Protección de datos, RIA, RGPD y LOPDGDD: claves para el cumplimiento normativo en privacidad

¿Qué entendemos por “protección de datos”?

La protección de datos personales es un derecho fundamental recogido en la legislación europea: busca garantizar que la información relativa a personas físicas identificadas o identificables sea tratada con respeto, seguridad y conforme a fines legítimos.
Se considera “dato personal” toda información sobre una persona física identificada o identificable, ya sea por nombre, un identificador, datos de localización, identificadores en línea, o por datos que puedan identificarla directa o indirectamente (por ejemplo datos biométricos, genéticos, de salud, económicos, sociales, etc.).

Normas clave: RGPD y LOPDGDD

El Reglamento (UE) 2016/679 (RGPD) es la norma europea de referencia en materia de protección de datos, y su objeto es proteger los derechos y libertades de las personas físicas respecto del tratamiento de sus datos personales, así como garantizar la libre circulación de esos datos en la Unión Europea.
La Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) adapta en España el RGPD, desarrollando aspectos específicos y garantizando derechos digitales. Su ámbito es nacional y se complementa con normativa sectorial cuando interesa (sanidad, empleo, seguridad, etc.).

Estas normas establecen obligaciones para quienes tratan datos personales — ya sean empresas privadas, administraciones o profesionales — y consagran derechos a los individuos (los llamados “interesados”).

Principios esenciales del tratamiento de datos

Para que un tratamiento de datos personales sea legítimo debe respetar una serie de principios, recogidos en el RGPD:

• Licitud, lealtad y transparencia: debe existir una base jurídica (consentimiento, contrato, obligación legal, interés legítimo, etc.), y el tratamiento debe ser informado de forma clara al interesado.
• Limitación de la finalidad: los datos sólo pueden tratarse para los fines explícitamente declarados, y no para otros distintos.
• Minimización de datos: únicamente deben recogerse los datos estrictamente necesarios para alcanzar los fines previstos.
• Exactitud: los datos deben ser precisos y mantenerse actualizados cuando sea necesario.
• Limitación del plazo de conservación: no pueden conservarse más tiempo del necesario.
• Integridad y confidencialidad: deben adoptarse medidas técnicas y organizativas para proteger los datos contra accesos no autorizados, pérdida o destrucción.
• Responsabilidad proactiva (“accountability”): el responsable debe ser capaz de demostrar que cumple con la normativa (mediante registros, políticas, auditorías, etc.).

Además, cuando un tratamiento presenta “alto riesgo” para los derechos de las personas, debe evaluarse mediante una Evaluación de Impacto en la Privacidad (EIPD).

Roles y figuras clave: responsable, encargado, interesado, DPO

El RGPD distingue entre:

• El responsable del tratamiento: quien determina los fines y medios del tratamiento de datos.
• El encargado del tratamiento: quien procesa datos por cuenta del responsable, bajo contrato o acto jurídico.
• Los interesados: las personas físicas cuyo dato se trata.
• En determinados casos debe nombrarse un Delegado de Protección de Datos (DPO), que supervise el cumplimiento normativo.

También se contemplan categorías especiales de datos — como datos de salud, biométricos, genéticos, orientaciones sexuales, creencias, etc. — cuyo tratamiento está sometido a mayores restricciones.

IA + privacidad: cómo conviven el RGPD / LOPDGDD y el nuevo RIA

Con el desarrollo de la inteligencia artificial, muchas organizaciones emplean sistemas que pueden implicar tratamiento de datos personales (por ejemplo, algoritmos de perfilado, decisiones automatizadas, análisis predictivo, reconocimiento biométrico, big data, etc.). La guía de la AEPD advierte de que esos sistemas deben ajustarse al RGPD — y también, en su caso, a la normativa propia sobre IA.

A esa normativa adicional corresponde el Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA), cuyo objeto es regular los riesgos derivados del uso de sistemas de IA, especialmente cuando puedan afectar derechos fundamentales como la privacidad, la dignidad, la no discriminación.

El RIA adopta un enfoque basado en el riesgo: distingue sistemas prohibidos, de alto riesgo, riesgo limitado o riesgo mínimo. A partir del 2 de agosto de 2025 comenzaron a aplicarse algunos de sus preceptos, entre ellos su régimen sancionador.

Por tanto, cumplir con el RGPD ya no es suficiente: las organizaciones deben revisar si sus sistemas de IA entran en alguna categoría de riesgo del RIA, documentar su funcionamiento, adoptar medidas de transparencia, seguridad y trazabilidad, y —en su caso— realizar Evaluaciones de Impacto y reformular sus tratamientos.

Sanciones y supervisión: el papel de la AEPD

Aunque la ley nacional de desarrollo del RIA aún no se ha aprobado, la Agencia Española de Protección de Datos ya ha advertido que puede supervisar y sancionar sistemas de IA prohibidos o tratamientos ilícitos de datos personales basados en IA.
Esto confirma que el RGPD y la LOPDGDD siguen plenamente vigentes, y que el nuevo RIA refuerza el régimen de protección de derechos fundamentales frente a la innovación tecnológica.

Por qué es importante cumplir: riesgos y beneficios

• Evitar sanciones: los incumplimientos del RGPD o del RIA pueden dar lugar a sanciones económicas significativas, así como medidas correctoras.
• Protección de derechos fundamentales: transparencia, minimización, seguridad, respeto a la dignidad humana y no discriminación.
• Confianza y reputación: hoy en día los ciudadanos y clientes valoran que sus datos se gestionen de forma responsable, con garantías efectivas de privacidad.
• Ventaja competitiva: para empresas digitales, tener un enfoque sólido de cumplimiento normativo (compliance) contribuye a la sostenibilidad del negocio.
• Seguridad jurídica: adoptar una estrategia normativa adecuada (documentación, auditorías, DPO, EIPD, etc.) permite responder con garantías ante inspecciones, reclamaciones o incidentes.

¿Cuándo conviene acudir a un abogado experto en derecho digital?

La complejidad derivada de la interacción entre RGPD, LOPDGDD y RIA hace recomendable contar con asesoría especializada cuando:

• Se diseña o implanta un sistema de IA que trate datos personales.
• Se gestionan tratamientos de datos sensibles (categorías especiales).
• Se realizan decisiones automatizadas o perfilados masivos.
• Se plantea una Evaluación de Impacto en Privacidad (EIPD).
• Se elaboran políticas internas de privacidad, contratos de encargado/responsable, cláusulas informativas, protocolos de seguridad, registro de actividades.
• Se quiere asegurar un “compliance” integral (privacidad + IA + responsabilidad documental).

Un abogado experto en derecho digital no sólo ayuda a interpretar la normativa, sino que puede diseñar las soluciones legales, técnicas y organizativas necesarias para garantizar el cumplimiento normativo y mitigar riesgos.