La mayoría de las empresas cree que cumple el Reglamento General de Protección de Datos (RGPD). En nuestra experiencia asesorando a organizaciones de múltiples sectores, la realidad es otra: el cumplimiento formal existe, pero el cumplimiento operativo presenta lagunas que la Agencia Española de Protección de Datos (AEPD) puede detectar en cuanto recibe una reclamación o inicia una actuación de oficio. Una auditoría de cumplimiento en protección de datos no es un trámite burocrático. Es el instrumento que permite a la dirección conocer exactamente dónde está el riesgo antes de que lo descubra el regulador.
El punto de partida de cualquier auditoría es el marco normativo. El RGPD y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) no son textos que se "implementan" una sola vez. Imponen obligaciones de mantenimiento continuo.
Las exigencias que la AEPD verifica con mayor frecuencia se agrupan en cinco ámbitos: el registro de actividades de tratamiento, la legitimación de cada tratamiento mediante una base jurídica válida, el cumplimiento de los derechos de los interesados, las medidas de seguridad técnicas y organizativas, y los procedimientos de gestión de incidentes. Ninguno de estos ámbitos es estático. El registro de tratamientos, por ejemplo, debe actualizarse cada vez que la empresa incorpora un nuevo proveedor digital, modifica un proceso interno o lanza un producto que involucra datos personales.
En nuestra práctica hemos observado que las empresas con mayor exposición no son necesariamente las que ignoran el RGPD, sino las que documentaron el cumplimiento en un momento puntual y no lo han revisado desde entonces. La norma exige responsabilidad proactiva: la empresa debe poder demostrar en cualquier momento que cumple, no solo afirmar que cumple.
¿Qué ocurre cuando la AEPD abre un procedimiento? La carga de la prueba recae sobre la empresa. Sin documentación actualizada, la defensa resulta extraordinariamente difícil.
La primera fase de una auditoría de cumplimiento en protección de datos es el diagnóstico. El objetivo es conocer con precisión qué datos personales trata la empresa, con qué finalidad, sobre qué categorías de personas, durante cuánto tiempo y bajo qué base jurídica.
Este trabajo arranca con la revisión del registro de actividades de tratamiento. Si no existe, hay que construirlo desde cero. Si existe, hay que contrastarlo con la realidad operativa, porque en muchas organizaciones el registro y la práctica divergen de forma significativa.
Los tratamientos que con mayor frecuencia aparecen sin documentar son los realizados por proveedores externos: plataformas de recursos humanos, CRM comerciales, herramientas de análisis web, aplicaciones de videoconferencia, servicios de almacenamiento en la nube. Cada uno de estos supone un encargado del tratamiento y exige un contrato de encargo conforme a la normativa de protección de datos.
La base jurídica es el segundo elemento a auditar. El consentimiento no es la única base posible ni la más adecuada en muchos contextos empresariales. El cumplimiento de una relación contractual, el interés legítimo o la obligación legal son bases igualmente válidas y, en muchos casos, más robustas. Identificar correctamente la base es esencial: si la AEPD considera que el tratamiento carece de base válida, la consecuencia no es simplemente una advertencia.
La normativa no prescribe medidas de seguridad concretas. Exige que las medidas sean adecuadas al riesgo. Esta formulación, aparentemente flexible, impone en la práctica una evaluación continua que debe quedar documentada.
En nuestra experiencia, los controles mínimos que cualquier empresa de tamaño medio debe acreditar incluyen: control de acceso por perfiles, cifrado de datos en tránsito y en reposo para información sensible, política de gestión de contraseñas, protocolo de copias de seguridad y un plan de continuidad de negocio que contemple los escenarios de pérdida o indisponibilidad de datos.
La auditoría de las medidas técnicas no exige conocimientos jurídicos avanzados, pero sí coordinación entre el área legal y el área de tecnología. Esta coordinación es precisamente la que suele faltar. El responsable de tecnología implementa controles sin conocer los requisitos normativos, y el jurista redacta políticas sin entender la arquitectura real del sistema.
Cuando los tratamientos presentan un alto riesgo para los derechos y libertades de los interesados, la normativa obliga a realizar una Evaluación de Impacto en la Protección de Datos (EIPD). Esta evaluación es un documento técnico-jurídico que la empresa debe poder aportar en caso de inspección. Si no se ha realizado, la auditoría debe señalarlo como una deficiencia prioritaria.
¿Tiene la empresa catalogados los tratamientos que podrían exigir una EIPD? En muchos casos, la respuesta es no.
La brecha de seguridad es el escenario de mayor urgencia en materia de protección de datos. La normativa fija un plazo de 72 horas desde que la empresa tiene conocimiento de la brecha para notificarla a la AEPD, cuando exista riesgo para los derechos de los afectados. Se trata de uno de los plazos más breves del ordenamiento regulatorio español.
Setenta y dos horas es un tiempo muy corto para identificar qué ha ocurrido, valorar el alcance, documentar la brecha, redactar la notificación y decidir si además es necesario comunicar a los afectados. Sin un protocolo previo, la empresa improvisa. Y la improvisación en una brecha de seguridad tiende a agravar la situación tanto desde el punto de vista del daño como desde el punto de vista regulatorio.
La auditoría debe verificar que el protocolo de brechas existe por escrito, que está asignado a personas concretas con responsabilidades definidas, que se ha comunicado al equipo relevante y que incluye un árbol de decisión para determinar cuándo es obligatoria la notificación a la AEPD y cuándo debe comunicarse a los afectados.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud que llegaron a la auditoría sin ningún protocolo de gestión de incidentes. En todos los casos, establecer el protocolo fue la medida que la dirección consideró más urgente una vez que visualizó el riesgo real.
La ausencia de protocolo no solo multiplica el daño en el momento del incidente. También dificulta la defensa ante la AEPD, porque la normativa valora positivamente las medidas adoptadas para minimizar el daño cuando se produce una infracción.
Esta pregunta aparece con frecuencia creciente en nuestra práctica. Las empresas que han implantado un programa de compliance penal o un canal de denuncias se preguntan cómo articular ambas estructuras con el programa de protección de datos.
La respuesta es que son programas complementarios, no independientes. El canal de denuncias, por ejemplo, está sometido a reglas específicas de protección de datos: la información de denunciantes y denunciados es información personal especialmente sensible en el contexto laboral. La normativa establece plazos concretos de conservación y restricciones de acceso que deben respetarse desde el diseño del sistema.
El compliance penal, a su vez, exige que la empresa pueda demostrar la implantación efectiva de medidas preventivas. Un programa de protección de datos correctamente auditado y documentado es un elemento que refuerza la posición de la empresa si se cuestiona la eficacia del sistema de prevención.
La integración de ambas dimensiones – protección de datos y compliance empresa en sentido amplio – bajo una misma estructura de revisión periódica es el modelo más eficiente. Evita duplicidades, reduce el coste de mantenimiento y ofrece una visión de riesgo más completa a la dirección.
Si su empresa está estructurando un canal de denuncias, la guía práctica sobre cómo implantar un canal de denuncias desarrolla los requisitos operativos y las decisiones de diseño más relevantes.
La cadena de proveedores digitales es una de las áreas de mayor riesgo y menor atención en la auditoría de protección de datos. Muchas empresas han contratado decenas de herramientas tecnológicas sin verificar si los contratos de servicio cumplen con los requisitos del RGPD para el encargo del tratamiento.
Los elementos que la auditoría debe comprobar en cada relación con un encargado del tratamiento son: la existencia de un contrato específico que regule las instrucciones del responsable, las medidas de seguridad exigidas, la gestión de subencargados, la devolución o destrucción de datos al finalizar la relación, y la colaboración del encargado en caso de ejercicio de derechos o de brecha de seguridad.
Las transferencias internacionales de datos merecen atención especial. Si la empresa utiliza proveedores de nube o plataformas digitales con servidores fuera del Espacio Económico Europeo, está realizando una transferencia internacional. La normativa exige una garantía adecuada. Las cláusulas contractuales tipo aprobadas por la Comisión Europea son la garantía más utilizada, pero deben ir acompañadas de una evaluación del impacto de la transferencia (Transfer Impact Assessment) que verifique que el nivel de protección en el país de destino es equivalente al europeo.
Esta exigencia, que puede parecer técnica, tiene consecuencias prácticas muy concretas. Varios proveedores de uso habitual en el mercado español tienen sus infraestructuras en jurisdicciones que requieren este análisis adicional. La auditoría debe identificarlos, documentar las garantías aplicables y señalar los casos en los que la evaluación está pendiente.
La transparencia es uno de los principios fundamentales del RGPD. La empresa debe informar a los interesados – clientes, empleados, proveedores – de manera clara, concisa y accesible sobre cómo trata sus datos.
La auditoría debe revisar todas las capas informativas: avisos de privacidad en la web, políticas de privacidad para empleados, información en formularios de captación, comunicaciones de marketing y condiciones generales de contratación. El objetivo es verificar que la información es completa, actualizada y coherente con los tratamientos reales.
Un error frecuente que detectamos en las revisiones es la desconexión entre lo que la política de privacidad dice y lo que la empresa hace en la práctica. Si la política menciona finalidades que ya no existen, o no menciona finalidades que sí se llevan a cabo, el riesgo regulatorio es directo.
La gestión de derechos de los interesados – acceso, rectificación, supresión, oposición, limitación y portabilidad – es la segunda dimensión a revisar. La normativa establece que el plazo de respuesta es de un mes, prorrogable dos meses adicionales en casos de complejidad. La auditoría debe verificar que existe un procedimiento interno para recibir, registrar y tramitar estas solicitudes, que el plazo se controla y que las respuestas se documentan.
En nuestra práctica, la gestión de derechos es el área donde más frecuentemente encontramos ausencia de proceso. Las solicitudes llegan por distintos canales – formulario web, correo electrónico, llamada telefónica – y no existe ningún registro que acredite cómo y cuándo se respondieron.
La auditoría de cumplimiento en protección de datos no concluye con un informe. Genera un mapa de acción con prioridades y plazos. La dirección debe entender que este mapa no es opcional: las deficiencias documentadas en una auditoría interna que no se corrigen pueden agravar la posición de la empresa en un procedimiento sancionador.
Las decisiones de primer nivel que corresponden a la dirección son las siguientes. En primer lugar, la designación o revisión del Delegado de Protección de Datos (DPD) cuando la normativa lo exige, o la decisión de contar con un DPD externo cuando la designación interna no es obligatoria pero resulta conveniente. En segundo lugar, la aprobación del presupuesto para subsanar las deficiencias técnicas identificadas. En tercer lugar, la validación del protocolo de brechas y la comunicación al equipo directivo de las responsabilidades asignadas.
Las decisiones de segundo nivel – que pueden delegarse pero que la dirección debe supervisar – incluyen la actualización de contratos con encargados del tratamiento, la revisión de las políticas de información, la formación del personal y la implementación de los controles técnicos pendientes.
En términos de plazos, conviene distinguir los elementos críticos – protocolo de brechas, registro de tratamientos, contratos de encargo – que deben estar operativos con carácter inmediato, de los elementos de segunda prioridad – evaluaciones de impacto, revisión de transferencias internacionales – que admiten un calendario más extenso pero igualmente definido.
Un programa de adaptación RGPD bien estructurado incluye también una revisión periódica. Recomendamos, como mínimo, una auditoría anual y una revisión parcial cada vez que la empresa incorpora un tratamiento nuevo de cierta envergadura o sufre un cambio organizativo relevante.
Existe una creencia extendida entre los responsables de empresa que conviene desmontar con claridad. La creencia es esta: "Con una cláusula de privacidad en la web ya se cumple el RGPD." Es uno de los malentendidos más costosos que encontramos en la práctica.
La cláusula de privacidad en la web es uno de los elementos del cumplimiento. Solo uno. La normativa exige, además, el registro de tratamientos, las medidas técnicas y organizativas, los contratos con encargados, los protocolos de respuesta, la gestión de derechos, la formación del personal y, en determinados casos, la EIPD y la figura del Delegado de Protección de Datos. Una cláusula web sin el resto del programa equivale a disponer de la etiqueta de extintor sin el extintor.
El coste de construir y mantener un programa de cumplimiento es inferior, en todos los escenarios que hemos analizado, al coste de gestionar un procedimiento sancionador de la AEPD. Esto no es solo una cuestión económica. Es una cuestión de imagen corporativa, de confianza de clientes y socios, y de continuidad de negocio en sectores donde los datos son un activo central.
El asesoramiento temprano permite, además, diseñar el programa de forma eficiente. Una empresa que consulta antes de lanzar un nuevo producto digital puede incorporar la privacidad desde el diseño, que es precisamente lo que exige el principio de privacy by design. Una empresa que consulta después de haber lanzado el producto afronta un trabajo de retroadaptación que es siempre más costoso y más arriesgado.
En el análisis sobre cómo el RGPD opera como ventaja competitiva en contextos industriales complejos, desarrollamos este argumento con mayor detalle: el RGPD como ventaja competitiva.
Al concluir una auditoría de protección de datos, el informe debe pronunciarse, como mínimo, sobre los siguientes elementos. Úselos como punto de partida para evaluar el estado actual de su empresa.
Si alguno de estos elementos no puede responderse afirmativamente de forma inmediata, la empresa tiene una laguna de cumplimiento que conviene abordar con asesoramiento especializado. Puede ampliar el contexto de nuestra práctica en materia de protección de datos y compliance en nuestra área de práctica.
La auditoría de cumplimiento en protección de datos conecta directamente con otras áreas de asesoramiento que la empresa puede necesitar en paralelo. El diseño de un canal de denuncias conforme a la normativa vigente es uno de los elementos del programa de compliance que mayor impacto tiene en la gestión del riesgo laboral y penal. Por su parte, las operaciones de M&A y reestructuraciones societarias generan tratamientos nuevos y exigen revisar la base jurídica de transferencias de datos entre entidades del grupo, lo que sitúa la protección de datos en la agenda de la diligencia debida (due diligence). Si su empresa afronta alguna de estas situaciones, nuestro equipo puede asesorarle de forma integrada.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.