En el entorno regulatorio vigente en España, la normativa de protección de datos exige a cualquier empresa que trate información personal un programa de cumplimiento activo, documentado y actualizado. Las Palmas de Gran Canaria concentra una economía diversificada – turismo, logística portuaria, tecnología y salud – donde el volumen de datos personales tratados es elevado y la exposición regulatoria, real. La Agencia Española de Protección de Datos (AEPD) mantiene una actividad inspectora constante, y las sanciones por incumplimiento no distinguen entre empresas de la Península y operadoras en el archipiélago canario.
El Reglamento General de Protección de Datos (RGPD) establece un modelo de responsabilidad proactiva. No basta con publicar una política de privacidad. La empresa debe poder demostrar en todo momento que cumple con los principios que la normativa impone sobre el tratamiento de datos personales.
En nuestra experiencia asesorando a empresas en España, este cambio de paradigma – de la mera declaración al cumplimiento demostrable – es el que más cuesta interiorizar a la dirección. La responsabilidad es continua y la carga de la prueba recae sobre el responsable del tratamiento.
Las obligaciones que concentran mayor riesgo práctico para la empresa canaria son las siguientes:
Las Palmas presenta además una particularidad relevante: la concentración de empresas del sector turístico y de salud implica tratamientos de categorías especiales de datos – datos de salud, datos de menores – que activan obligaciones reforzadas y, en consecuencia, un mayor rigor en la evaluación del riesgo.
La creencia errónea más extendida que encontramos en nuestras auditorías es que con una cláusula de privacidad en la web ya se cumple el RGPD. Es un mito costoso.
Una cláusula informativa en la web puede satisfacer el deber de transparencia respecto a los visitantes. No cubre los tratamientos internos de recursos humanos, los intercambios de datos con proveedores, los registros de cámaras de seguridad, los sistemas de control de acceso, los ficheros de clientes ni los datos sanitarios que gestiona un centro médico privado o una clínica dental en Las Palmas.
Hemos observado con regularidad los siguientes incumplimientos en empresas que se consideraban "adaptadas":
Cada una de estas situaciones constituye una infracción autónoma. La AEPD puede detectarlas a través de una inspección programada, de una reclamación de un interesado o de la notificación de una brecha de seguridad.
La adaptación al RGPD no es un proyecto con fecha de finalización. Es un proceso de mejora continua. Dicho esto, existen hitos y plazos que la dirección debe tener en el radar de forma permanente.
El plazo de 72 horas desde el conocimiento de la brecha para notificar a la AEPD es el más exigente del régimen de protección de datos. Las empresas que no tienen un protocolo previo activado y documentado reaccionan con retraso. El retraso, por sí solo, puede constituir una infracción adicional a la derivada de la brecha.
¿Tiene su empresa un procedimiento escrito que active el protocolo en las primeras horas de un incidente? En nuestra práctica, la respuesta es negativa en la mayoría de las empresas que acuden a nosotros sin programa de cumplimiento previo.
El mes que la normativa concede para responder a los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad corre desde la recepción de la solicitud. Sin un procedimiento interno que acuse recibo, asigne responsable y registre la respuesta, la empresa puede incurrir en infracción por omisión.
El RGPD exige que el programa de cumplimiento se revise cuando se produzcan cambios en los tratamientos, en la organización o en la tecnología empleada. Un nuevo software de gestión de clientes, una fusión, la incorporación de un módulo de inteligencia artificial o el inicio de una actividad que implique tratamiento de datos de salud son hitos que obligan a revisar el registro de tratamientos y, en su caso, a realizar una evaluación de impacto.
La normativa vigente obliga a las empresas de más de cincuenta trabajadores – y recomienda su implantación a las de menor tamaño – a disponer de un canal de denuncias o sistema interno de información. Este canal implica tratamiento de datos personales de denunciantes y denunciados, lo que exige integrar su diseño dentro del programa de protección de datos. La confidencialidad del denunciante es un requisito legal que la empresa debe garantizar técnica y organizativamente.
Determinados tratamientos – vigilancia sistemática de personas, tratamiento a gran escala de categorías especiales de datos, perfilado con efectos significativos – obligan a realizar una evaluación de impacto relativa a la protección de datos antes de iniciar el tratamiento. Omitirla no solo es una infracción; priva a la dirección de información esencial para tomar decisiones informadas sobre el riesgo.
El compliance de protección de datos no opera en un compartimento estanco. En nuestra experiencia, las empresas de Las Palmas que implantan un programa de compliance penal – con el que buscan exoneración o atenuación de la responsabilidad penal de la persona jurídica – descubren que los programas de protección de datos y compliance penal comparten infraestructura: protocolos de gestión de riesgos, canales de denuncia, formación de empleados y registros de incidentes.
El compliance penal requiere, entre otros elementos, un mapa de riesgos penales que en muchas empresas incluye el acceso no autorizado a datos, el descubrimiento y revelación de secretos y los delitos relacionados con la propiedad intelectual. La protección de datos es, en ese contexto, un componente del programa integral de compliance empresarial.
Abordar ambos programas de forma integrada evita duplicidades, reduce el coste y genera una cultura de cumplimiento más sólida en la organización.
La AEPD valora positivamente, a efectos de graduación de la sanción, la existencia de medidas de cumplimiento previas al incidente: registros actualizados, formación de empleados, contratos con encargados y protocolos de brechas. El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen tanto el importe de la sanción como la responsabilidad directiva.
Implantar el programa antes de que ocurra un incidente es, sistemáticamente, menos costoso que gestionarlo a posteriori. Las empresas que acuden al despacho tras una reclamación ante la AEPD, tras una brecha de seguridad o tras una inspección se enfrentan a plazos de respuesta muy comprimidos, a la necesidad de elaborar documentación desde cero y a la desventaja de negociar desde una posición de incumplimiento.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la implantación preventiva resultó notablemente más eficiente que la reacción a un expediente sancionador ya abierto.
El asesoramiento temprano permite, además, alinear el programa con la estrategia de negocio: nuevos productos digitales, expansión internacional, transferencias de datos a terceros países y relaciones con clientes en la Unión Europea quedan cubiertos por el mismo marco.
Nuestro enfoque parte de una auditoría inicial que mapea los tratamientos reales de la empresa, identifica las brechas respecto al estándar del RGPD y la LOPDGDD, y prioriza las actuaciones por nivel de riesgo. No implantamos plantillas genéricas: el programa refleja los tratamientos concretos de la empresa y su sector.
Para operaciones con componente internacional o transferencias de datos fuera del Espacio Económico Europeo, coordinamos con abogados locales de confianza en la jurisdicción correspondiente, garantizando la coherencia del programa en cada geografía.
La experiencia de nuestra práctica en materia de adaptación al RGPD en Las Palmas revela un patrón de errores recurrentes que conviene conocer antes de iniciar o revisar el programa de cumplimiento.
La estructura económica de Las Palmas de Gran Canaria determina el perfil de riesgo en materia de protección de datos. Las Palmas es un centro logístico y financiero de primer orden en el Atlántico, con un puerto que concentra actividad mercantil significativa, un polo turístico de dimensión internacional y un tejido de servicios de salud privada en crecimiento.
Los sectores con mayor exposición regulatoria son:
Las empresas canarias que operan bajo el Régimen Económico y Fiscal de Canarias también deben considerar que las relaciones con operadores internacionales y transferencias de datos a terceros países – frecuentes en el contexto logístico del archipiélago – pueden requerir garantías adicionales, como cláusulas contractuales tipo aprobadas por la Comisión Europea.
¿Sabe con certeza si su empresa cumple los requisitos mínimos del RGPD? El siguiente checklist recoge los elementos que verificamos en toda auditoría inicial de adaptación al RGPD en Las Palmas.
Si alguno de estos elementos no está implementado o no puede demostrarse documentalmente, la empresa tiene una exposición regulatoria activa. El coste de corregirlo antes de una inspección o de una reclamación es notablemente inferior al de hacerlo durante un expediente sancionador.
El cumplimiento en protección de datos se integra con frecuencia en programas más amplios de gobierno corporativo y gestión del riesgo. En Velarde & Vidal, nuestra práctica de protección de datos y compliance cubre también el diseño de programas de compliance penal, la implantación de canales de denuncias y la gestión de incidentes regulatorios. Si su empresa opera en otras plazas del norte de España, puede consultar nuestro servicio de adaptación al RGPD en Santander, donde encontrará un enfoque equivalente adaptado al perfil industrial y financiero de esa región. Para cuestiones específicas sobre la gestión de cookies y el cumplimiento normativo digital, le recomendamos también nuestra guía sobre cumplimiento de la normativa de cookies.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.