Obligación de formación RGPD: ¿deben formarse los empleados?

No existe un artículo único del RGPD con el tenor "los empleados deben ser formados en protección de datos". La obligación se deriva de forma indirecta, pero ineludible, de varias disposiciones: la responsabilidad proactiva (art. 5 apdo. 2), la obligación de adoptar medidas técnicas y organizativas (art. 24, art. 32) y la tarea expresamente mencionada "concienciación y formación del personal" (art. 39 apdo. 1 letra b). La ley no fija una frecuencia; lo habitual es un repaso anual.

De la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es una información general y no constituye asesoramiento jurídico.

¿Figura la obligación de formación literalmente en el RGPD?

No, y esta precisión es importante: no existe una "formación obligatoria prescrita por ley" en sentido estricto, es decir, ningún artículo concreto que prescriba un formato o una duración determinados de formación. Quien lo afirma argumenta de forma imprecisa. Lo que sí existe es un entramado de disposiciones que, sin personal formado, resulta prácticamente imposible de cumplir.

¿Qué disposiciones fundamentan la formación en la práctica?

En conjunto resulta: una empresa que no informa a sus empleados sobre las normas básicas de protección de datos difícilmente puede acreditar de forma creíble que aplica a diario los principios del art. 5 RGPD. La formación es, por tanto, prácticamente necesaria, sin que un artículo concreto la ordene literalmente.

¿Se aplica también a las pequeñas empresas sin delegado de protección de datos propio?

Sí. En Alemania, la obligación de nombrar a un delegado de protección de datos solo se aplica, en principio, cuando, por regla general, al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos personales (§ 38 apdo. 1 BDSG, la ley federal alemana de protección de datos). Las obligaciones subyacentes de los arts. 5, 24 y 32 RGPD se aplican, sin embargo, con independencia del tamaño de la empresa. También una pequeña empresa sin DPD se beneficia de formar a sus empleados y de documentar la prueba.

¿Con qué frecuencia hay que formar?

El RGPD no establece una frecuencia legalmente fijada. En la práctica se ha consolidado como estándar habitual un repaso anual más una formación complementaria por motivos específicos, por ejemplo en la incorporación de nuevos empleados, ante nuevas herramientas (por ejemplo, aplicaciones de IA) o tras cambios jurídicos relevantes. Es una recomendación práctica, no una exigencia legal fija; sigue siendo determinante el caso concreto y, en caso de duda, la valoración de su delegado de protección de datos.

¿Qué ocurre si no formo?

No existe un supuesto sancionador propio para la "falta de formación". Pero si falta, en un caso grave –por ejemplo, tras una brecha de datos– resulta más difícil cumplir la responsabilidad proactiva del art. 5 apdo. 2. Al determinar una multa, la autoridad de control tiene en cuenta, entre otras cosas, las medidas técnicas y organizativas adoptadas por el responsable del tratamiento (art. 83 apdo. 2 RGPD). Empleados con formación acreditada pueden tener aquí un efecto favorable, pero no excluyen automáticamente una multa.

¿Qué contenidos debe incluir una buena formación en protección de datos?

Para el día a día laboral suelen ser relevantes:

• Conceptos básicos: datos personales, tratamiento, responsable del tratamiento (art. 4)
• Bases jurídicas y protección de datos de los trabajadores
• Derechos de los interesados en el día a día (acceso, supresión, oposición)
• Seguridad de los datos en el puesto de trabajo y medidas técnicas/organizativas
• Gestión de brechas de datos y de proveedores externos (encargo del tratamiento)
• Herramientas de IA como ChatGPT en el día a día laboral

Importante para la acreditación posterior: una formación debería documentarse al final, con la fecha, el nombre de la persona formada y los contenidos tratados. Solo así puede demostrarse, en un caso grave, que la concienciación se ha producido realmente y no solo se afirma.

Preguntas frecuentes (FAQ)

¿Está la formación en protección de datos prescrita por ley?

No como artículo propio y literal. Pero se deriva en la práctica de la responsabilidad proactiva (art. 5 apdo. 2), de los arts. 24 y 32 y de la tarea del DPD expresamente mencionada, «concienciación y formación» (art. 39 apdo. 1 letra b RGPD).

¿Con qué frecuencia debo formar a mis empleados?

El RGPD no menciona una frecuencia fija. La práctica habitual es un repaso anual más formación para nuevos empleados, nuevas herramientas o cambios jurídicos relevantes.

¿Basta con una formación única al incorporarse al trabajo?

Jurídicamente no existe una exigencia fija al respecto. Dado que las herramientas, los procesos y los riesgos cambian, una formación única sin repaso se considera una prueba débil de una responsabilidad proactiva continuada.

¿Necesito obligatoriamente un proveedor externo?

No, la ley no prescribe ningún proveedor. Un programa estructurado y documentado, con una prueba fechada, facilita sin embargo la acreditación ante las autoridades de control en comparación con una instrucción meramente oral.

¿Desea llevar a cabo la formación de sus empleados de forma eficiente y documentarla correctamente? Nuestra formación básica sobre RGPD para empleados es un formato de formación digital, realizable en unos 90 minutos, con prueba fechada — reservable en línea; el certificado de IA ayuda además a construir y acreditar la competencia en IA que exige el art. 4 del Reglamento de IA (AI Act). Encontrará más información sobre los documentos de la responsabilidad proactiva en nuestro artículo Responsabilidad proactiva según el RGPD.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), art. 5 apdo. 2, art. 24, art. 32 apdo. 4, art. 39 apdo. 1 letra b, art. 83 apdo. 2 – eur-lex.europa.eu
• Ley federal de protección de datos (BDSG), § 38 apdo. 1 (obligación de nombrar al delegado de protección de datos) – gesetze-im-internet.de