Operar con datos personales sin un programa de cumplimiento estructurado no es una opción conservadora: es una exposición activa a sanciones, a responsabilidad de la dirección y a un daño reputacional que puede materializarse en cualquier momento. La Agencia Española de Protección de Datos (AEPD) ha intensificado su actividad inspectora y sancionadora en los últimos ejercicios, y la experiencia acumulada en nuestra firma muestra que las empresas que reciben un requerimiento sin protocolo establecido afrontan un proceso defensivo considerablemente más costoso que el de aquellas que contaban con un programa previo.
El RGPD y la LOPDGDD parten de un principio de responsabilidad proactiva: no basta con no infringir las normas de forma activa. La empresa debe poder demostrar en cualquier momento que cumple con los principios del tratamiento. Este giro de la carga de la prueba cambia radicalmente el enfoque que debe adoptar la dirección.
¿Qué significa esto en la práctica? Significa que una empresa que trata datos de empleados, clientes, proveedores o usuarios necesita identificar de forma sistemática qué datos recoge, con qué base jurídica, durante cuánto tiempo y bajo qué condiciones de seguridad. La mera existencia de una cláusula de privacidad en la página web no es suficiente. Es uno de los errores más frecuentes que observamos al iniciar un proyecto de compliance: creer que la comunicación legal visible al usuario agota la obligación normativa.
El marco regulador articula las exigencias en torno a cuatro ejes principales. El primero es la licitud del tratamiento: cada actividad de tratamiento requiere una base jurídica válida, que puede ser el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal o el interés legítimo, entre otras. El segundo eje es la transparencia: los interesados deben recibir información clara, en el momento adecuado y en formato comprensible. El tercero es la seguridad: la empresa debe aplicar medidas técnicas y organizativas proporcionadas al riesgo del tratamiento. El cuarto es la rendición de cuentas: la empresa debe documentar sus decisiones y poder acreditar su cumplimiento ante la AEPD.
Sobre este último eje, el registro de actividades de tratamiento es el instrumento central del programa. No es un trámite burocrático: es el inventario que permite a la empresa conocer su propia exposición y es la primera solicitud que formula cualquier inspección de la AEPD. Una empresa sin este registro actualizado ya parte en desventaja en cualquier procedimiento sancionador.
Además, cuando el tratamiento puede generar un riesgo elevado para los derechos de los interesados, la normativa exige realizar una evaluación de impacto relativa a la protección de datos (EIPD). Esta evaluación analiza la necesidad y proporcionalidad del tratamiento, los riesgos identificados y las medidas adoptadas para mitigarlos. En nuestra experiencia asesorando a empresas en España, la omisión de la EIPD en tratamientos que la requieren ha sido un agravante relevante en los expedientes sancionadores que hemos analizado.
El valor de un programa de cumplimiento reside en buena parte en lo que se hace antes de que ocurra algo. La dirección de la empresa tiene que adoptar una serie de decisiones que no pueden delegarse indefinidamente sin riesgo.
La primera es la decisión sobre la figura del Delegado de Protección de Datos (DPD). La normativa lo exige con carácter obligatorio para determinadas categorías de responsables del tratamiento. Pero incluso cuando no es obligatorio, la designación voluntaria de un DPD – interno o externo – proporciona a la empresa un interlocutor cualificado con la AEPD y un responsable funcional del programa. La indefinición sobre este punto genera un vacío de responsabilidad que se vuelve costoso cuando aparece una brecha o un requerimiento.
La segunda decisión crítica es el protocolo de gestión de brechas de seguridad. Conforme al RGPD, cuando se produce una brecha con riesgo para los derechos de los interesados, la empresa tiene setenta y dos horas para notificarla a la AEPD. Este plazo es uno de los más estrictos de todo el ordenamiento regulatorio empresarial. En nuestra práctica hemos constatado que las empresas que no tienen un protocolo definido no consiguen gestionar la notificación en plazo, lo que convierte un incidente técnico en un incumplimiento normativo adicional.
La tercera decisión afecta a la cadena de proveedores. Toda empresa que externaliza el tratamiento de datos a un prestador de servicios – ya sea un proveedor de nube, una empresa de nóminas o una plataforma de CRM – actúa como responsable del tratamiento y está obligada a formalizar un contrato de encargo del tratamiento con ese proveedor. La ausencia de estos contratos es otro hallazgo habitual en la fase de diagnóstico.
¿Es el canal de denuncias parte del programa de protección de datos? Depende del diseño del programa global. La normativa sobre protección de informantes impone a determinadas empresas la obligación de disponer de un canal de denuncias que cumpla requisitos específicos en materia de confidencialidad y tratamiento de datos personales. El diseño de este canal debe integrarse desde el principio en el programa de compliance, no añadirse como elemento independiente. En muchos proyectos que coordinamos, el canal de denuncias es el punto de intersección entre el compliance penal y el cumplimiento normativo en materia de datos personales.
La cuarta decisión afecta a las transferencias internacionales de datos. Cuando la empresa opera con proveedores o destinatarios fuera del Espacio Económico Europeo, necesita verificar que la transferencia cuenta con las garantías adecuadas: una decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo u otras salvaguardas reconocidas. La ausencia de garantías formalizadas en transferencias internacionales es una de las áreas de mayor exposición para empresas con operaciones globales.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y la estructura de trabajo varía según el sector y la madurez previa de la organización. No obstante, el proceso sigue en todos los casos una secuencia lógica que permite controlar el riesgo en cada fase.
La primera fase es el diagnóstico o auditoría de partida. Se analiza la situación real de la empresa: qué datos trata, bajo qué condiciones, qué documentación existe y qué brechas hay respecto al estándar normativo. Este diagnóstico produce un mapa de riesgos y un plan de acción priorizado. No es útil comenzar un programa de compliance sin este mapa: equivale a construir sin planos.
La segunda fase es el diseño del programa. Abarca la elaboración o actualización del registro de actividades de tratamiento, la revisión de las bases jurídicas de cada tratamiento, la redacción o revisión de las políticas de privacidad internas y externas, el diseño del protocolo de brechas y la formalización de los contratos de encargo del tratamiento con proveedores. En esta fase también se determinan los tratamientos que requieren una evaluación de impacto y se realiza o completa dicha evaluación.
La tercera fase es la implantación y formación. Un programa de cumplimiento que solo existe en documentos no cumple con el principio de responsabilidad proactiva. Las personas con acceso a datos personales – que en la mayoría de las empresas son casi todos los empleados – necesitan conocer sus obligaciones y los procedimientos internos aplicables. La formación no es un elemento accesorio: es parte del programa.
La cuarta fase es el mantenimiento y revisión continua. La normativa de protección de datos no es estática. Las empresas cambian sus tratamientos, incorporan nuevas tecnologías, modifican su estructura de proveedores o amplían su actividad a nuevas jurisdicciones. El programa debe revisarse periódicamente y actualizarse cuando se producen cambios relevantes. Un programa implantado en 2022 que no ha sido revisado puede no reflejar la realidad actual de la empresa.
La respuesta más evidente es la sanción económica. El RGPD establece un régimen de sanciones escalonado que puede alcanzar importes muy significativos en función de la gravedad de la infracción, el tipo de datos afectados y el nivel de cooperación con la autoridad de control. La AEPD publica anualmente sus estadísticas de actividad sancionadora, lo que permite constatar que el volumen de resoluciones y el importe medio de las sanciones ha seguido una tendencia ascendente.
Pero la sanción económica no es el único riesgo. La resolución sancionadora de la AEPD es pública y puede afectar a la reputación de la empresa frente a clientes, socios e inversores. En operaciones de fusiones y adquisiciones, la diligencia debida (due diligence) en materia de protección de datos es un elemento estándar del proceso de revisión. Una empresa que no puede acreditar un programa de cumplimiento funciona como una señal de alarma en el proceso y puede afectar a la valoración o a las condiciones del cierre.
Existe también un riesgo de responsabilidad directa de los administradores. La normativa societaria y la normativa de protección de datos, leídas de forma conjunta, permiten que la ausencia de un sistema de control adecuado sea valorada como un incumplimiento del deber de diligencia del órgano de administración. Este nexo entre compliance de datos y responsabilidad del administrador es un argumento que el Tribunal Supremo ha ido desarrollando en su doctrina sobre la responsabilidad de los órganos de gestión.
Finalmente, la ausencia de protocolo ante una brecha no solo genera una notificación tardía a la AEPD. Puede implicar también la obligación de notificar a los propios interesados afectados cuando la brecha suponga un riesgo elevado para sus derechos, con el consiguiente impacto sobre la relación comercial y la imagen de la empresa.
En nuestra experiencia, los programas de cumplimiento más eficaces son los que integran el compliance de protección de datos con el modelo de prevención de riesgos penales de la empresa. No se trata de dos programas paralelos: hay puntos de intersección relevantes que conviene gestionar de forma coordinada.
El Código Penal tipifica determinadas conductas relacionadas con el descubrimiento y revelación de secretos y con el acceso inconsentido a datos personales. Una empresa que dispone de un modelo de compliance penal actualizado y que integra en él los riesgos derivados del tratamiento de datos personales refuerza su posición defensiva frente a una eventual responsabilidad penal de la persona jurídica. El canal de denuncias, los procedimientos de control interno y la formación periódica son elementos comunes a ambos sistemas de cumplimiento.
Esta integración también facilita la respuesta ante auditorías o investigaciones que afectan simultáneamente a ambos planos. Una brecha de seguridad puede tener implicaciones tanto en el procedimiento administrativo ante la AEPD como en un eventual procedimiento penal si media dolo o negligencia grave. Tener los dos sistemas coordinados no es un lujo: es una decisión de gestión del riesgo corporativo.
La figura del DPD y la del oficial de cumplimiento (compliance officer) pueden recaer en la misma persona o en personas distintas, según el tamaño y la complejidad de la organización. Lo que no es recomendable es que estas funciones queden sin asignación formal. La indefinición de responsabilidades en materia de cumplimiento es en sí misma un riesgo que los tribunales y las autoridades de control valoran negativamente.
Esta es la tesis que sustenta nuestro enfoque en el diseño de programas de cumplimiento. Un programa implantado de forma ordenada antes de que se produzca un incidente tiene un coste previsible y controlado. Un programa implantado a reacción – después de recibir una denuncia, un requerimiento de la AEPD o tras el descubrimiento de una brecha – opera bajo presión temporal, con información incompleta y en un contexto en el que cualquier omisión puede ser interpretada como agravante.
El registro de actividades de tratamiento, el protocolo de gestión de brechas y el modelo de encargos del tratamiento no solo reducen la probabilidad de una sanción. En caso de que se inicie un procedimiento, son los instrumentos que permiten demostrar a la AEPD que la empresa adoptó medidas razonables y proporcionadas. La normativa recoge expresamente la cooperación con la autoridad y la adopción previa de medidas de cumplimiento como factores que la autoridad de control debe considerar al graduar la sanción.
¿Cuándo es el momento adecuado para iniciar o revisar el programa? La respuesta práctica es: antes de que lo necesite. Hay, no obstante, momentos que generan una necesidad especialmente urgente: la incorporación de una nueva tecnología que implique tratamiento de datos a gran escala, el lanzamiento de un nuevo producto o servicio digital, la expansión a nuevas jurisdicciones, la firma de un contrato con un gran cliente que exige acreditación de cumplimiento o la preparación de una operación corporativa. En todos estos contextos, un programa de cumplimiento actualizado es una condición de partida, no un elemento diferencial.
Hemos acompañado con frecuencia a empresas que afrontaban una de estas situaciones sin el programa en orden y que debían comprimir en semanas un trabajo que habría requerido meses en condiciones normales. El resultado siempre es un programa más frágil, con mayor riesgo de inconsistencias internas y con menos tiempo para la formación del personal. El coste del aplazamiento no es neutro.
Para facilitar una primera valoración interna, enumeramos los indicadores de exposición más frecuentes que detectamos en la fase de diagnóstico. Si su empresa presenta varios de ellos, el inicio de un programa de cumplimiento o la revisión del existente es una prioridad inmediata.
Este checklist no sustituye a una auditoría técnico-jurídica, pero permite identificar de forma rápida el nivel de exposición inicial. En nuestra práctica, las empresas que presentan más de cuatro de estos indicadores tienen una exposición que justifica una acción inmediata.
El programa de cumplimiento de protección de datos forma parte de una estrategia más amplia de gestión del riesgo regulatorio. En Velarde & Vidal asesoramos también en la formalización de transferencias internacionales de datos, incluyendo la negociación e implantación de las cláusulas contractuales tipo exigidas por el RGPD, un área de especial relevancia para empresas con proveedores o filiales fuera del Espacio Económico Europeo. Puede consultar nuestra guía sobre cómo formalizar transferencias internacionales con cláusulas contractuales tipo para un análisis detallado de este procedimiento.
Asimismo, ofrecemos asesoramiento integral en el conjunto de la práctica de protección de datos y compliance, abarcando desde la revisión del modelo de gobernanza de datos hasta el diseño del sistema de cumplimiento normativo penal. Para empresas con canal de denuncias ya implantado o en proceso de implantación, puede resultar de utilidad nuestro análisis del caso de canal en el sector logístico y de transporte, que ilustra los puntos de intersección entre el canal de denuncias y el cumplimiento normativo en materia de protección de datos.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.