Pereda Gobierno Corporativo
Protección de datos en la empresa: qué obliga el RGPD y por dónde empezar
Proteger datos no es firmar un documento: es un conjunto de obligaciones vivas. Te explicamos qué exige el RGPD a tu empresa y cómo ordenarlo sin agobios.
Cualquier empresa trata datos personales: de sus clientes, de su plantilla, de sus proveedores. Cumplir con la protección de datos no es firmar una cláusula y olvidarse: es un conjunto de obligaciones que viven en el día a día. Aquí tienes qué exige la normativa y cómo ponerlo en orden por capas, sin agobios.
Lo esencial
- La protección de datos se rige por el RGPD europeo y la ley española (LOPDGDD).
- Toda empresa debe identificar qué datos trata, con qué base de licitud y para qué.
- Obligaciones clave: registro de actividades, deber de información, contratos con encargados y gestión de brechas.
- El delegado de protección de datos (DPD) es obligatorio solo en determinados casos.
Qué obliga la normativa de protección de datos
La protección de datos en España se rige por el Reglamento General de Protección de Datos (RGPD) de la Unión Europea y por la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Se aplica a cualquier empresa que trate datos de personas físicas, por pequeña que sea.
La idea de fondo del RGPD es la responsabilidad proactiva: no basta con cumplir, hay que poder demostrar que se cumple. Por eso buena parte de las obligaciones consisten en documentar lo que se hace con los datos.
Las obligaciones clave
Estas son las piezas que toda empresa debería tener ordenadas:
| Obligación | En qué consiste |
|---|---|
| Base de licitud | Justificar por qué puedes tratar cada dato (consentimiento, contrato, obligación legal, interés legítimo…) |
| Registro de actividades de tratamiento | Inventario de qué datos tratas, para qué y durante cuánto tiempo |
| Deber de información | Informar de forma clara a las personas de qué haces con sus datos |
| Contratos de encargado | Regular con tus proveedores que tratan datos por ti (gestoría, software, etc.) |
| Gestión de brechas | Procedimiento para detectar y, si procede, notificar una brecha de seguridad |
| Atención de derechos | Responder a quien ejerce acceso, rectificación, supresión, etc. |
La base de licitud es el punto de partida: antes de tratar un dato, tienes que tener claro qué te habilita a hacerlo. Y el registro de actividades es la columna vertebral del cumplimiento, porque obliga a mapear todos tus tratamientos.
¿Cuándo es obligatorio el delegado de protección de datos?
El delegado de protección de datos (DPD) no es obligatorio para todas las empresas. La normativa lo exige en supuestos concretos: cuando el tratamiento lo realiza una autoridad u organismo público, cuando la actividad principal exige un seguimiento habitual y sistemático a gran escala, o cuando se tratan a gran escala categorías especiales de datos. Fuera de esos casos, designar un DPD es voluntario, aunque muchas empresas optan por una figura de referencia interna o externa.
Cómo ordenarlo por capas
Abordar la protección de datos “de golpe” agobia. Funciona mejor por capas:
- Mapear los tratamientos: qué datos tienes, de quién y para qué.
- Fijar la base de licitud de cada uno y los plazos de conservación.
- Revisar la información que das (webs, formularios, contratos laborales).
- Ordenar los encargados: contratos con quienes tratan datos por ti.
- Preparar la respuesta a incidentes: cómo actúas ante una brecha o un ejercicio de derechos.
La protección de datos no se resuelve con una cláusula pegada en la web. Es saber qué datos tienes, por qué los tienes y poder demostrarlo. Cuando una empresa mapea sus tratamientos, el resto del cumplimiento cae por su propio peso.
— Equipo de Pereda Asociados
Preguntas frecuentes
¿La protección de datos afecta a las empresas pequeñas?
Sí. El RGPD se aplica a cualquier empresa o autónomo que trate datos personales, con independencia de su tamaño. Lo que cambia es la escala y la complejidad de las medidas, no la obligación de cumplir.
¿Necesito un delegado de protección de datos?
Solo en los casos que fija la norma (organismos públicos, seguimiento sistemático a gran escala o tratamiento a gran escala de categorías especiales). En el resto es voluntario, aunque conviene tener una figura de referencia.
¿Qué es el registro de actividades de tratamiento?
Es el inventario documentado de los tratamientos de datos de la empresa: qué datos, con qué finalidad, con qué base, a quién se comunican y cuánto se conservan. Es una de las obligaciones centrales del RGPD.
¿Qué hago si tengo una brecha de seguridad?
Debes tener un procedimiento para detectarla, evaluarla y, cuando proceda, notificarla a la autoridad de control en el plazo previsto y, en su caso, a las personas afectadas. Documentar la gestión forma parte del cumplimiento.
En resumen
La protección de datos es un cumplimiento vivo: identificar qué tratas, con qué base, informarlo bien y poder demostrarlo. Ordenarlo por capas lo hace abordable para cualquier empresa. En el área de gobierno corporativo de Pereda Asociados ponemos al día tu protección de datos y la integramos con el resto de tu cumplimiento.
Para seguir: dentro del cumplimiento te interesan el canal interno de información de la Ley 2/2023 y el plan de igualdad en la empresa.
Este artículo tiene carácter informativo y no sustituye el asesoramiento profesional personalizado. La normativa de protección de datos cambia con frecuencia; consúltanos tu caso concreto.
