Última actualización: 30 de julio de 2026.
Respuesta rápida. El RGPD y la LOPDGDD no protegen ficheros, protegen a personas: en España no existe propiedad empresarial sobre los datos de un ciudadano. Estos 15 mandamientos, extraídos de sentencias del Tribunal Supremo y del Tribunal Constitucional y de resoluciones sancionadoras de la AEPD, resumen lo que un empresario debe controlar: cuándo empieza el tratamiento, quién prueba el consentimiento, qué separa al responsable del encargado, cuándo la biometría exige evaluación de impacto y por qué la seudonimización no anonimiza. Actualizado a 30 de julio de 2026.
Introducción
Conocimientos fundamentales en materia de tratamiento de datos para empresarios
La gestión de la información personal se ha convertido en un activo crítico y en una de las principales fuentes de responsabilidad legal para las empresas. Para navegar por este entorno de manera segura y profesional, todo empresario debe dominar los siguientes 15 conocimientos esenciales, respaldados por la jurisprudencia de los tribunales y las resoluciones de la Agencia Española de Protección de Datos (AEPD).
1. El concepto de “tratamiento” comienza antes de obtener el dato
El RGPD no exige que los datos lleguen a guardarse o archivarse para que exista una obligación legal. La mera solicitud planificada de un dato personal ya constituye un “tratamiento” de datos, obligando al empresario a cumplir con los principios de licitud y minimización desde ese mismo instante.
- Jurisprudencia: Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sentencia núm. 390/2026, de 26 de marzo de 2026.
2. La empresa no es la “dueña” de los datos personales
En el ordenamiento jurídico español no existe la propiedad comercial sobre los datos de personas físicas. El derecho a la protección de datos es un derecho fundamental autónomo que otorga única y exclusivamente al ciudadano el poder de disposición y control sobre su información.
- Jurisprudencia: Tribunal Constitucional, Pleno, Sentencia núm. 292/2000, de 30 de noviembre de 2000.
- AEPD: Resolución R/01158/2013 (Expediente A/00072/2013).
3. El deber de información previa es ineludible
El control del interesado sobre sus datos se garantiza mediante una información expresa, precisa e inequívoca previa a la recogida. Se debe informar sobre la existencia del fichero, las finalidades, la identidad del responsable y la posibilidad de ejercer los derechos ARCO. La omisión de este deber genera un “vicio del consentimiento” y frustra el derecho del usuario a decidir el destino de sus datos.
- AEPD: Resolución de Sanción R/01580/2010 (Expediente PS/00102/2010), de 26 de julio de 2010.
4. La carga de la prueba del consentimiento recae estrictamente en la empresa
El consentimiento del usuario debe ser inequívoco y demostrable. El empresario está obligado a desplegar una actividad diligente para constatar la identidad de quien consiente (verificación de DNI/NIE), y en caso de controversia, es la compañía quien debe probar de manera fehaciente que obtuvo dicha autorización.
- Jurisprudencia: Tribunal Supremo, Sala de lo Civil, Sentencia núm. 551/2023, de 19 de abril de 2023.
- AEPD: Resolución de Sanción R/03238/2015 (Expediente PS/00387/2015), sanción del año 2015.
5. La minimización de datos: pedir más información de la necesaria es sancionable
La información solicitada debe ser adecuada, pertinente y limitada a lo estrictamente necesario para el fin perseguido. Por ejemplo, en el control del absentismo laboral, el empresario no puede exigir conocer el diagnóstico médico del empleado si un simple justificante de asistencia es suficiente.
- Jurisprudencia: Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sentencia núm. 390/2026, de 26 de marzo de 2026.
6. Obligación de mantener la calidad y veracidad de los datos
Las bases de datos deben responder con veracidad a la situación actual del afectado. Mantener datos inexactos, identidades falsas o incluir deudas improcedentes en ficheros de morosidad constituye una infracción del principio de calidad de datos, de la que responde la empresa que explota o se beneficia del fichero.
- Jurisprudencia: Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sentencia núm. 121/2019, de 5 de febrero de 2019.
- AEPD: Resolución de Sanción R/02359/2015 (Expediente PS/00175/2015) y Resolución R/03379/2015 (Expediente PS/00518/2015), sanciones del año 2015.
7. Distinción crítica entre “Responsable” y “Encargado” del tratamiento
Una empresa subcontratada (encargado) solo puede tratar datos bajo las instrucciones documentadas de la empresa contratante (responsable) mediante un contrato formal. Si el subcontratista decide utilizar esos datos para fines propios (por ejemplo, crear una lista de bloqueo propia), se convierte automáticamente en “responsable” independiente y asume la responsabilidad total de esa infracción.
- AEPD: Resolución de Sanción EXP202304148 (Expediente PS/00247/2024), de 10 de octubre de 2025, y Resolución EXP202407910 (Expediente PS/00248/2024), de 30 de septiembre de 2025.
8. La biometría (huella, reconocimiento facial) genera un tratamiento de “alto riesgo”
La creación de una “plantilla matemática” para identificar de manera unívoca a una persona mediante reconocimiento facial o huella dactilar es un tratamiento de datos de categoría especial. Las empresas no pueden imponer sistemas biométricos obligatorios sin superar un triple juicio de proporcionalidad y sin ofrecer alternativas tradicionales menos intrusivas a los usuarios o empleados.
- AEPD: Resolución de Sanción EXP202313347 (Expediente PS/00289/2024), de 20 de mayo de 2025.
9. Es obligatorio realizar Evaluaciones de Impacto (EIPD) en tecnologías invasivas
Para implementar sistemas tecnológicos invasivos (como biometría), la empresa tiene la obligación ineludible de realizar una Evaluación de Impacto (EIPD) de manera previa a su puesta en marcha. Elaborar documentos formales superficiales, que no describan sistemáticamente las operaciones, no evalúen los riesgos reales ni concreten medidas de mitigación, supone un incumplimiento grave de esa obligación.
- AEPD: Resolución de Sanción EXP202313347 (Expediente PS/00289/2024), de 20 de mayo de 2025.
10. La Seudonimización no exime del cumplimiento normativo
Sustituir el nombre y apellidos de un trabajador o cliente por un código alfanumérico (seudonimización) no convierte a la base de datos en información anónima. Si terceros pueden relacionar razonablemente ese código con el individuo, la información sigue siendo un dato personal y su tratamiento o exposición pública debe cumplir el RGPD.
- Jurisprudencia: Tribunal Supremo, Sala de lo Social, Sentencia núm. 278/2026, de 12 de marzo de 2026.
11. El riesgo del “hallazgo casual” y las brechas de seguridad por falta de diligencia
Las empresas están obligadas a implantar medidas de seguridad informática adecuadas (cifrado, contraseñas, restricciones de carpetas compartidas). El volcado de archivos con datos sensibles o su escaneo en carpetas compartidas a las que accede cualquier empleado evidencia una vulneración del principio de confidencialidad que consuma la intromisión ilegítima en la intimidad, aunque el acceso se haya producido por un hallazgo casual.
- Jurisprudencia: Tribunal Supremo, Sala de lo Civil (Pleno), Sentencia núm. 383/2025, de 13 de marzo de 2025.
- AEPD: Resolución de Sanción EXP202414366 (Expediente PS/00190/2025), de 26 de marzo de 2025.
12. Control empresarial, equipos informáticos y “Expectativa de privacidad”
Un empresario puede vigilar los equipos informáticos asignados a sus empleados, pero debe superar el test de la doctrina Barbulescu: el empleado debe recibir información previa, clara y suficiente sobre los criterios de control, los métodos que se usarán y las restricciones de uso personal. Si la empresa no informa de este control, el trabajador conserva una expectativa razonable de privacidad.
- Jurisprudencia: Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sentencia núm. 1.565/2024, de 7 de octubre de 2024.
13. Trazabilidad absoluta de accesos en datos de salud y categorías especiales
Tratándose de bases de datos extremadamente sensibles (como historias clínicas o historiales de pacientes), el empresario o gestor debe asegurar una transparencia reforzada. El titular de los datos no solo tiene derecho a conocer su expediente, sino a ejercer su derecho de acceso para exigir la trazabilidad exacta de quién, cuándo y qué ha consultado dentro de su información personal de salud.
- AEPD: Resolución de Derechos PD-00068-2026 (Expediente EXP202518019), acuerdo de 10 de marzo de 2026.
14. Compraventa de empresas o carteras: el deber de informar en las reestructuraciones
La transmisión de una base de datos de clientes generada por la compra o transmisión de un negocio no constituye, por norma general, una cesión ilícita que requiera solicitar un consentimiento nuevo del cliente. Sin embargo, la empresa adquirente está obligada a cumplir el deber de información, contactando a los clientes para revelar el cambio en la titularidad, quién es el nuevo responsable del fichero y cómo ejercer sus derechos.
- AEPD: Resolución de Archivo E/02038/2015.
15. El Big Data predictivo es un Secreto Empresarial
Si bien los datos individuales pertenecen a los ciudadanos, las inteligencias de negocio, informes predictivos y el cruce masivo de tendencias anonimizadas (Big Data) generan un derecho de propiedad intelectual y mercantil a favor de la empresa que realiza la inversión técnica. Esta información agregada escapa a las normas del RGPD y se protege bajo la Ley 1/2019 de Secretos Empresariales y el derecho sui generis de la Ley de Propiedad Intelectual.
- Fuente Legal/Jurídica: Nota Jurídica “Tratamiento y Propiedad de los Datos” (ILP Abogados).
Estos quince mandamientos no se cumplen en abstracto: se concretan en cláusulas de contratos de encargo, en registros de actividades, en evaluaciones de impacto y en políticas de control interno que hay que revisar una por una. Ese trabajo de revisión y defensa ante la AEPD es el núcleo de nuestro asesoramiento jurídico en protección de datos para empresas.
Glosario
TRATAMIENTO DE DATOS
Cualquier operación sobre datos personales. Legalmente, el concepto abarca desde la mera solicitud planificada de un dato hasta su eliminación, obligando al cumplimiento de principios de licitud y minimización incluso antes de su obtención.
CONSENTIMIENTO INEQUÍVOCO
Autorización clara y demostrable otorgada por el titular de los datos. La carga de la prueba recae sobre la empresa, quien debe desplegar una actividad diligente (por ejemplo, la verificación de identidad) para constatarlo de manera fehaciente.
MINIMIZACIÓN DE DATOS
Principio fundamental que exige al responsable solicitar y tratar única y exclusivamente la información adecuada, pertinente y limitada a lo estrictamente necesario para la finalidad perseguida.
RESPONSABLE DEL TRATAMIENTO
Entidad o empresa que determina los fines y medios de la gestión de los datos personales. Mantiene el deber de informar y es la que documenta las instrucciones para terceras empresas subcontratadas.
ENCARGADO DEL TRATAMIENTO
Empresa subcontratada que procesa datos bajo las instrucciones formales del responsable. Si utiliza la información para fines propios, automáticamente se convierte en responsable independiente, asumiendo la total responsabilidad legal.
EVALUACIÓN DE IMPACTO (EIPD)
Análisis obligatorio que la empresa debe realizar antes de implementar tecnologías invasivas (como sistemas biométricos). Requiere describir las operaciones sistemáticamente, evaluar los riesgos y definir medidas de mitigación concretas.
SEUDONIMIZACIÓN
Proceso de sustitución de datos directamente identificativos por un código o alias alfanumérico. No convierte los datos en información anónima; por tanto, su tratamiento sigue estando sujeto a la normativa si el interesado puede ser reidentificado.
¿Sabes cuáles de estos quince puntos incumple hoy tu empresa? Revisamos tus tratamientos, tus contratos de encargo y tus sistemas de control interno para señalarte dónde estás expuesto a una sanción de la AEPD: escríbenos y lo revisamos contigo.
Preguntas frecuentes
Antes de que el dato llegue a guardarse. La mera solicitud planificada de un dato personal ya constituye tratamiento, de modo que los principios de licitud y minimización obligan desde que se diseña el formulario o la pregunta, no desde que la información se archiva.
No. En el ordenamiento español no existe propiedad comercial sobre los datos de personas físicas: la protección de datos es un derecho fundamental autónomo que atribuye el poder de disposición y control únicamente al ciudadano. La empresa es responsable del tratamiento, nunca dueña de la información.
La empresa. El consentimiento debe ser inequívoco y demostrable, y en caso de controversia corresponde a la compañía acreditar de forma fehaciente que lo obtuvo, desplegando además una actividad diligente para verificar la identidad de quien consiente.
El responsable determina los fines y medios del tratamiento; el encargado solo trata los datos siguiendo sus instrucciones documentadas en un contrato formal. Si el encargado usa esos datos para fines propios, pasa a ser responsable independiente y asume por entero la responsabilidad de la infracción.
No de forma obligatoria y sin más. La plantilla biométrica que identifica unívocamente a una persona es un dato de categoría especial: exige superar un triple juicio de proporcionalidad, realizar una evaluación de impacto previa y ofrecer alternativas menos intrusivas a empleados y usuarios.
No. La seudonimización no equivale a anonimización: si un tercero puede relacionar razonablemente ese código con la persona, la información sigue siendo un dato personal y su tratamiento o publicación debe cumplir el RGPD.
Sí, pero solo si supera el test de la doctrina Barbulescu: información previa, clara y suficiente sobre los criterios de control, los métodos empleados y las restricciones de uso personal. Sin esa información previa, el trabajador conserva una expectativa razonable de privacidad.
Por regla general no: la transmisión de la base de clientes derivada de la compra de un negocio no se considera una cesión ilícita que exija un consentimiento nuevo. Sí subsiste el deber de información: la adquirente debe comunicar el cambio de titularidad, quién es el nuevo responsable del fichero y cómo ejercer los derechos.
Contacto
No te quedes con la duda, contacta con nosotros. Estaremos encantados de atenderte y de ofrecerte soluciones.
Herramienta relacionada, de uso libre: las herramientas de protección de datos.
Artículos relacionados
- Dueños frente a Ejecutores: Guía Legal Definitiva sobre Responsabilidad y Subcontratación en el Tratamiento de Datos (Serie Protección de Datos VI)
- El artículo 14 del RGPD ante los jueces y las autoridades de control (Serie Protección de Datos IV)
- FAQ · Artículo 14 RGPD y datos obtenidos de fuentes distintas del interesado. (Serie Protección de Datos III).
