Cesión de datos a terceros: cuándo es legal y qué debe informarse
Ceder datos personales a terceros no es libre por el simple hecho de incluirlo en una política de privacidad. En España y en la UE hace falta una base jurídica válida, información adecuada y respeto a los principios del RGPD.
Respuesta rápida
Sí puede ser legal ceder datos a terceros, pero solo si existe una base legitimadora y la comunicación es compatible con la finalidad y con el deber de información. Sin eso, la cesión puede ser ilícita aunque la empresa ya tuviera tus datos.
Qué dice la ley
El RGPD regula la licitud del tratamiento y exige informar sobre destinatarios o categorías de destinatarios. La LOPDGDD completa ese marco en España. No todas las entregas de datos son “cesiones” en sentido estricto: a veces hay encargados del tratamiento que acceden a datos por cuenta del responsable, lo que exige contrato y garantías específicas, pero no equivale a comunicar los datos para fines propios del tercero.
Puntos clave
- Consentimiento, contrato, obligación legal o interés legítimo pueden operar como base, según el caso.
- El hecho de informar no sustituye a la necesidad de una base jurídica válida.
- Encargado del tratamiento y tercero destinatario no son exactamente la misma figura.
- La persona afectada puede ejercer derechos y reclamar ante la AEPD si considera indebida la comunicación.
Cuándo surgen más dudas
Es frecuente que las dudas aparezcan en marketing, cesiones intragrupo, recobro de deudas, seguros o plataformas tecnológicas. También cambian las exigencias si los datos salen fuera del Espacio Económico Europeo. Cuando el tercero usa los datos para fines propios, el análisis suele ser más exigente que cuando solo presta un servicio al responsable inicial.
Qué revisar en la práctica
Comprueba quién recibe los datos, con qué finalidad, qué base jurídica invoca la empresa y si esa información ya figuraba al recogerlos. Si eres empresa, documenta el análisis de legitimación y diferencia claramente entre proveedor-encargado y destinatario independiente. En supuestos sensibles, una evaluación jurídica previa evita sanciones y reclamaciones.
Fuentes consultadas
- EUR-Lex — Reglamento General de Protección de Datos (RGPD)
- BOE — Ley Orgánica 3/2018 (LOPDGDD)
- AEPD — Guías y herramientas RGPD
Revisión editorial de fuentes: 2026-04-14