RGPDReglamento general de protección de datos

Qué es

El Reglamento (UE) 2016/679, cuyo título abreviado oficial es «Reglamento general de protección de datos», se adoptó el 27 de abril de 2016, se publicó en el Diario Oficial (DO L 119) el 4 de mayo de 2016 y se aplica desde el 25 de mayo de 2018. Derogó la Directiva 95/46/CE. Es un reglamento: rige directamente en todos los Estados miembros, sin necesidad de transposición.

A quién se aplica

• A responsables y encargados establecidos en la UE, aunque el tratamiento ocurra fuera de ella (art. 3.1).
• A los no establecidos en la UE cuando ofrecen bienes o servicios a personas que están en la Unión o controlan su comportamiento allí (art. 3.2).

Los datos de salud

El art. 4.15 define los «datos relativos a la salud» como los datos personales sobre la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud. El art. 9.1 prohíbe tratarlos, junto con los datos genéticos y biométricos, salvo en los supuestos del art. 9.2:

El art. 9.4 permite a cada Estado miembro mantener o introducir condiciones adicionales para los datos genéticos, biométricos o de salud, por lo que las reglas concretas varían entre países.

Supervisión y sanciones

Cada Estado miembro tiene una autoridad de control independiente; el Comité Europeo de Protección de Datos vela por una aplicación coherente. Las infracciones de los principios y de los arts. 6, 7 y 9 admiten multas de hasta 20 millones de euros o el 4 % del volumen de negocio total anual global, la cifra mayor (art. 83.5). Las violaciones de seguridad se notifican a la autoridad, en principio, en un máximo de 72 horas (art. 33).

Estado a octubre de 2026

Según EUR-Lex, el texto solo ha recibido correcciones de errores; no existe una versión consolidada posterior a la original. Hay dos propuestas de la Comisión de 2025 que lo modificarían, COM(2025) 501 y COM(2025) 837 (el «ómnibus digital»). Ninguna ha sido adoptada.

Errores frecuentes

• Creer que la atención sanitaria exige consentimiento. El art. 9.2 ofrece otras bases, como la letra h.
• Creer que solo afecta a empresas europeas. El art. 3.2 alcanza a organizaciones de otros continentes.
• Confundirlo con el EEDS. El Reglamento (UE) 2025/327 desarrolla y complementa los derechos del RGPD sobre los datos de salud electrónicos; no lo sustituye.