¿Cómo se desarrolla una auditoría RGPD y cuánto cuesta realmente?
·
Por 
Aymeric Guyard · 5 min de lectura
¿Es obligatoria la auditoría RGPD?
El RGPD no impone una «auditoría» como tal. Impone algo mejor: el principio de responsabilidad, llamado accountability (artículo 5, apartado 2, y artículo 24), que obliga al responsable del tratamiento a ser conforme y a poder demostrarlo en todo momento. La auditoría es el medio para producir esta demostración: estado de situación fechado, brechas identificadas, plan de acción seguido. Es también la primera pieza que la autoridad francesa de protección de datos (CNIL) examina en los controles, y la que piden cada vez más los clientes, las aseguradoras ciber y los inversores en due diligence.
El método en seis fases
- Marco (2 a 3 días): perímetro jurídico (entidades, países), perímetro operativo (procesos prioritarios: RR.HH., marketing, ventas, soporte, TI), interlocutores, calendario, marco de evaluación (artículos del RGPD, marcos y guías de la autoridad francesa de protección de datos (CNIL), incluida la guía de seguridad de datos personales).
- Recopilación (1 semana): entrevistas con los departamentos operativos, revisión documental (políticas, contratos, avisos de información, registro existente, EIPD, procedimientos de violación y de derechos), revisión técnica (control de acceso, registro de eventos, copias de seguridad, cifrado, encargados del tratamiento y transferencias).
- Cartografía de tratamientos: inventario finalidad por finalidad, con para cada uno base legal, categorías de datos y de personas, plazos, destinatarios, transferencias, medidas de seguridad. Esta fase inicializa o fiabiliza el registro del artículo 30 (véase nuestra guía del registro y sus 12 errores).
- Análisis de brechas: cada requisito se califica (conforme, parcialmente conforme, no conforme, no aplicable), con evidencia de apoyo. Las familias examinadas: licitud y bases legales, información de las personas, ejercicio de derechos, plazos de conservación, encargos del tratamiento y transferencias, seguridad, violaciones, gobernanza y documentación.
- Priorización por riesgo: cruce gravedad para las personas x probabilidad x exposición jurídica. Un defecto de información en un sitio web corporativo y una base de prospección sin base legal no requieren la misma urgencia.
- Plan de acción y presentación: acciones fechadas con responsable, carga y quick wins a 30 días, presentado a la dirección. Sin esta presentación al nivel adecuado, la auditoría termina en un cajón.
Los tres entregables que debe exigir
- El informe de auditoría: síntesis para la dirección (puntuación global, riesgos mayores), detalle de las brechas con referencias a los artículos, evidencias examinadas.
- El registro de actividades de tratamiento inicializado en una herramienta mantenible, no una hoja Excel congelada.
- El plan de acción priorizado con hitos, cargas y responsables, directamente pilotable.
Desconfíe de las auditorías que entregan un informe PDF de 80 páginas sin registro ni plan accionable: está pagando una constatación, no una trayectoria.
¿Cuánto cuesta una auditoría RGPD?
El precio depende de tres factores: el tamaño del perímetro (número de procesos y entidades), la sensibilidad de los datos (salud, menores, biometría) y la profundidad técnica esperada. Órdenes de magnitud constatados en el mercado francés:
| Fórmula | Orden de magnitud | Para quién |
|---|---|---|
| Despacho de consultoría o abogados, auditoría a medida | De varios miles a varias decenas de miles de euros según el perímetro, facturado por días | Grandes cuentas, situaciones contenciosas, sectores muy regulados |
| Plataforma de cumplimiento con diagnóstico instrumentalizado y acompañamiento experto | Una fracción del coste de despacho, en suscripción mensual que incluye las herramientas y el seguimiento continuo | Pymes, ETI, entidades locales, grupos de pymes |
| Autodiagnóstico en línea | Gratuito | Primera evaluación del estado en 15 minutos, antes de comprometer un presupuesto |
La verdadera comparación no se refiere al precio de la auditoría sino al coste de la trayectoria: una auditoría puntual caduca en pocos meses si nada instrumentaliza el seguimiento, mientras que el cumplimiento es una obligación continua. Todo el interés reside en acoplar el diagnóstico a la plataforma que soportará el plan de acción, el registro y las pruebas.
Interna, externa o instrumentalizada: ¿quién debe llevar a cabo la auditoría?
- La autoauditoría interna es posible y útil de forma rutinaria, siempre que se disponga de un marco de referencia y de una mirada independiente de las operaciones; su punto ciego clásico es la complacencia involuntaria.
- La auditoría externa aporta independencia y experiencia de los controles; se recomienda para la primera evaluación del estado, tras un incidente, antes de una ronda de financiación o de una certificación.
- El modelo instrumentalizado combina ambos: un diagnóstico estructurado por la plataforma, revisado por un experto (DPO externalizado), seguido de revisiones periódicas automatizadas. Es la mejor relación rigor/coste para una pyme o una ETI.
Pase a la acción
Gestione su cumplimiento con Data Comply One: software todo en uno y expertos DPO/CISO externalizados.
Descubrir el DPO externalizado →Evaluar mi cumplimiento RGPD →Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 5, 24, 28, 30, 32, 33, 34 y 35, EUR-Lex.
- La autoridad francesa de protección de datos (CNIL), guía de la seguridad de los datos personales (edición 2024) y marcos de referencia sectoriales.
- La autoridad francesa de protección de datos (CNIL), « Les contrôles de la CNIL »: desarrollo y poderes de la autoridad.