En los diez años de vigencia del RGPD, la evolución más significativa en España ha sido el paso de una fase inicial de adaptación formal (donde muchas empresas se limitaron a añadir avisos de privacidad y cookies) a una fase de cumplimiento real con consecuencias concretas. La AEPD ha aumentado progresivamente su actividad sancionadora: las multas son más frecuentes, más cuantiosas y más variadas en cuanto a los sectores afectados (telecomunicaciones, banca, administraciones públicas, marketing). La jurisprudencia del Tribunal Supremo y la Audiencia Nacional ha asentado criterios sobre recursos contra resoluciones de la AEPD, lo que ha profesionalizado la defensa en la vía contencioso-administrativa. El mayor cambio cualitativo es que los ciudadanos ejercen sus derechos de acceso, supresión y oposición con mucha más frecuencia, lo que ha convertido la gestión de derechos de los interesados en un proceso interno crítico para cualquier organización.

Las infracciones del RGPD más frecuentemente sancionadas por la AEPD en España son: el tratamiento de datos sin base jurídica suficiente o sin el consentimiento válido del interesado (especialmente en comunicaciones comerciales y cookies), la falta de atención correcta a los derechos de acceso, supresión, oposición y portabilidad ejercidos por los interesados, la ausencia o insuficiencia de las medidas de seguridad técnicas y organizativas que han derivado en brechas de datos, la falta de transparencia en la información proporcionada a los interesados sobre el tratamiento de sus datos, y el incumplimiento de obligaciones de notificación de brechas de seguridad a la AEPD en el plazo de 72 horas. En cuanto a sectores, telecomunicaciones, banca y seguros, publicidad digital y administraciones públicas concentran el mayor número de expedientes sancionadores.

El DPO (Data Protection Officer) o Delegado de Protección de Datos es la figura responsable de supervisar el cumplimiento del RGPD dentro de una organización, asesorar al responsable del tratamiento y actuar como punto de contacto con la autoridad de control. El nombramiento de DPO es obligatorio para: las autoridades y organismos públicos, las organizaciones que realicen tratamientos a gran escala de categorías especiales de datos (salud, biometría, origen racial, creencias religiosas, etc.), y las organizaciones que realicen seguimiento sistemático y a gran escala de personas (por ejemplo, empresas de perfilado comportamental o vigilancia masiva). Para el resto de organizaciones no es obligatorio pero sí muy recomendable, especialmente si procesan datos de clientes de forma intensiva. El DPO puede ser un empleado interno o un profesional externo, y su nombramiento debe comunicarse a la AEPD.

La intersección entre RGPD e inteligencia artificial es uno de los temas más relevantes del cumplimiento normativo en 2026. El RGPD ya contenía disposiciones específicas sobre IA: el artículo 22 regula las decisiones automatizadas y el perfilado, obligando a que las decisiones con efectos significativos sobre las personas no sean tomadas exclusivamente por algoritmos sin supervisión humana. El AI Act europeo, en vigor desde 2024 con aplicación progresiva, añade una capa de obligaciones para los sistemas de IA de alto riesgo (transparencia, documentación técnica, evaluaciones de impacto). Para los sistemas que procesan datos personales y son clasificados como de alto riesgo bajo el AI Act, las obligaciones del RGPD y del AI Act se solapan y se complementan. Las empresas que usan IA con datos personales necesitan un análisis integrado de ambas normativas para garantizar el cumplimiento, lo que genera una oportunidad de asesoramiento especializado para despachos con experiencia en ambas áreas.

Los servicios de protección de datos con mejor combinación de demanda y rentabilidad para un despacho son: el servicio de DPO externo en modalidad de retainer mensual (recurrente, predecible, con alta fidelización del cliente, tarifas entre 300 y 1.500€/mes según complejidad), la auditoría de cumplimiento RGPD (puerta de entrada natural para ampliar la relación con el cliente, ticket entre 1.500 y 5.000€ para pymes), la defensa en procedimientos sancionadores ante la AEPD (alto ticket, baja competencia fuera de despachos especializados, entre 3.000 y 15.000€ según complejidad), y el asesoramiento en proyectos de IA y big data con componente de datos personales (nicho emergente de crecimiento acelerado y muy pocos especialistas en el mercado). La combinación de servicios preventivos recurrentes con defensa reactiva en procedimientos sancionadores es el modelo más rentable y sostenible para una práctica especializada en protección de datos.