Auditoría interna y externa RGPD: qué revisar

Una auditoría interna y externa RGPD no consiste en revisar si la empresa tiene una política de privacidad publicada en su web. Su función real es comprobar si los datos personales se recogen, utilizan, conservan y protegen conforme al Reglamento General de Protección de Datos y a la LOPDGDD. Cuando ese análisis se hace tarde, el problema suele aparecer tras una reclamación, una brecha de seguridad o un requerimiento de la Agencia Española de Protección de Datos.

Para un autónomo o una pyme, el riesgo no está solo en una gran filtración. También puede estar en enviar publicidad sin base jurídica, conservar currículos indefinidamente, contratar una gestoría sin el contrato adecuado o facilitar datos de clientes por correo sin medidas mínimas de seguridad. Una auditoría bien planteada localiza estos fallos antes de que se conviertan en una sanción o en una pérdida de confianza.

Diferencia entre auditoría interna y externa RGPD

La auditoría interna la realiza la propia organización, normalmente a través de una persona responsable, del delegado de protección de datos cuando exista o de personal con formación específica. Permite revisar de forma periódica los procedimientos reales de trabajo: quién accede a los datos, qué herramientas se utilizan, cómo se atienden los derechos de los interesados y qué ocurre cuando un empleado deja la empresa.

La auditoría externa RGPD la lleva a cabo un profesional ajeno a la estructura diaria de la organización. Su principal ventaja es la objetividad. Quien revisa desde fuera puede detectar prácticas normalizadas que el equipo ya no percibe como un riesgo, como compartir claves, usar cuentas de correo personales o recopilar más datos de los necesarios en formularios comerciales.

No son opciones excluyentes. Una empresa con tratamientos sencillos puede mantener controles internos regulares y solicitar una revisión externa periódica. En organizaciones con alto volumen de datos, categorías especiales de datos, videovigilancia, menores, actividad sanitaria o numerosos encargados de tratamiento, la supervisión independiente adquiere un valor mayor. La frecuencia no es idéntica para todos los negocios: depende del riesgo, de los cambios tecnológicos y de la evolución de sus tratamientos.

Qué debe revisar una auditoría RGPD eficaz

Una revisión superficial de documentos no protege frente a una inspección. La auditoría debe contrastar la documentación con la operativa diaria. Si el registro de actividades dice una cosa y el personal trabaja de otra manera, el incumplimiento sigue existiendo.

Registro de actividades y bases jurídicas

El primer punto es identificar qué datos trata la organización, para qué finalidad, durante cuánto tiempo y con qué legitimación. No basta con indicar que los datos se recogen para gestionar clientes. Hay que diferenciar la ejecución de un contrato, el cumplimiento de obligaciones legales, el consentimiento, el interés legítimo u otra base jurídica aplicable.

También se debe comprobar que solo se solicitan los datos necesarios. Pedir información excesiva aumenta la responsabilidad de la empresa y dificulta justificar el tratamiento. Este principio de minimización es especialmente relevante en formularios web, procesos de selección, comunidades de propietarios, asociaciones y fichas de clientes.

Información y gestión del consentimiento

Las cláusulas informativas deben ser comprensibles, accesibles y coherentes con el tratamiento real. La primera capa de información debe aparecer en el momento de recogida de datos, ya sea en papel, en una página web, por teléfono o mediante una aplicación.

Cuando la empresa basa un tratamiento en el consentimiento, debe poder demostrar que se obtuvo de forma válida. Las casillas premarcadas, el consentimiento genérico para finalidades distintas o la imposibilidad de retirar la autorización son señales claras de riesgo. En comunicaciones comerciales, la auditoría debe verificar tanto la captación inicial como los mecanismos de baja y oposición.

Contratos con proveedores y acceso a datos

Muchas incidencias RGPD se originan fuera de la empresa. Una asesoría, proveedor informático, plataforma de correo, empresa de mantenimiento, servicio de nóminas o profesional de marketing puede acceder a datos personales y actuar como encargado del tratamiento.

La auditoría debe identificar a esos proveedores y comprobar que existen contratos de encargo de tratamiento con el contenido exigido por el artículo 28 del RGPD. No se trata de firmar un modelo sin más. El contrato debe reflejar el servicio prestado, las instrucciones del responsable, la confidencialidad, las medidas de seguridad, la posible subcontratación y el destino de los datos al finalizar la relación.

Si hay transferencias internacionales de datos, el análisis debe ser más riguroso. Utilizar una herramienta digital alojada fuera del Espacio Económico Europeo no es automáticamente ilegal, pero exige verificar las garantías aplicables y la información ofrecida a los interesados.

Seguridad, accesos y brechas de datos

El RGPD no impone una única medida de seguridad para todas las empresas. Exige medidas adecuadas al riesgo. Una pequeña empresa no necesita copiar la estructura de una gran corporación, pero sí debe controlar los accesos, proteger las contraseñas, realizar copias de seguridad, actualizar sus equipos y limitar la información disponible para cada puesto.

La auditoría debe bajar al terreno práctico: revisar permisos de usuarios, dispositivos móviles, almacenamiento en la nube, archivadores físicos, destrucción documental y protocolos de teletrabajo. Un documento con datos personales abandonado en una impresora o una cuenta compartida por varios empleados puede comprometer la confidencialidad.

También debe existir un procedimiento para detectar, contener y documentar brechas de seguridad. Si una brecha puede suponer un riesgo para las personas, puede ser necesario notificarla a la autoridad de control en un plazo máximo de 72 horas desde que se tuvo constancia. Esperar a tener toda la información o pensar que el incidente no tendrá consecuencias puede agravar el problema.

Derechos de los interesados: donde fallan muchas pymes

Acceso, rectificación, supresión, oposición, limitación, portabilidad y decisiones automatizadas no son conceptos teóricos. Una empresa debe saber reconocer una solicitud y responder dentro de plazo. El plazo general es de un mes, aunque puede ampliarse en circunstancias concretas si se informa adecuadamente al interesado.

La auditoría comprueba si existe un canal para recibir estas peticiones, quién es responsable de gestionarlas y cómo se acredita la respuesta. Ignorar un correo de baja comercial, eliminar datos que deben conservarse por obligación legal o entregar información a una persona cuya identidad no se ha verificado son errores habituales. El cumplimiento exige equilibrio: atender el derecho sin vulnerar otros deberes legales.

Cuándo conviene acudir a una auditoría externa

Hay situaciones en las que una revisión independiente deja de ser recomendable y pasa a ser una decisión prudente. Ocurre, por ejemplo, tras una brecha de seguridad, al implantar un nuevo programa de gestión, antes de lanzar campañas comerciales, cuando se produce una fusión o cuando se empieza a tratar datos especialmente sensibles.

También conviene actuar cuando la documentación lleva años sin actualizarse. El negocio cambia: se contratan empleados, se incorporan cámaras, se abre una tienda online, se usan nuevas plataformas o se externalizan funciones. Cada cambio puede modificar el mapa de tratamientos y las obligaciones aplicables.

En determinados tratamientos de alto riesgo puede ser necesaria una evaluación de impacto en protección de datos antes de iniciar la actividad. No todas las empresas deben realizarla, pero no analizar esta obligación cuando procede puede dejar a la organización expuesta. La auditoría externa permite determinar si existe ese alto riesgo y qué medidas deben adoptarse.

Errores que una auditoría debe convertir en acciones

El valor de una auditoría no está en entregar un informe extenso que termina archivado. Debe traducirse en un plan de corrección con responsables, plazos y prioridades. Primero se abordan los riesgos graves: ausencia de información, falta de contratos con encargados, accesos sin control, tratamientos sin base jurídica o una brecha mal gestionada. Después se corrigen cuestiones documentales y mejoras organizativas.

Tampoco es razonable paralizar toda la actividad para alcanzar un cumplimiento perfecto en una semana. Lo correcto es establecer medidas proporcionales, dejar constancia de las decisiones adoptadas y avanzar con un calendario realista. Sin embargo, usar la falta de tiempo como excusa para no revisar nada es una mala estrategia cuando las sanciones por protección de datos pueden ser elevadas y afectar a la reputación comercial.

Una consultoría especializada puede realizar el diagnóstico, actualizar la documentación y acompañar a la empresa en la implantación de las medidas necesarias. En Consultoría Rosario Polo, el enfoque es práctico: identificar qué tratamientos existen realmente, reducir la carga administrativa y corregir los incumplimientos que pueden generar un coste innecesario.

La mejor auditoría es la que consigue que el personal sepa qué hacer antes de cometer un error. Revisar ahora los tratamientos, proveedores y medidas de seguridad permite tomar decisiones con margen, proteger a clientes y trabajadores y evitar que una incidencia cotidiana termine siendo un problema legal costoso.