RGPD y LOPDGDD aparecen juntas en políticas, contratos y avisos de privacidad, pero no son dos normas alternativas entre las que elegir.
El Reglamento General de Protección de Datos establece el marco europeo y la Ley Orgánica 3/2018 adapta y complementa determinadas materias dentro del ordenamiento español.
Qué intención de búsqueda hay detrás
La intención es comparativa: el usuario quiere entender por qué se citan ambas y qué debe consultar en su actividad.
El RGPD tiene alcance europeo
El Reglamento (UE) 2016/679 establece principios, derechos, obligaciones y reglas comunes de protección de datos.
Es directamente aplicable en la Unión Europea dentro de su ámbito.
Muchas obligaciones operativas nacen de este marco.
La LOPDGDD complementa en España
La Ley Orgánica 3/2018 desarrolla materias permitidas por el RGPD y añade regulación española.
No sustituye al Reglamento.
Ambas deben leerse de forma coherente.
Principios y bases vienen del marco RGPD
Licitud, lealtad, transparencia, minimización y limitación de finalidad son pilares del sistema.
Las bases jurídicas también parten del Reglamento.
La práctica debe organizarse alrededor de estos principios.
La normativa española añade contexto nacional
Existen materias como determinados derechos digitales y concreciones nacionales.
El autónomo no necesita memorizar cada artículo para operar.
Sí debe saber cuándo una cuestión concreta exige revisar el marco español.
La AEPD interpreta y orienta
La autoridad española publica guías, herramientas y criterios para organizaciones y profesionales.
Estas fuentes ayudan a aterrizar obligaciones.
No sustituyen el análisis de un caso de alto riesgo.
No redactes políticas como una colección de leyes
La persona necesita entender qué haces con sus datos.
Citar normas no sustituye explicar finalidad, base, destinatarios y derechos.
La claridad debe ganar a la acumulación jurídica.
Los proveedores siguen siendo parte del análisis
Que una herramienta diga ‘cumplimos RGPD’ no resuelve tu responsabilidad.
Revisa contratos y uso real.
La normativa se aplica al tratamiento, no al logo del SaaS.
La gestión debe actualizarse
Las herramientas y procesos cambian aunque la ley permanezca.
Cada nuevo canal puede alterar el mapa de datos.
Revisa periódicamente documentación y práctica.
Cómo convertir la teoría en un sistema real
Empieza por inventariar procesos y herramientas: formularios, correo, CRM, facturación, newsletter, nube, reservas y colaboradores. Para cada tratamiento documenta finalidad, categorías de datos, personas afectadas, destinatarios, conservación y controles principales. Esa fotografía permite detectar diferencias entre lo que dice la documentación y lo que realmente ocurre.
Después prioriza por riesgo e impacto. No todos los datos ni tratamientos requieren el mismo nivel de atención. Una lista de correo sencilla, una base de pacientes o un sistema con documentación identificativa no generan el mismo riesgo. La gestión debe ser proporcional y revisable.
Finalmente crea una rutina: revisión de proveedores, accesos, formularios, plazos de conservación, textos y nuevas herramientas. El cumplimiento se degrada cuando se trata como un documento que se redactó una vez y nunca volvió a mirarse.
Caso práctico
Un autónomo copia una política que menciona RGPD y LOPDGDD pero no identifica el CRM ni la plataforma de newsletter que utiliza.
Aunque la lista de normas sea correcta, la información no refleja sus tratamientos reales.
La revisión parte del flujo de datos y utiliza el marco jurídico para justificar y documentar cada proceso.
Errores frecuentes
- Pensar que la LOPDGDD sustituye al RGPD.
- Citar normas sin explicar tratamientos.
- Copiar políticas ajenas.
- Confiar en sellos de proveedores.
- No actualizar documentación cuando cambia el stack.
Curso relacionado
Para trabajar el proceso completo, consulta RGPD y protección de datos para autónomos: web, clientes, proveedores y brechas.
Si necesitas revisar procesos, formularios, CRM o integraciones en un proyecto digital, BlackHold Consulting puede ayudarte a aterrizar la parte operativa y técnica.
Recursos relacionados en Academy
- Mapa de datos personales
- Bases jurídicas
- Registro de Actividades de Tratamiento
- Formularios web y leads
- Evaluar proveedores digitales
- Brechas de datos personales
Fuentes oficiales que conviene consultar
La AEPD mantiene orientación específica para pymes, micropymes y profesionales y herramientas como Gestiona RGPD y Facilita Emprende. Para tratamientos complejos, categorías especiales o situaciones de riesgo elevado, conviene revisar la situación concreta con la normativa vigente y asesoramiento especializado.
Preguntas frecuentes
¿Cuál prevalece?
El RGPD es el marco europeo directamente aplicable y la LOPDGDD complementa y adapta materias en España dentro de sus competencias.
¿Debo citar las dos normas en mi web?
La información debe ser correcta y comprensible; citar normas no sustituye explicar el tratamiento.
¿La AEPD aplica ambas?
La AEPD actúa como autoridad de control en España dentro del marco aplicable.
¿Cambian mis obligaciones por ser autónomo?
Algunas obligaciones dependen de actividad, escala y riesgo, no únicamente de tamaño.
¿Dónde reviso dudas?
Empieza por AEPD y fuentes oficiales, y busca asesoramiento especializado si el caso es complejo.
Plan de revisión en 30 días
Semana 1: inventaría tratamientos, herramientas y proveedores.
Semana 2: revisa formularios, textos y bases jurídicas.
Semana 3: comprueba contratos, accesos, conservación y seguridad.
Semana 4: documenta derechos, brechas y una rutina trimestral de revisión.
Cómo saber si tu sistema está realmente controlado
Selecciona una persona ficticia y simula una solicitud de acceso o supresión. Comprueba si puedes localizar su información en CRM, newsletter, correo, nube y otros sistemas relevantes. La dificultad de esa prueba revela rápidamente copias invisibles, proveedores olvidados y procesos que solo existen en la cabeza de una persona.
Haz lo mismo con un proveedor: identifica qué datos recibe, bajo qué relación, cómo se exportan y qué pasaría si mañana dejaras de utilizarlo. La capacidad de responder estas preguntas sin improvisar es una señal de madurez operativa.
Privacidad desde el diseño en un negocio pequeño
Antes de añadir un formulario, una automatización o un nuevo SaaS, pregunta qué dato necesita realmente, quién lo verá y durante cuánto tiempo. Resolver esas preguntas antes de implantar la herramienta suele ser más sencillo que limpiar el proceso después.
La privacidad desde el diseño no exige convertir cada cambio en un proyecto jurídico. Significa incorporar preguntas de datos y riesgo dentro del proceso normal de decisión digital.
Control adicional de calidad
Revisa una muestra de registros reales y comprueba que la información recogida coincide con la finalidad documentada. Observa también si existen campos vacíos, notas innecesarias, archivos exportados o usuarios antiguos con acceso.
Cuando detectes un problema recurrente, no lo resuelvas solo de forma manual: modifica el formulario, el permiso, el procedimiento o la configuración que lo origina. El objetivo es que el sistema evite repetir el mismo fallo.
Conclusión
RGPD y LOPDGDD forman parte del mismo sistema de protección de datos en España. Para un autónomo, lo importante es traducir ese marco a procesos reales y documentados.
Cuando los datos comerciales se gestionan en un CRM, Aira CRM puede formar parte del mapa de sistemas y proveedores que debes documentar. Si la información pasa a facturación, operaciones o gestión empresarial, Clientum puede ser otra pieza del flujo que conviene inventariar.
Fotografía: Kevin Paster / Pexels.