RGPD para fundadores de EE. UU. que venden en la UE: guía práctica 2026

YuSMP Group Editorial Team Equipo editorial, YuSMP Group

Su lista de lanzamiento del RGPD: 9 pasos en orden

Siga estos pasos en orden — cada uno enlaza con la sección que lo trata en profundidad. La mayoría de los fundadores estadounidenses pueden completar los nueve en un plazo de dos a cuatro semanas con las plantillas adecuadas.

1. Confirme el ámbito del art. 3. Compare los precios, la localización y el marketing con los indicios de ámbito extraterritorial. Si no se cumple ninguno, deténgase aquí y documente el motivo.
2. Defina su papel en cada actividad de tratamiento. Normalmente usted es responsable del tratamiento en la facturación y el marketing, y encargado del tratamiento de los datos que almacenan sus clientes — consulte responsable frente a encargado del tratamiento.
3. Elabore un registro de actividades de tratamiento (ROPA). El art. 30 lo exige a la mayoría de las empresas de más de 250 empleados, pero las autoridades de control lo esperan de cualquier empresa con un tratamiento habitual — indique por cada actividad los fines, las categorías, el plazo de conservación y los destinatarios.
4. Elija una base jurídica para cada actividad. El art. 6, apdo. 1, letras b) y f), cubre la mayoría de los flujos de un SaaS B2B; las categorías especiales del art. 9 necesitan una segunda base — consulte bases jurídicas.
5. Firme acuerdos de encargado del tratamiento del art. 28 con cada proveedor. Los proveedores de analítica, correo electrónico, CRM, alojamiento, pagos e IA/LLM necesitan todos un DPA — consulte contratos con proveedores.
6. Implante un mecanismo de transferencia para los datos que se envían a EE. UU. La certificación DPF para los subencargados certificados y las CCT 2021/914 más una TIA para todo lo demás — consulte transferencias internacionales.
7. Designe un representante en la UE y decida si necesita un delegado de protección de datos (DPD). La representación del art. 27 es obligatoria para la mayoría de los SaaS B2B incluidos en el ámbito del art. 3, apdo. 2 — consulte representante en la UE y DPD.
8. Cree el flujo de recepción de solicitudes de acceso del interesado (DSAR) y el runbook de violaciones de seguridad. Plazo de un mes para responder a las solicitudes de derechos y de 72 horas para las violaciones — consulte derechos de los interesados y notificación de violaciones de seguridad.
9. Documéntelo todo y realice una auditoría interna antes del lanzamiento en la UE. El aviso de privacidad, el ROPA, las DPIA, los DPA y el registro de transferencias es lo primero que pide una autoridad de control.

¿Se le aplica el RGPD? Ámbito extraterritorial del art. 3

El art. 3 del Reglamento (UE) 2016/679 contempla tres supuestos, dos de los cuales alcanzan a la mayoría de los SaaS estadounidenses:

• Art. 3, apdo. 1 — Establecimiento. Se aplica al tratamiento en el contexto de las actividades de un establecimiento en la UE, con independencia de dónde se realice el tratamiento. Un solo empleado en la UE puede constituir un establecimiento según el asunto C-230/14 Weltimmo.
• Art. 3, apdo. 2, letra a) — Oferta de bienes o servicios a interesados en la Unión. Indicadores según el considerando 23 y las Directrices 3/2018 del CEPD: localización a lenguas de la UE, precios en EUR, referencias de clientes de la UE, dominio de la UE, menciones a usuarios de la UE en el marketing, atención al cliente para la UE y anuncios dirigidos a la UE. Un sitio web exclusivamente estadounidense que casualmente recibe tráfico de la UE no entra en el ámbito de aplicación. Un SaaS con una página de precios en alemán y facturación en EUR entra de lleno en él.
• Art. 3, apdo. 2, letra b) — Control del comportamiento de interesados en la Unión. Publicidad comportamental, fingerprinting, seguimiento de la ubicación y encuestas de estudios de mercado dirigidas a usuarios de la UE.

En virtud del artículo 3, la ubicación de los servidores es irrelevante. También lo es la ausencia de una entidad jurídica en la UE. Si usted entra en el ámbito del art. 3, apdo. 2, se aplica la totalidad del Reglamento y debe designar un representante en la UE (art. 27) dentro de la Unión (con la limitada excepción del art. 27, apdo. 2). Determinar qué supuesto le afecta — y delimitar las obligaciones que se derivan de él — es el primer entregable de cualquier proyecto de consultoría de cumplimiento del RGPD.

Responsable, encargado y corresponsable del tratamiento — defina primero el rol

Sus obligaciones dependen de su rol. Identificar mal el rol causa más problemas ante las autoridades que cualquier fallo de un control técnico.

• Responsable del tratamiento (art. 4, punto 7) — determina los fines y los medios del tratamiento. Un SaaS B2C es el responsable del tratamiento de los datos de sus usuarios finales.
• Encargado del tratamiento (art. 4, punto 8) — trata datos por cuenta de un responsable del tratamiento. Un SaaS B2B suele ser el encargado del tratamiento respecto de los datos de los usuarios finales de sus clientes; el cliente es el responsable del tratamiento.
• Corresponsables del tratamiento (art. 26) — dos o más entidades determinan conjuntamente los fines y los medios. El asunto C-40/17 Fashion ID del TJUE llevó los escenarios de píxeles de seguimiento al terreno de la corresponsabilidad. Los corresponsables deben acordar sus responsabilidades en un acuerdo transparente y poner sus aspectos esenciales a disposición de los interesados.

La mayoría de los fundadores de SaaS B2B de EE. UU. suponen erróneamente que son «un simple encargado del tratamiento» para todo. Por lo general son responsables del tratamiento de la facturación, la gestión de cuentas, el marketing y la telemetría de seguridad, y encargados del tratamiento solo de los datos de negocio que almacenan sus clientes. Asigne ambos roles por cada actividad de tratamiento, no por empresa.

Bases jurídicas del artículo 6 y categorías especiales del artículo 9

El art. 6, apdo. 1, enumera seis bases jurídicas. Para un SaaS B2B, las viables son:

Las categorías especiales del artículo 9 (salud, identificadores biométricos utilizados para la identificación, origen racial o étnico, opiniones políticas, convicciones religiosas, afiliación sindical, vida sexual y orientación sexual, datos genéticos) exigen una base del art. 9, apdo. 2, además de la del artículo 6. Opción por defecto: consentimiento explícito según el art. 9, apdo. 2, letra a). Los datos penales del artículo 10 tienen su propio régimen en el artículo 10.

Datos de menores (menores de 16 años, umbral que cada Estado miembro puede rebajar a entre 13–16) en virtud del artículo 8: se requiere el consentimiento parental para los servicios de la sociedad de la información ofrecidos directamente a menores.

Los siete principios del artículo 5 que su ingeniería debe cumplir

El art. 5, apdo. 1, enumera siete principios; el art. 5, apdo. 2, le obliga a demostrar el cumplimiento (responsabilidad proactiva).

• Licitud, lealtad y transparencia — transparencia en la recogida según los artículos 13–14; aviso de privacidad en un lenguaje claro y sencillo.
• Limitación de la finalidad — datos recogidos con fines determinados, explícitos y legítimos; no tratados posteriormente de manera incompatible con dichos fines.
• Minimización de datos — adecuados, pertinentes y limitados a lo necesario. En ingeniería: no recoja campos «por si acaso».
• Exactitud — datos exactos y actualizados, con mecanismos de rectificación.
• Limitación del plazo de conservación — mantenidos de forma que permita la identificación durante no más tiempo del necesario. En ingeniería: conservación automatizada, borrados definitivos (hard deletes), no borrados lógicos (soft deletes).
• Integridad y confidencialidad — seguridad mediante medidas técnicas y organizativas (art. 32).
• Responsabilidad proactiva — usted debe demostrar el cumplimiento. Registro de actividades de tratamiento (art. 30), políticas, formación y evidencias.

El artículo 25, protección de datos desde el diseño y por defecto, pone en práctica estos principios: medidas de protección de datos por defecto y desde el diseño, de modo que por defecto solo se traten los datos personales necesarios. La atención de las autoridades alemanas al artículo 25 en 2024–2025 ha sido intensa.

Transferencias internacionales: DPF, CCT 2021/914, TIA y normas corporativas vinculantes

El capítulo V (artículos 44–50) restringe las transferencias de datos personales a terceros países. Después de que la sentencia Schrems II (asunto C-311/18 del TJUE) invalidara el Privacy Shield en 2020, el marco se reconstruyó en torno a tres herramientas:

1. Decisión de adecuación. Artículo 45. El Marco de Privacidad de Datos UE-EE. UU. (DPF), adoptado mediante la Decisión de Ejecución (UE) 2023/1795 de la Comisión el 10 de julio de 2023, restableció la adecuación para los datos personales transferidos a importadores estadounidenses certificados en el DPF. Verifique la certificación en dataprivacyframework.gov; el estado de certificación puede caducar. El DPF superó su primera impugnación ante el Tribunal General en 2025 (asunto T-553/23 La Quadrature du Net), pero está pendiente una cuestión prejudicial tipo Schrems III; no se juegue la empresa confiando solo en la adecuación.
2. Cláusulas contractuales tipo. La Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, establece cuatro módulos: C2C, C2P, P2P y P2C. Elija el módulo que corresponda a la pareja de roles. Utilice la cláusula de incorporación (docking clause) para despliegues con varias partes. Deben complementarse con una evaluación de impacto de la transferencia (TIA) según las Recomendaciones 01/2020 del CEPD — evalúe la legislación del tercer país, en especial el acceso de las autoridades públicas (FISA 702 y EO 12333 en el caso de EE. UU.), y añada medidas complementarias (cifrado con claves en la UE, seudonimización, medidas contractuales) cuando la legislación no ofrezca garantías adecuadas.
3. Normas corporativas vinculantes. Artículo 47. Para transferencias dentro del grupo; lentas de implantar (normalmente 18–36 meses), pero duraderas.
4. Excepciones del artículo 49. Consentimiento explícito, necesidad contractual, razones importantes de interés público, etc. Solo cuando sean estrictamente necesarias, no para transferencias sistemáticas.

Contratos con proveedores: acuerdos de encargo del tratamiento del artículo 28

Cada proveedor que trata datos personales por cuenta de usted — analítica, correo electrónico/CRM, atención al cliente, alojamiento en la nube, procesamiento de pagos y, cada vez más, las API de IA/LLM utilizadas dentro de su producto — necesita un acuerdo de encargo del tratamiento (DPA) por escrito en virtud del art. 28, apdo. 3. Es el paso que más se omite en nuestras auditorías, porque los fundadores suponen que los términos del servicio estándar del proveedor lo cubren. Normalmente no es así.

El art. 28, apdo. 3, exige que el DPA especifique, como mínimo: el objeto y la duración del tratamiento, su naturaleza y finalidad, el tipo de datos personales y las categorías de interesados, las obligaciones y derechos del responsable del tratamiento, y los deberes del encargado del tratamiento del art. 28, apdo. 3, letras a)–h) — tratar los datos únicamente siguiendo instrucciones documentadas, garantizar la confidencialidad del personal con acceso, aplicar la seguridad del artículo 32, respetar el traslado de obligaciones (flow-down) a los subencargados (art. 28, apdo. 2, y art. 28, apdo. 4), ayudar con los derechos de los interesados y la notificación de violaciones de seguridad, suprimir o devolver los datos al finalizar el contrato y someterse a auditorías.

• Vía rápida: la mayoría de los grandes proveedores (AWS, GCP, Azure, Stripe, HubSpot, Intercom, OpenAI, Anthropic) publican un DPA de autoservicio que puede aceptar dentro de la aplicación o mediante una adenda firmada — compruébelo antes de suponer que necesita uno a medida.
• Listas de subencargados. Su propio DPA con los clientes debe enumerar sus subencargados y comprometerse a notificar a los clientes cualquier cambio (art. 28, apdo. 2) — mantenga esta página actualizada, no un PDF puntual.
• Los proveedores de IA también son encargados del tratamiento. Si una API de LLM ve datos de clientes en un prompt, ese proveedor necesita un DPA y un mecanismo de transferencia exactamente igual que cualquier otro subencargado.

Representante en la UE (art. 27) y la cuestión del DPD (art. 37)

Dos roles distintos que a menudo se confunden.

Representante en la UE (art. 27) — obligatorio para los responsables y encargados del tratamiento no establecidos en la UE que están sujetos al art. 3, apdo. 2, salvo que se aplique la limitada excepción. Debe estar establecido en un Estado miembro en el que se encuentren los interesados, debe estar facultado para atender cuestiones del RGPD y es el punto de contacto para las autoridades de control y los interesados. Los servicios de terceros cuestan entre EUR 1,200–6,000 al año. Indique su representante en su aviso de privacidad y en su sitio web.

Delegado de protección de datos (DPD) (art. 37) — obligatorio solo cuando a) usted es una autoridad pública, b) sus actividades principales consisten en una observación habitual y sistemática a gran escala (p. ej., adtech, telemática) o c) sus actividades principales consisten en el tratamiento a gran escala de categorías especiales del artículo 9 o de datos penales del artículo 10. La mayoría de los SaaS B2B no necesitan un DPD obligatorio, pero muchos designan uno voluntario como señal de confianza. El artículo 38 protege al DPD frente a instrucciones sobre sus funciones y frente a la destitución por desempeñarlas; el artículo 39 enumera las funciones del DPD.

Derechos de los interesados y el plazo de respuesta

Los artículos 12–22 reconocen los derechos y el art. 12, apdo. 3, fija el plazo de respuesta: un mes desde la recepción de la solicitud, prorrogable otros dos meses en el caso de solicitudes complejas, avisando al interesado dentro del primer mes. Es gratuito, salvo que la solicitud sea manifiestamente infundada o excesiva.

• Acceso (art. 15) — copia de los datos personales, fines del tratamiento, categorías, destinatarios, plazo de conservación, origen y lógica de las decisiones automatizadas.
• Rectificación (art. 16).
• Supresión (art. 17, «derecho al olvido») — con excepciones limitadas.
• Limitación del tratamiento (art. 18).
• Artículo 19 — notificación a los destinatarios de la rectificación, supresión o limitación.
• Portabilidad (art. 20) — exportación en formato legible por máquina de los datos facilitados por el interesado.
• Oposición (art. 21) — derecho absoluto frente al marketing directo; ponderación de intereses para el tratamiento basado en el art. 6, apdo. 1, letra f).
• Artículo 22 — derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o le afecten de modo similarmente significativo, salvo excepciones limitadas; derecho a la intervención humana.

Implicación para la ingeniería: cree pronto un portal de solicitudes de los interesados. Los flujos automatizados con verificación de identidad ahorran cientos de horas a lo largo de los años y demuestran el cumplimiento del artículo 25.

Las DPIA (art. 35) y cuándo se necesitan de verdad

El art. 35, apdo. 1, exige una DPIA cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades. El art. 35, apdo. 3, enumera tres supuestos obligatorios (decisiones automatizadas sistemáticas y exhaustivas con efectos significativos; tratamiento a gran escala de categorías especiales de datos o de datos penales; observación sistemática de zonas de acceso público). Las Directrices 4/2017 del CEPD añaden nueve criterios; cumplir dos o más es el umbral práctico.

El art. 35, apdo. 7, exige que la DPIA incluya: una descripción sistemática del tratamiento, una evaluación de la necesidad y la proporcionalidad, una evaluación de los riesgos y las medidas para mitigarlos. El art. 36 exige consultar previamente a la autoridad de control si el riesgo residual sigue siendo alto tras la mitigación.

Guarde sus DPIA versionadas en el mismo repositorio que su código. A los auditores les encantan las DPIA versionadas que se actualizan con cada versión del producto.

Notificación de violaciones de seguridad: el plazo de 72 horas (arts. 33–34)

Art. 33, apdo. 1: el responsable del tratamiento notifica a la autoridad de control principal cualquier violación de la seguridad de los datos personales sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella. La notificación tardía exige una justificación motivada. Art. 33, apdo. 2: el encargado del tratamiento notifica al responsable del tratamiento sin dilación indebida.

Art. 34: si es probable que la violación entrañe un alto riesgo para los derechos y libertades, notifique a los interesados afectados sin dilación indebida y en un lenguaje claro y sencillo. La exención por datos cifrados del art. 34, apdo. 3, letra a), solo se aplica si se adoptaron medidas técnicas adecuadas (incluido el cifrado) sobre los datos en cuestión.

Art. 33, apdo. 5: documentación interna de cada violación — notificada o no — a efectos de responsabilidad proactiva en virtud del art. 5, apdo. 2.

Prepare el runbook pensando en un incidente un viernes por la noche, porque es entonces cuando ocurren. Las autoridades de control de la UE cuentan las horas del fin de semana.

Seguridad según el art. 32: qué se considera adecuado en 2026

El art. 32 exige medidas técnicas y organizativas apropiadas al riesgo que incluyan, según proceda: la seudonimización y el cifrado (art. 32, apdo. 1, letra a)), la confidencialidad, integridad, disponibilidad y resiliencia (art. 32, apdo. 1, letra b)), la capacidad de restablecer la disponibilidad y el acceso con rapidez tras un incidente (art. 32, apdo. 1, letra c)) y la verificación periódica de la eficacia (art. 32, apdo. 1, letra d)).

El mínimo de facto en 2026:

• Certificación ISO/IEC 27001:2022 o informe SOC 2 Type II.
• TLS 1.2+ en todas partes; AES-256 en reposo; claves gestionadas con KMS.
• MFA para todos los accesos privilegiados.
• Aislamiento de tenants en SaaS multi-tenant, con un modelo de amenazas documentado.
• Prueba de penetración anual realizada por un tercero independiente.
• Simulacros de respuesta a incidentes (tabletop) dos veces al año.
• Calendario de conservación de datos documentado y con aplicación automatizada.

La realidad de la aplicación: jurisprudencia de 2024–2026

La era posterior a Schrems II ha traído una aplicación sostenida de la norma. Patrones destacados:

• Meta — EUR 1.2B (DPC irlandesa, mayo de 2023) por transferencias a EE. UU. sin un mecanismo adecuado. La mayor multa del RGPD hasta la fecha.
• Aplicación de la normativa sobre banners de cookies — la CNIL (Francia) y el Garante (Italia) imponen multas activamente por patrones oscuros (dark patterns), por no dar la misma prominencia a las opciones y por los problemas de transferencia de Google Analytics 4.
• Datos de menores y adtech — multas a TikTok, Instagram y ByteDance en el rango de EUR 245–405M.
• Decisiones automatizadas del art. 22 — la sentencia SCHUFA (TJUE C-634/21, 2023) amplió lo que se considera una «decisión» en virtud del art. 22; las funciones de scoring de los SaaS quedan ahora plenamente dentro del ámbito.
• Multas menores a pymes — las autoridades de control han demostrado su disposición a multar a empresas de cualquier tamaño; «somos pequeños» no es una defensa.

Sanciones del art. 83: hasta EUR 10M o el 2 % del volumen de negocio anual mundial para la mayoría de las infracciones de los encargados y de procedimiento; hasta EUR 20M o el 4 % por infracciones de los principios básicos, la base jurídica, los derechos de los interesados, las transferencias y las órdenes de la autoridad de control.

RGPD frente a CCPA/CPRA: qué cambia si ya cumple la legislación de EE. UU.

La mayoría de los fundadores estadounidenses que venden en la UE ya gestionan datos de residentes de California y dan por hecho que el cumplimiento de la CCPA/CPRA se traslada sin más. No es así — ambos regímenes comparten objeto (los datos personales), pero difieren en casi todos los detalles operativos.

La conclusión práctica: construya su programa de privacidad sobre la base más estricta del RGPD (consentimiento opt-in, base jurídica documentada, representante en la UE, disciplina de DPIA) y el cumplimiento de la CCPA/CPRA se obtiene casi gratis. Empezar por la CCPA y adaptar el RGPD después obliga a rehacer desde cero sus flujos de consentimiento y la documentación de la base jurídica.

Si está definiendo el alcance de un lanzamiento en la UE o corrigiendo un programa de RGPD, realizamos evaluaciones de brechas de dos semanas a precio cerrado a través de consultoría de cumplimiento del RGPD; solemos combinarlas con proyectos de desarrollo SaaS o de software a medida. Para fundadores sin un responsable interno de cumplimiento, un CTO a tiempo parcial con experiencia real en el RGPD suele ser más rápido que un programa basado solo en un bufete. La definición del alcance de funciones de IA para lanzamientos en la UE encaja con nuestro trabajo de cumplimiento del Reglamento de IA de la UE.

Preguntas frecuentes

¿Se aplica el RGPD a mi SaaS estadounidense?

Sí, si le alcanza el art. 3, apdo. 2 — ofrecer bienes o servicios a interesados de la UE (precios en EUR, localización, marketing dirigido a la UE) o controlar su comportamiento. La ubicación de los servidores es irrelevante.

¿En qué consiste el requisito del representante en la UE?

El art. 27 exige que los responsables y encargados del tratamiento de fuera de la UE incluidos en el ámbito del art. 3, apdo. 2, designen por escrito un representante en la Unión, al que puedan dirigirse las autoridades de control y los interesados. Los servicios de representación de terceros cuestan EUR 1,200–6,000/año.

¿Qué base jurídica debo utilizar?

Art. 6, apdo. 1, letra b) (contrato) para la prestación del servicio; letra f) (interés legítimo) para la analítica de producto, la seguridad, el fraude y el marketing B2B; letra a) (consentimiento) solo cuando no se apliquen las demás. Las categorías especiales del art. 9 exigen además una base independiente del art. 9, apdo. 2.

¿Necesito una DPIA?

Sí, si se dan los supuestos obligatorios del art. 35, apdo. 3, o dos o más criterios de las Directrices 4/2017 del CEPD. Integre la DPIA en el proceso de publicación de versiones y versiónela junto con el código.

¿Cómo transfiero datos a EE. UU.?

Adecuación del DPF para importadores certificados en el DPF; CCT 2021/914 + TIA para los no adheridos al DPF; normas corporativas vinculantes (BCR) para transferencias dentro del grupo. No se apoye en las excepciones del art. 49 para transferencias sistemáticas.

¿Cuál es el plazo de notificación de violaciones de seguridad?

72 horas desde que se tiene constancia, ante la autoridad de control principal (art. 33); sin dilación indebida a los interesados si el riesgo es alto (art. 34). Documente todas las violaciones, sean notificables o no (art. 33, apdo. 5).

Si cumplo la CCPA, ¿significa que también cumplo el RGPD?

No. La CCPA/CPRA utiliza un consentimiento opt-out y exime a las pequeñas empresas; el RGPD no tiene exención por tamaño, exige por lo general consentimiento opt-in y añade obligaciones que la CCPA no tiene — un representante en la UE, DPIA para los tratamientos de alto riesgo y DPA con los encargados del tratamiento según el art. 28. Construya sobre la base más estricta del RGPD y el cumplimiento de la CCPA vendrá por añadidura.

El RGPD es una disciplina operativa, no un anexo del contrato

Los fundadores estadounidenses que tratan el RGPD como una lista de comprobación de compras chocan siempre con el mismo muro: una actuación sancionadora desencadenada por la falta de un representante en la UE, un RoPA desactualizado o un cambio de subencargado que nadie registró. Los equipos que lanzan sin problemas tratan el RGPD como SOC 2 — un programa continuo que genera evidencias, integrado en el SDLC. Le ayudamos a construirlo así.

Última actualización: 26 de septiembre de 2026. Las referencias corresponden al Reglamento (UE) 2016/679 y a las Decisiones de Ejecución de la Comisión citadas. Nada de lo contenido en este artículo constituye asesoramiento jurídico para una situación concreta.