Las empresas del sector de la automoción que mantienen vínculos operativos con el ámbito de la salud – ya sea a través de sistemas de telemedicina embarcada, flotas de vehículos sanitarios, programas de bienestar laboral o soluciones de asistencia en ruta – se encuentran ante uno de los entornos de cumplimiento más exigentes del ordenamiento europeo. Tratar datos de salud no es una opción técnica neutral: activa de inmediato un régimen de obligaciones reforzadas cuya inobservancia puede derivar en sanciones, responsabilidad penal del órgano de administración y daño reputacional difícilmente reparable.
El punto de partida es reconocer que los datos de salud no son datos personales ordinarios. Forman parte de las denominadas categorías especiales de datos, cuyo tratamiento queda prohibido con carácter general salvo que la empresa pueda acreditar una base habilitante específica. En el contexto industrial de la automoción, las bases que con mayor frecuencia resultan de aplicación son el consentimiento explícito del interesado, la ejecución de un contrato laboral que exige el tratamiento o la gestión de la medicina preventiva en el marco de la vigilancia de la salud de los trabajadores.
El RGPD y la LOPDGDD definen el marco normativo aplicable en España. No se trata de dos textos paralelos sino complementarios: el primero fija el régimen común europeo y el segundo lo adapta al ordenamiento español, introduce garantías adicionales y habilita a la AEPD para actuar como autoridad de control nacional. Cuando la empresa opera también en otros Estados miembros – algo habitual en grupos automovilísticos de vocación internacional – entra en juego el mecanismo de ventanilla única, que concentra la supervisión en la autoridad del Estado donde se sitúe el establecimiento principal.
¿Cuáles son las obligaciones esenciales que impone este marco a la empresa? La respuesta no admite atajos. En nuestra experiencia asesorando a empresas industriales y de automoción, el cumplimiento efectivo se articula alrededor de cinco pilares que la dirección debe comprender antes de delegar su ejecución en un responsable de cumplimiento o en un delegado de protección de datos (DPD).
La AEPD ejerce sus funciones de inspección e investigación de oficio y a instancia de parte. Las empresas del sector de la automoción no deben asumir que su actividad, por ser predominantemente industrial, queda fuera del radar de la autoridad de control.
La gestión del cumplimiento en materia de protección de datos no es una tarea puntual. Es un ciclo de gobierno continuo que requiere decisiones de carácter estratégico por parte del órgano de administración, no solo de la dirección técnica o del departamento jurídico.
La primera decisión es la asignación de responsabilidades. En una empresa de automoción que trata datos de salud, la figura del responsable del tratamiento recae en la propia entidad, con independencia de que externalice el tratamiento a un tercero. Esta distinción – responsable frente a encargado – tiene consecuencias jurídicas inmediatas: el responsable no puede transferir al encargado la responsabilidad última frente a la AEPD ni frente al interesado.
La segunda decisión afecta al ciclo de vida de los datos. ¿Durante cuánto tiempo deben conservarse los datos de salud de los trabajadores? ¿Y los de los usuarios de un servicio de telemedicina embarcada? La legislación laboral, la normativa de prevención de riesgos laborales y la legislación sanitaria aplicable fijan plazos de conservación mínimos que en ocasiones entran en tensión con el principio de limitación del plazo de conservación del RGPD. Gestionar esa tensión exige un análisis normativo específico, no una solución estándar.
La tercera decisión es la relativa a las transferencias internacionales de datos. Los grupos automovilísticos trabajan con cadenas de suministro globales. Si los datos de salud fluyen hacia proveedores situados fuera del Espacio Económico Europeo, la empresa debe garantizar un nivel de protección equivalente al europeo mediante los mecanismos habilitados: decisiones de adecuación de la Comisión Europea, cláusulas contractuales tipo o normas corporativas vinculantes. En nuestra práctica hemos observado que este punto es frecuentemente subestimado por las empresas industriales que asumen que sus flujos de datos son puramente técnicos.
En cuanto a los plazos críticos, la dirección debe interiorizar dos. El primero es el ya citado plazo de 72 horas para notificar una brecha de seguridad a la AEPD. El segundo es el plazo de un mes, prorrogable por dos meses adicionales, para responder a las solicitudes de ejercicio de derechos de los interesados – acceso, rectificación, supresión, oposición, limitación y portabilidad –. Incumplir cualquiera de estos dos plazos constituye en sí mismo una infracción susceptible de sanción.
La palabra «programa» no debe interpretarse como sinónimo de documento extenso archivado en un servidor. Un programa de compliance de protección de datos es un sistema de gobierno operativo: políticas, procedimientos, controles y métricas que permiten a la empresa demostrar de forma continuada que cumple el marco normativo.
En el sector de la automoción, la arquitectura del programa habitualmente se construye sobre las siguientes capas:
Un mito arraigado en el sector industrial es que incluir una cláusula de privacidad en la página web o en el manual de empleado es suficiente para cumplir el RGPD. No lo es. La cláusula de privacidad es un instrumento de información al interesado, pero no sustituye ni al registro de tratamientos, ni al protocolo de brechas, ni a la EIPD, ni a los contratos de encargo. La AEPD ha sancionado de forma reiterada a empresas que disponían de políticas de privacidad formalmente correctas pero carecían de los elementos estructurales del cumplimiento.
El compliance penal y la protección de datos son dos disciplinas que, en origen, se desarrollaron de forma paralela. Hoy convergen de manera inescapable en el sector de la automoción que trata datos de salud.
¿Por qué? La respuesta tiene dos dimensiones. La primera es normativa: la revelación de datos reservados o el acceso ilícito a datos de salud puede tener encaje en tipos penales del Código Penal relativos a la intimidad y a la divulgación de secretos. Si la empresa carece de un programa de prevención penal que incluya medidas de control en materia de protección de datos, el órgano de administración puede enfrentarse a responsabilidad penal de la persona jurídica.
La segunda dimensión es práctica. Un programa de compliance penal que no incorpore el módulo de protección de datos es un programa incompleto. Y un programa de protección de datos que ignore el marco del compliance penal no puede acreditar ante un tribunal que la empresa adoptó todas las medidas de vigilancia y control que le eran exigibles.
En nuestra experiencia asesorando a empresas del sector industrial, hemos observado que la integración de ambos marcos en un único programa de cumplimiento genera economías de escala significativas: reduce la duplicidad de esfuerzos, evita contradicciones entre políticas y fortalece la posición de la empresa ante cualquier tipo de investigación administrativa o penal.
El canal de denuncias es el punto de intersección más evidente. Un canal correctamente diseñado cumple al mismo tiempo las exigencias de la Ley Whistleblowing, los requisitos del modelo de prevención penal y las obligaciones derivadas del RGPD en materia de confidencialidad del denunciante y tratamiento de los datos de la investigación interna.
La pregunta no es retórica. La AEPD publica anualmente sus estadísticas de actuación, y el número de investigaciones iniciadas en sectores industriales y de servicios no ha dejado de crecer en los últimos ejercicios. Los riesgos para la empresa sin programa de cumplimiento son de naturaleza heterogénea y se materializan en planos distintos.
El primer plano es el sancionador. El RGPD establece un régimen de sanciones con dos niveles: el nivel superior puede alcanzar importes muy significativos en función del volumen de negocio global del grupo empresarial. No se trata de importes ficticios: la AEPD ha impuesto sanciones cuantiosas a empresas españolas en los sectores financiero, sanitario y de telecomunicaciones, y la tendencia se extiende al ámbito industrial.
El segundo plano es el reputacional. Una brecha de seguridad que afecte a datos de salud de trabajadores o usuarios, comunicada públicamente – como puede ser obligatorio cuando el riesgo para los afectados es elevado – tiene un impacto en la marca empleadora y en la confianza de clientes y socios que raramente puede cuantificarse pero siempre resulta costoso.
El tercer plano es el contractual. Los grandes fabricantes y plataformas de movilidad exigen a sus proveedores y subcontratistas acreditar niveles mínimos de cumplimiento en materia de protección de datos. No disponer de un programa acreditado puede suponer la pérdida de contratos o la imposibilidad de acceder a licitaciones de relevancia.
El cuarto plano, el menos visible pero no el menos grave, es el de la responsabilidad del órgano de administración. La normativa española impone deberes de diligencia a los administradores de sociedades de capital en relación con el cumplimiento normativo. Un administrador que conocía el riesgo y no adoptó medidas puede enfrentar responsabilidad personal frente a la sociedad, frente a socios y frente a terceros perjudicados.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el diagnóstico inicial revela que el coste de la implantación del programa es notablemente inferior al coste de gestionar una sola investigación de la AEPD sin haber adoptado medidas preventivas.
La adaptación al RGPD no es un proyecto que se acomete una sola vez. Es un proceso de mejora continua que requiere revisiones periódicas y ajustes cada vez que la empresa introduce nuevas tecnologías, modifica su estructura corporativa o amplía su base de tratamientos.
El asesoramiento jurídico temprano aporta valor en tres momentos distintos. El primero es el diseño. Cuando la empresa desarrolla un nuevo producto o servicio – por ejemplo, un sistema de asistencia de conducción que monitoriza signos vitales del conductor –, la incorporación del principio de privacidad desde el diseño y por defecto permite construir el producto de forma que el cumplimiento sea inherente a su arquitectura, no un añadido posterior costoso.
El segundo momento es la auditoría periódica. La empresa que realiza una revisión anual de su programa de cumplimiento detecta las desviaciones antes de que se conviertan en infracciones. El coste de corregir una desviación identificada internamente es siempre inferior al coste de gestionarla ante la AEPD.
El tercer momento es la gestión de incidentes. Cuando se produce una brecha de seguridad, cada hora cuenta. El protocolo debe activarse de inmediato, la evaluación del riesgo debe completarse en un tiempo limitado y la notificación a la AEPD debe producirse dentro del plazo de 72 horas. Una empresa que ha implantado el protocolo con antelación y lo ha ensayado actúa con rapidez y precisión. Una empresa que improvisa en el momento del incidente comete errores que agravan la infracción.
Si quiere evaluar en qué punto de cumplimiento se encuentra su empresa o comparar las opciones de estructuración de un programa de protección de datos, le ayudamos a identificar la vía adecuada: escríbanos a info@velardevidal.com.
Para una visión completa de las obligaciones de compliance aplicables a su sector, puede consultar nuestra práctica de protección de datos y compliance, donde desarrollamos en detalle los instrumentos disponibles para empresas españolas e internacionales.
La siguiente secuencia no es exhaustiva pero refleja el orden lógico de actuación que recomendamos a las empresas que inician o revisan su programa de cumplimiento:
La gestión de transferencias internacionales de datos merece un tratamiento específico. Si su empresa transfiere datos de salud fuera del Espacio Económico Europeo, le recomendamos revisar nuestra guía sobre cómo formalizar transferencias internacionales de datos, donde abordamos los mecanismos y las garantías exigibles.
Para las empresas del sector industrial con operaciones de manufactura, puede resultar de utilidad también nuestra guía sobre cómo realizar una auditoría de cumplimiento en industria y manufactura, que cubre los aspectos de compliance aplicables al entorno de planta y producción.
El cumplimiento en materia de protección de datos conecta de forma directa con otras áreas de la asesoría jurídica de empresa. Las empresas que implementan un programa de compliance de datos habitualmente necesitan también revisar sus contratos laborales para garantizar la licitud del tratamiento de datos de salud de los trabajadores – lo que enlaza con nuestra práctica de laboral y movilidad internacional – y verificar que sus acuerdos con proveedores tecnológicos y fabricantes de componentes electrónicos incluyen las garantías de protección de datos exigidas por el RGPD, materia que se solapa con la práctica de propiedad intelectual y tecnología.
Si su empresa está en proceso de integración o adquisición, el análisis del estado de cumplimiento en materia de datos forma parte obligatoria de la diligencia debida (due diligence) societaria, en coordinación con nuestra práctica de derecho societario y operaciones (M&A).
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.