El RGPD se aplica a cualquier organización que recopile datos personales, sin umbral de tamaño. SYAGA CONSULTING le ayuda a formalizar un registro de actividades de tratamiento, a encuadrar a sus encargados de tratamiento, a responder a los cuestionarios RGPD de sus clientes y aseguradoras, y a realizar una evaluación de impacto cuando sea necesaria.
El RGPD está en vigor desde 2018, pero sigue en gran medida sin formalizarse en las pymes
En cuanto una organización recopila datos personales (clientes, empleados, prospectos), está afectada. Existe una excepción limitada para las estructuras de menos de 250 empleados cuyo tratamiento sea ocasional, pero no cubre una actividad comercial regular.
Muchas pymes nunca han formalizado su registro, o lo redactaron una vez y nunca lo actualizaron aunque sus tratamientos, encargados y herramientas hayan cambiado.
Un cliente, un banco o una aseguradora ciber pide cada vez con más frecuencia a sus proveedores que respondan a un cuestionario sobre la protección de datos (art. 28): subcontratación, cifrado, MFA, copias de seguridad, registro de eventos, plan de respuesta a incidentes.
Redactar un registro, encuadrar a los encargados de tratamiento o preparar una evaluación de impacto requiere una experiencia jurídica y técnica cruzada que pocas pymes tienen internamente.
Un método estructurado, adaptado al tamaño y al contexto real de su organización
Entrevista con el gerente o el referente RGPD. Identificación de los tratamientos de datos personales (clientes, empleados, prospectos, proveedores), de las herramientas utilizadas y de los encargados de tratamiento ya existentes.
Redacción del registro de actividades de tratamiento: finalidades, bases jurídicas, categorías de datos y de personas afectadas, destinatarios, plazos de conservación, medidas de seguridad.
Revisión o redacción de las cláusulas de encargo de tratamiento (art. 28) con sus proveedores, y preparación de las respuestas a los cuestionarios RGPD que le envían sus clientes o aseguradoras (medidas técnicas y organizativas).
Entrega de los documentos y presentación a la dirección. Si su tratamiento entra en uno de los casos previstos por el art. 35(3) del RGPD (evaluación sistemática con efecto jurídico, datos sensibles a gran escala, vigilancia sistemática de una zona pública), se realiza o se encuadra con usted una evaluación de impacto (EIPD).
Documentos adaptados a su organización real, no plantillas genéricas
Registro completo conforme al artículo 30 del RGPD.
Encuadramiento contractual de sus proveedores en el sentido del artículo 28.
Realizada únicamente cuando el artículo 35(3) del RGPD lo exige, o como medida de precaución a petición.
Preparación de las respuestas a los cuestionarios enviados por sus clientes, bancos o aseguradoras ciber.
Diagnóstico de las medidas exigidas por el artículo 32 del RGPD.
Los entregables se le proporcionan en formatos directamente utilizables.
El RGPD (Reglamento (UE) 2016/679) estructura el método RGPD-Express
Obligación de llevar un registro, tanto para el responsable del tratamiento como para el encargado del tratamiento. La exención prevista en el 30.5 para las estructuras de menos de 250 empleados solo se aplica a los tratamientos ocasionales.
Encuadramiento contractual de todo encargado que trate datos por cuenta suya: garantías suficientes, cláusulas obligatorias, subcontratación ulterior autorizada por escrito previo.
Medidas técnicas y organizativas apropiadas al riesgo: seudonimización, cifrado, medios que garanticen la confidencialidad y la disponibilidad, procedimiento de verificación y evaluación regular.
Obligatoria únicamente cuando el tratamiento pueda entrañar un riesgo elevado: evaluación sistemática con efecto jurídico, datos sensibles a gran escala, o vigilancia sistemática de una zona accesible al público.
Cada organización tiene un perímetro de tratamientos diferente: la tarifa se establece tras el encuadre
Micro/pyme, perímetro de tratamientos sencillo
Pyme con varios encargados de tratamiento y cuestionarios recurrentes
Organización con tratamientos sensibles o regulación sectorial
Lo que dice realmente el texto, traducido a un lenguaje sencillo. Cada punto remite al texto oficial.
Es el texto europeo que regula la recogida y el uso de los datos personales (clientes, empleados, prospectos...). Fue adoptado el 27 de abril de 2016 y publicado en el Diario Oficial de la Unión Europea el 4 de mayo de 2016.
El reglamento entró en vigor veinte días después de su publicación, pero solo es realmente aplicable desde el 25 de mayo de 2018. Es esta fecha la que cuenta para sus obligaciones concretas.
Debe mantener la lista de lo que hace con los datos personales: para qué, con quién, cuánto tiempo los conserva, cómo los protege. Existe una excepción para las estructuras de menos de 250 empleados, pero solo si el tratamiento es ocasional; una actividad comercial regular no se beneficia de ella.
Solo es obligatorio en tres situaciones precisas: usted es un organismo público, o su actividad principal consiste en vigilar a personas de forma habitual y a gran escala, o en tratar a gran escala datos sensibles. Fuera de estos casos, nombrar un DPO sigue siendo facultativo.
Si se pierden, roban o exponen datos personales, debe informar de ello a la CNIL (o a la autoridad competente) a más tardar 72 horas después de tener conocimiento del hecho, salvo que el riesgo para las personas sea insignificante. También debe conservar un registro escrito de cada incidente.
Cuando una fuga de datos supone un riesgo elevado para las personas afectadas, debe informarles directamente, en un lenguaje claro y sencillo. Puede quedar dispensado de esta comunicación si los datos estaban cifrados o si ya ha neutralizado el riesgo.
En caso de incumplimiento, la multa puede llegar hasta 10 millones de euros (o el 2% de la facturación mundial de la empresa) para los incumplimientos más comunes, y hasta 20 millones de euros (o el 4% de la facturación mundial) para los atentados más graves contra los derechos de las personas; siempre se retiene el importe más elevado. El importe real depende de la gravedad, de la buena fe y de la cooperación con la autoridad.
La pregunta que más nos hacen: «¿Esto me afecta realmente a mí, que soy una estructura pequeña?». Respuesta corta y con fuente: sí, casi siempre.
El RGPD se aplica en cuanto una organización trata, aunque sea parcialmente de forma automatizada, o en un fichero estructurado, una información relativa a una persona identificada o identificable: nombre, correo electrónico, teléfono, dirección IP, datos de localización...
En concreto, esto cubre un fichero de clientes, la nómina de los empleados, los currículums recibidos, una cámara de videovigilancia, un boletín informativo, un CRM o las cookies de medición de audiencia.
El RGPD no se aplica en cuatro casos precisos:
El RGPD se aplica en cuanto su empresa tiene un establecimiento en la Unión Europea, o en cuanto se dirige a personas que se encuentran en ella: ofreciéndoles bienes o servicios (incluso gratuitos), o siguiendo su comportamiento (elaboración de perfiles, cookies de seguimiento).
La CNIL cita dos ejemplos elocuentes: una empresa francesa que exporta únicamente a Marruecos sigue sometida al RGPD en cuanto trata datos de personas en la UE; un sitio de comercio electrónico chino que entrega en Francia también debe respetarlo.
Responsable del tratamiento: el organismo que decide por qué y cómo se utilizan los datos (su empresa, un ayuntamiento, una asociación). Normalmente es usted.
Encargado del tratamiento: el proveedor que trata estos datos siguiendo sus instrucciones (proveedor de alojamiento, software de nóminas, agencia de marketing...). También tiene sus propias obligaciones, distintas de las suyas.
Empresas privadas
de la microempresa al gran grupo, desde el primer fichero de clientes o la primera nómina
Sector público
ayuntamientos, entidades locales, administraciones, centros sanitarios
Asociaciones, autónomos, profesionales independientes
profesiones liberales, comerciantes, startups: ninguna exención vinculada al estatuto
Sin jerga jurídica: las 7 preguntas más frecuentes, una respuesta sencilla, y el texto oficial detrás de cada respuesta.
Haga clic en una pregunta para ver la respuesta y su fuente.
No. El consentimiento es solo una opción entre seis. El RGPD (artículo 6) autoriza también el tratamiento cuando es necesario para la ejecución de un contrato, para el cumplimiento de una obligación legal, para salvaguardar intereses vitales, para una misión de interés público, o para el interés legítimo de su empresa (por ejemplo gestionar la relación con un cliente ya existente), siempre que los derechos de la persona no prevalezcan.
Depende de a quién contacte:
En todos los casos: remitente identificable y enlace de baja fácil.
En general sí, sobre todo si los datos ya no sirven para nada, si la persona retira su consentimiento, o si se opone sin que usted tenga un motivo legítimo en contra. En cambio, puede negarse si debe conservar esos datos por una obligación legal, por ejemplo una factura que hay que guardar 10 años para la contabilidad, o para defenderse en un procedimiento judicial.
1 mes a partir de la recepción de la solicitud. Este plazo puede prorrogarse 2 meses si la solicitud es compleja o si recibe muchas, pero debe avisar a la persona de esta prórroga dentro del mes inicial.
Sí, pero no sin precaución. Tres casos posibles: el país se beneficia de una decisión oficial de la Comisión Europea que reconoce un nivel de protección adecuado; en su defecto, su proveedor debe ofrecer garantías apropiadas (cláusulas contractuales tipo, la mayoría de las veces); o, solo para casos puntuales, se aplica una excepción precisa (consentimiento explícito, ejecución de un contrato...).
Sí. La mayoría de las cookies (publicidad personalizada, botones de redes sociales...) requieren un consentimiento previo de su visitante, otorgado libremente, tan fácil de retirar como de dar. Aceptar las condiciones generales no cuenta como un consentimiento válido. Algunas cookies técnicas (carrito de compra, autenticación, preferencia de idioma) están dispensadas de este consentimiento.
La CNIL suele empezar por un control (presencial o en línea) y después un requerimiento para ponerse en conformidad en un plazo determinado. Las sanciones económicas existen pero se mantienen proporcionadas al tamaño de la estructura: la CNIL ha sancionado por ejemplo a pequeñas empresas con importes de entre 2 000 y 20 000 euros por incumplimientos relativos a la seguridad, las cookies o el derecho de acceso, muy lejos de los topes máximos (hasta 20 millones de euros o el 4% de la facturación mundial para los incumplimientos más graves).
El RGPD no nació en 2018 y no se ha quedado congelado desde entonces. Aquí tiene, en orden, lo que ya ha ocurrido (y que sigue siendo la regla del juego hoy) y lo que todavía está en discusión en Bruselas, con, para cada etapa, el texto oficial que lo demuestra.
El Parlamento Europeo y el Consejo adoptan el Reglamento (UE) 2016/679, el RGPD. fuente EUR-Lex ↗
El texto se publica en el Diario Oficial de la Unión Europea (JO L 119, páginas 1 a 88). fuente EUR-Lex ↗
El reglamento "entra en vigor el vigésimo día siguiente al de su publicación" (art. 99). Existe jurídicamente, pero su aplicación efectiva a las empresas todavía se difiere dos años - el tiempo de organizarse. fuente CNIL, art. 99 ↗
A partir de esta fecha, todas las organizaciones que tratan datos personales de residentes europeos deben estar en conformidad real, no solo "sobre el papel". Es la fecha que hay que recordar. fuente CNIL, art. 99 ↗
La ley n.º 2018-493 adapta el derecho francés al RGPD y transpone la directiva "policía-justicia" (2016/680), basándose en la ley Informatique et Libertés de 1978. fuente Légifrance ↗
La ordenanza n.º 2018-1125 completa la puesta en coherencia de la ley Informatique et Libertés con el RGPD y la directiva 2016/680. fuente Légifrance ↗
Dos años después de su entrada en aplicación, la Comisión publica su primer informe: el RGPD alcanza sus objetivos, pero son necesarias mejoras (armonización entre países, cooperación entre autoridades). fuente EUR-Lex (COM 2020) ↗
El Tribunal de Justicia de la Unión Europea invalida el "Privacy Shield" que regulaba las transferencias de datos hacia Estados Unidos: las garantías estadounidenses sobre el acceso de las autoridades públicas a los datos no se consideran suficientes. fuente EUR-Lex ↗
Entran en vigor nuevos modelos de cláusulas para regular las transferencias de datos fuera de la UE, con un período de transición de 15 meses para sustituir los contratos antiguos ya firmados. fuente EUR-Lex (2021/914) ↗
La Comisión adopta la decisión de adecuación "EU-US Data Privacy Framework", que sustituye al Privacy Shield invalidado en 2020 y asegura de nuevo las transferencias hacia las empresas estadounidenses certificadas. fuente EUR-Lex (2023/1795) ↗
Fuerte aumento de las sanciones hacia las grandes empresas tecnológicas, pero persisten las divergencias entre autoridades nacionales. La Comisión recomienda acompañar mejor a las pymes. fuente EUR-Lex (COM 2024) ↗
La Comisión propone, en su paquete de simplificación del mercado único, extender a 750 empleados (en lugar de 250) la excepción a la llevanza completa del registro de actividades de tratamiento (art. 30), limitada a los tratamientos "de alto riesgo". Es una propuesta, todavía no un texto en vigor. fuente Comisión Europea ↗
El Consejo y el Parlamento Europeo llegan a un acuerdo político sobre normas procedimentales adicionales para armonizar la forma en que las autoridades de control nacionales cooperan en las investigaciones transfronterizas. La adopción formal y la publicación en el Diario Oficial están aún por confirmar. fuente Comisión Europea ↗
Calendario elaborado a partir de fuentes oficiales (EUR-Lex, CNIL, Légifrance, Comisión Europea) consultadas el 18 de julio de 2026. Las dos últimas etapas son propuestas o acuerdos políticos en curso - las actualizaremos en cuanto se produzca su adopción formal y su publicación en el Diario Oficial. Esto es una síntesis pedagógica y no constituye un dictamen jurídico.
La cifra que asusta - « 20 millones de euros » - circula por todas partes, pero no explica cómo funciona realmente. Aquí tiene, con fuentes oficiales de apoyo, quién sanciona, cómo, y por qué importes reales.
o hasta el 2 % de la facturación anual mundial de la empresa (se retiene el importe más elevado de los dos).
Nivel aplicable a los incumplimientos «habituales»: registro de actividades de tratamiento, seguridad de los datos, obligaciones del encargado del tratamiento, falta de evaluación de impacto...
o hasta el 4 % de la facturación anual mundial (ídem, se retiene el importe más elevado de los dos).
Nivel aplicable a los incumplimientos más graves: ausencia de base legal, vulneración de los derechos de las personas, transferencias ilegales fuera de la UE...
No es la CNIL «general» la que sanciona, sino un órgano distinto e independiente: la formación restringida, compuesta por 5 miembros y un presidente diferente del presidente de la CNIL. Es ella la única que instruye los expedientes y dicta las sanciones. Las decisiones más importantes se hacen públicas.
El artículo 83 del RGPD impone a la CNIL tener en cuenta varios criterios antes de fijar una multa, en particular:
| Fecha | Organismo | Importe | Motivo |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Falta de transparencia, ausencia de consentimiento válido para la publicidad personalizada |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookies instalados sin consentimiento previo |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Rechazar las cookies más complicado que aceptarlas |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Mismo motivo: rechazo de las cookies hecho demasiado difícil |
| 17/10/2022 | Clearview AI | 20 M € | Reconocimiento facial sin base legal, negativa a cooperar |
| 10/11/2022 | Discord Inc. | 800 000 € | Conservación excesiva de datos, seguridad e información insuficientes |
| 15/06/2023 | Criteo | 40 M € | Incumplimientos relativos al consentimiento de cookies y a los derechos de las personas |
La CNIL también sanciona a estructuras pequeñas y medianas, pero con importes sin ninguna comparación con los grandes grupos internacionales. Solo en las deliberaciones de diciembre de 2025, se encuentran por ejemplo: 5 000 € para una sociedad de gestión hotelera (videovigilancia no conforme), 7 000 € y 5 000 € para dos sociedades editoras de periódicos (cookies no válidas), 10 000 € para una sociedad de carga aeroportuaria (videovigilancia ilícita), o incluso 20 000 € para una universidad (finalidades no respetadas). En el otro extremo de la escala, una sociedad del sector terciario fue sancionada con 3,5 M € el mismo mes por una acumulación de incumplimientos graves (seguridad, transparencia, cookies). El importe sigue la gravedad y el tamaño, no al revés.
En Europa, cada país tiene sus propias autoridades. Aquí tiene, para los 30 países del Espacio Económico Europeo, la autoridad de protección de datos (su interlocutor en materia de RGPD) y la autoridad nacional de ciberseguridad. Cada nombre remite al sitio oficial.
Fuentes: sitios oficiales de las autoridades y lista de los miembros del EDPB (edpb.europa.eu), consultados el 18 de julio de 2026. Autoridades de protección de datos confirmadas: 30/30. Autoridades de ciberseguridad confirmadas: 28/30. Las menciones «a confirmar» indican una fuente oficial no consolidada a día de hoy.
Escríbanos para un encuadre inicial y un presupuesto personalizado, sin compromiso.
Gratis: su puntuación + sus brechas. El informe detallado y el certificado: 499 EUR sin IVA, solo si usted lo decide.
contact@syaga.eu