La exposición regulatoria de las empresas españolas nunca ha sido tan amplia. El Reglamento General de Protección de Datos (RGPD), la normativa de responsabilidad penal de la persona jurídica, la legislación sobre canales de denuncia y las exigencias sectoriales convergen sobre la dirección de la empresa al mismo tiempo. Actuar sin un programa estructurado de cumplimiento no es una opción neutral: es una decisión que acumula pasivo regulatorio cada día que transcurre.
El punto de partida es comprender qué pide el legislador, no qué se percibe que pide. La confusión entre ambas cosas genera los programas de cumplimiento más deficientes: aquellos que acumulan documentación sin abordar el riesgo real.
La normativa de protección de datos – el RGPD y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) – parte de un principio de responsabilidad proactiva. El responsable del tratamiento debe ser capaz de demostrar que cumple, no simplemente afirmar que cumple. Eso implica registros de actividades de tratamiento, evaluaciones de impacto cuando el riesgo es elevado, contratos de encargado del tratamiento y, de forma crítica, un protocolo de respuesta ante brechas de seguridad.
La Agencia Española de Protección de Datos (AEPD) es la autoridad de control. Sus resoluciones de los últimos años revelan un patrón consistente: las sanciones más elevadas no recaen sobre empresas que sufrieron un incidente, sino sobre empresas que carecían de medidas técnicas y organizativas documentadas antes del incidente. La diferencia entre una multa significativa y una sanción moderada reside, en gran medida, en la existencia o ausencia de un programa previo.
La legislación penal societaria añade otra dimensión. La persona jurídica puede ser penalmente responsable por determinados delitos cometidos por sus directivos, empleados o colaboradores si la empresa no ha adoptado modelos de organización y gestión eficaces para prevenirlos. La existencia de un programa de compliance penal, con un órgano de supervisión con poderes autónomos, es el instrumento que la normativa reconoce como eximente o atenuante de esa responsabilidad.
Finalmente, la Ley reguladora de la protección de las personas que informen sobre infracciones normativas – la denominada ley de canales de denuncia – obliga a determinadas empresas a contar con un canal de denuncias interno operativo, confidencial y con garantías de no represalia. La obligación alcanza, en función del tamaño y del sector, a un número amplio de organizaciones.
Esta es la creencia más extendida y, posiblemente, la más costosa que hemos encontrado en nuestra práctica. La cláusula de privacidad es un instrumento de información al interesado: le explica qué datos se tratan y con qué finalidad. No documenta ningún control interno. No acredita ninguna medida de seguridad. No demuestra que la organización gestiona sus riesgos.
Asesoramos con frecuencia a empresas que, al recibir una inspección de la AEPD o al sufrir una brecha de seguridad, presentan una política de privacidad impecable en su web y un expediente interno completamente vacío. El contraste es, para el regulador, un agravante. Acredita que la empresa conocía la obligación y limitó su respuesta a lo visible, ignorando la sustancia.
Un programa de compliance en protección de datos descansa sobre tres pilares documentales que van mucho más allá de cualquier texto publicado en el sitio web: el registro de actividades de tratamiento, el análisis de riesgos o evaluación de impacto, y los procedimientos operativos de respuesta. Estos tres elementos son los que la AEPD verifica en una inspección y los que el juez penal examina ante un incidente grave.
El mito de la cláusula suficiente tiene una variante frecuente: la de la empresa que obtuvo un certificado de adaptación al RGPD hace cinco años y desde entonces no ha revisado nada. El cumplimiento en protección de datos no es un estado que se alcanza; es un proceso que se mantiene. La organización cambia, los tratamientos cambian, la tecnología cambia y el criterio del regulador evoluciona.
En nuestra experiencia asesorando a empresas de distintos sectores, el proceso de implantación sigue una secuencia lógica que no conviene comprimir ni reordenar. Las prisas en las primeras fases generan lagunas que se detectan – invariablemente – en el peor momento.
Antes de redactar ningún procedimiento, la organización necesita saber a qué se expone. El diagnóstico recorre todas las áreas de la empresa para identificar qué datos se tratan, con qué finalidades, quién tiene acceso y qué sistemas los gestionan. Hace lo mismo para el riesgo penal: identifica los delitos que, por la actividad de la empresa, son estadísticamente posibles y qué posición ocupa la organización respecto a ellos.
El resultado del diagnóstico es un mapa de riesgos. No un documento genérico descargado de internet: un análisis específico de la empresa concreta, de sus procesos reales y de sus vulnerabilidades actuales. Sin este punto de partida, cualquier programa de cumplimiento es cosmético.
Sobre el mapa de riesgos se diseñan los controles. Cada riesgo significativo requiere una o varias medidas que lo mitiguen. Las medidas pueden ser técnicas – cifrado, control de accesos, registros de auditoría – u organizativas – políticas internas, formación, segregación de funciones.
En esta fase se elaboran los documentos nucleares del programa: el registro de actividades de tratamiento, las cláusulas para los contratos con encargados del tratamiento, los procedimientos de respuesta a solicitudes de ejercicio de derechos – acceso, rectificación, supresión, oposición, limitación y portabilidad – y el protocolo de gestión de brechas de seguridad. Este último es crítico: la normativa exige notificar a la AEPD en un plazo de 72 horas desde que se tiene conocimiento de la brecha, y ese plazo no admite improvisación.
En el eje penal, el marco de controles incluye el código ético, el sistema disciplinario, las medidas de control financiero y el canal de denuncias. El canal debe garantizar la confidencialidad del informante y el anonimato cuando se solicite, e impedir cualquier represalia.
Un programa de compliance que existe en papel y no en la práctica no protege a la empresa. La implantación operativa significa que los procedimientos se ejecutan de verdad, que los empleados conocen sus obligaciones y que existe un mecanismo de supervisión.
La formación no es un acto puntual de presentación del código ético. Es un proceso continuo, diferenciado por perfiles – el empleado con acceso a datos de salud necesita una formación distinta a la del personal de administración general – y documentado. En nuestra práctica hemos observado que las organizaciones que tratan la formación como un trámite son las mismas que, ante una inspección, no pueden acreditar que sus empleados conocían los procedimientos.
La supervisión del programa requiere un responsable. En el ámbito de la protección de datos, ciertas organizaciones están obligadas a designar un Delegado de Protección de Datos (DPD); otras, sin estar obligadas, lo hacen voluntariamente porque aporta credibilidad ante el regulador y ante los clientes. El DPD actúa como punto de contacto con la AEPD y como garantía interna del cumplimiento.
En el ámbito penal, el modelo de compliance exige un órgano de vigilancia y control con poderes autónomos respecto a los administradores. En empresas de menor tamaño, la normativa admite que esta función recaiga en el propio órgano de administración, con las cautelas que corresponda documentar.
El programa no termina con su implantación. Debe revisarse ante cambios en la organización – nuevos tratamientos de datos, nuevas líneas de negocio, adquisiciones, cambios en la plantilla –, ante cambios normativos y, en todo caso, con carácter periódico. La revisión genera evidencia de que el programa es vivo, no estático; esa evidencia es determinante en caso de sanción o de procedimiento penal.
El compliance no es una cuestión exclusivamente técnica o jurídica. Las decisiones que determinan la eficacia real del programa son decisiones de dirección.
La primera es el alcance. ¿El programa se limita a la protección de datos o incluye también el compliance penal y las obligaciones sectoriales? La respuesta depende del perfil de riesgo de la empresa. Una empresa tecnológica que trata datos de salud y opera en varios países de la Unión Europea tiene un mapa de riesgo muy distinto al de una empresa industrial con operaciones exclusivamente nacionales. Ambas necesitan un programa, pero no el mismo programa.
La segunda decisión es la de los recursos. Un programa de compliance consume tiempo de personal interno y, frecuentemente, apoyo externo especializado. La tentación de reducir ese coste es comprensible. El error es comparar el coste del programa con el coste cero de no tenerlo, en lugar de compararlo con el coste de una sanción, de un procedimiento penal o de una crisis reputacional derivada de una brecha no gestionada.
La tercera es la del tono desde arriba. Un código ético redactado por asesoría externa y archivado por la dirección no genera cultura de cumplimiento. La dirección que toma en serio el compliance lo muestra en sus decisiones cotidianas. Hemos observado que los programas más eficaces son aquellos en los que la dirección general participa activamente en la formación y en las revisiones periódicas.
Existe una correlación clara entre el momento en que se aborda el compliance y el coste total que genera. Implantar un programa desde cero, con tiempo y sin presión de ningún incidente, es significativamente más eficiente que hacerlo de urgencia tras recibir una inspección, una denuncia o una notificación de brecha.
El asesoramiento temprano permite priorizar. No todos los riesgos son iguales. Una empresa que trata datos de categorías especiales – salud, datos biométricos, opiniones políticas – tiene una exposición diferente a la de una empresa que solo gestiona datos de contacto de clientes corporativos. Identificar los riesgos materiales y concentrar los recursos en ellos es una decisión que solo puede tomarse con un diagnóstico previo riguroso.
El asesoramiento temprano también permite evitar los errores de diseño más frecuentes. En nuestra práctica, los más habituales son: implantar un canal de denuncias sin garantías reales de confidencialidad; elaborar un registro de tratamientos que no refleja los tratamientos reales; y establecer procedimientos de respuesta a brechas que no se han probado nunca. Estos errores no se detectan hasta que el sistema falla, y en ese momento el coste de corrección es mucho mayor.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el factor que más diferencia el resultado es el mismo: la anticipación. Las organizaciones que abordan el cumplimiento antes de que lo exija un incidente tienen programas más sólidos, costes de mantenimiento más bajos y una posición mucho más favorable ante el regulador si se produce cualquier contingencia.
La adaptación al RGPD y la construcción de un modelo de compliance penal son procesos que se retroalimentan. Los controles de acceso a los datos, la gestión del ciclo de vida de la información y la trazabilidad de las decisiones son medidas que sirven simultáneamente al cumplimiento en protección de datos y al compliance penal. Diseñarlos de forma integrada es más eficiente que hacerlo por capas separadas.
El primer error, ya señalado, es confundir documentación con cumplimiento. El programa existe para gestionar riesgos reales, no para producir archivos. Un expediente de compliance que nadie lee ni aplica es, en términos jurídicos, casi equivalente a no tener ninguno.
El segundo error es la falta de especificidad. Los documentos genéricos – políticas de privacidad copiadas, códigos éticos de plantilla sin adaptación – no demuestran que la empresa ha analizado sus riesgos propios. El regulador y el juez buscan evidencia de un análisis real, no de una formalidad cumplida.
El tercer error es la desconexión entre el programa y la operativa real. Hemos encontrado organizaciones con procedimientos detallados de respuesta a ejercicios de derechos que nunca se habían aplicado, porque el personal de atención al cliente no sabía de su existencia. El compliance que no llega al punto de contacto con el cliente o con el dato no protege.
El cuarto error es no probar el protocolo de brechas. La notificación a la AEPD en 72 horas exige tener identificados de antemano quién decide, quién notifica y qué se incluye en la notificación. Esa secuencia no puede improvisarse bajo presión. Las organizaciones que han simulado un incidente antes de sufrirlo gestionan las brechas reales de forma significativamente más eficaz.
El quinto error es tratar el compliance como un proyecto con fecha de finalización. No la tiene. La organización cambia, la normativa cambia y el criterio del regulador evoluciona. El programa que no se revisa envejece y deja de proteger.
Antes de iniciar o revisar un programa, conviene que la dirección responda a estas preguntas con honestidad:
Una respuesta negativa a cualquiera de estas preguntas identifica una laguna que conviene cerrar. Varias respuestas negativas señalan un riesgo regulatorio significativo que la dirección debería abordar con carácter prioritario.
Para profundizar en los aspectos de protección de datos y compliance que afectan a su organización, puede consultar nuestra práctica especializada en protección de datos y compliance, donde encontrará información detallada sobre los servicios que prestamos en este ámbito.
Si su empresa opera en sectores regulados o con alta exposición a datos sensibles, le recomendamos revisar también nuestro análisis sobre inteligencia artificial y datos en el sector de la salud y el farmacéutico, donde abordamos las implicaciones específicas de la IA para el cumplimiento normativo en ese entorno.
Los programas de compliance también tienen una dimensión relevante en operaciones societarias y de inversión. En procesos de diligencia debida (due diligence) y auditoría previa a una adquisición, el estado del programa de cumplimiento de la empresa objetivo es un elemento de valoración. Puede encontrar más información sobre este enfoque en nuestra guía sobre auditoría en el sector inmobiliario y de construcción, donde abordamos la revisión de riesgos en contextos de inversión y adquisición.
El compliance en protección de datos conecta de forma natural con otras áreas de asesoramiento. Las empresas que implantan un programa de cumplimiento de datos frecuentemente necesitan también revisar sus contratos laborales en lo que respecta al tratamiento de datos de empleados – un ámbito que abordamos desde nuestra práctica de laboral y movilidad internacional – y estructurar correctamente las relaciones con proveedores tecnológicos, lo que implica tanto propiedad intelectual como responsabilidad contractual. El compliance penal, por su parte, tiene una intersección directa con la práctica de resolución de disputas cuando se producen incidentes que derivan en procedimientos.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.