RGPD en 2026: checklist de cumplimiento actualizado
Esta checklist RGPD 2026 para pymes en España te dice qué revisar, qué evidencia lo demuestra y qué está cambiando. Ocho años después de empezar a aplicarse, el RGPD no da tregua. Además, la AEPD bate récords de reclamaciones y 2026 trae cambios procesales, una reforma en negociación y nuevas guías.
En 30 segundos: la checklist RGPD de 2026 exige lo de siempre. Es decir: registro de actividades, base jurídica, información, contratos con encargados, seguridad, EIPD, brechas en 72 horas y derechos en un mes. Sin embargo, ahora tienes que demostrarlo con evidencias. Además, el Reglamento procesal (UE) 2025/2518 ya está en vigor y se aplicará desde el 2 de abril de 2027. En cambio, la reforma del Digital Omnibus sobre cookies y brechas sigue siendo solo una propuesta.
Checklist RGPD 2026 por áreas
| Área | Qué comprobar | Evidencia |
|---|---|---|
| Gobernanza y DPD | Si debes designar DPD (arts. 37 RGPD y 34 LOPDGDD) y quién responde de privacidad | Análisis de obligación y designación comunicada a la AEPD, o asignación interna escrita |
| Registro de actividades (RAT) | Cada tratamiento con finalidad, categorías, destinatarios, plazos y medidas (art. 30) | RAT fechado, revisado en los últimos 12 meses |
| Bases jurídicas | Una base del art. 6 por finalidad; consentimiento demostrable; interés legítimo ponderado | Base jurídica en el RAT, registros de consentimiento, ponderaciones |
| Información | Cláusulas y política de privacidad completas (arts. 13 y 14), por capas (art. 11 LOPDGDD) | Versiones publicadas fechadas |
| Encargados y DPA | Contrato con cada encargado (art. 28.3) y control de subencargados | Contratos firmados e inventario de proveedores |
| Seguridad (art. 32) | Control de accesos, cifrado, copias con restauración probada, pruebas periódicas | Análisis de riesgos, pruebas de restauración, revisiones de accesos |
| EIPD (art. 35) | Tratamientos en listas de la AEPD o de alto riesgo (perfiles, datos sensibles a gran escala) | EIPD documentadas o justificación de su improcedencia |
| Brechas (arts. 33-34) | Notificar a la AEPD en 72 horas y, si el riesgo es alto, a los afectados | Procedimiento, registro interno de brechas (art. 33.5), simulacros |
| Derechos | Respuesta en un mes, ampliable dos más (art. 12.3) | Registro fechado de solicitudes |
| Transferencias | Proveedores que sacan datos del EEE y con qué garantía (adecuación, DPF, cláusulas tipo) | Mapa de transferencias, certificación DPF verificada, cláusulas tipo |
| Cookies y LSSI | Consentimiento previo para cookies no necesarias (art. 22.2 LSSI); rechazar tan fácil como aceptar | Capturas del banner, registro de consentimientos |
| IA y RGPD | IA con datos personales: base jurídica, información, decisiones automatizadas (art. 22) | Inventario de usos de IA, política de uso, EIPD |
| Formación | La plantilla sabe qué datos usar y cómo comunicar una brecha | Plan de formación y asistencia registrada |
Cómo usar la checklist RGPD: evidencias y RAT
En esta checklist RGPD, la regla es: ¿puedes enseñar la evidencia de la tercera columna en menos de un día? Si no, ese punto no está cumplido a efectos de responsabilidad proactiva (art. 5.2 RGPD).
Además, ojo con la exención del RAT para empresas de menos de 250 trabajadores (art. 30.5). Sin embargo, no se aplica si el tratamiento no es ocasional, entraña riesgo o incluye datos sensibles. Por eso, en la práctica, casi todas las pymes lo necesitan.
Qué ha cambiado y qué está cambiando en tu checklist RGPD (2025-2026)
Estos son los cambios que debes reflejar en tu checklist RGPD.
Reglamento procesal para casos transfronterizos (aprobado)
El Reglamento (UE) 2025/2518, de 26 de noviembre de 2025, fija normas procesales adicionales para aplicar el RGPD. En concreto, se ocupa de los casos en que intervienen varias autoridades. Se publicó en el DOUE el 12 de diciembre de 2025 y entró en vigor el 1 de enero de 2026. Además, se aplicará desde el 2 de abril de 2027 a reclamaciones e investigaciones iniciadas desde esa fecha. Así, si solo tratas datos en España, apenas lo notarás; si operas en otros Estados miembros, te afecta.
Digital Omnibus: cookies y brechas (solo propuesta)
La Comisión propuso el Digital Omnibus el 19 de noviembre de 2025 (COM(2025) 837). Primero, llevaría las reglas de cookies al RGPD con señales automáticas de consentimiento desde el navegador. Además, limitaría la notificación a la autoridad a las brechas de alto riesgo. También ampliaría el plazo de 72 a 96 horas y crearía un punto único de notificación gestionado por ENISA. Sin embargo, a 14 de octubre de 2026 la ficha del procedimiento 2025/0360(COD) sigue «pendiente de decisión en comisión». Está en el Parlamento Europeo y no hay texto acordado con el Consejo. Por tanto, hasta su publicación en el DOUE rigen las 72 horas y las reglas actuales de cookies. Lo explicamos en cómo notificar una brecha en 72 horas.
Transferencias a EE. UU.: el DPF sigue en pie
En el asunto T-553/23 (Latombe/Comisión), el Tribunal General desestimó el recurso el 3 de septiembre de 2025. Ese recurso iba contra la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. Después, la sentencia se recurrió ante el Tribunal de Justicia (asunto C-703/25 P), sin resolución a la fecha de revisión. Por tanto, puedes seguir usando proveedores certificados en el DPF. Eso sí, añade a tu checklist RGPD la verificación de cada certificación y ten preparadas cláusulas tipo como alternativa.
Guías de la AEPD sobre cookies e IA
Según la Guía sobre el uso de las cookies de la AEPD (versión de mayo de 2024), rechazar debe estar al mismo nivel que aceptar. Asimismo, ese criterio es exigible desde enero de 2024. Por otro lado, en IA la AEPD mantiene su guía de adecuación al RGPD de tratamientos con IA. Además, en febrero de 2026 publicó orientaciones sobre IA agéntica.
Los errores que más sanciona la AEPD y que tu checklist RGPD debe cubrir
Según la Memoria 2025 de la AEPD, la Agencia recibió 30.931 reclamaciones en 2025. Es decir, un 64 % más que en 2024. Las áreas con más procedimientos sancionadores y de apercibimiento fueron videovigilancia, servicios de Internet y brechas. También destacan administraciones públicas, comercio, transporte y hostelería, y sanidad. Además, los procedimientos por brechas pasaron de 30 a 77 y sumaron 19,8 millones de euros, el 40 % del total. Por eso, tu checklist RGPD debe vigilar estos errores típicos:
- Videovigilancia sin cartel o con grabaciones guardadas más de un mes sin motivo (art. 22 LOPDGDD).
- Seguridad insuficiente que acaba en brecha: sin doble factor, copias sin probar, ransomware.
- Brechas no notificadas o notificadas tarde y sin registro interno.
- Cookies instaladas antes del consentimiento o sin opción clara de rechazo.
- Derechos sin respuesta en plazo, sobre todo acceso y supresión.
- No contestar a los requerimientos de la AEPD, que la Agencia trata como infracción muy grave.
Casi todos comparten origen: el control existe en un documento, pero nadie demuestra que funciona. Por tanto, conviene automatizar la recogida de evidencias de cumplimiento.
Cómo encaja el RGPD con NIS2 y el AI Act
Si estás dentro de NIS2, un mismo incidente puede activar dos relojes. Por un lado, el de NIS2: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. Por otro, el del RGPD: 72 horas a la AEPD si hay datos personales. Además, el art. 35 de NIS2 obliga a la autoridad de ciberseguridad a avisar a la AEPD si detecta una brecha de datos personales. Mientras tanto, España sigue sin ley de transposición: el anteproyecto de 2025 nunca llegó a las Cortes y, tras su disolución el 6 de octubre de 2026, queda pendiente del próximo Gobierno. Lo seguimos en NIS2 en España: transposición pendiente.
En el AI Act, la alfabetización en IA (art. 4) y las prácticas prohibidas rigen desde el 2 de febrero de 2025. La transparencia del art. 50, por su parte, se aplica desde el 2 de agosto de 2026. Tras el Reglamento (UE) 2026/1744, los sistemas de alto riesgo del anexo III quedan para el 2 de diciembre de 2027. Sin embargo, el RGPD no espera, y tu checklist RGPD ya debe cubrir la IA. Por ejemplo, usar IA con datos personales exige base jurídica, información y, si hay alto riesgo, EIPD. Tienes el calendario en las fechas clave del EU AI Act.
Lo eficiente es que tu checklist RGPD comparta un único juego de controles (riesgos, proveedores, incidentes, formación) con evidencias reutilizables. Así lo describimos en el mapa de controles para cumplir varias normativas.
Preguntas frecuentes sobre la checklist RGPD
¿Tu pyme necesita un delegado de protección de datos?
Solo si se da un supuesto del art. 37 RGPD. Es decir, observación sistemática a gran escala, datos sensibles a gran escala u organismo público. También si tu actividad figura en el art. 34 LOPDGDD. Entre otras, incluye centros docentes, aseguradoras, entidades financieras, centros sanitarios o seguridad privada. Si no estás obligado, asigna la función a alguien interno y déjalo por escrito.
¿Cuánto tiempo tienes para responder a un derecho de acceso?
Un mes desde la recepción. Puedes ampliarlo dos meses más si la solicitud es compleja o recibes muchas. Sin embargo, debes informar de la prórroga y sus motivos dentro del primer mes (art. 12.3 RGPD).
¿Ya se ha aprobado la reforma del RGPD del Digital Omnibus?
No. A octubre de 2026, el Parlamento Europeo y el Consejo siguen tramitando la parte que modifica el RGPD y la Directiva ePrivacy. De hecho, solo se ha aprobado la parte de IA (Reglamento (UE) 2026/1744). Mientras tanto, tu checklist RGPD debe seguir con las 72 horas y las normas actuales de cookies.
¿Puedes seguir usando proveedores de EE. UU.?
Sí. El Marco de Privacidad de Datos UE-EE. UU. sigue vigente tras la sentencia del Tribunal General de septiembre de 2025. Eso sí, hay un recurso pendiente ante el Tribunal de Justicia. Por eso, comprueba que el proveedor esté certificado. Si no lo está, usa cláusulas contractuales tipo con evaluación de la transferencia.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC con tu checklist RGPD
Atalaya GRC convierte esta checklist RGPD en controles vivos. Así, cada área tiene control, responsable y evidencia, y el mismo control cuenta para NIS2, ENS o el AI Act. Además, el registro de terceros reúne contratos de encargado y transferencias. La gestión de incidentes, por su parte, lleva el reloj de 72 horas. Por último, el reloj regulatorio avisa de plazos y cambios normativos. Consulta la ficha del RGPD en Atalaya GRC o solicita una demo.
