西班牙RGPD与LOPDGDD企业指南：数据保护义务详解

如果你在西班牙经营业务或处理西班牙居民的个人数据，RGPD（即EU GDPR的西班牙名称）和LOPDGDD（《个人数据保护和数字权利保障组织法》）是你必须遵守的法律。LOPDGDD于2018年12月生效，是将EU GDPR本地化为西班牙国内法的法律。

2025年，西班牙数据保护局AEPD正在加强对AI数据处理和Cookie追踪的执法力度。

RGPD与LOPDGDD的关系

方面	RGPD（EU GDPR）	LOPDGDD（西班牙法）
适用范围	整个EU	西班牙
法律性质	EU法规（直接适用）	国内法（补充）
最高罚款	2000万EUR或营业额的4%	与GDPR一致
监管机构	各国DPA	AEPD

企业的6项核心义务

1. 同意管理

收集个人数据时需要明确、自愿的同意。预勾选的复选框不构成有效同意。

2. 数据保护官（DPO）任命

LOPDGDD要求公共机构、医疗教育金融机构、大规模数据处理企业、保险和电信公司必须任命DPO。

3. 处理活动记录

即使员工不足50人，处理敏感数据或定期处理个人数据的企业也必须维护记录。

4. 数据泄露通知（72小时）

发生个人数据泄露后，必须在72小时内通知AEPD。

5. 数据保护影响评估（EIPD）

在开始高风险处理活动之前，必须进行影响评估。

6. 数字权利

LOPDGDD规定了GDPR未涵盖的数字权利：员工数字断开权、职场视频监控规则、未成年人数据保护加强。

AEPD 2025年执法重点

• AI与自动化处理：要求自动化决策的透明度
• Cookie合规：检查Cookie横幅的同意有效性
• 国际数据传输：验证EU境外传输的保护措施

中小企业工具：Facilita RGPD

AEPD为低风险数据处理的中小企业提供免费在线工具Facilita RGPD，回答简单问题即可自动生成基本合规文档。

安全共享合规文档

影响评估报告、处理活动记录、泄露响应计划等内部文档本身可能包含敏感信息。通过微信或电子邮件发送这些文件会带来额外风险。

使用LOCK.PUB，你可以通过密码保护的备忘录链接安全共享合规文档，并设置过期时间，避免敏感材料长期暴露。

罚款框架

违规级别	最高罚款
轻微违规	40,000 EUR
严重违规	300,000 EUR
非常严重违规	2000万EUR或全球年营业额的4%

西班牙的数据保护合规不是选择题。使用上述清单检查现状，并利用LOCK.PUB等安全工具管理合规文档。