Las empresas que operan en A Coruña y en el conjunto de Galicia tratan datos personales de empleados, clientes, proveedores y usuarios con una regularidad que rara vez se detiene a examinar el marco legal que rige esa actividad. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) no son una formalidad documental: son un régimen de cumplimiento activo cuya inobservancia puede desencadenar un expediente sancionador ante la Agencia Española de Protección de Datos (AEPD). Y los expedientes no esperan.
El RGPD establece un modelo de responsabilidad proactiva. La empresa no cumple por el mero hecho de redactar un aviso de privacidad en su sitio web. Ese es, precisamente, el error más frecuente que detectamos en nuestra práctica: la creencia de que una cláusula de privacidad basta para cumplir con el RGPD. No es así.
La normativa exige que el responsable del tratamiento sea capaz de demostrar, en cualquier momento, que su actividad de tratamiento de datos se apoya en una base jurídica legítima, que el interesado ha sido informado de forma transparente y que los datos se conservan solo durante el tiempo necesario. Este principio de responsabilidad activa, conocido como accountability, obliga a la empresa a construir y mantener un sistema documental completo.
Los pilares de ese sistema son los siguientes. Primero, el registro de actividades de tratamiento: un inventario de todos los tratamientos que realiza la empresa, con indicación del responsable, la finalidad, la base de legitimación, las categorías de datos, los plazos de conservación y las posibles transferencias internacionales. Segundo, la revisión de contratos con proveedores que accedan a datos: la normativa exige formalizar un contrato de encargado del tratamiento con cada proveedor que procese datos por cuenta de la empresa. Tercero, los procedimientos internos para el ejercicio de derechos: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. El plazo para responder a una solicitud de derechos es de un mes, prorrogable a dos meses en casos complejos.
En el tejido empresarial coruñés, con presencia relevante en los sectores naval, pesquero, logístico y tecnológico, los tratamientos de datos son especialmente sensibles en entornos con alta rotación de personal y con clientes que operan en mercados internacionales. Hemos asesorado con regularidad a empresas de estos sectores y la casuística es consistente: los problemas no nacen de la mala fe, sino de la ausencia de un programa estructurado.
La AEPD ha consolidado, a través de su actividad de supervisión y sus guías de referencia, un catálogo de obligaciones documentales que ninguna empresa puede obviar. No se trata de documentación accesoria. Es el núcleo del cumplimiento.
El registro de actividades de tratamiento es el punto de partida. Sin él, no es posible gestionar una brecha, responder a una inspección ni identificar qué tratamientos requieren una evaluación de impacto. En nuestra experiencia, muchas empresas coruñesas de tamaño mediano llegan a nosotros con registros incompletos o desactualizados que no reflejan la realidad de su actividad.
El análisis de riesgo y, cuando corresponda, la evaluación de impacto relativa a la protección de datos son igualmente obligatorios para determinados tratamientos de alto riesgo. La normativa identifica situaciones en las que este análisis es preceptivo: tratamientos a gran escala de categorías especiales de datos, videovigilancia sistemática de espacios públicos, elaboración de perfiles con efectos jurídicos sobre las personas. Si la empresa no ha realizado este análisis, la AEPD puede considerarlo un incumplimiento autónomo.
Los contratos con encargados del tratamiento merecen atención específica. Muchas empresas formalizan sus relaciones con proveedores tecnológicos, gestorías o empresas de seguridad sin incluir las cláusulas que exige la normativa. La ausencia de este contrato es uno de los incumplimientos más frecuentes en los expedientes que publica la AEPD. Para entender cómo redactar correctamente este tipo de documento, puede consultar nuestra guía sobre la redacción de contratos de encargado del tratamiento.
Por último, las políticas internas de privacidad y la formación del personal completan el cuadro documental básico. No basta con que los documentos existan: la empresa debe poder demostrar que sus empleados conocen los procedimientos y que la formación se actualiza.
Una brecha de seguridad es cualquier incidente que provoque la destrucción, pérdida, alteración, comunicación no autorizada o acceso indebido a datos personales. El ciberataque es el escenario más visible, pero no el único: un correo enviado a destinatario incorrecto, el extravío de un dispositivo corporativo o el acceso indebido de un empleado son también brechas que deben gestionarse.
La normativa impone un plazo estricto. Cuando la brecha suponga un riesgo para los derechos y libertades de las personas afectadas, la empresa tiene setenta y dos horas para notificarla a la AEPD desde que tiene conocimiento de ella. El incumplimiento de este plazo es, en sí mismo, una infracción. Y en nuestra práctica hemos observado que las empresas sin protocolo previo tardan en promedio más de lo que la normativa permite en solo identificar el alcance de la brecha, lo que hace imposible cumplir el plazo.
El protocolo de brechas debe contemplar, al menos: los canales internos de detección y reporte, los criterios para evaluar el riesgo, la plantilla de notificación a la AEPD, el procedimiento para comunicar la brecha a los afectados cuando sea necesario y el registro interno del incidente. Este protocolo no puede improvisarse cuando la brecha ya ha ocurrido.
En sectores como el de la salud, el naval o el tecnológico, con implantación relevante en A Coruña, las consecuencias de una brecha mal gestionada no se agotan en la sanción administrativa. El daño reputacional y la eventual responsabilidad civil frente a los afectados son consecuencias igualmente graves. El asesoramiento temprano, antes de que el incidente ocurra, es la única forma de reducir ese riesgo de manera efectiva.
La Ley reguladora de la protección de las personas que informen sobre infracciones normativas (conocida como Ley de Whistleblowing o ley del canal de denuncias) exige que determinadas empresas implanten un canal de denuncias interno. Esta obligación se solapa directamente con el cumplimiento del RGPD, porque el canal gestiona datos personales de denunciantes y de personas investigadas.
La empresa que implanta un canal de denuncias sin adaptar su programa de protección de datos a esta realidad incurre en un doble riesgo: el incumplimiento de la normativa de protección de datos y la exposición en materia de compliance penal. Ambos ámbitos son convergentes. Hemos implantado programas integrados de protección de datos y compliance en empresas tecnológicas, industriales y del sector salud, y la experiencia confirma que los programas que tratan ambas materias de forma separada generan incoherencias documentales que complican las inspecciones y los procedimientos.
El compliance penal de la persona jurídica exige, entre otros elementos, que la empresa disponga de sistemas de supervisión y control que prevengan la comisión de delitos en su seno. La protección de datos es una capa transversal de ese sistema: los programas de compliance penal que no integran la gestión de datos personales presentan lagunas que los tribunales y la AEPD identifican con facilidad. Para un análisis de cómo se interrelacionan estas obligaciones en sectores con alta densidad regulatoria, puede ampliar su visión en nuestro análisis sobre compliance en sectores regulados.
En A Coruña, la presencia de grupos empresariales con actividad en el sector naval, pesquero y de transformación agroalimentaria hace especialmente relevante la convergencia entre el RGPD y el compliance penal corporativo. Los grupos con estructuras complejas, con filiales o con proveedores críticos que acceden a sus sistemas, tienen una exposición potencial que un programa unificado reduce de forma significativa.
La adaptación al RGPD no es un proyecto que pueda delegarse en exclusiva al departamento de IT ni al jurídico interno sin una decisión previa de la dirección sobre su alcance. En nuestra experiencia asesorando a empresas en España, los proyectos que fracasan o se dilatan son los que carecen de un mandato claro de la alta dirección.
Las decisiones previas que debe adoptar el órgano de administración son las siguientes. Primera: definir si la empresa está obligada a designar un Delegado de Protección de Datos (DPD). La normativa lo exige para determinadas categorías de responsables y encargados: autoridades públicas, organizaciones que realizan tratamientos a gran escala de datos sensibles o tratamientos de seguimiento sistemático a gran escala. Fuera de estos supuestos, la designación es voluntaria pero recomendable. Segunda: decidir si el DPD será interno o externo. Tercera: aprobar el presupuesto y el calendario del proyecto de adaptación.
El plazo para completar un proyecto de adaptación al RGPD varía en función de la complejidad del tejido de tratamientos de la empresa. En nuestra práctica, una empresa de tamaño mediano con una decena de tratamientos principales puede completar su adaptación en un plazo razonable si dispone de apoyo jurídico especializado desde el primer día. Las demoras nacen, casi siempre, de la falta de un interlocutor interno con autoridad suficiente para recabar información de todos los departamentos.
La dirección debe también anticipar que la adaptación no es un proyecto de una sola vez. El RGPD es un régimen de cumplimiento continuo. Los tratamientos cambian, los proveedores rotan, las tecnologías evolucionan. El programa de protección de datos debe revisarse con periodicidad, y los incidentes deben retroalimentar el sistema.
El coste de una adaptación preventiva es, en todos los casos que hemos gestionado, inferior al coste de una respuesta reactiva. La sanción de la AEPD puede ser relevante, pero no es el único coste. El coste de gestión de una brecha sin protocolo, el tiempo directivo absorbido por una inspección improvisada y el daño reputacional son costes que no aparecen en el expediente administrativo pero que la empresa siente de forma inmediata.
El asesoramiento temprano permite, además, convertir el cumplimiento en una ventaja competitiva. Los clientes empresariales que operan en mercados internacionales exigen a sus proveedores garantías documentadas de cumplimiento del RGPD. Una empresa coruñesa que aspire a trabajar con grupos europeos o con clientes del sector salud, financiero o tecnológico necesita acreditar su programa de cumplimiento. La diligencia debida (due diligence) en operaciones de adquisición incluye invariablemente una revisión del programa de protección de datos del objetivo.
En operaciones de venta de empresa, hemos observado que la ausencia de documentación en materia de protección de datos genera ajustes en el precio o condiciones suspensivas que retrasan el cierre. Ese coste es perfectamente evitable con un programa de cumplimiento actualizado.
El argumento de que el RGPD es excesivamente complejo para abordarlo sin asesoramiento especializado es, a la vez, el mito más extendido y el más cierto. La complejidad es real, pero está acotada. Un programa bien diseñado, con documentación clara y procesos asumibles, es perfectamente gestionable para una empresa de cualquier tamaño.
En Velarde & Vidal abordamos la adaptación al RGPD como un proyecto jurídico estructurado, no como una producción documental. El punto de partida es siempre una auditoría de la situación real de la empresa: qué datos trata, con qué base jurídica, a qué destinatarios comunica, con qué encargados trabaja y qué medidas técnicas y organizativas tiene en marcha.
Sobre esa base, construimos el programa de cumplimiento. Los elementos que desarrollamos para cada empresa incluyen el registro de actividades de tratamiento, la revisión y redacción de los contratos con encargados del tratamiento, la adaptación de los avisos de privacidad y los formularios de consentimiento, el diseño del protocolo de gestión de brechas, la definición del procedimiento para el ejercicio de derechos y, cuando corresponde, el análisis de riesgo y la evaluación de impacto.
Cuando la empresa debe integrar el cumplimiento del RGPD con su programa de compliance penal o con la implantación de un canal de denuncias, coordinamos ambos proyectos para evitar solapamientos e incoherencias. La perspectiva integrada es la que ofrece mayor solidez frente a una inspección o un procedimiento sancionador.
Para las empresas con actividad internacional, coordinamos con abogados locales de confianza en la jurisdicción correspondiente cuando el tratamiento de datos tiene implicaciones en otros Estados miembros de la Unión Europea o en terceros países.
Nuestra área de práctica especializada en protección de datos y compliance ofrece un marco completo de los servicios que prestamos en esta materia. Puede consultarla en nuestra página de Protección de datos y compliance.
La AEPD puede iniciar actuaciones de investigación de oficio, por denuncia de un interesado o como parte de sus planes sectoriales de inspección. Cuando el inspector llega, la empresa debe estar en condiciones de acreditar su cumplimiento en tiempo real. Este es el inventario mínimo que debe poder exhibir:
Si alguno de estos elementos falta o está desactualizado, el riesgo sancionador es real. Y si la empresa no puede responder en el acto a un requerimiento de información, la inspección se prolonga y el expediente se complica.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.