El entorno regulatorio en materia de datos personales exige hoy a las empresas que operan en España algo más que una política de privacidad publicada en su sitio web. Las autoridades de control han consolidado una doctrina clara: el cumplimiento del Reglamento General de Protección de Datos (RGPD) es un proceso continuo de gestión del riesgo, no un trámite puntual. En San Sebastián – ciudad con un tejido industrial, tecnológico y de servicios de notable densidad – esta obligación alcanza a fabricantes, despachos profesionales, clínicas, empresas de software y grupos familiares que tratan datos de empleados, clientes y proveedores a diario.
La base de toda adaptación es conocer qué norma resulta de aplicación y qué impone a la organización. El Reglamento General de Protección de Datos – norma de efecto directo en todos los Estados miembros de la Unión Europea – establece los principios que deben guiar cualquier tratamiento: licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, integridad y confidencialidad. Ninguno de ellos es opcional.
En España, la LOPDGDD complementa el RGPD con especialidades nacionales relevantes para la empresa: el tratamiento de datos en el ámbito laboral, el canal de denuncias de cumplimiento normativo, el tratamiento por las administraciones públicas y los derechos digitales de los trabajadores. La Agencia Española de Protección de Datos (AEPD) actúa como autoridad de control nacional, con potestades de inspección, investigación y sanción.
En nuestra experiencia asesorando a empresas en España, uno de los errores más frecuentes es confundir adaptación con declaración. La empresa cree que ha "cumplido" porque ha publicado una política de privacidad. La realidad es que el RGPD impone la llamada responsabilidad proactiva: la organización debe poder demostrar, en cualquier momento, que sus decisiones sobre datos son correctas y están documentadas. No basta con declarar que se cumplen los principios; hay que acreditarlo.
Para las empresas del País Vasco, el contexto normativo no difiere del aplicable en el resto del territorio nacional en materia de protección de datos, puesto que el RGPD opera como norma de Derecho de la Unión de aplicación directa y la LOPDGDD es legislación estatal. Sí pueden existir especificidades sectoriales – en el sector sanitario, en el educativo o en la Administración – derivadas de la normativa autonómica vasca, pero la columna vertebral del cumplimiento es única.
La notificación de una brecha de seguridad a la AEPD debe realizarse en un plazo máximo de 72 horas desde que la empresa tiene conocimiento del incidente. Este plazo no se puede ampliar ni negociar. Es uno de los hitos más exigentes del RGPD y, en la práctica, solo las organizaciones que tienen un protocolo previo son capaces de cumplirlo.El programa de cumplimiento en materia de datos personales tiene varios pilares. Conviene que la dirección de la empresa los conozca con precisión, porque la responsabilidad de garantizar el cumplimiento recae, en última instancia, en el órgano de administración.
El primero es el registro de actividades de tratamiento. Toda organización que trate datos personales de forma no ocasional debe mantener un registro actualizado de sus operaciones de tratamiento: qué datos se tratan, con qué finalidad, sobre qué base jurídica, durante cuánto tiempo, con qué categoría de destinatarios y bajo qué medidas de seguridad. Este registro es el mapa de riesgo de la empresa en materia de datos.
El segundo pilar es el análisis de riesgos. El RGPD exige evaluar la probabilidad y la gravedad de los riesgos que cada tratamiento plantea para los derechos y libertades de las personas afectadas. Cuando un tratamiento presenta un riesgo elevado – por ejemplo, videovigilancia masiva, tratamiento de datos de salud o perfilado sistemático de empleados – la norma exige ir más lejos: realizar una evaluación de impacto relativa a la protección de datos (EIPD).
El tercer pilar son las medidas técnicas y organizativas. El RGPD no define un catálogo cerrado de medidas. Exige que las medidas sean apropiadas al riesgo. En la práctica, esto incluye controles de acceso, cifrado, gestión de contraseñas, formación periódica del personal, procedimientos de alta y baja de usuarios y acuerdos de confidencialidad. La seguridad de los datos no es un asunto exclusivo del departamento de informática: afecta a toda la organización.
El cuarto pilar es la gestión de los derechos de los interesados. Los trabajadores, los clientes, los proveedores y cualquier persona cuyos datos trate la empresa tienen derecho a acceder a sus datos, rectificarlos, suprimirlos, oponerse a su tratamiento, limitar su uso y solicitar su portabilidad. El plazo de respuesta es de un mes, prorrogable dos meses adicionales en casos complejos. Un sistema que no pueda atender estas solicitudes en tiempo y forma expone a la empresa a procedimientos ante la AEPD.
El quinto pilar es la gestión de encargados de tratamiento. Cuando la empresa cede datos a terceros que actúan como prestadores de servicio – una asesoría laboral, una plataforma de correo electrónico en la nube, un proveedor de software de gestión – debe formalizar un contrato de encargo de tratamiento que cumpla los requisitos del RGPD. En nuestra práctica, este contrato es uno de los elementos que con más frecuencia falta o está mal configurado.
El Delegado de Protección de Datos (DPD) es la figura que el RGPD crea para supervisar el cumplimiento interno de la normativa. No es un mero asesor externo: tiene un estatuto específico, con obligaciones, independencia funcional y responsabilidad propia.
La designación de un DPD es obligatoria en tres supuestos: cuando el tratamiento lo realiza una autoridad u organismo público, cuando la actividad principal de la organización implica operaciones de tratamiento a gran escala que requieren seguimiento habitual y sistemático de los interesados, o cuando la actividad principal implica el tratamiento a gran escala de datos de categorías especiales o datos relativos a condenas e infracciones penales.
¿Qué ocurre con la empresa mediana que no encaja claramente en ninguno de estos supuestos? Aquí es donde más se producen errores de interpretación. Una empresa de recursos humanos que gestiona nóminas y expedientes de cientos de trabajadores, o una clínica privada que trata historiales médicos, o una empresa de seguridad privada que opera sistemas de videovigilancia: todas pueden estar obligadas a designar DPD aunque no sean una gran corporación.
Incluso cuando la designación no sea formalmente obligatoria, es recomendable. Hemos asesorado a empresas industriales y tecnológicas de la zona norte de España que, al implantar la figura del DPD de forma voluntaria, obtuvieron una reducción significativa de su perfil de riesgo y una posición mucho más sólida ante una eventual inspección de la AEPD.
El DPD puede ser interno o externo. El modelo externo – un profesional o firma especializada que asume la función – es la solución habitual en empresas medianas que no tienen masa crítica para un especialista interno a tiempo completo.
Una brecha de seguridad en materia de datos personales es cualquier incidente que ocasione la destrucción, pérdida, alteración, comunicación no autorizada o acceso no autorizado a datos personales. No hace falta que haya robo deliberado: un correo electrónico enviado al destinatario equivocado, un portátil sin cifrar extraviado o un acceso indebido de un empleado pueden constituir una brecha.
El RGPD establece un doble nivel de obligación. La empresa debe notificar la brecha a la AEPD en el plazo de 72 horas cuando sea probable que el incidente entrañe un riesgo para los derechos y libertades de las personas físicas. Si el riesgo es elevado, también debe comunicarlo a los propios afectados sin dilación indebida.
Este protocolo solo funciona si existe antes del incidente. Gestionar una brecha de seguridad sin procedimiento previo es uno de los escenarios de mayor riesgo que encontramos en nuestra práctica. La empresa entra en pánico, no sabe qué ha ocurrido, no tiene claro si debe notificar, no identifica a los afectados y se pasa de las 72 horas sin haber hecho nada. Esa situación agrava enormemente la posición ante la AEPD.
Un programa de adaptación bien diseñado incluye siempre un protocolo de gestión de brechas que contempla: identificación y categorización del incidente, análisis de riesgo exprés, decisión sobre la obligación de notificar, notificación a la AEPD con el contenido mínimo requerido, comunicación a afectados si procede, y documentación interna del incidente. Tener ese procedimiento operativo antes de que ocurra el incidente marca la diferencia entre una sanción y una resolución sin medidas adicionales.
Los derechos que el RGPD reconoce a los interesados – acceso, rectificación, supresión, oposición, limitación y portabilidad – deben poder atenderse en el plazo de un mes. Una empresa sin procedimiento interno no puede garantizarlo.La obligación de disponer de un canal de denuncias – que la normativa europea de protección de denunciantes ha extendido de forma significativa – tiene una dimensión de protección de datos que a menudo pasa desapercibida. El canal recibe comunicaciones que contienen datos personales de denunciantes, investigados y terceros. Su diseño debe respetar el RGPD: información clara a los interesados, acceso restringido, plazos de conservación definidos y medidas de seguridad adecuadas.
En el entorno empresarial vasco – con una estructura industrial de grupos, cooperativas y empresas familiares de tamaño medio – el canal de denuncias no es ya una opción, sino una exigencia regulatoria para determinadas organizaciones. Gestionar ese canal sin un marco de protección de datos adecuado genera un riesgo dual: incumplimiento de la normativa de denunciantes e incumplimiento del RGPD.
El compliance penal – la implantación de modelos de prevención de delitos conforme a la legislación penal vigente – tiene también una conexión directa con la protección de datos. Los delitos informáticos, la revelación de secretos o el acceso indebido a sistemas de información involucran frecuentemente datos personales. Un modelo de compliance penal que no integre la dimensión de protección de datos es un modelo incompleto.
En nuestra práctica asesorando a empresas, hemos observado que la integración de compliance penal y protección de datos en un programa único no solo es más eficiente operativamente, sino que genera sinergias importantes: el mapa de riesgos, los controles, los procedimientos de respuesta a incidentes y los órganos de supervisión se diseñan una sola vez para cubrir ambas dimensiones.
¿Cuál es el punto de partida para una empresa que aún no ha integrado estas dos dimensiones? La respuesta es siempre la misma: el diagnóstico. Antes de diseñar nada, hay que saber qué datos se tratan, bajo qué riesgos y con qué controles actuales. Solo desde ese punto puede construirse un programa coherente.
El asesoramiento en protección de datos que prestamos en Velarde & Vidal se articula en tres fases principales, aplicadas tanto a empresas que parten de cero como a aquellas que quieren revisar y actualizar un programa existente.
La primera fase es el diagnóstico. Analizamos los flujos de datos de la organización, identificamos las actividades de tratamiento, evaluamos el marco documental existente – políticas, contratos, registros – y establecemos las brechas de cumplimiento respecto al estándar exigido por el RGPD y la LOPDGDD. Este diagnóstico produce un informe ejecutivo que permite a la dirección tomar decisiones informadas sobre el alcance y la priorización de las medidas.
La segunda fase es el diseño e implantación del programa. A partir del diagnóstico, elaboramos o revisamos el registro de actividades de tratamiento, redactamos o actualizamos las políticas de privacidad y los avisos legales, diseñamos los contratos de encargo de tratamiento con los proveedores, elaboramos el protocolo de gestión de brechas, configuramos los procedimientos de atención a derechos y, cuando corresponde, redactamos la evaluación de impacto. Si la empresa necesita un DPD externo, asumimos esa función.
La tercera fase es el mantenimiento y la revisión periódica. El cumplimiento en protección de datos no se "cierra". La organización cambia: incorpora nuevos proveedores, lanza nuevos servicios, modifica procesos internos. El programa debe actualizarse para reflejar esos cambios. Ofrecemos un servicio de revisión periódica que garantiza la vigencia del programa y la capacidad de respuesta ante cambios normativos o incidentes.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el denominador común es el mismo: la dirección que entiende el riesgo de cumplimiento como un asunto estratégico – y no solo como una obligación burocrática – construye organizaciones más resilientes ante inspecciones, incidentes y reclamaciones.
El primero y más extendido es el que ya hemos mencionado: creer que con una cláusula de privacidad en la web el cumplimiento está cubierto. Es un mito con consecuencias prácticas graves. La AEPD ha sancionado a empresas que disponían de política de privacidad publicada pero no tenían registro de tratamientos, ni contratos con encargados, ni protocolo de brechas. La cláusula visible no sustituye al programa de fondo.
El segundo error es tratar la protección de datos como un asunto exclusivamente tecnológico. El departamento de informática puede implementar controles técnicos – cifrado, copias de seguridad, control de accesos – pero el cumplimiento del RGPD exige decisiones jurídicas sobre bases de legitimación, plazos de conservación, derechos de los interesados y contratos. Esas decisiones deben ser adoptadas con asesoramiento jurídico especializado.
El tercer error es no actualizar el programa. Muchas empresas realizaron su adaptación inicial en 2018, cuando entró en aplicación el RGPD, y no han vuelto a revisarla. En estos años, la empresa ha cambiado – nuevos proveedores, nuevas herramientas, nuevas líneas de negocio – y la normativa también ha evolucionado, con nuevas resoluciones de la AEPD, nuevas directrices del Comité Europeo de Protección de Datos y la entrada en vigor de la LOPDGDD. Un programa de 2018 sin actualizar es, en muchos casos, un programa que ya no cumple.
El cuarto error es subestimar el riesgo del tratamiento de datos de empleados. La relación laboral genera un volumen considerable de datos personales: datos de salud, datos sindicales, datos económicos, evaluaciones de desempeño, registros de jornada, comunicaciones internas. La normativa de protección de datos en el ámbito laboral tiene especificidades importantes – contempladas tanto en el RGPD como en la LOPDGDD – que exigen un tratamiento cuidadoso.
En nuestra experiencia, las empresas que han gestionado bien estos cuatro frentes están en una posición incomparablemente mejor cuando reciben una inspección, una reclamación de un empleado o cliente, o cuando sufren un incidente de seguridad. El coste del cumplimiento preventivo es sistemáticamente inferior al coste del incumplimiento reactivo.
¿Cuánto cuesta una sanción de la AEPD? Los importes se actualizan periódicamente conforme a la normativa vigente y dependen de la gravedad de la infracción. Conviene verificar con la normativa aplicable en cada momento, pero la naturaleza de las sanciones puede ser muy relevante en términos económicos y reputacionales, especialmente para una empresa mediana. La prevención siempre es la estrategia más eficiente.
A modo de referencia operativa, indicamos los elementos que debe incluir un programa mínimo de adaptación al RGPD en una empresa:
Este checklist no es exhaustivo ni sustituye al asesoramiento específico para cada organización. El perfil de cumplimiento de una clínica no es igual al de una empresa industrial o al de una plataforma de comercio electrónico. La adaptación al RGPD es, por su naturaleza, un trabajo a medida.
El cumplimiento en materia de datos personales se conecta de forma natural con otras áreas de la empresa. Una organización que opera con canal de denuncias necesita también un programa integral de protección de datos y compliance, que cubra tanto la dimensión regulatoria del RGPD como las exigencias del compliance penal y laboral. Para empresas con equipos de personas, la gestión de los datos en el ámbito de los recursos humanos merece especial atención; puede consultarse nuestra guía sobre gestión de datos en recursos humanos, donde desarrollamos los criterios de licitud del tratamiento en la relación laboral. Asimismo, si su empresa opera en el sector de distribución o retail, encontrará respuesta a las preguntas más frecuentes sobre cumplimiento en nuestra sección de preguntas frecuentes sobre compliance en retail y distribución.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.