Muchas empresas creen que «tratan datos personales» únicamente cuando gestionan una base de clientes o un fichero de nóminas. Sin embargo, el concepto de dato personal que establece el artículo 4.1 del RGPD es mucho más amplio: es toda información sobre una persona física identificada o identificable, ya sea de forma directa (nombre, DNI) o indirecta (una IP, una matrícula, una voz, un patrón de comportamiento). Bajo esta definición, prácticamente ninguna organización queda al margen del RGPD y de la LOPDGDD, aunque no exista una intención consciente de «tratar datos».
Identificar estos tratamientos «invisibles» es el primer paso del principio de responsabilidad proactiva (artículo 24 RGPD): no se puede proteger ni justificar legalmente lo que ni siquiera se sabe que se está tratando.
1. Metadatos, logs y direcciones IP
Cada vez que un empleado se conecta al servidor, un cliente visita la web corporativa o un proveedor accede a una plataforma, se generan registros técnicos: direcciones IP, marcas de tiempo, identificadores de dispositivo, cookies técnicas y de analítica. El Comité Europeo de Protección de Datos y la propia AEPD consideran la IP un dato personal cuando permite, directa o indirectamente, identificar a una persona. Estos registros suelen ampararse en el interés legítimo del responsable (art. 6.1.f RGPD) para fines de seguridad, pero deben estar documentados, tener un plazo de conservación definido y superar un test de ponderación de intereses.
2. Videovigilancia y control de accesos
Las cámaras de seguridad en oficinas, almacenes o comercios tratan datos personales de empleados, clientes y terceros. El artículo 22 de la LOPDGDD exige informar mediante un distintivo visible y tener a disposición la información ampliada, además de limitar la grabación a fines de seguridad y no captar espacios ajenos a esa finalidad (por ejemplo, vestuarios o zonas de descanso). Si se incorpora reconocimiento facial u otra biometría, se entra en la categoría especial de datos del artículo 9 RGPD, lo que exige una base de legitimación reforzada y, habitualmente, una evaluación de impacto.
3. Grabación de llamadas y atención al cliente
Los centros de atención telefónica, los servicios de soporte o incluso un simple contestador con grabación tratan datos personales de voz. Es necesario informar al inicio de la llamada, ofrecer alternativas cuando sea razonable y aplicar plazos de conservación proporcionados a la finalidad (calidad del servicio, prueba de contratación, gestión de reclamaciones).
4. Control horario y geolocalización de empleados
El artículo 90 de la LOPDGDD regula expresamente el uso de sistemas de geolocalización en el ámbito laboral, exigiendo información previa y clara a las personas trabajadoras y a sus representantes. Aplicaciones de fichaje, flotas de vehículos con GPS o control de accesos con tarjeta también generan datos personales que deben tratarse conforme al principio de minimización: solo lo necesario para la finalidad de control horario o de seguridad, nunca para una vigilancia desproporcionada.
5. Currículums no solicitados y bases de talento
Recibir un CV por correo electrónico, aunque no exista un proceso de selección abierto, implica tratar datos personales. Mantener ese CV en una base de datos de «futuros candidatos» exige informar a la persona, definir un plazo de conservación razonable y contar con una base de legitimación (habitualmente el interés legítimo o el consentimiento tácito derivado del propio envío, matizado por el deber de informar).
6. Herramientas SaaS, CRM, email marketing y chatbots
Contratar un CRM, una plataforma de email marketing, un chatbot de atención al cliente o cualquier herramienta en la nube convierte a esos proveedores en encargados del tratamiento (art. 28 RGPD), lo que exige un contrato de encargo, garantías sobre transferencias internacionales si el proveedor no está en la UE, y control sobre las subcontrataciones. Muchas empresas incorporan estas herramientas sin firmar el contrato de encargo correspondiente, lo que constituye un incumplimiento frecuente y fácilmente detectable en una inspección.
7. Datos de contacto de proveedores y clientes B2B
Aunque la relación sea «empresa a empresa», los datos de la persona de contacto (nombre, cargo, correo electrónico, teléfono) siguen siendo datos personales. El tratamiento suele ampararse en la ejecución del contrato (art. 6.1.b RGPD) o el interés legítimo para la gestión comercial, pero requiere igualmente información adecuada y medidas de seguridad.
8. Asistentes de IA, transcripciones y grabación de reuniones
El uso creciente de asistentes de inteligencia artificial para transcribir reuniones, generar resúmenes o analizar interacciones con clientes implica el tratamiento de datos personales de voz y de contenido, y puede quedar además dentro del ámbito del Reglamento europeo de IA (RIA) si el sistema se califica como de riesgo limitado o alto según su finalidad. Es imprescindible verificar si el proveedor de la herramienta de IA actúa como encargado del tratamiento y si existen garantías sobre el uso posterior de esos datos para entrenar modelos.
Beneficios de identificar estos tratamientos
- Reducción del riesgo de sanciones por parte de la AEPD, que puede alcanzar hasta 20 millones de euros o el 4% de la facturación anual global.
- Mejora de la confianza de clientes, empleados y proveedores al demostrar una gestión responsable de sus datos.
- Detección temprana de proveedores tecnológicos sin garantías adecuadas (encargados de tratamiento no formalizados).
- Mayor capacidad de respuesta ante brechas de seguridad, al conocer exactamente qué datos y sistemas están en juego.
Riesgos si no se identifican
- Tratamientos sin base de legitimación válida, lo que constituye una infracción del artículo 6 RGPD.
- Falta de información a los interesados (art. 13 y 14 RGPD), especialmente relevante en videovigilancia, geolocalización y grabación de llamadas.
- Conservación indefinida de datos sin plazo justificado, contraria al principio de limitación del plazo de conservación.
- Exposición ante ciberataques o brechas de seguridad en sistemas no inventariados, lo que también puede tener relevancia para la Directiva NIS2 si la organización entra en su ámbito de aplicación.
¿Es obligatorio hacer una evaluación de impacto (EIPD)?
No de forma automática. El artículo 35 del RGPD exige una Evaluación de Impacto relativa a la Protección de Datos cuando el tratamiento, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas. La AEPD ha identificado como supuestos que habitualmente requieren EIPD, entre otros: la videovigilancia sistemática de espacios de acceso público a gran escala, el uso de datos biométricos para identificación, la geolocalización sistemática de personas trabajadoras, y el uso de sistemas de inteligencia artificial que evalúen o puntúen a personas.
En el resto de los tratamientos aquí descritos (metadatos, CRM, CVs, contacto B2B), no suele ser exigible una EIPD formal, pero sí resulta obligatorio aplicar el principio de proporcionalidad: valorar si el tratamiento es necesario, si existe una alternativa menos invasiva, y documentar esa decisión conforme al principio de responsabilidad proactiva del artículo 24 RGPD.
Conclusión
El primer paso de cualquier estrategia de cumplimiento normativo no es redactar políticas, sino elaborar un inventario realista de los tratamientos de datos personales que existen en la organización, muchos de los cuales pasan desapercibidos en el día a día. Solo a partir de ese diagnóstico es posible aplicar correctamente el RGPD, la LOPDGDD y, cuando corresponda, el Reglamento europeo de IA o la Directiva NIS2.
Este contenido tiene carácter informativo general y no sustituye el asesoramiento jurídico específico para cada caso. Para auditar los tratamientos de datos concretos de tu empresa, recomendamos contar con el apoyo de un DPD o asesor especializado en protección de datos.
#sipylopd #SIPY #ProtecciónDeDatos #RGPD #LOPDGDD #Ciberseguridad #Compliance #DPO
