RGPD para empresas: qué documentación importa de verdad

La documentación que realmente importa

Hablar de "cumplir el RGPD" suele provocar una reacción equivocada: acumular documentos. La norma, sin embargo, no premia el volumen sino la capacidad de demostrar el cumplimiento (el principio de responsabilidad proactiva). En la práctica, hay un conjunto reducido de piezas documentales que concentran casi todo el riesgo y casi toda la utilidad: el registro de actividades de tratamiento, las evaluaciones de impacto, la figura del delegado de protección de datos cuando procede, la gestión documentada de las brechas y los contratos con encargados del tratamiento.

Esta guía explica qué exige cada pieza, cuándo es obligatoria y qué errores suelen cometerse, a partir del Reglamento (UE) 2016/679 (RGPD), de la Ley Orgánica 3/2018 (LOPDGDD) y de las listas publicadas por la Agencia Española de Protección de Datos (AEPD).

1. El registro de actividades de tratamiento (art. 30 RGPD)

El registro de actividades de tratamiento (RAT) es el inventario de los tratamientos que realiza la organización: finalidades, categorías de datos y de interesados, destinatarios, transferencias internacionales, plazos de supresión y medidas de seguridad. Es la pieza sobre la que se construye todo lo demás: sin un inventario fiable no se pueden identificar los tratamientos de alto riesgo, ni informar correctamente a los interesados, ni gestionar brechas con criterio.

Errores frecuentes:

• Un registro redactado una vez y nunca actualizado, desconectado de los tratamientos reales.
• Descripciones tan genéricas ("gestión de clientes") que no permiten identificar finalidades ni bases jurídicas.
• Olvidar los tratamientos internos: selección, control horario, videovigilancia, herramientas de productividad.

El RAT debe revisarse cada vez que cambia un tratamiento o se inicia uno nuevo. Normolex realiza la auditoría RGPD partiendo precisamente de la contraste del registro con la realidad de la organización.

2. La evaluación de impacto (art. 35 RGPD)

La evaluación de impacto para la protección de datos (EIPD) es obligatoria cuando un tratamiento entrañe probablemente un alto riesgo para los derechos y libertades de las personas (art. 35.1 y 35.3 RGPD). La AEPD ha publicado la lista de tratamientos que requieren EIPD (art. 35.4) y la de los que no la requieren (art. 35.5), que constituyen la referencia práctica para decidir.

La EIPD no es un formulario: es un análisis que describe el tratamiento, valora su necesidad y proporcionalidad, evalúa los riesgos para los interesados y fija las medidas para mitigarlos. Debe realizarse antes de iniciar el tratamiento. Las situaciones típicas que la activan incluyen la evaluación sistemática con efectos relevantes para las personas, el tratamiento a gran escala de categorías especiales de datos y la observación sistemática de zonas de acceso público, además de los supuestos de las listas de la AEPD.

Errores frecuentes:

• No realizar ningún análisis de alto riesgo por desconocimiento de las listas de la AEPD.
• Evaluar el tratamiento cuando ya está en funcionamiento, perdiendo la utilidad preventiva de la herramienta.
• Redactar la EIPD sin medidas concretas de mitigación ni seguimiento posterior.

En Normolex elaboramos la evaluación de impacto (EIPD) como parte del diseño del tratamiento, no como un trámite posterior.

3. El delegado de protección de datos (art. 37 RGPD y art. 34 LOPDGDD)

El delegado de protección de datos (DPO) es obligatorio en los supuestos del art. 37 del RGPD y en la lista cerrada del art. 34 de la LOPDGDD, que incluye, entre otros: colegios profesionales y sus consejos generales, centros docentes y universidades, entidades que exploten redes de telecomunicaciones, prestadores de servicios de la sociedad de la información que realicen perfilado a gran escala, entidades de crédito y financieras, aseguradoras, empresas de servicios de inversión, distribuidores y comercializadores de energía, responsables de ficheros de solvencia patrimonial, entidades de publicidad y prospección comercial con elaboración de perfiles, centros sanitarios que traten historias clínicas (con excepciones), profesionales que elaboran informes comerciales, operadores de juego online, empresas de seguridad privada y federaciones deportivas que traten datos de menores.

La designación debe notificarse y el DPO debe actuar con independencia, sin recibir instrucciones sobre el ejercicio de sus funciones y con acceso directo a la dirección. La figura del DPO externo permite cubrir el puesto con un profesional ajeno a la estructura, con el perfil y la dedicación que el volumen de tratamientos exige; es el servicio de DPO externo que presta Normolex.

Errores frecuentes:

• Designar a un DPO interno con funciones incompatibles (por ejemplo, quien decide sobre los tratamientos que debe supervisar).
• No comprobar si la organización entra en la lista del art. 34 LOPDGDD, que obliga aunque el RGPD general no lo hiciera.
• Designar al DPO y no integrarlo en los procesos: un DPO que se entera de los proyectos cuando ya están lanzados no puede cumplir su función.

4. Las brechas de seguridad: 72 horas (arts. 33 y 34 RGPD)

Cuando se produce una violación de la seguridad de los datos personales, el responsable debe notificarla a la autoridad de control en un plazo máximo de 72 horas desde que tuvo constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas (art. 33). Si la brecha probablemente entraña un alto riesgo, debe además comunicarse a los interesados (art. 34).

La clave operativa está en la preparación previa: la empresa que no ha definido qué es una brecha, quién la gestiona, cómo se documenta y qué criterios se aplican para notificar, no está en condiciones de cumplir un plazo de 72 horas que corre en fines de semana y vacaciones. La documentación que importa aquí incluye el procedimiento de gestión de brechas, el registro interno de incidentes (incluidos los no notificados, con su justificación) y las plantillas de notificación y comunicación. Normolex acompaña la gestión de brechas de datos tanto en la preparación como en la respuesta al incidente.

Errores frecuentes:

• Contabilizar las 72 horas desde que se "confirma" el incidente en lugar de desde que la empresa tuvo constancia.
• No documentar las brechas no notificadas: el criterio de no notificación debe quedar justificado por escrito.
• Olvidar la comunicación a los interesados cuando el riesgo es alto.

5. Los contratos con encargados del tratamiento (art. 28 RGPD)

Cada vez que un tercero trata datos por cuenta de la empresa (alojamiento, nóminas, marketing, soporte técnico, herramientas en la nube), debe existir un contrato de encargo del tratamiento conforme al art. 28 del RGPD, con el contenido mínimo que el precepto exige: objeto, duración, naturaleza y finalidad del tratamiento, instrucciones documentadas, confidencialidad, medidas de seguridad, subencargados, asistencia con los derechos de los interesados y supresión o devolución de los datos al finalizar.

La realidad habitual es distinta: servicios contratados por vía comercial sin encargo de tratamiento, cláusulas antiguas anteriores al RGPD, o subencargados de los que la empresa no tiene constancia. Revisar la cadena de encargados suele ser una de las actuaciones con más impacto inmediato en la reducción del riesgo.

Otras piezas que suelen merecer la pena

Además de las cinco anteriores, hay documentación que, sin tener la misma entidad, refuerza la capacidad de demostración:

• Información a los interesados. Los textos de privacidad (web, contratos, relación laboral) deben reflejar los tratamientos reales recogidos en el RAT. Una política de privacidad desactualizada contradice el registro y genera un problema por sí misma. En el ámbito interno, la privacidad de los empleados merece documentación propia, por la sensibilidad de los tratamientos de recursos humanos.
• Gestión de derechos. Un procedimiento sencillo para registrar y responder los ejercicios de derechos (acceso, supresión, oposición y demás) permite acreditar plazos y respuestas.
• Videovigilancia y tratamientos singulares. Los tratamientos con impacto visible, como la videovigilancia o las transferencias internacionales, conviene documentarlos con atención específica.

La regla de fondo sigue siendo la misma: documentar lo que se hace y hacer lo que se documenta. La documentación que no refleja la práctica real no protege; la delata.

Una jerarquía práctica

Si la empresa parte de cero, un orden razonable de trabajo es:

1. 01RAT actualizado (sin inventario no hay gestión posible).
2. 02Contratos de encargo con los proveedores que tratan datos.
3. 03Análisis de alto riesgo y EIPD donde proceda según las listas de la AEPD.
4. 04Designación del DPO si la organización está en los supuestos del art. 37 RGPD o del art. 34 LOPDGDD.
5. 05Procedimiento de brechas con sus plantillas y su registro.

Conviene, además, fijar una revisión periódica del conjunto: los tratamientos cambian con cada nueva herramienta, proveedor o línea de negocio, y una documentación exacta hoy puede dejar de serlo en un año. Una revisión anual sencilla —contraste del RAT con la realidad, comprobación de encargados y de brechas registradas— suele ser suficiente para mantener el sistema en orden.

Ninguna de estas piezas es decorativa: son las primeras que se solicitan en una actuación de la AEPD y las que determinan si la empresa puede demostrar su diligencia. Si necesitas revisar el estado de esta documentación en tu organización, puedes plantearlo desde contacto.

Fuentes oficiales

Esta guía se apoya en el Reglamento (UE) 2016/679, en la Ley Orgánica 3/2018 y en las listas y orientaciones publicadas por la AEPD, citados al final de esta página.