El RGPD tiene un problema de comunicación: todo el mundo recuerda la cifra de las multas millonarias y casi nadie sabe por qué se sanciona en la práctica a una empresa normal. El resultado es una mezcla de miedo abstracto y desidia concreta.
Vamos a lo útil: qué se multa de verdad, qué hay que hacer cuando algo se rompe y cuál es el mínimo defendible.
Quién es la AEPD y qué puede hacer#
La Agencia Española de Protección de Datos es la autoridad de control independiente que supervisa el cumplimiento del RGPD y de la LOPDGDD en España. Puede investigar de oficio o a raíz de una reclamación, requerir información, ordenar medidas correctoras y sancionar.
El marco sancionador del RGPD contempla dos tramos: hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial para determinadas infracciones, y hasta 20 millones o el 4 % para las más graves. Esas cifras son el techo teórico, no la expectativa razonable para una pyme.
Lo relevante es cómo se gradúa la sanción. La agencia pondera, entre otros factores, la naturaleza y gravedad de la infracción, si fue intencionada o negligente, las medidas adoptadas para mitigar el daño, el grado de cooperación y las medidas técnicas y organizativas que la empresa tenía implantadas. Ese último punto es la clave práctica de esta guía: lo que usted haya hecho antes del problema cambia el resultado después.
Qué se sanciona de verdad#
Al revisar la actividad sancionadora, los motivos recurrentes en empresas pequeñas y medianas son bastante prosaicos:
- Tratar datos sin base jurídica válida. El clásico: enviar comunicaciones comerciales sin consentimiento acreditable, o reutilizar datos recogidos para otra finalidad.
- No atender los derechos de los interesados. Alguien pide acceso o supresión de sus datos y la empresa no responde, responde tarde o responde mal. Es una de las vías más frecuentes de reclamación, porque el afectado la activa por sí solo.
- Falta de información y transparencia. Formularios sin información sobre el tratamiento, políticas de privacidad genéricas que no reflejan lo que se hace, cookies instaladas antes del consentimiento.
- Ausencia de medidas de seguridad adecuadas. Carpetas compartidas accesibles por cualquiera, credenciales compartidas entre empleados, exempleados con accesos activos, portátiles sin cifrar.
- No notificar una brecha de seguridad, o notificarla tarde.
- Videovigilancia mal planteada: cámaras enfocando la vía pública o zonas no permitidas, sin cartel informativo.
Ninguno de estos motivos requiere un ataque sofisticado. Casi todos se detectan revisando lo que la empresa ya hace.
Las primeras 72 horas de una brecha#
El RGPD obliga a notificar a la autoridad de control las violaciones de seguridad de datos personales sin dilación indebida y, a más tardar, en 72 horas desde que se tiene constancia, salvo que sea improbable que supongan un riesgo para los derechos y libertades de las personas. Cuando el riesgo para los afectados es alto, además hay que comunicárselo a ellos.
Ese plazo se agota antes de lo que parece, sobre todo si empieza un viernes. El orden de trabajo que funciona:
- Contener. Cortar el acceso, aislar el equipo comprometido, cambiar credenciales.
- Registrar desde el minuto uno. Qué se detectó, cuándo, quién hizo qué. Ese registro es después su prueba de diligencia.
- Evaluar el alcance. Qué datos, de cuántas personas, de qué tipo y con qué riesgo asociado.
- Decidir sobre la notificación. A la AEPD si procede; a los afectados si el riesgo es alto. Documentar también la decisión de no notificar y su motivación.
- Preservar evidencias. No reinstalar el servidor a las dos horas: sin evidencias no hay forma de saber el alcance ni de demostrar nada.
- Cerrar la causa. Corregir lo que lo permitió y dejar constancia del cambio.
La empresa que llega a la AEPD con un registro ordenado, una evaluación razonada y correcciones ya aplicadas está en una posición radicalmente distinta a la que llega sin nada.
El mínimo defendible#
Sin entrar en proyectos grandes, esto es lo que separa a una empresa razonablemente protegida de una expuesta:
- Registro de actividades de tratamiento actualizado, que refleje la realidad y no una plantilla de hace cuatro años.
- Bases jurídicas claras para cada tratamiento, y consentimientos que se puedan acreditar.
- Procedimiento de derechos: quién recibe la solicitud, cómo se verifica al solicitante y en qué plazo se responde.
- Contratos de encargado de tratamiento con todos los proveedores que tocan datos personales: gestoría, plataforma de correo, CRM, hosting.
- Control de accesos real: cada persona con su usuario, permisos por rol, y salida de un empleado igual a cierre de accesos el mismo día.
- Copias de seguridad probadas y cifrado en portátiles y dispositivos móviles.
- Plan de brechas de una página, con nombres y teléfonos, revisado una vez al año.
- Formación básica del personal, con registro de asistencia. Barata, y es de lo primero que se valora.
En resumen#
- La AEPD es la autoridad española de protección de datos: investiga, ordena medidas y sanciona incumplimientos del RGPD y la LOPDGDD.
- Los topes del RGPD llegan a 20 millones de euros o el 4 % del volumen de negocio mundial, pero la sanción se gradúa según gravedad, intencionalidad, cooperación y medidas implantadas previamente.
- En pymes se sanciona sobre todo lo básico: falta de base jurídica, derechos desatendidos, información deficiente, seguridad inadecuada, brechas no notificadas y videovigilancia mal planteada.
- Ante una brecha hay 72 horas para notificar a la autoridad desde que se tiene constancia, y comunicación a los afectados si el riesgo es alto.
- Registro de tratamientos, contratos con encargados, control de accesos, copias probadas y un plan de brechas cubren la mayor parte del riesgo real.
Este artículo es orientación general, no asesoramiento jurídico: para un caso concreto —y especialmente si ya hay una brecha o un requerimiento en curso— conviene contar con apoyo especializado desde el primer día.