Marbella concentra una densidad empresarial singular: empresas de gestión inmobiliaria y promotoras, clínicas estéticas y centros de salud, despachos de family office, operadores turísticos y un tejido creciente de negocios de tecnología y hostelería de lujo. Todos ellos tratan datos personales a diario. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD) les imponen obligaciones concretas que van mucho más allá de colgar una política de privacidad en la web corporativa. Operar sin un programa de cumplimiento real es operar con una exposición sancionadora abierta.
El RGPD es de aplicación directa en toda la Unión Europea. En España, la LOPDGDD lo complementa y concreta en aspectos como el tratamiento de datos de menores, los derechos digitales de los trabajadores o el régimen sancionador doméstico. Ambas normas comparten un principio fundamental: la responsabilidad proactiva. No basta con no hacer el mal; hay que demostrar que se hace el bien.
¿Qué significa esto en la práctica para una empresa que opera en Marbella? Significa que la dirección no puede delegar el cumplimiento en una cláusula contractual redactada hace años. El RGPD exige un conjunto de obligaciones que se articulan en tres grandes bloques.
El primero es la documentación del tratamiento. Toda organización que trate datos de manera no ocasional debe mantener un registro actualizado de sus actividades de tratamiento. Ese registro no es un formulario burocrático; es el mapa real de qué datos se recogen, con qué finalidad, sobre qué base jurídica, cuánto tiempo se conservan y quién accede a ellos. En nuestra experiencia asesorando a empresas en España, este registro es la primera pieza que inspecciona la AEPD en un procedimiento sancionador y la primera que falta en las empresas que llegan a nosotros sin programa de cumplimiento.
El segundo bloque abarca las medidas técnicas y organizativas de seguridad. El RGPD no prescribe un catálogo cerrado de medidas; exige que sean adecuadas al riesgo. Esto requiere un análisis previo: qué categorías de datos se tratan, con qué volumen, a través de qué sistemas, y qué consecuencias tendría una brecha de seguridad. Una clínica que gestiona historiales médicos no tiene el mismo perfil de riesgo que una inmobiliaria que trata contactos comerciales. El análisis de riesgos determina el nivel de medidas exigible.
El tercer bloque es la gestión de relaciones con terceros. Toda empresa contrata servicios que implican acceso a datos personales: proveedores de software en la nube, agencias de marketing digital, gestorías externas, plataformas de reservas o sistemas de videovigilancia. Cada uno de esos proveedores es un encargado del tratamiento que debe estar vinculado por un contrato conforme al RGPD. La ausencia de ese contrato traslada la responsabilidad hacia el responsable del tratamiento, es decir, hacia la empresa.
El cumplimiento del RGPD no tiene una fecha de inicio única; es un proceso continuo. Pero sí existen hitos que generan plazos perentorios que la dirección debe conocer.
El más crítico, sin duda, es el plazo de notificación de brechas de seguridad. Conforme a la normativa de protección de datos, cualquier brecha que pueda suponer un riesgo para los derechos y libertades de las personas físicas debe notificarse a la AEPD en el plazo de 72 horas desde que la organización tiene conocimiento de ella. Setenta y dos horas. No hay margen para improvisación. Una empresa que no dispone de un protocolo de respuesta a incidentes documentado y ensayado superará ese plazo antes de haber identificado siquiera el alcance de la brecha.
En nuestra práctica hemos observado que las empresas que más dificultades tienen en ese momento crítico son las que desconocen qué sistemas procesan qué datos y quiénes son sus encargados del tratamiento. La preparación previa es la única variable que controla la dirección en ese escenario.
Un segundo hito es la atención a los derechos de los interesados. El RGPD reconoce a los interesados derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La empresa dispone de un mes para responder, prorrogable en supuestos de complejidad o volumen. Ese plazo empieza a contar desde la recepción de la solicitud, aunque la dirección no se haya enterado todavía. Disponer de un canal interno de gestión de solicitudes y de un modelo de respuesta evita incumplimientos por simple desatención.
Hay un tercer hito que afecta a un número creciente de empresas en Marbella: la exigencia de Evaluación de Impacto relativa a la Protección de Datos (EIPD). Cuando el tratamiento entraña un alto riesgo para los derechos y libertades de las personas, la normativa exige realizar esta evaluación antes de iniciar el tratamiento. Los casos más frecuentes incluyen el uso de sistemas de videovigilancia de gran escala, el tratamiento de datos de salud o el perfilado de clientes con algoritmos. Una empresa que incorpora tecnología de inteligencia artificial para personalizar servicios o gestionar su plataforma digital puede estar obligada a realizar una EIPD sin saberlo.
Uno de los errores más extendidos entre los directivos que asesoramos es creer que la adaptación al RGPD consiste en redactar una política de privacidad y publicarla en el pie de página de la web corporativa. Esa creencia es cara.
Una política de privacidad es un documento informativo que cumple con el deber de transparencia. Es obligatoria, desde luego. Pero es solo uno de los elementos de un programa de cumplimiento. No sustituye al registro de tratamientos. No activa el protocolo de brechas. No vincula a los encargados externos. No capacita al equipo interno. No documenta las bases jurídicas del tratamiento. Y, en consecuencia, no protege a la empresa en una inspección o en un procedimiento sancionador.
La AEPD ha resuelto expedientes sancionadores contra empresas que contaban con políticas de privacidad formalmente correctas pero carecían de un registro de tratamientos, de contratos con encargados o de medidas técnicas documentadas. La forma no sustituye al fondo.
El registro de actividades de tratamiento, el protocolo de brechas de seguridad y un modelo de compliance de protección de datos son los tres instrumentos que, bien implantados, reducen la exposición sancionadora y, en su caso, el importe y la gravedad de la sanción. La LOPDGDD contempla expresamente la colaboración con la autoridad de control y la existencia de medidas previas como factores atenuantes.
La respuesta breve es: cualquier empresa que trate datos personales de manera no meramente ocasional. En la práctica, eso incluye a la práctica totalidad del tejido empresarial.
Marbella presenta perfiles empresariales con necesidades especialmente intensas en materia de protección de datos. Las clínicas y centros de estética tratan datos de salud, que son una categoría especialmente protegida por el RGPD. Los hoteles, complejos residenciales y operadores turísticos gestionan datos de miles de clientes, incluidos datos de tarjetas de pago y pasaportes. Las promotoras e inmobiliarias recogen datos financieros de compradores e inversores, muchos de ellos de otras jurisdicciones europeas. Los family offices y gestores de patrimonio tratan datos sensibles de personas físicas de alto perfil.
¿Está su empresa en alguno de estos grupos? Si la respuesta es afirmativa, el programa de cumplimiento es una necesidad operativa, no una opción.
El polo tecnológico emergente de Málaga proyecta su influencia sobre la comarca, y Marbella acoge cada vez más empresas de tecnología, plataformas digitales y negocios con modelos de datos avanzados. Para estas empresas, el RGPD y el canal de denuncias previsto en la normativa de protección de informantes forman parte del núcleo duro del compliance desde el primer día de operaciones. Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos esos sectores el punto de partida es el mismo: conocer exactamente qué datos se tratan y con qué riesgo.
En Velarde & Vidal abordamos la adaptación al RGPD como un proyecto estructurado, no como una consulta puntual. Nuestra metodología se organiza en cuatro fases que cubren el ciclo completo del cumplimiento.
La primera fase es el diagnóstico de cumplimiento. Realizamos una revisión de los tratamientos existentes, la documentación actual, los contratos con encargados y las medidas de seguridad implantadas. El diagnóstico produce un mapa de brechas de cumplimiento priorizado por riesgo. Es el punto de partida que permite dimensionar el proyecto correctamente.
La segunda fase es el diseño e implantación del programa. Elaboramos el registro de actividades de tratamiento, redactamos o revisamos los documentos informativos, estructuramos los contratos con encargados del tratamiento, diseñamos el protocolo de gestión de brechas de seguridad y el procedimiento de atención a derechos. Cuando el perfil de riesgo lo exige, realizamos o acompañamos la Evaluación de Impacto.
La tercera fase es la integración operativa. Un programa de protección de datos que existe solo en papel no protege a nadie. Trabajamos con el equipo interno para que los procedimientos formen parte de la operativa real: onboarding de nuevos proveedores, formación de los empleados que acceden a datos personales, activación del protocolo de brechas ante un incidente. La normativa de compliance penal y el marco de cumplimiento empresarial más amplio se integran en esta misma fase.
La cuarta fase es el mantenimiento y actualización. El RGPD no es un trámite que se hace una vez. Los tratamientos cambian, los sistemas evolucionan, la regulación se actualiza y la AEPD publica nuevas guías. Acompañamos a nuestros clientes en el mantenimiento continuo del programa y en la respuesta a requerimientos o procedimientos de la autoridad de control.
La adaptación al RGPD en empresas de cierto tamaño o en sectores regulados no puede disociarse del compliance penal. La Ley Orgánica que modificó el Código Penal en materia de responsabilidad penal de las personas jurídicas exige que las empresas dispongan de modelos de organización y gestión que incluyan medidas de vigilancia y control. El tratamiento inadecuado de datos personales puede constituir, en determinados supuestos, el sustrato fáctico de infracciones con relevancia penal.
Un programa integrado de compliance que articule protección de datos, canal de denuncias y modelo de prevención de delitos proporciona a la empresa una defensa sustancialmente más sólida que el cumplimiento aislado de cada norma. En nuestra experiencia asesorando a empresas en España, la integración de estos tres elementos en un solo programa reduce la carga administrativa y refuerza la coherencia del sistema frente a una eventual inspección o investigación.
El canal de denuncias merece una mención especial. La Directiva europea de protección de informantes, ya transpuesta al Derecho español, obliga a determinadas empresas a disponer de un canal interno de comunicación de infracciones. Ese canal trata datos personales de los denunciantes, de los denunciados y de los testigos. Su diseño debe cumplir con el RGPD desde la base: anonimato o confidencialidad según el modelo elegido, limitación de acceso, plazos de conservación y derechos de los interesados en ese contexto específico. Diseñar el canal sin asesoramiento especializado en protección de datos produce, paradójicamente, una nueva fuente de riesgo en materia de cumplimiento.
A lo largo de nuestra práctica identificamos con regularidad un patrón de errores que se repiten con independencia del sector o del tamaño de la empresa.
El primero es copiar documentos de otras empresas sin adaptarlos al tratamiento real. Los registros de actividades de tratamiento y las políticas de privacidad que no reflejan los tratamientos reales de la empresa no solo no protegen; pueden agravar la responsabilidad al demostrar que la empresa era consciente de la obligación y no la cumplió con rigor.
El segundo es no incluir a los encargados del tratamiento. Es frecuente que la empresa tenga correctamente documentados sus tratamientos internos pero no haya formalizado los contratos con los proveedores que acceden a datos personales. Cada proveedor de software como servicio (SaaS), cada plataforma de email marketing, cada empresa de nóminas o cada servicio de mantenimiento informático que accede a sistemas con datos personales es un encargado que debe estar vinculado contractualmente.
El tercero es no formar al equipo. Las brechas de seguridad más costosas en términos de reputación y de sanción no son las provocadas por atacantes externos, sino las derivadas de errores humanos: un email enviado a destinatario equivocado, un documento compartido sin restricciones de acceso, un dispositivo perdido sin cifrado. La formación periódica del personal es una medida técnica y organizativa que el RGPD contempla y que los auditores y la AEPD valoran en sus inspecciones.
El cuarto error es tratarlo como un proyecto de una sola vez. Una empresa que adaptó sus documentos en 2018 y no los ha revisado desde entonces está, en la práctica, desadaptada. Los sistemas cambian, los tratamientos evolucionan, se incorporan nuevos proveedores y la AEPD actualiza sus criterios interpretativos mediante guías y resoluciones. El cumplimiento real es continuo.
La respuesta es directa: ahora. No cuando llegue la primera reclamación de un interesado. No cuando la AEPD notifique el inicio de un procedimiento. No cuando se produzca la brecha de seguridad. El coste del cumplimiento preventivo es sistemáticamente inferior al coste del correctivo, y esto es especialmente cierto en materia de protección de datos, donde la documentación previa es el principal factor atenuante en un procedimiento sancionador.
Si su empresa opera en Marbella o en el entorno de la Costa del Sol y aún no dispone de un programa de protección de datos estructurado, el primer paso es conocer exactamente dónde está: qué tratamientos realiza, qué documentación tiene y qué brechas de cumplimiento presenta. Ese diagnóstico inicial es también el punto de partida para dimensionar el esfuerzo real del proyecto.
Para empresas en fase de crecimiento o que están incorporando nuevos sistemas de gestión de datos, actuar antes del despliegue evita el coste de rediseñar posteriormente. El principio de privacidad desde el diseño que consagra el RGPD no es solo una buena práctica; es una exigencia normativa para las organizaciones que desarrollan nuevos productos o servicios que impliquen tratamiento de datos personales.
El siguiente listado no sustituye a una auditoría de cumplimiento profesional, pero sirve como primer termómetro de la situación de su empresa.
Si alguno de estos puntos no está cubierto, su empresa presenta brechas de cumplimiento que conviene cerrar antes de que sean identificadas desde el exterior.
La adaptación al RGPD se enmarca habitualmente en un programa de compliance más amplio que también aborda la prevención de riesgos penales y la gestión de la información corporativa. Si su empresa opera con tecnología o gestiona propiedad intelectual, nuestra práctica de protección de datos y compliance cubre igualmente el asesoramiento en inteligencia artificial, ciberseguridad y derecho digital. Para empresas con presencia en Andalucía que buscan un apoyo coordinado entre sus sedes, puede consultar también nuestra experiencia en adaptación al RGPD en Sevilla. Si su empresa está en fase de crecimiento o atrae inversión, nuestra práctica de Derecho societario le ofrece perspectivas complementarias sobre estructuras para empresas de alto crecimiento y capital riesgo.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.