Cumplir con el RGPD no es tener papeles: es saber qué hace la empresa con los datos
Muchas empresas creen que cumplir con el RGPD y la LOPDGDD consiste en tener una política de privacidad, unas cláusulas y algún contrato guardado en una carpeta. Pero el cumplimiento real va mucho más allá. La protección de datos exige que la empresa conozca sus tratamientos, adopte decisiones justificadas, aplique medidas de seguridad y pueda demostrar que actúa conforme al principio de responsabilidad proactiva.
Un checklist básico de cumplimiento no sustituye una auditoría o revisión jurídica detallada, pero sí ayuda a verificar si la empresa tiene cubiertos los aspectos esenciales. Y eso es especialmente útil para pymes, despachos profesionales, comercios, centros formativos, clínicas, asesorías y cualquier organización que trate datos personales.
A continuación, se expone un checklist práctico, claro y jurídicamente fundamentado para revisar el cumplimiento básico en protección de datos.
1. ¿La empresa sabe qué datos personales trata?
El primer punto del checklist es el más importante: identificar los tratamientos de datos personales que realiza la empresa. No se puede cumplir si no se sabe qué se hace.
Hay que revisar, al menos, si la empresa trata datos de:
- clientes;
- potenciales clientes;
- empleados;
- candidatos;
- proveedores;
- usuarios web;
- videovigilancia;
- contactos comerciales;
- suscriptores de newsletters;
- usuarios de plataformas o aplicaciones.
También debe definirse para qué finalidades se usan esos datos: gestión comercial, contratación, atención al cliente, selección de personal, facturación, marketing, control laboral, videovigilancia, seguridad o cumplimiento de obligaciones legales.
Beneficio: ordenar internamente la gestión de datos y reducir errores.
Riesgo si no se hace: tratamientos ocultos, datos innecesarios y falta de control real.
2. ¿Cada tratamiento tiene una base jurídica válida?
El RGPD exige que todo tratamiento tenga una base de legitimación. Uno de los errores más frecuentes es creer que el consentimiento sirve para todo. No es así.
Las bases jurídicas más habituales son:
- consentimiento;
- ejecución de un contrato;
- cumplimiento de una obligación legal;
- interés legítimo;
- en algunos casos, interés vital o misión en interés público.
La empresa debe revisar tratamiento por tratamiento qué base aplica y si está correctamente documentada. Por ejemplo, no se debe pedir consentimiento para algo que realmente depende de una obligación legal o de la ejecución de un contrato.
Si se usa el interés legítimo, debe analizarse la ponderación entre el interés empresarial y los derechos de la persona afectada.
Beneficio: solidez jurídica y coherencia.
Riesgo: tratamientos ilícitos o mal fundamentados.
3. ¿La información ofrecida es clara, completa y comprensible?
Uno de los pilares del RGPD es la transparencia. Por ello, la empresa debe comprobar si sus cláusulas informativas, políticas de privacidad y textos legales explican de forma clara:
- quién es el responsable del tratamiento;
- para qué se usan los datos;
- cuál es la base jurídica;
- durante cuánto tiempo se conservan;
- si se comunicarán a terceros;
- si existen transferencias internacionales;
- qué derechos tienen las personas;
- cómo pueden ejercerlos.
Esto afecta a formularios web, contratos, correos, procesos de selección, videovigilancia, comunicaciones comerciales y recogida presencial de datos.
Beneficio: más confianza y menos reclamaciones.
Riesgo: falta de transparencia, consentimientos inválidos y exposición sancionadora.
4. ¿La empresa tiene su documentación y contratos al día?
El cumplimiento no se limita a informar. También exige que la documentación interna esté actualizada. Dentro del checklist mínimo deberían revisarse:
- registro de actividades de tratamiento, cuando proceda;
- políticas y procedimientos internos;
- contratos de confidencialidad;
- contratos con encargados del tratamiento;
- cláusulas informativas;
- política de privacidad web;
- política de cookies, si corresponde;
- protocolos de gestión de derechos y brechas.
Especial atención merecen los encargados del tratamiento: asesorías, proveedores cloud, hosting, software de gestión, mantenimiento informático, email marketing, CRM o plataformas de firma. Si acceden a datos personales por cuenta de la empresa, debe existir contrato conforme al artículo 28 del RGPD.
Beneficio: control documental y mejor defensa ante incidencias.
Riesgo: depender de proveedores sin garantías o sin marco jurídico suficiente.
5. ¿Las medidas de seguridad son adecuadas al riesgo?
La seguridad de la información y la protección de datos están estrechamente conectadas, pero no son exactamente lo mismo. El RGPD obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32.
El checklist básico debería incluir preguntas como estas:
- ¿hay control de accesos?
- ¿existen contraseñas robustas y políticas de renovación?
- ¿se hacen copias de seguridad?
- ¿los equipos y sistemas están actualizados?
- ¿hay cifrado o seudonimización cuando procede?
- ¿el personal ha recibido formación?
- ¿se controla el acceso a documentación en papel?
- ¿existen medidas para teletrabajo y dispositivos móviles?
Aquí rige el principio de proporcionalidad. No todas las empresas necesitan el mismo nivel de sofisticación, pero todas deben aplicar medidas razonables según el tipo de datos, el volumen y el impacto posible de un incidente.
Beneficio: reducción del riesgo de brechas y continuidad de negocio.
Riesgo: accesos indebidos, pérdida de información y daños reputacionales.
6. ¿Existe un procedimiento para atender derechos?
Toda empresa debe estar preparada para gestionar derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento, cuando corresponda.
El checklist básico debería verificar si existe:
- canal para recibir solicitudes;
- verificación de identidad proporcionada;
- responsable interno de la respuesta;
- plazo de control;
- coordinación con proveedores;
- registro de solicitudes y respuestas.
No basta con mencionar los derechos en la política de privacidad. Hay que poder atenderlos de verdad.
Beneficio: cumplimiento efectivo y transparencia.
Riesgo: reclamaciones ante la autoridad de control y pérdida de confianza.
7. ¿La empresa sabe cómo actuar ante una brecha de seguridad?
Una brecha no es solo un problema técnico. Puede implicar consecuencias jurídicas relevantes. El checklist debe revisar si existe un protocolo para:
- detectar incidentes;
- contenerlos;
- analizarlos;
- valorar el riesgo para las personas;
- documentarlos;
- decidir si procede notificar a la autoridad de control;
- comunicar a los afectados si existe alto riesgo.
No todas las brechas obligan a notificación, pero todas deben analizarse y documentarse. La empresa debe poder reaccionar con rapidez y criterio.
Beneficio: menor impacto y mejor capacidad de respuesta.
Riesgo: incumplir plazos, agravar daños o no detectar consecuencias para los afectados.
8. ¿Se ha valorado si hace falta una EIPD o un DPD?
No todas las empresas están obligadas a realizar una Evaluación de Impacto en Protección de Datos (EIPD). Solo procede cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas.
Puede ser necesaria, por ejemplo, si la empresa realiza:
- tratamientos de datos sensibles;
- biometría;
- geolocalización intensiva;
- elaboración de perfiles;
- vigilancia sistemática;
- tratamientos a gran escala;
- uso de tecnologías especialmente intrusivas.
Además, algunas organizaciones están obligadas a designar Delegado de Protección de Datos (DPD) por su actividad o por la naturaleza del tratamiento.
Aunque no haya obligación de EIPD o DPD, sí debe existir un análisis del riesgo y una revisión periódica del cumplimiento.
Beneficio: prevención y madurez organizativa.
Riesgo: mantener tratamientos de alto riesgo sin evaluación suficiente.
Un checklist útil no es estático: debe revisarse
El cumplimiento en protección de datos no se hace una vez. Cambia cuando cambia la empresa: nuevos servicios, nuevas herramientas, nueva web, nuevos proveedores, inteligencia artificial, campañas comerciales, cámaras, teletrabajo o plataformas cloud.
Por eso, el checklist debe revisarse periódicamente. Especialmente cuando haya cambios organizativos, tecnológicos o normativos.
Conclusión
Un checklist básico de cumplimiento RGPD para empresas debe ayudar a verificar, como mínimo, ocho grandes bloques: tratamientos, bases jurídicas, información, documentación, contratos, seguridad, derechos, brechas y evaluación del riesgo.
La LOPDGDD y el RGPD no exigen perfección absoluta, pero sí diligencia, coherencia y capacidad de demostrar cumplimiento. La empresa que revisa estos puntos no solo reduce sanciones: también mejora su organización, su seguridad y la confianza de clientes, empleados y colaboradores.
Límite de la información: este contenido es divulgativo e informativo. No sustituye una revisión jurídica individualizada. La aplicación concreta del RGPD y de la LOPDGDD depende del sector, del tipo de datos tratados, del volumen, de las herramientas tecnológicas utilizadas y del nivel de riesgo de cada organización.
#sipylopd #SIPY #RGPD #LOPDGDD #ProtecciónDeDatos #ChecklistRGPD #Privacidad #Ciberseguridad #CumplimientoNormativo
