RGPD en España: Tus Derechos Explicados (Guía Completa 2026)

El Reglamento General de Protección de Datos (RGPD) entró en vigor en mayo de 2018 y cambió por completo la forma en que las empresas pueden tratar tu información personal. En España, se complementa con la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Pero más allá de la jerga legal, lo que realmente importa es esto: tienes derechos muy concretos sobre tus datos, y muchos ciudadanos ni siquiera saben que existen.

En esta guía vamos a desgranar cada uno de esos derechos, cómo ejercerlos y qué hacer cuando una empresa no los respeta. Todo explicado de forma clara, con ejemplos reales y los pasos exactos para presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

¿Qué es el RGPD y por qué te afecta?

El RGPD es una norma europea que regula cómo las empresas y organismos públicos pueden recopilar, almacenar y usar los datos personales de los ciudadanos de la Unión Europea. Se aplica a cualquier empresa que trate datos de residentes en la UE, incluso si la compañía está en Estados Unidos o China.

En España, la autoridad de control es la Agencia Española de Protección de Datos (AEPD), con sede en Madrid. Es el organismo al que puedes acudir cuando una empresa vulnera tus derechos, y tiene potestad para imponer sanciones que pueden alcanzar los 20 millones de euros o el 4% de la facturación global anual de la empresa infractora.

Te afecta cada vez que:

Te registras en una web o aplicación.
Compras algo online o en una tienda física.
Acudes al médico, al banco o a la administración pública.
Tu empresa guarda tu nómina o tu currículum.
Alguien publica una foto tuya en redes sociales.

Los 8 derechos RGPD que tienes en España

El RGPD reconoce ocho derechos fundamentales, conocidos popularmente como "derechos ARSOPOL" (acrónimo de Acceso, Rectificación, Supresión, Oposición, Portabilidad, Oposición a decisiones automatizadas y Limitación). Vamos a verlos uno a uno.

1. Derecho de acceso (Art. 15 RGPD)

Puedes solicitar a cualquier empresa u organismo que te confirme si está tratando tus datos personales y, en caso afirmativo, que te facilite una copia de los mismos junto con información sobre:

La finalidad del tratamiento.
Las categorías de datos que manejan.
Los destinatarios a los que se comunican tus datos.
El plazo previsto de conservación.
Si existen transferencias internacionales.

La empresa debe responderte en el plazo máximo de un mes (prorrogable a dos más en casos complejos) y de forma gratuita. Solo pueden cobrarte si las solicitudes son manifiestamente excesivas o repetitivas.

2. Derecho de rectificación (Art. 16 RGPD)

Si tus datos están incompletos o son inexactos, tienes derecho a que los corrijan sin dilación. Por ejemplo: un banco que mantiene mal escrito tu apellido, una tienda online con una dirección de envío antigua, o una aseguradora con datos médicos erróneos.

3. Derecho de supresión o "derecho al olvido" (Art. 17 RGPD)

Puedes solicitar que borren tus datos cuando:

Ya no sean necesarios para la finalidad por la que se recogieron.
Retires el consentimiento y no exista otra base legal para su tratamiento.
Te opongas al tratamiento y no haya motivos legítimos que prevalezcan.
Los datos se hayan tratado de forma ilícita.
Deban suprimirse por obligación legal.

Este derecho tiene límites importantes: no se aplica cuando los datos son necesarios para cumplir obligaciones legales (por ejemplo, la Hacienda española conserva datos fiscales durante años), para ejercer la libertad de expresión, o para formular reclamaciones judiciales.

4. Derecho de oposición (Art. 21 RGPD)

Puedes oponerte al tratamiento de tus datos por motivos relacionados con tu situación particular, especialmente cuando se usan para marketing directo. En este último caso, la oposición es absoluta: no tienen que valorar nada, deben dejar de enviarte publicidad inmediatamente.

5. Derecho a la portabilidad (Art. 20 RGPD)

Si entregaste tus datos a una empresa de forma directa y el tratamiento se basa en tu consentimiento o en un contrato, puedes pedir que te los entreguen en un formato estructurado y legible por máquina (CSV, JSON, XML), o incluso que los transmitan directamente a otra empresa. Esto facilita, por ejemplo, cambiar de banco, de operadora de telefonía o de proveedor de correo electrónico.

6. Derecho a la limitación del tratamiento (Art. 18 RGPD)

Es una especie de "pausa" sobre tus datos. Puedes pedir que la empresa los conserve pero no los use mientras se resuelve una disputa, por ejemplo, mientras verifican la exactitud de un dato que has impugnado.

7. Derecho a no ser objeto de decisiones automatizadas (Art. 22 RGPD)

Tienes derecho a no ser sometido a decisiones basadas únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que produzcan efectos jurídicos o te afecten significativamente. Por ejemplo: si un banco rechaza tu hipoteca basándose solo en un algoritmo, puedes exigir intervención humana.

8. Derecho a ser informado (Arts. 13 y 14 RGPD)

Cuando una empresa recoge tus datos, debe informarte en ese mismo momento sobre quién trata los datos, con qué finalidad, cuál es la base legal, a quién los comunicará y durante cuánto tiempo los conservará. Por eso ves esas políticas de privacidad y banners de cookies por todas partes.

Tabla comparativa: Plazos y requisitos de cada derecho

Derecho	Plazo respuesta	Coste	Formato
Acceso	1 mes (+2 prórroga)	Gratuito	Copia escrita o electrónica
Rectificación	1 mes	Gratuito	Confirmación corrección
Supresión	1 mes	Gratuito	Confirmación borrado
Oposición	1 mes	Gratuito	Confirmación cese
Portabilidad	1 mes	Gratuito	CSV, JSON, XML
Limitación	1 mes	Gratuito	Confirmación bloqueo

Cómo ejercer tus derechos: guía paso a paso

Ejercer un derecho RGPD es más sencillo de lo que parece. Sigue estos pasos:

Identifica al responsable del tratamiento. Busca en la política de privacidad de la empresa el nombre de la entidad y el contacto del Delegado de Protección de Datos (DPO), si lo tiene.
Redacta la solicitud por escrito. Incluye tu nombre completo, DNI, dirección y una descripción clara del derecho que ejerces. La AEPD ofrece modelos gratuitos en su web.
Adjunta una copia de tu DNI u otro documento identificativo. Es necesario para evitar suplantaciones.
Envíala por un medio que deje constancia: email al DPO, formulario oficial de la empresa, burofax o correo certificado.
Espera un mes. Si no responden o la respuesta no te satisface, puedes reclamar ante la AEPD.

Cómo presentar una reclamación ante la AEPD

Si una empresa vulnera tus derechos, el siguiente paso es acudir a la AEPD. El procedimiento es completamente gratuito y no necesitas abogado.

Accede a la Sede Electrónica de la AEPD en sedeagpd.gob.es.
Identifícate con certificado digital, Cl@ve o DNI electrónico.
Rellena el formulario de reclamación describiendo los hechos.
Adjunta las pruebas: la solicitud previa que enviaste a la empresa, la respuesta (o la ausencia de ella), capturas de pantalla, correos, etc.
Firma y envía. Recibirás un número de expediente para hacer seguimiento.

La AEPD valorará el caso y, si considera que hay infracción, abrirá un procedimiento sancionador. Las resoluciones suelen tardar entre 6 y 18 meses, dependiendo de la complejidad.

Sanciones RGPD más relevantes en España

La AEPD es uno de los reguladores más activos de Europa. Algunos ejemplos recientes de sanciones destacadas:

Grandes operadoras de telecomunicaciones: multas de hasta 6 millones de euros por brechas de seguridad y tratamientos sin base legítima.
Entidades bancarias: sanciones por consulta indebida de ficheros de solvencia y no atender derechos de acceso.
Empresas tecnológicas internacionales: multas millonarias por transferencias ilícitas de datos fuera de la UE y publicidad basada en seguimiento sin consentimiento válido.

Las sanciones se dividen en dos niveles según el artículo 83 del RGPD:

Infracciones graves: hasta 10 millones de euros o el 2% de la facturación global.
Infracciones muy graves: hasta 20 millones de euros o el 4% de la facturación global.

Cookies, consentimiento y tu privacidad diaria

Uno de los puntos donde más empresas incumplen el RGPD es en los banners de cookies. La AEPD ha publicado una guía muy clara: el botón de "aceptar todas" debe ser tan visible como el de "rechazar todas". No vale el clásico truco de ocultar el rechazo en "configurar preferencias".

Además, el consentimiento debe ser:

Libre: sin coacción ni perjuicio por negarse.
Específico: para cada finalidad concreta.
Informado: con información clara sobre qué datos se recogen y para qué.
Inequívoco: mediante una acción afirmativa (no vale el silencio ni casillas premarcadas).

Si quieres reducir el rastreo que sufres a diario, además de ejercer tus derechos, puedes complementar con medidas técnicas. Te recomendamos leer nuestra guía sobre los mejores bloqueadores de anuncios de 2026 y aprender cómo bloquear rastreadores en tu teléfono.

Casos prácticos: cuándo ejercer cada derecho

Caso 1: Te siguen llegando emails comerciales tras darte de baja

Ejerce el derecho de oposición. Envía un escrito a la empresa exigiendo el cese inmediato del envío de comunicaciones comerciales. Si en un mes no cesan, reclama a la AEPD aportando las capturas de los correos recibidos tras tu solicitud.

Caso 2: Apareces en Google en noticias antiguas que ya no son relevantes

Puedes ejercer el derecho al olvido frente al buscador (Google tiene un formulario específico) para que desindexe esos resultados cuando busquen tu nombre. Esto no borra la noticia original, pero la hace mucho menos visible.

Caso 3: Un exempleador conserva tu currículum años después

Ejerce el derecho de supresión. La finalidad (selección de personal para una vacante concreta) ya ha terminado y no existe base legal para conservar tus datos indefinidamente, salvo que hayas consentido su conservación para futuros procesos.

Caso 4: Quieres cambiar de operadora móvil y llevarte tu historial

Ejerce el derecho de portabilidad. Solicita tus datos en formato estructurado para poder trasladarlos a tu nuevo proveedor.

Buenas prácticas para proteger tu privacidad en el día a día

Más allá de los derechos RGPD, hay hábitos que marcan la diferencia:

Lee las políticas de privacidad antes de registrarte en servicios nuevos, al menos las secciones sobre cesiones a terceros y transferencias internacionales.
Usa correos desechables para registros puntuales.
Activa la autenticación en dos pasos en todas las cuentas importantes.
Revisa periódicamente los permisos de aplicaciones móviles y extensiones de navegador.
Cuida los enlaces que compartes: cuando acortas URLs para difundirlas, usa servicios que respeten el RGPD y no revendan datos. Herramientas como Lunyb permiten acortar enlaces sin trackers invasivos, lo que ayuda tanto a tu privacidad como a la de quien hace clic en tus enlaces.

Si gestionas enlaces de forma profesional, te interesará nuestra comparativa de la mejor plataforma de gestión de enlaces en 2026, donde analizamos qué servicios cumplen mejor con la normativa europea.

Preguntas frecuentes (FAQ)

¿Puedo ejercer mis derechos RGPD si vivo fuera de España pero una empresa española trata mis datos?

Sí. El RGPD se aplica a cualquier tratamiento realizado por un responsable establecido en la UE, independientemente de dónde residas. Puedes reclamar ante la AEPD siguiendo el mismo procedimiento que un residente en España.

¿Cuánto cuesta presentar una reclamación ante la AEPD?

Es totalmente gratuito. No necesitas abogado ni procurador, y puedes hacerlo íntegramente online a través de la Sede Electrónica con certificado digital, Cl@ve o DNI electrónico.

¿Qué pasa si una empresa fuera de la UE trata mis datos y vulnera mis derechos?

El RGPD se aplica a cualquier empresa que ofrezca bienes o servicios a residentes en la UE o monitorice su comportamiento, aunque no tenga sede en Europa. Puedes reclamar igualmente ante la AEPD, que coordinará con el regulador correspondiente si es necesario.

¿Cuánto tarda la AEPD en resolver una reclamación?

Depende de la complejidad, pero suele oscilar entre 6 y 18 meses. Los casos simples (como la falta de respuesta a un derecho de acceso) se resuelven más rápido que los expedientes sancionadores complejos contra grandes empresas.

¿Puedo reclamar daños y perjuicios económicos si una empresa vulnera mis derechos?

Sí. El artículo 82 del RGPD reconoce el derecho a indemnización por daños materiales e inmateriales. Para reclamar económicamente deberás acudir a la vía civil (juzgados), aunque la resolución previa de la AEPD reforzará mucho tu caso.

Conclusión

El RGPD no es un simple formalismo legal: es una herramienta poderosa que te devuelve el control sobre tu información personal. Conocer tus derechos de acceso, rectificación, supresión, portabilidad, oposición y limitación te permite plantar cara a prácticas abusivas y exigir que las empresas traten tus datos con respeto.

No dudes en ejercerlos. Cuanto más ciudadanos usemos activamente estos derechos, más se consolidará una cultura empresarial respetuosa con la privacidad. Y si una empresa no responde o incumple, la AEPD está ahí para actuar. Tu privacidad es un derecho fundamental, no un favor que te hagan.