Protección de datos: obligaciones y sanciones

La protección de datos personales es un pilar del cumplimiento normativo en cualquier organización. En España y la UE, el RGPD y la LOPDGDD establecen obligaciones claras para empresas, autónomos y entidades públicas. Esta guía explica, de forma práctica, qué debes hacer para cumplir y qué sanciones arriesgas en caso de incumplimiento.

1. ¿A quién aplica la normativa?

Aplica a cualquier organización que trate datos personales de personas físicas: clientes, potenciales, empleados, proveedores o usuarios. El tamaño de la empresa no exime del cumplimiento: lo relevante es el tipo de tratamiento y el riesgo para los derechos de las personas.

Cumplir con la normativa de protección de datos no es solo una exigencia legal: es una forma de proteger la confianza de clientes, empleados y proveedores.

2. Principales obligaciones

• Base jurídica y transparencia: tratar datos con una base legal válida (consentimiento, contrato, interés legítimo, obligación legal…) e informar de forma clara (políticas y cláusulas informativas).
• Principio de minimización: recoger solo los datos necesarios para la finalidad declarada.
• Responsabilidad proactiva: documentar cómo cumples (políticas, procedimientos y evidencias).
• Registro de actividades de tratamiento (RAT): imprescindible salvo excepciones muy limitadas.
• Contratos con encargados: acuerdos de encargo de tratamiento con proveedores que acceden a datos (hosting, email, CRM, nóminas…).
• Medidas técnicas y organizativas de seguridad: controles acordes al riesgo (cifrado, control de accesos, copias, registros de acceso, formación, políticas de contraseñas).
• Evaluación de Impacto (EIPD/DPIA): obligatoria cuando el tratamiento es de alto riesgo (grandes escalas, perfiles, categorías especiales, vigilancia sistemática…).
• Delegado/a de Protección de Datos (DPO): obligatorio en supuestos tasados (p. ej., autoridades u organismos públicos, monitorización habitual y sistemática a gran escala, tratamiento a gran escala de categorías especiales), recomendable en muchos otros.
• Gestión de derechos: establecer un proceso para responder a derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad dentro de los plazos legales.
• Transferencias internacionales: verificar garantías adecuadas (decisiones de adecuación, cláusulas tipo, medidas suplementarias).

3. Brechas de seguridad: qué hacer y en qué plazo

Una brecha es cualquier incidente que afecte a la confidencialidad, integridad o disponibilidad de datos personales (p. ej., pérdida de un portátil, acceso no autorizado, envío erróneo de un fichero).

• Notificar a la autoridad de control en 72 horas desde que tienes conocimiento, salvo que sea improbable que exista riesgo para las personas.
• Comunicar a los afectados sin dilación indebida cuando la brecha suponga alto riesgo para sus derechos y libertades.
• Documentar internamente la incidencia, medidas adoptadas y lecciones aprendidas.

4. Sanciones y otros riesgos

El régimen sancionador distingue entre infracciones leves, graves y muy graves. A modo orientativo:

• Hasta 10 millones de € o el 2 % de la facturación global (la que sea mayor) para determinadas infracciones.
• Hasta 20 millones de € o el 4 % de la facturación para las más graves (por ejemplo, incumplir principios, derechos o transferencias sin garantías).
• Además de multas, puede haber apercibimientos, órdenes de cese, bloqueo o supresión de datos, y responsabilidad contractual o reputacional.

El mayor riesgo no es “la multa”, sino perder la confianza: los incidentes de datos impactan en la reputación, la retención de clientes y el valor de la marca.

5. Checklist exprés para cumplir

1. Mapa de tratamientos y Registro de Actividades actualizado.
2. Políticas y cláusulas informativas claras (web, formularios, contratos, RR. HH.).
3. Acuerdos con encargados y control de proveedores.
4. Medidas de seguridad alineadas con el riesgo (técnicas y organizativas) y formación periódica.
5. Procedimiento para gestión de derechos y brechas en 72 h.
6. Valorar si necesitas EIPD y/o DPO.
7. Revisión y evidencias: responsabilidad proactiva.

6. Preguntas frecuentes

¿Necesito consentimiento para todo? No. Hay varias bases jurídicas; elige la adecuada y evita el “consentimiento forzado”.

¿Tengo que registrar mi fichero como antes? No. Ahora debes llevar un registro interno (RAT) y poder demostrar cumplimiento.

¿Un autónomo también debe cumplir? Sí, si trata datos de personas físicas (clientes, leads, empleados…).

Conclusión

Cumplir en protección de datos es una inversión en seguridad y reputación. Con un mapa de tratamientos claro, contratos adecuados, seguridad proporcional y respuesta ágil ante incidentes, tu organización reducirá riesgos legales y ganará confianza.