El Reglamento General de Protección de Datos (RGPD) no es una declaración de intenciones. Es un marco normativo con consecuencias directas sobre la cuenta de resultados: sanciones que pueden alcanzar importes relevantes, reputación comprometida y responsabilidad personal de los administradores. En Palma de Mallorca, donde el tejido empresarial combina turismo, tecnología, servicios financieros y una creciente base de inversión extranjera, el volumen de datos personales tratados a diario es extraordinario. La exposición regulatoria, en consecuencia, también lo es.
El RGPD establece un sistema de responsabilidad proactiva. El regulador europeo no espera a que ocurra el daño para actuar: exige que la empresa pueda demostrar, en cualquier momento, que cumple. Esta distinción es fundamental.
En nuestra experiencia asesorando a empresas en España, el error más frecuente no es ignorar el RGPD. Es creer que una política de privacidad publicada en la web satisface las exigencias del reglamento. No es así. El cumplimiento real requiere una arquitectura documental y operativa que abarca varias dimensiones simultáneas.
La primera es el registro de actividades de tratamiento. Toda empresa que trate datos de forma no ocasional debe mantener un inventario actualizado de sus tratamientos: finalidades, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad. Este documento es el primer requerimiento de cualquier inspección de la AEPD.
La segunda dimensión es la base jurídica de cada tratamiento. Tratar datos sin una base legitimadora válida – consentimiento, interés legítimo, ejecución de un contrato, obligación legal – constituye una infracción. Y las bases jurídicas no son intercambiables: elegir mal entre ellas tiene consecuencias prácticas que van más allá de lo meramente formal.
La tercera es la gestión de terceros. En Palma de Mallorca, las empresas del sector turístico y hotelero trabajan habitualmente con un ecosistema amplio de proveedores tecnológicos, plataformas de reservas, gestores de clientes y servicios en la nube. Cada uno de esos proveedores que accede a datos personales en nombre de la empresa debe quedar vinculado mediante un contrato de encargo de tratamiento. Sin ese vínculo contractual, la empresa asume una responsabilidad que, jurídicamente, debería estar compartida.
¿Cómo afecta esto a una empresa que opera en el archipiélago? La legislación balear no añade requisitos sustantivos propios al RGPD, pero el perfil de actividad económica de las Islas Baleares genera particularidades operativas relevantes: alta rotación estacional de empleados, tratamiento masivo de datos de clientes internacionales y fuerte dependencia de herramientas tecnológicas contratadas fuera de España. Cada uno de esos factores amplifica la exposición regulatoria si no existe un programa de cumplimiento robusto.
El cumplimiento del RGPD no es un proyecto que el departamento de informática gestiona en solitario. Es una decisión estratégica que empieza en el órgano de administración. En nuestra práctica, hemos observado que las implantaciones fallidas tienen casi siempre el mismo origen: el consejo delega sin definir el alcance y sin asignar presupuesto adecuado.
Antes de iniciar la adaptación, la dirección debe resolver tres preguntas esenciales.
La primera: ¿quién es el responsable interno del programa? En empresas de cierto tamaño o en aquellas cuya actividad principal implica el tratamiento a gran escala de datos sensibles, la normativa exige designar un Delegado de Protección de Datos (DPD). En las empresas que no tienen esa obligación formal, sigue siendo recomendable asignar internamente esta función a una persona con autoridad suficiente para hacer cumplir las políticas.
La segunda pregunta es sobre el perímetro. ¿Qué datos trata la empresa, con qué finalidad y durante cuánto tiempo? Sin un mapa de datos previo, el programa de cumplimiento se construye sobre hipótesis. Un mapa deficiente genera registros de tratamiento incompletos y políticas de privacidad incoherentes con la realidad operativa.
La tercera pregunta es de gobernanza: ¿cómo se toman las decisiones cuando aparece una brecha o una solicitud de derechos? La AEPD supervisa no solo que existan los documentos, sino que los protocolos se ejecuten en los plazos previstos. El plazo de setenta y dos horas para notificar una brecha de seguridad a la autoridad de control no admite improvisación. Tampoco el mes – prorrogable a dos en casos complejos – para responder a una solicitud de ejercicio de derechos.
Definidas estas tres cuestiones, la dirección puede encomendar la implantación con un mandato claro. Sin ese mandato, la asesoría jurídica trabaja en el vacío.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y el patrón de riesgo se repite con notable consistencia. Las empresas sin programa estructurado se exponen a tres vectores de daño simultáneos.
El primero es el sancionador. El RGPD establece un régimen de sanciones administrativas que la AEPD aplica de forma progresiva, pero con firmeza creciente. Las resoluciones públicas de la autoridad muestran que ningún sector ni tamaño de empresa está exento. La existencia de un programa de cumplimiento documentado no elimina la sanción ante una infracción grave, pero la AEPD la considera expresamente como circunstancia atenuante. Un programa bien implantado reduce la exposición.
El segundo vector es el contractual. Las grandes empresas y los grupos internacionales que operan en las Islas Baleares exigen a sus proveedores y socios contratos de encargo de tratamiento conformes con el RGPD como requisito de contratación. Una empresa local que no acredite su cumplimiento pierde oportunidades comerciales. Esto es especialmente relevante en el contexto de Palma de Mallorca, donde la cadena de valor turística e inmobiliaria conecta a empresas locales con operadores y fondos internacionales.
El tercer vector es reputacional. Una brecha de seguridad mal gestionada – o no notificada en plazo – se convierte en una crisis de comunicación. Los derechos de los interesados que la RGPD reconoce – acceso, rectificación, supresión, oposición, limitación y portabilidad – cuando no se gestionan adecuadamente, escalan a reclamaciones ante la AEPD que generan expedientes sancionadores visibles públicamente.
¿Puede una empresa pequeña o mediana de Palma de Mallorca ignorar este riesgo con impunidad? La respuesta que hemos podido verificar en la práctica es que no. La AEPD instruye expedientes con independencia del tamaño de la empresa.
Una creencia muy extendida entre empresas que han hecho una primera aproximación al cumplimiento es que con una cláusula de privacidad en la web, un aviso a los empleados y un par de formularios de consentimiento, la empresa está adaptada al RGPD. Es un error costoso.
El RGPD introduce el principio de responsabilidad proactiva, que en la práctica significa lo siguiente: la empresa no solo debe cumplir, sino poder demostrarlo ante el regulador. Un aviso de privacidad en la web es un documento de cara al interesado. No sustituye al registro de tratamientos, ni al análisis de riesgo, ni al protocolo de brechas, ni a los contratos de encargo. Son instrumentos distintos que cubren obligaciones distintas.
En nuestra experiencia, las empresas que han trabajado con un enfoque puramente documental – documentos firmados pero sin procedimientos reales detrás – son las que más dificultades tienen cuando llega una inspección o cuando se produce una brecha. El regulador verifica si los protocolos existen, pero también si se aplican. Un protocolo de brechas que nadie conoce en la organización no es un protocolo: es papel.
El asesoramiento temprano y la formación interna son los dos elementos que con más frecuencia se omiten en una implantación apresurada. Y son precisamente los que marcan la diferencia entre un programa de cumplimiento que funciona y uno que solo da apariencia de cumplimiento.
La metodología que aplicamos en Velarde & Vidal para la adaptación al RGPD de empresas en Palma de Mallorca y en el resto de las Islas Baleares parte de un diagnóstico inicial y se articula en fases diferenciadas.
La primera fase es el diagnóstico de cumplimiento. Consiste en un análisis del estado actual de la empresa frente a los requisitos del RGPD y la LOPDGDD: qué datos se tratan, qué bases jurídicas se aplican, qué documentación existe, qué terceros tienen acceso a datos y qué incidencias se han producido. El resultado es un mapa de brechas de cumplimiento priorizado por riesgo.
La segunda fase es la implantación documental y procedimental. Comprende la elaboración del registro de actividades de tratamiento, la revisión de políticas de privacidad, la redacción de contratos de encargo para proveedores, el protocolo de gestión de brechas de seguridad y el procedimiento de atención a derechos de los interesados. En empresas con obligación de DPD, esta fase incluye la designación formal y la comunicación a la AEPD.
La tercera fase es la formación interna. Sin ella, los procedimientos no se ejecutan. Formamos a los equipos con impacto directo sobre datos personales – recursos humanos, tecnología, atención al cliente, operaciones – para que conozcan las obligaciones que les aplican y sepan cómo actuar ante una incidencia.
La cuarta fase es el mantenimiento del programa. El RGPD no es un proyecto con fecha de cierre: es un ciclo continuo de revisión, adaptación a nuevos tratamientos y respuesta a cambios regulatorios. Ofrecemos servicios de DPD externo y de revisión periódica para empresas que necesitan mantener el programa vivo sin dedicar recursos internos permanentes a ello.
La adaptación al RGPD se integra, en las empresas de cierto tamaño, en un marco más amplio de compliance empresarial. Dos elementos merecen atención específica.
El primero es el canal de denuncias. La normativa española transpone la Directiva europea que obliga a las empresas a partir de determinado número de trabajadores a disponer de un canal de comunicación interno para reportar irregularidades, incluyendo infracciones en materia de protección de datos. La implantación de este canal exige, a su vez, un tratamiento de datos conforme al RGPD: los denunciantes tienen derechos que la empresa debe garantizar, y la información recibida debe gestionarse con las medidas de confidencialidad y seguridad adecuadas. Protección de datos y canal de denuncias son, en este punto, inseparables.
El segundo elemento es el compliance penal. La responsabilidad penal de las personas jurídicas en España exige que las empresas implanten un programa de prevención de delitos que sea eficaz y supervisado. Las infracciones graves del RGPD – tratamiento ilícito de datos, vulneración de los derechos de los interesados, transferencias internacionales no autorizadas – pueden tener también relevancia en el plano penal. Un programa de compliance bien estructurado reduce la exposición de la sociedad y de sus administradores ante la jurisdicción penal.
Hemos asesoramos con regularidad a empresas que llegan a nosotros con el compliance de protección de datos por un lado y el compliance penal por otro, gestionados por equipos distintos y con criterios que a veces se contradicen. La integración de ambos en un programa único, coherente y supervisado es la solución más eficiente.
Una de las objeciones más frecuentes que escuchamos de empresas medianas en Palma de Mallorca es la siguiente: "ya tenemos un programa interno que hicimos hace unos años". Nuestra primera pregunta es siempre la misma: ¿cuándo fue la última revisión?
El RGPD lleva en vigor desde 2018, pero el marco normativo que lo rodea ha evolucionado de forma significativa. Las resoluciones de la AEPD han precisado el alcance de muchas obligaciones. Las directrices del Comité Europeo de Protección de Datos han añadido capas de interpretación. La LOPDGDD ha sido objeto de modificaciones. Y la actividad económica de la propia empresa ha cambiado: nuevos productos, nuevos proveedores, nuevas tecnologías. Un programa que no se revisa caduca.
El asesoramiento jurídico especializado cumple aquí una función que va más allá de la redacción de documentos. Permite identificar con precisión dónde está el riesgo real, priorizar las acciones por impacto, evitar el sobrecoste de un cumplimiento maximalista en áreas de bajo riesgo y concentrar los recursos donde la exposición es mayor. En nuestra práctica, los programas bien diseñados desde el inicio cuestan sistemáticamente menos que los programas que se remedian tras una inspección o una brecha.
La reducción del coste no es solo económica. Un programa de cumplimiento sólido reduce el tiempo que la dirección dedica a gestionar incidencias, mejora las relaciones con clientes y socios que exigen garantías de cumplimiento y fortalece la posición negociadora de la empresa en contratos que involucran tratamiento de datos.
Si su empresa opera en Palma de Mallorca y trata datos personales de clientes, empleados, proveedores o usuarios, el momento de revisar el programa es ahora. No cuando llegue la inspección.
La adaptación al RGPD se enmarca en un servicio más amplio de protección de datos y compliance que incluye el diseño e implantación de programas de cumplimiento normativo, la designación de DPD externo y la formación de equipos directivos. Para empresas que deseen profundizar en el detalle operativo del proceso de adaptación, nuestra guía de adaptación al RGPD aborda las fases del programa con el detalle necesario para que la dirección pueda supervisar el proyecto con criterio. Si prefiere un formato de preguntas y respuestas, puede consultar también las preguntas frecuentes sobre adaptación al RGPD, donde desarrollamos con mayor extensión las dudas más habituales de los equipos de dirección.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.