¿Cuándo es legal ceder datos personales a terceros?
Solo cuando existe una base jurídica clara y la cesión respeta el deber de información, la finalidad inicial y el resto de principios del RGPD. No toda “colaboración” entre empresas permite compartir datos libremente.
Respuesta rápida
La cesión de datos personales puede ser legal, pero no por defecto. Hace falta una base jurídica válida —consentimiento, contrato, obligación legal, interés legítimo bien ponderado u otra prevista en el RGPD— y además deben respetarse transparencia, minimización y finalidad.
Qué dice la ley
El RGPD distingue entre responsable, encargado y destinatario. Ceder datos a un tercero no es lo mismo que encargar un tratamiento en nombre propio. Si la empresa receptora va a decidir sus propios fines, normalmente habrá una comunicación de datos y deberá justificarse. Además, si el afectado no recibió esa información al recoger los datos, habrá que analizar cómo cumplir el artículo 14 del RGPD.
Puntos clave
- La pregunta clave es para qué se ceden y con qué base jurídica.
- Un contrato entre empresas no sustituye por sí solo la legitimación exigida por el RGPD.
- La cesión debe limitarse a los datos necesarios para la finalidad concreta.
- Si se informa mal o se usa la información para otra finalidad, aumenta el riesgo sancionador.
Matices y excepciones
Dentro de un mismo grupo empresarial no existe una dispensa general. También deben diferenciarse las cesiones obligadas por ley —por ejemplo, a juzgados o autoridades— de las cesiones puramente comerciales. Cuando se trata de categorías especiales de datos, las exigencias suben aún más y rara vez basta con fórmulas genéricas.
Qué hacer en la práctica
Si una empresa quiere comunicar datos, debería documentar la base jurídica, la finalidad y el análisis de necesidad. Si usted sospecha que sus datos se han compartido sin base suficiente, puede ejercer acceso para conocer el origen y los destinatarios y, si procede, reclamar ante la AEPD.
Fuentes consultadas
- EUR-Lex — RGPD (UE) 2016/679
- BOE — Ley Orgánica 3/2018 (LOPDGDD)
- AEPD — guías sobre responsable, encargado y comunicaciones de datos
Revisión editorial de fuentes: 2026-04-14