RGPD en España: Tus Derechos Explicados (Guía Completa 2026)

El Reglamento General de Protección de Datos (RGPD) es la normativa europea que protege tu información personal desde 2018, complementada en España por la LOPDGDD (Ley Orgánica 3/2018). Si vives en España o interactúas con empresas europeas, tienes ocho derechos fundamentales sobre tus datos que muchas personas desconocen o no saben ejercer. En esta guía te explicamos, punto por punto, cuáles son, cómo aplicarlos y qué hacer cuando una empresa no los respeta.

¿Qué es el RGPD y por qué te afecta?

El RGPD (Reglamento UE 2016/679) es una norma europea directamente aplicable en España que regula cómo empresas, administraciones y particulares pueden tratar tus datos personales. Se aplica a cualquier información que te identifique: nombre, correo, IP, ubicación, historial de compras, cookies, biometría o incluso opiniones expresadas en redes sociales.

En España, la autoridad de control es la Agencia Española de Protección de Datos (AEPD), que puede imponer sanciones de hasta 20 millones de euros o el 4% de la facturación anual global de la empresa infractora. Esto convierte al RGPD en una de las normativas más estrictas del mundo.

Principios básicos del RGPD

• Licitud, lealtad y transparencia: te deben informar de forma clara sobre el uso de tus datos.
• Limitación de la finalidad: solo pueden usarlos para el propósito declarado.
• Minimización: solo pueden recoger los datos estrictamente necesarios.
• Exactitud: los datos deben mantenerse actualizados.
• Limitación del plazo de conservación: no pueden guardarlos indefinidamente.
• Integridad y confidencialidad: obligación de protegerlos técnicamente.
• Responsabilidad proactiva: la empresa debe demostrar el cumplimiento.

Los 8 derechos RGPD que tienes en España

El RGPD reconoce ocho derechos que puedes ejercer de forma gratuita ante cualquier entidad que trate tus datos. La empresa tiene, por regla general, un mes para responder (ampliable a tres meses en casos complejos).

1. Derecho de acceso (art. 15 RGPD)

Puedes solicitar a cualquier empresa una copia de todos los datos que tenga sobre ti, junto con información sobre para qué los utiliza, con quién los comparte, cuánto tiempo los conservará y de dónde los ha obtenido.

Ejemplo práctico: pedir a tu operadora de móvil todos los datos de llamadas, ubicación y navegación que ha registrado sobre tu línea.

2. Derecho de rectificación (art. 16 RGPD)

Si detectas que una empresa tiene datos erróneos o incompletos sobre ti, puedes exigir su corrección. Esto es especialmente relevante en ficheros de morosidad como ASNEF o en historiales médicos y bancarios.

3. Derecho de supresión o "derecho al olvido" (art. 17 RGPD)

Puedes solicitar que borren tus datos cuando ya no sean necesarios, cuando retires el consentimiento, cuando te opongas al tratamiento o cuando se hayan tratado ilícitamente. Google y otros buscadores están obligados a desindexar resultados que te afecten cuando la solicitud es legítima.

4. Derecho a la limitación del tratamiento (art. 18 RGPD)

Permite "congelar" el uso de tus datos temporalmente. La empresa los conserva pero no puede utilizarlos hasta resolver una disputa. Es útil, por ejemplo, mientras se aclara si un dato es exacto o no.

5. Derecho a la portabilidad (art. 20 RGPD)

Puedes recibir tus datos en un formato estructurado y de uso común (como CSV o JSON) y transmitirlos a otro proveedor. Aplica sobre todo a servicios digitales: redes sociales, plataformas de streaming, bancos online o servicios de mensajería.

6. Derecho de oposición (art. 21 RGPD)

Puedes oponerte al tratamiento de tus datos, especialmente para marketing directo. En este caso, la empresa debe cesar inmediatamente el envío de comunicaciones comerciales sin poder alegar interés legítimo.

7. Derecho a no ser objeto de decisiones automatizadas (art. 22 RGPD)

Si un algoritmo toma decisiones que te afectan de forma significativa (concesión de un préstamo, contratación laboral, seguros), tienes derecho a exigir intervención humana, expresar tu punto de vista e impugnar la decisión.

8. Derecho a ser informado (arts. 13 y 14 RGPD)

Antes de recoger tus datos, la empresa debe informarte de forma clara y accesible sobre quién es responsable, con qué finalidad, base legal, plazo de conservación y tus derechos. Las políticas de privacidad ilegibles o escondidas incumplen este principio.

Tabla resumen: derechos RGPD y cuándo aplicarlos

Derecho	Artículo	Cuándo usarlo	Plazo empresa
Acceso	Art. 15	Saber qué datos tienen sobre ti	1 mes
Rectificación	Art. 16	Corregir datos erróneos	1 mes
Supresión	Art. 17	Borrar datos innecesarios	1 mes
Limitación	Art. 18	Congelar el uso de datos	1 mes
Portabilidad	Art. 20	Migrar datos a otro proveedor	1 mes
Oposición	Art. 21	Frenar marketing directo	Inmediato
Decisiones automatizadas	Art. 22	Exigir revisión humana	1 mes
Información	Arts. 13-14	Antes de la recogida	Previo

Cómo ejercer tus derechos RGPD paso a paso

Ejercer un derecho RGPD es un proceso gratuito y sencillo. Estos son los cinco pasos que debes seguir:

1. Identifica al responsable del tratamiento: busca en la política de privacidad de la empresa (razón social, dirección y contacto del Delegado de Protección de Datos si existe).
2. Redacta la solicitud: indica tu nombre, DNI, derecho que ejerces, datos concretos afectados y una dirección para recibir la respuesta.
3. Envíala por un medio con acuse de recibo: correo electrónico al DPO, formulario web específico o burofax en casos graves.
4. Espera la respuesta durante un mes: la empresa debe contestar, aunque sea para pedir aclaraciones o denegar motivadamente.
5. Reclama ante la AEPD si no responden: puedes presentar una reclamación gratuita en sede.aepd.gob.es aportando tu solicitud original y la ausencia de respuesta.

Modelo de solicitud básica

La AEPD ofrece plantillas oficiales para cada derecho, pero un modelo genérico debería incluir: tus datos identificativos, referencia expresa al artículo del RGPD que invocas, descripción clara de lo que solicitas, fecha y firma. Adjunta siempre copia del DNI para acreditar tu identidad.

Sanciones y casos reales en España

La AEPD publica trimestralmente resoluciones sancionadoras que sirven como jurisprudencia práctica. Algunos ejemplos relevantes de los últimos años:

• CaixaBank: sanción de 6 millones de euros por bases jurídicas de tratamiento poco claras.
• Vodafone España: múltiples multas por incumplir el derecho de oposición al marketing.
• Google: sanciones por el tratamiento de datos en Google Analytics sin garantías adecuadas para las transferencias internacionales.
• Empresas pequeñas: multas de entre 900 y 60.000 euros por videovigilancia sin cartel informativo, envío de emails comerciales sin consentimiento o brechas de seguridad no notificadas.

Como usuario, incluso si no hay una multa pública, tu reclamación puede forzar a la empresa a cambiar sus prácticas y proteger a miles de personas más.

RGPD y privacidad digital: buenas prácticas complementarias

El RGPD te da derechos, pero la mejor protección es también preventiva. Reducir tu huella digital limita la cantidad de datos que tendrás que reclamar después.

Reduce el rastro que dejas

• Usa correos electrónicos alias para registros en servicios secundarios (SimpleLogin, Firefox Relay, DuckDuckGo Email).
• Configura tu navegador con bloqueo de rastreadores y cookies de terceros por defecto (Firefox, Brave o Safari en modo estricto).
• Emplea DNS cifrado (DNS over HTTPS) para evitar que tu proveedor de internet registre tus consultas.
• Comprueba periódicamente si tus credenciales han sido filtradas. Aquí te dejamos una guía sobre cómo saber si tu contraseña ha sido filtrada.

Cuidado con los enlaces que compartes

Cuando compartes URLs en redes sociales, campañas de email o mensajería, muchos servicios añaden parámetros de seguimiento (UTMs, fbclid, gclid) que pueden revelar información sobre destinatarios. Utilizar un acortador de enlaces con enfoque en privacidad, como Lunyb, te permite generar URLs limpias, con estadísticas anónimas agregadas y sin compartir datos con terceros publicitarios. Si comparas opciones, revisa nuestra comparativa de plataformas de gestión de enlaces.

Situaciones habituales donde aplicar tus derechos

Ficheros de morosidad (ASNEF, Badexcug)

Si apareces indebidamente en un fichero de solvencia, puedes ejercer el derecho de supresión y rectificación. La empresa acreedora debe demostrar la deuda, que sea cierta, vencida y exigible, y haberte requerido previamente. Cualquier defecto formal invalida la inscripción.

Cookies y consentimiento web

Toda web dirigida a España debe ofrecer un banner con opciones claras: aceptar, rechazar y configurar. El botón "Rechazar todas" debe ser tan visible como "Aceptar todas". Si una web no lo permite, puedes denunciarla ante la AEPD.

Comunicaciones comerciales no deseadas

Puedes ejercer el derecho de oposición y, además, apuntarte a la Lista Robinson gestionada por Adigital para excluirte del marketing directo por correo, teléfono, SMS y email. Es gratuita y complementaria a los derechos RGPD.

Videovigilancia en el trabajo o comunidad de vecinos

Toda cámara debe tener cartel informativo visible, no puede grabar espacios públicos ajenos y solo puede conservar imágenes 30 días salvo requerimiento judicial. Los empleados tienen que ser informados por escrito antes de instalar el sistema.

Diferencias entre RGPD y LOPDGDD

Aunque a menudo se citan juntas, no son la misma norma. El RGPD es un reglamento europeo directamente aplicable. La LOPDGDD (Ley Orgánica 3/2018) es la ley española que lo desarrolla y añade derechos digitales adicionales, como:

• Derecho a la desconexión digital en el ámbito laboral.
• Derecho a la intimidad frente al uso de dispositivos de vigilancia y geolocalización por el empleador.
• Derecho al testamento digital sobre datos personales de fallecidos.
• Derecho a la educación digital.
• Protección específica de menores de 14 años.

Preguntas frecuentes sobre RGPD en España

¿Cuánto cuesta ejercer un derecho RGPD?

Es completamente gratuito. La empresa solo puede cobrar una tasa razonable si las solicitudes son manifiestamente infundadas o excesivas, algo que debe justificar. Denunciar ante la AEPD también es gratis.

¿Qué pasa si la empresa no responde en un mes?

El silencio se considera denegación tácita. Puedes reclamar directamente ante la AEPD aportando prueba de tu solicitud original. La agencia investigará de oficio y puede sancionar por vulneración del derecho ejercido.

¿El RGPD protege también mis datos en empresas extranjeras?

Sí, siempre que la empresa ofrezca bienes o servicios a residentes en la UE o monitorice su comportamiento. Google, Meta, Amazon, TikTok o Microsoft están sujetos al RGPD aunque su sede esté fuera de Europa. Las transferencias internacionales requieren garantías específicas (cláusulas contractuales tipo, decisiones de adecuación).

¿Puedo ejercer derechos RGPD sobre datos de un familiar fallecido?

Sí. La LOPDGDD reconoce que herederos y personas designadas pueden solicitar acceso, rectificación o supresión de los datos personales del fallecido, salvo que este lo hubiera prohibido expresamente en vida.

¿Se aplica el RGPD a autónomos y pymes?

Sí, cualquier persona física o jurídica que trate datos personales está obligada, con independencia de su tamaño. Existen algunas simplificaciones (no todas las empresas necesitan Delegado de Protección de Datos), pero los principios y derechos se aplican por igual.

Conclusión

El RGPD es una de las herramientas más poderosas que tienes como ciudadano en España para controlar tu identidad digital. Conocer tus ocho derechos, saber cómo ejercerlos y actuar cuando no se respetan te convierte en un usuario informado y reduce significativamente los riesgos de abusos, filtraciones o marketing intrusivo. Combina el ejercicio activo de tus derechos con buenas prácticas de higiene digital (contraseñas robustas, correos alias, navegadores con protección antirrastreo y herramientas de enlaces respetuosas con la privacidad) y tendrás una posición mucho más sólida frente a cualquier tratamiento indebido de tu información.