Guía RGPD: ¿cómo lograr la conformidad?

¿Qué es el RGPD, concretamente?

El Reglamento General de Protección de Datos es el texto de referencia europeo en materia de privacidad, aplicable desde el 25 de mayo de 2018. Regula el «tratamiento» —es decir, cualquier operación: recogida, registro, consulta, modificación, conservación, transmisión, supresión— de «datos personales», entendidos de forma muy amplia como toda información relativa a una persona física identificada o identificable.

Esta noción de dato personal es más extensa de lo que se cree: más allá del nombre y el correo electrónico, incluye una dirección IP, un identificador de cliente, un número de teléfono, una matrícula, un dato de geolocalización, una fotografía o incluso una cookie publicitaria. Determinadas categorías denominadas «especiales» (salud, opiniones, afiliación sindical, datos biométricos, orientación, etc.) gozan de una protección reforzada y, en principio, su tratamiento está prohibido, salvo excepciones estrictas.

El RGPD distingue dos roles centrales. El responsable del tratamiento decide las finalidades y los medios: es quien da las instrucciones. El encargado del tratamiento trata los datos por cuenta del responsable: un editor SaaS, un proveedor de nóminas, un proveedor de alojamiento. Cada rol tiene sus propias obligaciones, y una misma empresa es con frecuencia responsable de sus propios datos (RRHH, clientes) y encargada de los de sus clientes.

Los seis principios que todo debe respetar

Todo el cumplimiento del RGPD deriva de seis principios fundadores (artículo 5). Comprenderlos permite resolver la mayoría de las situaciones concretas sin necesidad de ser jurista.

• Licitud, lealtad y transparencia: cada tratamiento se basa en una base jurídica válida y las personas son informadas con claridad.
• Limitación de la finalidad: los datos se recogen para un fin determinado y no se reutilizan de forma incompatible.
• Minimización: solo se recogen los datos estrictamente necesarios para la finalidad.
• Exactitud: los datos se mantienen actualizados y los errores se corrigen.
• Limitación del plazo de conservación: los datos no se conservan indefinidamente, sino durante un período justificado.
• Integridad y confidencialidad: los datos están protegidos mediante medidas de seguridad adecuadas.

A estos seis principios se añade un séptimo, de carácter transversal: la responsabilidad proactiva. Debe poder demostrar, con pruebas, que cumple los seis restantes. Es este principio el que convierte la documentación (registro, EIPD, políticas, procedimientos) no en algo opcional, sino en un elemento constitutivo del propio cumplimiento.

¿Quién está afectado?

Todas las organizaciones están concernidas, desde el despacho independiente hasta el gran grupo, en cuanto tratan datos de personas en la UE. No existe un umbral de exención general: el tamaño modula ciertas obligaciones documentales, pero nunca exime del respeto a los principios.

El RGPD tiene además un alcance extraterritorial. Una empresa establecida fuera de la UE queda sujeta a él en cuanto ofrece bienes o servicios a personas en la Unión, o realiza un seguimiento de su comportamiento (analítica, publicidad dirigida). En España, la autoridad de control es la AEPD, que coopera con sus homólogas europeas a través del Comité Europeo de Protección de Datos.

• Microempresas y pymes: ninguna exención de fondo; la simplificación del registro para organizaciones de menos de 250 empleados prácticamente nunca se aplica en la práctica (tratamientos regulares, sensibles o de riesgo).
• Sectores sensibles (salud, RRHH, finanzas, educación, transporte): mayor vigilancia sobre los datos sensibles, los plazos y la seguridad.
• Asociaciones y entidades públicas: plenamente concernidas, a menudo con un DPD obligatorio.
• Actores fuera de la UE que se dirigen a europeos: sujetos al RGPD y que en ocasiones deben designar un representante en la Unión.

Los documentos que prueban su conformidad

La accountability se materializa en una base documental. Estos documentos no son meras formalidades: son las pruebas que le protegen en caso de inspección, litigio o exigencia por parte de un cliente. A continuación se presenta la base mínima que debe constituir y mantener.

En caso de inspección, la autoridad de control solicita en primer lugar el registro de actividades de tratamiento: su ausencia revela de inmediato un incumplimiento de la normativa.

¿Qué sanciones se aplican en caso de incumplimiento?

El RGPD establece un sistema de dos niveles de sanciones, aplicados según la gravedad y el tipo de infracción. Más allá de las multas, las medidas correctoras y el riesgo reputacional suelen pesar más, especialmente en B2B, donde la conformidad se ha convertido en un criterio de compra.

La autoridad de control también puede imponer multas proporcionadas para las estructuras pequeñas y dar prioridad al acompañamiento, pero una infracción grave o persistente sigue siendo objeto de sanciones severas.

Cómo lograr la conformidad: la hoja de ruta en 10 pasos

Esta hoja de ruta transforma una obligación difusa en un plan de acción secuenciado. Cada etapa produce un entregable documentado y oponible. Puede seguirla en orden, o abordar con prioridad las etapas 1, 3, 5 y 8, que cubren la mayor parte del riesgo.

Etapa 1 — Cartografiar sus tratamientos

Todo comienza con un inventario. Registre todos los tratamientos de datos: RRHH (nóminas, contratación, tarjetas de acceso), clientes, prospectos, proveedores, videovigilancia, cookies y analítica, newsletters, herramientas SaaS. Para cada uno, anote la finalidad, las categorías de datos y de personas afectadas, los destinatarios, los plazos de conservación y los eventuales transferencias fuera de la UE.

Esta cartografía no es un ejercicio teórico: es ella quien alimenta su registro y revela sus riesgos. Un dato que desconoce que posee es un dato que no puede ni proteger, ni eliminar, ni justificar.

• Consulte a cada departamento (marketing, RRHH, IT, contabilidad, dirección).
• Liste todas las herramientas de terceros y dónde están alojados sus datos.
• Identifique los tratamientos sensibles y los que implican a menores.

Etapa 2 — Designar un responsable (DPO o referente)

Nombre a un responsable de cumplimiento. El delegado de protección de datos (DPD) es obligatorio para las autoridades públicas, para el seguimiento habitual y a gran escala de personas, y para el tratamiento a gran escala de datos sensibles. En los demás casos, se recomienda encarecidamente contar con un referente de cumplimiento.

Este responsable orquesta el proceso, forma a los equipos, arbitra los nuevos tratamientos y dialoga con la autoridad de control. Puede ser interno o externalizado — una opción muy valorada por las pymes que desean una experiencia sénior sin crear un puesto dedicado.

• Verifique si el DPD es obligatorio para su actividad.
• Garantice al responsable independencia, medios y dependencia directa de la dirección.
• Notifique el DPD a la autoridad de control cuando sea designado.

Etapa 3 — Asegurar las bases legales

Cada tratamiento debe fundamentarse en una de las seis bases legales del RGPD: consentimiento, ejecución de un contrato, obligación legal, protección de intereses vitales, misión de interés público o interés legítimo. La elección no es libre: depende de la finalidad y conlleva consecuencias (el consentimiento es revocable, el interés legítimo exige una ponderación documentada).

Este es uno de los puntos más deficientemente gestionados. Acumular casillas premarcadas, confundir consentimiento e interés legítimo, o invocar una base inadecuada debilita todo el tratamiento y expone al nivel más alto de sanción.

• Atribuya y documente una base legal por tratamiento.
• Para el consentimiento: recogida libre, informada, específica, inequívoca y revocable.
• Para el interés legítimo: realice y conserve la ponderación.

Etapa 4 — Informar a las personas

La transparencia es una obligación: las personas deben saber quién trata sus datos, por qué, sobre qué base, durante cuánto tiempo, con quién se comparten y cuáles son sus derechos. Esta información se materializa en una política de privacidad y en avisos adaptados a cada punto de recogida (formulario, contrato, e-mailing, cámara).

La información debe ser concisa, clara y accesible: una política copiada y pegada que no refleje sus tratamientos reales es a la vez inútil y arriesgada. Adapte el nivel de detalle al contexto y remita a una información completa.

• Redacte una política de privacidad fiel a su registro.
• Añada menciones breves en cada formulario y flujo de usuario.
• Prevea una información específica y reforzada para los menores.

Etapa 5 — Mantener y actualizar el registro

El registro de actividades de tratamiento es el núcleo de la responsabilidad proactiva (accountability). Recoge, para cada tratamiento, la información exigida por el artículo 30. Es el primer documento requerido por la autoridad de control en caso de inspección, y la herramienta de gestión que hace visibles sus zonas de riesgo.

Un registro solo tiene valor si está vivo: cada nuevo tratamiento, cada nueva herramienta, cada evolución debe reflejarse en él. Un registro estático pierde su fuerza probatoria y da señales de un cumplimiento meramente formal.

• Mantenga, si procede, un registro como «responsable» y un registro como «encargado».
• Vincule cada ficha a su base legal, sus plazos y sus medidas de seguridad.
• Instaure un reflejo: ningún tratamiento nuevo sin entrada en el registro.

Etapa 6 — Organizar el ejercicio de los derechos

Las personas disponen de derechos muy amplios: acceso, rectificación, supresión, limitación, oposición, portabilidad y derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado. Debe poder responder a cada solicitud, de forma gratuita en principio, en un plazo de un mes (ampliable a tres para las solicitudes complejas).

Sin un procedimiento definido, estas solicitudes se pierden, superan los plazos y se convierten en motivos de reclamación. Establezca un canal identificado — idealmente un formulario dedicado accesible en el pie de sus correos y en su sitio web — y un circuito interno claro para verificar la identidad, registrar la solicitud y responder a tiempo.

• Cree un punto de entrada único para las solicitudes de derechos.
• Formalice un circuito: recepción, verificación de identidad, tramitación, respuesta.
• Lleve un registro de las solicitudes recibidas y de las respuestas proporcionadas.

Etapa 7 — Evaluar y reducir los riesgos (EIPD)

Para los tratamientos susceptibles de generar un riesgo elevado — elaboración de perfiles, vigilancia sistemática, datos sensibles a gran escala, decisiones automatizadas — el RGPD impone una evaluación de impacto relativa a la protección de datos (EIPD). Describe el tratamiento, verifica su necesidad y proporcionalidad, valora los riesgos para las personas y define las medidas que los reducen.

La EIPD debe realizarse antes de la implementación del tratamiento, contar con la participación del DPD y revisarse en caso de cambios. Si el riesgo residual sigue siendo elevado a pesar de las medidas, debe consultarse previamente a la autoridad de control.

• Identifique los tratamientos sujetos a EIPD mediante los criterios y listas de la autoridad de control.
• Documente los riesgos, las medidas adoptadas y el riesgo residual.
• Revise la EIPD ante cualquier cambio significativo.

Etapa 8 — Reforzar la seguridad técnica y organizativa

La seguridad no es opcional: es un principio (integridad y confidencialidad) y una obligación (artículo 32). Las medidas deben ser proporcionales al riesgo: cifrado, gestión granular de accesos, autenticación reforzada, copias de seguridad probadas, registro de eventos, segmentación, actualizaciones y sensibilización de los equipos.

Prepare también lo imprevisto: un procedimiento de gestión de violaciones de seguridad de los datos que permita detectar, calificar y, si es necesario, notificar a la autoridad de control en 72 horas e informar a las personas afectadas en caso de riesgo elevado. Improvisar esta respuesta es imposible en situaciones de urgencia.

• Implemente cifrado, control de accesos y MFA en los accesos sensibles.
• Pruebe regularmente sus copias de seguridad y la restauración de datos.
• Redacte y ponga a prueba el procedimiento de notificación de violaciones (72 h).

Etapa 9 — Gestionar los encargados del tratamiento y las transferencias

Sus proveedores de servicios gestionan con frecuencia sus datos: deben estar regulados mediante cláusulas conformes con el artículo 28 (finalidades, seguridad, confidencialidad, subcontratación ulterior, destino de los datos al final del contrato). Identifíquelos, evalúe sus garantías e integre estas cláusulas de forma sistemática.

Verifique también la localización de los datos. En cuanto un flujo salga de la UE — nube estadounidense, soporte en el extranjero, filial fuera de la Unión — está realizando una transferencia sujeta a un mecanismo válido (decisión de adecuación, cláusulas contractuales tipo, Data Privacy Framework) y, con frecuencia, a una evaluación de impacto de la transferencia.

• Cartografíe sus encargados del tratamiento y sus flujos internacionales.
• Firme cláusulas de encargo del tratamiento conformes con cada uno de ellos.
• Asegure cada transferencia fuera de la UE mediante un mecanismo adecuado.

Etapa 10 — Afianzar la cultura y mejorar de forma continua

El cumplimiento fracasa cuando recae en una sola persona. Tiene éxito cuando se convierte en un reflejo compartido: los equipos de marketing piensan en la base legal antes de una campaña, los RRHH piensan en los plazos de conservación, el IT piensa en la seguridad desde el diseño. La formación y la sensibilización periódicas resultan por tanto decisivas.

Por último, el cumplimiento debe gestionarse: auditorías internas, revisión periódica del registro, seguimiento de incidentes y solicitudes, indicadores. Una puntuación de cumplimiento, reevaluada a lo largo del tiempo, materializa el progreso y mantiene la dinámica.

• Forme y sensibilice a todas las funciones expuestas, no solo al IT.
• Audite periódicamente el registro, los contratos y los procedimientos.
• Haga seguimiento de un indicador de madurez para gestionar las prioridades.

Los errores frecuentes que hay que evitar

• Considerar la conformidad como un proyecto puntual: es un proceso continuo que debe evolucionar al ritmo de la empresa.
• Copiar y pegar una política de privacidad genérica sin reflejar los tratamientos reales.
• Olvidar a los subencargados y las transferencias fuera de la UE, fuentes frecuentes de inspecciones y sanciones.
• Confundir consentimiento e interés legítimo, o acumular casillas premarcadas no válidas.
• Descuidar la prueba: sin documentación, una organización incluso conforme sigue estando expuesta jurídicamente.
• Reaccionar de forma urgente ante una violación sin un procedimiento preparado y no respetar el plazo de 72 horas.
• Reducir el RGPD a la TI cuando implica a la dirección, el marketing, los RR. HH. y el departamento jurídico.

Cómo Data Comply One le acompaña

Data Comply One centraliza toda su conformidad en una plataforma única: registro de tratamientos guiado por plantillas precompletadas, gestión de solicitudes de derechos mediante un módulo y un formulario de ejercicio, seguimiento de violaciones, biblioteca de cláusulas y de EIPD, y una puntuación de conformidad que materializa su progreso paso a paso.

Dispone de dos modos: gestionar su conformidad usted mismo con el software, o externalizarla a nuestros expertos —un DPO externalizado de referencia— que la gestionan por usted directamente en la plataforma.

El e-learning integrado, dinamizado por nuestro avatar de sensibilización Daia, incorpora a sus equipos sin tecnicismos, mientras que su DPO de referencia y su suplente garantizan la continuidad. Resultado: una conformidad viva, demostrable, y un objetivo común claro: completar su Pass Conformité.

¿En qué punto se encuentra? ·