Las empresas que operan en Alicante y la Comunidad Valenciana tratan datos personales a diario: clientes, proveedores, empleados, usuarios de plataformas digitales. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD) exigen que ese tratamiento esté documentado, controlado y respaldado por medidas técnicas y organizativas reales. La Agencia Española de Protección de Datos (AEPD) no acepta la buena voluntad como argumento de defensa: acepta evidencias.
La pregunta más frecuente que recibimos de directivos alicantinos es si su empresa "ya cumple" porque tiene un aviso legal en la web. La respuesta es siempre la misma: no.
El RGPD no es una formalidad documental. Es un régimen de responsabilidad proactiva. La empresa debe demostrar en todo momento que cumple, no solo que tiene documentos firmados. Esa es la esencia del principio de responsabilidad proactiva que vertebra la normativa.
Para una empresa que opera en Alicante, ya sea del sector tecnológico del parque empresarial de Oliveros, del comercio minorista del centro histórico, de la agroindustria de la comarca del Vinalopó o de los servicios turísticos de la Costa Blanca, las obligaciones se agrupan en cuatro bloques fundamentales.
El primero es el registro de actividades de tratamiento. Toda empresa que trate datos personales de forma sistemática debe mantener un registro interno en el que consten, para cada actividad, la categoría de datos, la finalidad, la base jurídica que legitima el tratamiento, los destinatarios y los plazos de conservación. Este registro no se envía a la AEPD; se mantiene a disposición de la autoridad si la inspecciona.
El segundo bloque es el de las bases jurídicas y la información a los interesados. Cada tratamiento necesita una base que lo justifique: consentimiento, ejecución de un contrato, interés legítimo, obligación legal o interés vital. Elegir mal la base – y muchas empresas lo hacen por inercia – invalida el tratamiento desde el origen. La información que se da al interesado debe ser completa, clara y accesible; no una página de condiciones de cuarenta folios en letra de ocho puntos.
El tercer bloque son las medidas de seguridad técnicas y organizativas. La normativa no prescribe una lista cerrada de medidas concretas. Exige que sean adecuadas al riesgo. Eso significa que una clínica dental en Alicante que trata historiales médicos debe aplicar controles más estrictos que una empresa de fontanería que solo guarda nombres y teléfonos. En nuestra práctica, hemos observado que este análisis de riesgo suele ser el más descuidado y, al mismo tiempo, el que más reduce la sanción cuando se ha hecho bien y se acredita ante la AEPD.
El cuarto bloque es la gestión de derechos de los interesados. Cualquier persona cuyos datos trate la empresa puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La empresa tiene un mes para responder, prorrogable hasta dos meses en casos de complejidad o volumen. Ignorar una solicitud de ejercicio de derechos es, por sí solo, motivo de denuncia ante la AEPD y de apertura de expediente sancionador.
Antes de redactar un solo documento de privacidad, la dirección de la empresa tiene que adoptar tres decisiones de gobierno que condicionan todo el programa.
La primera es quién asume la función de delegado de protección de datos o, en su defecto, quién coordina el cumplimiento interno. No todas las empresas están obligadas a nombrar un delegado de protección de datos (DPD) con carácter formal. La obligatoriedad depende de la naturaleza y el volumen de los tratamientos. Pero toda empresa necesita un punto de responsabilidad claro: alguien que reciba las solicitudes de los interesados, que coordine la respuesta a una brecha y que interlocute con la AEPD si llega una inspección.
La segunda decisión es el mapa de tratamientos. No puede cumplirse lo que no se conoce. Identificar todos los flujos de datos personales – desde la nómina hasta el CRM, desde la videovigilancia de la entrada hasta las analíticas del sitio web – es el trabajo previo sin el cual el registro de actividades es una ficción. En empresas medianas con sistemas heredados, este inventario suele revelar tratamientos que nadie había identificado como tal.
La tercera decisión afecta a la cadena de proveedores. El RGPD establece una distinción fundamental entre el responsable del tratamiento y el encargado del tratamiento. Si la empresa externaliza la gestión de nóminas, el alojamiento en la nube, el envío de correos comerciales o la atención al cliente, ese proveedor es un encargado del tratamiento. La relación debe estar regulada por un contrato de encargo de tratamiento con las cláusulas que exige la normativa. Un proveedor que sufre una brecha de seguridad afecta directamente a la responsabilidad de la empresa que le contrató.
¿Está seguro de que todos sus contratos con proveedores de servicios digitales incluyen las cláusulas exigidas por el RGPD? Esta es una de las lagunas más comunes que encontramos en las revisiones de cumplimiento que realizamos en empresas de la Comunidad Valenciana.
Una brecha de seguridad – una filtración, un acceso no autorizado, una pérdida de datos, un ataque de ransomware – puede ocurrirle a cualquier empresa. Lo que distingue a las empresas que la gestionan bien de las que acaban sancionadas no es haber evitado la brecha; es haber reaccionado correctamente.
La normativa de protección de datos establece que, cuando la brecha es probable que genere riesgo para los derechos y libertades de las personas afectadas, la empresa debe notificarla a la AEPD en un plazo máximo de 72 horas desde que tiene conocimiento de ella. No desde que la resuelve. Desde que la detecta.
Ese plazo de 72 horas no es un plazo para investigar exhaustivamente la brecha. Es el plazo para notificar con la información disponible en ese momento y comprometerse a completarla. La AEPD ha publicado criterios claros sobre qué información debe incluir la notificación y cómo valorar si el riesgo supera el umbral de notificación obligatoria.
Hemos asesorado a empresas tecnológicas e industriales en situaciones de brecha activa. La conclusión es siempre la misma: las empresas que tienen un protocolo de gestión de brechas escrito, probado y asignado a personas concretas responden en plazo. Las que no lo tienen improvisan, y la improvisación en 72 horas bajo presión suele generar errores que agravan la sanción.
Un programa de adaptación al RGPD que no incluye este protocolo está incompleto. Y en Alicante, donde el tejido empresarial incluye un número creciente de empresas tecnológicas, de comercio electrónico y de servicios digitales con altos volúmenes de datos, la probabilidad de incidente no es hipotética.
La adaptación al RGPD no existe en el vacío. Se inserta en un marco de compliance empresarial más amplio que incluye el compliance penal y, desde la trasposición de la Directiva europea de protección de denunciantes, el canal de denuncias.
La Ley Orgánica de Protección de Datos y garantía de los derechos digitales regula expresamente los sistemas internos de información – lo que habitualmente se denomina canal de denuncias – y establece requisitos específicos de protección de datos para los denunciantes y los investigados. Una empresa que implementa un canal de denuncias sin articular correctamente su relación con el RGPD crea un vector de riesgo doble: infracciones de privacidad y potencial nulidad de las investigaciones internas.
Del mismo modo, un programa de compliance penal robusto debe incluir medidas de protección de datos como parte de su contenido. La privacidad de los datos de empleados, clientes y terceros es una materia en la que la empresa puede incurrir en responsabilidad penal de la persona jurídica si los fallos son sistémicos y la dirección no adoptó medidas de prevención.
En nuestra experiencia asesorando a empresas en España, el asesoramiento integrado que cubre tanto el RGPD como el compliance penal y el canal de denuncias en un único programa coordinado es significativamente más eficiente y genera menos fricciones internas que tratar cada marco por separado con asesores distintos que no coordinan entre sí.
Hay una creencia extendida entre los directivos de pymes: "ya nos adaptaremos cuando tengamos una inspección". Es el mito más caro del compliance.
La AEPD tiene potestad para iniciar actuaciones de oficio, no solo a raíz de denuncias. Y cuando actúa de oficio, lo hace con solicitudes de información formales que la empresa debe responder en plazos estrictos. Una empresa que recibe una solicitud de la AEPD sin tener su documentación en orden se enfrenta a dos problemas simultáneos: el fondo del asunto que motivó la actuación y la ausencia de evidencias de cumplimiento que podrían haber mitigado la sanción.
La normativa de protección de datos contempla expresamente que la existencia de un programa de cumplimiento previo, las medidas correctoras adoptadas y la colaboración con la autoridad son factores que reducen la cuantía de la sanción. Este es el argumento práctico más contundente a favor de la adaptación anticipada: no es solo un coste de cumplimiento, es una inversión en reducción de pasivo potencial.
¿Cuánto cuesta una brecha de seguridad mal gestionada? No podemos dar una cifra única, porque los importes dependen del tipo de infracción, del volumen de afectados y de las circunstancias del caso. Pero sí podemos decir que, según los datos publicados por la AEPD en sus memorias anuales, las sanciones por infracciones graves del RGPD pueden ser muy elevadas para cualquier empresa de tamaño medio, y que el coste reputacional – la pérdida de confianza de clientes y socios – no aparece en el expediente pero sí en la cuenta de resultados.
El asesoramiento temprano tiene otra ventaja menos citada: permite diseñar el programa de cumplimiento ajustado a la realidad operativa de la empresa, no a un modelo genérico. Una empresa de exportación agrícola del Vinalopó tiene un perfil de tratamiento de datos muy diferente al de una clínica de salud privada en Benidorm o al de una empresa de software de gestión en el Parque Científico de Alicante. Un programa genérico cubre los requisitos mínimos pero no gestiona los riesgos específicos de cada negocio.
A lo largo de los proyectos de adaptación que hemos ejecutado en empresas de la Comunidad Valenciana, hemos identificado un patrón recurrente de errores. Conocerlos ayuda a priorizar el trabajo de revisión.
El primero es confundir el registro de actividades con la política de privacidad. Son documentos distintos con destinatarios distintos. El registro es interno; la política de privacidad es la información que se da al interesado. Tener uno no sustituye al otro.
El segundo es usar el consentimiento como base jurídica de forma indiscriminada. El consentimiento tiene requisitos muy estrictos bajo el RGPD: debe ser libre, específico, informado e inequívoco. Muchas empresas siguen usando casillas premarcadas o consentimientos genéricos que no son válidos. En muchos casos, la base jurídica correcta es la ejecución de un contrato o el interés legítimo, que no requieren consentimiento y son más robustos operativamente.
El tercero es no revisar los contratos con proveedores cuando cambia el servicio. Un proveedor de software que pasa de una solución instalada localmente a una solución en la nube se convierte automáticamente en encargado del tratamiento. Si el contrato no se actualiza, la empresa opera sin el amparo contractual que exige la normativa.
El cuarto, y quizás el más frecuente, es no formar al personal. El RGPD exige que las personas que tratan datos personales conozcan sus obligaciones. Un empleado que envía por error una hoja de cálculo con datos de clientes a un destinatario equivocado provoca una brecha de seguridad. Si la empresa no acredita que ese empleado había recibido formación, la brecha se agrava desde el punto de vista sancionador.
El quinto error es no actualizar el programa. El cumplimiento no es un proyecto con fecha de fin; es un proceso continuo. Las empresas que se adaptan al RGPD en un momento dado y no revisan su programa cuando cambian los sistemas, los proveedores o la normativa acaban con un cumplimiento de papel que no refleja la realidad de sus tratamientos.
Nuestro enfoque parte de un diagnóstico inicial riguroso. Antes de redactar ningún documento, auditamos los tratamientos de datos reales de la empresa: qué datos se recogen, con qué finalidad, bajo qué base jurídica, quién los accede y durante cuánto tiempo se conservan. Este mapa de tratamientos es la base sobre la que se construye todo el programa.
A continuación, diseñamos la documentación obligatoria: el registro de actividades de tratamiento, las cláusulas informativas para cada canal de recogida de datos, los contratos de encargo de tratamiento con proveedores y los procedimientos internos para la gestión de derechos y de brechas de seguridad.
Cuando la empresa necesita un delegado de protección de datos externo, ofrecemos ese servicio de forma continuada. El DPD externo interlocuta con la AEPD, asesora al equipo directivo en decisiones que involucren datos personales y supervisa la actualización del programa.
Para las empresas que, además del RGPD, necesitan articular un canal de denuncias o revisar su programa de compliance penal, coordinamos ambos trabajos de forma integrada. La coherencia entre los distintos marcos de cumplimiento reduce los riesgos y simplifica la gestión interna.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud; ese recorrido nos permite adaptar el programa a sectores con perfiles de riesgo distintos sin incurrir en soluciones genéricas que no encajan con la operativa real de la empresa.
Si su empresa opera en Alicante o en la Comunidad Valenciana y aún no cuenta con un programa de cumplimiento de datos personales documentado y actualizado, el momento de actuar es ahora. Las sanciones de la AEPD no esperan a que la empresa haya encontrado el momento oportuno.
La adaptación al RGPD es el núcleo de nuestra práctica de protección de datos y compliance, que abarca también el asesoramiento continuo como delegado de protección de datos externo, la gestión de brechas de seguridad activas, la implementación de canales de denuncias y la revisión de programas de compliance penal para personas jurídicas. Para empresas que operan en las Islas Baleares, disponemos igualmente de un servicio equivalente de adaptación al RGPD en Palma de Mallorca. Las empresas de los sectores industrial y manufacturero pueden ampliar su perspectiva en el análisis específico de protección de datos en industria y manufactura, donde desarrollamos los riesgos y las medidas específicas de ese entorno productivo.
La adaptación al RGPD supone construir un programa de cumplimiento que documente y controle todos los tratamientos de datos personales que realiza la empresa. Implica elaborar el registro de actividades de tratamiento, identificar la base jurídica de cada operación, informar correctamente a los interesados, establecer contratos de encargo con proveedores que traten datos por cuenta de la empresa, definir procedimientos para atender solicitudes de derechos en plazo y disponer de un protocolo de respuesta ante brechas de seguridad. No es un proyecto puntual: el cumplimiento requiere mantenimiento continuo conforme cambian los sistemas, los proveedores y la normativa. La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD), que puede actuar de oficio o a raíz de denuncias.
Los plazos y el alcance del proyecto dependen del tamaño de la empresa, el número de tratamientos identificados y la complejidad de su cadena de proveedores. En términos generales, un programa de adaptación para una empresa de tamaño medio puede estructurarse en fases de entre cuatro y doce semanas, comenzando por el diagnóstico y el mapa de tratamientos. Los costes varían según el alcance; lo que sí puede cuantificarse es el pasivo que se previene: las sanciones por infracciones graves del RGPD pueden ser muy relevantes, y la AEPD valora positivamente la existencia de un programa previo a la hora de graduar la sanción. El asesoramiento temprano es sistemáticamente más eficiente que la respuesta reactiva ante una inspección o una denuncia.
Los riesgos más frecuentes son: tratar datos sin base jurídica válida, operar sin un registro de actividades actualizado, no tener contratos de encargo de tratamiento con proveedores digitales, no disponer de un protocolo de brechas de seguridad que permita notificar a la AEPD en el plazo de 72 horas legalmente establecido, y no atender en plazo las solicitudes de ejercicio de derechos de los interesados. A estos se añade la obsolescencia del programa: una empresa que se adaptó hace varios años y no ha actualizado su documentación puede estar incumpliendo sin saberlo. La formación del personal es igualmente crítica; la mayoría de las brechas de seguridad tienen un componente humano.
La respuesta más directa es: antes de que la AEPD llame. El asesoramiento temprano permite diseñar el programa de forma ordenada, ajustarlo a la operativa real de la empresa y generar evidencias de cumplimiento que son el mejor argumento en caso de inspección. Hay momentos especialmente críticos en los que el asesoramiento resulta urgente: cuando la empresa lanza un nuevo producto o servicio que involucra datos personales, cuando cambia de proveedor tecnológico, cuando sufre un incidente de seguridad, o cuando recibe una reclamación de un interesado o una solicitud de información de la AEPD. En todos esos supuestos, actuar sin asesoramiento especializado multiplica el riesgo innecesariamente.
Velarde & Vidal · Legal & Tax es una consultora jurídica y fiscal de empresa con oficinas en Madrid y Barcelona. Asesoramos a empresas en sus decisiones más relevantes desde 2023, con equipos especializados en protección de datos y compliance, Derecho societario, fiscal, laboral e inmobiliario. En el área de protección de datos, nuestra práctica cubre la adaptación al RGPD, el servicio de delegado de protección de datos externo, la gestión de brechas y el compliance penal integrado. Contamos con experiencia directa en empresas tecnológicas, industriales y del sector salud, lo que nos permite aportar soluciones ajustadas a cada perfil de riesgo. Este análisis ha sido elaborado por Sergio Lozano, Socio responsable del área de Protección de datos y compliance.
Si su empresa opera en Alicante o la Comunidad Valenciana y necesita implantar o revisar su programa de adaptación al RGPD, plantéenos su caso en info@velardevidal.com. Evaluaremos su situación y le propondremos el alcance adecuado para su estructura y su perfil de riesgo.
Este contenido es informativo y no constituye asesoramiento jurídico específico para un caso concreto.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.