Caso de auditoría RGPD en una empresa: qué hacer

Una empresa de 12 trabajadores recibe la petición de un cliente para ejercer su derecho de supresión. Al revisar el proceso, descubre que sus datos aparecen en hojas de cálculo antiguas, una herramienta comercial y varios correos electrónicos. No sabe quién debe borrar qué, ni cuánto tiempo puede conservarse la información. Este es un caso de auditoría RGPD en una empresa muy habitual: el problema no suele ser la ausencia total de documentos, sino que la práctica diaria no coincide con lo que la organización cree tener controlado.

Una auditoría bien planteada no consiste en recopilar papeles para una posible inspección. Sirve para localizar tratamientos de datos, comprobar riesgos reales y aplicar medidas que permitan acreditar cumplimiento ante clientes, empleados, proveedores o la autoridad de control. Esperar a una reclamación o a una brecha de seguridad para revisar el sistema suele salir mucho más caro.

Qué se analiza en un caso de auditoría RGPD en una empresa

La auditoría parte de una pregunta sencilla: ¿qué datos personales trata la empresa, para qué los utiliza, quién accede a ellos y durante cuánto tiempo? La respuesta rara vez está en un único departamento. Puede haber datos en administración, selección de personal, facturación, videovigilancia, formularios web, dispositivos móviles, copias de seguridad y programas contratados a terceros.

El primer trabajo consiste en elaborar o actualizar el registro de actividades de tratamiento. Aunque una pequeña empresa no siempre esté obligada a llevarlo en todos los supuestos, disponer de este registro es una prueba operativa muy útil. Permite identificar finalidades, bases jurídicas, categorías de interesados, destinatarios, plazos de conservación y medidas de seguridad.

Después se revisa si cada tratamiento tiene una base de legitimación válida. No todo se resuelve con una casilla de consentimiento. La gestión de una nómina, una factura o un contrato se apoya normalmente en la ejecución contractual y en obligaciones legales. En cambio, las campañas comerciales, el uso de imágenes o determinadas comunicaciones pueden requerir consentimiento o una correcta ponderación del interés legítimo.

La auditoría también comprueba que la información facilitada a las personas sea clara y completa. Los avisos de privacidad deben explicar quién trata los datos, con qué finalidad, cuáles son los derechos y cómo ejercerlos. Copiar un texto genérico sin adaptarlo a la actividad de la empresa no protege frente a una reclamación.

El caso práctico: una pyme que comparte datos sin control

Pensemos en una empresa de servicios con personal administrativo y comercial. Sus trabajadores reciben solicitudes desde la web, envían presupuestos por correo electrónico y guardan contactos en sus teléfonos. Además, una asesoría accede a datos laborales y un proveedor tecnológico aloja información de clientes.

Durante la auditoría aparecen varias incidencias: los formularios no informan adecuadamente sobre privacidad, no existe un procedimiento para atender derechos, las contraseñas se comparten entre empleados y los contratos con encargados del tratamiento no están actualizados. También se conservan currículos durante años sin una justificación definida.

Ninguna de estas deficiencias exige cerrar la empresa ni paralizar su actividad. Pero juntas reflejan una falta de responsabilidad proactiva, principio central del RGPD. La organización debe cumplir y, si se le requiere, demostrar que cumple. Ese es el punto que muchas empresas descubren demasiado tarde.

La solución no es firmar documentos sin cambiar nada. Hay que fijar responsables, corregir las cláusulas informativas, formalizar los contratos necesarios, establecer plazos de borrado y limitar los accesos. Si los comerciales necesitan consultar datos de clientes desde el móvil, la medida adecuada no será necesariamente prohibirles trabajar fuera de la oficina, sino aplicar controles proporcionados: usuarios individuales, bloqueo de pantalla, contraseñas seguras y un protocolo para pérdidas o robos.

Documentación que debe poder acreditarse

La documentación no es un fin en sí mismo, pero permite probar que la empresa ha tomado decisiones informadas. En una revisión seria deben estar disponibles, actualizados y adaptados a la actividad los elementos que correspondan.

• Registro de actividades de tratamiento y análisis de las finalidades de uso de los datos.
• Cláusulas informativas para clientes, empleados, proveedores, web, formularios y procesos de selección.
• Contratos de encargo del tratamiento con gestorías, plataformas tecnológicas u otros proveedores que accedan a datos.
• Procedimiento para atender derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.
• Política de conservación y eliminación segura de información, incluidos soportes en papel y copias digitales.
• Protocolo de gestión de incidencias y brechas de seguridad.

No todas las empresas necesitan exactamente los mismos documentos ni idénticas medidas. Una comunidad de propietarios, una asociación con voluntariado y una pyme con comercio electrónico tratan datos distintos y afrontan riesgos diferentes. Aplicar modelos estándar sin analizar el caso puede dejar huecos relevantes o imponer obligaciones inútiles.

Seguridad: el punto que más se descuida

El RGPD no obliga a implantar la misma tecnología a todas las organizaciones. Exige aplicar medidas técnicas y organizativas adecuadas al riesgo. Una microempresa no tiene que replicar la estructura de una gran corporación, pero sí debe evitar errores básicos que exponen información personal.

Compartir una única cuenta de correo, dar acceso indiscriminado a carpetas con datos de empleados o enviar documentación sensible por canales sin protección son prácticas que deben revisarse. Lo mismo ocurre con equipos sin bloqueo, contraseñas débiles, permisos de antiguos trabajadores que nunca se revocaron o archivos físicos accesibles al público.

La formación también forma parte de la seguridad. Un trabajador que abre un correo fraudulento, reenvía por error una nómina o responde una solicitud de derechos sin verificar la identidad puede generar una incidencia grave. Instrucciones claras y breves, adaptadas al puesto, previenen más problemas que un manual que nadie consulta.

Cuándo hay que evaluar riesgos con mayor profundidad

Hay casos en los que una revisión documental no es suficiente. Si la empresa trata datos especialmente sensibles, vigila zonas de acceso público, realiza perfiles, utiliza tecnologías con impacto relevante sobre las personas o maneja grandes volúmenes de información, puede ser necesario un análisis de riesgos más detallado. En determinados tratamientos, el RGPD exige una evaluación de impacto antes de empezar.

También debe valorarse si procede designar un delegado de protección de datos. No es obligatorio para todas las pymes, pero sí para ciertos sectores y tratamientos. Designarlo sin necesitarlo no siempre aporta valor; no hacerlo cuando es obligatorio puede agravar el incumplimiento. La decisión debe basarse en la actividad efectiva de la empresa, no en su tamaño o en una recomendación genérica.

Qué hacer si la auditoría detecta incumplimientos

Detectar fallos es una buena noticia si se actúa con rapidez. La prioridad debe establecerse según el riesgo: primero, los accesos sin control, la ausencia de contratos con proveedores que manejan datos, las brechas de seguridad abiertas y los tratamientos sin base jurídica clara. Después pueden abordarse mejoras organizativas, de archivo y de formación.

Conviene convertir el resultado de la auditoría en un plan de acción con responsables y fechas. Decir que una política será revisada no basta si nadie tiene asignada la tarea. Del mismo modo, aprobar un procedimiento de derechos no sirve si el equipo desconoce dónde recibe las solicitudes y en qué plazo debe responder.

En caso de una violación de seguridad, la empresa debe analizar de inmediato qué datos se han visto afectados, a cuántas personas puede perjudicar y qué medidas de contención se han adoptado. Cuando exista riesgo para los derechos y libertades de las personas, puede ser obligatorio notificar a la autoridad de control en un máximo de 72 horas. Si el riesgo es alto, también puede ser necesario comunicarlo a los afectados.

Auditoría periódica: menos improvisación, menor exposición

Una auditoría RGPD no debería hacerse una sola vez y quedar archivada. La empresa cambia cuando incorpora personal, lanza una nueva web, contrata una aplicación, instala cámaras, abre un canal de denuncias o modifica su forma de captar clientes. Cada cambio puede generar un tratamiento nuevo o alterar los riesgos existentes.

Una revisión periódica evita que la documentación se convierta en papel sin valor y permite corregir antes de que aparezca una reclamación. Para autónomos y pequeñas empresas, externalizar esta tarea reduce carga administrativa y ofrece un criterio técnico que ayuda a decidir qué es obligatorio, qué es recomendable y qué debe resolverse de forma prioritaria.

Consultoría Rosario Polo acompaña a empresas de toda España en la adaptación al RGPD y la LOPDGDD con una revisión práctica de sus tratamientos, documentación y medidas reales. El objetivo no es complicar su operativa, sino dejarla preparada para trabajar con seguridad jurídica y evitar costes que pueden prevenirse.

El mejor momento para revisar la protección de datos es antes de recibir una queja, perder un dispositivo o contestar tarde a una solicitud. Si su empresa trata datos personales, la auditoría no es una formalidad: es la forma de detectar dónde está el riesgo y corregirlo cuando todavía está bajo control.