Adapta tu negocio al RGPD en Málaga

¿Qué significa adaptar una empresa al RGPD?

Una adaptación RGPD es un proceso mediante el cual se analiza el tratamiento de datos personales realizado por una organización y se implantan las medidas jurídicas, organizativas y técnicas que correspondan.

Esto puede comprender, dependiendo de cada caso:

• Identificación de los tratamientos de datos personales.

• Determinación de sus finalidades.

• Análisis de las bases jurídicas aplicables.

• Registro de Actividades de Tratamiento.

• Análisis de riesgos.

• Medidas técnicas y organizativas de seguridad.

• Información facilitada a los interesados.

• Procedimientos para atender sus derechos.

• Contratos con encargados del tratamiento.

• Análisis de proveedores tecnológicos.

• Gestión de transferencias internacionales.

• Evaluaciones de impacto cuando resulten necesarias.

• Procedimientos de gestión de brechas de datos personales.

• Políticas internas.

• Formación y concienciación.

• Revisión de la página web y sus formularios.

• Análisis de cookies y servicios externos cuando proceda.

• Designación de Delegado de Protección de Datos cuando resulte obligatoria o se decida voluntariamente.

• Evidencias que permitan demostrar las medidas adoptadas.

No todos estos elementos tienen que aplicarse de forma idéntica a todas las organizaciones.

Una pequeña empresa que gestiona únicamente datos habituales de clientes y proveedores puede presentar un escenario muy diferente al de una clínica que trata datos de salud, una plataforma tecnológica que realiza perfiles o una organización que efectúa tratamientos a gran escala.

El RGPD se aplica también a pymes y autónomos

El tamaño de una empresa no determina por sí solo si el RGPD resulta aplicable.

Un autónomo o una pequeña empresa puede tratar datos personales cuando gestiona clientes, proveedores, trabajadores, currículos, contactos comerciales o usuarios de una página web.

Lo que puede variar considerablemente es la complejidad de las medidas necesarias.

El RGPD aplica un enfoque basado en el riesgo. Esto permite adaptar las medidas a la naturaleza, alcance, contexto y finalidades de los tratamientos.

Por eso no tendría sentido exigir exactamente el mismo sistema de cumplimiento a una microempresa con tratamientos sencillos que a una organización que maneja grandes cantidades de información especialmente sensible.

La adaptación debe ser proporcionada, pero proporcionada no significa inexistente.

Adaptar el RGPD no consiste en descargar unas plantillas

Existen modelos, formularios y herramientas que pueden resultar útiles como punto de partida.

Sin embargo, disponer de documentos no significa automáticamente que una organización cumpla el RGPD.

Una plantilla no puede saber por sí sola:

• Qué programas utiliza la empresa.

• Qué proveedores tienen acceso a los datos.

• Si existen transferencias internacionales.

• Qué empleados pueden acceder a determinada información.

• Qué tratamientos realiza realmente la organización.

• Qué riesgos presentan.

• Qué medidas de seguridad están implantadas.

• Si existe videovigilancia.

• Si se tratan categorías especiales de datos.

• Si la web utiliza servicios externos.

• Si se realizan campañas comerciales.

• Si existen decisiones automatizadas.

• Si la organización utiliza herramientas de inteligencia artificial con datos personales.

Por ello, la documentación debe corresponder con la realidad.

Una empresa puede disponer de numerosos documentos y, sin embargo, tener tratamientos que nunca fueron analizados.

También puede ocurrir lo contrario: una organización puede aplicar buenas medidas técnicas, pero carecer de procedimientos o evidencias que permitan demostrar adecuadamente cómo gestiona la protección de datos.

Una adaptación profesional debe conectar ambos aspectos.

Primera fase: conocer la empresa y sus tratamientos

Antes de preparar documentación es necesario entender cómo funciona la organización.

Análisis de la licitud de los tratamientos

Todo tratamiento de datos personales debe disponer de una base jurídica adecuada.

Uno de los errores habituales consiste en pensar que siempre hay que pedir consentimiento.

No es así.

Dependiendo del tratamiento, la legitimación puede derivar, entre otras posibilidades, del consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, una misión realizada en interés público o el interés legítimo cuando concurran sus requisitos.

Por ello, durante la adaptación identificamos las bases jurídicas correspondientes a cada tratamiento.

Esto también permite revisar si la empresa está solicitando consentimientos innecesarios o, por el contrario, está realizando tratamientos que requieren un análisis adicional.

Registro de Actividades de Tratamiento

El Registro de Actividades de Tratamiento (RAT) es una pieza fundamental para documentar los tratamientos realizados por una organización cuando resulte exigible conforme al artículo 30 del RGPD.

El registro permite estructurar información como:

• Finalidades.

• Categorías de interesados.

• Categorías de datos personales.

• Categorías de destinatarios.

• Transferencias internacionales cuando procedan.

• Plazos previstos de supresión cuando sea posible.

• Descripción general de medidas técnicas y organizativas cuando sea posible.

El RGPD contempla determinadas excepciones para organizaciones con menos de 250 empleados, pero esa excepción no puede aplicarse automáticamente: existen circunstancias en las que el registro continúa siendo obligatorio.

Además, el RAT puede utilizarse como una herramienta práctica de responsabilidad proactiva y no únicamente como un documento formal.

Puedes ampliar esta cuestión en nuestra página sobre Registro de Actividades de Tratamiento (RAT) .

Análisis de riesgos en protección de datos

El RGPD utiliza un enfoque basado en el riesgo para los derechos y libertades de las personas.

Por ello, una adaptación debe analizar los riesgos que pueden derivarse de los tratamientos.

El objetivo no consiste simplemente en enumerar amenazas informáticas.

Deben considerarse las posibles consecuencias que un tratamiento puede tener sobre las personas y determinar medidas adecuadas para gestionarlas.

El análisis puede tener en cuenta aspectos como:

• Naturaleza de los datos.

• Número y características de los interesados.

• Volumen de información.

• Tecnologías utilizadas.

• Accesos.

• Proveedores.

• Comunicaciones de datos.

• Contexto del tratamiento.

• Finalidades.

• Posibles pérdidas, alteraciones o accesos no autorizados.

• Consecuencias para las personas afectadas.

El nivel de profundidad dependerá de las características del tratamiento.

Puedes consultar nuestra página específica sobre Análisis de Riesgos RGPD .

Evaluación de Impacto en Protección de Datos cuando sea necesaria

Una Evaluación de Impacto en Protección de Datos (EIPD) no es obligatoria para todas las empresas ni para todos los tratamientos.

Debe realizarse cuando sea probable que un tipo de tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas.

Para determinarlo deben analizarse las características concretas del tratamiento.

Factores como el uso de nuevas tecnologías, tratamientos a gran escala, evaluación sistemática de personas, determinados tratamientos de categorías especiales de datos o vigilancia sistemática pueden ser relevantes en esta valoración.

No debe concluirse automáticamente que existe obligación de realizar una EIPD únicamente porque aparezca uno de estos elementos sin estudiar el contexto.

Cuando resulta necesaria, la EIPD permite estudiar sistemáticamente el tratamiento, valorar su necesidad y proporcionalidad, analizar los riesgos y establecer las medidas previstas para afrontarlos.

Puedes ampliar esta información en nuestra página sobre Evaluación de Impacto en Protección de Datos (EIPD) .

Medidas técnicas y organizativas de seguridad

La adaptación RGPD también debe ocuparse de la seguridad.

No existe una lista universal de medidas idéntica para todas las empresas.

Las medidas deben determinarse atendiendo al riesgo y a factores como el estado de la técnica, los costes de aplicación, la naturaleza de los datos, el alcance, contexto y finalidades del tratamiento.

Dependiendo del caso pueden analizarse medidas relacionadas con:

• Gestión de usuarios.

• Permisos y privilegios.

• Contraseñas.

• Autenticación.

• Actualización de sistemas.

• Protección frente a software malicioso.

• Copias de seguridad.

• Recuperación de información.

• Cifrado cuando resulte apropiado.

• Seguridad de redes.

• Protección de dispositivos.

• Acceso remoto.

• Teletrabajo.

• Gestión de soportes.

• Eliminación segura.

• Registro de incidencias.

• Continuidad de los servicios.

• Seguridad física.

• Gestión de proveedores.

• Procedimientos internos.

La finalidad es alcanzar un nivel de seguridad adecuado al riesgo, no simplemente marcar una lista de controles.

Puedes consultar nuestra página de Medidas Técnicas y Organizativas .

Proveedores y encargados del tratamiento

Muchas empresas utilizan terceros que pueden acceder a datos personales.

Por ejemplo:

• Asesorías.

• Empresas informáticas.

• Hosting.

• Servicios cloud.

• Plataformas de facturación.

• CRM.

• Software de recursos humanos.

• Servicios de correo electrónico.

• Empresas de soporte.

• Plataformas de reservas.

• Servicios de copias de seguridad.

No todos los proveedores son necesariamente encargados del tratamiento.

Por ello, primero debe analizarse qué función desempeña cada proveedor.

Cuando un tercero trata datos personales por cuenta del responsable, la relación debe regularse conforme a las exigencias del artículo 28 del RGPD y el responsable debe valorar que el proveedor ofrece garantías suficientes.

Una adaptación RGPD debería identificar estas relaciones y evitar que existan proveedores con acceso a información que nunca hayan sido incorporados al sistema de cumplimiento.

Transferencias internacionales de datos

La utilización de determinados servicios tecnológicos puede implicar transferencias internacionales de datos.

Esto puede suceder especialmente con servicios cloud, plataformas de marketing, herramientas colaborativas, determinados proveedores tecnológicos o aplicaciones cuyos grupos empresariales e infraestructuras operan internacionalmente.

Cuando exista una transferencia internacional debe analizarse el país de destino, las entidades implicadas y el mecanismo que permite realizarla conforme al RGPD.

Este aspecto cobra especial importancia en empresas que incorporan nuevas herramientas sin analizar previamente dónde y cómo se tratarán los datos.

Información a clientes, trabajadores y otros interesados

El RGPD reconoce a las personas el derecho a recibir información sobre el tratamiento de sus datos.

Por ello, una adaptación debe revisar los diferentes puntos donde se recoge información personal.

Pueden existir:

• Formularios de contacto.

• Contratos.

• Formularios de alta.

• Presupuestos.

• Procesos de selección.

• Formularios de pacientes.

• Matrículas.

• Formularios comerciales.

• Newsletter.

• Aplicaciones.

• Videovigilancia.

La información debe ser adecuada al tratamiento concreto.

Copiar la misma cláusula en todos los formularios puede generar incoherencias si las finalidades, bases jurídicas, destinatarios o plazos son diferentes.

Procedimientos para el ejercicio de derechos

Las personas pueden ejercer los derechos reconocidos por la normativa de protección de datos cuando resulten aplicables.

La organización debe disponer de mecanismos que permitan recibir, identificar y gestionar estas solicitudes dentro de los plazos correspondientes.

No basta con mencionar los derechos en una política de privacidad.

También debe existir capacidad real para localizar los datos y ejecutar las actuaciones que correspondan.

Durante la adaptación pueden establecerse procedimientos internos para que el personal sepa qué hacer cuando recibe una solicitud.

Página web, formularios, privacidad y cookies

Si la empresa dispone de página web, la adaptación debe analizar también cómo se tratan los datos a través de ella.

Esto puede afectar a:

• Formularios de contacto.

• Solicitudes de presupuesto.

• Registro de usuarios.

• Comercio electrónico.

• Newsletter.

• Reservas.

• Chats.

• Analítica.

• Publicidad.

• CAPTCHA.

• Vídeos externos.

• Mapas.

• Cookies y tecnologías similares.

La política de privacidad y los textos informativos deben corresponder con los tratamientos que realmente se realizan.

Del mismo modo, una política de cookies no debería prepararse simplemente copiando una lista genérica: primero debe conocerse qué tecnologías utiliza realmente la web y cuáles requieren información o consentimiento.

Gestión de brechas de datos personales

Una empresa también debe estar preparada para actuar ante una brecha de datos personales.

Una brecha puede producirse, por ejemplo, por:

• Pérdida de un dispositivo.

• Acceso no autorizado.

• Envío de información al destinatario equivocado.

• Ataque informático.

• Robo de credenciales.

• Eliminación accidental.

• Exposición de información.

• Configuración incorrecta de un servicio.

No todas las brechas requieren las mismas actuaciones.

Debe evaluarse el riesgo para los derechos y libertades de las personas y determinar si existe obligación de notificarla a la autoridad de control y, en los supuestos correspondientes, comunicarla a los afectados.

Además, las brechas deben documentarse conforme a las obligaciones aplicables.

Disponer de un procedimiento previamente definido permite actuar con mayor rapidez cuando ocurre un incidente.

Formación y concienciación del personal

Una gran parte de la seguridad depende de las personas que manejan información.

Por ello, las medidas organizativas pueden incluir formación y concienciación adaptadas a las funciones de los trabajadores.

Los contenidos pueden abordar:

• Confidencialidad.

• Gestión de contraseñas.

• Phishing.

• Uso del correo electrónico.

• Envío de documentos.

• Acceso a información.

• Uso de dispositivos.

• Trabajo remoto.

• Gestión de incidentes.

• Ejercicio de derechos.

• Uso de servicios cloud.

• Tratamiento seguro de información.

No todas las personas necesitan exactamente la misma formación.

Un trabajador administrativo, un técnico informático y una persona que gestiona datos sanitarios pueden necesitar instrucciones diferentes.

Puedes consultar nuestra página de Formación RGPD para Empresas .

¿Necesita mi empresa un Delegado de Protección de Datos?

No todas las empresas están obligadas a designar un Delegado de Protección de Datos (DPD o DPO).

La obligación depende de las circunstancias previstas por el RGPD y la legislación española.

Por ello, durante la adaptación debe comprobarse si la organización se encuentra dentro de alguno de los supuestos de designación obligatoria.

Cuando no exista obligación también puede designarse voluntariamente, pero no debe confundirse la contratación de asesoramiento en protección de datos con la designación formal de un DPD.

Si existen dudas sobre esta figura, puedes consultar nuestra página sobre Delegado de Protección de Dato s .

Protección de datos desde el diseño y por defecto

La protección de datos debería tenerse en cuenta antes de poner en funcionamiento nuevos tratamientos, productos o servicios.

Este enfoque es especialmente importante cuando una empresa:

• Desarrolla una aplicación.

• Crea una plataforma online.

• Implanta un nuevo CRM.

• Instala un sistema de videovigilancia.

• Diseña un proceso de registro.

• Incorpora inteligencia artificial.

• Implementa sistemas de geolocalización.

• Automatiza decisiones.

• Introduce nuevas herramientas para trabajadores.

Analizar la privacidad desde el principio suele ser más eficaz que intentar corregir posteriormente un sistema ya implantado.

También permite aplicar principios como la minimización, limitando los datos a aquellos que sean adecuados y necesarios para la finalidad perseguida.

Políticas y procedimientos internos

Dependiendo de la actividad y estructura de la organización puede ser necesario establecer diferentes procedimientos internos.

Por ejemplo:

• Gestión de usuarios.

• Altas y bajas de trabajadores.

• Control de accesos.

• Confidencialidad.

• Uso de dispositivos.

• Teletrabajo.

• Copias de seguridad.

• Gestión de incidencias.

• Eliminación de documentación.

• Atención de derechos.

• Gestión de brechas.

• Contratación de proveedores.

Una política tiene valor cuando se corresponde con la forma real de trabajar y las personas implicadas conocen cómo aplicarla.

El objetivo no debería ser acumular documentos que nadie utiliza.

Responsabilidad proactiva: cumplir y poder demostrarlo

La responsabilidad proactiva es uno de los conceptos centrales del RGPD.

Supone que el responsable debe aplicar medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que sus tratamientos cumplen el Reglamento.

Por eso son importantes las evidencias.

Dependiendo de la organización, pueden existir evidencias como:

• Registro de Actividades de Tratamiento.

• Análisis de riesgos.

• Contratos.

• Evaluaciones.

• Registros de formación.

• Procedimientos.

• Revisiones.

• Gestión de incidencias.

• Decisiones documentadas.

• Controles de seguridad.

• Registros de brechas.

• Evaluaciones de proveedores.

Puedes ampliar esta cuestión en nuestra página sobre Responsabilidad Proactiva .

Adaptación RGPD para una pequeña empresa o autónomo

Una pequeña empresa puede necesitar un sistema relativamente sencillo si sus tratamientos presentan un riesgo reducido.

Por ejemplo, un profesional que gestiona clientes, proveedores y facturación puede requerir identificar sus tratamientos, establecer las bases jurídicas correspondientes, preparar la información necesaria, regular sus proveedores, aplicar medidas de seguridad proporcionadas y disponer de procedimientos básicos.

Esto no significa que pueda ignorar el RGPD por tener pocos trabajadores.

Significa que las medidas deben ser proporcionadas a su situación.

Adaptación RGPD para una clínica o centro sanitario

Una clínica presenta un escenario diferente porque puede tratar datos relativos a la salud, que pertenecen a las categorías especiales de datos.

Además de las obligaciones generales, será necesario prestar especial atención a aspectos como:

• Legitimación.

• Confidencialidad.

• Accesos.

• Sistemas utilizados.

• Proveedores.

• Conservación.

• Seguridad.

• Riesgos para los pacientes.

• Necesidad de EIPD cuando concurran sus requisitos.

• Necesidad de DPD cuando resulte exigible.

Por ello no debería utilizarse sin más la misma adaptación que para un comercio convencional.

Adaptación RGPD para comercios y hostelería

Un comercio, restaurante u otro establecimiento puede gestionar datos de clientes, trabajadores, reservas, proveedores o videovigilancia.

Si además utiliza servicios de reservas online, Wi-Fi para clientes, campañas comerciales o plataformas de terceros, aparecerán nuevos elementos que deben analizarse.

La adaptación debe reflejar todos estos tratamientos y no únicamente la facturación.

Adaptación RGPD para una empresa tecnológica

Las empresas tecnológicas pueden presentar escenarios especialmente dinámicos.

Pueden utilizar:

• Infraestructura cloud.

• Herramientas colaborativas.

• Plataformas de soporte.

• Sistemas de monitorización.

• Inteligencia artificial.

• APIs.

• Proveedores internacionales.

• Grandes volúmenes de información.

En estos casos resulta especialmente importante integrar la protección de datos desde el diseño y revisar la cadena de proveedores, los accesos y las transferencias internacionales.

Adaptación RGPD de una empresa con trabajadores

Tener trabajadores introduce tratamientos específicos.

Pueden existir datos relacionados con:

• Contratación.

• Nóminas.

• Control horario.

• Prevención de riesgos laborales.

• Selección.

• Formación.

• Accesos.

• Equipos corporativos.

• Teletrabajo.

• Videovigilancia.

• Geolocalización, cuando proceda.

También debe gestionarse adecuadamente el acceso de cada trabajador a la información necesaria para sus funciones.

La adaptación debe contemplar tanto la documentación como las medidas organizativas relacionadas con el personal.

¿Cómo realizamos la adaptación RGPD?

Nuestro proceso parte de la actividad real de la organización.

Adaptación, actualización y auditoría RGPD no son exactamente lo mismo

Aunque están relacionadas, estas actuaciones responden a necesidades diferentes.

La adaptación RGPD está orientada principalmente a implantar un sistema de cumplimiento cuando la empresa no dispone de uno adecuado o necesita reconstruirlo de forma integral.

La actualización RGPD parte normalmente de un sistema existente y revisa qué debe modificarse porque han cambiado los tratamientos, proveedores, tecnologías, riesgos o procedimientos.

La auditoría RGPD tiene como finalidad analizar la situación existente, verificar el grado de adecuación y detectar posibles deficiencias o áreas de mejora.

Una auditoría puede dar lugar posteriormente a actuaciones de actualización o adaptación.

Errores frecuentes al adaptar una empresa al RGPD

Adaptación RGPD en Málaga para empresas y profesionales

En RGPD Málaga realizamos servicios de adaptación para empresas, autónomos, profesionales y organizaciones que necesitan implantar o revisar de forma integral su sistema de protección de datos.

Trabajamos sobre los tratamientos reales de la organización para determinar qué medidas corresponden en cada caso.

La finalidad no es entregar una carpeta genérica, sino construir una base de cumplimiento que pueda utilizarse en la actividad cotidiana de la empresa y mantenerse a medida que esta evoluciona.

Podemos analizar situaciones sencillas de pequeñas empresas y autónomos, pero también escenarios que requieren un estudio más detallado por el tipo de datos, tecnologías utilizadas, proveedores o nivel de riesgo.

Un sistema de protección de datos debe funcionar en la práctica

La mejor adaptación no es necesariamente la que contiene más documentos.

Es la que consigue que la empresa conozca qué datos trata, por qué puede tratarlos, qué riesgos existen, qué medidas debe aplicar, qué proveedores intervienen y cómo actuar cuando ocurre una situación relacionada con protección de datos.

El Registro de Actividades debe representar los tratamientos reales. Las medidas de seguridad deben responder a los riesgos. Los contratos deben corresponder con los proveedores existentes. La información facilitada a las personas debe describir lo que realmente ocurre. Los procedimientos deben poder aplicarse.

Y todo ello debe poder evolucionar cuando cambie la organización.

Ese es el objetivo de una adaptación RGPD práctica, proporcionada y basada en la realidad del negocio.