Obligaciones del RGPD para empresas: qué debes cumplir
Si tu empresa trata datos personales de clientes, personas trabajadoras, proveedores, usuarios o contactos, debe cumplir las obligaciones que establece el Reglamento General de Protección de Datos (RGPD) y, en España, la LOPDGDD.
¿Qué empresas están obligadas a cumplir el RGPD?
El cumplimiento del RGPD no depende únicamente del tamaño de una organización. Cuando una empresa realiza tratamientos de datos personales dentro del ámbito de aplicación de la normativa, debe cumplir las obligaciones que le correspondan.
El alcance concreto dependerá de qué datos trata, para qué los utiliza, cómo los gestiona, con quién los comparte y qué riesgos puede implicar el tratamiento .
Datos de clientes
Nombres, teléfonos, correos electrónicos, direcciones, datos de facturación o información relacionada con la prestación del servicio.
Datos laborales
Información de personas trabajadoras, nóminas, documentación laboral, control horario o datos necesarios para gestionar la relación laboral.
Proveedores y contactos
Datos de profesionales, personas de contacto, colaboradores y otras personas relacionadas con la actividad de la organización.
Principales obligaciones del RGPD para las empresas
Cumplir el RGPD no consiste únicamente en disponer de una política de privacidad. La empresa debe conocer qué datos trata, justificar para qué los utiliza, protegerlos y ser capaz de demostrar que gestiona el cumplimiento de forma adecuada.
Identificar los tratamientos de datos
El primer paso es conocer qué datos personales maneja la organización, de quién proceden, para qué se utilizan, quién accede a ellos, durante cuánto tiempo se conservan y si se comunican a terceros.
Determinar la base jurídica
Cada tratamiento debe apoyarse en una base jurídica válida. El consentimiento es una de ellas, pero no la única: también pueden existir una relación contractual, una obligación legal, intereses vitales, una misión de interés público o un interés legítimo.
Informar con claridad y transparencia
Las personas deben conocer quién trata sus datos, para qué se utilizan, cuál es la base jurídica, durante cuánto tiempo se conservarán, a quién pueden comunicarse y cómo pueden ejercer sus derechos.
Documentar las actividades de tratamiento
El Registro de Actividades de Tratamiento (RAT) permite identificar y documentar los tratamientos realizados por la organización. Su contenido y obligatoriedad deben analizarse conforme al artículo 30 del RGPD.
Regular el acceso de proveedores a los datos
Cuando una empresa externa accede a datos personales para prestar un servicio debe analizarse el papel de cada parte y, cuando actúe como encargada del tratamiento, formalizar la relación conforme al RGPD.
Aplicar medidas de seguridad adecuadas
Las medidas técnicas y organizativas deben ser apropiadas al riesgo. Pueden incluir controles de acceso, gestión de permisos, copias de seguridad, cifrado, procedimientos internos, formación y medidas de respuesta ante incidentes.
Garantizar los derechos de las personas
La empresa debe disponer de procedimientos para atender las solicitudes relativas a los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad cuando resulten aplicables.
Gestionar las brechas de datos personales
Una pérdida, alteración, destrucción o acceso no autorizado a datos personales debe evaluarse y documentarse. Dependiendo del riesgo, puede ser necesario notificar el incidente a la autoridad de control.
Realizar una EIPD cuando sea necesaria
Cuando un tipo de tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas, el responsable debe valorar la necesidad de realizar una Evaluación de Impacto relativa a la Protección de Datos.
Designar un DPD cuando sea obligatorio
No todas las empresas necesitan un Delegado de Protección de Datos. El RGPD y la LOPDGDD establecen los supuestos en los que su designación resulta obligatoria.
El consentimiento no es la única base para tratar datos personales
Todo tratamiento de datos personales necesita una base que lo legitime, pero pedir consentimiento no es siempre la opción correcta. El artículo 6 del RGPD contempla seis bases jurídicas para el tratamiento.
Consentimiento
La persona ha dado su consentimiento para el tratamiento de sus datos para uno o varios fines específicos.
Relación contractual
El tratamiento es necesario para ejecutar un contrato o aplicar medidas precontractuales solicitadas por la persona.
Obligación legal
El tratamiento es necesario para cumplir una obligación jurídica aplicable al responsable.
Intereses vitales
El tratamiento resulta necesario para proteger intereses vitales de la persona interesada o de otra persona física.
Interés público
El tratamiento es necesario para cumplir una misión realizada en interés público o en el ejercicio de poderes públicos.
Interés legítimo
Puede aplicarse cuando concurren los requisitos necesarios y se realiza la correspondiente ponderación frente a los derechos de las personas.
Checklist: ¿qué debería revisar una empresa para cumplir el RGPD?
Las obligaciones concretas dependen de cada organización, pero esta lista permite detectar algunos de los principales ámbitos que deben revisarse.
- Tratamientos identificados: sabemos qué datos personales utilizamos y para qué.
- Bases jurídicas: conocemos qué legitima cada finalidad de tratamiento.
- Información actualizada: las cláusulas y políticas de privacidad reflejan lo que realmente hacemos.
- Registro de actividades: tenemos documentados los tratamientos cuando corresponde.
- Proveedores: hemos revisado qué terceros acceden a datos personales y en qué condición.
- Seguridad: aplicamos medidas técnicas y organizativas adecuadas a los riesgos.
- Derechos: sabemos cómo responder si una persona ejerce sus derechos.
- Brechas: disponemos de un procedimiento para detectar, evaluar y gestionar incidentes.
- Evaluación de riesgos: hemos valorado si algún tratamiento puede requerir una EIPD.
- Delegado de Protección de Datos: hemos comprobado si nuestra actividad exige designar un DPD.
- Conservación: tenemos definidos criterios o plazos para conservar y suprimir los datos.
- Actualización: revisamos el cumplimiento cuando cambian nuestros procesos, proveedores o herramientas.
¿Todas las brechas de datos deben notificarse en 72 horas?
No. Ante una brecha de datos personales, el responsable debe analizar el incidente y valorar el riesgo que puede generar para los derechos y libertades de las personas.
El plazo no significa que todas las brechas deban comunicarse
Cuando sea probable que una brecha suponga un riesgo para los derechos y libertades de las personas, debe notificarse a la autoridad de control competente sin dilación indebida y, a ser posible, dentro de las 72 horas desde que el responsable tenga constancia de ella .
Si el riesgo para las personas es alto, además puede ser necesario comunicar la brecha a las personas afectadas sin dilación indebida.
¿Las obligaciones del RGPD son las mismas para todas las empresas?
Las reglas generales son comunes, pero las medidas concretas dependen de los tratamientos realizados y de sus riesgos. No necesita exactamente lo mismo una pequeña empresa que gestiona datos básicos de clientes que una organización que realiza tratamientos a gran escala o utiliza categorías especiales de datos.
| Situación | Qué conviene revisar especialmente |
|---|---|
| Clientes y proveedores | Información, bases jurídicas, tratamientos, proveedores, conservación y seguridad. |
| Personas trabajadoras | Gestión laboral, accesos, confidencialidad, conservación, control laboral y ejercicio de derechos. |
| Captación online | Formularios, información por capas, finalidad, legitimación, comunicaciones comerciales y gestión de consentimientos cuando proceda. |
| Tratamientos de mayor riesgo | Análisis de riesgos, medidas reforzadas y valoración de la necesidad de realizar una EIPD. |
| Proveedores tecnológicos | Roles de las partes, contratos, accesos, medidas de seguridad y posibles transferencias internacionales de datos. |
¿Cómo puede una empresa cumplir con sus obligaciones de protección de datos?
El cumplimiento debe partir de la realidad de cada organización. Para ello es necesario identificar los tratamientos, analizar sus riesgos, establecer las medidas correspondientes y mantener la documentación actualizada cuando cambia la actividad.
Esto implica revisar periódicamente los procesos internos, los proveedores, las herramientas utilizadas, los accesos a la información y las nuevas actividades que impliquen tratamiento de datos personales.
¿Prefieres gestionar la protección de datos online?
Signo es el software de protección de datos de Conversia para empresas, pymes y personas autónomas que buscan gestionar su cumplimiento mediante una plataforma online y un proceso guiado.
Preguntas frecuentes sobre las obligaciones del RGPD
Entre las principales obligaciones están identificar los tratamientos de datos personales, determinar su base jurídica, informar a las personas, aplicar medidas de seguridad adecuadas, gestionar el ejercicio de derechos, regular el acceso de proveedores a los datos y documentar el cumplimiento. Según el tipo de tratamiento pueden existir obligaciones adicionales.
Las empresas que realizan tratamientos de datos personales dentro del ámbito de aplicación del RGPD deben cumplir las obligaciones que les correspondan. El alcance concreto depende de los datos tratados, las finalidades, el contexto y los riesgos.
No siempre. El consentimiento es una de las bases jurídicas previstas por el RGPD, pero un tratamiento también puede basarse, entre otros supuestos, en la ejecución de un contrato, el cumplimiento de una obligación legal o un interés legítimo cuando concurran sus requisitos.
El Registro de Actividades de Tratamiento o RAT es un documento interno que permite identificar y documentar los tratamientos de datos personales realizados por una organización. Incluye información como las finalidades, categorías de datos e interesados, destinatarios, plazos de supresión y, cuando sea posible, una descripción general de las medidas de seguridad.
No. La designación de un Delegado de Protección de Datos es obligatoria en determinados supuestos establecidos por el RGPD y la LOPDGDD. Cada organización debe comprobar si se encuentra entre los casos en los que resulta exigible.
Debe valorarse una EIPD cuando un tipo de tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas. La responsabilidad de realizarla corresponde al responsable del tratamiento.
No. Debe notificarse a la autoridad de control cuando sea probable que la brecha suponga un riesgo para los derechos y libertades de las personas. Cuando proceda, la notificación debe realizarse sin dilación indebida y, a ser posible, dentro de las 72 horas desde que el responsable tenga constancia del incidente.
No. El cumplimiento debe mantenerse actualizado. Si cambian los tratamientos, las finalidades, los proveedores, las tecnologías o las medidas de seguridad, puede ser necesario revisar y actualizar la documentación y las medidas aplicadas.