RGPD LOPDGDD

La diferencia entre una empresa que cumple con el RGPD y una que tiene papeles del RGPD se nota el día que hay una brecha. La primera tiene un procedimiento, un canal y una persona; la segunda tiene un email genérico y una carpeta sin tocar desde la auditoría inicial.

Trabajamos sobre el negocio real: mapeamos los tratamientos como ocurren, no como están escritos en la plantilla que vino con el software de gestión, y construimos el sistema sobre esa realidad. Lo que entregamos es un marco que vive con la empresa: documentos que cambian cuando cambian los procesos, formación periódica, simulacros de brecha y revisión continua — no un PDF firmado una vez y olvidado.

Cuando aparece la inspección de la AEPD o un cliente grande pide la auditoría de proveedores, ya está hecho el trabajo. Y cuando ocurre una brecha de seguridad — porque ocurre, tarde o temprano — sabes a quién llamar y en qué orden actuar.

El Reglamento General de Protección de Datos (UE) 2016/679 es de aplicación directa en toda la Unión Europea desde el 25 de mayo de 2018 y se aplica a cualquier organización, pública o privada, que trate datos personales de personas físicas, con independencia de su tamaño o facturación. No existe un umbral de empleados o de ingresos que exima del cumplimiento: un autónomo con tres clientes y una multinacional están sujetos al mismo texto legal, aunque la escala de las obligaciones —y el riesgo real— varíe mucho entre ambos.

La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), desarrolla el RGPD en el ordenamiento español: concreta los supuestos de designación obligatoria del DPO (art. 34), regula los tratamientos con fines de videovigilancia (art. 22), de sistemas de exclusión publicitaria, de datos de personas fallecidas y de derechos digitales en el ámbito laboral, y fija el régimen sancionador nacional (art. 70 a 78) alineado con los tramos del artículo 83 del RGPD. La Agencia Española de Protección de Datos (AEPD) es la autoridad de control competente en España y la que resuelve reclamaciones, abre procedimientos sancionadores y publica las guías de referencia del sector.

Para una pyme, cumplir el RGPD y la LOPDGDD significa en la práctica cinco cosas: saber qué datos personales trata y con qué base jurídica (art. 6), documentarlo en un registro de actividades (art. 30), informar correctamente a las personas (art. 13 y 14), tener controlados los contratos con los proveedores que acceden a esos datos (art. 28), y estar preparada para responder tanto a una solicitud de derechos como a una brecha de seguridad dentro de los plazos legales.

El RGPD no se resuelve con una única página ni con un único documento: es un sistema de gestión con piezas especializadas que se combinan según el riesgo y el sector de cada organización. Esta ficha es el punto de partida — el mapa de obligaciones — y desde aquí conectamos con los servicios que cubren cada frente concreto: el DPO externo cuando la designación es obligatoria o refuerza el sistema, la gestión de brechas de seguridad, la adecuación de la videovigilancia al artículo 22 de la LOPDGDD, el procedimiento de atención de derechos de los interesados, y las variantes sectoriales para sanidad, educación y administraciones locales.

No todas las organizaciones necesitan las mismas piezas del silo: una asesoría con cinco empleados probablemente resuelve su cumplimiento con la adecuación base y un canal de brechas; una clínica o un colegio, casi con toda seguridad, necesitan además un DPO externo registrado ante la AEPD; y un ayuntamiento o una empresa que instala cámaras en sus instalaciones añaden la pieza de videovigilancia. El diagnóstico inicial determina qué combinación aplica a tu caso concreto, sin vender servicios que no correspondan.

El régimen sancionador del artículo 83 del RGPD distingue dos tramos: hasta 10 millones de euros o el 2 % del volumen de negocio anual global para las infracciones menos graves (registro de actividades incompleto, contratos de encargado ausentes, falta de designación de DPO cuando es obligatoria), y hasta 20 millones de euros o el 4 % del volumen de negocio global para las más graves (falta de base jurídica, vulneración de los principios del tratamiento, incumplimiento sistemático de derechos). La LOPDGDD, en sus artículos 72 a 74, traslada estos tramos al ordenamiento español y añade plazos de prescripción según la gravedad de la infracción.

La AEPD no actúa solo de oficio: la mayoría de los procedimientos sancionadores se abren a partir de una reclamación de un particular o de la comunicación de una brecha de seguridad no gestionada correctamente. Tener el sistema documentado y operativo antes de que ocurra un incidente es, en la práctica, la diferencia entre una sanción y un expediente archivado.