El cumplimiento en materia de protección de datos ha dejado de ser una cuestión burocrática para convertirse en un factor de riesgo corporativo de primer orden. La Agencia Española de Protección de Datos (AEPD) ha consolidado una actividad inspectora y sancionadora que alcanza a empresas de todos los sectores y tamaños. No se trata de una amenaza abstracta: en nuestra práctica asesorando a empresas en España, observamos con regularidad cómo organizaciones con facturación relevante operan sin un programa de cumplimiento mínimamente estructurado, exponiéndose a consecuencias que van mucho más allá de la multa.
La empresa española que trata datos personales – y prácticamente todas lo hacen, desde el fichero de clientes hasta la nómina de empleados – opera bajo un doble nivel normativo. El Reglamento General de Protección de Datos establece el marco europeo de obligaciones y sanciones. La Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales lo adapta al ordenamiento español y amplía su alcance, añadiendo derechos específicos en el entorno laboral y digital.
La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD). Actúa de oficio, por denuncia de interesados y en coordinación con otras autoridades de control europeas cuando el tratamiento tiene dimensión transfronteriza. Su potestad inspectora abarca tanto la actividad previa a una brecha como la respuesta de la empresa cuando esta se produce.
Lo que distingue el régimen actual del anterior es la lógica de responsabilidad proactiva. Ya no basta con registrar ficheros o incluir una cláusula en un contrato. La empresa debe demostrar que cumple: disponer de un registro de actividades de tratamiento, aplicar medidas técnicas y organizativas apropiadas, formar a su personal y documentar las decisiones que toma sobre los datos que gestiona. Este principio – denominado en la normativa «responsabilidad proactiva» – es el eje sobre el que gira toda la actuación de la AEPD.
En nuestra experiencia, muchas empresas confunden la existencia de una política de privacidad publicada en la web con el cumplimiento efectivo del RGPD. Es un error frecuente y costoso. La política de privacidad es un documento de cara al usuario; el cumplimiento real se construye hacia adentro: procesos, contratos con encargados del tratamiento, análisis de riesgo y, cuando procede, evaluaciones de impacto.
Identificar las obligaciones no es suficiente si no se acompaña de una comprensión clara de los plazos en los que deben cumplirse. Algunas son permanentes – el mantenimiento del registro de tratamientos, la formación del personal – y otras están ligadas a eventos específicos que generan una ventana de actuación muy estrecha.
El caso más urgente es el de las brechas de seguridad. Cuando se produce un incidente que afecta a datos personales, la empresa tiene 72 horas desde que tiene conocimiento del incidente para notificarlo a la AEPD, siempre que la brecha suponga un riesgo para los derechos y libertades de los interesados. Este plazo no admite dilación. Hemos observado que empresas sin un protocolo de gestión de incidentes establecido previamente son incapaces de reaccionar dentro de esa ventana, lo que agrava su posición ante la autoridad de control.
Junto a la notificación a la AEPD, puede existir la obligación de comunicar la brecha a los propios interesados afectados cuando el riesgo sea alto. Esta decisión – comunicar o no comunicar – debe estar pre-analizada, porque tomarla bajo la presión de un incidente activo eleva el error.
Otras obligaciones de plazo incluyen la respuesta a los derechos de los interesados. Cuando un empleado, cliente o proveedor ejercita su derecho de acceso, rectificación, supresión u oposición, la empresa dispone de un mes para responder, prorrogable a dos meses en casos de complejidad o volumen. El incumplimiento de este plazo es motivo autónomo de sanción, con independencia de que la empresa trate los datos de forma lícita en todo lo demás.
El registro de actividades de tratamiento no tiene un plazo de renovación fijo, pero debe mantenerse actualizado. Cada vez que la empresa inicia un nuevo tratamiento – una nueva herramienta de recursos humanos, una campaña de marketing basada en perfiles, la contratación de un proveedor cloud – debe incorporar esa actividad al registro antes de comenzar a operar con los datos.
Entender el procedimiento de la AEPD es tan importante como conocer las obligaciones materiales. La agencia puede iniciar una investigación por tres vías: denuncia de un interesado, actuación de oficio derivada de publicaciones o incidentes conocidos, o transferencia de expediente desde otra autoridad europea.
Una vez iniciada la actuación inspectora, la empresa recibe un requerimiento de información al que debe responder en el plazo que se le otorga. La calidad de esa respuesta es determinante. En nuestra práctica, hemos comprobado que las empresas que cuentan con documentación actualizada – el registro de tratamientos, los contratos con encargados, las evaluaciones de impacto cuando proceden – están en posición de demostrar diligencia incluso cuando existe un incumplimiento puntual.
La AEPD distingue entre infracciones leves, graves y muy graves. Los criterios de graduación incluyen la intencionalidad, la duración del incumplimiento, las medidas adoptadas para mitigar el daño, el grado de cooperación con la autoridad y la existencia o no de daños reales para los interesados. Estos criterios no son solo jurídicos: son criterios de gestión empresarial. Una empresa que ha implementado medidas técnicas razonables, que notificó la brecha en plazo y que coopera con la inspección tiene argumentos sólidos para obtener una resolución más favorable, incluso si el incidente en sí fue significativo.
El resultado del procedimiento puede ir desde el apercibimiento – sin sanción económica – hasta multas de magnitud que la normativa europea cifra en términos porcentuales sobre la facturación global. Para muchas empresas medianas, la cuantía de una sanción por infracción grave puede superar con creces el coste de haber implantado un programa de cumplimiento desde el inicio.
Es quizás la creencia más extendida en el tejido empresarial español y una de las más peligrosas. La empresa incluye un aviso de privacidad en su página web, añade una cláusula en sus contratos y considera que su exposición regulatoria está cubierta. Esta percepción no resiste el análisis.
El RGPD no opera sobre documentos: opera sobre procesos. La pregunta que formula la AEPD en una inspección no es "¿tiene usted una política de privacidad?", sino "¿puede acreditar que los datos de sus clientes, empleados y proveedores se tratan con base jurídica legítima, con medidas de seguridad apropiadas, bajo contratos con sus encargados del tratamiento y con un registro actualizado de cada actividad?".
Responder afirmativamente a esa pregunta requiere un trabajo de implantación que va mucho más allá de los documentos. Requiere un diagnóstico previo de los flujos de datos de la organización, una clasificación de tratamientos por nivel de riesgo, la negociación de cláusulas de protección de datos con los proveedores que actúan como encargados, y la formación de las personas que, día a día, manejan información de terceros.
La AEPD ha publicado criterios y guías que aclaran, con notable precisión, qué espera de las organizaciones. El análisis de esa doctrina administrativa en el contexto de cada empresa es, en sí mismo, un trabajo especializado. La firma que asesora a una empresa en la implantación del programa no solo aporta conocimiento normativo: aporta experiencia sobre cómo interpreta la autoridad ese marco en situaciones reales.
La designación de un delegado de protección de datos (DPD) es obligatoria para determinadas categorías de responsables del tratamiento. La normativa lo exige, entre otros supuestos, cuando el tratamiento a gran escala de datos sensibles – datos de salud, datos biométricos, datos relativos a condenas penales – constituye la actividad principal de la organización, o cuando se realiza una observación sistemática a gran escala de personas.
Más allá de la obligación legal, el DPD tiene un valor funcional dentro del programa de cumplimiento. Es el interlocutor con la AEPD, el punto de contacto para los interesados que ejercitan sus derechos y el responsable de supervisar que los procesos internos se mantienen alineados con la normativa. En nuestra experiencia, las empresas que designan un DPD externo con perfil jurídico especializado obtienen dos ventajas concretas: una supervisión continua sin el coste de un recurso interno a tiempo completo, y un interlocutor con credibilidad ante la autoridad de control cuando se produce un incidente.
La figura del DPD no sustituye la responsabilidad del órgano de administración. El RGPD y la LOPDGDD son explícitos en que la responsabilidad última recae en el responsable del tratamiento – la empresa y sus administradores – y no en el DPD. Este matiz tiene consecuencias prácticas importantes en los procedimientos sancionadores.
La normativa de compliance penal ha introducido en el ordenamiento español la obligación para determinadas empresas de disponer de canales de denuncia interna. Este instrumento, pensado para recibir comunicaciones sobre conductas irregulares dentro de la organización, genera por sí mismo un tratamiento de datos personales que debe cumplir con el RGPD.
El canal de denuncias es, así, un punto de intersección entre dos cuerpos normativos: el compliance penal y la protección de datos. Ambos deben gestionarse de forma simultánea y coherente. El diseño del canal – quién puede acceder a las denuncias, cuánto tiempo se conservan los datos, cómo se garantiza la confidencialidad del denunciante – debe estar alineado con los principios del RGPD desde el momento en que se implanta.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la gestión del canal de denuncias ha requerido un análisis conjunto de ambas normativas. Las empresas que lo abordan por separado – el área legal gestiona el compliance penal, el área de informática gestiona la privacidad – generan incoherencias que, en una inspección, resultan difíciles de justificar.
La adaptación al RGPD en este punto no es opcional. La AEPD ha emitido criterios específicos sobre cómo deben tratarse los datos en los canales de denuncia, y el incumplimiento de esos criterios puede dar lugar a una infracción autónoma, independientemente de si el canal funciona correctamente desde la perspectiva del compliance penal.
Una brecha de seguridad mal gestionada multiplica los riesgos de la empresa en varias dimensiones simultáneas. La primera es regulatoria: la falta de notificación en plazo a la AEPD es, por sí misma, una infracción grave con independencia de la gravedad intrínseca del incidente. La segunda es reputacional: cuando la brecha se hace pública – y en entornos digitales la probabilidad de que trascienda es elevada – el daño a la confianza de clientes y socios puede superar el coste de la sanción.
La tercera dimensión es la responsabilidad civil frente a los afectados. Los interesados cuyos datos se han visto comprometidos pueden reclamar daños y perjuicios ante los tribunales ordinarios. Este frente litigioso es independiente del procedimiento sancionador de la AEPD y puede ser, en función del número de afectados y de la naturaleza de los datos, económicamente muy relevante.
El protocolo de gestión de incidentes no es un documento de cumplimiento formal: es un plan operativo que debe estar aprobado, ensayado y conocido por las personas que tendrán que activarlo. Incluye, como mínimo, la cadena de notificación interna, el umbral de activación de la obligación de comunicar a la AEPD, la evaluación de riesgo para los interesados y la plantilla de notificación. Cuando ese protocolo existe y se activa correctamente, la empresa puede demostrar ante la AEPD que actuó con diligencia desde el momento en que tuvo conocimiento del incidente.
La brecha de seguridad que no se notifica en plazo porque la empresa no tenía protocolo es, en nuestra experiencia, el escenario más frecuente y el más costoso. No porque el incidente fuera necesariamente grave, sino porque la ausencia de respuesta organizada convierte un problema técnico en un problema regulatorio de mayor calado.
El coste de implantar un programa de cumplimiento en protección de datos es una variable controlable. El coste de no haberlo implantado cuando se produce una inspección o una brecha no lo es. Esta asimetría es el argumento más sólido que podemos trasladar a la dirección de una empresa.
La implantación de un programa de protección de datos sigue una secuencia lógica: diagnóstico de los tratamientos existentes, elaboración del registro de actividades, identificación y firma de los contratos con encargados del tratamiento, establecimiento del protocolo de gestión de brechas, formación del personal y, cuando procede, realización de evaluaciones de impacto. Cada una de estas fases tiene un coste predecible y un efecto directo sobre la reducción de la exposición regulatoria.
El asesoramiento temprano tiene, además, un efecto sobre la propia estructura contractual de la empresa. Muchas organizaciones descubren, al hacer el diagnóstico, que sus contratos con proveedores de tecnología – plataformas de gestión, herramientas de marketing automatizado, sistemas de almacenamiento en nube – no incorporan las cláusulas de encargo del tratamiento que exige la normativa. Regularizar esa situación antes de una inspección es infinitamente más sencillo que tener que explicar la omisión durante el procedimiento.
En operaciones corporativas – fusiones y adquisiciones, due diligence, entrada de inversores – el estado del cumplimiento en protección de datos es un ítem de revisión habitual. Una empresa que no puede acreditar su programa de cumplimiento ve reducida su valoración o se enfrenta a condiciones de cierre más complejas. Hemos asesorado a empresas en procesos de diligencia debida (due diligence) en los que la ausencia de un programa de protección de datos estructurado ha sido objeto de representaciones y garantías específicas por parte del comprador.
Puede consultar nuestra práctica de protección de datos y compliance para conocer el alcance completo del trabajo que desarrollamos en este ámbito.
Una empresa que trata datos personales – casi cualquier empresa en actividad – debería poder responder afirmativamente a los siguientes elementos:
Este checklist no es exhaustivo ni sustituye al diagnóstico individualizado de cada organización. Es, sin embargo, el mapa de partida que permite a la dirección identificar con rapidez las lagunas más relevantes de su programa de cumplimiento actual.
Si su empresa opera en el sector industrial o manufacturero, puede resultar de utilidad el análisis específico sobre el RGPD en la industria y la manufactura, donde abordamos los flujos de datos propios de ese entorno productivo.
El cumplimiento en protección de datos no es, en última instancia, una cuestión técnica o jurídica en sentido estricto. Es una decisión de gobierno corporativo. El órgano de administración de una empresa es, bajo la legislación vigente, el responsable del tratamiento. Esa condición tiene consecuencias en términos de deber de diligencia, responsabilidad personal y capacidad de respuesta ante una autoridad de control.
¿Puede el consejo de administración demostrar que tomó las decisiones necesarias para implantar un programa de cumplimiento? ¿Aprobó el presupuesto para ello? ¿Revisó el informe del delegado de protección de datos? ¿Conocía la existencia de incidentes antes de que se produjeran o solo reaccionó después? Estas preguntas, en el contexto de un procedimiento sancionador, son tan relevantes como los detalles técnicos del incidente.
En nuestra práctica, hemos observado que las empresas que integran la protección de datos en sus procesos de toma de decisiones – no solo en el área de tecnología o en el departamento jurídico, sino en la agenda del comité de dirección – tienen una exposición regulatoria significativamente menor. No porque los incidentes no ocurran, sino porque cuando ocurren, la organización ya tiene los mecanismos para responder con diligencia demostrable.
El sector inmobiliario y de construcción, que trata datos de compradores, arrendatarios y promotores con características propias, puede encontrar orientación específica en nuestra guía sobre cómo implantar un programa de protección de datos en el sector inmobiliario y de construcción.
El programa de protección de datos es, con frecuencia, el punto de entrada a un trabajo más amplio de compliance empresarial. La implantación del RGPD genera sinergias con el diseño del canal de denuncias, con la revisión de los contratos de distribución y prestación de servicios y, en empresas con presencia internacional, con la coordinación con abogados locales de confianza en las jurisdicciones donde se tratan datos fuera del Espacio Económico Europeo.
En Velarde & Vidal trabajamos de forma integrada la protección de datos con la práctica de propiedad intelectual y tecnología, cuando el tratamiento de datos se cruza con el uso de soluciones de inteligencia artificial o con la gestión de activos digitales, y con la práctica laboral, cuando el tratamiento afecta a datos de empleados en contextos de control, monitorización o teletrabajo.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.