En resumen
- Reglamentación: RGPD.
- Todo despacho está afectado, sin umbral alguno: en cuanto trata datos personales —lo que ocurre al 100 % (nóminas, declaraciones, expedientes de directivos)— se aplican las obligaciones.
- Mantener un registro de tratamientos.
- Definir una base legal.
- Regular la subcontratación.
- El RGPD prevé dos niveles de multas: hasta 10 M€ o el 2 % del volumen de negocio mundial por incumplimientos organizativos (registro, seguridad, subcontratación), y hasta 20 M€ o el 4 % por incumplimientos de los principios y los derechos de las personas, aplicándose el importe más elevado.
Plazos normativos
Las fechas clave de esta normativa.
Mayo de 2018
Entrada en aplicación
En vigor¿De qué trata el RGPD?
El RGPD es el marco europeo de protección de datos personales, aplicable desde el 25 de mayo de 2018 y supervisado en Francia por la CNIL. Se basa en algunos principios fundamentales: licitud (una base jurídica para cada tratamiento), minimización (recoger únicamente lo necesario), limitación de los plazos de conservación, seguridad y responsabilidad proactiva (capacidad de demostrar el cumplimiento).
Distingue al responsable del tratamiento, que decide las finalidades y los medios, del encargado del tratamiento, que actúa según las instrucciones del responsable. Una asesoría contable es el ejemplo típico de actor que acumula ambas condiciones.
¿Afecta la normativa al sector «Asesores fiscales y contables»?
Cualquier despacho está concernido, sin umbral alguno: desde el momento en que trata datos personales —lo cual ocurre al 100 % (nóminas, declaraciones, expedientes de directivos)— las obligaciones son aplicables. El tamaño del despacho nunca le exime; únicamente modula el nivel de organización esperado y la obligación o no de mantener un registro simplificado.
El despacho es responsable del tratamiento para la gestión de su personal, su prospección y su facturación. Es encargado del tratamiento para los tratamientos ejecutados en nombre de sus clientes: nóminas, contabilidad, declaraciones sociales y fiscales. Esta distinción determina las cláusulas contractuales que deben establecerse.
Obligaciones detalladas
Mantener un registro de tratamientos
Documentar la totalidad de los tratamientos, tanto en el rol de responsable como en el de encargado del tratamiento: finalidades, categorías de datos y de personas, destinatarios, plazos de conservación, medidas de seguridad. Es la pieza clave de la conformidad y la primera que se solicita en caso de inspección.
Definir una base jurídica
Cada tratamiento debe basarse en una base jurídica clara (ejecución de un contrato, obligación legal, interés legítimo, consentimiento). La prospección comercial requiere habitualmente el consentimiento o el interés legítimo debidamente encuadrado.
Encuadrar la subcontratación
Firmar un contrato de encargado del tratamiento conforme al artículo 28 con cada proveedor: editores de nóminas, proveedores de alojamiento, soluciones de OCR. El DPA fija las instrucciones, la seguridad, el destino de los datos al finalizar el contrato y la regulación de los subencargados.
Proteger los datos
Implementar medidas proporcionales a la sensibilidad de los datos: cifrado, gestión granular de derechos de acceso, autenticación reforzada, registro de actividad y copias de seguridad. Los datos de nómina justifican un nivel de protección elevado.
Controlar los plazos de conservación
Definir, para cada categoría de datos, un plazo coherente con la finalidad y las obligaciones legales, y archivar o suprimir los datos transcurrido dicho plazo. La conservación ilimitada de expedientes antiguos es un incumplimiento frecuente.
Responder a los derechos de las personas
Estar en condiciones de atender las solicitudes de acceso, rectificación y supresión en el plazo de un mes, y gestionar las solicitudes transmitidas por los clientes para los que el despacho actúa como encargado del tratamiento.
Gestionar las violaciones de datos.
Disponer de un procedimiento de detección, calificación y notificación a la autoridad de control en un plazo de 72 horas, con información a los interesados en caso de riesgo elevado.
Sanciones y riesgos
El RGPD prevé dos niveles de multas: hasta 10 M€ o el 2 % del volumen de negocio mundial por incumplimientos organizativos (registro, seguridad, subcontratación), y hasta 20 M€ o el 4 % por incumplimientos de los principios y los derechos de las personas, aplicándose el importe más elevado.
Más allá de la multa, una filtración de datos financieros y sociales supone un grave perjuicio reputacional para un despacho cuya actividad se sustenta en la confianza. Los incumplimientos también pueden dar lugar a requerimientos públicos e injunciones con multas coercitivas.
Errores frecuentes en el sector
- 1Confusión de roles. No distinguir entre responsable y encargado del tratamiento, lo que conduce a cláusulas contractuales inadecuadas y a un registro incompleto.
- 2Ausencia de DPA. Utilizar software de nóminas o de alojamiento sin un contrato de subcontratación conforme.
- 3Conservación ilimitada. Conservar indefinidamente los expedientes antiguos de clientes sin política de supresión.
- 4Ningún procedimiento de derechos. No saber gestionar una solicitud de acceso o de supresión en el plazo de un mes.
Caso práctico
Un despacho de 15 profesionales gestiona la nómina de 200 empresas clientes a través de un software SaaS. Una inspección de la autoridad de control revela la ausencia de DPA con el editor, un registro limitado únicamente al rol de responsable y accesos a los expedientes sin registro de eventos. El despacho regulariza la situación firmando el DPA, completando el registro para su rol de encargado del tratamiento y activando el registro de accesos — tres acciones que, realizadas con antelación, habrían evitado el requerimiento.
Hoja de ruta de cumplimiento
- 1
Cartografiar. Inventariar los tratamientos y las herramientas utilizadas, incluidos los componentes de IA, distinguiendo claramente los roles de responsable y encargado del tratamiento.
- 2
Constituir el registro. Redactar y mantener actualizado el registro de actividades de tratamiento para ambos roles.
- 3
Regularizar los DPA. Auditar los contratos de los editores y proveedores de alojamiento, y firmar o actualizar los DPA faltantes o incompletos.
- 4
Formalizar seguridad y conservación. Redactar una política de seguridad y una política de conservación, y desplegar un procedimiento de gestión de violaciones.
- 5
Designar un DPO y formar. Nombrar un DPO interno o externalizado, formar a los colaboradores y planificar una revisión anual.
Preguntas frecuentes
Sí, sin umbral: desde el primer tratamiento de datos personales. Solo la obligación de registro puede simplificarse para las organizaciones de menos de 250 personas, pero sigue siendo necesaria en cuanto un tratamiento es habitual o versa sobre datos sensibles, como es el caso de la nómina.
Pase a la acción en RGPD
Diagnóstico gratuito o una charla con un experto dedicado a auditores de cuentas.
Ya confían en nosotros
Descubra cómo organizaciones del sector auditores de cuentas aseguraron su cumplimiento con DCO.