![\"\u00bfCu\u00e1ndo](\"https:\/\/www.escura.com\/wp-content\/uploads\/2026\/09\/Circular-Proteccion-de-datos.png\" "\\"Circular")
<\/span><\/div>Consultar pdf<\/a><\/p>\n<\/div> Desde Escura hemos ido informando desde nuestra \u00e1rea de Cumplimiento-Protecci\u00f3n de Datos<\/a>, de todas las novedades que desde hace a\u00f1os han entrado en vigor en esta materia.<\/p>\n No obstante, todav\u00eda algunas empresas o empresarios individuales nos plantean la conveniencia y\/o necesidad de disponer de un sistema implantado en sus empresas y sobre todo de tenerlo actualizado.<\/u><\/strong><\/p>\n Es muy recurrente que las empresas hayan implantado un sistema de cumplimiento en materia de protecci\u00f3n de datos, pero esta implantaci\u00f3n se haya realizado hace a\u00f1os, no est\u00e1 actualizada a las nuevas normativas, ni implantada en los sistemas actuales de la empresa ni formado el personal actualmente en plantilla.<\/p>\n El cumplimiento normativo en el \u00e1mbito de la protecci\u00f3n de datos es un tema din\u00e1mico, que requiere de actualizaciones a las constantes modificaciones normativas y adaptadas a los procesos cambiantes de las empresas.<\/p>\n A efectos recordatorios hemos confeccionado la presente circular que resume cu\u00e1ndo resulta obligatorio tener implantada la normativa de protecci\u00f3n de datos en su empresa o actividad profesional, as\u00ed como el alcance concreto de las obligaciones que le pueden resultar de aplicaci\u00f3n. Le adjuntamos, adem\u00e1s, una hoja anexa con una tabla resumen de todas las obligaciones, su base legal, el momento en que resultan exigibles y las consecuencias de su incumplimiento.<\/p>\n El Reglamento (UE) 2016\/679 (RGPD) y la Ley Org\u00e1nica 3\/2018, de Protecci\u00f3n de Datos Personales y garant\u00eda de los derechos digitales (LOPDGDD) se aplican, desde el primer momento, a cualquier persona f\u00edsica o jur\u00eddica \u2014empresa, aut\u00f3nomo, asociaci\u00f3n o profesional\u2014 que trate datos de personas f\u00edsicas identificadas o identificables: clientes, empleados, proveedores, usuarios de su web, candidatos a un puesto de trabajo, etc. No existe un umbral m\u00ednimo de facturaci\u00f3n, de n\u00famero de trabajadores o de volumen de datos<\/u><\/strong> que exima a una organizaci\u00f3n de cumplir la normativa con car\u00e1cter general: la obligaci\u00f3n nace con el propio tratamiento de datos.<\/p>\n Lo que s\u00ed var\u00eda en funci\u00f3n del tama\u00f1o, el sector y el tipo de datos tratados es el alcance de determinadas obligaciones concretas (por ejemplo, la designaci\u00f3n de un delegado de protecci\u00f3n de datos o la realizaci\u00f3n de una evaluaci\u00f3n de impacto), que se detallan en la tabla anexa.<\/p>\n Otras obligaciones solo resultan exigibles cuando concurren determinadas circunstancias: designaci\u00f3n de un delegado de protecci\u00f3n de datos (sector p\u00fablico, monitorizaci\u00f3n a gran escala, tratamiento masivo de datos sensibles o pertenencia a alguno de los sectores enumerados en la LOPDGDD), realizaci\u00f3n de una evaluaci\u00f3n de impacto cuando el tratamiento entra\u00f1e alto riesgo, garant\u00edas reforzadas si se realizan transferencias internacionales de datos fuera del Espacio Econ\u00f3mico Europeo, o consentimiento parental cuando se traten datos de menores de 14 a\u00f1os. Todos estos supuestos se detallan, con su normativa y plazos, en el anexo adjunto.<\/p>\n El incumplimiento de estas obligaciones puede dar lugar a sanciones de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD) que van desde los 40.000 euros en infracciones leves hasta los 20 millones de euros (o el 4% de la facturaci\u00f3n anual global) en las infracciones m\u00e1s graves, adem\u00e1s de la exposici\u00f3n reputacional y las eventuales reclamaciones de los afectados.<\/p>\n Le recomendamos revisar, junto con nuestro despacho, el nivel actual de cumplimiento de su empresa a la luz de la tabla anexa, e implantar o actualizar aquellas obligaciones que le resulten de aplicaci\u00f3n. Quedamos a su disposici\u00f3n para realizar una auditor\u00eda de cumplimiento y acompa\u00f1arle en su implantaci\u00f3n.<\/p>\n Tratamientos que requieren observaci\u00f3n habitual y sistem\u00e1tica Tratamiento a gran escala de categor\u00edas especiales de datos Sectores con designaci\u00f3n obligatoria en Espa\u00f1a:\u00bfCu\u00e1ndo est\u00e1 obligado a tener implantada la protecci\u00f3n de datos?<\/h1>\n<\/div>
La regla general: casi nadie queda al margen<\/strong><\/h3>\n
Obligaciones que se aplican pr\u00e1cticamente siempre<\/strong><\/h3>\n
\n
Obligaciones condicionadas a la actividad o al riesgo<\/strong><\/h3>\n
Consecuencias de no tenerla implantada<\/strong><\/h3>\n
\u00bfQu\u00e9 le recomendamos?<\/strong><\/h3>\n
ANEXO I<\/strong><\/h3>\n
Tabla resumen de las obligaciones en materia de protecci\u00f3n de datos<\/strong><\/h3>\n<\/div>\n
\n\n
\n \nObligaci\u00f3n<\/th>\n Normativa<\/th>\n \u00bfCu\u00e1ndo es exigible?<\/th>\n Plazo \/ acci\u00f3n
\nrequerida<\/th>\nConsecuencia del incumplimiento<\/th>\n<\/tr>\n<\/thead>\n \n Base de legitimaci\u00f3n y principios del tratamiento<\/strong><\/td>\n RGPD
\narts. 5 y 6<\/td>\nSiempre que se traten datos de car\u00e1cter personal
\n(clientes, empleados, proveedores, usuarios web, etc.).<\/td>\nDesde el primer tratamiento de datos.<\/td>\n Infracci\u00f3n muy grave (falta de legitimaci\u00f3n):
\nhasta 20 M\u20ac o 4% de la facturaci\u00f3n.<\/td>\n<\/tr>\n\n Deber de informaci\u00f3n \/ transparencia<\/strong><\/td>\n RGPD
\narts. 13 y 14<\/td>\nSiempre, en cualquier recogida de datos
\n(formularios, web, contratos, RRHH).<\/td>\nEn el momento de la recogida de los datos.<\/td>\n Infracci\u00f3n leve o grave seg\u00fan el caso.<\/td>\n<\/tr>\n \n Medidas de seguridad t\u00e9cnicas y organizativas<\/strong><\/td>\n RGPD
\nart. 32<\/td>\nSiempre, con alcance proporcional al riesgo del tratamiento
\n(contrase\u00f1as, cifrado, copias de seguridad, control de accesos).<\/td>\nImplantaci\u00f3n y revisi\u00f3n continua.<\/td>\n Infracci\u00f3n grave: hasta 10 M\u20ac o 2% de la facturaci\u00f3n.<\/td>\n<\/tr>\n \n Registro de Actividades de Tratamiento (RAT)<\/strong><\/td>\n RGPD
\nart. 30<\/td>\nObligatorio en la pr\u00e1ctica totalidad de los casos.
\nLa exenci\u00f3n para entidades de menos de 250 empleados solo opera si,
\nadem\u00e1s, el tratamiento es ocasional, no entra\u00f1a riesgo y no incluye
\ncategor\u00edas especiales de datos: en la mayor\u00eda de pymes no aplica.<\/td>\nElaboraci\u00f3n y actualizaci\u00f3n permanente; exigible por la AEPD
\nen cualquier inspecci\u00f3n.<\/td>\nInfracci\u00f3n leve\/grave por no poder acreditarlo.<\/td>\n<\/tr>\n \n Contratos de encargado de tratamiento<\/strong><\/td>\n RGPD
\nart. 28<\/td>\nAl contratar proveedores que acceden a datos por cuenta del cliente
\n(gestor\u00eda, asesor\u00eda, hosting, inform\u00e1tica, marketing, mensajer\u00eda).<\/td>\nAntes de iniciar la prestaci\u00f3n del servicio.<\/td>\n Infracci\u00f3n grave.<\/td>\n<\/tr>\n \n Delegado de Protecci\u00f3n de Datos (DPO\/DPD)<\/strong><\/td>\n RGPD art. 37;
\nLOPDGDD art. 34<\/td>\nAdministraciones y organismos p\u00fablicos.<\/p>\n
\nde interesados a gran escala.<\/p>\n
\no de condenas\/infracciones penales.<\/p>\n
\ncolegios profesionales, universidades, operadores de comunicaciones
\nelectr\u00f3nicas, prestadores de servicios digitales con elaboraci\u00f3n
\nde perfiles, entidades financieras\/aseguradoras, distribuidoras
\nde energ\u00eda y gas, ficheros de solvencia patrimonial, empresas de
\npublicidad y prospecci\u00f3n comercial, centros sanitarios, seguridad
\nprivada y federaciones deportivas con datos de menores.<\/td>\nComunicar su identidad a la AEPD en el plazo de 10 d\u00edas
\ndesde el nombramiento.<\/td>\nInfracci\u00f3n grave por no designarlo debiendo hacerlo.<\/td>\n<\/tr>\n \n Evaluaci\u00f3n de Impacto (EIPD)<\/strong><\/td>\n RGPD
\nart. 35<\/td>\nTratamientos de alto riesgo (videovigilancia a gran escala,
\nelaboraci\u00f3n de perfiles con efectos jur\u00eddicos, tratamiento masivo
\nde datos sensibles, nuevas tecnolog\u00edas), conforme al listado
\npublicado por la AEPD.<\/td>\nAntes de iniciar el tratamiento.<\/td>\n Infracci\u00f3n grave.<\/td>\n<\/tr>\n \n Notificaci\u00f3n de brechas de seguridad<\/strong><\/td>\n RGPD
\narts. 33 y 34<\/td>\nAnte cualquier incidente de seguridad que suponga un riesgo
\npara los derechos de los afectados (p\u00e9rdida, acceso no autorizado,
\nransomware, env\u00edo err\u00f3neo, etc.).<\/td>\n72 horas a la AEPD; sin dilaci\u00f3n indebida a los afectados
\nsi el riesgo es alto.<\/td>\nInfracci\u00f3n grave o muy grave.<\/td>\n<\/tr>\n \n Atenci\u00f3n a los derechos de los interesados<\/strong><\/td>\n RGPD
\narts. 15 a 22<\/td>\nSiempre: acceso, rectificaci\u00f3n, supresi\u00f3n, oposici\u00f3n,
\nlimitaci\u00f3n y portabilidad.<\/td>\n1 mes desde la solicitud, prorrogable 2 meses m\u00e1s si es complejo.<\/td>\n Infracci\u00f3n leve o grave.<\/td>\n<\/tr>\n \n Transferencias internacionales de datos<\/strong><\/td>\n RGPD
\narts. 44 a 49<\/td>\nCuando los datos se env\u00edan fuera del Espacio Econ\u00f3mico Europeo
\n(p. ej. herramientas cloud, CRM o email marketing alojados
\nen EE. UU. u otros terceros pa\u00edses).<\/td>\nGarant\u00edas adecuadas (decisi\u00f3n de adecuaci\u00f3n, cl\u00e1usulas tipo, BCR)
\nantes de la transferencia.<\/td>\nInfracci\u00f3n muy grave: hasta 20 M\u20ac o 4% de la facturaci\u00f3n.<\/td>\n<\/tr>\n \n Consentimiento reforzado en menores<\/strong><\/td>\n LOPDGDD
\nart. 7<\/td>\nTratamiento de datos de menores de 14 a\u00f1os
\n(por ejemplo, en servicios de la sociedad de la informaci\u00f3n
\ndirigidos a menores).<\/td>\nConsentimiento de padres o tutores legales.<\/td>\n Infracci\u00f3n grave.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/a>