Inicio/Protección de datos
Protección de datos y RGPD
El cumplimiento en protección de datos no se agota con unos textos legales en la web. Es un sistema: saber qué datos trata la empresa, con qué legitimación, quién accede a ellos, con qué proveedores se comparten, cuánto tiempo se conservan y qué se hace cuando algo sale mal.
El principio que lo ordena todo
El RGPD se construye sobre la responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo. Esa exigencia probatoria es la que explica por qué el cumplimiento se articula en documentos —registro de actividades, análisis de riesgos, contratos, políticas, registros de incidencias— y no en buenas intenciones. Ante una reclamación, la Agencia no pregunta si la empresa cumple: pide que lo acredite.
El registro de actividades de tratamiento. Si no existe, la conversación con la autoridad de control empieza ya con una infracción reconocida, con independencia de lo que se discuta después.
Los bloques del cumplimiento
- Inventario y legitimación. Qué tratamientos existen y sobre qué base jurídica se apoya cada uno.
- Información y transparencia. Cláusulas informativas en todos los puntos de recogida, no solo en la web.
- Contratos con terceros. Encargados de tratamiento, corresponsables y cesiones, cada uno con su instrumento.
- Seguridad. Medidas técnicas y organizativas proporcionadas al riesgo, con evidencia de su implantación.
- Derechos. Procedimiento para atender solicitudes en plazo y con prueba de la respuesta.
- Brechas. Protocolo de detección, valoración, notificación y registro.
- Conservación. Plazos definidos por tipo de dato y supresión efectiva al vencer.
- Formación y control interno. Quién accede a qué y con qué instrucciones.
Dónde falla habitualmente una empresa mediana
| Punto | Situación habitual |
|---|---|
| Registro de actividades | No existe o está copiado de una plantilla ajena |
| Encargados de tratamiento | Sin contrato con la gestoría, la plataforma o el proveedor de informática |
| Textos legales | Copiados de otra web, describen tratamientos que no se hacen |
| Conservación | Todo se guarda indefinidamente, incluidos currículos y datos de exempleados |
| Accesos | Todo el mundo ve todo, sin perfiles diferenciados |
| Transferencias | Proveedores fuera del Espacio Económico Europeo sin garantías analizadas |
| Brechas | Sin protocolo, con el plazo de 72 horas corriendo |
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Todo lo que comprende
- Auditoría RGPDDiagnóstico del cumplimiento
- Registro de actividadesArtículo 30
- Textos legalesWeb y formularios
- Cookies y LSSIBanner y consentimiento
- EncargadosArtículo 28
- Evaluación de impactoCuándo es obligatoria
- BrechasNotificación en 72 horas
- DerechosRespuesta en plazo
- TransferenciasFuera del EEE
- VideovigilanciaLímites del control
- Datos de empleadosRecursos humanos
- MarketingComunicaciones comerciales
- SancionesRégimen y graduación
- CiberseguridadNIS2 y medidas
- Inteligencia artificialUso responsable
- DPO externoDelegado independiente
Sobre la protección de datos
Ya nos adaptamos hace años. ¿Hay que volver a hacerlo?
Hay que mantenerlo. Una adaptación de hace cinco años describe una empresa que probablemente ya no existe: han cambiado los proveedores tecnológicos, los canales de captación, la plantilla y, muy posiblemente, la actividad. El cumplimiento en protección de datos no es un proyecto con fecha de fin, sino una función que se mantiene, igual que la contabilidad.
¿Cuánto cuesta una sanción?
El RGPD prevé dos tramos máximos muy elevados, calculados en importe fijo o en porcentaje del volumen de negocio anual global, el que sea mayor. En la práctica, la mayoría de las sanciones a empresas medianas se sitúa muy por debajo de esos máximos, pero sigue tratándose de importes relevantes, a los que se suma el coste de la instrucción y el reputacional. Lo desarrollamos en sanciones de la AEPD.
¿Por dónde se empieza?
Por el inventario: qué datos trata la empresa, de quién, para qué, dónde están y quién accede. Sin ese mapa no se puede hacer nada más, porque cualquier documento posterior sería una plantilla. A partir de ahí se construyen el registro de actividades, las bases de legitimación, los contratos con proveedores y las medidas. Es el contenido de la auditoría RGPD.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.