Las empresas que operan en Pamplona y en la Comunidad Foral de Navarra se enfrentan hoy a un marco regulatorio de protección de datos más exigente que en cualquier momento anterior. La Agencia Española de Protección de Datos (AEPD) ha intensificado su actividad inspectora, y las sanciones por incumplimiento son una realidad concreta para organizaciones de todos los tamaños. No basta con haber redactado unas políticas de privacidad. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD) exigen un programa de cumplimiento vivo, documentado y actualizado.
Existe una creencia generalizada en el tejido empresarial navarro que conviene desmontar de inmediato: incluir una cláusula de privacidad en la página web no equivale a cumplir el RGPD. Esa idea, frecuente entre empresas de tamaño medio, es una de las fuentes de riesgo más habituales que detectamos en nuestra práctica. El RGPD establece un sistema de responsabilidad proactiva que exige demostrar el cumplimiento, no solo declararlo.
¿Qué significa eso en términos concretos para una empresa pamplonesa? El programa de compliance en materia de protección de datos ha de responder a varios pilares.
El primero es el registro de actividades de tratamiento. Toda organización que trate datos de forma no ocasional debe disponer de un inventario documentado de cada actividad: finalidad, base jurídica, categorías de datos, destinatarios y plazos de conservación. Este registro es el eje central de la rendición de cuentas ante la AEPD.
El segundo es el análisis de riesgo y, cuando procede, la evaluación de impacto relativa a la protección de datos (EIPD). No todos los tratamientos requieren EIPD. Sin embargo, cuando la organización trata a gran escala datos especialmente sensibles – sanitarios, sindicales, biométricos, penales – o realiza decisiones automatizadas con efectos significativos para las personas, la EIPD es obligatoria antes de iniciar el tratamiento.
El tercero es el ciclo de contratos con encargados del tratamiento. Cada proveedor que accede a datos personales de la empresa – desde un gestor de nóminas hasta un servicio de computación en la nube (cloud) – debe formalizar un contrato de encargo que regule con precisión sus obligaciones. La ausencia de estos contratos es una de las deficiencias más frecuentes que detecta la AEPD en sus inspecciones.
El cuarto es la información a los interesados y la gestión de sus derechos. El RGPD reconoce derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La empresa debe contar con un canal operativo para atender esas solicitudes y con un procedimiento que garantice la respuesta en el plazo de un mes, prorrogable hasta dos meses en casos complejos.
El sector industrial y de automoción presente en la Comunidad Foral – con un tejido empresarial que abarca desde la fabricación de componentes hasta la agroalimentaria y los servicios tecnológicos – trata habitualmente datos de empleados, proveedores y clientes en volúmenes que exigen una estructura de cumplimiento robusta. En nuestra experiencia asesorando a empresas en España, las organizaciones con entre 50 y 500 empleados son las que con mayor frecuencia presentan lagunas sistemáticas en este ámbito.
La figura del Delegado de Protección de Datos (DPD) es obligatoria en determinadas circunstancias: autoridades y organismos públicos, entidades cuya actividad principal exija un seguimiento habitual y sistemático de interesados a gran escala, y organizaciones que traten categorías especiales de datos o datos relativos a condenas penales a gran escala. Fuera de esos supuestos, la designación es voluntaria aunque recomendable.
Sin embargo, la obligatoriedad formal es solo parte del análisis. En la práctica, muchas empresas pamplonesas que no están obligadas a designar un DPD se benefician de hacerlo, porque el DPD actúa como punto de contacto con la AEPD, supervisa el cumplimiento interno y reduce el riesgo de que un incidente derive en un expediente sancionador.
El DPD puede ser un empleado interno o un profesional externo. La externalización de la función – mediante un servicio de DPD externo – es la fórmula más extendida entre pymes y empresas medianas, ya que ofrece la cobertura técnica y jurídica sin el coste de una incorporación a plantilla. Esta es, precisamente, la modalidad que con mayor frecuencia articulamos para nuestros clientes en Navarra.
La gestión del tiempo es uno de los ejes más relevantes del compliance en protección de datos. Hay dos plazos que la dirección ejecutiva debe interiorizar como fechas no negociables.
El primero y más urgente: ante una brecha de seguridad, la empresa dispone de 72 horas para notificarla a la AEPD cuando la brecha suponga un riesgo para los derechos y libertades de las personas. Setenta y dos horas es un plazo muy corto. Sin un protocolo de respuesta a incidentes previamente definido, es prácticamente imposible cumplirlo. El protocolo debe establecer quién detecta la brecha, quién valora su gravedad, quién toma la decisión de notificar y cómo se documenta todo el proceso. La ausencia de este protocolo es, por sí sola, un factor agravante en un expediente sancionador.
El segundo plazo crítico es el de atención a los derechos de los interesados: un mes desde la recepción de la solicitud, prorrogable dos meses cuando la complejidad o el número de solicitudes lo justifique. El incumplimiento sistemático de este plazo – por falta de canal habilitado o de procedimiento interno – genera reclamaciones directas ante la AEPD que, en muchos casos, se convierten en el punto de entrada de una inspección más amplia.
Más allá de los plazos, hay decisiones estratégicas que la dirección debe adoptar con asesoramiento jurídico previo. La primera: identificar cuántos tratamientos de la compañía exigen una base jurídica sólida y cuáles de ellos dependen del consentimiento del interesado – la base más frágil y revisable – frente a las alternativas de interés legítimo, contrato o cumplimiento de obligación legal. Esta elección tiene consecuencias directas en la robustez del programa.
La segunda: decidir si la organización necesita un DPD y, en caso afirmativo, si la función se cubre internamente o se externaliza. La tercera: determinar qué proveedores tratantes acceden a datos personales y formalizar los contratos de encargo correspondientes antes de que la relación contractual continúe sin cobertura.
La Ley de protección de las personas que informen sobre infracciones normativas transpuso en España la Directiva europea conocida como «Whistleblowing». Esta norma impone a las empresas con 50 o más trabajadores la obligación de implantar un canal de denuncias interno. La intersección con el RGPD es inevitable y muy concreta.
El canal de denuncias trata datos personales: el del denunciante (cuando no es anónimo), el del investigado y el de terceros que aparezcan en la denuncia. Ese tratamiento requiere base jurídica propia, información clara a los interesados, plazos de conservación limitados y medidas de seguridad reforzadas. Si el canal no se diseña con estos requisitos desde el origen, la empresa puede cumplir la normativa de denuncias pero infringir simultáneamente el RGPD.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud donde la integración del canal de denuncias en el programa general de compliance fue determinante para evitar una doble exposición regulatoria. Ese enfoque integrado – y no la gestión aislada de cada obligación – es la diferencia entre un programa sólido y un conjunto de medidas desconectadas.
El compliance penal es otro vector de integración relevante. Las empresas con un programa de cumplimiento penal (a menudo denominado «modelo de organización y gestión» conforme al Código Penal) deben asegurarse de que ese modelo incluye los controles relativos a los delitos que pueden cometerse a través del tratamiento ilícito de datos. La disociación entre el compliance penal y el compliance en protección de datos es un error que multiplica el riesgo en lugar de reducirlo.
El régimen sancionador del RGPD establece dos niveles de infracción. Las infracciones de mayor gravedad – entre las que se incluye el tratamiento sin base jurídica suficiente o la vulneración de los principios fundamentales – pueden alcanzar multas de hasta veinte millones de euros o el cuatro por ciento del volumen de negocio anual global, si esta cifra es superior. Las infracciones de nivel inferior pueden alcanzar los diez millones de euros o el dos por ciento del volumen de negocio.
Estas cifras corresponden al máximo legal. La AEPD aplica un sistema de graduación que tiene en cuenta la naturaleza de la infracción, el número de interesados afectados, la intencionalidad, las medidas adoptadas para paliar el daño y la cooperación con la autoridad. Un programa de compliance documentado y operativo es, en ese contexto, el principal factor mitigador. Reduce la probabilidad de la infracción y, si esta se produce, acredita la diligencia de la organización ante la AEPD.
Pero el riesgo no es solo sancionador. Una brecha de seguridad sin protocolo de respuesta genera, además, responsabilidad reputacional, posibles reclamaciones de los afectados y un impacto en la relación con clientes y proveedores que puede ser difícil de revertir. En sectores como la salud, la industria farmacéutica o la tecnología – todos presentes en el ecosistema empresarial navarro – la confianza en el tratamiento de datos es un activo crítico.
El riesgo de inacción no es abstracto. En nuestra práctica hemos observado que las empresas que llegan a nosotros tras recibir una notificación de la AEPD se enfrentan a plazos comprimidos, mayor coste de gestión y menor capacidad de negociación que aquellas que implantaron su programa de forma anticipada.
Nuestro enfoque parte de un diagnóstico inicial. Analizamos la situación real de la empresa: qué datos trata, bajo qué bases jurídicas, con qué proveedores y con qué medidas de seguridad técnicas y organizativas. Ese diagnóstico produce un informe de brechas («gap analysis») que identifica las áreas de mayor exposición y prioriza las acciones.
A partir del diagnóstico, implantamos el programa de cumplimiento de forma estructurada. Esto incluye la elaboración o revisión del registro de actividades de tratamiento, la redacción de los contratos de encargo, la actualización de las políticas de privacidad y los avisos legales, el diseño del protocolo de brechas de seguridad y la definición del procedimiento de atención a derechos.
Cuando el cliente lo requiere, articulamos también la función de DPD externo: supervisamos el cumplimiento de forma continua, actuamos como punto de contacto ante la AEPD y formamos al equipo interno para que los controles diarios sean efectivos.
Para empresas con obligación de canal de denuncias, ofrecemos un diseño integrado que garantiza la coherencia entre los requisitos de la legislación de denuncias y el RGPD. Este servicio se coordina, cuando el perfil del cliente lo requiere, con nuestra práctica de protección de datos y compliance, donde puede encontrar una visión completa de los servicios disponibles.
Para las operaciones con dimensión transfronteriza – empresas navarras con actividad en la Unión Europea o con proveedores en terceros países – la transferencia internacional de datos es un punto crítico que requiere atención específica. El RGPD establece condiciones estrictas para transferir datos fuera del Espacio Económico Europeo. Coordinar el cumplimiento en varias jurisdicciones es una de las áreas donde el asesoramiento especializado marca una diferencia práctica más visible.
En nuestra experiencia asesorando a empresas en España, y específicamente en el tejido industrial y tecnológico de Navarra, detectamos con regularidad un conjunto de errores que se repiten con independencia del sector.
El primero es confiar en la redacción de un documento estático – la política de privacidad web – como si ese texto supusiera el cumplimiento del RGPD. Es la creencia errónea más extendida y la más cara cuando llega una inspección.
El segundo es no formalizar los contratos de encargo del tratamiento con proveedores tecnológicos. Muchas empresas utilizan plataformas de gestión de recursos humanos, herramientas de correo electrónico corporativo o servicios de almacenamiento en la nube sin haber suscrito el contrato de encargo correspondiente. Cada uno de esos proveedores accede a datos personales de empleados o clientes. La ausencia del contrato es una infracción directa del RGPD.
El tercero es carecer de un protocolo documentado de respuesta a brechas. El plazo de 72 horas para notificar a la AEPD no permite improvisar. Las empresas que no tienen un procedimiento predefinido suelen superar ese plazo, lo que agrava la situación ante la autoridad supervisora.
El cuarto es no actualizar el programa de cumplimiento cuando cambian los tratamientos. La empresa que introduce un nuevo sistema de videovigilancia, que comienza a utilizar inteligencia artificial para la selección de personal o que amplía su base de datos de clientes está iniciando un nuevo tratamiento que puede requerir nueva base jurídica, nueva cláusula informativa y, en algunos casos, una evaluación de impacto previa.
El quinto, especialmente relevante en empresas con programa de compliance penal, es gestionar el canal de denuncias de forma desconectada del programa de protección de datos. Las consecuencias de ese error son dobles: se incumple la normativa de denuncias y se infringen, al mismo tiempo, los principios básicos del RGPD.
En el caso práctico que recoge nuestra experiencia en la defensa ante una inspección de la autoridad de control, puede verse cómo la anticipación y la documentación del programa de cumplimiento resultaron determinantes: caso práctico – defensa ante una inspección.
La Comunidad Foral de Navarra tiene un tejido empresarial diversificado. La industria de automoción y de componentes, el sector agroalimentario, las energías renovables y un creciente polo tecnológico en Pamplona conviven con un tejido de empresa familiar e industria de maquinaria que ha internacionalizado progresivamente sus operaciones.
Esa diversificación tiene consecuencias directas en materia de protección de datos. Las empresas industriales con relaciones continuadas con clientes y proveedores europeos – y, con frecuencia, con matrices o filiales en otros países de la Unión Europea – están sujetas a la misma normativa que una gran empresa tecnológica. La diferencia de escala no reduce la obligación; reduce únicamente algunos umbrales de aplicación obligatoria de determinadas medidas.
El sector sanitario y farmacéutico navarro trata datos de categoría especial – datos de salud – que activan los requisitos más exigentes del RGPD: base jurídica reforzada, medidas de seguridad específicas y, en muchos casos, EIPD obligatoria. Para estas empresas, la adaptación al RGPD no es una opción de compliance preventivo sino una exigencia de primer nivel.
El ecosistema de empresa tecnológica que se está consolidando en Pamplona – con empresas de software, inteligencia artificial y servicios digitales – afronta además el reto de diseñar sus productos y servicios conforme al principio de privacidad desde el diseño y por defecto. Este principio implica que las decisiones de arquitectura del producto tienen consecuencias jurídicas en materia de protección de datos. Integrar esa dimensión desde la fase de desarrollo es significativamente más eficiente que corregirla a posteriori.
Para empresas con operaciones en otras comunidades autónomas, la coordinación del programa de cumplimiento en distintas localizaciones puede gestionarse desde un mismo punto. Nuestra experiencia en la prestación de servicios de protección de datos y compliance en varias ciudades españolas – como puede verse en nuestra página de adaptación al RGPD en Valencia – nos permite ofrecer esa coherencia sin duplicar la estructura de gestión del cliente.
El siguiente índice de verificación está pensado para que la dirección pueda realizar una primera evaluación del estado del programa de cumplimiento. No sustituye a un diagnóstico jurídico completo.
Si más de tres de estos puntos no tienen respuesta afirmativa, la empresa presenta un nivel de exposición que conviene abordar con carácter urgente.
La adaptación al RGPD es frecuentemente el punto de entrada de un programa de compliance más amplio. Las empresas que completan su programa de protección de datos suelen plantearse, en paralelo, la implantación o revisión de su modelo de compliance penal y la integración del canal de denuncias. Nuestros servicios de protección de datos y compliance abarcan todos estos ámbitos de forma coordinada, lo que permite a la empresa gestionar sus obligaciones regulatorias con un enfoque integrado y eficiente.
Para empresas con estructura de empleados desplazados o con trabajadores que se incorporan desde el extranjero, la dimensión laboral del tratamiento de datos – datos de nómina, sistemas de control horario, datos de salud de empleados – se conecta directamente con la práctica de laboral y movilidad internacional, donde gestionamos la coherencia entre ambas normativas.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.