Esta guía explica qué exige el mercado español, qué criterios importan de verdad y qué vale cada solución — con sus puntos débiles.
Por qué España es un mercado exigente
La AEPD es la autoridad más activa de Europa en número de sanciones. La Agencia Española de Protección de Datos dicta cada año cientos de resoluciones sancionadoras — más que ninguna otra autoridad de la UE — y la mayoría no van contra gigantes tecnológicos, sino contra pymes: gimnasios, hoteles, comercios, administradores de fincas, fintechs. Entre las multas históricas destacan Vodafone España (8,15 millones de euros, 2021), CaixaBank (6 millones, 2021) y BBVA (5 millones, 2020), pero la resolución típica sanciona a una empresa corriente por fallos corrientes: falta de base jurídica, solicitudes de acceso ignoradas, contratos de encargado inexistentes (resoluciones de la AEPD). Nuestro tracker de sanciones AEPD sigue la actividad en detalle.
La LOPDGDD añade obligaciones propias. La Ley Orgánica 3/2018 no es una copia del RGPD: impone una lista legal de entidades obligadas a nombrar delegado de protección de datos y comunicarlo a la AEPD (art. 34), regula los derechos digitales laborales (arts. 87-91: monitorización de dispositivos, videovigilancia, geolocalización, desconexión digital), fija su propio catálogo de infracciones (arts. 72-74) y añade reglas sobre sistemas de información crediticia y videovigilancia. Un software con plantillas de “RGPD genérico” deja fuera justo lo que la AEPD más sanciona — las diferencias están detalladas en nuestra guía LOPDGDD vs RGPD.
La documentación debe estar en español. El registro, las cláusulas informativas, las EIPD y los contratos los leerán empleados, clientes, la representación laboral y la AEPD. Una herramienta que solo genera documentos en inglés es un bloqueo práctico.
Criterios de elección
| Criterio | Por qué es decisivo | Exigencia mínima |
|---|---|---|
| Registro de actividades (art. 30) | Primer documento que pide la AEPD | Registro estructurado, exportable en español |
| Cobertura LOPDGDD | Lista DPD art. 34, derechos digitales laborales | Plantillas adaptadas a España |
| Módulo EIPD (art. 35) | La AEPD publica guías y listas de tratamientos | EIPD guiada con metodología |
| Gestión de encargados (art. 28) | La AEPD revisa contratos sistemáticamente | Inventario con control de cláusulas (art. 28) |
| Solicitudes de derechos | Plazo de un mes; fuerte cultura ARCO-POL en España | Contadores de plazo y trazabilidad (derechos) |
| Brechas de seguridad | Notificación a la AEPD en 72 horas | Workflow guiado de brechas |
| Alojamiento en la UE | Evita el análisis de transferencias en su propio expediente | Centros de datos UE |
| Precio proporcionado | Presupuestos pyme | 1.500 - 15.000 €/año fuera del segmento enterprise |
Dos argumentos comerciales a los que no ceder: sellos y certificados sin valor jurídico, y catálogos enormes de módulos (ESG, canal ético, etc.) que se pagan y no se usan. El núcleo del trabajo RGPD en España es el registro, las EIPD, los encargados, los derechos y las brechas.
El mercado en 2026, evaluado con honestidad
Pridatect — proveedor español (Barcelona) que combina plataforma y consultoría opcional, con conocimiento nativo de la LOPDGDD y soporte en español. Menos profundidad de automatización que las plataformas más recientes; precio bajo presupuesto.
Dastra — pure-player francés con buena relación calidad-precio (desde unos 79 €/mes), registro y módulo de derechos sólidos. Sus plantillas son de origen francés: verifique usted mismo las especificidades LOPDGDD (lista del art. 34, derechos digitales laborales).
OneTrust — la suite enterprise estadounidense de referencia: el catálogo más amplio del mercado y también el más pesado. Implantaciones de meses con consultores certificados y costes anuales habituales de 30.000 a 100.000 €+. Sobredimensionada por debajo de 300-500 empleados.
TrustArc — alternativa enterprise estadounidense; evaluaciones potentes, poca localización española, alojamiento en EE. UU.
Vanta / Sprinto — automatización de SOC 2 e ISO 27001 con listas de control RGPD añadidas. Útiles para la postura de seguridad de una SaaS; no producen un registro ni una EIPD defendibles ante la AEPD. Son complemento, no sustituto.
Usercentrics / Cookiebot — gestión del consentimiento web (desde unos 60 €/mes). Necesaria para la capa de cookies; no gestiona el programa de cumplimiento.
Facilita RGPD (AEPD, gratuita) — la herramienta gratuita de la propia autoridad, que genera documentos básicos para empresas con tratamientos de muy bajo riesgo. Valoración honesta: excelente para un pequeño negocio sin analítica ni perfilados; insuficiente en cuanto hay marketing digital, software de RRHH o un producto digital — el propio cuestionario de la herramienta lo advierte.
Cuánto cuesta un software RGPD en España
| Perfil de empresa | Presupuesto anual | Notas |
|---|---|---|
| Micro / bajo riesgo (<10 empleados) | 0 - 1.200 € | Facilita RGPD + plantillas puede bastar |
| Pyme 10-50 | 1.500 - 6.000 € | Plataforma UE, facturación mensual |
| Pyme 50-300 | 5.000 - 15.000 € | Plataforma + CMP + automatización de derechos |
| 300+ / enterprise | 25.000 - 100.000 €+ | Territorio OneTrust/TrustArc |
Costes ocultos que conviene cerrar antes de firmar: cuotas de onboarding (2.000-15.000 € en suites enterprise), precio por módulo, licencias por usuario para simples lectores, jornadas de parametrización e indexación anual del precio.
La comparación honesta no es “software contra nada”, sino contra el trabajo manual: construir el registro con un consultor externo cuesta 2.000-8.000 € y queda obsoleto en meses; mantener el cumplimiento a mano consume 300-800 horas al año. A 50 €/hora de coste empresa, una plataforma de 6.000 €/año se amortiza sola — antes de contar el riesgo sancionador, que en España alcanza con regularidad cifras de cinco y seis dígitos para pymes (panorama de sanciones).
Recomendaciones por situación
FAQ
¿Cuánto cuesta un software de cumplimiento RGPD?
Entre 1.500 y 15.000 € al año para una pyme española: aproximadamente 1.500-6.000 € con 10-50 empleados y 5.000-15.000 € con 50-300. Las herramientas de entrada parten de unos 79 €/mes; las suites enterprise como OneTrust arrancan en torno a 30.000 €/año y rara vez se justifican por debajo de 300-500 empleados.
¿Es suficiente la herramienta gratuita Facilita RGPD de la AEPD?
Solo para microempresas con tratamientos exclusivamente de bajo riesgo: sin perfilados, sin datos sensibles, sin gran escala. Cualquier empresa con analítica de marketing, sistema de RRHH o producto digital queda fuera de su ámbito, como indica el propio cuestionario de elegibilidad de la AEPD.
¿El software sustituye al delegado de protección de datos?
No. El software produce y mantiene la documentación; el DPD — obligatorio para las entidades del art. 34 LOPDGDD y en los supuestos del art. 37 RGPD — ejerce la supervisión independiente que exige la norma. El objetivo realista es un DPD que dedique su tiempo a decidir, no a rellenar hojas de cálculo.
¿Necesito cubrir el RGPD o la LOPDGDD?
Ambos. El RGPD fija el marco europeo; la LOPDGDD añade la lista española de DPD obligatorio, los derechos digitales laborales (arts. 87-91), el catálogo de infracciones y las reglas de videovigilancia. Un software configurado solo para “RGPD genérico” deja sin cubrir precisamente los añadidos españoles — los que la AEPD más aplica.