Tu gestión de datos personales, bajo control
El GDPR (Reglamento General de Protección de Datos) regula cómo cualquier organización trata datos personales de personas en la Unión Europea. Aplica desde el 25 de mayo de 2018, con el mismo texto en los 27 países.
Esta guía resume el reglamento en lenguaje simple y no reemplaza asesoría legal. Verifica siempre el texto oficial antes de tomar decisiones.
Qué es el GDPR
Aplica a toda organización que trate datos personales de personas en la UE, esté o no la empresa establecida en Europa, y se sostiene sobre tres pilares. Cada país lo completa con su propia ley: en España, la Ley Orgánica de Protección de Datos (LOPDGDD), que regula cosas del día a día como la videovigilancia, los canales de denuncia interna o los derechos digitales de los empleados.
Derechos de las personas
Acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento, para cualquier persona cuyos datos se traten en la UE.
6 bases legales
Todo tratamiento necesita una base legal: consentimiento, contrato, obligación legal, interés vital, interés público o interés legítimo.
Una autoridad por país
Cada estado miembro tiene su propia autoridad de protección de datos — en España, la AEPD — coordinadas bajo el mismo reglamento.
De la directiva de 1995 al GDPR
01 / 1995
La directiva anterior
La Directiva 95/46/CE sienta las bases de la protección de datos en la UE, pero cada país la implementa de forma distinta.
02 / 2016
Aprobación del GDPR
El Reglamento (UE) 2016/679 se aprueba como reglamento directamente aplicable, no una directiva a transponer.
03 / 25 de mayo de 2018
Aplicación plena
El GDPR entra en aplicación en toda la UE, con el mismo texto y las mismas multas máximas en los 27 países.
20M€/4%
Multa máxima
72 horas
Plazo para notificar brechas
99
Artículos
6
Bases legales
Sanciones
El GDPR define dos niveles de multa según la gravedad de la infracción. La autoridad de cada país aplica el reglamento con criterios propios de proporcionalidad.
| Categoría | Multa | Ejemplos |
|---|---|---|
| Infracciones menores | Hasta 10M€ o 2% de la facturación global | No mantener un registro de actividades de tratamiento, no notificar una brecha a tiempo, incumplir obligaciones de seguridad del artículo 32. |
| Infracciones graves | Hasta 20M€ o 4% de la facturación global | Tratar datos sin base legal, vulnerar los derechos de las personas, transferir datos fuera de la UE sin garantías adecuadas. |
Qué te aporta ISO 27001 para el GDPR
ISO 27001 te ayuda con la parte de seguridad del GDPR, pero no lo cubre entero: el GDPR regula obligaciones legales y de consentimiento que van más allá de la seguridad de la información y que ISO 27001 no contempla. Para esa parte existe una norma específica de gestión de la privacidad, ISO/IEC 27701.
Qué significa para tu pyme
El GDPR no tiene un umbral de tamaño: si tu pyme tiene formularios web, base de clientes, nómina o usa cookies de analítica, ya está tratando datos personales.
Muchas pymes no necesitan designar un Delegado de Protección de Datos (DPO), pero es obligatorio si tratas a gran escala datos sensibles (de salud, por ejemplo) o haces un seguimiento sistemático de personas. En España la ley lo exige además a colegios, entidades financieras, aseguradoras, centros sanitarios y empresas de seguridad privada, entre otros. Si dudas, confírmalo con asesoría legal.
La privacidad tiene que pensarse desde el diseño: cada nuevo formulario, herramienta o proveedor debería recoger solo los datos que necesitas. Y cada proveedor que trate datos por ti necesita un contrato de encargo; en Kardu guardas cada uno como evidencia, fechado y con su caducidad.
Si también operas en Chile, su nueva ley de datos se inspira en el GDPR, aunque con diferencias propias: Ley 21.719 vs GDPR.
7 elementos mínimos
- Política de privacidad clara y accesible
- Base legal documentada para cada tratamiento
- Registro de Actividades de Tratamiento (RAT)
- Acuerdos de procesamiento (DPAs) con tus proveedores
- Un protocolo de brechas con plazo de 72 horas
- Un canal para que las personas ejerzan sus derechos
- Evaluación de impacto cuando un tratamiento sea de alto riesgo (datos de salud, biometría, seguimiento a gran escala…)
Fuentes oficiales
Esta guía es un resumen. Para el detalle legal, consulta directamente el texto del reglamento.
Texto oficial del GDPR en EUR-Lex →ISO 27001 como base, GDPR incluido
Kardu organiza tu evidencia de cumplimiento sobre ISO 27001 y la mapea al GDPR y al resto de frameworks que te apliquen, para que no dupliques trabajo entre normativas.