.svg)
En 2018, una sola ley cambió la conversación global (y las prácticas globales) sobre la privacidad de datos.
El Reglamento General de Protección de Datos (RGPD) fortaleció las normas europeas sobre cómo debe manejarse la información personal, quién tiene el control sobre ella y qué significa la transparencia en la era digital. Por primera vez, los usuarios obtuvieron derechos claros sobre sus datos, y las empresas comenzaron a enfrentar consecuencias reales por violarlos.
Antes del RGPD, el consentimiento era en gran medida una idea secundaria. Después de su implementación, el reglamento transformó la forma en que operan las empresas, inspiró leyes en todo el mundo y ayudó a que la privacidad se convirtiera en una prioridad tanto para las compañías como para los consumidores.
Siete años después, el RGPD sigue siendo una de las leyes de privacidad más influyentes y efectivas del mundo. Sin embargo, el entorno digital que ayudó a redefinir está cambiando rápidamente, y la propia ley también evoluciona.
Didomi explica cómo llegamos hasta aquí con el RGPD, en qué punto se encuentra actualmente desde la perspectiva del cumplimiento y qué cambios podrían aparecer en el horizonte.
Aviso legal: Este artículo no constituye asesoramiento jurídico. Asegúrate de consultar con tu DPO y con el departamento legal para garantizar el cumplimiento del RGPD y de otras normativas de protección de datos.
Cómo llegamos hasta aquí: una breve historia del RGPD
El RGPD cambió las prácticas comerciales relacionadas con la privacidad prácticamente de la noche a la mañana cuando entró en vigor el 25 de mayo de 2018. Pero no surgió de la nada: fue el resultado de décadas de formulación de políticas europeas destinadas a conciliar la innovación tecnológica con el derecho a la privacidad.
La historia del GDPR comienza en 1981, cuando el Consejo de Europa introdujo el Convenio 108, el primer acuerdo internacional vinculante del mundo sobre protección de datos, justo cuando la informática personal comenzaba a afianzarse.
En 1995, la Unión Europea aprobó la Directiva de Protección de Datos, que definía las normas básicas de privacidad, pero dejaba a los Estados miembros una amplia discreción sobre cómo aplicarlas. El resultado fue un sistema fragmentado, difícil de entender para las personas y complicado de cumplir para las empresas, especialmente en lo relacionado con el correo electrónico, el comercio electrónico y los primeros servicios de Internet, como Yahoo! y AOL, que empezaban a generalizarse.
A principios del siglo 21, los datos fluían más rápido y más lejos que nunca. En 2000, la UE adoptó la Carta de los Derechos Fundamentales, que reconocía explícitamente la privacidad y la protección de datos como derechos humanos fundamentales, justo cuando Google comenzaba a indexar la web, Facebook se preparaba para su lanzamiento y el seguimiento del comportamiento en línea se convertía discretamente en la norma. En 2009, el Tratado de Lisboa otorgó a la Carta plena fuerza jurídica, convirtiendo esos principios en leyes constitucionales aplicables en toda la UE.
Sin embargo, en la década de 2010, quedó claro que el sistema se estaba agotando. La era de los teléfonos inteligentes trajo consigo una generación de datos casi constante. Las plataformas en la nube permitieron el almacenamiento masivo de información personal. Las redes sociales, las aplicaciones móviles y las subastas de anuncios en tiempo real convirtieron el consentimiento en una simple casilla de verificación, a menudo oculta entre la jerga legal. Al mismo tiempo, incidentes de gran repercusión, como las revelaciones de Edward Snowden, y la creciente preocupación por los intermediarios de datos y el capitalismo de la vigilancia pusieron de manifiesto el escaso control que tenían las personas sobre su información personal.
La Comisión Europea inició entonces una reforma completa con el objetivo de crear una regulación única y unificada que eliminara las brechas de aplicación, fortaleciera los derechos individuales y responsabilizara a las empresas, sin importar dónde operaran. Tras años de negociación, el RGPD se adoptó en 2016 y entró en vigor en todos los Estados miembros de la UE el 25 de mayo de 2018.
En los años transcurridos desde entonces, el GDPR se ha convertido en el estándar de oro de la legislación de privacidad a nivel mundial. Países como Brasil, Japón, India y Estados Unidos han adoptado marcos inspirados en él, mientras que las empresas han incorporado banners de consentimiento, centros de preferencias y herramientas de exportación de datos en sus productos, con el objetivo de transformar los desafíos del cumplimiento de la privacidad en oportunidades comerciales exitosas.
Siete años de GDPR han cambiado nuestra forma de pensar sobre la privacidad, no solo en Europa, sino en todo el mundo. (...) El GDPR provocó un movimiento global hacia prácticas de protección de datos que preservan la privacidad, y nos enorgullece ser parte de él en cada paso del proceso.
- Romain Gauthier, CEO y cofundador de Didomi
Sin embargo, incluso el oro puede perder su brillo con el tiempo. Aunque el enfoque integral del RGPD y su énfasis en los derechos individuales lo han convertido en un referente en materia de protección de datos, el reglamento se enfrenta ahora a nuevos desafíos derivados de las tecnologías emergentes, como la inteligencia artificial, la biometría, los dispositivos conectados y las identidades digitales, que vuelven menos clara la distinción entre qué datos son “personales” y cuáles no.
Una ley, muchos países
A diferencia de la directiva a la que sustituyó, el GDPR es un reglamento, lo que significa que se aplica de manera uniforme en toda la UE sin necesidad de legislación nacional. Sin embargo, a pesar de la uniformidad de la ley en todos los bloques, no se aplica ni se hace cumplir de la misma manera en todas partes.
El GDPR funciona a través de un modelo de aplicación descentralizado en el que cada estado miembro de la UE tiene su propia Autoridad de Protección de Datos (DPA). Estos reguladores nacionales son organismos públicos independientes encargados de:
- Supervisar el cumplimiento
- Tramitación de quejas
- Investigar las infracciones
- Emisión de multas y acciones correctivas
En otras palabras, si bien el RGPD está unificado en toda la UE, la aplicación está descentralizada. El Consejo Europeo de Protección de Datos (EDPB) ayuda a armonizar las decisiones y resolver las controversias, pero los reguladores nacionales siguen teniendo un amplio margen de discrecionalidad a la hora de investigar y sancionar las infracciones. Por eso, la aplicación de la ley puede ser muy diferente de un país a otro, incluso bajo la misma ley.
Para las empresas que operan en varios países de la Unión Europea, se aplica un concepto conocido como el mecanismo de “ventanilla única” (one-stop-shop).
Cuando surge un problema transfronterizo, este mecanismo designa a una autoridad principal en función del lugar donde la empresa tenga su sede principal en la UE. Dicha autoridad coordina entonces la aplicación de las normas con las demás autoridades de protección de datos afectadas en el bloque.
Por ejemplo, una empresa tecnológica con sede en Irlanda pero que presta servicios a usuarios en toda la UE suele estar bajo la supervisión de la Comisión de Protección de Datos de Irlanda. Por su parte, un minorista francés informaría a la CNIL de Francia, y una startup checa de software como servicio (SaaS) estaría sujeta a la autoridad UOOÚ.
Sin embargo, muchas empresas más pequeñas, especialmente las que tienen su sede fuera de la UE, no cuentan con una sede europea. En esos casos, quedan bajo la jurisdicción de la autoridad de protección de datos (DPA) que reciba una denuncia o detecte una posible infracción. Esto puede implicar múltiples puntos de exposición, expectativas inconsistentes y acciones de cumplimiento desde países en los que la empresa ni siquiera opera directamente.
Aplicación desigual
En teoría, la estructura del RGPD basada en el principio de “una sola ley para muchos países” garantiza una aplicación coherente de la norma. Bajo el RGPD, las reglas son las mismas (por ejemplo, los derechos de acceso, los estándares de consentimiento, la notificación de brechas y el cumplimiento transfronterizo). Sin embargo, en la práctica, su aplicación y prioridades pueden variar considerablemente según el lugar donde residan los titulares de los datos o donde se considere establecida la empresa.
Algunos países se centran en la cantidad antes que en la magnitud, emitiendo cientos de sanciones de bajo valor para fomentar un mejor cumplimiento diario. Otros prefieren menos casos, pero de alto impacto. Y muchas autoridades de protección de datos (DPA) priorizan la orientación y la cooperación sobre las multas, especialmente cuando una empresa demuestra un esfuerzo genuino por cumplir con la normativa.
Durante los primeros siete años del RGPD, la aplicación de la ley ha generado más de 2.200 multas, con un total de 5.600 millones de euros, según los datos de CMS Enforcement Tracker Esto representa una multa media de 2,36 millones de euros. Sin embargo, la actividad de aplicación cambia drásticamente según el país. Por ejemplo:
- Irlanda ha emitido solo unas pocas decenas de sanciones, pero incluyen algunas de las más grandes de la historia, dirigidas principalmente a las grandes plataformas tecnológicas con sede allí.
- España en cambio, ha emitido más de 980 multas, enfocándose en el volumen más que en el tamaño, muchas de ellas dirigidas a pequeñas empresas y entidades del sector público.
- Hungría, los Países Bajos y Eslovaquia muestran una gran variabilidad tanto en la actividad como en los montos de las sanciones.
Estas diferencias, que se deben a factores como las distintas filosofías de aplicación, los niveles de recursos disponibles y las culturas jurídicas nacionales, pueden crear zonas grises legales y retos de cumplimiento multijurisdiccional para las organizaciones, a pesar de la supuesta “uniformidad” del RGPD entre los países de la UE.
Para las pequeñas empresas, el resultado es una combinación de incertidumbre y expectativas desiguales. No siempre está claro quién es la autoridad principal, qué normas se aplican en cada lugar o cómo se llevará a cabo la aplicación de la ley si algo sale mal.
Las grandes empresas tecnológicas vs. pequeñas empresas: dos realidades distintas en la aplicación del RGPD
A primera vista, el RGPD se aplica por igual a todos. Ya seas un gigante tecnológico con millones de usuarios o una empresa regional de software (SaaS) que presta servicios a clientes europeos desde el extranjero, las reglas básicas son las mismas: obtener un consentimiento válido, respetar los derechos de los usuarios, proteger los datos personales y contar con una base legal clara para su tratamiento.
Sin embargo, al analizar más de cerca la historia de la aplicación del RGPD, resulta evidente que la forma y las razones por las que se imponen las sanciones suelen depender del tamaño, la estructura y la visibilidad de la empresa.
Las multas millonarias del RGPD, como las impuestas a gigantes tecnológicos estadounidenses como Meta (€1.200 millones), Amazon (€746 millones), TikTok (€345 millones) y Google (€150 millones), acaparan los titulares, pero representan solo una fracción del total de las acciones de cumplimiento. Muchas autoridades han emitido cientos de sanciones más pequeñas dirigidas a pequeñas y medianas empresas (pymes).
Las PYMES son más propensas a enfrentar sanciones por errores de cumplimiento relativamente comunes, como:
- Banners de cookies mal configurados o inexistentes
- Políticas de privacidad incompletas
- Solicitudes de acceso o eliminación ignoradas o retrasadas
- Falta de un Delegado de Protección de Datos (cuando es obligatorio)
- Almacenamiento excesivo de datos durante demasiado tiempo sin justificación legal
Estos son problemas visibles y medibles que las autoridades de protección de datos (DPAs) pueden auditar rápidamente, normalmente en respuesta a denuncias individuales (por ejemplo, un cliente que no logra eliminar sus datos puede presentar un informe, lo que desencadena una investigación). Dado que estas infracciones son más fáciles de detectar y documentar, representan una gran parte de las acciones de cumplimiento del RGPD.
Las grandes empresas tecnológicas, en cambio, suelen atraer la atención de las autoridades por cuestiones más complejas y sistémicas:
- Transferencias de datos transfronterizos
- Prácticas de publicidad basada en el comportamiento
- Elaboración de perfiles y seguimiento algorítmico
- Recopilación de datos biométricos
- Personalización basada en IA sin un consentimiento válido
Este tipo de casos suelen requerir cooperación entre múltiples jurisdicciones e investigaciones técnicas prolongadas. Como resultado, la aplicación de sanciones a las grandes plataformas tiende a tardar más tiempo y culminar en multas más elevadas, aunque más retrasadas. No se trata necesariamente de que estas empresas estén sujetas a un estándar distinto, sino de que la escala y la sofisticación de sus operaciones de datos hacen que la supervisión sea mucho más costosa y compleja.
¿El resultado? Un patrón de aplicación de doble vía:
- Grandes multas para las grandes tecnológicas, años en proceso
- Multas más frecuentes y pequeñas para las PYMES, centradas en infracciones inmediatas
La armonización del RGPD, por tanto, es algo engañosa. A pesar del diseño e intención de “una sola ley para muchos países”, la realidad para las pequeñas empresas que operan en la UE, ya sea de forma presencial o remota, puede ser compleja y confusa. Y dado que las sanciones del RGPD pueden alcanzar entre el 2 % y el 4 % de los ingresos anuales globales de una empresa, simplemente intentar hacer lo correcto puede no ser suficiente.
Tu empresa no necesita ser grande ni incurrir en violaciones generalizadas de la privacidad para verse afectada por la aplicación del RGPD. Solo basta con cometer un error, una vez. Para evitar caer en el punto de mira de las autoridades, el desafío para la mayoría de las empresas es doble:
- Saber cuándo estás sujeto al RGPD (incluso si no tienes sede en Europa).
- Gestionar los riesgos de cumplimiento, que pueden depender, en parte, de dónde se encuentren tus usuarios y de qué autoridad de protección de datos (DPA) intervenga.
Qué cubre el RGPD hoy y cómo afecta a tu empresa
Desde la perspectiva de los titulares de datos, el RGPD es relativamente sencillo. Siete años después de su entrada en vigor, la misión central de la ley sigue siendo la misma: dar a las personas un mayor control sobre sus datos personales y garantizar que las organizaciones los traten de forma responsable.
Sin embargo, lo que esto implica para las empresas dista mucho de ser simple. Términos como responsable del tratamiento, encargado del tratamiento, intereses legítimos o tratamiento automatizado pueden hacer que el cumplimiento sea un verdadero desafío, sin contar los pasos necesarios para lograrlo. A continuación, te ofrecemos una explicación práctica (y en su mayoría libre de jerga) sobre cómo funciona el RGPD y cómo mantenerte en el lado correcto de los titulares de datos y de las autoridades de protección (DPAs).
¿De quién se protegen los datos?
El RGPD protege los datos personales de cualquier individuo que se encuentre en la Unión Europea, independientemente de su nacionalidad.
- Tu empresa no necesita tener sede en la UE para estar sujeta a la ley.
- No es necesario vender directamente a consumidores europeos: simplemente recopilar direcciones de correo electrónico de visitantes ubicados en la UE puede generar obligaciones legales.
Si tu empresa ofrece bienes o servicios a personas en la UE o supervisa su comportamiento en línea (por ejemplo, mediante analítica, publicidad, cookies o seguimiento entre sitios), casi con total seguridad estás sujeta al RGPD.
Incluso si no sabes con exactitud dónde se encuentran tus usuarios, el uso de idiomas, monedas, opciones de envío o dominios (.eu) dirigidos al público europeo puede ser suficiente para considerarse “orientación” bajo la ley.
Quién debe cumplir con el RGPD (y cómo saberlo)
¿No estás seguro de si el RGPD se aplica a tu empresa? Aquí tienes algunos criterios que puedes aplicar a tus operaciones para determinarlo:
¿Qué derechos tienen los usuarios según el RGPD en 2025?
En esencia, el RGPD trata de otorgar a las personas derechos claros y exigibles sobre sus datos personales. Como empresa, tu responsabilidad es garantizar que esos derechos puedan ejercerse y responder dentro de los plazos establecidos.
Esto es lo que tus usuarios en la UE pueden esperar:
Para reiterar: estos derechos básicos que constituyen el núcleo del RGPD a menudo se pasan por alto frente a los temas más mediáticos que acaparan titulares con sanciones de miles de millones de euros. Las autoridades de protección de datos (DPAs) han impuesto millones en multas a empresas que no cumplieron con solicitudes de acceso o eliminación, a veces simplemente por no responder a tiempo o por no tener los flujos de trabajo adecuados.
Y esas son solo las sanciones administrativas. El artículo 82 del RGPD otorga a los titulares de los datos el derecho a solicitar una indemnización a las organizaciones que les causen daños materiales o inmateriales como resultado de una violación del reglamento.
Conoce la ley (y tu ecosistema tecnológico)
Cumplir con el RGPD es un desafío legal que, en el contexto del funcionamiento diario de una empresa, quizá deba entenderse más como un reto operativo. Por ejemplo, es posible que estés utilizando sistemas como:
- Google Analytics, Stripe o HubSpot para gestionar datos de clientes.
- Meta Pixel o etiquetas de LinkedIn para campañas de retargeting.
- Intercom, Drift o Zendesk para la atención al usuario.
Si es así, significa que los datos fluyen entre múltiples sistemas y proveedores. Y, bajo el RGPD, tú, como organización que utiliza estos servicios, eres responsable de garantizar que todos los eslabones de esa cadena de tratamiento de datos cumplan con el reglamento, incluidos los proveedores que procesan datos personales en tu nombre. Para ello, deberás:
- Saber dónde se almacenan y procesan tus datos.
- Mantener un registro de las actividades de tratamiento (sí, incluso en muchos casos siendo una pyme).
- Evaluar y gestionar contractualmente a tus encargados del tratamiento.
- Ofrecer mecanismos fáciles y transparentes para que los usuarios gestionen su consentimiento y sus preferencias.
- Implementar un flujo de trabajo eficiente para recibir y responder a las solicitudes de los usuarios.
El artículo 25 del RGPD exige que la protección de datos se integre en el diseño de los sistemas, servicios y productos desde el principio, y no como un añadido o una idea posterior. Este principio fundamental de privacidad se conoce como “privacidad desde el diseño y por defecto”.
Puede sonar como otro término técnico de privacidad, pero este concepto impulsa soluciones de cumplimiento más sostenibles y preparadas para el futuro, que no se limitan a marcar casillas, sino que incorporan la privacidad como parte esencial de la infraestructura, la comunicación, la experiencia del usuario y el modelo de negocio desde el inicio.
¿Qué sigue para el GDPR en 2025?
Mantener el RGPD al ritmo de las prácticas tecnológicas que fue diseñado para regular no es tarea fácil.
La tecnología continúa evolucionando a una velocidad vertiginosa. Y, en cierto modo, el RGPD es víctima de su propio éxito: ha hecho que las personas sean más conscientes de cómo se utilizan sus datos y de los derechos que tienen sobre su información personal, generando una mayor conciencia sobre la privacidad y una demanda más fuerte de protección de datos por parte de los consumidores. Aunque el modelo regulatorio europeo basado en el RGPD no sufre los mismos problemas de descentralización que el sistema estadounidense, en la práctica, el RGPD puede sentirse como un entramado de leyes y regímenes regulatorios diferentes, con requisitos distintos según el tamaño de las empresas.
Siete años después de su introducción, cumplir con el RGPD sigue pareciendo perseguir un objetivo en movimiento. Las crecientes peticiones de simplificación reflejan no solo fatiga regulatoria, sino también una comprensión más profunda: el equilibrio entre el rigor legal y la realidad operativa es más difícil de lo esperado. Mirando hacia el futuro, el riesgo es que la simplificación se convierta en una excusa para debilitar las protecciones.
- Thomas Adhumeau, director de privacidad de Didomi
Los críticos también sostienen que el RGPD es anticompetitivo, ya que sus complejos requisitos de cumplimiento suponen una carga desproporcionada para las pequeñas empresas y startups, que representan alrededor del 95 % de todas las compañías, y otorgan una ventaja a las grandes tecnológicas, que pueden absorber más fácilmente los costes en la economía digital actual.
A lo largo de estos siete años, los esfuerzos de reforma del RGPD se han centrado en suavizar algunas desigualdades, armonizando partes procedimentales que variaban ligeramente entre las autoridades estatales (por ejemplo, la gestión de reclamaciones o la cooperación entre autoridades). El Consejo Europeo y el Parlamento Europeo alcanzaron un acuerdo sobre una de estas iniciativas en junio de 2025.
Hasta la fecha, estas actualizaciones se han enfocado principalmente en aclarar el texto original más que en modificar sustancialmente la ley. Sin embargo, hay señales de que podrían venir cambios más grandes con la introducción del “Paquete de Simplificación Omnibus”, cuyo objetivo es “reducir las cargas administrativas”. Según los legisladores de la UE, esto incluiría reducir los requisitos de registro para las pymes y “crear un entorno favorable a los nuevos negocios y al desarrollo tecnológico”, según el Electronic Privacy Information Center.
El IAPP señala que el enfoque de “una talla única para todos” fue criticado durante las negociaciones iniciales del RGPD y llevó a algunos ajustes en el texto final. Los funcionarios de la UE enmarcan las posibles enmiendas como una forma de “impulsar la competitividad y la prosperidad a largo plazo de Europa”. Reconocen que exigir a las pymes los mismos requisitos de cumplimiento que a las grandes empresas puede generar una desventaja competitiva que frene el crecimiento económico.
La propuesta actual incluiría:
- Ampliar la exención del registro de actividades de tratamiento de las empresas con menos de 250 empleados a aquellas con hasta 750 empleados.
- Exigir el registro solo cuando el tratamiento sea “probablemente de alto riesgo”, como en casos de perfilado mediante IA, datos biométricos o información sanitaria.
- Posiblemente eliminar la obligación de nombrar un Delegado de Protección de Datos (DPO) para algunas PYMES.
Estas medidas podrían ahorrar a las empresas unos 66 millones de euros anuales al reducir la carga administrativa. Otras reformas propuestas incluyen:
Marco de cumplimiento escalonado y basado en el riesgo
El eurodiputado Axel Voss y el activista Max Schrems (NOYB) han debatido un enfoque por niveles:
- Nivel 1: Un “mini-RGPD” más ligero para el ~90 % de las empresas, con menos obligaciones de transparencia y sin requisito de DPO.
- Nivel 2: El RGPD completo para empresas que traten datos sensibles o operen a gran escala.
- Nivel 3: Un “RGPD Plus” para grandes plataformas, con supervisión adicional y auditorías obligatorias.
Estrategia del EDPB 2024–2027
Como actor clave en el futuro de la protección de datos en Europa (y más allá), el Comité Europeo de Protección de Datos (EDPB) ha identificado las siguientes prioridades estratégicas hasta 2027:
- Promover la armonización y fomentar el cumplimiento proactivo.
- Fortalecer una cultura común de aplicación de la ley.
- Afrontar los desafíos de protección de datos derivados de las nuevas tecnologías y del solapamiento regulatorio.
- Impulsar el diálogo global sobre privacidad.
Didomi ayuda a las empresas a prepararse para lo que viene
El RGPD es un instrumento vivo, basado en principios sólidos como la privacidad desde el diseño y por defecto, diseñado para evolucionar junto con los procesos de recopilación de datos que regula. Sin embargo, debido a la velocidad del cambio tecnológico y al surgimiento de tecnologías transformadoras como la IA, las leyes de privacidad suelen quedarse atrás y actuar como indicadores retardados de lo que está por venir.
Aun así, los legisladores europeos no se quedan de brazos cruzados. Los cambios propuestos al RGPD podrían beneficiar tanto a las empresas europeas como a las internacionales, aunque también podrían añadir nuevas capas de complejidad y nuevas obligaciones a un panorama ya de por sí complicado. En un mundo donde la regulación de la privacidad no se detiene, tu empresa tampoco puede hacerlo.
Puede que aún no sepamos qué cambios del RGPD se aprobarán, cuáles se quedarán en el camino o si realmente se logrará una mayor armonización. Pero lo que sí es seguro es que el movimiento por la privacidad de los datos que el RGPD puso en marcha sigue avanzando. A medida que cambian los entornos digital y regulatorio y surgen nuevas expectativas, mantener la flexibilidad y la confianza será más importante que nunca.
Estar preparado para lo que viene en materia de privacidad implica contar con un sistema de cumplimiento flexible y sólido, capaz de adaptarse automáticamente a los nuevos requisitos, donde y cuando se apliquen. Para hablar sobre los desafíos de tu empresa en privacidad y cumplimiento, reserva una llamada con nuestro equipo de expertos.
{{talk-to-an-expert}}
%2520(1)-1.png)
