La normativa de protección de datos vigente en España exige bastante más que una cláusula en el pie de página de un sitio web. Muchas empresas tecnológicas descubren esta realidad cuando ya han sufrido una brecha, recibido una inspección de la Agencia Española de Protección de Datos (AEPD) o perdido un contrato con un cliente institucional que les exigía acreditar su cumplimiento. El punto de partida, en todos estos supuestos, es el mismo: la organización nunca articuló un programa real de adaptación al Reglamento General de Protección de Datos (RGPD).
La empresa protagonista de este caso es una compañía de desarrollo de software y analítica de datos con sede en España. Opera en el segmento B2B, presta servicios a empresas del sector financiero y sanitario, y cuenta con una plantilla de entre ochenta y ciento veinte empleados. Su modelo de negocio implica el tratamiento continuado de datos personales de terceros en calidad de encargada del tratamiento.
En el momento en que nos consultaron, la empresa afrontaba dos presiones simultáneas. Por un lado, un cliente de gran volumen del sector sanitario les había solicitado un cuestionario de cumplimiento en materia de protección de datos como condición para la renovación del contrato. Por otro, habían detectado internamente un acceso no autorizado a una base de datos de usuarios de prueba que potencialmente contenía datos de carácter personal.
El equipo directivo creía que disponer de una política de privacidad publicada en la web y haber firmado los contratos de encargo del tratamiento exigidos por sus clientes era suficiente. Era la creencia errónea que había guiado sus decisiones durante tres años. La realidad, que tuvimos que exponer con rapidez, era sustancialmente distinta.
El Reglamento General de Protección de Datos y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establecen un modelo de responsabilidad proactiva. No basta con no infringir la norma. La empresa debe poder demostrar que la cumple. Esta distinción es crítica.
En nuestra experiencia asesorando a empresas tecnológicas, los elementos que más frecuentemente faltan son los siguientes:
La norma, además, atribuye responsabilidades distintas en función de si la empresa actúa como responsable del tratamiento o como encargada. Esta compañía actuaba en ambas capacidades según el contrato: era responsable de los datos de sus propios empleados y usuarios internos, y encargada respecto a los datos de los clientes de sus clientes. Confundir ambos roles genera exposición directa.
El incidente de seguridad que había detectado la empresa exigía una respuesta inmediata y ordenada. La dirección tenía ante sí una secuencia de decisiones que no podían demorarse.
La primera era determinar si el acceso no autorizado constituía una "violación de seguridad de los datos personales" en el sentido técnico que el RGPD atribuye a ese término. Esto requería analizar la naturaleza de los datos afectados, el número de personas concernidas, la probabilidad de que el incidente causara un riesgo para sus derechos y libertades, y la reversibilidad del daño potencial.
La segunda decisión era si ese riesgo alcanzaba el umbral que obliga a notificar a la AEPD. El plazo de setenta y dos horas comienza a correr desde el momento en que la empresa tiene conocimiento del incidente, no desde que lo valora o desde que lo documenta formalmente. Esta distinción ha sido subrayada reiteradamente por la AEPD en sus resoluciones y guías. Si hay duda sobre si se supera el umbral, la práctica habitual es notificar con carácter provisional e indicar que la evaluación está en curso.
La tercera decisión afectaba a la comunicación al cliente sanitario afectado. En calidad de encargada del tratamiento, la empresa tenía la obligación de notificar la brecha a ese cliente sin dilación indebida para que el cliente, como responsable, pudiera evaluar si debía a su vez notificar a la AEPD y a los interesados.
Más allá del incidente, la dirección debía tomar decisiones estructurales. ¿Era necesario designar un delegado de protección de datos? En este caso, la respuesta era afirmativa: la empresa trataba datos de salud a gran escala en calidad de encargada del tratamiento, lo que sitúa la designación del delegado dentro del ámbito de obligatoriedad establecido por el RGPD y la LOPDGDD. La designación debe registrarse ante la AEPD.
¿Qué plazo razonable tiene un programa de adaptación completo? En nuestra práctica, un proyecto de adaptación estructurada para una empresa de este tamaño y perfil de tratamientos requiere entre tres y seis meses de trabajo activo, dependiendo de la complejidad de los sistemas de información, el número de contratos con terceros encargados y subencargados, y el grado de madurez previo de la organización. No es un trámite de días.
El trabajo se organizó en tres fases. La primera fue de diagnóstico y contención inmediata. En paralelo con la gestión del incidente de seguridad, realizamos un mapeo preliminar de los tratamientos de datos existentes, identificamos las lagunas más críticas y priorizamos las medidas de mitigación urgentes. El objetivo de esta fase era reducir la exposición regulatoria en el menor tiempo posible sin perder el contrato del cliente sanitario.
En la segunda fase abordamos la construcción del programa de cumplimiento. Esto incluyó la elaboración del registro de actividades de tratamiento, la revisión y actualización de todos los contratos de encargo del tratamiento, la realización de las evaluaciones de impacto correspondientes a los tratamientos de mayor riesgo, el diseño del protocolo de gestión de brechas y la revisión de la política de privacidad, los avisos de información y los mecanismos de ejercicio de derechos por parte de los interesados.
La tercera fase, que se extiende de forma continua, es el mantenimiento del programa. La protección de datos no es un proyecto puntual. Es un sistema de gestión que debe actualizarse cuando cambian los tratamientos, cuando se incorporan nuevos proveedores, cuando la empresa lanza nuevos productos o cuando la AEPD publica nuevas guías o resoluciones relevantes.
En nuestra experiencia, las empresas que tratan el cumplimiento del RGPD como un evento de implantación única vuelven a estar en situación de incumplimiento en un plazo de doce a dieciocho meses. La clave está en integrar el cumplimiento en los procesos internos, no en añadirlo como una capa externa.
La adaptación al RGPD de una empresa tecnológica no agota su exposición regulatoria. En nuestra práctica, observamos con frecuencia que las empresas que llegan a nosotros para resolver su situación frente a la normativa de protección de datos tienen también lagunas relevantes en su programa de compliance penal.
La legislación penal española atribuye responsabilidad criminal a las personas jurídicas por determinados delitos, entre los que se encuentran el descubrimiento y revelación de secretos o el acceso no autorizado a sistemas informáticos, que pueden guardar relación directa con incidentes de seguridad y tratamientos ilícitos de datos. Un programa de compliance penal bien estructurado puede ser un elemento de exoneración o atenuación de la responsabilidad penal de la empresa.
Adicionalmente, el Reglamento RGPD y la LOPDGDD conviven con la obligación de establecer canales de denuncia internos para determinadas empresas, derivada de la normativa de protección de personas denunciantes. Un canal de denuncias correctamente implantado debe garantizar la confidencialidad del denunciante, el tratamiento seguro de los datos personales contenidos en la denuncia y el establecimiento de plazos de respuesta y actuación. La articulación del canal de denuncias, del programa de protección de datos y del compliance penal forma un triángulo de cumplimiento que en nuestra práctica gestionamos de forma integrada.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y la experiencia demuestra que el coste de un programa preventivo es significativamente inferior al coste de gestionar una sanción, una brecha no contenida o una crisis reputacional ante clientes corporativos.
El riesgo más inmediato era la sanción administrativa de la AEPD por la brecha de seguridad no notificada en plazo. El hecho de que la empresa tuviera conocimiento del incidente y no hubiera iniciado el procedimiento de evaluación ni de notificación en el plazo establecido constituía una infracción autónoma, independientemente de si el incidente en sí habría requerido notificación.
El segundo riesgo era contractual. El cliente del sector sanitario podía resolver el contrato si la empresa no podía acreditar un nivel de cumplimiento adecuado. En el sector sanitario, los contratos con encargados del tratamiento suelen incluir cláusulas de auditoría y de resolución por incumplimiento del RGPD. Perder ese contrato habría representado un impacto económico considerablemente superior al coste de la adaptación.
El tercer riesgo era reputacional y comercial a largo plazo. Las empresas que prestan servicios de software y analítica a sectores regulados como la salud, las finanzas o las administraciones públicas son evaluadas cada vez con mayor rigor en sus procesos de homologación. Un incumplimiento documentado en el registro de la AEPD cierra puertas en licitaciones y en procesos de homologación de proveedores.
El cuarto riesgo, menos visible pero igualmente relevante, era la responsabilidad de los administradores. La legislación societaria española contempla la responsabilidad de los administradores por daños causados a la sociedad, a los socios y a terceros por actos contrarios a la ley. Un programa de cumplimiento deficiente que derive en una sanción cuantiosa o en la pérdida de contratos significativos puede abrir vías de reclamación interna.
Esta es la cuestión central desde la perspectiva de la dirección de la empresa. El argumento habitual contra la inversión en compliance es que se trata de un coste sin retorno inmediato. La realidad que vemos en nuestra práctica habitual es la contraria.
Una empresa que detecta su situación de incumplimiento antes de sufrir un incidente o una inspección puede diseñar el programa de adaptación con calma, secuenciando las acciones por orden de prioridad y riesgo. Una empresa que actúa en modo reactivo, tras recibir una denuncia o una notificación de inspección de la AEPD, opera bajo presión de tiempo y con una exposición ya materializada que limita su margen de maniobra.
El momento de mayor eficiencia en la intervención jurídica es el preventivo. La evaluación de los tratamientos existentes, la identificación de las bases jurídicas, la revisión de contratos con terceros y la implementación del protocolo de brechas cuestan menos tiempo y recursos cuando se abordan de forma planificada. El coste escala exponencialmente cuando hay que hacerlo con urgencia y en paralelo a la gestión de un incidente real.
Adicionalmente, la acreditación de un programa de cumplimiento activo antes de un incidente es el principal factor de atenuación de sanciones que contempla la práctica de la AEPD. La colaboración con la autoridad de control, la adopción de medidas correctoras antes de la resolución y la acreditación de que la empresa contaba con un programa de cumplimiento previo son elementos que la AEPD valora de forma explícita en la determinación de la sanción.
¿Tiene sentido esperar a que ocurra algo? La respuesta, a la vista de la experiencia acumulada en este tipo de proyectos, es categóricamente negativa.
En el caso concreto de esta empresa, la actuación inmediata permitió notificar la brecha a la AEPD con un retraso que fue justificado mediante documentación del proceso de evaluación interna. Se elaboró el expediente de notificación con descripción de la naturaleza del incidente, las categorías de datos afectados, las medidas de contención adoptadas y el plan de acción correctora. El cliente sanitario recibió comunicación en los términos exigidos y decidió mantener el contrato, condicionado a la acreditación del programa de cumplimiento en un plazo pactado.
En un plazo de cuatro meses, la empresa contaba con un registro de actividades de tratamiento completo, contratos de encargo revisados, evaluaciones de impacto para los tratamientos de alto riesgo, un protocolo de gestión de brechas operativo, un canal de denuncias implantado y un delegado de protección de datos designado y comunicado a la AEPD. El programa de compliance penal quedó integrado con el de protección de datos en un único sistema de gestión.
Las lecciones que este caso ilustra son aplicables a cualquier empresa tecnológica que opere en España y trate datos personales de forma significativa.
La primera lección es que el cumplimiento del RGPD no es un estado estático. Requiere revisión periódica, especialmente cuando cambian los productos, los sistemas o los proveedores.
La segunda es que el rol de encargado del tratamiento no reduce la responsabilidad: la concentra en las obligaciones contractuales y en la capacidad de respuesta ante incidentes. Un encargado que no puede responder ante una brecha en el plazo establecido incumple de forma autónoma, con independencia de lo que haya ocurrido en los sistemas del responsable.
La tercera es que el canal de denuncias y el compliance penal no son elementos accesorios del programa de protección de datos. Son componentes del mismo sistema de gobernanza y deben diseñarse de forma coherente.
La cuarta, y quizás la más operativa para un consejo de administración, es que el cumplimiento verificable del RGPD es un activo comercial. En sectores como la salud, las finanzas o la administración pública, la capacidad de acreditar el cumplimiento ante un cliente o ante un órgano contratante diferencia a las empresas que pueden competir de las que quedan excluidas del proceso.
Si su empresa trata datos personales de clientes, empleados o usuarios finales y no dispone de un programa de cumplimiento actualizado, le invitamos a evaluar su situación antes de que un incidente lo haga por usted. Escríbanos a info@velardevidal.com y le explicamos cómo podemos ayudarle a estructurar un programa eficaz.
La adaptación al RGPD de una empresa tecnológica suele converger con otras necesidades jurídicas de la organización. En nuestra práctica de protección de datos y compliance, gestionamos con frecuencia programas que integran la protección de datos con el cumplimiento normativo sectorial, el compliance penal y la gestión de contratos con proveedores tecnológicos. Si su empresa opera en el sector del comercio o la distribución, puede resultarle de interés nuestra perspectiva sobre la protección de datos y compliance en el sector retail, donde las obligaciones de tratamiento de datos de consumidores y empleados generan un mapa de riesgos específico que analizamos en detalle. Para empresas del sector energético, el dosier sobre protección de datos y compliance en el sector energético aborda las particularidades del tratamiento de datos de consumo y de infraestructuras críticas.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.