales, pero solo funciona si conoces y ejercitas tus derechos. Desde pedir acceso a tu información hasta exigir su eliminación, cada uno de los ocho derechos que hemos revisado es una herramienta poderosa frente a empresas y administraciones.

La clave está en mantenerse informado, revisar periódicamente qué organizaciones tratan tus datos y no dudar en presentar reclamaciones cuando tus derechos sean vulnerados. La AEPD ha demostrado ser una autoridad activa y accesible, y el simple hecho de que los ciudadanos ejerzamos nuestros derechos empuja a las empresas a mejorar sus prácticas de privacidad. Tu privacidad importa, y el RGPD es tu mejor aliado para defenderla.