RGPD en España: Tus Derechos Explicados (Guía 2026)

El Reglamento General de Protección de Datos (RGPD) es la norma europea que regula cómo las empresas y organizaciones tratan tus datos personales. En España, se complementa con la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), supervisada por la Agencia Española de Protección de Datos (AEPD). Pero más allá de la jerga legal, lo que debes saber es que tienes derechos concretos que puedes ejercer gratuitamente frente a cualquier empresa que trate tus datos.

En esta guía te explicamos, de forma clara y práctica, cuáles son esos derechos, cómo ejercerlos, qué plazos tienen las empresas para responderte y qué puedes hacer si no cumplen.

¿Qué es el RGPD y por qué te afecta?

El RGPD (Reglamento UE 2016/679) es la normativa de protección de datos aplicable en toda la Unión Europea desde el 25 de mayo de 2018. Su objetivo es devolverte el control sobre tu información personal: nombre, correo electrónico, dirección IP, datos de salud, hábitos de compra, geolocalización y cualquier otro dato que permita identificarte.

Te afecta porque cualquier organización —ya sea una tienda online, tu banco, una red social o un ayuntamiento— que recopile tus datos debe cumplir una serie de obligaciones y respetar tus derechos. Y esto se aplica incluso a empresas fuera de la UE si ofrecen servicios a usuarios españoles.

Principios básicos que debes conocer

• Licitud, lealtad y transparencia: la empresa debe informarte de forma clara sobre el uso de tus datos.
• Minimización de datos: solo pueden pedirte lo estrictamente necesario.
• Limitación del plazo de conservación: no pueden guardar tus datos indefinidamente.
• Integridad y confidencialidad: deben protegerlos con medidas de seguridad adecuadas.
• Responsabilidad proactiva: la empresa debe poder demostrar que cumple la normativa.

Los 8 derechos RGPD que tienes en España

El RGPD reconoce ocho derechos fundamentales, conocidos como derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad, oposición, y los relativos a decisiones automatizadas y a la información). Vamos a verlos uno a uno.

1. Derecho de acceso (artículo 15 RGPD)

Puedes solicitar a cualquier empresa que te confirme qué datos tuyos están tratando, con qué finalidad, durante cuánto tiempo, a quién se los comunican y de dónde los han obtenido. La empresa debe entregarte una copia gratuita de esos datos.

Ejemplo práctico: escribes a una aerolínea pidiendo saber qué información tienen sobre ti. Deben enviarte el historial de vuelos, datos de contacto, preferencias y cualquier perfil que hayan construido.

2. Derecho de rectificación (artículo 16 RGPD)

Si detectas que tus datos son inexactos o están incompletos, puedes exigir que se corrijan. Por ejemplo, actualizar una dirección antigua en tu banco o corregir el DNI mal escrito en una compañía de seguros.

3. Derecho de supresión o "derecho al olvido" (artículo 17 RGPD)

Puedes pedir que borren tus datos cuando ya no sean necesarios, hayas retirado el consentimiento, te opongas al tratamiento o hayan sido tratados ilícitamente. Es el famoso "derecho al olvido", especialmente relevante en buscadores como Google.

Importante: no es un derecho absoluto. Hay excepciones si existen obligaciones legales de conservación (por ejemplo, facturas que Hacienda exige guardar durante años).

4. Derecho a la limitación del tratamiento (artículo 18 RGPD)

En lugar de borrar los datos, puedes solicitar que la empresa deje de usarlos temporalmente, por ejemplo mientras se verifica la exactitud de la información o se resuelve una reclamación. Los datos siguen almacenados, pero "congelados".

5. Derecho a la portabilidad (artículo 20 RGPD)

Puedes pedir que te entreguen tus datos en un formato estructurado y legible por máquina (JSON, CSV, XML) para transferirlos a otro proveedor. Muy útil al cambiar de plataforma de música, red social o servicio en la nube.

6. Derecho de oposición (artículo 21 RGPD)

Puedes oponerte al tratamiento de tus datos, especialmente para marketing directo o elaboración de perfiles. Cuando te opones a recibir publicidad, la empresa debe dejar de usarte para esos fines de forma inmediata.

7. Derecho a no ser objeto de decisiones automatizadas (artículo 22 RGPD)

Si una empresa toma decisiones que te afectan significativamente usando algoritmos sin intervención humana (por ejemplo, denegarte un préstamo), tienes derecho a exigir revisión humana, expresar tu punto de vista e impugnar la decisión.

8. Derecho de información (artículos 13 y 14 RGPD)

Antes incluso de recopilar tus datos, la empresa debe informarte claramente de quién los trata, para qué, durante cuánto tiempo y cuáles son tus derechos. Es la base de la política de privacidad que ves en cualquier web.

Tabla resumen de los derechos RGPD

Derecho	Artículo	¿Para qué sirve?	Plazo de respuesta
Acceso	Art. 15	Saber qué datos tienen de ti	1 mes
Rectificación	Art. 16	Corregir datos erróneos	1 mes
Supresión	Art. 17	Eliminar tus datos	1 mes
Limitación	Art. 18	Congelar el uso temporalmente	1 mes
Portabilidad	Art. 20	Transferir datos a otro servicio	1 mes
Oposición	Art. 21	Rechazar marketing o perfilado	1 mes
Decisiones automatizadas	Art. 22	Exigir revisión humana	1 mes
Información	Arts. 13-14	Saber cómo tratan tus datos	Antes del tratamiento

Cómo ejercer tus derechos paso a paso

Ejercer un derecho RGPD es más sencillo de lo que parece. No necesitas abogado ni formularios complicados. Sigue estos pasos:

1. Identifica al responsable del tratamiento. Es la empresa u organización que tiene tus datos. Suele aparecer en la política de privacidad de su web.
2. Localiza el canal de contacto para RGPD. Puede ser un correo tipo privacidad@empresa.com o dpo@empresa.com, un formulario web o una dirección postal.
3. Redacta tu solicitud por escrito. Indica tu nombre completo, DNI (o copia), el derecho que ejerces y los detalles concretos. Puedes usar los modelos oficiales de la AEPD en aepd.es.
4. Envíala por un medio que deje constancia. Correo electrónico con acuse de recibo, burofax o entrega en registro.
5. Espera la respuesta. La empresa tiene un mes para responderte, prorrogable a dos meses más en casos complejos (deben notificártelo).
6. Si no responden o rechazan tu solicitud sin justificación, puedes reclamar ante la AEPD gratuitamente a través de su sede electrónica.

¿Qué hacer si una empresa no respeta tus derechos?

Si una empresa ignora tu solicitud, te responde fuera de plazo o rechaza tu petición sin motivo válido, tienes varias vías de actuación:

Reclamación ante la AEPD

La Agencia Española de Protección de Datos es la autoridad de control en España. Puedes presentar una reclamación de forma gratuita y online en aepd.es. Necesitas certificado digital, Cl@ve o DNI electrónico. La AEPD investigará y puede imponer sanciones a la empresa.

Sanciones económicas

El RGPD contempla multas de hasta 20 millones de euros o el 4% de la facturación anual global de la empresa, lo que sea mayor. En España ya se han impuesto sanciones millonarias a bancos, aerolíneas y grandes tecnológicas.

Vía judicial

También puedes acudir a los tribunales civiles para reclamar indemnización por daños y perjuicios, especialmente si la vulneración te ha causado un perjuicio concreto (económico, moral o reputacional).

Buenas prácticas para proteger tus datos en el día a día

Más allá de ejercer tus derechos cuando algo va mal, puedes adoptar hábitos que reducen tu exposición desde el principio:

• Lee las políticas de privacidad antes de aceptar. Al menos los puntos clave: finalidades, cesiones a terceros y plazos.
• Configura tu navegador para bloquear cookies de terceros y usa extensiones de bloqueo de rastreadores.
• Usa DNS cifrado (DoH o DoT) para evitar que terceros vean qué webs visitas.
• Crea alias de correo para registros poco importantes y mantén tu correo principal protegido.
• Revisa periódicamente los permisos de las apps en tu móvil y los servicios conectados a tus cuentas de Google o Apple.
• Acorta y controla los enlaces que compartes. Si gestionas enlaces de marketing o campañas, usa plataformas que cumplan el RGPD y te permitan controlar los datos de clics. Herramientas como Lunyb ofrecen acortamiento con enfoque en privacidad, útil tanto para profesionales como para usuarios cuidadosos.

RGPD y pequeñas empresas: lo mínimo que deben cumplir

Si tienes un negocio o un proyecto online en España, también debes cumplir el RGPD. Estos son los puntos imprescindibles:

1. Publicar una política de privacidad clara en tu web, con la información de los artículos 13 y 14.
2. Obtener consentimiento válido mediante casillas sin premarcar para newsletters, cookies no esenciales y marketing.
3. Llevar un registro de actividades de tratamiento (obligatorio salvo excepciones muy concretas).
4. Firmar contratos de encargado de tratamiento con tus proveedores (hosting, email marketing, analítica).
5. Notificar brechas de seguridad a la AEPD en 72 horas si afectan a datos personales.
6. Designar un Delegado de Protección de Datos (DPD) si tratas datos sensibles a gran escala.

Si gestionas una web y necesitas elegir herramientas que respeten la normativa, puedes consultar nuestro análisis de la mejor plataforma de gestión de enlaces 2026 o comparativas como Bitly vs Rebrandly para decidir con criterios de privacidad incluidos.

Novedades y tendencias RGPD en 2026

La normativa de protección de datos no está estática. Estas son algunas de las tendencias que marcarán 2026:

• Reglamento de IA (AI Act): complementa al RGPD regulando el uso de sistemas de inteligencia artificial, especialmente los de alto riesgo.
• Data Act y Data Governance Act: refuerzan el acceso y la portabilidad de datos entre servicios.
• Mayor control sobre cookies y publicidad comportamental: la AEPD ha endurecido sus guías sobre consentimiento de cookies.
• Transferencias internacionales: siguen bajo escrutinio tras sentencias como Schrems II; empresas con proveedores en EE.UU. deben revisar sus bases legales.
• Sanciones crecientes a redes sociales y grandes tecnológicas por tratamiento ilícito de datos de menores.

Preguntas frecuentes sobre el RGPD en España

¿Cuánto cuesta ejercer un derecho RGPD?

Ejercer cualquier derecho RGPD es totalmente gratuito. Solo si las solicitudes son manifiestamente infundadas o excesivas (por ejemplo, repetitivas), la empresa puede cobrar un canon razonable o negarse. Lo mismo ocurre con las reclamaciones ante la AEPD: son gratuitas.

¿Puedo ejercer mis derechos en empresas de fuera de la UE?

Sí. Si una empresa, aunque esté en EE.UU., Reino Unido o Asia, ofrece productos o servicios a usuarios en España o monitoriza su comportamiento, debe cumplir el RGPD. Deben designar un representante en la UE al que puedes dirigirte.

¿Cuánto tiempo tiene una empresa para responder a mi solicitud?

El plazo general es de un mes desde la recepción de la solicitud. Puede ampliarse dos meses más en casos complejos o cuando hay muchas solicitudes, pero deben notificártelo y justificarlo dentro del primer mes.

¿El derecho al olvido obliga a Google a borrar resultados sobre mí?

Google y otros buscadores deben valorar tu solicitud y, si no existe un interés público prevalente (por ejemplo, información sobre cargos públicos o delitos relevantes), están obligados a desindexar los resultados. Si rechazan tu petición, puedes reclamar ante la AEPD.

¿Qué pasa si una empresa sufre un ciberataque y roban mis datos?

La empresa debe notificar la brecha a la AEPD en 72 horas y, si existe alto riesgo para tus derechos, también a ti directamente. Puedes exigir medidas correctoras, reclamar indemnización por daños y presentar denuncia ante la AEPD si consideras que no se tomaron medidas de seguridad adecuadas.

Conclusión

El RGPD no es solo una normativa abstracta: es un conjunto de derechos reales que puedes ejercer frente a cualquier empresa que trate tus datos en España. Conocerlos y usarlos es la mejor forma de recuperar el control sobre tu información personal en un mundo cada vez más digitalizado.

Si tienes dudas concretas, la AEPD ofrece guías gratuitas, modelos de solicitudes y un servicio de atención ciudadana. Y si gestionas un negocio online, cumplir el RGPD no es solo una obligación legal: es también una ventaja competitiva en términos de confianza y reputación.