El Reglamento General de Protección de Datos (RGPD) lleva en vigor como norma directamente aplicable en España desde 2018, y sin embargo en nuestra práctica seguimos observando que un número relevante de empresas aragonesas opera sin los instrumentos mínimos que la norma exige. La brecha entre la obligación formal y la realidad operativa es, precisamente, el mayor riesgo para cualquier organización que trate datos de terceros. En Zaragoza, con un tejido empresarial que combina logística de alto volumen en el entorno de PLAZA, industria agroalimentaria y un polo tecnológico en crecimiento, ese riesgo adquiere una dimensión específica que conviene afrontar antes de que se materialice.
Existe una creencia extendida que conviene desmontar desde el primer momento. Muchos directivos asumen que con incluir una cláusula de privacidad en la web y una política de cookies ya queda cubierto el cumplimiento del reglamento. No es así. Esa percepción es, precisamente, el mito que con más frecuencia encontramos al iniciar una auditoría de cumplimiento.
El RGPD es un régimen de responsabilidad activa y demostrable. No basta con no infringir: la norma exige que la empresa pueda acreditar que cumple. Esta lógica, denominada en la normativa principio de responsabilidad proactiva, traslada la carga de la prueba al responsable del tratamiento. Si la AEPD abre una investigación, la empresa debe demostrar que disponía de los controles adecuados, no que no fue consciente del incumplimiento.
Hemos asesorado a empresas industriales y tecnológicas de Aragón que descubrieron, a raíz de una inspección o de una reclamación de un trabajador o cliente, que su infraestructura documental era inexistente o estaba desactualizada. En esos momentos, el coste de la adaptación resulta significativamente más elevado que el de un programa preventivo.
Además, el ecosistema de Zaragoza amplifica el riesgo. Las empresas de la zona logística de Aragón tratan datos de empleados, transportistas, clientes y proveedores a gran escala. La industria agroalimentaria con presencia en la provincia gestiona datos laborales de plantillas numerosas y datos de salud en algunos casos. Las empresas tecnológicas y de servicios digitales están, por definición, en el núcleo duro del tratamiento de datos. Ninguno de esos perfiles es ajeno al RGPD. Todos quedan plenamente sujetos a sus exigencias.
El RGPD, junto con la LOPDGDD, establece un conjunto de obligaciones que pueden agruparse en tres grandes bloques operativos. Comprender su alcance real es el primer paso antes de diseñar cualquier programa de cumplimiento.
Toda organización que trate datos personales de forma sistemática debe mantener un registro actualizado de todas sus actividades de tratamiento. Este registro no es un documento de adhesión única: debe reflejar con exactitud qué datos trata la empresa, con qué finalidad, bajo qué base jurídica, durante cuánto tiempo y con qué medidas de seguridad. En nuestra experiencia, este documento es el que con mayor frecuencia resulta incompleto o desactualizado cuando se produce una inspección.
La ausencia del registro no solo constituye un incumplimiento autónomo. También impide a la empresa demostrar que ha actuado con diligencia en caso de brecha de seguridad, lo que puede agravar la valoración de la infracción por parte de la AEPD.
Cada tratamiento de datos debe apoyarse en una base jurídica válida y documentada. Las más frecuentes en el contexto empresarial son la ejecución de un contrato, el cumplimiento de una obligación legal y el interés legítimo del responsable. El consentimiento, que es la base jurídica más conocida, es con frecuencia la menos adecuada en relaciones B2B o laborales.
Un error habitual consiste en sustentar todos los tratamientos sobre el consentimiento cuando la base correcta sería la relación contractual o la obligación legal. Si ese consentimiento es posteriormente retirado, la empresa puede verse en la situación de no poder continuar tratamientos que son necesarios para su actividad ordinaria.
La normativa no prescribe un catálogo cerrado de medidas de seguridad. Exige que las medidas sean adecuadas al riesgo que presenta el tratamiento. Ello implica realizar un análisis de riesgos previo y documentar las decisiones adoptadas. Para tratamientos de alto riesgo, la norma exige una evaluación de impacto relativa a la protección de datos (EIPD), un instrumento más exigente que el análisis de riesgo ordinario.
En sectores como la sanidad, los recursos humanos en empresas con plantillas numerosas o el tratamiento de datos financieros, la EIPD no es una opción: es una obligación cuya omisión puede fundar una infracción autónoma.
La gestión del tiempo es, en protección de datos, una cuestión directamente ligada a la responsabilidad. Hay tres plazos que ningún directivo o responsable de cumplimiento debería ignorar.
El primero y más urgente es el de la notificación de brechas de seguridad. Cuando la empresa detecta o tiene razones fundadas para creer que ha sufrido una brecha de seguridad que afecta a datos personales, dispone de setenta y dos horas para notificarlo a la AEPD, siempre que la brecha suponga un riesgo para los derechos y libertades de las personas afectadas. Setenta y dos horas es un plazo extraordinariamente corto para una organización que no tiene protocolos previos. Hemos observado que las empresas sin procedimiento interno establecido superan ese límite casi sistemáticamente.
El segundo plazo relevante afecta a los derechos de los interesados. Cuando un trabajador, cliente o proveedor ejerce un derecho de acceso, rectificación, supresión u oposición, la empresa debe responder en el plazo de un mes, prorrogable a dos meses en casos de especial complejidad. El incumplimiento de este plazo es uno de los motivos más frecuentes de reclamación ante la AEPD.
El tercero no es un plazo sino una ventana de oportunidad: el momento anterior a la implantación de un nuevo sistema, aplicación o proceso que involucre datos personales. La privacidad desde el diseño exige que los controles de protección de datos se incorporen antes de lanzar el sistema, no después. Intervenir en esta fase es incomparablemente menos costoso que remediar una arquitectura técnica ya desplegada.
¿Tiene su empresa documentada la respuesta a una brecha de seguridad? Si la respuesta no es inequívocamente afirmativa, conviene actuar antes de que el reloj empiece a correr.
Una de las dimensiones que con mayor frecuencia se aborda de forma desconectada en las empresas es la relación entre la adaptación al RGPD y el compliance penal. Sin embargo, ambos programas comparten infraestructura, lógica y, en ocasiones, obligaciones concretas que se solapan.
El canal de denuncias ilustra perfectamente esta convergencia. La Directiva europea sobre protección de denunciantes, transpuesta al ordenamiento español, obliga a determinadas empresas a establecer un sistema interno de información para la denuncia de irregularidades. Ese sistema recoge datos personales de denunciantes e investigados. Su diseño, por tanto, debe cumplir el RGPD: base jurídica del tratamiento, plazo de conservación limitado, garantías de confidencialidad y procedimiento de respuesta a brechas.
Implantar el canal de denuncias sin integrar la capa de protección de datos genera un doble riesgo: incumplimiento de la normativa laboral y mercantil que regula el sistema, e incumplimiento del RGPD por tratamientos de datos personales sin base jurídica documentada o sin medidas de seguridad adecuadas. En nuestra experiencia asesorando a empresas en España, este error es más frecuente de lo que debería.
El compliance penal corporativo, por su parte, requiere que la empresa acredite la existencia de un modelo de organización y gestión que incluya medidas de vigilancia y control. Los datos personales tratados en el marco de ese modelo, incluyendo evaluaciones de empleados, registros de acceso o comunicaciones internas, están plenamente sujetos al RGPD. Disociar ambos programas no solo es ineficiente: puede generar pasivos en ambos frentes de forma simultánea.
La solución que recomendamos a las empresas con las que trabajamos es un programa integrado: un solo diagnóstico, una sola auditoría de procesos y una única matriz de riesgos que alimente tanto el compliance de datos como el modelo de prevención de delitos. El ahorro de tiempo y recursos es sustancial, y la coherencia del programa refuerza su eficacia defensiva ante una eventual inspección o proceso judicial.
La pregunta que nos formulan con más frecuencia los directivos financieros es si el coste del programa de cumplimiento compensa frente al riesgo de no tenerlo. La respuesta, en términos puramente económicos, es afirmativa. Pero la racionalidad del cumplimiento no descansa únicamente en la evitación de sanciones.
Existen al menos tres razones por las que el asesoramiento temprano reduce el riesgo global de la empresa de forma demostrable.
Una empresa que dispone de un protocolo documentado de gestión de brechas de seguridad puede actuar dentro del plazo de setenta y dos horas con eficacia. Eso implica que puede notificar a la AEPD con información completa, adoptar medidas correctoras inmediatas y comunicar a los afectados si la brecha supone un riesgo elevado para sus derechos. La AEPD valora expresamente la existencia de medidas previas y la diligencia en la respuesta como factores atenuantes en la determinación de la sanción.
Una empresa sin protocolo, en las mismas circunstancias, actúa de forma reactiva, supera los plazos y carece de documentación que acredite su diligencia. El resultado en términos de responsabilidad es, sistemáticamente, más adverso.
Cada vez más empresas, especialmente las que forman parte de cadenas de suministro con clientes corporativos o institucionales, reciben cuestionarios de diligencia debida (due diligence) en materia de protección de datos como condición previa a la contratación. Disponer de un programa de cumplimiento actualizado y acreditable no es solo una obligación regulatoria: se ha convertido en un requisito comercial en determinados sectores.
En el sector logístico de Zaragoza, donde las relaciones B2B con grandes operadores nacionales e internacionales son frecuentes, esta dimensión comercial del cumplimiento es especialmente relevante.
La normativa societaria española establece mecanismos por los cuales los administradores pueden responder personalmente de los daños causados a la sociedad cuando han actuado con negligencia en el cumplimiento de sus deberes. La falta de un programa de cumplimiento en protección de datos, cuando la empresa ha sufrido una brecha o ha sido sancionada, puede fundarse en ese déficit de diligencia. El asesoramiento temprano documenta la actuación responsable del órgano de administración y limita ese riesgo de forma directa.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y del sector salud, con sede o presencia relevante en España. Ese recorrido nos permite plantear el asesoramiento en protección de datos no como un ejercicio burocrático, sino como un programa orientado a la gestión real del riesgo de la empresa.
El proceso de adaptación que desarrollamos para cada cliente tiene cuatro fases secuenciales.
La primera fase consiste en un diagnóstico estructurado de la situación real de la empresa frente al RGPD y la LOPDGDD. Identificamos los tratamientos existentes, las bases jurídicas documentadas, los contratos con encargados de tratamiento y las políticas internas. El resultado es un mapa de brechas de cumplimiento ordenado por nivel de riesgo, que permite a la dirección tomar decisiones informadas sobre prioridades.
A partir del diagnóstico, diseñamos el programa de cumplimiento adaptado a la actividad y al perfil de riesgo de la empresa. Esto incluye el registro de actividades de tratamiento, los análisis de riesgo o las evaluaciones de impacto cuando corresponde, las cláusulas contractuales con terceros, la política de privacidad, las políticas internas de uso de sistemas y datos, y el protocolo de gestión de brechas de seguridad.
Un programa de cumplimiento que no se traslada a la organización real es papel mojado. La tercera fase incluye la implantación operativa de los procedimientos y una sesión de formación para el personal que gestiona datos, con especial énfasis en el reconocimiento de brechas de seguridad y en los procedimientos de respuesta a solicitudes de derechos.
El RGPD es un marco vivo. La actividad de la empresa cambia, los proveedores cambian, los sistemas cambian. Un programa de cumplimiento que no se revisa periódicamente pierde eficacia y valor probatorio. Ofrecemos un servicio de revisión y actualización continuada que garantiza la vigencia del programa y su adaptación a los cambios operativos y regulatorios.
Para empresas que ya cuentan con un delegado de protección de datos interno, ofrecemos también un servicio de soporte externo especializado y de segunda opinión para las decisiones de mayor complejidad.
En nuestra práctica con empresas aragonesas y del entorno del Valle del Ebro, hemos identificado un patrón recurrente de deficiencias que conviene identificar con claridad para evitarlas.
El primero es la ausencia o desactualización del registro de actividades de tratamiento. Es el instrumento central del sistema de cumplimiento y, paradójicamente, el que con mayor frecuencia se omite o se elabora una sola vez sin actualización posterior.
El segundo es la firma de contratos de encargado de tratamiento con proveedores tecnológicos que carecen de las cláusulas exigidas por el RGPD. Los proveedores de software en la nube, los servicios de gestión de nóminas externalizados y los proveedores de sistemas de videovigilancia son los casos más habituales que detectamos.
El tercero es la inexistencia de un procedimiento documentado para la gestión de brechas de seguridad. Como hemos señalado, el plazo de setenta y dos horas para la notificación a la AEPD no deja margen para improvisar. Sin un procedimiento previo, el incumplimiento del plazo es prácticamente inevitable.
El cuarto es la confusión entre el delegado de protección de datos (DPD) voluntario y el DPD obligatorio. Hay categorías de organizaciones para las que el nombramiento de un DPD es una obligación, no una opción. Operar sin DPD cuando su nombramiento es preceptivo constituye un incumplimiento autónomo, con independencia del nivel general de cumplimiento de la empresa.
El quinto es el ya mencionado: creer que la política de privacidad web es equivalente al programa de cumplimiento. No lo es. Es un componente del programa, pero ni remotamente lo agota.
El siguiente listado recoge los elementos mínimos que debe poder acreditar cualquier empresa que trate datos personales en el marco del RGPD. No es una lista exhaustiva, pero es un punto de partida eficaz para un diagnóstico rápido.
Si su empresa no puede marcar de forma afirmativa todos los elementos de esta lista, existe un pasivo de cumplimiento que conviene cuantificar y abordar con la mayor brevedad posible.
La adaptación al RGPD rara vez opera de forma aislada. En la mayoría de los proyectos que desarrollamos, la protección de datos se entrecruza con la práctica de protección de datos y compliance en su conjunto, que incluye el modelo de prevención de delitos, el canal de denuncias y las políticas de cumplimiento normativo corporativo. Asimismo, para empresas que operan fuera de Aragón o que gestionan relaciones con terceros en otras regiones, nuestro trabajo en adaptación al RGPD en Valladolid ilustra el alcance territorial de nuestro asesoramiento en Castilla y León. Y para empresas industriales o del sector manufacturero, nuestro análisis sobre el RGPD en la industria y la manufactura ofrece un contexto sectorial de especial relevancia.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.