Concesionarias de servicios públicos
Transporte, residuos, servicios sociales o sanitarios concertados: separar tratamientos y autoridades.
Ley 32/2010 art. 3.fCataluña
Delegado de protección de datos en Cataluña
Una empresa privada puede tener dos autoridades de control: la AEPD para su actividad propia y la APDCAT para el servicio público que gestiona.
En resumen: la Autoritat Catalana de Protecció de Dades (APDCAT) controla a la Generalitat, los entes locales y las universidades de Cataluña, y también a las entidades privadas que prestan servicios públicos, por gestión directa o indirecta, en lo que respecta a los tratamientos vinculados a ese servicio (art. 3.f de la Ley 32/2010). Para el resto de su actividad, la empresa responde ante la AEPD.
Autoridad de control: APDCAT y AEPD
Sector público catalán, colegios profesionales y entidades privadas en la gestión de servicios públicos: APDCAT. Empresas privadas en su actividad propia: AEPD.
Cataluña
Una misma empresa, dos autoridades
Pensemos en una empresa de limpieza, de transporte o de servicios sociales que gestiona un servicio para un ayuntamiento catalán. Los datos de los usuarios de ese servicio entran en el ámbito de la APDCAT; los datos de sus propios trabajadores o de sus clientes privados, en el de la AEPD.
Conviene separarlo en el registro de actividades y en los contratos: ayuda a saber a quién notificar una brecha y ante quién responder a una reclamación.
Datos de usuarios del servicio público gestionadoAPDCAT
Datos de sus propios trabajadoresAEPD
Clientes privados de la empresaAEPD
Ayuntamiento que encarga el servicioAPDCAT
Colegio profesional de ámbito catalánAPDCAT
Puntos frecuentes en Cataluña
Comercio electrónico
Cookies, formularios y comunicaciones comerciales en webs catalanas y multilingües.
LSSI arts. 21 y 22Tecnología e IA
Software con inteligencia artificial, evaluaciones de impacto y proveedores fuera de la UE.
RGPD art. 35Dudas habituales en Cataluña
¿Ante quién notifico una brecha si gestiono un servicio público en Cataluña?
Si la brecha afecta a datos vinculados a la prestación del servicio público, la autoridad competente es la APDCAT. Si afecta a datos de tu actividad propia, la AEPD.
¿La APDCAT controla a todas las empresas catalanas?
No. Su ámbito es el sector público catalán y, en el sector privado, solo los tratamientos vinculados a la prestación de servicios públicos y los de los colegios profesionales.
¿Las normas son distintas en Cataluña?
No: se aplican el RGPD y la LOPDGDD. Cambia la autoridad que controla y sanciona.
¿Tu organización está en Cataluña?
Trabajo en remoto desde Italia, dentro de la Unión Europea. La primera evaluación es gratuita: miro tu situación y te digo por escrito qué falta y en qué orden resolverlo.
Actualizado el 27 de octubre de 2026 · Pietro Cravero, delegado de protección de datos certificado (IDcert).