RGPD

El RGPD es el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, que regula el tratamiento de datos personales en todos los Estados miembros de la Unión Europea. Como reglamento europeo es directamente aplicable desde el 25 de mayo de 2018, sin necesidad de transposición por los parlamentos nacionales, y prevalece sobre cualquier ley interna que lo contradiga. En España se complementa con la LOPDGDD, que desarrolla los aspectos nacionales permitidos por el propio reglamento.

Cómo funciona

El RGPD se construye sobre seis principios recogidos en el artículo 5: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; e integridad y confidencialidad. El artículo 6 exige que todo tratamiento tenga una base de legitimación válida —consentimiento, ejecución de un contrato, obligación legal, interés legítimo, etc.—. Estos principios se aplican a todos los responsables del tratamiento, incluidos los gestores de ficheros de morosidad como Equifax y Experian.

El régimen sancionador es especialmente severo: el artículo 83 RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial del infractor, la cantidad que sea mayor. La Agencia Española de Protección de Datos tiene competencia para imponer estas sanciones a entidades que operen en España o traten datos de residentes españoles.

Tus derechos

Los artículos 15 a 22 del RGPD reconocen al interesado un catálogo de derechos ARCO ampliado: acceso a los datos (art. 15), rectificación (art. 16), supresión o "derecho al olvido" (art. 17), limitación del tratamiento (art. 18), portabilidad (art. 20), oposición (art. 21) y oposición a decisiones basadas únicamente en el tratamiento automatizado (art. 22). El plazo de respuesta del responsable es de un mes, prorrogable por otros dos en casos complejos.

Aplicados a los ficheros de morosidad, estos derechos permiten al afectado obtener un informe completo de sus datos, corregir inexactitudes y exigir la supresión cuando la inclusión no es lícita conforme al artículo 20 LOPDGDD. Si el responsable no responde en plazo o lo hace de forma insatisfactoria, la reclamación puede elevarse a la AEPD o, excepcionalmente, a los tribunales civiles por daño moral y patrimonial.

Fuentes

• Reglamento (UE) 2016/679 (RGPD) — recuperado 2026-04-08
• Ley Orgánica 3/2018 (LOPDGDD) — recuperado 2026-04-08