El tejido empresarial de Barcelona concentra tecnológicas de alto crecimiento, grupos industriales con filiales europeas y empresas de servicios que tratan volúmenes significativos de datos personales cada día. Para todas ellas, el cumplimiento del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos (LOPDGDD) no es una opción. Es una obligación continua con consecuencias directas sobre la responsabilidad de la dirección y la reputación corporativa.
El RGPD es una norma de la Unión Europea con efecto directo. La LOPDGDD lo complementa y adapta para el ordenamiento español. Juntos forman el marco que rige el tratamiento de datos en cualquier empresa con actividad en España, con independencia de su sede o de la nacionalidad de los interesados cuyos datos trata.
La normativa parte de un principio que en nuestra experiencia muchas empresas subestiman: la responsabilidad proactiva. No basta con no infringir; hay que poder demostrar que se cumple. Esa diferencia, aparentemente formal, tiene consecuencias prácticas inmediatas. La empresa debe documentar qué datos trata, con qué finalidad, en qué base jurídica y durante cuánto tiempo. Sin esa documentación, cualquier revisión por parte de la AEPD encuentra un punto de partida desfavorable.
¿Cuáles son los elementos mínimos que exige el marco regulatorio? En esencia, cinco:
A estos elementos básicos se añaden obligaciones adicionales según el perfil de la empresa. El análisis de impacto relativo a la protección de datos es preceptivo cuando el tratamiento entraña un riesgo elevado para los derechos de los interesados. La designación de un delegado de protección de datos (DPD) es obligatoria en determinados supuestos previstos por la normativa. Y los contratos con encargados del tratamiento –proveedores cloud, plataformas de marketing, gestores de nóminas– deben recoger cláusulas contractuales específicas conforme al estándar que fija la norma.
En nuestra práctica con empresas de Barcelona hemos observado que los problemas más frecuentes no surgen de un incumplimiento deliberado, sino de programas incompletos iniciados en 2018 y nunca actualizados. La normativa ha evolucionado, las guías de la AEPD han añadido matices y la práctica inspectora ha consolidado criterios que no estaban claros en la primera hora. Un programa de adaptación al RGPD que no se revisa periódicamente envejece con rapidez.
Una brecha de seguridad es cualquier incidente que afecta a la confidencialidad, integridad o disponibilidad de datos personales. Un correo enviado al destinatario equivocado, un acceso no autorizado a la base de datos de clientes, un dispositivo extraviado con información sensible. Todos son brechas.
El RGPD establece que la empresa debe notificar la brecha a la AEPD en el plazo máximo de 72 horas desde que la conoce, salvo que sea improbable que entrañe un riesgo para los derechos de los interesados. Si el riesgo es alto, también debe comunicarse a los propios afectados. Estos plazos son breves. Y son inflexibles.
¿Qué sucede cuando no existe un protocolo previo? La empresa pierde horas valiosas identificando quién debe decidir, qué datos se han visto afectados y si el incidente supera el umbral de notificación. En muchos casos, el plazo de 72 horas transcurre antes de que se haya tomado ninguna decisión informada. Eso convierte un incidente gestionable en un expediente sancionador evitable.
El protocolo de brechas es, en la práctica, uno de los elementos que más peso tiene en la valoración de la AEPD cuando instruye un expediente. Una empresa que detecta, documenta y notifica correctamente, aunque tarde, proyecta una postura cooperativa muy diferente a la de quien ni siquiera tenía registros internos del incidente.
Hemos acompañado a empresas tecnológicas e industriales en Barcelona en la gestión de incidentes de seguridad. La diferencia entre quienes tenían el protocolo activo y quienes no lo tenían se midió, en términos de gestión y posición ante la autoridad, de forma muy significativa.
El cumplimiento del RGPD no es exclusivamente una cuestión técnica ni jurídica de segundo nivel. Varias decisiones que afectan al programa de protección de datos competen directamente al órgano de administración o a la dirección ejecutiva de la empresa.
La primera es la asignación de responsabilidad interna. La normativa exige que la empresa designe formalmente a quien asume la función de responsable del tratamiento dentro de la organización, con independencia de si se nombra o no un DPD externo. Esa designación debe ser real y documentada, no nominal.
La segunda es la decisión sobre el mapa de tratamientos. El registro de actividades no es un formulario que se rellena una vez. Es un documento vivo que debe reflejar cada tratamiento activo: finalidad, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad. Cuando la empresa crece, lanza un nuevo producto o externaliza un proceso, el mapa debe actualizarse. Sin ese hábito, el registro pierde validez como instrumento de defensa.
La tercera es la gestión contractual con proveedores. Toda empresa que encarga a un tercero el tratamiento de datos en su nombre –una plataforma de correo, un CRM, un proveedor de servicios cloud– debe formalizar un contrato de encargado del tratamiento conforme a lo que exige la normativa. En Barcelona, donde el tejido de startups y empresas tecnológicas hace que la cadena de proveedores digitales sea compleja, este punto genera incumplimientos con frecuencia notable.
El plazo de respuesta a los derechos de los interesados es otro punto crítico. Un mes desde la recepción de la solicitud, prorrogable dos meses adicionales en casos complejos. Sin un procedimiento interno definido, ese plazo se incumple por descoordinación entre departamentos, no por mala voluntad.
Finalmente, cuando la empresa trata datos de categorías especiales –datos de salud, datos biométricos, datos relativos a infracciones penales– la normativa eleva el estándar de protección exigido. Este punto es especialmente relevante para empresas del sector sanitario, de recursos humanos o de seguridad privada que operan en la región metropolitana de Barcelona.
Una de las creencias más extendidas entre las empresas que asesoramos es que incluir una cláusula de privacidad en la web y en los contratos con clientes equivale a estar adaptado al RGPD. No es así.
La cláusula de privacidad es solo uno de los instrumentos de información al interesado. Forma parte del programa de cumplimiento, pero no lo agota. Por sí sola, no acredita que la empresa dispone de base jurídica documentada para cada tratamiento, ni que mantiene el registro de actividades actualizado, ni que tiene protocolo de brechas, ni que sus contratos con proveedores cumplen el estándar del RGPD.
Lo que realmente protege a la empresa es el conjunto articulado de medidas: política de privacidad actualizada, registro de tratamientos, análisis de base jurídica, contratos con encargados, procedimiento de respuesta a derechos, protocolo de brechas y formación del personal que trata datos. Ese conjunto es lo que la AEPD verifica cuando instruye una inspección o un expediente sancionador.
El dato que desmonta el mito de forma definitiva es la práctica inspectora: la AEPD ha sancionado a empresas que tenían políticas de privacidad publicadas pero carecían de registro de tratamientos o de protocolo de notificación de brechas. La forma sin el fondo no protege.
Puede consultar nuestra visión general del área en la página de Protección de datos y compliance de Velarde & Vidal, donde encontrará el alcance completo de los servicios en esta práctica.
El programa de protección de datos de una empresa no opera en aislamiento. Tiene puntos de contacto directos con otras obligaciones de compliance que afectan a la dirección.
El canal de denuncias es el ejemplo más claro. La Directiva europea de protección de informantes obliga a las empresas de determinado tamaño a implantar un canal que permita comunicar irregularidades de forma confidencial o anónima. Ese canal, por su propia naturaleza, trata datos personales: los del denunciante, los del denunciado y los de eventuales testigos. Diseñarlo sin considerar el RGPD es un error doble: incumple la normativa laboral y la normativa de datos simultáneamente.
El compliance penal añade otra dimensión. Las personas jurídicas pueden quedar exentas o ver atenuada su responsabilidad penal si acreditan que tenían implantado un modelo de organización y gestión eficaz antes de que se cometiera el delito. Ese modelo incluye protocolos de control en áreas sensibles, entre ellas el tratamiento de datos. Un programa de adaptación al RGPD bien estructurado forma parte de la evidencia que la empresa puede aportar en un procedimiento penal para acreditar su diligencia.
En Barcelona, donde la concentración de empresas tecnológicas, de salud digital y de fintech es especialmente alta, la intersección entre compliance de datos y compliance penal es más frecuente de lo que la dirección suele anticipar. Asesoramos con regularidad a empresas que afrontan simultáneamente la revisión de su programa RGPD y la implantación de un modelo de compliance penal que integre ambas dimensiones.
El resultado es un programa de cumplimiento coherente, sin duplicidades y con una arquitectura documental que sirve ante la AEPD, ante un juez de lo penal y ante un eventual comprador en un proceso de diligencia debida (due diligence).
Nuestro enfoque parte de un diagnóstico inicial de la situación real de la empresa. No aplicamos plantillas genéricas. Identificamos qué tratamientos están activos, cuáles carecen de base jurídica acreditada, qué contratos con proveedores están incompletos y qué incidentes pasados podrían requerir notificación tardía.
El diagnóstico produce un mapa de riesgos priorizado. A partir de ese mapa, el programa de adaptación se estructura en fases: las medidas de mayor urgencia se implantan primero; las de mantenimiento y formación, en etapas posteriores. Ese orden responde a la lógica de gestión de riesgos que aplicamos en nuestra práctica de compliance.
Las fases habituales de un programa de adaptación son las siguientes:
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el elemento que marca la diferencia no es la sofisticación del programa, sino su coherencia interna y su actualización continua.
El ecosistema empresarial de Barcelona presenta particularidades que generan patrones de incumplimiento específicos. Los identificamos con regularidad en el diagnóstico inicial:
Cada uno de estos errores tiene solución. Pero la solución es más eficiente y menos costosa cuando se aborda de forma proactiva, antes de que la AEPD inicie una actuación o de que un tercero presente una reclamación.
La pregunta que recibimos con más frecuencia de directores generales y directores financieros de empresas barcelonesas es cuándo deben iniciar o revisar su programa de cumplimiento. La respuesta es siempre la misma: antes de que ocurra algo.
Hay, sin embargo, momentos concretos en los que la urgencia es objetiva. Una empresa que recibe una solicitud de ejercicio de derechos de un excliente y no tiene procedimiento para responderla en plazo está ya en riesgo. Una empresa que ha sufrido un incidente de seguridad y no sabe si debe notificarlo está ya en riesgo. Una empresa que va a cerrar una ronda de inversión o que afronta un proceso de diligencia debida (due diligence) y no puede acreditar su programa de compliance ante el inversor está en riesgo comercial, no solo jurídico.
El asesoramiento temprano reduce el coste en términos medibles. Implantar el programa antes del incidente cuesta menos, en tiempo y recursos, que gestionarlo después. Y la posición ante la AEPD de una empresa que acredita un programa activo es sustancialmente diferente a la de quien no tiene documentación alguna.
Si su empresa opera en Barcelona y aún no dispone de un programa estructurado de adaptación al RGPD, o si el que tiene no se ha revisado en los últimos dos años, le animamos a que nos plantee su situación. Escriba a info@velardevidal.com y le daremos una valoración inicial sin compromiso.
La protección de datos se interconecta con otras áreas de compliance y con la estructura societaria de la empresa. Si su organización está evaluando la implantación de un canal de denuncias o un modelo de compliance penal, nuestro equipo puede integrar ambas dimensiones en un programa coherente. Asimismo, si su empresa gestiona presencia internacional o tiene filiales fuera de España, el componente de transferencias internacionales de datos conecta directamente con la práctica de derecho societario y operaciones.
Para empresas con actividad en otras plazas, puede consultar también nuestra práctica de adaptación al RGPD en Las Palmas, con especial atención al régimen económico y fiscal del archipiélago canario y sus implicaciones en materia de datos.
Las operaciones de turismo y hostelería presentan, además, una casuística específica en materia de datos y reputación corporativa que desarrollamos en nuestro análisis sobre el coste reputacional en turismo y hostelería.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.