Cumplimiento RGPD y LOPD GDD en empresas: guía de obligaciones
1. Introducción
Alcanzar el cumplimiento RGPD en empresas no es una moda administrativa, sino una obligación legal con sanciones de hasta 20 millones de euros o el 4% de la facturación anual global, y un requisito comercial cada vez más exigido por clientes y proveedores. Desde 2018, el Reglamento General de Protección de Datos se aplica directamente en toda la Unión Europea, y en España se complementa con la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Sin embargo, la mayoría de las pymes lo trata como un trámite pendiente: no sabe qué obligaciones le afectan, qué plazos tiene o qué riesgo asume. Esta guía ordena el cumplimiento RGPD en empresas por obligaciones, plazos y sanciones, con ejemplos prácticos que cualquier responsable de cumplimiento puede aplicar directamente.
2. El marco normativo del cumplimiento RGPD en empresas: RGPD y LOPDGDD
El RGPD (Reglamento UE 2016/679) es de aplicación directa en todos los Estados miembros y establece el marco general de protección de datos: principios, derechos, obligaciones de los responsables y encargados de tratamiento, transferencias internacionales y régimen sancionador. La LOPDGDD adapta y desarrolla el reglamento en España, introduciendo particularidades como la figura del delegado de protección de datos en determinados supuestos o el régimen específico de infracciones. El cumplimiento RGPD en empresas exige conocer ambos textos, porque una empresa que solo atiende al reglamento puede incumplir aspectos desarrollados por la ley española. Las guías de la AEPD y del CEPD interpretan los artículos por sector: un programa serio de cumplimiento RGPD en empresas parte de un mapa normativo actualizado, no de plantillas genéricas.
¿A quién aplica el cumplimiento RGPD en empresas?
El ámbito de aplicación es muy amplio: cualquier empresa o autónomo que trate datos personales de clientes, empleados, proveedores o usuarios, con independencia de su tamaño, está sujeto al reglamento; no existe excepción por facturación ni por plantilla. El primer ejercicio del cumplimiento RGPD en empresas es identificar todos los tratamientos existentes, incluso los que nadie recuerda. La AEPD, autoridad española de control, publica guías, formularios de denuncia y criterios en su portal oficial, y su régimen sancionador en España se rige por el artículo 83 del RGPD complementado por la LOPDGDD.
3. Obligaciones principales del cumplimiento RGPD en empresas
El cumplimiento RGPD en empresas se organiza en torno a seis bloques de obligaciones. Revisarlos en orden permite construir un programa de cumplimiento completo sin olvidar ningún elemento.
3.1 Principios del tratamiento y bases legales
Todo tratamiento debe cumplir los principios del artículo 5: licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad. Aplicar estos principios es la base de cualquier programa de cumplimiento RGPD en empresas. Además, cada tratamiento necesita una base legal del artículo 6 (consentimiento, contrato, obligación legal, interés legítimo, interés vital o misión de interés público), que debe documentarse para poder acreditarla ante la autoridad.
3.2 Derechos de los interesados
Los interesados tienen derecho de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y, cuando aplique, a no ser objeto de decisiones automatizadas. La empresa debe atender estas solicitudes en el plazo de un mes (prorrogable dos meses más en casos complejos). Los plazos son la primera área auditada y la que más reclamaciones genera, de modo que conviene automatizar la gestión de solicitudes desde el inicio del cumplimiento RGPD en empresas. El incumplimiento de estos plazos es una de las infracciones más habituales y una de las más fácilmente sancionables.
3.3 RAT, evaluación de impacto y delegado de protección de datos
El responsable debe mantener un Registro de Actividades de Tratamiento (RAT), realizar evaluaciones de impacto (EIPD) cuando el tratamiento entrañe alto riesgo y, en los supuestos que fija la normativa, designar un delegado de protección de datos (DPD). La LOPDGDD amplía los supuestos de designación obligatoria en España, por lo que muchas empresas que en otros países no necesitarían DPD sí lo necesitan aquí. Un RAT incompleto es, de hecho, la infracción documental más detectada en el cumplimiento RGPD en empresas.
4. Obligaciones, plazos y sanciones: tabla de referencia
La siguiente tabla resume las obligaciones centrales del cumplimiento RGPD en empresas, los plazos asociados y el régimen sancionador que establecen los artículos 83 del RGPD y 72 de la LOPDGDD. Las sanciones se calculan sobre la facturación global anual del grupo.
| Obligación (artículo RGPD) | Qué debe hacer la empresa | Plazo | Sanción máxima |
|---|---|---|---|
| Notificación de brechas (art. 33) | Notificar a la autoridad de control los incidentes con riesgo para los derechos y libertades | 72 horas desde el conocimiento | 10 M € o 2% de la facturación |
| Comunicación a afectados (art. 34) | Informar a los interesados cuando la brecha suponga alto riesgo | Sin dilación indebida | 10 M € o 2% de la facturación |
| Registro de actividades (art. 30) | Mantener y actualizar el RAT y poder acreditarlo | Permanente; presentación bajo requerimiento | 10 M € o 2% de la facturación |
| Medidas de seguridad (art. 32) | Aplicar medidas técnicas y organizativas adecuadas (cifrado, control de accesos, copias) | Permanente y proporcional al riesgo | 10 M € o 2% de la facturación |
| Evaluación de impacto (art. 35) | EIPD previa en tratamientos de alto riesgo | Antes de iniciar el tratamiento | 10 M € o 2% de la facturación |
| Derechos de los interesados (arts. 15-22) | Atender solicitudes de acceso, supresión, rectificación, etc. | 1 mes (prorrogable 2) | 20 M € o 4% de la facturación |
| Contratos con encargados (art. 28) | Formalizar contrato por escrito con proveedores que traten datos | Antes de comenzar el tratamiento | 20 M € o 4% de la facturación |
| Principios y bases legales (arts. 5-6) | Tratar solo con base legal y conforme a los principios | Permanente | 20 M € o 4% de la facturación |
Como se observa, los incumplimientos más técnicos (documentación, seguridad, notificaciones) se sancionan con la cuantía menor, mientras que los que atacan la esencia de los derechos de los interesados alcanzan el tramo máximo. La LOPDGDD añade además infracciones específicas y publica las resoluciones, que dañan la reputación además del bolsillo. El texto completo puede consultarse en EUR-Lex, el portal oficial de la Unión Europea.
5. El Registro de Actividades de Tratamiento: ejemplo práctico
El RAT es la columna vertebral documental del cumplimiento RGPD en empresas. Debe identificar cada tratamiento, su finalidad, la base legal, las categorías de interesados y de datos, los destinatarios, los encargados, las transferencias y los plazos de conservación, con las medidas de seguridad aplicadas. Aunque su formato es libre, la AEPD publica plantillas. Un RAT bien estructurado se entrega en HTML o en hojas de cálculo; el siguiente ejemplo muestra la estructura típica.
<!-- Registro de Actividades de Tratamiento (art. 30 RGPD) -->
<table>
<thead>
<tr>
<th>Tratamiento</th><th>Base legal</th><th>Finalidad</th>
<th>Encargado</th><th>Medidas de seguridad</th>
</tr>
</thead>
<tbody>
<tr>
<td>Gestion de nomina</td><td>Art. 6.1.b RGPD (contrato)</td>
<td>Gestion laboral y fiscal</td>
<td>Gestoria EJEMPLO S.L.</td>
<td>Cifrado AES-256, control de accesos</td>
</tr>
</tbody>
</table>Fig. 1 – Estructura de una ficha del RAT conforme al artículo 30 del RGPD.
El RAT no es un documento estático: debe actualizarse cada vez que cambie un tratamiento, se contrate a un nuevo encargado o se modifiquen las medidas de seguridad. Las herramientas de gestión documental facilitan mantener el registro vivo y aportar evidencias de cumplimiento RGPD en empresas en cada auditoría. Las auditorías de clientes y las inspecciones de la AEPD lo solicitan como primera evidencia, de modo que tenerlo al día es la señal más clara de un cumplimiento RGPD en empresas serio y sostenido.
6. Brechas de seguridad: la notificación en 72 horas
Cuando se produce una brecha (acceso no autorizado, destrucción, pérdida o alteración de datos), el reloj empieza a correr: la gestión de brechas es el examen práctico del cumplimiento RGPD en empresas y exige un procedimiento documentado de detección, contención, evaluación del riesgo y notificación. El artículo 33 obliga a notificar a la autoridad de control en un máximo de 72 horas desde el conocimiento de la brecha; si la notificación se hace después, debe justificarse el retraso. Además, si la brecha supone un alto riesgo para los derechos y libertades de las personas, hay que comunicarla también a los afectados (art. 34).
Un procedimiento de notificación eficaz tiene cinco pasos: confirmar el incidente y recopilar la información mínima (naturaleza, categorías y número de interesados, medidas adoptadas); valorar la gravedad; contener el incidente; documentar todo el proceso en el registro de brechas interno; y redactar la notificación con arreglo a las exigencias del cumplimiento RGPD en empresas. La siguiente plantilla resume la información que exige la autoridad.
<!-- Plantilla de notificacion de brecha (art. 33 RGPD) -->
<ul>
<li>Fecha y hora del conocimiento de la brecha</li>
<li>Descripcion de la naturaleza del incidente</li>
<li>Categorias y numero aproximado de afectados</li>
<li>Categorias y numero de registros afectados</li>
<li>Medidas adoptadas y previstas para paliarlo</li>
<li>Recomendaciones a los interesados</li>
</ul>Fig. 2 – Contenido mínimo de una notificación de brecha a la autoridad de control.
Las organizaciones que entrenan a su personal y ensayan la notificación reaccionan en horas; las que improvisan, en días. El tiempo medio de detección de brechas en las pymes sigue siendo alto, y cada día de retraso incrementa el riesgo de una sanción adicional por notificación tardía. La AEPD publica cada año las brechas notificadas y sus resoluciones, una fuente gratuita para calibrar los riesgos reales del cumplimiento RGPD en empresas. Cada día de retraso incrementa el riesgo de una sanción adicional por notificación tardía, y por eso la formación interna y el simulacro anual son inversiones que rentabilizan el cumplimiento RGPD en empresas mucho más que cualquier plantilla guardada en un cajón.
7. Conclusión
El cumplimiento RGPD en empresas es un programa continuo, no un trámite puntual: bases legales documentadas, derechos operativos, RAT actualizado, medidas de seguridad proporcionadas y un procedimiento de notificación de brechas ensayado. Los plazos son estrictos y las sanciones, en el tramo superior, pueden comprometer la viabilidad de un negocio, de modo que el cumplimiento RGPD en empresas no admite improvisación. Sin embargo, el esfuerzo tiene retorno inmediato: los clientes y los grandes proveedores exigen evidencias de cumplimiento en sus auditorías, y las empresas que lo demuestran cierran contratos que otras pierden. La privacidad, en definitiva, es un activo de marca que se construye con el cumplimiento RGPD en empresas día a día.
Artículos relacionados: la legislación de protección de datos y el análisis de riesgos y el análisis de riesgos para empresas.
En Jaymon Security ayudamos a las empresas a alcanzar el cumplimiento RGPD en empresas con metodologías prácticas, desde el análisis de riesgos y el RAT hasta la gestión de brechas y la relación con la AEPD.
¿Necesitas ayuda con Cumplimiento RGPD en empresas?
En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.
Contacta con nosotros para una evaluación gratuita de tu infraestructura.
