RGPD: Guía actualizada sobre el Reglamento General de Protección de Datos

El Reglamento General de Protección de Datos (RGPD) es una normativa clave de la privacidad en la Unión Europea. Desde su entrada en vigor, ha transformado la manera en que las empresas deben tratar y proteger los datos personales que manejan, para garantizar el respeto a la privacidad, así como los derechos fundamentales de los ciudadanos, a quienes el Reglamento ha dado un mayor control sobre sus datos. En esta guía actualizada, analizamos los aspectos clave del RGPD.

¿Qué es el Reglamento General de Protección de Datos (RGPD)?

El Reglamento General de Protección de Datos es la normativa que regula el tratamiento de datos personales en el ámbito geográfico de la Unión Europea. Fue publicado el 17 de abril de 2016, derogando la Directiva 95/46/CE.

El RGPD establece las obligaciones y requisitos que deben adoptar los responsables y encargados del tratamiento, y define los derechos que asisten a los ciudadanos en la protección de sus datos personales.

Esta normativa es una ley general y no impide que cada Estado miembro de la UE pueda desarrollar su propia ley nacional de protección de datos; por ejemplo, el Reglamento General de Protección de Datos en España se cumple junto a la LOPDGDD, la ley nacional desarrollada para sustituir a la antigua LOPD.

El RGPD es de aplicación directa, por lo que no es necesaria su transposición al ordenamiento jurídico de los Estados miembros. Es decir, es una ley europea de aplicación directa en toda la UE y en el Espacio Económico Europeo (EEE).

El RGPD es el marco jurídico común que regula la protección de datos personales dentro de la Unión Europea y el Espacio Económico Europeo. De aplicación directa, todos los Estados miembros están obligados a cumplirlo.

¿Cuáles son los objetivos del RGPD?

El objetivo del Reglamento de Protección de Datos es mejorar el nivel de protección y control de los datos personales de las personas físicas, cuando estos datos son sometidos a tratamientos por parte de empresas y otro tipo de entidades.

Así, a través de los principios del RGPD, se busca dar un mayor nivel de protección sobre los datos personales de los interesados (las personas físicas titulares de los datos) y darles un mayor control sobre ellos. Esos principios se traducen en:

• Mayor transparencia para los interesados respecto al tratamiento de sus datos y quién tiene acceso a ellos.
• Establecer bases de legitimación para el tratamiento de datos.
• Establecer el consentimiento explícito como base legal del tratamiento en ausencia de otras.
• Ofrecer mayores garantías de cumplimiento exigiendo a las organizaciones ser proactivas en materia de protección de datos (accountability RGPD).
• Minimizar y limitar el tratamiento de datos personales solo a lo necesario para cumplir con la finalidad perseguida.
• Creación de derechos para los interesados sobre sus datos.
• Establecer una categoría especial de datos, o datos sensibles, cuyo tratamiento está prohibido (salvo excepciones concretas), por los riesgos que entraña para los derechos y libertades fundamentales de los interesados.
• Para cumplir con el RGPD y con sus objetivos, las organizaciones deben adoptar medidas técnicas y organizativas de protección de datos desde el diseño y por defecto, es decir, poner el centro y desde el principio la seguridad de los datos, garantizando la confidencialidad, integridad y disponibilidad de la información.

El objetivo del RGPD es umentar la protección, seguridad e integridad de los datos de las personas físicas cuando estos son tratados por parte de empresas y otras entidades.

Así mismo, el RGPD iguala el terreno de juego para todas las organizaciones, al crear un marco normativo general para todos los Estados miembros de la UE y para aquellas empresas de terceros países que presten servicios dentro de la UE o el Espacio Económico Europeo (EEE).

¿A quién afecta el RGPD?

El RGPD se aplica a todas las organizaciones, independientemente de su tamaño, que:

• Procesen datos personales de ciudadanos de la UE.
• Ofrezcan bienes o servicios a personas de la UE, incluso si no tienen sede en la UE o el EEE.
• Monitoreen el comportamiento de individuos dentro del territorio europeo.

Es decir, el RGPD afecta a las empresas, profesionales, instituciones o entidades públicas que realicen un tratamiento de datos personales de terceros en el desarrollo de su actividad empresarial, profesional o pública, tanto negocios físicos como digitales (es decir, el RGPD en una tienda online también es de aplicación, como lo es el RGPD para páginas web). Por ejemplo, organizaciones que manejen datos de clientes o empleados.

¿Cuándo se aplica el RGPD?

El RGPD se aplica cuando una entidad o profesional trate datos personales (en el contexto de su actividad empresarial, profesional, comercial o pública), entendiendo por tratamiento:

Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

Por otro lado, el RGPD también hace referencia a determinados casos en los que la ley no se aplica:

• Cuando los ficheros mantenidos por personas físicas son para un uso exclusivamente personal o doméstico. Por ejemplo, las agendas personales, contactos personales de correo electrónico, etc.
• Aquellos ficheros sometidos a la normativa sobre protección de materias clasificadas. Estos ficheros se rigen por una normativa distinta, más específica.
• Tampoco se aplica a los ficheros establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada.

¿Qué obligaciones establece el RGPD?

La adaptación RGPD para empresas, autónomos y entidades públicas pasa por cumplir con los principios y obligaciones del RGPD:

Determinar las responsabilidades de responsables y encargados del tratamiento

El responsable del tratamiento es el encargado de velar por el cumplimiento de la normativa y las exigencias de la ley. El encargado del tratamiento se encarga de tratar los datos de acuerdo con lo estipulado por el responsable del tratamiento. La determinación de estas responsabilidades debe quedar establecida en un contrato entre responsable y encargado que:

• Establecer las condiciones para la cesión de los datos personales al encargado.
• La finalidad del tratamiento.
• El nivel de cooperación en la atención de solicitudes de derechos y la gestión de brechas de seguridad.
• Qué hacer con los datos una vez finalizado el tratamiento.

Registro de actividades de tratamiento

El Registro de Actividades de Tratamiento es una obligación esencial recogida en el artículo 30 del RGPD. Consiste en documentar de forma detallada todos los tratamientos de datos personales que realiza una organización, con el fin de garantizar la transparencia, la responsabilidad proactiva (accountability) y la trazabilidad de los datos.

Responsables y encargados del tratamiento están obligados a mantener este registro por escrito (incluido en formato electrónico).

Aunque el RGPD prevé una excepción para organizaciones con menos de 250 empleados, esta no se aplica si:

• El tratamiento no es ocasional.
• Afecta a categorías especiales de datos.
• Puede implicar riesgos para los derechos y libertades de las personas.

En la práctica, casi cualquier empresa o entidad que trate datos personales de forma habitual debe llevar este registro.

¿Qué debe incluir?

El registro debe estructurarse por ficheros separados o por categorías, dependiendo del tipo de datos tratados o de su finalidad, y debe contener al menos la siguiente información:

• Nombre y datos de contacto del responsable y, si procede, del corresponsable, encargado o delegado de protección de datos (DPO).
• Finalidades del tratamiento, claramente descritas.
• Categorías de interesados (por ejemplo: empleados, clientes, usuarios) y de datos personales tratados (como identificativos, financieros, de salud).
• Destinatarios a quienes se comunican los datos, incluidos terceros países u organizaciones internacionales.
• Plazos previstos de conservación de los datos.
• Descripción general de las medidas técnicas y organizativas de seguridad aplicadas (como cifrado, control de acceso, copias de seguridad, etc.).

Deber de informar

Adoptando el enfoque por niveles del RGPD (información por capas), el responsable del tratamiento debe informar a los interesados acerca de:

• La identidad del responsable del tratamiento.
• Las categorías de datos que se van a tratar.
• La base jurídica y la finalidad de dicho tratamiento.
• Si los datos se van a ceder a terceros.
• Si se producirán transferencias internacionales de datos y qué garantías tienen.
• El plazo de conservación de los datos.
• Las vías a través de las cuales los interesados pueden ejercer sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición.

Consentimiento explícito e inequívoco

El consentimiento RGPD debe ser una manifestación libre, específica, informada e inequívoca de la voluntad del interesado, mediante la cual acepta el tratamiento de sus datos personales. Este consentimiento debe otorgarse a través de una acción clara y afirmativa, como marcar una casilla de verificación, firmar un formulario o realizar una acción que indique aceptación consciente.

Además, debe ser explícito en casos en los que se traten categorías especiales de datos (como salud, orientación sexual o convicciones religiosas), y granular, es decir, se debe recabar un consentimiento separado para cada una de las finalidades específicas del tratamiento, evitando la obtención global y poco clara.

Es importante señalar que el consentimiento no es necesario cuando el tratamiento se base en alguna de las bases jurídicas previstas en el artículo 6 del RGPD, como el cumplimiento de una obligación legal, la ejecución de un contrato, la protección de intereses vitales, el interés público o el interés legítimo del responsable, siempre que no prevalezcan los derechos del interesado.

Derechos RGPD

Atender en tiempo y forma los derechos RGPD:

• Acceso: Permite al interesado obtener confirmación sobre si se tratan o no sus datos personales y, en caso afirmativo, acceder a ellos y a información relacionada con su tratamiento.
• Rectificación: Faculta a solicitar la corrección de datos personales inexactos o incompletos para garantizar que la información sea veraz, completa y actualizada según los fines del tratamiento.
• Supresión (derecho al olvido): Permite pedir la eliminación de los datos personales cuando ya no sean necesarios, se retire el consentimiento o se hayan tratado ilícitamente, salvo que existan obligaciones legales para conservarlos.
• Limitación: Consiste en restringir temporalmente el tratamiento de los datos cuando se impugne su exactitud, se haya ejercido oposición o mientras se verifica su licitud o necesidad por el responsable.
• Portabilidad: Permite recibir los datos personales en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable del tratamiento si es técnicamente posible y el tratamiento fue consentido.
• Oposición al tratamiento automatizado de los datos, incluida la elaboración de perfiles: Faculta a rechazar decisiones basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos o significativos, salvo excepciones legales o consentimiento explícito.

Análisis de riesgos

Las responsables y encargados del tratamiento deben hacer un análisis de riesgos previo a cualquier tratamiento de datos, para determinar los riesgos que pudiera suponer para el interesado dicho tratamiento, y de esa manera adoptar las medidas técnicas y organizativas pertinentes para minimizar las probabilidades de que los riesgos se materialicen, así como minimizar su impacto en los derechos y libertades de los interesados.

Evaluación de impacto

La Evaluación de Impacto relativa a la Protección de Datos (EIPD), regulada en el artículo 35 del RGPD, es un análisis preventivo obligatorio que deben realizar las organizaciones antes de iniciar determinados tratamientos de datos personales que puedan suponer un alto riesgo para los derechos y libertades de las personas.
Una evaluación de impacto RGPD o EIPD debe realizarse en los siguientes casos (entre otros)

• Tratamientos a gran escala de datos personales, como el seguimiento sistemático de usuarios (por ejemplo, videovigilancia o monitorización de comportamiento web).
• Tratamiento de categorías especiales de datos (art. 9 RGPD), como datos de salud, ideología, orientación sexual, origen étnico, etc.
• Evaluaciones o decisiones automatizadas que afecten significativamente a las personas (como perfiles de crédito o selección automatizada de personal).
• Uso de tecnologías novedosas o invasivas, como reconocimiento facial, inteligencia artificial o geolocalización continua.
• Tratamiento de datos de personas vulnerables, como menores o personas con discapacidad.

Medidas de seguridad y organizativas

El responsable del tratamiento de datos personales tiene la obligación, según el principio de responsabilidad proactiva recogido en el artículo 24 del RGPD, de identificar, implementar y mantener medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que supone el tratamiento de los datos.

Algunas de las medidas más comunes incluyen:

• Control de acceso físico y lógico a los sistemas de información.
• Cifrado de datos sensibles y mecanismos de autenticación segura.
• Copias de seguridad periódicas y sistemas de recuperación ante desastres.
• Formación continua al personal en protección de datos.
• Políticas internas claras de privacidad y gestión de incidentes.
• Evaluaciones periódicas de riesgos y auditorías internas.

Estas medidas deben ser proporcionales al riesgo identificado, y revisadas de forma regular para garantizar su eficacia.

Por otro lado, cuando se produzca una brecha de seguridad (como pérdida de información, ataques informáticos, errores humanos graves, etc.), el responsable del tratamiento debe notificarlo a la Agencia Española de Protección de Datos (AEPD) sin dilación indebida y, en todo caso, en un plazo máximo de 72 horas desde que tenga conocimiento del incidente.

Legalidad de las páginas web

Las páginas web deben cumplir con las exigencias del Reglamento General de Protección de Datos, garantizando la transparencia y el respeto a los derechos de los usuarios. Esto implica incorporar de forma clara y accesible los textos legales obligatorios, entre los que se encuentran:

• Política de privacidad, informando sobre la base jurídica del tratamiento, los derechos del interesado y los datos del responsable.
• Aviso legal, con información identificativa del titular del sitio web y condiciones de uso.
• Política de cookies, detallando los tipos de cookies utilizadas, su finalidad y la gestión del consentimiento.

Aunque el RGPD no menciona expresamente las cookies, estas constituyen un tratamiento de datos personales cuando permiten identificar o perfilar a los usuarios, por lo que deben respetar el principio de consentimiento explícito (excepto las cookies técnicas o necesarias, que están exentas de esta obligación).

Delegado de Protección de Datos

El artículo 37 del RGPD señala que será necesario que una organización cuenta con un Delegado de Protección de Datos (DPO) siempre que se dé alguna de estas circunstancias:

• • El responsable del tratamiento sea una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
  • Las actividades principales del responsable o del encargado consistan en operaciones que, por su alcance, naturaleza o finalidad, requieran una observación habitual y sistemática de interesados a gran escala.
  • Las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales.

Para gestionar con más facilidad las obligaciones descritas y llevar a cabo una adaptación al Reglamento General de Protección de Datos, las empresas pueden contratar los servicios especializados de una empresa de protección de datos, que, tras una primera auditoría RGPD, ayudará a responsable o encargado a cumplir con todas sus obligaciones, asesorándole y recomendándole las medidas de seguridad técnicas y organizativas a adoptar y a aplicar y a gestionar las solicitudes de derechos y reclamaciones ante la AEPD (Agencia Española de Protección de Datos). Así mismo, también ayudará a prepararse para obtener el certificado RGPD.

Además, para facilitar el cumplimiento y mantenimiento de la normativa, la empresa de protección de datos podrá facilitar a responsables y encargados un software RGPD, que cuenta con funciones que permiten llevar un mejor control sobre el grado y nivel de cumplimiento en la organización.

 

¿Qué diferencias hay entre el RGPD y la LOPDGDD?

Las diferencias entre el RGPD (Reglamento General de Protección de Datos) y la LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales) son clave para entender el marco legal que regula la protección de datos personales en España. Aunque están estrechamente relacionadas, no son lo mismo ni tienen el mismo alcance.

Diferencia	RGPD	LOPDGDD
Ámbito jurídico	Es un reglamento europeo, de aplicación directa en todos los Estados miembros de la Unión Europea y del Espacio Económico Europeo. No requiere transposición.	Es una ley nacional española que complementa y desarrolla el RGPD para su aplicación en España. Deroga la antigua LOPD 15/1999.
Jerarquía normativa	Tiene prevalencia jurídica sobre cualquier ley nacional. La LOPDGDD no puede contradecirlo, solo aclarar o desarrollar ciertos aspectos.	Tiene rango de ley orgánica en España y solo es aplicable dentro del territorio español, en coherencia con el RGPD.
Contenido y función	Establece los principios generales, derechos, obligaciones, sanciones y definiciones clave sobre el tratamiento de datos personales en la UE.	Especifica detalles para el contexto español (por ejemplo, el tratamiento de datos en relaciones laborales). Regula derechos digitales como el derecho a la desconexión digital, herencia digital, libertad de expresión en Internet, etc. Define con más precisión el papel del Delegado de Protección de Datos (DPO) en el entorno español.
Derechos reconocidos	Reconoce derechos como acceso, rectificación, supresión, oposición, portabilidad, limitación del tratamiento, y oposición a decisiones automatizadas.	Además de los anteriores, reconoce los llamados derechos digitales, como: Derecho a la intimidad en el uso de dispositivos digitales en el ámbito laboral, desconexión digital, olvido en buscadores y redes sociales, educación digital y herencia digital.
Aplicación práctica en España	Es el marco jurídico base y obligatorio.	Es la norma de referencia práctica en España. Toda empresa u organización española debe cumplir con ambos textos, ya que la LOPDGDD se encarga de adaptar el RGPD a situaciones concretas de la legislación española.
Conclusión	El RGPD es el marco general y europeo.	La LOPDGDD es la ley española que complementa y adapta el RGPD al contexto nacional, añadiendo derechos y especificaciones clave.

¿Cómo cumplir el RGPD en las empresas?

A continuación ofrecemos 10 recomendaciones para el cumplimiento del RGPD en empresas:

• Identifica los datos personales que tratas: Haz un inventario de los datos que recopilas, para qué los usas y quién los gestiona. Esto es clave para detectar riesgos y establecer controles.
• Establece una base legal para cada tratamiento: Cada uso de datos debe basarse en una base jurídica válida (consentimiento, contrato, obligación legal, etc.).
• Informa de forma clara y accesible: Redacta una política de privacidad comprensible que explique quién eres, qué haces con los datos y los derechos del usuario.
• Recoge el consentimiento de forma válida: El consentimiento debe ser libre, informado, específico y verificable, nunca presunto ni forzado.
• Firma contratos con encargados del tratamiento: Si cedes datos a terceros (hosting, gestoría, etc.), formaliza un contrato que regule sus obligaciones según el RGPD.
• Mantén un Registro de Actividades de Tratamiento: Documenta qué datos se tratan, con qué finalidad, durante cuánto tiempo y qué medidas de seguridad se aplican.
• Facilita el ejercicio de derechos de los interesados: Implementa un canal para que los usuarios puedan ejercer sus derechos (acceso, supresión, oposición, etc.) fácilmente.
• Aplica medidas de seguridad técnicas y organizativas: Protege los datos con cifrado, backups, control de accesos y formación al personal, según el nivel de riesgo.
• Notifica brechas de seguridad en 72 horas: Si ocurre una violación de datos, informa a la AEPD sin demora y, si es grave, también a los afectados.
• Designa un Delegado de Protección de Datos (DPO) si es obligatorio: Nómbralo si tratas datos a gran escala o sensibles, o si eres una autoridad pública, y asegúrate de que actúe con independencia.

Sanciones por incumplir el Reglamento Europeo de Protección de Datos

Las sanciones RGPD se establecen en función de la gravedad de la infracción, el volumen de interesados y categorías de datos afectadas, la persistencia en el tiempo, la reincidencia y otros factores.

Así, las sanciones pueden llegar a:

• Para infracciones graves: multa de hasta 10 millones de euros (o el 2% de la facturación anual, aplicando la cuantía que resulte más alta).
• Para infracciones muy graves: multa de hasta 20 millones de euros (o el 4% de la facturación anual, aplicando la cuantía que resulte más alta).

Por lo tanto, no cumplir con el Reglamento o hacerlo de forma insuficiente o inadecuada, puede conducir a la imposición de multas elevadas, por ello, si entre el personal de nuestra organización no contamos con empleados con conocimientos suficientes en la normativa, podemos decir que es obligatorio contratar una empresa de protección de datos, puesto que será la única manera de estar seguros de cumplir el RGPD y no ver afectada, además, la reputación y confianza de nuestro negocio.

Resumen del RGPD

El Reglamento General de Protección de Datos (RGPD) es la norma europea que regula el tratamiento de datos personales en la Unión Europea y el Espacio Económico Europeo. Se aplica a cualquier organización que procese datos de ciudadanos de la UE, incluso si está fuera del territorio, siempre que ofrezca bienes o servicios o monitorice el comportamiento de personas en la UE.

Entró en vigor en 2016 y establece principios como la licitud, transparencia, minimización de datos y responsabilidad proactiva. Establece que el tratamiento debe basarse en una base legal (consentimiento, contrato, obligación legal, etc.), y reconoce derechos fundamentales para los ciudadanos, como el acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento. También prohíbe el tratamiento de datos sensibles salvo excepciones.

Las organizaciones deben cumplir una serie de obligaciones: determinar las funciones de responsable y encargado mediante contrato, llevar un registro de actividades de tratamiento, aplicar medidas de seguridad técnicas y organizativas adecuadas, y facilitar el ejercicio de los derechos a los interesados.

El RGPD regula cómo se tratan los datos personales en la UE, imponiendo obligaciones claras a las organizaciones y garantizando derechos fundamentales para los ciudadanos europeos.

En ciertos casos, deben realizar un análisis de riesgos o una evaluación de impacto (EIPD) previa, especialmente si tratan datos sensibles o a gran escala. En función del volumen y naturaleza del tratamiento, pueden estar obligadas a designar un Delegado de Protección de Datos (DPO).

El RGPD también obliga a informar claramente a los usuarios sobre el tratamiento de sus datos mediante políticas de privacidad, avisos legales y gestión del consentimiento, especialmente en páginas web y tiendas online. En caso de una brecha de seguridad que afecte a datos personales, se debe notificar a la AEPD en un máximo de 72 horas.

En España, el RGPD se aplica conjuntamente con la LOPDGDD, que complementa la norma europea y regula aspectos específicos como los derechos digitales. Las sanciones por incumplimiento pueden ascender hasta los 20 millones de euros o el 4 % de la facturación anual.

¿Necesitas cumplir con el RGPD? Te podemos ayudar

Atico34 somos una consultoría RGPD con más de 12 años de experiencia en materia de protección de datos.

Durante todo este tiempo hemos ayudado a miles de organizaciones de todos los tamaños y sectores de actividad a cumplir con el RGPD para empresas y con el RGPD para autónomos.

Nuestro equipo de abogados expertos en protección de datos posee formación y experiencia específica, y una probada reputación en la materia. Gracias a ellos podemos ofrecer servicios RGPD personalizados y adaptados a las necesidades y circunstancias de cada empresa o negocio.

También brindamos un soporte continuo y atención personalizada a nuestros clientes.

Preguntas frecuentes

¿Qué se consideran datos sensibles según el RGPD?

Son aquellos que revelan el origen étnico, opiniones políticas, creencias religiosas, salud, vida sexual, orientación sexual o datos genéticos y biométricos, cuyo tratamiento está prohibido salvo excepciones concretas.

¿Se pueden tratar datos biométricos con fines de identificación?

Solo si existe una base legal clara y el consentimiento explícito del interesado, o si el tratamiento es necesario por razones de interés público esencial, con garantías reforzadas.

¿Qué requisitos debe cumplir una empresa para instalar cámaras de videovigilancia?

Debe informar mediante carteles visibles, limitar la grabación a zonas autorizadas, no captar espacios públicos innecesarios y conservar las imágenes solo el tiempo imprescindible (máximo 30 días, salvo excepción).

¿Se pueden usar cámaras ocultas en el trabajo?

Solo en casos excepcionales y proporcionados, cuando existan sospechas fundadas de una conducta ilícita y no haya otro medio menos invasivo. Nunca pueden ser permanentes ni indiscriminadas.

¿Puedo publicar imágenes de personas en redes sociales sin su permiso?

No, salvo que cuentes con su consentimiento o exista una base legal válida (por ejemplo, si se trata de un cargo público o evento de interés informativo). La imagen es un dato personal protegido.

¿Necesito consentimiento para grabar vídeos en eventos o formaciones?

Sí, si se identifica a personas claramente. El consentimiento debe ser informado y específico. Se puede usar el interés legítimo solo en contextos muy concretos y con evaluación de impacto previa.

¿Cómo afecta el RGPD a los sistemas de control de acceso biométrico (huella, iris, rostro)?

Estos sistemas tratan datos biométricos sensibles, por lo que requieren una base legal robusta, medidas de seguridad elevadas, análisis de riesgos y, en muchos casos, evaluación de impacto.

¿Qué información debo incluir en un cartel de videovigilancia?

Debe indicar la existencia del sistema, la identidad del responsable del tratamiento, la finalidad, los derechos del interesado y cómo ejercerlos. Es recomendable incluir enlace o referencia a la política de privacidad completa.

¿Puedo usar imágenes obtenidas por videovigilancia como prueba legal?

Sí, siempre que la captación y conservación se hayan realizado conforme a la ley. Las grabaciones deben ser proporcionales, necesarias y no vulnerar derechos fundamentales como el derecho a la intimidad.

¿Qué pasa si trato datos personales sin base legal o sin informar adecuadamente?

Estás incumpliendo el RGPD, lo que puede derivar en sanciones administrativas (hasta 20 millones de euros o el 4 % de la facturación) y posibles reclamaciones por parte de los afectados.