RGPD en España: Tus Derechos Explicados (Guía Completa 2026)

El Reglamento General de Protección de Datos (RGPD) es la normativa europea que regula cómo las empresas y organismos deben tratar tus datos personales. En España, se complementa con la LOPDGDD (Ley Orgánica 3/2018) y es supervisado por la Agencia Española de Protección de Datos (AEPD). Como ciudadano o residente en España, dispones de una serie de derechos concretos que puedes ejercer en cualquier momento y de forma gratuita.

En esta guía te explico, punto por punto, cuáles son tus derechos bajo el RGPD, cómo ejercerlos ante una empresa, qué plazos existen y qué hacer si no respetan tu solicitud. También incluyo ejemplos prácticos, una tabla comparativa de derechos y una sección de preguntas frecuentes.

¿Qué es el RGPD y por qué te afecta?

El RGPD (Reglamento UE 2016/679) es una norma de aplicación directa en todos los Estados miembros de la Unión Europea desde el 25 de mayo de 2018. Su objetivo es proteger a las personas físicas en lo relativo al tratamiento de sus datos personales y garantizar la libre circulación de esos datos dentro de la UE.

En España, el RGPD se aplica junto con la LOPDGDD, que desarrolla y adapta el reglamento europeo al ordenamiento jurídico español. La AEPD es la autoridad de control encargada de velar por su cumplimiento, investigar denuncias e imponer sanciones cuando corresponda.

¿A quién se aplica?

El RGPD se aplica a:

• Cualquier empresa u organización establecida en la UE que trate datos personales.
• Empresas fuera de la UE que ofrezcan bienes o servicios a residentes en la UE.
• Organizaciones que monitoricen el comportamiento de personas dentro de la UE (por ejemplo, mediante cookies o análisis de tráfico web).

Esto significa que casi cualquier web, tienda online, red social, banco, aseguradora o administración pública que trate tus datos está sujeta al RGPD.

Los 8 derechos principales del RGPD en España

El RGPD reconoce ocho derechos fundamentales que puedes ejercer frente a cualquier responsable del tratamiento de tus datos. Son gratuitos, personales y deben responderse en un plazo máximo de un mes (ampliable a dos meses en casos complejos).

1. Derecho de acceso (Art. 15)

Puedes solicitar a una empresa que te confirme si está tratando tus datos personales y, en ese caso, obtener una copia de esos datos junto con información sobre:

• Las finalidades del tratamiento.
• Las categorías de datos tratados.
• Los destinatarios a los que se comunican.
• El plazo previsto de conservación.
• El origen de los datos si no los facilitaste tú.

Ejemplo práctico: puedes escribir a tu operador de telefonía pidiendo una copia de todos los datos que conservan sobre ti, incluidas las grabaciones de llamadas si las hay.

2. Derecho de rectificación (Art. 16)

Si detectas que una empresa tiene datos tuyos incorrectos o incompletos, puedes exigir que los corrija o complete. Por ejemplo, un error en tu dirección postal en el banco, una fecha de nacimiento equivocada en tu historial médico o un correo electrónico obsoleto en una plataforma.

3. Derecho de supresión o "al olvido" (Art. 17)

Conocido popularmente como "derecho al olvido", te permite solicitar que se borren tus datos personales cuando:

1. Ya no son necesarios para la finalidad para la que se recogieron.
2. Retiras el consentimiento y no existe otra base legal para el tratamiento.
3. Te opones al tratamiento y no prevalecen motivos legítimos.
4. Los datos se han tratado de forma ilícita.
5. Existe una obligación legal de suprimirlos.

Este derecho tiene límites: no se aplica cuando el tratamiento es necesario por libertad de expresión, obligación legal, interés público o defensa de reclamaciones.

4. Derecho a la limitación del tratamiento (Art. 18)

Puedes pedir que se "congele" temporalmente el uso de tus datos sin que se borren. Esto es útil, por ejemplo, cuando impugnas la exactitud de tus datos y quieres que no se usen mientras se verifica la información.

5. Derecho a la portabilidad (Art. 20)

Te permite recibir tus datos personales en un formato estructurado, de uso común y lectura mecánica (por ejemplo, CSV o JSON), y transmitirlos a otro responsable sin impedimentos. Es especialmente útil al cambiar de banco, red social o proveedor de servicios digitales.

6. Derecho de oposición (Art. 21)

Puedes oponerte al tratamiento de tus datos en cualquier momento cuando se base en interés legítimo o interés público. En el caso del marketing directo, la oposición es absoluta: la empresa debe dejar de tratarlos inmediatamente sin necesidad de justificación.

7. Derecho a no ser objeto de decisiones automatizadas (Art. 22)

Tienes derecho a no ser sometido a decisiones basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos o te afecten significativamente. Por ejemplo, la denegación automática de un crédito por un algoritmo debe permitirte solicitar intervención humana.

8. Derecho a retirar el consentimiento

Cuando el tratamiento se basa en tu consentimiento, puedes retirarlo en cualquier momento con la misma facilidad con la que lo concediste. La retirada no afecta a la licitud del tratamiento previo.

Tabla resumen de derechos RGPD

Derecho	Artículo RGPD	Uso típico	Plazo respuesta
Acceso	Art. 15	Saber qué datos tienen sobre ti	1 mes
Rectificación	Art. 16	Corregir datos erróneos	1 mes
Supresión	Art. 17	Borrar tus datos	1 mes
Limitación	Art. 18	Bloquear uso temporalmente	1 mes
Portabilidad	Art. 20	Migrar tus datos a otro proveedor	1 mes
Oposición	Art. 21	Parar marketing o perfilado	1 mes
Decisiones automatizadas	Art. 22	Solicitar intervención humana	1 mes
Retirada consentimiento	Art. 7	Cancelar autorización previa	Inmediato

Cómo ejercer tus derechos RGPD paso a paso

Ejercer un derecho RGPD es más sencillo de lo que parece. Sigue estos pasos:

1. Identifica al responsable del tratamiento. Revisa la política de privacidad de la empresa o servicio. Ahí encontrarás el nombre, dirección postal y correo del responsable, así como del Delegado de Protección de Datos (DPD) si existe.
2. Redacta una solicitud clara. Indica tu nombre completo, DNI (o documento equivalente), el derecho que ejerces, los datos concretos afectados y una dirección para recibir respuesta.
3. Envía la solicitud. Puede ser por correo electrónico, formulario web habilitado, correo postal o incluso presencialmente. Guarda siempre una copia y prueba de envío.
4. Espera la respuesta. La empresa tiene un mes desde la recepción. Puede ampliar dos meses más si la solicitud es compleja, pero debe notificártelo dentro del primer mes.
5. Si no responden o rechazan sin motivo, reclama. Puedes presentar una reclamación ante la AEPD de forma gratuita a través de su Sede electrónica.

La AEPD dispone de modelos de solicitud descargables en su web (aepd.es) que puedes usar como plantilla para cualquiera de los derechos.

Reclamaciones ante la AEPD: cómo y cuándo

La Agencia Española de Protección de Datos es el organismo público independiente encargado de velar por el cumplimiento del RGPD y la LOPDGDD en España. Puedes acudir a ella cuando una empresa no atiende tu solicitud, la responde de forma insatisfactoria o directamente vulnera tus derechos.

Pasos para reclamar

1. Accede a la Sede electrónica de la AEPD (sedeagpd.gob.es).
2. Identifícate con certificado digital, DNIe o Cl@ve.
3. Rellena el formulario de reclamación indicando la empresa, los hechos y los derechos vulnerados.
4. Adjunta pruebas: correos, capturas, la solicitud original enviada al responsable, etc.
5. Envía la reclamación y guarda el justificante.

La AEPD puede archivar la reclamación, mediar entre las partes, abrir un procedimiento sancionador o imponer multas que van desde apercibimientos hasta 20 millones de euros o el 4% de la facturación anual global, la cifra que sea mayor.

RGPD y servicios online: cookies, tracking y acortadores

El RGPD afecta a muchos servicios cotidianos: cookies, pixels de seguimiento, formularios de contacto, newsletters e incluso enlaces acortados. Cualquier servicio que recopile datos como tu IP, dispositivo o ubicación entra dentro del ámbito del reglamento.

Cookies y consentimiento

Las webs españolas deben mostrar un banner de cookies que permita aceptar, rechazar o configurar las cookies no esenciales con el mismo grado de facilidad. Rechazar debe ser tan sencillo como aceptar. La AEPD ha publicado guías específicas sobre uso de cookies actualizadas anualmente.

Acortadores de enlaces y protección de datos

Los acortadores procesan datos como IP, país, navegador o referrer al hacer clic. Es importante elegir servicios que cumplan con el RGPD, informen claramente en su política de privacidad y ofrezcan mecanismos para ejercer tus derechos. Servicios como Lunyb ofrecen acortamiento de enlaces con enfoque en la privacidad, transparencia sobre los datos recogidos y cumplimiento normativo europeo.

Si utilizas acortadores con fines de marketing, revisa nuestra guía de retargeting con acortadores para hacerlo respetando el consentimiento del usuario. También puedes comparar plataformas en nuestro análisis de la mejor plataforma de gestión de enlaces 2026.

Buenas prácticas para proteger tus datos personales

Además de conocer tus derechos, conviene adoptar hábitos que reduzcan tu exposición:

• Lee las políticas de privacidad antes de aceptarlas, al menos las secciones sobre finalidades y cesiones a terceros.
• Rechaza cookies innecesarias siempre que sea posible.
• Usa contraseñas robustas y únicas. Consulta nuestra comparativa de mejores gestores de contraseñas 2026.
• Activa la autenticación en dos pasos en todas las cuentas críticas.
• Revisa periódicamente qué aplicaciones y servicios tienen acceso a tus datos.
• Elige proveedores europeos cuando sea posible, ya que están directamente sujetos al RGPD.

Sanciones por incumplimiento del RGPD en España

La AEPD ha sido una de las autoridades más activas de Europa en materia de sanciones. Las multas se dividen en dos tramos según la gravedad:

• Infracciones leves y graves: hasta 10 millones de euros o 2% de la facturación anual mundial.
• Infracciones muy graves: hasta 20 millones de euros o 4% de la facturación anual mundial.

Entre las empresas sancionadas figuran bancos, aerolíneas, operadores de telecomunicaciones y grandes plataformas digitales. La reclamación ciudadana es la principal vía por la que la AEPD inicia investigaciones.

Preguntas frecuentes (FAQ)

¿Puedo ejercer mis derechos RGPD si vivo en España pero la empresa está fuera de la UE?

Sí. El RGPD se aplica a cualquier organización que ofrezca servicios a residentes en la UE o monitorice su comportamiento, aunque esté fuera de Europa. Deben designar un representante en la UE y respetar tus derechos igual que una empresa española.

¿Cuánto cuesta ejercer un derecho RGPD?

Es gratuito. Solo si las solicitudes son manifiestamente infundadas o excesivas (por ejemplo, repetitivas) la empresa puede cobrar un canon razonable o negarse. Reclamar ante la AEPD también es gratuito.

¿Qué pasa si la empresa no responde en un mes?

Se considera un incumplimiento del RGPD. Puedes presentar una reclamación ante la AEPD adjuntando tu solicitud original y el justificante de envío. La AEPD investigará y podrá imponer sanciones.

¿Puedo pedir que borren mis datos de Google o redes sociales?

Sí, es uno de los usos más habituales del derecho de supresión. En el caso de buscadores, puedes solicitar la desindexación de resultados que contengan tu nombre y sean obsoletos, irrelevantes o excesivos. Existen formularios específicos en Google y en las principales redes sociales.

¿Los menores tienen derechos RGPD?

Sí. En España, los menores de 14 años necesitan consentimiento de padres o tutores para que se traten sus datos. Los derechos son los mismos y pueden ejercerlos los representantes legales en su nombre.

Conclusión

El RGPD te otorga un control real sobre tus datos personales. Conocer y ejercer tus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición es la mejor forma de proteger tu privacidad en un entorno digital cada vez más complejo. La AEPD está para ayudarte cuando una empresa no cumpla, y ejercer estos derechos es siempre gratuito.

Combina el ejercicio activo de tus derechos con buenas prácticas de seguridad digital (contraseñas fuertes, autenticación en dos pasos, elección de servicios respetuosos con la privacidad) y tendrás una defensa sólida frente a los abusos en el tratamiento de tus datos.