Las agencias europeas revisan en 2026 tu política de privacidad: qué exigen los artículos 12-14 del RGPD

El 19 de marzo de 2026, el Comité Europeo de Protección de Datos (EDPB, por sus siglas en inglés) puso en marcha su quinta acción coordinada de control. Durante todo 2026, 25 autoridades europeas de protección de datos —entre ellas la Agencia Española de Protección de Datos (AEPD)— revisan cómo cumplen las empresas las obligaciones de transparencia e información del Reglamento General de Protección de Datos (RGPD), en concreto los artículos 12, 13 y 14. Y no se limita a mirar desde fuera: la propia nota del EDPB confirma que las autoridades contactan directamente con responsables de tratamiento. Si tienes una web, una app o un formulario que recoja datos, entras dentro del perímetro de esta campaña.

Qué se lanzó y cuándo

La acción coordinada arrancó el 19 de marzo de 2026 y se desarrolla a lo largo de todo el año. Es un ejercicio conjunto: en lugar de que cada autoridad nacional actúe por su cuenta, 25 de ellas revisan el mismo tema de forma coordinada bajo el paraguas del EDPB. El foco esta vez es la transparencia: comprobar que la información que las empresas dan a las personas sobre el tratamiento de sus datos cumple lo que exige el RGPD.

El detalle que conviene retener es el del contacto directo. No hablamos únicamente de una revisión de despacho: las autoridades pueden dirigirse a los responsables de tratamiento para preguntar cómo están cumpliendo con estas obligaciones. En la práctica, eso significa que un negocio pequeño puede recibir una comunicación de la autoridad sobre algo que normalmente pasa desapercibido: el texto de su política de privacidad y los avisos de sus formularios.

Qué miran exactamente

El objeto de la revisión son tres artículos concretos del RGPD, los que regulan la transparencia y el deber de informar:

• Artículo 12: cómo se comunica la información. Debe ser accesible, en un lenguaje claro y sencillo, y fácil de encontrar para la persona cuyos datos se recogen.
• Artículo 13: qué información hay que dar cuando los datos se obtienen directamente de la persona (por ejemplo, un formulario de contacto o de alta en una newsletter).
• Artículo 14: qué información hay que dar cuando los datos no se han obtenido directamente de la persona, sino por otra vía.

En otras palabras, la campaña no va sobre si guardas los datos en un sitio seguro o si tienes un contrato con tu gestor de correo. Va sobre lo que le cuentas al usuario: quién eres, qué datos recoges, con qué finalidad, durante cuánto tiempo y qué derechos tiene. Es la parte más visible del cumplimiento —la que cualquiera puede leer entrando en tu web— y también la que muchos negocios pequeños tienen copiada de una plantilla que no refleja lo que realmente hacen con los datos.

A quién afecta y por qué le importa

A efectos prácticos, a casi cualquier autónomo o micropyme con presencia online. Si tu web tiene un formulario de contacto, si captas suscriptores para un boletín, si vendes online, si usas una app o si simplemente recoges direcciones de correo, tratas datos personales y tienes obligación de informar según los artículos 12 a 14.

Lo que cambia con esta acción coordinada no es la norma —esas obligaciones ya existían—, sino la atención que se les presta. Que 25 autoridades revisen a la vez el mismo asunto durante todo un año, con capacidad de contactar directamente, eleva la probabilidad de que una empresa concreta reciba una pregunta. Para un negocio grande con departamento legal, es rutina. Para un autónomo, un correo de la AEPD pidiendo explicaciones sobre su política de privacidad puede ser una sorpresa desagradable si nunca se ha revisado ese texto.

Qué puede hacer el lector

Como la acción se desarrolla durante todo 2026, sigue siendo un buen momento para poner al día lo básico. No hace falta un despliegue jurídico, sino comprobar que lo que dices coincide con lo que haces:

• Abre tu política de privacidad y léela como si fueras un usuario. ¿Se entiende? ¿Está a mano? ¿Dice quién eres, qué datos recoges y para qué?
• Revisa cada formulario de tu web (contacto, newsletter, presupuestos, alta de clientes). Cada punto donde pides datos debería informar de forma clara y enlazar a la política de privacidad.
• Comprueba que la información refleja tu operativa real. Si usas una herramienta de email marketing, analítica o pasarela de pago, eso debería estar contemplado, no una plantilla genérica que menciona tratamientos que no haces o que omite los que sí.
• Si tienes dudas de fondo, es el tipo de repaso que un asesor especializado en protección de datos puede hacer en poco tiempo.

Límites e incertidumbres

Conviene no exagerar. La nota confirma el lanzamiento de la acción, las autoridades participantes, el año de vigencia y los artículos revisados, pero de aquí no se deduce un régimen automático de sanciones ni un calendario de inspecciones para cada empresa. No sabemos a cuántos negocios se contactará, con qué criterio de selección, ni qué consecuencias concretas tendrá cada caso: eso dependerá de cada autoridad nacional y de la situación específica. Tampoco hay, en la información disponible, un plazo cerrado ni un umbral que marque quién será contactado y quién no.

Lo que sí es sólido es la dirección: durante 2026, la transparencia en la información sobre datos personales está bajo el foco coordinado de las autoridades europeas, y eso incluye a España a través de la AEPD.

Esto es información, no asesoramiento

Este artículo es información general elaborada a partir de la nota del European Data Protection Board citada como fuente y no constituye asesoramiento jurídico. No sustituye la revisión de un profesional que conozca tu caso concreto. Ante cualquier discrepancia, prevalecen el texto oficial de la fuente y el criterio de un asesor cualificado en protección de datos.