PROTECCIÓN DE DATOS
RGPD, hecho para que se sostenga en una inspección
La mayoría de las empresas cumplen el RGPD sobre el papel: un aviso de cookies y una política de privacidad copiada de otra web. El problema aparece el día que hay una inspección o una brecha de verdad, porque entonces no basta con el papel. Adaptamos la parte técnica y la documental para que lo escrito coincida con lo implementado.
PROTECCIÓN DE DATOS
Cumplir no es tener una política de privacidad
El RGPD no pide un documento. Pide que una empresa sepa qué datos trata, por qué, durante cuánto tiempo, quién tiene acceso y qué pasa si algo sale mal. La política de privacidad es solo la parte visible de todo eso.
01
Medidas técnicas
Cifrado, copias de seguridad, control de accesos y registro de quién entra a qué. Es lo primero que revisa un auditor y lo que más empresas tienen a medias.
02
Documentación
Registro de actividades de tratamiento, análisis de riesgos y procedimiento ante una brecha. Sin esto no puedes demostrar lo que has hecho, aunque lo hayas hecho bien.
03
Contratos con terceros
Cada proveedor que trata datos por ti (gestoría, CRM, hosting) necesita un contrato de encargo de tratamiento. Es obligatorio y la pieza que más pymes tienen sin firmar.
Encargo de tratamiento
Firmamos el artículo 28 antes de tocar un solo sistema
Cuando gestionamos tu infraestructura, accedemos a sistemas que probablemente contienen datos personales de tus clientes y empleados. La ley exige que cualquier proveedor en esa posición firme un Acuerdo de Encargo de Tratamiento conforme al artículo 28 del RGPD y a la LOPDGDD, antes de empezar a trabajar.
Muchos proveedores de IT no lo ofrecen por iniciativa propia. Sin ese contrato, ni tu empresa ni el proveedor cumplen el RGPD, y ante una inspección o una brecha no tienes respaldo documental de qué datos se tocaron ni con qué garantías.
Nosotros lo firmamos siempre, como parte del contrato de servicio y no como un extra. Define qué datos tratamos, con qué finalidad, qué medidas de seguridad aplicamos y qué pasa si detectamos una incidencia.
Anexo IV · Acuerdo de Encargo de Tratamiento
- Naturaleza y finalidad del tratamiento
- Medidas de seguridad aplicadas
- Plazo de conservación y destino final de los datos
- Procedimiento de notificación de brechas
- Confidencialidad del personal técnico
EL RIESGO REAL
Las sanciones no son lo único que está en juego
Las multas del RGPD pueden llegar a 20 millones de euros o al 4 % de la facturación anual. En la práctica, la Agencia Española de Protección de Datos gradúa la sanción según la gravedad y el tamaño de la empresa, y a una pyme suele corresponderle bastante menos. Lo que más pesa en una empresa pequeña es otra cosa: tras una brecha hay que notificarla a la Agencia en 72 horas y, si el riesgo es alto, también a las personas afectadas. Y eso se nota en la confianza de tus clientes.
Preguntas frecuentes
Lo que suelen preguntarnos
¿Necesito cumplit el RGPD aunque sea autónomo o tenga pocos empleados?
Sí. El RGPD no depende del tamaño de la empresa sino de si tratas datos personales, y casi cualquier negocio lo hace: clientes, proveedores, empleados. La exigencia documental se ajusta a la escala del negocio, pero la obligación existe desde el primer cliente.
¿Qué diferencia hay entre reponsable y encargado del tratamiento?
Tu empresa es la responsable: decide para qué se usan los datos de tus clientes y empleados. Nosotros, al acceder a esos sistemas para darte soporte, somos encargados: tratamos esos datos solo para prestarte el servicio. El Acuerdo de Encargo de Tratamiento regula esa relación.
¿Cuánto tarda una adaptación desde cero?
Para una pyme sin nada montado, de forma orientativa, entre tres y seis semanas. Depende de cuántos tratamientos de datos haya y de lo complejos que sean los sistemas. La parte técnica suele ir más rápida que la documental.
¿El RGPD y el Esuqema Nacional de Seguridad son lo mismo?
No. El RGPD protege datos personales y aplica a cualquier empresa. El Esquema Nacional de Seguridad (ENS) aplica sobre todo a administraciones públicas y a las empresas que les prestan servicios. Pueden solaparse si trabajas con el sector público, pero son obligaciones distintas.
Ya tengo un política de privacidad de una plantilla de internet. ¿Me sirve?
Es mejor que nada, pero rara vez aguanta una inspección real, porque no refleja los tratamientos concretos de tu negocio. Revisamos lo que ya tienes y te decimos qué falta, sin rehacer lo que esté bien.
¿Sabes realmente qué datos trata tu empresa?
La mayoría de las pymes no tienen ese mapa completo. Es el primer paso antes de cualquier adaptación, y te lo hacemos sin compromiso.