Firmasteis algo en 2018 y no se ha vuelto a mirar
Es la situación más común que nos encontramos, y no por dejadez: se contrató a alguien, se entregó una carpeta con documentos y el asunto se dio por cerrado. Mientras tanto la empresa ha cambiado de programas, de proveedores y de forma de trabajar tres veces.
Por qué el documento de entonces ya no vale
El registro de actividades de tratamiento describe qué datos manejas, para qué, con qué base legal, quién los toca y cuánto los guardas. Si desde 2018 habéis cambiado de CRM, subido el correo a la nube, contratado una herramienta de fichaje o empezado a usar IA, ese documento describe una empresa que ya no existe. Y un registro que no refleja la realidad no protege: en una inspección, demuestra lo contrario de lo que pretendía.
Lo que revisamos
- Registro de actividades actualizado a cómo trabajáis hoy, incluidos los tratamientos nuevos que nadie dio de alta.
- Contratos de encargado del tratamiento con cada proveedor que toca vuestros datos — el del correo, el de la nube, la gestoría, el del programa de nóminas. Es donde más huecos aparecen.
- Plazos de conservación reales. «Lo guardamos todo por si acaso» no es un plazo, y además es lo que convierte una brecha pequeña en una grande.
- Bases legales de cada tratamiento y los consentimientos donde haga falta.
- Procedimiento de brecha: quién detecta, quién decide y quién notifica, con el reloj de 72 horas corriendo. Ensayado, no solo escrito.
- Transferencias internacionales: dónde acaban físicamente vuestros datos, que casi nunca es donde la gente cree.
La parte técnica es la mitad del asunto
El RGPD exige medidas técnicas apropiadas, no solo papel. Cifrado, control de accesos, copias, registro de quién accede a qué: todo eso son controles de BeSafe. Por eso el expediente sale casi solo cuando la escalera ya está subida — y por eso montar la documentación sin los controles es un ejercicio caro y vacío.
Quién firma qué
Nosotros llevamos el lado técnico y el orden del expediente; la parte jurídica la firma Kernel Legal. Lo que te ahorras es el hueco entre los dos, que es exactamente donde se cuela lo que después te preguntan.
Esto es una pieza de BeCompliance · Cumplimiento.
Vuelve a la solución completaLo que nos preguntan antes de empezar.
Tenemos una empresa que nos lleva la protección de datos.
Perfecto, y no venimos a sustituirla. Lo que solemos aportar es lo que a esa empresa le falta: la foto técnica real de dónde están los datos, quién accede y qué medidas hay puestas de verdad. Muchos expedientes se escriben sobre lo que el cliente cuenta, no sobre lo que el sistema dice.
¿Qué pasa si tenemos una brecha?
Tienes 72 horas para notificar a la autoridad de control desde que la conoces, y a veces también a los afectados. Lo que marca la diferencia no es la multa: es tener claro quién hace qué en esas horas. Sin procedimiento ensayado, se pierden las primeras doce en decidir a quién llamar.
Somos cuatro personas. ¿También nos aplica?
Sí. El RGPD no tiene umbral de tamaño: si tratas datos personales —y todo el mundo trata al menos los de sus empleados y clientes—, aplica. Lo que cambia con el tamaño es el volumen de trabajo, y en una empresa pequeña es asumible.