Toda empresa que realice el tratamiento de datos de carácter personal en territorio español está obligada a cumplir la LOPD. También si los recopila, así como la tras*ferencia de datos internacional.
Están obligados a informar de la existencia de un fichero con los datos personales y de cómo se pueden ejercir los derechos de acceso, cancelación, oposición y rectificación.
Si la empresa no tiene domicilio fiscal en España pero recopila los datos para su tratamiento en territorio español deben nombrar un representante legal.
Los usuarios pueden consultar la existencia del fichero, así como su responsable, ante la Agencia Española de Protección de Datos, en intervalos no inferiores a 12 meses salvo causa justificada.
La AEPD también puede ejercer la tutela de derechos, y resolver sobre los asuntos concernientes a la ley. Contra las decisiones de la AEPD cabe recurso contencioso administrativo.
El contenido del fichero relativo al usuario es custodiado por la propia empresa que debe garantizar los derechos acceso, rectificación, cancelación y oposición ante los usuarios.
Lo he escrito a vuela pluma si necesitas saber algo más y me lo sé, respondo.