RGPD en España: Tus Derechos Explicados (Guía Completa 2026)

El Reglamento General de Protección de Datos (RGPD) es la normativa europea que protege tus datos personales desde 2018. En España se complementa con la LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales). Juntos, estos marcos legales te otorgan una serie de derechos que puedes ejercer frente a cualquier empresa, administración pública u organización que trate tus datos.

En esta guía vas a conocer, de forma clara y práctica, cuáles son tus derechos bajo el RGPD en España, cómo ejercerlos, qué plazos existen y qué hacer si no te responden.

¿Qué es el RGPD y por qué te afecta?

El RGPD (Reglamento UE 2016/679) es una norma de aplicación directa en toda la Unión Europea que regula cómo las organizaciones recogen, almacenan, utilizan y comparten los datos personales de las personas físicas. En España, la Agencia Española de Protección de Datos (AEPD) es la autoridad encargada de velar por su cumplimiento.

Te afecta siempre que seas una persona física residente en España (o en cualquier país de la UE) y una entidad trate datos relacionados contigo: tu nombre, correo electrónico, dirección IP, historial de compras, ubicación, datos de salud, etc. No importa si la empresa está fuera de Europa: si te ofrece productos o servicios aquí, debe cumplir el RGPD.

Principios básicos del tratamiento de datos

• Licitud, lealtad y transparencia: deben informarte de forma clara sobre qué datos recogen y para qué.
• Limitación de la finalidad: los datos solo pueden usarse para los fines concretos declarados.
• Minimización: solo pueden pedirte los datos estrictamente necesarios.
• Exactitud: tus datos deben estar actualizados.
• Limitación del plazo de conservación: no pueden guardarlos indefinidamente.
• Integridad y confidencialidad: deben protegerlos frente a accesos no autorizados.
• Responsabilidad proactiva: la entidad debe poder demostrar que cumple la norma.

Los derechos RGPD en España: resumen

El RGPD te reconoce ocho derechos fundamentales, a menudo denominados "derechos ARSULIPO" por sus iniciales. Son gratuitos (salvo solicitudes manifiestamente infundadas o excesivas) y pueden ejercerse directamente ante el responsable del tratamiento.

Derecho	¿Para qué sirve?	Plazo de respuesta
Acceso	Saber qué datos tuyos tienen y cómo los usan	1 mes (ampliable a 3)
Rectificación	Corregir datos inexactos o incompletos	1 mes
Supresión (olvido)	Eliminar tus datos cuando ya no sean necesarios	1 mes
Limitación	Restringir temporalmente el tratamiento	1 mes
Portabilidad	Recibir tus datos en formato reutilizable	1 mes
Oposición	Oponerte a determinados tratamientos	1 mes
Decisiones automatizadas	No ser evaluado solo por algoritmos	1 mes
Información	Recibir información clara al recoger los datos	En el momento

Derecho de acceso (artículo 15 RGPD)

El derecho de acceso te permite saber si una organización está tratando tus datos personales y, si es así, obtener una copia de ellos junto con información sobre: las finalidades del tratamiento, las categorías de datos, los destinatarios a los que se comunican, el plazo previsto de conservación, el origen de los datos y la existencia de decisiones automatizadas.

Cómo ejercerlo

1. Identifica al responsable del tratamiento (suele aparecer en la política de privacidad).
2. Envía una solicitud por escrito (email, formulario web o carta) indicando que ejerces tu derecho de acceso del artículo 15 RGPD.
3. Acompaña tu solicitud con una copia de tu DNI o documento identificativo.
4. Guarda prueba del envío.

La entidad debe responderte en el plazo máximo de un mes. La primera copia es gratuita; las adicionales pueden tener un coste razonable.

Derecho de rectificación (artículo 16)

Puedes solicitar que se corrijan datos personales inexactos o incompletos que una organización mantenga sobre ti. Por ejemplo, si tu banco tiene mal escrito tu apellido o una tienda online conserva una dirección antigua.

La solicitud debe especificar qué dato es incorrecto y cuál es el valor correcto, aportando documentación justificativa cuando sea necesario (por ejemplo, un certificado de empadronamiento para acreditar un cambio de domicilio).

Derecho de supresión o "derecho al olvido" (artículo 17)

Es uno de los derechos más conocidos. Te permite pedir que se eliminen tus datos personales cuando concurra alguna de estas circunstancias:

• Los datos ya no son necesarios para la finalidad por la que se recogieron.
• Retiras el consentimiento que diste y no existe otra base legal.
• Te opones al tratamiento y no prevalecen motivos legítimos.
• Los datos se han tratado ilícitamente.
• Deben suprimirse por obligación legal.

Límites al derecho al olvido

Este derecho no es absoluto. No podrás eliminar datos cuando el tratamiento sea necesario para: ejercer la libertad de expresión e información, cumplir una obligación legal, por razones de interés público en el ámbito de la salud, con fines de archivo de interés público, o para la formulación, ejercicio o defensa de reclamaciones.

Un caso típico: puedes pedir a Google que desindexe resultados que aparecen cuando buscan tu nombre si son obsoletos o lesivos, pero la fuente original podría permanecer online si está amparada por el interés informativo.

Derecho a la limitación del tratamiento (artículo 18)

Este derecho actúa como una especie de "pausa" temporal. Puedes solicitarlo cuando:

• Impugnas la exactitud de los datos, mientras se verifica.
• El tratamiento es ilícito pero no quieres que se eliminen (por ejemplo, porque los necesitas para una reclamación).
• La entidad ya no necesita los datos, pero tú los requieres para reclamaciones legales.
• Te has opuesto al tratamiento y se está evaluando tu solicitud.

Durante la limitación, los datos solo pueden conservarse, no utilizarse salvo que des tu consentimiento o lo exija la ley.

Derecho a la portabilidad (artículo 20)

La portabilidad te permite recibir tus datos personales en un formato estructurado, de uso común y lectura mecánica (como JSON, CSV o XML), y transmitirlos a otro responsable. Es especialmente útil para cambiar de proveedor sin perder tu historial.

Ejemplos prácticos: descargar tu historial de reproducciones de Spotify para llevarlo a otro servicio, exportar tus fotos de una red social, o solicitar el histórico de pedidos de un comercio online.

Solo se aplica cuando: el tratamiento se basa en el consentimiento o en un contrato, y el tratamiento se realiza por medios automatizados.

Derecho de oposición (artículo 21)

Puedes oponerte al tratamiento de tus datos por motivos relacionados con tu situación particular, especialmente cuando se basa en el interés legítimo del responsable o en una misión de interés público.

Un caso especialmente importante es la oposición al marketing directo: aquí tu derecho es absoluto. Si pides dejar de recibir publicidad, la entidad debe cesar de inmediato cualquier comunicación comercial dirigida a ti, incluyendo la elaboración de perfiles con esa finalidad.

Derecho a no ser objeto de decisiones automatizadas (artículo 22)

Tienes derecho a no ser sometido a decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o te afecten significativamente de modo similar.

Ejemplos típicos: la concesión automática o denegación de un crédito, la selección de candidatos para un empleo mediante algoritmos, o la fijación de precios dinámicos basados en tu perfil. Puedes exigir intervención humana, expresar tu punto de vista e impugnar la decisión.

Derecho de información (artículos 13 y 14)

Antes incluso de tratar tus datos, la entidad debe informarte de forma concisa, transparente, inteligible y en lenguaje claro sobre: identidad del responsable, finalidades, base jurídica, destinatarios, plazos de conservación, derechos que te asisten y cómo ejercerlos. Esta información suele presentarse en la política de privacidad.

Cómo ejercer tus derechos: guía práctica

1. Identifica al responsable: busca en la política de privacidad quién es y dónde contactar (suele existir un correo de privacidad o un Delegado de Protección de Datos).
2. Redacta la solicitud: indica tu identidad, el derecho que ejerces (citando el artículo del RGPD), y los datos o tratamiento concretos a los que te refieres.
3. Adjunta DNI o documento equivalente para acreditar tu identidad.
4. Envíala por un medio con prueba: email con confirmación de lectura, formulario oficial de la web, burofax o correo certificado para casos sensibles.
5. Conserva pruebas: guarda copias de todo el intercambio.
6. Espera la respuesta: el plazo general es de un mes desde la recepción, ampliable a dos meses adicionales si la solicitud es compleja (deberán notificártelo).

¿Qué hacer si no te responden o rechazan tu solicitud?

Si transcurrido el plazo no recibes respuesta, o si la respuesta no te satisface, puedes:

1. Contactar con el Delegado de Protección de Datos (DPO) de la organización, si existe.
2. Presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD). Si quieres saber cómo, consulta nuestra guía sobre cómo presentar una reclamación en la AEPD paso a paso.
3. Acudir a la vía judicial para reclamar una indemnización por daños y perjuicios cuando proceda.

Sanciones por incumplimiento del RGPD

El RGPD prevé sanciones muy relevantes para las organizaciones que incumplen la normativa:

• Infracciones graves: hasta 10 millones de euros o el 2% de la facturación anual global.
• Infracciones muy graves: hasta 20 millones de euros o el 4% de la facturación anual global.

En España, la AEPD publica regularmente resoluciones sancionadoras, y multas de varios millones de euros a grandes compañías ya no son excepción.

Protección adicional: buenas prácticas digitales

Más allá de ejercer tus derechos, puedes reducir tu exposición de datos adoptando hábitos digitales responsables:

• Revisa periódicamente los permisos de aplicaciones y servicios.
• Usa navegadores centrados en privacidad y bloqueadores de rastreadores.
• Configura DNS cifrado (DoH/DoT) para proteger tu actividad en la red.
• Utiliza correos electrónicos desechables para registros poco relevantes.
• Al compartir enlaces en redes sociales o campañas, usa un acortador que respete tu privacidad y no venda tus datos. Herramientas como Lunyb permiten acortar URL con analítica agregada y sin perfilado invasivo, cumpliendo con el RGPD.
• Si gestionas enlaces de forma profesional, elige plataformas transparentes con sus políticas de datos: revisa nuestro análisis sobre la mejor plataforma de gestión de enlaces 2026.

Casos frecuentes en España

Baja de newsletters y publicidad

Toda comunicación comercial debe incluir un enlace de baja fácil y gratuito. Si no lo tiene, o si tras darte de baja siguen contactándote, es infracción del RGPD y de la LSSI.

Cesión de datos a terceros sin consentimiento

Si descubres que tus datos han sido compartidos con empresas no autorizadas (típico en llamadas comerciales no solicitadas), puedes solicitar el origen de los datos (derecho de acceso) y, si es irregular, denunciar. Para llamadas sospechosas, también te interesará saber cómo reportar un número de estafa.

Grabaciones y cámaras de vigilancia

Puedes solicitar acceso a las imágenes en las que apareces (típicamente en comunidades de vecinos o comercios). El plazo de conservación habitual es de 30 días.

Preguntas frecuentes

¿Cuánto tarda una empresa en responder a mi solicitud RGPD?

El plazo general es de un mes desde la recepción de tu solicitud. Puede ampliarse dos meses más si la solicitud es especialmente compleja o si hay varias peticiones, pero la empresa debe notificártelo dentro del primer mes explicando los motivos.

¿Cuesta dinero ejercer mis derechos del RGPD?

No, los derechos RGPD son gratuitos. Solo pueden cobrarte un canon razonable (o negarse a actuar) cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo. La carga de demostrar ese carácter excesivo recae en la organización.

¿Puedo ejercer mis derechos por internet sin enviar el DNI?

Sí, si la empresa ya te identifica de forma segura (por ejemplo, al estar logueado en su área de cliente con doble factor). En otros casos, exigir el DNI es legítimo para evitar suplantaciones. Nunca envíes el DNI por canales inseguros y, si quieres, puedes tachar el número de soporte y el firmante del documento.

¿Qué pasa si la empresa está fuera de la Unión Europea?

Si ofrece bienes o servicios a residentes en la UE, o monitoriza su comportamiento, debe cumplir el RGPD y designar un representante en la Unión. Puedes dirigirte tanto al responsable extranjero como a su representante en la UE para ejercer tus derechos.

¿Puedo reclamar una indemnización si han vulnerado mis datos?

Sí. El artículo 82 del RGPD reconoce el derecho a indemnización por los daños y perjuicios materiales (económicos) e inmateriales (morales) causados por el incumplimiento. Esta reclamación se realiza ante los tribunales civiles y es compatible con la denuncia ante la AEPD.

Conclusión

El RGPD te otorga un conjunto robusto de derechos para controlar qué se hace con tu información personal. Conocerlos y ejercerlos es la mejor forma de proteger tu identidad digital y exigir transparencia a las organizaciones. Si en algún momento una entidad no respeta estos derechos, cuentas con el respaldo de la AEPD y, en última instancia, de los tribunales.

Combina el ejercicio activo de tus derechos con buenos hábitos digitales y herramientas que respeten tu privacidad desde el diseño. Tu información personal es un activo valioso: protégela.