Contar con una checklist RGPD actualizada es la herramienta más práctica que cualquier organización puede mantener para garantizar el cumplimiento del Reglamento General de Protección de Datos. Desde la entrada en vigor del RGPD en mayo de 2018, las autoridades de control europeas han impuesto multas acumuladas superiores a 4.200 millones EUR. Solo en España, la AEPD dictó 299 sanciones en 2025, con un importe total cercano a los 40 millones EUR, lo que confirma que la presión reguladora no disminuye.
Esta checklist RGPD organiza las obligaciones del reglamento en bloques verificables. Ya sea usted un delegado de protección de datos realizando una auditoría anual o el responsable de una pyme que afronta el cumplimiento RGPD por primera vez, los puntos que se desarrollan a continuación cubren todas las áreas que las autoridades de control examinan habitualmente.
¿Qué debe incluir una checklist RGPD?
El RGPD impone obligaciones en múltiples dominios: bases jurídicas del tratamiento, transparencia, derechos de los interesados, seguridad, transferencias internacionales y gobernanza organizativa. Una checklist RGPD creíble debe abordar cada uno de estos ámbitos de forma sistemática en lugar de tratarlos de manera aislada.
El punto de referencia central es el artículo 5 del RGPD, que establece siete principios vinculantes. Cada elemento de esta checklist se vincula a uno o varios de dichos principios. Para una explicación detallada de estos principios, consulte nuestra guía sobre principios de protección de datos.
Ámbito de aplicación y registro de actividades
Antes de trabajar con los elementos de cumplimiento, confirme que el RGPD se aplica a sus actividades de tratamiento. El reglamento cubre a toda organización que trate datos personales de personas en el Espacio Económico Europeo, independientemente de dónde esté establecida. En España, la LOPDGDD complementa el RGPD con disposiciones nacionales específicas; hemos analizado las diferencias clave entre LOPDGDD y RGPD en una guía separada.
Los responsables y encargados del tratamiento deben mantener un Registro de Actividades de Tratamiento (RAT). Este registro constituye la base de cualquier programa de cumplimiento y debe documentar cada categoría de datos personales tratados, las finalidades de cada actividad de tratamiento, la base jurídica aplicable, los destinatarios de los datos y cualquier encargado del tratamiento implicado, los plazos de conservación y las medidas técnicas y organizativas de seguridad implementadas.
Sin un mapa de datos actualizado y preciso, ninguna otra actividad de cumplimiento puede realizarse de forma fiable. Este es sistemáticamente el primer punto que las autoridades de control solicitan durante las inspecciones.
¿Cómo verificar la licitud del tratamiento?
Cada actividad de tratamiento debe basarse en una de las seis bases jurídicas enumeradas en el artículo 6 del RGPD. Las más frecuentemente examinadas son el consentimiento y el interés legítimo.
Consentimiento e interés legítimo
Cuando se apoye en el consentimiento, verifique que este sea libre, específico, informado e inequívoco. Las casillas premarcadas, los consentimientos agrupados y los muros de consentimiento han sido declarados no conformes por las autoridades de control en múltiples resoluciones. Las Directrices del CEPD sobre consentimiento siguen siendo la referencia más autorizada.
Para tratamientos basados en interés legítimo, debe realizar y documentar una prueba de ponderación en tres partes: identificar el interés legítimo, demostrar que el tratamiento es necesario para alcanzarlo y equilibrarlo con los derechos y libertades de los interesados. La AEPD ha sancionado casos donde esta evaluación no estaba documentada.
Derechos de los interesados en la checklist RGPD
Todo programa de cumplimiento debe garantizar que la organización puede atender las solicitudes de ejercicio de derechos dentro de los plazos establecidos por el RGPD.
Derechos ARCO y ampliados
Los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) fueron ampliados significativamente por el RGPD. Ahora incluyen también la portabilidad, la limitación del tratamiento y el derecho a no ser objeto de decisiones automatizadas. Consulte también las guías sobre derecho de acceso y derecho de supresión para profundizar en cada uno de ellos.
La organización debe disponer de un procedimiento documentado para recibir, identificar, tramitar y responder las solicitudes en un plazo máximo de un mes. Las reclamaciones por vulneración de derechos de los interesados representan una parte significativa de las actuaciones previas de investigación de la AEPD.
Transparencia e información. El artículo 13 del RGPD exige que, en el momento de la recogida de datos, el responsable proporcione información clara sobre la identidad del responsable, las finalidades, la base jurídica, los plazos de conservación y los derechos del interesado. Las políticas de privacidad deben ser concisas, transparentes e inteligibles, escritas en un lenguaje claro y sencillo.
¿Qué medidas de seguridad exige el RGPD?
El artículo 32 del RGPD obliga a implementar medidas técnicas y organizativas apropiadas al riesgo del tratamiento. Su checklist RGPD debe verificar la existencia y adecuación de estas medidas.
Medidas técnicas y gestión de brechas
Entre las medidas que las autoridades de control verifican habitualmente se encuentran el cifrado de datos personales en tránsito y en reposo, el control de accesos basado en el principio de mínimo privilegio, el registro de acciones sobre datos personales, las copias de seguridad periódicas con procedimientos de restauración probados y los protocolos de gestión de vulnerabilidades.
Las sanciones RGPD impuestas por la AEPD en los últimos años incluyen con frecuencia deficiencias en medidas de seguridad como factor agravante. Una evaluación de impacto formal resulta obligatoria cuando el tratamiento presente un alto riesgo para los derechos y libertades de las personas físicas.
Su organización debe contar con un procedimiento de notificación de brechas de seguridad que permita informar a la AEPD en un plazo máximo de setenta y dos horas desde que se tenga conocimiento de la violación, conforme al artículo 33 del RGPD.
Transferencias internacionales de datos
Si su organización transfiere datos personales fuera del EEE, la checklist RGPD debe contemplar los mecanismos de transferencia adecuados: decisiones de adecuación de la Comisión Europea, cláusulas contractuales tipo (CCT) actualizadas, normas corporativas vinculantes (BCR) y evaluaciones de impacto de la transferencia (TIA).
Tras la invalidación del Privacy Shield, el Marco de Privacidad de Datos UE-EE. UU. entró en vigor en julio de 2023, pero toda transferencia debe documentar las garantías apropiadas. Para más información sobre multas por incumplimiento de transferencias, consulte nuestra guía completa sobre sanciones RGPD.
Gobernanza y responsabilidad proactiva
El principio de accountability exige que el responsable no solo cumpla el RGPD, sino que sea capaz de demostrarlo. Su checklist RGPD debe incluir los siguientes elementos de gobernanza.
Registro y auditoría interna
Mantenga actualizada la siguiente documentación: registro de actividades de tratamiento, políticas de privacidad y avisos legales, contratos con encargados del tratamiento conforme al artículo 28, evaluaciones de impacto realizadas, registro de brechas de seguridad y evidencias de formación al personal.
La checklist RGPD debe revisarse al menos anualmente o ante cualquier cambio significativo en las actividades de tratamiento, la legislación aplicable o las directrices de las autoridades de control. La AEPD recomienda realizar auditorías internas con periodicidad no superior a dos años. A partir de febrero de 2026, las organizaciones deben tener en cuenta además el Reglamento Europeo de Inteligencia Artificial, cuyas obligaciones de alto riesgo ya son aplicables y pueden conllevar multas de hasta 35 millones EUR o el 7 % de la facturación global; según datos de Javadex, la AEPD ha abierto 147 expedientes de investigación vinculados a IA entre 2025 y 2026, un 340 % más que en el bienio anterior (Javadex, 2026).
Véase también: plantilla de registro de actividades de tratamiento.
FAQ
¿Es obligatorio tener una checklist RGPD en mi empresa?
No existe una obligación legal de mantener una checklist como tal. Sin embargo, el principio de responsabilidad proactiva del RGPD exige que el responsable pueda demostrar el cumplimiento, y una checklist estructurada es la forma más eficaz de lograrlo. La AEPD valora positivamente la existencia de documentación organizada en sus procedimientos de inspección.
¿Cada cuánto tiempo debo actualizar mi checklist RGPD?
Se recomienda una revisión completa al menos una vez al año, así como revisiones puntuales ante cambios significativos: nuevas actividades de tratamiento, modificaciones legislativas, publicación de nuevas directrices del CEPD o cambios en proveedores que actúen como encargados del tratamiento.
¿Qué ocurre si no cumplo con el RGPD en España?
Las sanciones pueden alcanzar hasta veinte millones de euros o el cuatro por ciento del volumen de negocio anual mundial, la cifra que sea mayor. Además de las multas económicas, la AEPD puede imponer medidas correctivas como la limitación o prohibición del tratamiento, lo que puede paralizar la actividad empresarial. Consulte nuestra guía sobre sanciones RGPD para conocer ejemplos concretos y estrategias de prevención.