El sector de la automoción es, hoy, uno de los entornos de mayor densidad de datos personales de toda la economía española. Vehículos conectados, redes de concesionarios, talleres, plataformas de movilidad como servicio, aseguradoras integradas, proveedores de primer y segundo nivel: todos tratan datos de personas físicas a una escala que la mayoría de las direcciones generales infravalora. La Agencia Española de Protección de Datos (AEPD) lo sabe, y su actividad inspectora lo demuestra con claridad creciente.
Un concesionario de tamaño medio puede llegar a tratar datos de decenas de miles de clientes, leads y prospectos en un solo ejercicio. El fabricante o importador suma a eso los datos de flotas, los registros de telemetría de vehículos conectados y los sistemas de diagnóstico remoto. El proveedor de componentes gestiona datos de empleados, de trabajadores en planta, de transportistas y de interlocutores comerciales en múltiples jurisdicciones.
Esta acumulación no es solo un activo. Es también una fuente de exposición regulatoria permanente.
En nuestra experiencia asesorando a empresas del sector, los flujos de datos en la cadena de valor de la automoción presentan tres características que complican especialmente el cumplimiento. Primera: la multiplicidad de encargados de tratamiento, desde el CRM externo hasta el taller independiente franquiciado. Segunda: la mezcla de datos de empleados, clientes y proveedores en los mismos sistemas, sin segregación suficiente. Tercera: la integración con plataformas de fabricante que traen sus propias exigencias de privacidad y, a veces, transferencias internacionales de datos.
La AEPD ha publicado guías específicas sobre vehículos conectados y ha supervisado a empresas del sector como parte de sus planes de inspección sectoriales. La normativa de protección de datos no distingue por tamaño de empresa: el deber de cumplir aplica a la empresa de diez empleados que gestiona citas de taller y al grupo multinacional que fabrica quinientos mil unidades al año.
El RGPD y la LOPDGDD establecen un conjunto de obligaciones que van mucho más allá de la instalación de un aviso de cookies. Para una empresa de automoción, las exigencias materiales son las siguientes.
Toda empresa que trata datos de forma no ocasional debe mantener un registro de actividades de tratamiento actualizado. En la automoción, este registro debe reflejar al menos: la gestión de clientes y leads, la gestión de empleados, la videovigilancia en instalaciones, el tratamiento de datos de vehículos conectados y cualquier cesión o encargo a terceros. La ausencia de este registro es, por sí misma, una infracción verificable por la AEPD en cualquier inspección.
Cada operación de tratamiento necesita una base jurídica válida. En automoción, las más frecuentes son la ejecución de un contrato, el interés legítimo del responsable y el consentimiento del interesado. El consentimiento para comunicaciones comerciales es uno de los focos más recurrentes de los expedientes sancionadores: debe ser libre, específico, informado e inequívoco.
Hemos observado que un número relevante de empresas del sector utiliza el consentimiento como base universal, aplicándolo incluso donde bastaría el interés legítimo o la ejecución contractual. Eso genera problemas: el consentimiento puede retirarse en cualquier momento, lo que obliga a procesar la baja de inmediato, con los costes operativos que eso conlleva.
Cuando la empresa cede el tratamiento a un tercero, sea el proveedor de CRM, la plataforma de financiación o el taller subcontratado, debe formalizarse un contrato de encargado de tratamiento. Este contrato no es un trámite: define responsabilidades, instrucciones y medidas de seguridad exigibles. Su ausencia convierte al tercero en corresponsable o en destinatario no autorizado, con consecuencias para ambas partes.
Un cliente puede ejercer su derecho de acceso, rectificación, supresión, oposición, limitación o portabilidad. La empresa dispone de un mes para responder, prorrogable dos meses en casos complejos, pero la prórroga debe comunicarse al interesado antes de que expire el primer mes. En empresas sin un procedimiento interno definido, estos plazos se incumplen con frecuencia, generando reclamaciones directas ante la AEPD.
La telemetría de vehículos, la videovigilancia en producción o los sistemas de control de acceso biométrico son tratamientos que pueden requerir una evaluación de impacto relativa a la protección de datos. Esta evaluación es obligatoria cuando el tratamiento puede suponer un riesgo elevado para los derechos y libertades de las personas. No realizarla cuando procede es una infracción grave.
Una brecha de seguridad no es solo un incidente técnico. Es un momento de verdad para el programa de cumplimiento de la empresa. El RGPD establece que, cuando una brecha de seguridad pueda entrañar un riesgo para los derechos y libertades de las personas, la empresa debe notificarla a la AEPD en un plazo de setenta y dos horas desde que tenga conocimiento de ella. Este plazo es de los más cortos del ordenamiento regulatorio español.
¿Qué ocurre en la práctica cuando no existe un protocolo? Que las setenta y dos horas se consumen en reuniones internas para decidir si el incidente "es suficientemente grave" para notificar. Que no hay una persona designada para tomar la decisión. Que la notificación se presenta tarde, incompleta o con información contradictoria. Cada uno de esos fallos agrava la posición de la empresa ante la AEPD.
En empresas de automoción, los incidentes más frecuentes que hemos gestionado son: acceso no autorizado a bases de datos de clientes o leads, pérdida de dispositivos con datos de empleados o de clientes, y vulnerabilidades en los sistemas de cita previa de talleres que exponen datos a terceros. Ninguno de estos incidentes implica necesariamente una sanción si se gestiona correctamente. Todos pueden derivar en procedimiento sancionador si la gestión es deficiente.
La notificación a la AEPD debe ir acompañada de la documentación interna del incidente: qué datos se vieron afectados, cuántas personas, qué medidas se adoptaron de forma inmediata y qué medidas correctoras se implementan. Esa documentación es la que la AEPD examina para valorar la diligencia de la empresa y, en su caso, modular la sanción.
La respuesta corta es: más de lo que la dirección general suele calcular antes del incidente.
El RGPD establece dos bandas de sanciones. La primera alcanza hasta diez millones de euros o el dos por ciento de la facturación global anual, para las infracciones más leves del Reglamento. La segunda llega hasta veinte millones de euros o el cuatro por ciento de la facturación global, para las infracciones más graves: tratamiento sin base jurídica, transferencias internacionales no autorizadas, vulneración de los principios básicos del Reglamento.
La AEPD tiene potestad para graduar la sanción atendiendo a la naturaleza de la infracción, el número de afectados, el nivel de daño causado, si hubo cooperación con la autoridad de control y si la empresa contaba con medidas técnicas y organizativas adecuadas. Este último criterio es determinante: una empresa con un programa de cumplimiento documentado, aunque imperfecto, está en una posición sustancialmente mejor que una empresa que no puede acreditar ninguna medida.
La legislación de protección de datos en España, articulada a través de la LOPDGDD, extiende la responsabilidad en determinados supuestos a las personas físicas que forman parte del órgano de administración. Además, la interacción entre el incumplimiento de la normativa de datos y el compliance penal es cada vez más relevante: el sistema de prevención de delitos de la persona jurídica debe contemplar los riesgos relacionados con el tratamiento de datos como parte de su mapa de riesgos.
En nuestra práctica, hemos observado que las empresas de automoción que tienen implantado un canal de denuncias efectivo detectan irregularidades internas relacionadas con el tratamiento de datos antes de que lleguen a la AEPD. El canal de denuncias no es solo una obligación derivada de la normativa de whistleblowing; es también una herramienta de gestión temprana del riesgo de cumplimiento. Puede ampliar su comprensión de este instrumento en nuestra guía sobre cómo implantar un canal de denuncias.
En la cadena de valor de la automoción, los fabricantes exigen a sus concesionarios y proveedores el cumplimiento de estándares de privacidad como condición para mantener la relación comercial. Una resolución sancionadora de la AEPD publicada en el portal oficial de la Agencia puede activar cláusulas de resolución contractual o bloquear procesos de auditoría de proveedor. El coste reputacional es difícilmente cuantificable en el momento del incidente, pero suele superar con amplitud el importe de la sanción económica en términos de impacto real sobre el negocio.
Con independencia del tamaño y del segmento dentro del sector, en nuestra práctica encontramos de forma recurrente los siguientes fallos.
La figura del Delegado de Protección de Datos (DPO, por sus siglas en inglés) es la pieza central del sistema de gobierno del dato en las organizaciones. En la automoción, la obligatoriedad de designar un DPO puede derivar de la escala o la naturaleza de los tratamientos: empresas que realizan una observación sistemática y a gran escala de comportamientos de personas físicas pueden estar obligadas a designarlo.
Con independencia de la obligación legal, el DPO aporta valor operativo claro. Supervisa el cumplimiento del RGPD y la LOPDGDD, asesora al responsable del tratamiento sobre sus obligaciones, actúa como punto de contacto con la AEPD y coordina la respuesta ante incidentes. En la práctica, un DPO externo con conocimiento del sector puede cubrir estas funciones de forma eficiente en empresas medianas sin necesidad de incorporar un perfil interno de alta especialización.
Lo que no puede sustituir al DPO es un responsable de IT con buenas intenciones, un proveedor de software que incluye un "informe de conformidad" con su herramienta, ni un abogado generalista que revisa la política de privacidad una vez al año. El RGPD diseñó el DPO como una función con independencia, recursos y acceso directo a la dirección. Esa independencia no es un lujo: es la garantía de que los problemas llegan al nivel adecuado antes de que se conviertan en expedientes.
Un programa eficaz no es un formulario que se descarga de internet. Es una arquitectura de procedimientos, documentos y controles que responde a los riesgos reales de la empresa. El proceso tiene fases bien definidas.
El punto de partida es un análisis de la situación actual: qué datos se tratan, con qué base jurídica, quién tiene acceso, qué proveedores intervienen, qué medidas de seguridad existen y qué documentación formal está en vigor. Este diagnóstico no debe ser un autodiagnóstico: la experiencia acumulada de un asesor externo identifica brechas que el equipo interno no ve porque las da por supuestas.
Con base en el diagnóstico, se elabora o actualiza el registro de tratamientos, se revisan las bases jurídicas de cada operación, se redactan o adaptan los contratos de encargado de tratamiento, se diseñan los procedimientos de respuesta a derechos y de gestión de brechas, y se define el marco de formación del personal. Esta fase produce los documentos que la AEPD puede solicitar en cualquier momento.
Los documentos sin implantación efectiva no sirven de nada ante una inspección. La implantación incluye la comunicación interna de los nuevos procedimientos, la formación del personal con registro de asistencia, la integración de los controles en los sistemas de IT y la designación formal del DPO si corresponde.
El compliance de datos no es un proyecto con fecha de fin. Cada cambio de negocio, cada nuevo proveedor, cada actualización tecnológica y cada reforma normativa puede requerir ajustes. Un sistema de revisión periódica, con responsable designado y actas documentadas, es la diferencia entre un programa que protege a la empresa y uno que solo existe sobre el papel.
La normativa de compliance penal exige a las personas jurídicas implantar un modelo de prevención de delitos. En el sector de la automoción, el mapa de riesgos penales incluye, entre otros, los delitos contra la intimidad y el secreto de las comunicaciones, que pueden materializarse a través de un tratamiento de datos ilícito.
Esa convergencia tiene consecuencias prácticas. Una empresa que sufre un incidente de datos y no puede acreditar que tenía un modelo de prevención adecuado se enfrenta simultáneamente a un expediente de la AEPD y a una posible responsabilidad penal de la persona jurídica. La coordinación entre el programa de protección de datos y el modelo de compliance penal no es una sofisticación exclusiva de las grandes corporaciones: en nuestra experiencia, es un estándar de gestión al que deben aspirar todas las empresas medianas del sector.
El canal de denuncias es el instrumento donde esa convergencia se hace más visible. La normativa de protección de informantes exige que el canal garantice la confidencialidad del denunciante y la protección de sus datos personales. Diseñar un canal que cumpla simultáneamente con la normativa de whistleblowing y con el RGPD requiere un análisis integrado que va más allá de instalar una herramienta de software.
La AEPD distingue, a efectos de graduar la sanción, entre la empresa que ha adoptado medidas proactivas de cumplimiento y la que carece de cualquier programa cuando ocurre el incidente. Esta distinción no es solo jurídica: es económica y estratégica.
¿Cuándo conviene iniciar o revisar el programa de cumplimiento? La respuesta no depende de si ha habido ya un incidente. Hay tres momentos especialmente críticos.
El primero es cuando la empresa adopta una nueva tecnología que implica tratamiento de datos a mayor escala: un CRM con analítica avanzada, una plataforma de vehículo conectado, un sistema de videovigilancia inteligente. En ese momento, antes del despliegue, es cuando la evaluación de impacto tiene valor preventivo real.
El segundo es cuando la empresa recibe una reclamación de un interesado ante la AEPD. La AEPD notifica a la empresa y abre un período para que presente sus alegaciones. Si en ese momento no existe documentación que acredite el cumplimiento, las opciones de defensa se reducen drásticamente. Asesoramos con frecuencia a empresas que llegan en este punto: la situación es gestionable, pero el margen es mucho más estrecho que si el programa existía antes.
El tercero es cuando la empresa va a ser objeto de una auditoría de proveedor por parte de un fabricante o de un cliente institucional. Estos procesos incluyen cuestionarios detallados sobre el programa de protección de datos. No tenerlo documentado puede costar el contrato.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos esos entornos la conclusión es la misma: el coste de implantar un programa adecuado es siempre inferior al coste de gestionar un incidente sin él. La diferencia no es marginal.
La AEPD realiza actuaciones de inspección tanto reactivas, en respuesta a reclamaciones, como proactivas, en el marco de sus planes sectoriales. En el sector de la automoción, los focos de atención prioritaria han incluido la gestión de bases de datos de marketing, la videovigilancia en instalaciones, el tratamiento de datos de empleados y la gestión de solicitudes de derechos.
En una actuación inspectora, la AEPD puede solicitar la documentación del programa de cumplimiento, los contratos con encargados de tratamiento, los registros de formación del personal, los procedimientos de gestión de brechas y la documentación de cualquier evaluación de impacto realizada. La empresa que puede aportar esa documentación de forma ordenada y coherente transmite una imagen de diligencia que influye en el resultado del procedimiento.
La empresa que no dispone de esa documentación se encuentra en una posición de debilidad estructural, con independencia de su buena voluntad. En el Derecho administrativo sancionador, la intención no es un elemento que modere significativamente la responsabilidad: lo que cuenta es si se adoptaron o no las medidas que la normativa exige.
La adaptación al RGPD no termina con el cumplimiento inicial. La normativa evoluciona, la tecnología cambia y los criterios interpretativos de la AEPD se actualizan. Un programa vivo, con revisiones documentadas y responsable designado, es el único que realmente protege a la empresa frente a una inspección en cualquier momento del ejercicio. Para profundizar en el conjunto de servicios que ofrecemos en esta área, puede consultar nuestra práctica de protección de datos y compliance.
A modo de síntesis operativa, recogemos los elementos básicos que todo responsable de una empresa de automoción debería poder verificar antes de cerrar el ejercicio.
El análisis del cumplimiento en protección de datos conecta de forma natural con otras prácticas de Velarde & Vidal. En el ámbito del compliance penal y la gestión de riesgos corporativos, el mapa de riesgos de datos debe integrarse en el modelo de prevención de delitos de la persona jurídica. En el área laboral, el tratamiento de datos de empleados, la videovigilancia en el lugar de trabajo y el control del correo corporativo son materias que requieren una coordinación estrecha entre las dos prácticas. En operaciones de fusión y adquisición, la diligencia debida en materia de protección de datos es hoy un capítulo habitual del proceso de revisión, y una exposición regulatoria no identificada puede alterar significativamente las condiciones de la operación.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.