Industria y manufactura: cómo realizar una evaluación de impacto

La industria y la manufactura tratan cada día un volumen creciente de datos personales: registros de empleados, datos biométricos en el control de acceso, telemetría de maquinaria conectada, información de proveedores y, en muchos casos, datos de salud derivados de la vigilancia de riesgos laborales. Cuando ese tratamiento entraña un riesgo elevado para los derechos y libertades de las personas, el Reglamento General de Protección de Datos (RGPD) impone una obligación que no puede diferirse: realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD). Ignorar este requisito no es una opción neutral. Es una exposición regulatoria que puede materializarse en un procedimiento sancionador, en una brecha de seguridad sin protocolo o en una responsabilidad directiva difícil de gestionar.

¿Por qué la industria y la manufactura tienen una exposición particular al RGPD?

El entorno industrial no es el que el legislador europeo tenía en mente cuando se pensó en la «empresa media» del RGPD. Sin embargo, es uno de los sectores con mayor densidad de tratamientos de alto riesgo.

Pensemos en los sistemas habituales de una planta de producción: control de presencia y acceso mediante huella dactilar o reconocimiento facial, videovigilancia continua de líneas productivas, sistemas de gestión de recursos humanos con datos de salud ligados a la prevención de riesgos, plataformas de mantenimiento predictivo que recogen telemetría asociable a operarios y, con frecuencia, proveedores y clientes integrados en redes de datos compartidas.

Todos esos elementos constituyen potencialmente tratamientos de categorías especiales de datos o tratamientos a gran escala. Ambas tipologías figuran en la lista de supuestos que la Agencia Española de Protección de Datos (AEPD) ha publicado como de obligada EIPD.

En nuestra experiencia asesorando a empresas del sector, comprobamos con regularidad que la dirección desconoce que determinados sistemas que llevan años funcionando – como el torniquete de huella dactilar en la entrada de fábrica – requieren una EIPD previa que nunca se realizó. La revisión retroactiva es posible, pero el coste de remediar la situación siempre supera al de haberla gestionado desde el principio.

¿Qué tratamientos obligan a realizar una EIPD en el sector industrial?

No todo tratamiento de datos exige una evaluación de impacto. La obligación surge cuando el tratamiento es «probable» que entrañe un riesgo elevado. El RGPD identifica categorías generales; la AEPD ha publicado una lista orientativa de tratamientos que, en todo caso, requieren EIPD en España.

En el contexto de la industria y la manufactura, los supuestos más frecuentes son los siguientes:

• Datos biométricos para el control de acceso o presencia de trabajadores. Este es, con diferencia, el supuesto más habitual y el que genera mayor número de procedimientos sancionadores en el sector.
• Videovigilancia en entornos de trabajo cuando su escala o continuidad puede dar lugar a una monitorización sistemática de los empleados.
• Sistemas de geolocalización de vehículos o trabajadores en tiempo real, cuando el seguimiento es continuado y no episódico.
• Plataformas de vigilancia de la salud vinculadas a la prevención de riesgos laborales que traten datos médicos o de aptitud de los trabajadores.
• Tratamientos que impliquen decisiones automatizadas con efecto significativo sobre los empleados, como sistemas de evaluación del desempeño basados en métricas de producción individualizadas.
• Compartición masiva de datos con terceros – cadena de suministro, clientes industriales, plataformas logísticas – cuando involucra datos personales de empleados o contratistas.

¿Cómo saber si un sistema concreto exige evaluación de impacto? La primera herramienta es el registro de actividades de tratamiento, que toda empresa con más de doscientos cincuenta empleados debe mantener, y que las de menor tamaño también están obligadas a llevar cuando realizan tratamientos de riesgo.

Fase 1: el registro de tratamientos como punto de partida

Antes de realizar una EIPD, la empresa necesita saber qué trata, con qué finalidad, durante cuánto tiempo, quién accede y dónde se almacena. Ese inventario es el registro de actividades de tratamiento. Sin él, la evaluación de impacto carece de base.

En el sector manufacturero, este registro plantea una dificultad específica: los sistemas de datos están fragmentados entre el área de recursos humanos, el departamento de producción, el área de TI y, en muchos casos, proveedores externos de maquinaria o software que actúan como encargados del tratamiento.

Hemos observado en nuestra práctica que la implantación del registro fuerza, por primera vez, un diálogo entre departamentos que hasta entonces operaban en silos. El responsable de producción ignora que el software de mantenimiento predictivo que contrató envía datos a servidores en un tercer país. El director financiero desconoce que el sistema de control horario incluye datos biométricos que requieren base jurídica específica.

El registro no es un trámite burocrático. Es la fotografía del tratamiento de datos de la empresa. Y esa fotografía es el paso previo imprescindible para decidir qué actividades requieren evaluación de impacto.

Fase 2: el análisis de riesgo previo a la EIPD

Una vez elaborado el registro, el siguiente paso es cribar qué actividades presentan riesgo elevado. No todas lo harán. El análisis de riesgo previo es una herramienta de filtro: permite focalizar el esfuerzo de la EIPD en los tratamientos que realmente la requieren.

Este análisis debe evaluar dos variables para cada tratamiento: la probabilidad de que se produzca un daño para los interesados y la gravedad de ese daño si llega a producirse. La combinación de ambas dimensiones determina el nivel de riesgo.

En la práctica industrial, los criterios que elevan el riesgo son, entre otros:

• Tratamiento de categorías especiales de datos (salud, datos biométricos, afiliación sindical).
• Escala del tratamiento: número de interesados afectados y volumen de datos procesados por unidad de tiempo.
• Carácter sistemático y continuado del tratamiento, frente al episódico u ocasional.
• Uso de nuevas tecnologías cuyo impacto no está completamente evaluado (sistemas de visión artificial, análisis de comportamiento, aprendizaje automático).
• Combinación de datos de distintas fuentes que permite perfilar a los interesados de forma que estos no esperarían.
• Transferencias internacionales de datos a países sin decisión de adecuación de la Comisión Europea.

Si el análisis concluye que el riesgo residual es elevado incluso después de aplicar medidas básicas de mitigación, la EIPD es obligatoria. No discrecional.

Fase 3: cómo estructurar la evaluación de impacto paso a paso

La EIPD no tiene un formato único legalmente prescrito. Sin embargo, el RGPD y las directrices del Comité Europeo de Protección de Datos establecen un contenido mínimo que toda evaluación debe incluir. A continuación se detalla la estructura que adoptamos en nuestra práctica para el sector industrial.

1. Descripción sistemática del tratamiento. Incluye la finalidad, la base jurídica que lo legitima, los datos tratados, las categorías de interesados, los destinatarios, los plazos de conservación y las transferencias internacionales si las hubiera.
2. Evaluación de la necesidad y proporcionalidad. ¿El tratamiento es necesario para alcanzar la finalidad? ¿Existen medios menos intrusivos que logren el mismo resultado? ¿La base jurídica es la adecuada?
3. Identificación y evaluación de los riesgos para los derechos y libertades. Se identifican los riesgos concretos (acceso no autorizado, pérdida, alteración, discriminación, pérdida de control) y se evalúa su probabilidad e impacto.
4. Medidas previstas para hacer frente a los riesgos. Medidas técnicas (cifrado, seudonimización, controles de acceso) y organizativas (formación, procedimientos internos, contratos con encargados). Para cada medida, se estima el riesgo residual que queda tras su aplicación.
5. Conclusión sobre la aceptabilidad del riesgo residual. Si el riesgo residual sigue siendo elevado, la empresa debe consultar previamente a la AEPD antes de iniciar el tratamiento. Esta consulta previa es obligatoria, no opcional.

La EIPD debe documentarse por escrito y revisarse cuando el tratamiento cambie de manera significativa. No es un documento que se archiva y olvida. Es un instrumento vivo que forma parte del programa de compliance empresa.

¿Qué papel tiene el Delegado de Protección de Datos en la evaluación de impacto?

El Delegado de Protección de Datos (DPD) – figura obligatoria para determinadas empresas y recomendable para la mayoría de las del sector industrial – tiene un papel específico en la EIPD. No es el responsable de realizarla: esa responsabilidad recae en el responsable del tratamiento, es decir, en la propia empresa. Pero el RGPD exige que se recabe su asesoramiento.

En la práctica, el DPD debe ser involucrado desde la fase de análisis de riesgo. Su función es verificar que la evaluación sigue la metodología adecuada, que identifica correctamente los riesgos y que las medidas propuestas son proporcionadas. También es el canal de interlocución con la AEPD en caso de que sea necesaria la consulta previa.

Muchas empresas industriales de tamaño medio no tienen un DPD interno. La normativa permite el nombramiento de un DPD externo, y en esa modalidad hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. La externalización no exime a la dirección de su responsabilidad: la accountability sigue residiendo en el responsable del tratamiento.

Cómo integrar la EIPD en el programa general de compliance penal y empresarial

Un error habitual en el sector manufacturero es tratar la evaluación de impacto como un proyecto aislado de protección de datos. No lo es. Es un componente de un programa de compliance empresa más amplio que, en muchos casos, incluye también el canal de denuncias exigido por la legislación de protección del informante, el modelo de compliance penal para eximir o atenuar la responsabilidad de la persona jurídica, y los protocolos de brecha de seguridad.

La integración tiene ventajas prácticas evidentes. Los mismos flujos de gestión de riesgos que la empresa diseña para el compliance penal sirven de base para el análisis de riesgos de la EIPD. Los mismos registros documentales que acreditan el programa de compliance ante un tribunal acreditan también la diligencia debida frente a la AEPD en un procedimiento sancionador.

¿Por qué esta integración importa especialmente en la industria? Porque el perfil de riesgo del sector incluye tanto el riesgo de protección de datos como el riesgo penal de empresa: accidentes laborales con posible responsabilidad penal de directivos, corrupción en la contratación pública o privada, y delitos medioambientales. Abordar ambos planos de manera coordinada es más eficiente y genera una cultura de cumplimiento más robusta.

Puede ampliarse el enfoque sobre el gobierno del uso de tecnologías emergentes en el marco del cumplimiento normativo en nuestra guía sobre cómo gobernar el uso de inteligencia en el contexto empresarial.

¿Qué medidas técnicas y organizativas son exigibles en la industria?

El RGPD exige aplicar medidas «apropiadas» teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. En el sector industrial, hay un conjunto de medidas que, en la práctica, forman el estándar mínimo exigible.

Medidas técnicas:

• Cifrado de datos en reposo y en tránsito para tratamientos de categorías especiales.
• Seudonimización de los datos cuando la finalidad del tratamiento no requiera identificación directa.
• Control de acceso basado en roles, con registros de auditoría que permitan identificar quién accedió a qué dato y cuándo.
• Segmentación de redes para aislar los sistemas que tratan datos personales de categorías especiales.
• Procedimientos de copia de seguridad y recuperación ante incidentes, probados periódicamente.

Medidas organizativas:

• Cláusulas contractuales de encargo del tratamiento con todos los proveedores que accedan a datos personales, incluyendo los fabricantes de maquinaria que ofrecen mantenimiento remoto.
• Formación periódica del personal en protección de datos, con especial atención a los responsables de producción y a los operarios que manejan sistemas conectados.
• Procedimiento interno documentado para la gestión de brechas de seguridad, que permita cumplir el plazo de notificación a la AEPD en un máximo de setenta y dos horas desde el conocimiento del incidente.
• Política de retención y supresión de datos que garantice que los datos no se conservan más allá de la finalidad que justificó su recogida.

La adaptación RGPD en el sector industrial no se logra con una cláusula de privacidad en la web. Esa es, precisamente, la creencia errónea más extendida entre los directivos del sector. La web es el último eslabón de la cadena. Los riesgos reales están en la planta de producción, en los servidores del proveedor de mantenimiento predictivo y en el sistema de control horario.

Cómo gestionar una brecha de seguridad en una empresa industrial

Una brecha de seguridad es cualquier incidente que provoca la destrucción, pérdida, alteración, comunicación no autorizada o acceso indebido a datos personales. En la industria, los escenarios más frecuentes no son los ciberataques sofisticados – aunque también ocurren – sino los más mundanos: un portátil perdido con datos de empleados, un acceso indebido de un contratista externo al sistema de nóminas, o un fallo en la configuración de un sistema de videovigilancia que ha estado enviando imágenes a un servidor no autorizado.

El protocolo de brecha de seguridad debe estar definido antes de que ocurra el incidente. Cuando este se produce, el reloj empieza a correr. La empresa tiene setenta y dos horas para notificar a la AEPD cuando la brecha supone un riesgo para los derechos y libertades de las personas. Si el riesgo es elevado, también debe notificarse a los propios interesados afectados.

El protocolo debe incluir, como mínimo: los canales internos de notificación del incidente, la persona o equipo responsable de la valoración inicial, los criterios para determinar si existe obligación de notificación, el contenido mínimo de la notificación a la AEPD y el registro del incidente en el libro de brechas.

La existencia de un protocolo documentado y el haber actuado conforme a él son factores mitigantes relevantes en un eventual procedimiento sancionador. La AEPD tiene en cuenta, en su valoración del caso, si la empresa disponía de medidas previas y si las aplicó correctamente cuando el incidente se produjo.

Errores frecuentes en la gestión de la EIPD en el sector manufacturero

En nuestra práctica hemos identificado un patrón recurrente de errores que conviene identificar con claridad.

El primero es realizar la EIPD después de haber implantado el sistema, no antes. La evaluación de impacto es, por definición, una herramienta ex ante. Realizarla a posteriori tiene valor como ejercicio de revisión, pero no cumple la obligación legal en sentido estricto y no protege a la empresa frente a un procedimiento sancionador por el período anterior.

El segundo error es delegar la EIPD íntegramente en el proveedor tecnológico. El fabricante de la maquinaria o el desarrollador del software de control puede proporcionar información técnica muy valiosa. Pero la EIPD es responsabilidad del responsable del tratamiento. La empresa no puede subcontratar su propia accountability.

El tercer error es omitir la consulta previa a la AEPD cuando el riesgo residual sigue siendo elevado tras las medidas de mitigación. Muchas empresas, por temor a visibilidad ante el regulador, evitan esta consulta. Es un error estratégico. La consulta previa es una oportunidad de validar el tratamiento antes de iniciarlo y de documentar la diligencia de la empresa. Omitirla cuando es obligatoria constituye una infracción autónoma.

El cuarto error es no actualizar la EIPD cuando el tratamiento cambia. La incorporación de un nuevo proveedor de mantenimiento remoto, la ampliación del sistema de videovigilancia a nuevas zonas de la planta o el uso de los datos biométricos existentes para una finalidad nueva son cambios que pueden requerir una revisión o una nueva evaluación.

Checklist de cumplimiento para empresas industriales y manufactureras

A modo de síntesis operativa, incluimos a continuación los elementos que deben estar presentes en el programa de protección de datos de una empresa del sector industrial. Este listado no es exhaustivo, pero cubre los requisitos mínimos que la AEPD verificará en una inspección o en la valoración de un procedimiento sancionador.

• Registro de actividades de tratamiento actualizado y completo.
• Base jurídica identificada y documentada para cada actividad de tratamiento.
• EIPD realizada para todos los tratamientos de riesgo elevado (datos biométricos, videovigilancia, geolocalización, datos de salud).
• Contratos de encargo del tratamiento firmados con todos los proveedores que acceden a datos personales.
• Cláusulas de transferencia internacional cuando los datos se envían fuera del Espacio Económico Europeo.
• Protocolo de brecha de seguridad documentado, con roles y plazos definidos.
• Libro de registro de brechas de seguridad, incluyendo las no notificables.
• Información a los interesados (trabajadores, contratistas, visitantes) sobre los tratamientos que les afectan.
• Procedimiento para atender el ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad) en el plazo de un mes prorrogable.
• Formación periódica documentada del personal.
• Nombramiento del DPD cuando sea obligatorio o cuando el volumen de tratamientos lo aconseje.
• Canal de denuncias implementado conforme a la legislación de protección del informante cuando sea de aplicación.

Para empresas con presencia en distintas comunidades autónomas o con operaciones en territorios con particularidades regulatorias, la gestión del compliance de datos adquiere una dimensión adicional. Nuestro equipo de protección de datos en Las Palmas atiende las singularidades del entorno canario, donde el régimen económico especial del archipiélago puede interactuar con las obligaciones de tratamiento de datos en contextos industriales específicos.

Servicios relacionados

La evaluación de impacto en protección de datos no opera de forma aislada en el programa de cumplimiento de una empresa industrial. Con frecuencia, su implantación se coordina con el diseño del modelo de compliance penal – que gestiona la responsabilidad de la persona jurídica frente a delitos cometidos en el seno de la organización – y con el área laboral, dado que los tratamientos de mayor riesgo en el sector afectan de manera directa a los derechos de los trabajadores. En Velarde & Vidal abordamos ambos planos de forma integrada, evitando duplicidades y asegurando la coherencia del programa de cumplimiento global de la empresa.

Puede consultar el alcance completo de nuestra práctica en materia de protección de datos y compliance, donde encontrará los subservicios relacionados con el diseño de programas de cumplimiento, la figura del DPD externo y el asesoramiento en procedimientos ante la AEPD.