Burgos concentra un tejido empresarial variado —agroalimentario, industria auxiliar del automóvil, hostelería y servicios profesionales— en el que la protección de datos es una obligación legal desde la aplicación del Reglamento (UE) 2016/679 y la LOPDGDD (LO 3/2018). Desde Summum Consultoría acompañamos a empresas y pymes de Burgos en la adecuación real a la normativa: diagnóstico de tratamientos, documentación, formación y soporte continuado.
Burgos alberga un tejido productivo diversificado: la industria agroalimentaria —morcilla y queso con denominación de origen, grandes grupos de elaboración cárnica en el área metropolitana— convive con una cadena de suministro del automóvil articulada en torno a grupos multinacionales como Grupo Antolín, con sede en la capital, y con un sector hostelero en expansión vinculado a la Catedral de Burgos (Patrimonio de la Humanidad) y al Camino de Santiago. Todas estas organizaciones, con independencia de su tamaño y sector, tratan datos personales de clientes, empleados y proveedores y están plenamente sujetas al RGPD y a la LOPDGDD.
La adecuación real va más allá de descargar una política de privacidad de internet. Implica identificar qué datos trata la organización, con qué base legitimadora (art. 6 RGPD), durante cuánto tiempo y con qué contratos con encargados del tratamiento cuando se comparte información con terceros —gestorías, proveedoras de software en la nube, agencias de comunicación—. En Burgos, muchas pymes tuvieron un primer contacto con la materia a través del Kit Digital, pero ese nivel mínimo no garantiza el cumplimiento real ante una inspección o una reclamación ante la Agencia Española de Protección de Datos.
Desde Summum Consultoría acompañamos a organizaciones de Burgos, Aranda de Duero, Miranda de Ebro y el conjunto de la provincia en el proceso completo de adecuación. Elaboramos el Registro de Actividades de Tratamiento (art. 30 RGPD), revisamos los contratos con encargados, actualizamos los textos informativos y definimos las medidas de seguridad proporcionales al riesgo. No sustituimos a la AEPD ni garantizamos resultados en procedimientos sancionadores, pero sí velamos por que la organización actúe con la diligencia que la normativa exige.
El soporte continuado es tan importante como la implantación inicial. Cuando la AEPD publica nuevas guías sectoriales, cuando la empresa incorpora un nuevo tratamiento o cuando se produce un incidente de seguridad, contar con un consultor de referencia en Burgos que conozca la realidad de la organización permite responder con rapidez y sin partir de cero. Para organizaciones que lo requieran, cubrimos también la figura del Delegado de Protección de Datos externo (arts. 37-39 RGPD), con interlocución directa con el regulador.
Analizamos los flujos de datos personales de la organización: qué información se recoge, con qué finalidad, sobre qué base legitimadora y con qué terceros se comparte. El resultado es el mapa de tratamientos que sirve de base para el Registro de Actividades (art. 30 RGPD) y para toda la adecuación posterior.
Elaboramos el Registro de Actividades de Tratamiento, los contratos con encargados del tratamiento (art. 28 RGPD) y los textos informativos para clientes y empleados (arts. 13-14 RGPD), adaptados a la actividad real de la organización, no a plantillas genéricas.
Definimos y documentamos las medidas técnicas y organizativas proporcionales al riesgo de cada tratamiento (art. 32 RGPD) y formamos al personal en las obligaciones básicas: gestión de accesos, manejo de información de clientes y respuesta ante ejercicios de derechos o incidentes.
Ofrecemos soporte permanente para resolver dudas del día a día, atender ejercicios de derechos (arts. 15-21 RGPD), gestionar brechas de seguridad y actualizar la documentación cuando la organización incorpora nuevos tratamientos o cuando la AEPD publica criterios aplicables al sector.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Registro de Actividades de Tratamiento
Inventario de tratamientos de datos personales exigido por el artículo 30 del RGPD, adaptado a la actividad real y actualizado cuando se incorporan nuevos tratamientos.
Contratos con encargados del tratamiento
Revisión y redacción de los contratos con proveedores que acceden a datos de la organización (art. 28 RGPD): gestorías, plataformas de software, empresas de vigilancia y agencias de marketing.
Textos informativos y política de privacidad
Cláusulas informativas para clientes y empleados (arts. 13-14 RGPD), política de privacidad web y política de cookies ajustadas a la actividad concreta de la organización.
Medidas de seguridad (art. 32 RGPD)
Definición y documentación de medidas técnicas y organizativas proporcionales al nivel de riesgo: control de accesos, gestión de contraseñas, copias de seguridad y procedimientos internos de seguridad.
DPO externo
Delegado de Protección de Datos externo para organizaciones obligadas por el RGPD o que optan por esta figura como asesoramiento permanente, con interlocución directa con la AEPD.
Gestión de brechas de seguridad
Protocolo de respuesta ante incidentes: evaluación del riesgo, notificación a la AEPD en 72 horas (art. 33 RGPD) cuando proceda, comunicación a los afectados (art. 34) y registro documental del incidente.
La protección de datos en Burgos se apoya en un sistema de cumplimiento que abarca desde la adecuación documental hasta la figura del Delegado de Protección de Datos y la gestión de incidentes de seguridad, servicios que Summum Consultoría integra de forma coherente para empresas y pymes de la provincia.
La adecuación general al RGPD es la base sobre la que se construye cualquier sistema de protección de datos: registro de actividades, contratos con encargados, bases legitimadoras y medidas de seguridad proporcionales al riesgo.
Ver servicio → consultoríaEl Delegado de Protección de Datos externo aporta asesoramiento permanente e interlocución con la AEPD sin necesidad de incorporar a un experto en plantilla.
Ver servicio → consultoríaCuando se produce un incidente de seguridad que afecta a datos personales, el artículo 33 del RGPD exige notificarlo a la AEPD en 72 horas: el protocolo de gestión de brechas es parte esencial del sistema de cumplimiento.
Ver servicio →Todas las organizaciones que traten datos personales están sujetas al RGPD y a la LOPDGDD, con independencia de su tamaño o sector. En Burgos, esto incluye desde una pequeña hostelería que gestiona reservas hasta una empresa auxiliar del automóvil con base de datos de empleados, pasando por despachos profesionales o comercios con programas de fidelización. Lo que varía es la complejidad de las medidas, que debe ser proporcional al volumen y la sensibilidad de los datos tratados.
El artículo 83 del RGPD establece dos niveles. Las infracciones más graves —tratar datos sin base legitimadora o vulnerar los principios del RGPD— pueden dar lugar a multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global. Las de menor gravedad —como no tener formalizado el registro de actividades o no disponer de contrato con un encargado— pueden sancionarse con hasta 10 millones de euros o el 2 % del volumen de negocio. La AEPD considera circunstancia atenuante haber actuado con diligencia previa.
La obligación depende del tipo de tratamientos, no del tamaño. El artículo 37 del RGPD exige DPO a autoridades y organismos públicos, a quienes realicen a gran escala seguimiento habitual de interesados, y a quienes traten a gran escala categorías especiales de datos. La LOPDGDD amplía esta obligación a sectores como entidades financieras, aseguradoras o centros sanitarios. Para pymes no obligadas, el DPO externo es una opción que aporta asesoramiento permanente de forma coste-eficiente.
Sí. El tratamiento de datos laborales —nóminas, datos bancarios, control de presencia, videovigilancia o datos de salud— requiere base legitimadora adecuada e información expresa al trabajador. La LOPDGDD regula además los derechos digitales en el ámbito laboral (arts. 87-91): derecho a la intimidad frente al uso de dispositivos corporativos, desconexión digital y videovigilancia. Summum Consultoría acompaña a empresas de Burgos en la adaptación de sus procedimientos de recursos humanos a estos requisitos.