Compliance centralizado vs por filial

La decisión de estructurar el cumplimiento normativo de forma centralizada o de atribuirlo a cada filial de manera independiente no es, en ningún caso, una cuestión meramente organizativa. Es una decisión estratégica con consecuencias directas sobre la exposición regulatoria de la empresa, la eficacia del canal de denuncias, la gestión de brechas de seguridad y la responsabilidad penal de las personas jurídicas. En el entorno actual, donde la Agencia Española de Protección de Datos (AEPD) ha intensificado su actividad supervisora y el marco de compliance penal exige programas efectivos y verificables, esta elección define el nivel de riesgo que asume cada grupo empresarial.

¿Qué exige el marco normativo aplicable a la empresa con varias filiales?

El punto de partida es comprender que el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) no funcionan exactamente igual que el Código Penal en materia de responsabilidad corporativa. Ambos marcos conviven en la mayoría de los grupos empresariales españoles, pero responden a lógicas diferentes que condicionan la arquitectura del compliance.

En el ámbito de la protección de datos, cada entidad jurídica es, en principio, un responsable o encargado del tratamiento independiente. Esto significa que una filial española de un grupo multinacional puede ser responsable de los tratamientos que realiza con sus propios clientes o empleados, con independencia de que la matriz tenga su propio delegado de protección de datos (DPD). La figura del DPD corporativo existe y es válida: el RGPD permite que un grupo empresarial designe un único delegado siempre que sea accesible para cada establecimiento y para los interesados.

Sin embargo, esa accesibilidad no es retórica. La AEPD ha señalado en sus directrices que la mera designación formal de un DPD corporativo sin capacidad real de actuar ante cada filial no satisface los requisitos del marco europeo. Dicho de otro modo: un DPD en Madrid que no conoce los flujos de datos de la filial en Valencia o en Bilbao no es un DPD efectivo para esas filiales.

En el plano del compliance penal, la Ley Orgánica que establece la responsabilidad penal de las personas jurídicas exige que cada persona jurídica –cada filial, si tiene personalidad propia– disponga de un modelo de organización y gestión que prevenga la comisión de los delitos tipificados. El Tribunal Supremo ha consolidado el criterio de que el modelo debe ser específico, no una adaptación genérica del modelo de la matriz. Una filial con actividades propias de alto riesgo –contratación pública, agentes comerciales en mercados con riesgo de corrupción, tratamiento masivo de datos– necesita un modelo que contemple sus propios vectores de riesgo.

El marco normativo, en suma, no prohíbe el compliance centralizado. Pero exige que, sea cual sea el modelo elegido, sea efectivo, documentado y verificable en cada entidad jurídica.

¿Qué diferencia en la práctica un modelo centralizado de uno por filial?

La distinción no es solo teórica. En nuestra experiencia asesorando a grupos empresariales en España, la diferencia entre ambos modelos se traduce en decisiones concretas que afectan al día a día de la operación:

En un modelo centralizado, la función de compliance reside en la matriz o en una entidad holding. Las políticas, los procedimientos, el registro de actividades de tratamiento y el canal de denuncias son únicos y de aplicación a todo el grupo. La eficiencia de escala es evidente: se evita la duplicación de recursos, se mantiene coherencia en los mensajes de cumplimiento y se facilita la auditoría interna. El riesgo, igualmente claro, es la desconexión de la realidad local: una política de protección de datos redactada para la realidad de la sede puede no contemplar las particularidades de una filial que opera en el sector sanitario en Cataluña, sujeta además a normativa autonómica específica.

En un modelo por filial, cada entidad desarrolla su propio programa, con sus propios recursos y su propio responsable de cumplimiento. La adaptación local es máxima. El coste también: duplicación de documentación, formación independiente para cada plantilla, múltiples canales de denuncias que pueden fragmentar la información relevante para el grupo. Y un riesgo adicional que se suele subestimar: la inconsistencia entre políticas de filiales que comparten datos entre sí.

La mayoría de los grupos medianos y grandes que asesoramos terminan optando por un modelo híbrido: un núcleo centralizado de políticas y herramientas, con adaptaciones locales gestionadas por un corresponsal de compliance en cada filial relevante. Es la arquitectura que mejor equilibra eficiencia y efectividad, siempre que las líneas de reporte y las responsabilidades estén perfectamente delimitadas.

Tabla de decisión: compliance centralizado vs por filial

La tabla anterior no determina la decisión correcta en abstracto. Cada grupo debe analizar su estructura jurídica, la naturaleza de los datos que trata, los sectores en que opera y la distribución geográfica de sus actividades. La elección equivocada no solo genera ineficiencia: puede dejar a una filial sin la cobertura que la normativa exige, con consecuencias sancionadoras y penales concretas.

¿Cuándo elegir un modelo centralizado y cuándo optar por el modelo por filial?

La respuesta depende de tres variables principales: la homogeneidad de la actividad, el nivel de autonomía real de las filiales y el perfil de riesgo sectorial.

El modelo centralizado conviene cuando las filiales realizan actividades similares, comparten sistemas de información con la matriz, operan en mercados con marcos regulatorios equivalentes y la dirección corporativa tiene capacidad real de supervisar el cumplimiento en todas las entidades. Es el caso habitual de grupos industriales con varias plantas en distintas comunidades autónomas que tratan los datos de empleados y proveedores de forma homogénea.

El modelo por filial resulta más adecuado cuando cada entidad tiene una actividad muy diferenciada, opera en sectores con regulación sectorial específica –sanidad, servicios financieros, telecomunicaciones– o cuando la filial tiene una autonomía de gestión real que hace inviable la supervisión desde la matriz. En estos casos, intentar imponer un modelo centralizado puede generar una falsa sensación de cumplimiento: los documentos existen, pero no responden a la realidad de la filial.

En nuestra práctica, hemos observado que el error más frecuente no es elegir un modelo u otro, sino implantar un modelo sin adaptarlo. Grupos que adoptan el compliance centralizado sin designar corresponsales locales con conocimiento real de la operación. O filiales que desarrollan sus propios programas sin coordinación con la matriz, generando inconsistencias que afloran en el momento de una auditoría o de una brecha de seguridad.

Decisiones y plazos críticos que la dirección debe gestionar

Más allá de la elección del modelo, existen hitos del calendario y obligaciones cuya gestión deficiente genera consecuencias inmediatas. La dirección debe tener claros al menos los siguientes:

El primero es la notificación de brechas de seguridad a la AEPD en un plazo de 72 horas desde que la organización tiene conocimiento de la brecha. Este plazo no admite dilaciones ni interpretaciones: aplica con independencia del modelo de compliance elegido. Si el sistema de detección e información interna no está coordinado entre la filial y la matriz, el incumplimiento del plazo es casi inevitable.

El segundo es la actualización periódica del registro de actividades de tratamiento. No es un documento que se elabora una vez y se archiva. Cada incorporación de un nuevo proveedor que accede a datos personales, cada cambio en los sistemas de información, cada nueva categoría de datos tratada por una filial, debe reflejarse en el registro. En un modelo centralizado, este proceso exige un canal de comunicación fluido entre las filiales y el DPD corporativo. En un modelo por filial, exige que cada responsable local tenga la formación y los recursos para mantenerlo al día.

El tercero es la evaluación de impacto relativa a la protección de datos (EIPD). El RGPD la exige cuando el tratamiento entraña un alto riesgo para los derechos y libertades de las personas. Una filial que implanta un sistema de videovigilancia, que utiliza herramientas de perfilado de clientes o que trata datos de salud de manera sistemática debe realizar la EIPD antes de comenzar el tratamiento. Si el modelo es centralizado pero el DPD no conoce los proyectos de la filial hasta que ya están en marcha, la obligación se incumple.

El cuarto es el canal de denuncias. La normativa española obliga a las empresas con cierto número de trabajadores a disponer de un canal de denuncias interno que garantice la confidencialidad del denunciante. En un grupo con varias filiales, la pregunta sobre si el canal puede ser único para todo el grupo o si cada filial necesita el suyo propio es recurrente. La respuesta es que un canal corporativo único es admisible, pero debe ser accesible para los empleados de todas las filiales y debe garantizar que las denuncias que afectan a una filial concreta llegan a quien tiene capacidad real de investigarlas y resolverlas.

¿Cómo afecta el modelo elegido al riesgo de sanción y a la responsabilidad penal?

La creencia de que una cláusula de privacidad en la web o una política de cookies actualizada equivale a un programa de cumplimiento es uno de los malentendidos más extendidos en el ámbito empresarial. El registro de tratamientos, el protocolo de gestión de brechas y un modelo de compliance efectivo son los elementos que la AEPD y los tribunales penales valoran al determinar la sanción y la responsabilidad.

En el plano sancionador administrativo, la AEPD no sanciona del mismo modo a una empresa que carece por completo de medidas técnicas y organizativas que a una que tiene un programa implantado pero con deficiencias documentadas. La existencia de un programa, aunque imperfecto, y la diligencia en corregir las deficiencias detectadas son factores que el régimen sancionador del RGPD reconoce expresamente como atenuantes.

En el ámbito penal, el Tribunal Supremo ha consolidado el criterio de que el modelo de prevención de delitos debe ser adecuado al perfil de riesgo concreto de la persona jurídica. Un modelo genérico importado de la matriz extranjera, sin adaptación a la actividad de la filial española, no acredita la exención de responsabilidad. La filial necesita un modelo propio, o al menos una adaptación documentada y verificable del modelo corporativo. Sin ella, el riesgo de responsabilidad penal de la persona jurídica permanece abierto.

Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la documentación del programa –su existencia, su efectividad y su actualización periódica– ha sido el factor determinante en la gestión de incidentes y en la respuesta ante la autoridad supervisora.

¿Qué implica la adaptación al RGPD en un contexto de compliance centralizado?

La adaptación al RGPD no es un proyecto puntual. Es un proceso continuo que requiere una revisión regular de los tratamientos, los contratos con encargados y las medidas de seguridad. En un modelo centralizado, esta revisión continua debe estar organizada de forma que la información fluya desde las filiales al DPD corporativo de manera sistemática, no reactiva.

El contrato de encargo del tratamiento es un elemento que genera conflicto frecuente en los grupos con varias filiales. Cuando una filial utiliza un proveedor de servicios cloud o de gestión de nóminas, ese proveedor es, respecto de la filial, un encargado del tratamiento. Si el contrato con el proveedor lo ha negociado la matriz, la filial puede asumir que esa cobertura contractual le es directamente aplicable. Esa asunción es, en muchos casos, incorrecta: la cobertura contractual negociada por la matriz cubre a la matriz como responsable, no necesariamente a cada filial como responsable independiente.

La transferencia internacional de datos dentro del propio grupo es otro vector de riesgo habitual. Un grupo con filiales en varios países transfiere datos entre entidades de manera habitual: datos de empleados, datos de clientes compartidos, información comercial. Cada una de esas transferencias necesita una base jurídica adecuada. Las normas corporativas vinculantes (BCR, por sus siglas en inglés) son el instrumento más robusto para regularizar estas transferencias intragrupales, pero su adopción requiere aprobación de la autoridad supervisora competente y un proceso de implantación que puede prolongarse durante meses. Mientras ese proceso no concluye, las transferencias deben apoyarse en otro mecanismo válido.

Para profundizar en la gestión de transferencias internacionales de datos en contextos empresariales complejos, puede consultar nuestro análisis sobre transferencias internacionales de datos en el sector de la automoción, donde abordamos los principales instrumentos y las cuestiones más frecuentes que plantea la práctica.

Errores frecuentes que elevan el riesgo en cualquier modelo

Al margen del modelo elegido, en nuestra experiencia existen patrones de error que se repiten con independencia del tamaño del grupo o del sector:

• Documentación desactualizada: el registro de tratamientos y las evaluaciones de impacto se elaboran en el momento de la implantación y no se revisan. Cuando se produce una brecha o una inspección, los documentos no reflejan la realidad operativa.
• Canal de denuncias sin procedimiento de investigación: el canal existe como buzón, pero no hay un protocolo documentado de cómo se gestionan las denuncias recibidas, quién las investiga, en qué plazo y con qué garantías para el denunciante.
• Formación nominal: la empresa acredita haber realizado una sesión de formación anual sobre protección de datos, pero no hay evidencia de que los empleados con acceso a datos sensibles hayan recibido formación específica y adaptada a sus funciones.
• Contratos con encargados incompletos: se firma el contrato de encargo en el momento de contratar el servicio, pero no se revisa cuando cambian las condiciones del tratamiento o cuando el proveedor modifica sus propias políticas de subcontratación.
• Ausencia de evaluación de impacto en tratamientos de alto riesgo: la empresa implanta sistemas de videovigilancia, de control horario biométrico o de análisis de comportamiento de clientes sin realizar previamente la evaluación de impacto que el RGPD exige.
• Modelo de compliance penal genérico: el modelo se descarga de una plantilla o se adopta del modelo corporativo sin adaptación al perfil de riesgo concreto de la filial. El Tribunal Supremo ha señalado con claridad que ese tipo de modelos no acredita la debida diligencia.

¿Se reconoce su empresa en alguno de estos patrones? Si la respuesta es afirmativa, el momento de actuar es antes de que se produzca el incidente, no después.

Cómo el asesoramiento temprano reduce el coste y el riesgo en compliance centralizado vs por filial

La economía del compliance es, en esencia, la economía de la prevención frente a la corrección. El coste de diseñar e implantar un programa de cumplimiento adecuado es sistemáticamente inferior al coste de gestionar una sanción administrativa, un procedimiento penal o una crisis reputacional derivada de una brecha de datos no gestionada correctamente.

En los grupos empresariales que han optado por el compliance centralizado, la intervención temprana permite diseñar desde el inicio una arquitectura que evite los riesgos de desconexión local. Implica definir con claridad los roles del DPD corporativo, los corresponsales de filial y los responsables de los distintos tratamientos. Implica establecer protocolos de comunicación que garanticen que las 72 horas de la AEPD para la notificación de brechas se pueden cumplir incluso cuando la incidencia se detecta en una filial. Y permite construir una documentación que sea verificable y coherente en su conjunto.

En los grupos que optan por el modelo por filial, la intervención temprana evita la proliferación de modelos inconsistentes que, en la práctica, generan más riesgo que un modelo centralizado mal implantado. Cada filial necesita su programa, sí, pero construido sobre una estructura común que garantice coherencia en las políticas de seguridad, en los contratos con encargados del tratamiento y en el canal de denuncias.

La pregunta que los consejos de administración y los directores financieros deberían hacerse no es si pueden permitirse invertir en compliance. Es si pueden permitirse no hacerlo. En nuestra práctica, el coste de rectificar un modelo de compliance deficiente –con sanciones en curso, procedimientos penales abiertos o brechas sin protocolo– supera con amplitud el de haberlo construido correctamente desde el principio.

Puede obtener una visión completa de nuestro enfoque en materia de cumplimiento normativo y protección de datos accediendo a nuestra práctica de protección de datos y compliance, donde se describen los distintos instrumentos y servicios con los que trabajamos para reducir la exposición regulatoria de la empresa.

Checklist de cumplimiento: qué debe verificar su organización

Con independencia del modelo elegido, estos son los elementos mínimos que un programa de compliance en materia de protección de datos y cumplimiento penal debe acreditar:

1. Registro de actividades de tratamiento actualizado y específico de cada entidad jurídica responsable.
2. Base jurídica identificada y documentada para cada tratamiento.
3. Contratos de encargo del tratamiento suscritos con todos los proveedores que acceden a datos personales.
4. Mecanismo válido para cada transferencia internacional de datos fuera del Espacio Económico Europeo.
5. Evaluaciones de impacto realizadas para los tratamientos de alto riesgo, con fecha anterior al inicio del tratamiento.
6. Protocolo de gestión de brechas de seguridad que garantice la notificación a la AEPD en 72 horas.
7. Canal de denuncias operativo, con procedimiento de investigación documentado y garantías de confidencialidad.
8. Modelo de prevención de delitos específico o adaptado al perfil de riesgo de cada filial con personalidad jurídica propia.
9. Programa de formación periódica y específica por función para los empleados con acceso a datos sensibles o en posición de riesgo penal.
10. Auditoría interna o revisión periódica del programa, con registro de las deficiencias detectadas y de las medidas correctoras adoptadas.

Este checklist no es exhaustivo. El nivel de detalle y la complejidad de cada elemento dependen del tamaño del grupo, del volumen y la sensibilidad de los datos tratados y del sector de actividad. Pero cualquier organización que no pueda responder afirmativamente a todos los puntos anteriores tiene identificado un riesgo concreto que conviene gestionar.

Para empresas con presencia en Castilla y León o con operaciones en esa región, ofrecemos igualmente apoyo en compliance y protección de datos desde nuestro punto de trabajo en Valladolid, con el mismo nivel de especialización que en Madrid y Barcelona.

Servicios relacionados

El compliance en materia de protección de datos está estrechamente vinculado a la gestión de la responsabilidad penal corporativa, a la propiedad intelectual y tecnológica y, en grupos con movilidad internacional, al Derecho laboral y de extranjería. Un programa de cumplimiento bien diseñado contempla la intersección entre estas áreas: la gestión de datos de empleados en situaciones de movilidad, la protección de activos digitales como parte del programa de compliance, o la coordinación entre el canal de denuncias y los procedimientos laborales internos. En Velarde & Vidal trabajamos estas áreas de forma coordinada para evitar que una solución en un frente genere un riesgo no gestionado en otro.