La exposición regulatoria en materia de datos personales no desaparece con el paso del tiempo: crece. Cada operación nueva, cada integración tecnológica y cada contrato con un proveedor amplía la superficie de riesgo de la empresa. En este contexto, documentar correctamente la diligencia debida en materia de datos no es un ejercicio burocrático, sino la primera línea de defensa frente a la Agencia Española de Protección de Datos (AEPD) y, cada vez más, frente a los propios tribunales.
El RGPD introdujo un cambio de paradigma que conviene tener presente. El modelo anterior exigía notificar a la autoridad de control los ficheros de datos. El actual invierte la carga: la empresa debe acreditar, por propia iniciativa, que cumple. Este principio de responsabilidad proactiva lo denominamos en nuestra práctica el punto de partida de cualquier programa de protección de datos.
¿Qué significa en términos concretos? Que si la AEPD inicia una investigación, no le corresponde a la autoridad demostrar que la empresa incumple. Le corresponde a la empresa demostrar que cumple. Y solo puede hacerlo si tiene documentación.
En nuestra experiencia asesorando a empresas tecnológicas, industriales y de salud, observamos con frecuencia el mismo patrón: la dirección cree haber resuelto el problema con una cláusula de privacidad en la web o con la instalación de un banner de cookies. Esa creencia es uno de los mitos más costosos del compliance empresarial. La cláusula de privacidad es un requisito de transparencia, no un programa de cumplimiento. Su presencia no acredita la existencia de controles internos, ni el análisis de riesgos, ni los contratos con encargados del tratamiento, ni el protocolo de respuesta ante una brecha.
La prueba de que la documentación tiene valor real la ofrece la propia práctica sancionadora de la AEPD: en procedimientos en los que la empresa afectada aportó un registro de actividades de tratamiento actualizado, una política de seguridad documentada y evidencias de formación del personal, la resolución final reconoció la existencia de medidas de diligencia como factor atenuante.
El marco aplicable articula la diligencia debida en datos a través de varios instrumentos que deben existir de forma simultánea y coherente. No basta con tener uno. La autoridad de control evalúa el conjunto.
Es el documento central del programa. Debe recoger, para cada tratamiento, la finalidad, las categorías de datos y de interesados, los destinatarios, las transferencias internacionales y los plazos de conservación. En nuestra práctica, identificamos dos errores recurrentes: el registro se elabora una sola vez y no se actualiza cuando la empresa lanza un nuevo servicio, y el registro lo firma un externo sin que nadie interno asuma la responsabilidad de mantenerlo.
El registro es un documento vivo. Cada vez que se incorpora un nuevo proveedor que trata datos, cada vez que se lanza una aplicación de gestión interna o cada vez que se integra una plataforma de análisis de comportamiento de clientes, el registro debe actualizarse. La dirección debe establecer un procedimiento formal para que esas actualizaciones ocurran de forma sistemática, no cuando alguien lo recuerde.
Toda empresa que cede datos a un tercero para que los trate por su cuenta – un proveedor de nóminas, una plataforma de correo corporativo, un sistema de CRM en la nube – actúa como responsable del tratamiento. El tercero es el encargado. La normativa exige que esa relación se formalice mediante un contrato específico que regule, como mínimo, las instrucciones del responsable, las medidas de seguridad exigidas, la obligación de devolver o suprimir los datos al término de la relación y el régimen de subcontratación.
¿Con cuántos encargados opera su empresa? En nuestra práctica habitual, cuando realizamos una auditoría inicial, las empresas identifican entre cuatro y seis encargados obvios. Al completar el mapeo de sistemas, la cifra real suele multiplicarse por tres o más. Cada uno de esos encargados sin contrato adecuado es un riesgo documental activo.
Para determinados tratamientos de alto riesgo – vigilancia sistemática a gran escala, tratamiento de categorías especiales de datos, sistemas de decisión automatizada – la normativa exige una evaluación de impacto en la protección de datos (EIPD) antes de iniciar el tratamiento. No es un documento optativo. Es un requisito previo. Llevarlo a cabo después de que el sistema ya esté operando no elimina el riesgo; lo reduce parcialmente, pero la infracción por no haberlo realizado a tiempo puede persistir.
La notificación de una brecha de seguridad a la AEPD debe producirse en un plazo de setenta y dos horas desde que la empresa tiene conocimiento de ella. No desde que la detecta el equipo técnico, sino desde que la organización tiene conocimiento. Esa distinción es crítica y tiene implicaciones directas sobre la cadena de escalada interna.
El protocolo debe definir quién detecta, quién valora si la brecha es notificable, quién notifica y quién documenta. Si ese proceso no está escrito y entrenado con anterioridad, las setenta y dos horas transcurrirán mientras la empresa debate internamente qué hacer. La AEPD ha sancionado empresas que notificaron fuera de plazo por carecer de protocolo, incluso cuando la brecha en sí era de alcance limitado.
Adicionalmente, si la brecha implica un riesgo alto para los derechos de los interesados, la empresa debe comunicársela también a ellos. Esa comunicación debe redactarse con un lenguaje claro, preciso y no alarmista. Tener una plantilla validada con antelación marca la diferencia entre gestionar la crisis con control y gestionarla de forma reactiva.
La diligencia debida en datos no es únicamente responsabilidad del equipo jurídico o del Delegado de Protección de Datos (DPD). Es una decisión de gestión que impacta en procesos, presupuestos y personas. La dirección debe tomar varias decisiones estructurales para que el programa funcione.
La normativa exige la designación de un DPD en determinados supuestos: tratamientos a gran escala de datos especiales, supervisión sistemática a gran escala de interesados, y para todas las autoridades y organismos públicos. Muchas empresas del sector tecnológico y de la salud se encuentran en el perímetro de esta obligación sin haberla evaluado formalmente.
La designación del DPD debe comunicarse a la AEPD. El DPD debe contar con recursos suficientes, acceso al órgano de gobierno y garantías de independencia. Designar a alguien sin darle ni tiempo ni acceso convierte la figura en una formalidad sin utilidad real – y no exime de responsabilidad a la empresa.
La normativa fija un plazo de un mes para responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad). Ese plazo es prorrogable otros dos meses en caso de complejidad o elevado número de solicitudes, pero la prórroga debe comunicarse al interesado dentro del primer mes.
¿Tiene su empresa un canal definido para recibir estas solicitudes? ¿Hay alguien designado para tramitarlas? ¿Existe un registro de las solicitudes recibidas y las respuestas emitidas? Si la respuesta a alguna de estas preguntas es negativa, el riesgo de incumplimiento es real y documentable por parte de la AEPD.
El canal de denuncias, exigido por la normativa de compliance penal y por la regulación de denunciantes, trata datos personales de los denunciantes, los denunciados y los testigos. Esa intersección exige que el canal de denuncias cumpla con el RGPD de forma específica: anonimización o seudonimización, acceso restringido, plazos de conservación definidos y garantías de confidencialidad.
En nuestra práctica, hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud que partían de canales de denuncias configurados sin considerar la dimensión de datos personales. El rediseño posterior resulta más costoso y arriesgado que haberlo integrado desde el inicio.
Si su empresa ya dispone de un canal, conviene revisar si el tratamiento de datos asociado está correctamente documentado. Si aún no dispone de él, el diseño conjunto del canal y del régimen de datos es la vía más eficiente.
Uno de los errores más frecuentes que identificamos es tratar la adaptación al RGPD como un proyecto que se cierra. La empresa contrata un servicio, recibe un conjunto de documentos, firma un certificado de cumplimiento y archiva el expediente. Un año después, los sistemas han cambiado, los proveedores han cambiado y los documentos ya no reflejan la realidad de los tratamientos.
La diligencia debida en datos es un proceso de mantenimiento activo. Requiere revisiones periódicas del registro de tratamientos, auditorías de los contratos con encargados, actualización de los protocolos de seguridad y formación continua del personal. La frecuencia y profundidad de esas revisiones debe calibrarse en función del volumen y la sensibilidad de los datos tratados.
El argumento más sólido a favor del asesoramiento temprano no es evitar una sanción. Es controlar el coste. Las sanciones de la AEPD, aunque pueden ser significativas, no son el único coste de una gestión inadecuada de los datos. El coste real de una brecha sin protocolo incluye la gestión de crisis, la comunicación a los interesados, el coste reputacional y el tiempo de la dirección absorbido por un proceso regulatorio que podría haberse evitado o limitado.
El primer paso del asesoramiento es siempre un diagnóstico del estado actual. Ese diagnóstico debe mapear los tratamientos existentes, identificar los encargados sin contrato adecuado, evaluar la adecuación de las bases jurídicas utilizadas y detectar los tratamientos de alto riesgo sin evaluación de impacto. El resultado del diagnóstico es un mapa de riesgos documentado y priorizado.
En nuestra experiencia, las empresas que realizan este diagnóstico con antelación a cualquier incidente regulatorio tienen una posición de negociación muy superior en caso de que la AEPD inicie una investigación. Pueden acreditar que conocían su situación, que habían identificado sus brechas documentales y que habían iniciado un plan de remediación. Eso tiene valor real en el procedimiento.
Una vez completado el diagnóstico, el programa de cumplimiento se construye en fases sucesivas. La primera fase cubre los documentos fundacionales: el registro de tratamientos, la política de privacidad interna, los contratos con encargados y la política de gestión de brechas. La segunda fase aborda los instrumentos de control interno: los procedimientos de respuesta a derechos, el protocolo de evaluación de impacto y el plan de formación del personal.
La tercera fase, que muchas empresas omiten, es la de mantenimiento y verificación. Incluye revisiones periódicas programadas, mecanismos de registro de incidentes menores y procedimientos de actualización del registro de tratamientos ante nuevos proyectos. Sin esta fase, el programa envejece y pierde eficacia como instrumento de diligencia debida.
El compliance en datos y el compliance penal no son compartimentos estancos. La normativa penal española prevé la responsabilidad de las personas jurídicas por determinados delitos, entre los que se encuentra la revelación de secretos y la vulneración del derecho a la intimidad. Un programa de cumplimiento penal que no incluye controles específicos de protección de datos tiene una laguna relevante.
La integración de ambos programas no es solo una cuestión de eficiencia, aunque lo es: reduce la duplicidad de documentación y de controles internos. Es también una cuestión de coherencia: los mensajes que la empresa transmite al personal sobre la importancia de la protección de datos deben estar alineados con los mensajes del programa de compliance penal. Una empresa que difunde un código ético sin alinearlo con su política de datos envía señales contradictorias.
Para ampliar la visión sobre cómo un programa de compliance penal se estructura e implementa en la práctica, puede consultar nuestra guía práctica sobre implantación de compliance penal, donde abordamos la integración de controles y su documentación.
En nuestra práctica de asesoramiento a empresas en materia de cumplimiento, identificamos con regularidad un conjunto de errores documentales que se repiten independientemente del sector y del tamaño de la empresa. Conocerlos ayuda a anticiparlos.
El registro se elabora una vez y no se revisa. Dos años después, el registro menciona sistemas que ya no se utilizan y no recoge tres plataformas que se incorporaron desde entonces. La AEPD puede contrastar el registro con los sistemas realmente operativos. Las discrepancias son indicadores de que el programa de cumplimiento es formal, no efectivo.
Documentar que todos los tratamientos se realizan con "interés legítimo" cuando algunos requieren consentimiento, o que todos se basan en "obligación legal" cuando esa obligación no existe, es un error que puede surgir en cualquier auditoría. Cada tratamiento debe tener una base jurídica específica, documentada y justificada.
El contrato existe, pero data de 2018 y no incorpora las cláusulas relativas a las transferencias internacionales de datos ni los mecanismos de garantía adecuados exigidos tras la invalidación del anterior marco de transferencias. O el contrato es la plantilla genérica del proveedor, sin revisión ni adaptación. Ambas situaciones son deficiencias documentales.
La formación del personal en protección de datos no basta con impartirla. Debe quedar documentada: quién asistió, cuándo, con qué contenido y con qué evaluación. Sin esa documentación, la empresa no puede acreditar ante la AEPD que el personal tenía instrucciones y las conocía. Esa evidencia es relevante cuando una brecha se produce por un error humano.
El programa se implantó, pero no hay un calendario de revisión establecido. Nadie sabe cuándo corresponde la próxima actualización del registro, cuándo vence la revisión de los contratos con encargados o si los procedimientos de respuesta a brechas han sido actualizados. Este error convierte un programa inicialmente sólido en un conjunto de documentos obsoletos.
La AEPD puede iniciar una actuación de investigación de oficio o en respuesta a una reclamación. En ambos casos, la empresa dispondrá de un plazo para aportar documentación. La calidad de esa documentación, y la velocidad con que puede aportarse, depende de cómo esté organizado el programa de cumplimiento.
La documentación debe estar centralizada, versionada y accesible. No dispersa en carpetas de diferentes departamentos, no mezclada con documentación contractual general, no en formato de borrador sin firmar. Cada documento del programa de cumplimiento debe tener una fecha de aprobación, un responsable y, si ha sido objeto de revisión, un historial de versiones.
El índice documental mínimo que recomendamos tener preparado incluye: el registro de actividades de tratamiento, las políticas de privacidad internas y externas, los contratos con encargados del tratamiento, las evaluaciones de impacto realizadas, el protocolo de gestión de brechas con registro de incidentes, los documentos de formación del personal y los registros de solicitudes de derechos recibidas y tramitadas. Ese índice debe poder entregarse en horas, no en días.
¿Podría su empresa entregar ese índice mañana por la mañana si la AEPD le requiriera documentación? La respuesta honesta a esa pregunta es el mejor diagnóstico del estado de su programa de cumplimiento.
Si quiere conocer con más detalle el enfoque integral que adoptamos en materia de protección de datos y compliance, puede explorar nuestra área de práctica en Protección de datos y compliance, donde detallamos los servicios y el alcance del asesoramiento.
Los requisitos generales del RGPD y la LOPDGDD se aplican a todas las empresas. Pero determinados sectores afrontan exigencias adicionales que amplían el perímetro de la diligencia debida. La dirección de una empresa en estos sectores debe conocer esas especificidades.
Los datos de salud son datos de categoría especial. Su tratamiento exige una base jurídica reforzada, medidas de seguridad de mayor nivel y, en muchos casos, una evaluación de impacto previa. Las historias clínicas, los registros de episodios de atención y los datos de telemedicina son tratamientos que concentran un riesgo regulatorio elevado. La documentación de la diligencia debida en este sector debe ser especialmente exhaustiva.
Las empresas tecnológicas con modelos de negocio basados en el tratamiento de datos a escala – publicidad personalizada, análisis de comportamiento, sistemas de recomendación – están en el centro del escrutinio regulatorio europeo. La elaboración de perfiles y las decisiones automatizadas exigen documentación específica, incluyendo la información que se facilita a los interesados sobre la lógica del sistema.
El tratamiento de datos de los empleados tiene su propio régimen. El control de presencia, la videovigilancia en el centro de trabajo, el correo corporativo y los sistemas de seguimiento de la productividad son tratamientos que la LOPDGDD regula con especificidades propias. En nuestra experiencia, las empresas industriales con plantillas numerosas son especialmente vulnerables a las reclamaciones de empleados en relación con estos tratamientos, precisamente porque no han documentado las bases jurídicas aplicables ni han informado adecuadamente a los trabajadores.
Para empresas con implantación en el sector turístico y hostelero, que gestionan datos de clientes a gran escala, puede ser útil revisar además las preguntas frecuentes sobre compliance en turismo y hostelería, donde abordamos las particularidades de ese entorno.
A modo de síntesis operativa, recogemos los documentos e instrumentos que debe poder acreditar cualquier empresa que opere en España bajo el marco del RGPD y la LOPDGDD.
La gestión de la diligencia debida en datos es frecuentemente el punto de entrada a un programa de cumplimiento más amplio. Las empresas que documentan correctamente sus tratamientos de datos descubren con regularidad que ese trabajo conecta con su programa de compliance penal y con su estrategia de gobierno corporativo. En Velarde & Vidal asesoramos en la intersección de estas disciplinas, integrando el cumplimiento normativo en la estructura de gestión de la empresa sin multiplicar la carga administrativa.
Si su empresa se encuentra en un proceso de revisión del cumplimiento en materia de protección de datos, el asesoramiento en compliance penal y el análisis del régimen de responsabilidad de la persona jurídica son materias directamente relacionadas que conviene abordar de forma coordinada.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.