Es una de las preguntas más frecuentes en materia de protección de datos: ¿hay que cumplir el RGPD o la LOPD? ¿Son lo mismo? ¿Una sustituye a la otra? La respuesta es que no son lo mismo, no se sustituyen entre sí y, en España, hay que cumplir ambas. Aquí está la diferencia.
Origen y naturaleza: reglamento europeo vs ley española
El RGPD (Reglamento General de Protección de Datos) es un reglamento de la Unión Europea aprobado en 2016 que entró en aplicación el 25 de mayo de 2018. Al ser un reglamento europeo, se aplica directamente en todos los estados miembros sin necesidad de ser transpuesto a la legislación nacional. Tiene primacía sobre las leyes nacionales.
La LOPD que conocíamos antes (Ley Orgánica 15/1999) quedó derogada con la entrada en vigor del RGPD. En su lugar, España aprobó en diciembre de 2018 la LOPDGDD (Ley Orgánica 3/2018), que adapta el RGPD al contexto español y regula aspectos que el reglamento europeo deja a la discreción de cada estado.
Por tanto, cuando hoy hablamos de «LOPD» en sentido coloquial, nos referimos a la LOPDGDD, no a la derogada Ley de 1999.
Descripción completa de la LOPDGDD: ¿Qué es la Ley de Protección de Datos o LOPDGDD?
Ámbito de aplicación: quién cubre cada norma
El RGPD aplica en toda la Unión Europea. Cualquier empresa que trate datos de personas en la UE debe cumplirlo, independientemente de dónde tenga su sede.
La LOPDGDD aplica específicamente en España. Regula aspectos que el RGPD deja a los estados miembros, como los supuestos de obligatoriedad del DPD, las bases legales específicas para el tratamiento laboral, los derechos digitales de los empleados o las cuantías concretas de las sanciones leves y graves.
En la práctica: si tu empresa opera en España, debes cumplir ambas. El RGPD establece el marco general; la LOPDGDD lo completa.
Consentimiento: qué cambió con el RGPD
Este fue uno de los cambios más significativos respecto a la LOPD de 1999. La antigua ley admitía el consentimiento tácito —podías asumir que alguien consentía si no manifestaba lo contrario. El RGPD lo eliminó por completo.
Con el RGPD y la LOPDGDD, el consentimiento debe ser:
- Libre: no condicionado al acceso a un servicio cuando el tratamiento no sea necesario para prestarlo.
- Específico: para una finalidad concreta, no un consentimiento genérico.
- Informado: el interesado debe saber exactamente para qué consiente.
- Inequívoco: mediante una acción positiva y clara. Las casillas pre-marcadas no valen.
Todo el marketing basado en bases de datos antiguas con consentimientos bajo la LOPD de 1999 pasó a ser ilegal si no se renovaron esos consentimientos.
Sanciones: mucho más altas con el RGPD
La LOPD de 1999 preveía multas de hasta 601.012 euros en su categoría más grave. Con el RGPD, el techo es radicalmente diferente:
- Infracciones muy graves: hasta 20 millones de euros o el 4% del volumen de negocio global anual (la cifra mayor de las dos).
- Infracciones graves: hasta 10 millones de euros o el 2% del volumen de negocio global.
La LOPDGDD establece el régimen de infracciones leves, graves y muy graves en el contexto español, fijando las cuantías concretas dentro de los márgenes del RGPD.
El DPD: una figura que el RGPD introdujo
La LOPD de 1999 no contemplaba la figura del Delegado de Protección de Datos. Es el RGPD quien la crea y establece cuándo es obligatoria su designación. La LOPDGDD amplía esa lista de supuestos para España, añadiendo entidades como partidos políticos, sindicatos, centros educativos, operadoras de comunicaciones y otras.
El DPD es la novedad más operativa que trajo el RGPD para muchas empresas. No existía antes y ahora su ausencia cuando es obligatorio es, por sí sola, una infracción sancionable.
Por qué debes cumplir ambas normas
No es una elección entre RGPD y LOPDGDD. Son complementarias y ambas obligan:
- El RGPD establece los principios, derechos y obligaciones fundamentales.
- La LOPDGDD los desarrolla y adapta al contexto español, añadiendo aspectos específicos.
En Ubimia Compliance seguimos encontrando empresas que trabajan con procedimientos diseñados para la antigua LOPD. No es que estén haciendo las cosas mal a propósito: es que nadie les ha explicado qué cambió y por qué importa. La diferencia no es solo legal; es la diferencia entre un cumplimiento real y uno que no resistiría una inspección.
Incumplir el RGPD puede dar lugar a sanciones de la AEPD. Incumplir la LOPDGDD también. Y en muchos casos, el mismo incumplimiento viola ambas normas simultáneamente.
Cumplir RGPD y LOPDGDD es obligatorio → Conoce nuestro servicio de protección de datos