El GDPR (General Data Protection Regulation), conocido en español como RGPD o Reglamento General de Protección de Datos, es la ley de la Unión Europea que regula cómo las organizaciones recolectan, usan, guardan y protegen los datos personales de las personas que se encuentran en la UE. Aplica desde el 25 de mayo de 2018 y no se limita a empresas europeas: una empresa mexicana que vende a clientes en Europa o analiza su comportamiento en internet también puede estar obligada a cumplirlo.
Estos son los datos clave para saber si te aplica y qué implica cumplirlo.
Qué es el GDPR
El GDPR es el Reglamento (UE) 2016/679. Sustituyó a una directiva de 1995 y unificó en un solo texto las reglas de protección de datos de todos los países de la Unión Europea, de modo que una empresa no tiene que cumplir 27 leyes distintas.
Parte de una idea sencilla: los datos personales pertenecen a las personas, no a las empresas que los usan. Por eso pide que cada tratamiento tenga una justificación legal, que se usen solo los datos necesarios, que se guarden el tiempo indispensable y que se protejan con medidas técnicas y organizativas proporcionales al riesgo. Cada Estado miembro tiene una autoridad que vigila su cumplimiento y puede imponer sanciones.
8 datos clave del GDPR que tu empresa debe conocer
1. Aplica a empresas fuera de la Unión Europea
El GDPR alcanza a cualquier organización, esté donde esté, que ofrezca bienes o servicios a personas en la UE o que monitoree su comportamiento, por ejemplo con analítica web o publicidad personalizada. También aplica a quien trata datos por encargo de una empresa europea, como un proveedor de software o de servicios en la nube. Cuándo le aplica a una empresa mexicana lo detallamos en GDPR en México.
2. Protege a cualquier persona que esté en la UE, no solo a ciudadanos europeos
Lo que cuenta es dónde está la persona cuando se recolectan sus datos, no su nacionalidad. Un turista mexicano cuyos datos registra un hotel en España queda protegido por el GDPR; un ciudadano francés que vive en México y compra en una tienda mexicana que no se dirige a Europa, en principio, no.
3. Necesitas una base legal para tratar datos, y el consentimiento es solo una
El reglamento reconoce seis bases legales: el consentimiento, la ejecución de un contrato, una obligación legal, la protección de intereses vitales, una misión de interés público y el interés legítimo. Cuando la base es el consentimiento, debe ser libre, específico, informado e inequívoco; las casillas premarcadas o el silencio no cuentan, y la persona puede retirarlo cuando quiera.
4. Las personas tienen derechos que tu empresa debe poder atender
Entre ellos están el acceso a sus datos, la rectificación, la supresión (conocida como derecho al olvido), la limitación del tratamiento, la portabilidad, la oposición y no quedar sujetas a decisiones tomadas solo por algoritmos con efectos importantes. Por regla general, la empresa tiene un mes para responder, así que necesita saber dónde están los datos de cada persona.
5. El concepto de dato personal es muy amplio
Es cualquier información que identifique o permita identificar a una persona, directa o indirectamente. Además del nombre o el correo, incluye la dirección IP, los identificadores de cookies, la ubicación o el número de un dispositivo. Los datos de salud, biométricos, de origen étnico o de orientación sexual, entre otros, forman categorías especiales con protección reforzada.
6. Si estás fuera de la UE, puedes necesitar un representante allá
Las empresas sin establecimiento en la Unión a las que aplica el GDPR deben designar por escrito a un representante en algún país donde estén las personas cuyos datos tratan. La obligación tiene excepciones, como el tratamiento ocasional y de bajo riesgo que no incluye datos sensibles a gran escala. Es distinto del delegado de protección de datos (DPO), que solo es obligatorio en ciertos casos.
7. Las brechas de seguridad se notifican en 72 horas
Si una vulneración pone en riesgo a las personas cuyos datos se vieron expuestos, la empresa debe avisar a la autoridad de control en un máximo de 72 horas desde que la detecta, y a los afectados sin demora cuando el riesgo es alto. Cumplir ese plazo exige poder detectar el incidente, entender qué datos se vieron comprometidos y documentarlo todo.
8. Las multas pueden llegar al 4% de la facturación mundial
Las infracciones más graves se sancionan con hasta 20 millones de euros o el 4% de la facturación anual global, la cifra que resulte mayor; otras, con hasta 10 millones o el 2%. Además de las multas, la autoridad puede ordenar que se detenga un tratamiento, y las personas afectadas pueden reclamar una indemnización.
GDPR vs LFPDPPP: diferencias para una empresa mexicana
En México, los datos personales en manos de empresas los regula la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, renovada en 2025. Si tu empresa cae en el alcance del GDPR, tendrá que cumplir ambas:
| Aspecto | GDPR | LFPDPPP |
|---|---|---|
| Alcance | Datos de personas en la UE, aunque la empresa esté fuera | Datos tratados por particulares en México |
| Autoridad | Una autoridad supervisora en cada país de la UE | Secretaría Anticorrupción y Buen Gobierno |
| Derechos de las personas | Acceso, rectificación, supresión, limitación, portabilidad y oposición | Derechos ARCO: acceso, rectificación, cancelación y oposición |
| Aviso de brechas | A la autoridad en 72 horas y a los afectados cuando el riesgo es grave | A los titulares de forma inmediata cuando la afectación es significativa |
| Representante local | Obligatorio en la UE para muchas empresas de fuera | No existe esta figura |
| Sanciones | La cifra mayor entre 20 M€ y el 4% de las ventas mundiales | Multas en UMA y delitos con pena de prisión |
Las dos comparten el principio de proteger los datos con medidas de seguridad proporcionales, así que los controles técnicos sirven para ambas. Cuáles exige la ley mexicana lo explicamos en LFPDPPP y ciberseguridad.
Cómo empezar a cumplir el GDPR
- Confirma si te aplica. Revisa si vendes, prestas servicios o haces analítica sobre gente que está en Europa, o si procesas información para clientes europeos.
- Haz un inventario de datos. Qué datos personales recolectas, de quién, para qué, dónde se guardan y con quién se comparten.
- Asigna una base legal a cada tratamiento y actualiza tu aviso de privacidad y tus formularios de consentimiento.
- Prepara un procedimiento para atender los derechos de las personas dentro del plazo.
- Revisa contratos con proveedores que acceden a esos datos y las transferencias fuera de la UE.
- Aplica medidas de seguridad según el riesgo: control de accesos, cifrado, respaldos y monitoreo; el método para priorizarlas está en gestión de riesgos de ciberseguridad.
- Define cómo detectarás y notificarás una brecha en menos de 72 horas.
En TecnetOne te ayudamos con la parte técnica de esa lista. Con TecnetSOC Agentic, nuestros analistas, apoyados por agentes de IA, vigilan tu red, tus equipos y tu nube sin interrupción, detectan los accesos indebidos a tiempo para actuar dentro del plazo de notificación y conservan el registro de cada incidente como evidencia para tus auditorías.
Preguntas frecuentes sobre el GDPR
Viene del inglés General Data Protection Regulation. En español se le llama RGPD y es la norma europea sobre el uso de datos personales.
Sí, cuando ofrecen productos o servicios a personas que están en la Unión Europea, cuando analizan su comportamiento en línea o cuando procesan información por cuenta de un cliente europeo. Si una empresa mexicana solo atiende a clientes en México, en general no le aplica.
Ninguna: GDPR es la sigla en inglés y RGPD la sigla en español del mismo reglamento europeo.
Solo en algunos casos: autoridades públicas, empresas cuya actividad principal es monitorear personas a gran escala y empresas que tratan a gran escala categorías especiales de datos, como información de salud. Aun cuando no sea obligatorio, conviene que alguien tenga asignada esa responsabilidad.
El plazo es de 72 horas, contadas desde que la empresa conoce la vulneración, para avisar a la autoridad supervisora, salvo que sea improbable que cause un daño. Si el peligro para las personas es grave, también hay que informarles sin demora.
Los que dan visibilidad sobre quién accede a la información y qué hace con ella: gestión de identidades, cifrado, prevención de fugas (DLP) y monitoreo de eventos de seguridad. Para ver cómo se aplica con una herramienta concreta, revisa cumplimiento GDPR con Wazuh.
Si tu infraestructura está en Microsoft, revisa también GDPR con Azure Sentinel.
Scarlet es Marketing & Design Lead y diseñadora en TecnetOne. Une creatividad y estrategia para convertir temas de ciberseguridad y nube en contenidos claros y visualmente atractivos.
