.png){kind=logo}
Protección de datos más allá de la web
El error habitual: pensar que el RGPD es "un tema de la web"
Es frecuente que la protección de datos se aborde solo cuando se revisa la web: política de privacidad, formulario de contacto, cookies. Son puntos importantes, pero son solo una parte visible de un cumplimiento que debería ser mucho más amplio.
Los datos de empleados, de proveedores, de candidatos en procesos de selección o de usuarios de herramientas internas también están sujetos al RGPD y a la LOPDGDD, y suelen recibir mucha menos atención.
Los bloques que conviene revisar de forma integral
Relación con proveedores: qué proveedores tratan datos personales en nombre de la empresa (gestoría, CRM, herramientas de IA, mensajería) y si existe el contrato de encargado del tratamiento correspondiente.
Empleados y RRHH: tratamiento de nóminas, control horario, videovigilancia o correo corporativo, cada uno con sus propios requisitos de información y proporcionalidad.
Registro de actividades de tratamiento: documento interno que recoge qué datos se tratan, con qué finalidad y durante cuánto tiempo, exigible a la mayoría de empresas.
Gestión de riesgos y de incidentes: tener un procedimiento mínimo para detectar y, en su caso, notificar una brecha de seguridad dentro de los plazos aplicables.
Derechos de las personas: un procedimiento claro para atender solicitudes de acceso, rectificación o supresión de datos.
Un cumplimiento vivo, no un documento archivado
El riesgo real no suele estar en no tener ningún documento, sino en tener documentos desactualizados que ya no reflejan cómo trabaja realmente la empresa. Un cumplimiento útil se revisa cuando cambia algo relevante: un proveedor nuevo, una herramienta de IA, un cambio en el equipo.
Este trabajo se desarrolla dentro del área de protección de datos, coordinado cuando es necesario con IA & Compliance y con la legalidad digital de la web.
Preguntas frecuentes
¿Una empresa pequeña también necesita cumplir con el RGPD?
Sí. El tamaño de la empresa no exime del cumplimiento, aunque puede influir en el alcance y la complejidad de las medidas que resulten proporcionadas.
¿Qué es un contrato de encargado del tratamiento y cuándo se necesita?
Es el contrato que regula la relación cuando un proveedor trata datos personales por cuenta de la empresa (por ejemplo, una herramienta de gestión o de IA). Se necesita siempre que exista ese tipo de tratamiento por parte de un tercero.
¿Qué pasa si se produce una brecha de seguridad?
Depende de su gravedad y del riesgo para las personas afectadas. Contar de antemano con un procedimiento ayuda a reaccionar dentro de los plazos y con las medidas adecuadas.
Escrito por
María J. Agudo · Abogado
Derecho mercantil, societario y compliance, con especialización en negocios digitales y acompañamiento a startups.
Conoce al equipo¿Tu cumplimiento en protección de datos termina en la web?
Podemos analizar tu caso concreto y decirte, con claridad, qué riesgos tiene y qué prioridad darle.
Contactar