Protección de datos para empresas: adaptación al RGPD y DPO externo
Casi todas las empresas tienen una carpeta de protección de datos. Pocas tienen una que describa lo que hacen hoy. Adaptamos tu empresa al RGPD, auditamos lo que ya tienes y nos quedamos como Delegado de Protección de Datos externo para que la consulta del día a día llegue antes que el problema.
¿Es obligatorio contratar una empresa de protección de datos?
No es obligatorio contratar una empresa de protección de datos. Lo que sí es obligatorio es cumplir el RGPD y la ley de protección de datos, y eso afecta a prácticamente cualquier empresa.
Es una de las cuatro obligaciones del cumplimiento normativo de una empresa y la única que la alcanza desde el primer cliente, sin umbral de plantilla ni de facturación que la active.
Qué exige la ley de protección de datos a las empresas
Toda empresa que trate datos de clientes, proveedores o empleados debe saber qué datos trata, con qué base legal, cuánto tiempo los guarda, quién accede a ellos y cómo los protege.
Y debe poder demostrarlo. El RGPD funciona por responsabilidad proactiva: no basta con cumplir, hay que tener documentado el cumplimiento y poder enseñarlo el día que alguien lo pida.
Esa documentación no es un trámite de una vez. Tiene que cambiar cada vez que cambia la empresa: un software nuevo, un proveedor distinto, una web con formulario o una cámara en el almacén.
Protección de datos en empresas pequeñas
Las empresas pequeñas no tienen una versión reducida del RGPD. Tienen las mismas obligaciones que una grande, aunque con menos tratamientos y, normalmente, con un riesgo más fácil de controlar.
El error habitual en una pyme no es no haber hecho nada, sino tener documentos genéricos comprados hace años que no describen lo que hace la empresa y que no resisten la primera reclamación.
Por eso adaptamos el alcance al tamaño real: registro de actividades, textos y contratos imprescindibles, y un mantenimiento proporcionado, sin llenar la empresa de papeles que nadie va a leer.
Servicios de protección de datos para empresas
Nos ocupamos de la protección de datos completa de tu empresa: la adaptación al RGPD, la auditoría de lo que ya existe, el Delegado de Protección de Datos y la gestión de los incidentes.
Empezamos por un diagnóstico de lo que tienes y te decimos qué falta, qué sobra y qué es urgente. Si tu adaptación actual se sostiene, también te lo decimos y la mantenemos.
Adaptación e implantación del RGPD
La implantación del RGPD empieza por saber qué datos trata de verdad la empresa, para qué y con qué permiso, y termina cuando cada tratamiento tiene su base legal, su texto y su contrato.
Hacemos la adaptación sobre tu actividad real, no sobre un modelo, porque una documentación que no describe lo que haces no protege a la empresa en una reclamación ni en una inspección.
Registro de actividades de tratamiento
El registro de actividades de tratamiento es el mapa de la protección de datos de la empresa: qué datos se tratan, para qué, con qué base legal, cuánto se conservan y quién accede a ellos.
Lo levantamos a partir de entrevistas con quien hace el trabajo, no de un cuestionario genérico, porque ahí aparecen los tratamientos que nadie recuerda: el grupo de mensajería o el Excel de clientes.
Sobre ese registro se construye todo lo demás. Si el registro está mal, los textos, los contratos y las medidas de seguridad protegen tratamientos que no existen y dejan fuera los que sí existen.
Textos informativos, cláusulas y política de privacidad
Cada vía por la que entran datos necesita su texto: formularios web, contratos con clientes, fichas de empleados, correos comerciales, currículos recibidos, videovigilancia y atención telefónica.
Redactamos la política de privacidad y la política de cookies de la web, las cláusulas informativas de cada canal y los consentimientos que hagan falta, que no siempre son tantos como se cree.
Y revisamos los envíos comerciales, porque el correo a clientes que no lo han pedido es una de las reclamaciones más frecuentes y una de las más fáciles de evitar con un texto bien planteado.
Contratos de encargado del tratamiento
Cuando un proveedor accede a tus datos para prestarte un servicio, tiene que haber un contrato de encargado del tratamiento: la gestoría, el software de gestión, la nube o la empresa de seguridad.
Revisamos los que ya tienes firmados y redactamos los que faltan. En los grandes proveedores tecnológicos no se negocia, pero sí hay que saber qué se ha aceptado y dónde acaban los datos.
Los revisa nuestra asesoría jurídica, porque ese contrato es el que te protege si el proveedor sufre una brecha de seguridad o usa los datos para algo distinto de lo que se le encargó.
Auditoría de protección de datos
La auditoría de protección de datos comprueba si lo documentado sigue coincidiendo con lo real. Es lo que más nos piden las empresas que se adaptaron hace años y no han vuelto a tocarlo.
Termina con un informe claro: qué está bien, qué hay que corregir, en qué orden y con qué urgencia. Sin alarmismo y sin vender más de lo que la empresa necesita para quedar cubierta.
Qué revisa una auditoría de protección de datos
Revisamos el registro de actividades, los textos y consentimientos en uso, los contratos con encargados, las medidas de seguridad, los plazos de conservación y cómo se atienden los derechos.
Y lo contrastamos con la práctica: quién tiene acceso a qué, qué se guarda en local, qué se envía por mensajería, qué se imprime y dónde acaba. Ahí aparecen casi siempre las diferencias.
La auditoría sirve también cuando cambias de asesoría: te dice qué te deja el anterior, qué tienes que rehacer y qué puedes aprovechar, antes de pagar dos veces por el mismo trabajo.
Evaluación de impacto y análisis de riesgos
El RGPD exige analizar el riesgo de los tratamientos y, cuando ese riesgo es alto, hacer una evaluación de impacto en protección de datos, conocida por sus siglas en inglés como DPIA.
Es el caso de la videovigilancia extensa, los datos de salud, la geolocalización de empleados, los perfiles de clientes o los tratamientos a gran escala que afectan a muchas personas.
Hacemos el análisis de riesgos de todos los tratamientos y la evaluación de impacto de los que la necesitan, con las medidas que reducen el riesgo, y lo dejamos documentado para la agencia.
Mantenimiento de la protección de datos
Una adaptación caduca sola. Cambian los tratamientos, entra software nuevo, se contrata a otro proveedor o se abre una tienda online, y la documentación deja de describir la empresa.
El mantenimiento evita eso: revisamos la documentación cuando cambia algo relevante, actualizamos textos y contratos, y formamos a las personas nuevas que acceden a datos personales.
Una vez al año hacemos una revisión completa y te entregamos un informe de estado, que es el documento que acredita ante la agencia que la protección de datos sigue viva en tu empresa.
Delegado de Protección de Datos externo
Algunas empresas están obligadas a nombrar un Delegado de Protección de Datos y otras muchas lo incorporan por criterio propio cuando el volumen o la sensibilidad de sus datos lo aconseja.
Prestamos el servicio de DPO externo de forma continuada y con disponibilidad permanente. No es un nombre comunicado a la agencia: es alguien a quien consultar antes de decidir.
Cuándo es obligatorio el Delegado de Protección de Datos
El delegado de protección de datos es obligatorio para las administraciones públicas y para las empresas cuya actividad principal supone observar a personas de forma habitual y a gran escala.
También cuando se tratan a gran escala datos especialmente protegidos, como los de salud, y en las actividades que enumera la ley: centros sanitarios y educativos o aseguradoras.
Lo revisamos en el diagnóstico inicial. Si tu empresa está obligada, lo nombramos y lo comunicamos a la agencia; si no lo está, te explicamos cuándo compensa tenerlo de forma voluntaria.
Funciones del delegado de protección de datos
El DPO informa y asesora a la empresa sobre sus obligaciones, supervisa que se cumplen, asesora en las evaluaciones de impacto y es el punto de contacto con la agencia y con los afectados.
Para hacerlo bien necesita conocer la empresa y actuar con independencia: no puede recibir instrucciones sobre cómo ejercer sus funciones ni ser sancionado por desempeñarlas.
Esa independencia es difícil dentro de una empresa pequeña, donde todos dependen de la misma persona, y es la razón por la que muchas eligen un delegado de protección de datos externo.
Contratar un DPO externo
Contratar un delegado de protección de datos externo significa tener cubierta la consulta diaria: si puedes instalar esa cámara, enviar ese correo comercial o dar acceso a ese proveedor.
Respondemos a esas consultas antes de que la decisión esté tomada, atendemos las reclamaciones de clientes y empleados, y actuamos como interlocutores ante la agencia si hay expediente.
El servicio se contrata con una cuota periódica que incluye la consulta ordinaria, la revisión anual y el informe al órgano de administración. Lo extraordinario se presupuesta aparte.
Brechas de seguridad, derechos y reclamaciones
Lo que decide una sanción en protección de datos no suele ser la documentación, sino cómo reacciona la empresa cuando algo sale mal: una brecha, una solicitud de un cliente o una reclamación.
Nos ocupamos de esa gestión en el momento en que ocurre, con los plazos cortos que marca la norma, y la dejamos documentada para que la empresa pueda demostrar que actuó bien y a tiempo.
Brechas de seguridad de datos personales
Una brecha de seguridad no es solo un ataque informático: es el correo enviado con copia visible, el portátil perdido, el ransomware o el expediente que acaba en la mesa equivocada.
Cuando ocurre, hay muy poco tiempo para valorarla y decidir si se notifica a la agencia y a los afectados, y esa decisión tiene que quedar razonada por escrito aunque sea no notificar.
Llevamos la gestión completa: valoración del riesgo, notificación si procede, comunicación a los afectados, medidas para contenerla y registro interno de la brecha, que es obligatorio siempre.
Ejercicio de derechos de clientes y empleados
Clientes, empleados y antiguos empleados pueden pedir acceso a sus datos, rectificarlos, suprimirlos, oponerse a un tratamiento o pedir su portabilidad, y la empresa tiene un plazo para responder.
Muchas reclamaciones ante la agencia no empiezan por un incumplimiento de fondo, sino por una solicitud que nadie contestó o que se contestó tarde, mal o sin identificar a la persona.
Te damos el procedimiento para atender cada derecho, los modelos de respuesta y, si lo prefieres, nos encargamos nosotros de contestar cada solicitud dentro de plazo y con la forma correcta.
Reclamaciones y procedimientos ante la AEPD
La Agencia Española de Protección de Datos actúa casi siempre por reclamación: un cliente, un exempleado o un vecino que denuncia una cámara, un correo o una publicación en redes.
Cuando llega el traslado de la reclamación o el acuerdo de inicio, analizamos qué se denuncia, reunimos la documentación que acredita el cumplimiento y redactamos las alegaciones.
Y si la resolución no es favorable, la recurrimos. Cuando la reclamación tiene razón también lo decimos, porque reconocer y subsanar a tiempo reduce la sanción de forma muy notable.
Datos de menores, LOPIVI y Esquema Nacional de Seguridad
Colegios, academias, clubes y campamentos tienen obligaciones reforzadas: tratan datos de menores y, además, deben cumplir la LOPIVI, con su coordinador de bienestar y sus protocolos.
Implantamos las dos capas a la vez, con los consentimientos, las imágenes y las cesiones bien resueltos, y la verificación de los certificados del personal que trabaja con menores.
Para el sector público y sus proveedores tecnológicos adaptamos también el Esquema Nacional de Seguridad, que exige medidas de seguridad propias y cada vez aparece más en los pliegos.
Sanciones por incumplir la protección de datos
Las sanciones por incumplir la protección de datos son de las más altas del derecho administrativo, y la agencia las impone también a pymes y autónomos, no solo a grandes empresas tecnológicas.
Pero la multa no es el único coste. Una reclamación abre un expediente que hay que atender, obliga a revisar procesos y, cuando se publica, afecta a la confianza de clientes y proveedores.
Cómo actúa la Agencia de Protección de Datos
La mayoría de los expedientes empiezan por una reclamación de un particular. La agencia pide explicaciones a la empresa y, según la respuesta, archiva, apercibe o abre un procedimiento sancionador.
Las infracciones más sancionadas en pymes son la videovigilancia mal señalizada, los envíos comerciales sin base legal, no atender derechos a tiempo y las brechas por enviar datos a quien no debía.
Qué reduce una sanción
La agencia valora si la empresa tenía la documentación en orden, si actuó con diligencia, si colaboró y si corrigió el problema. Una empresa bien adaptada casi siempre sale mejor parada.
Reconocer la infracción y pagar de forma voluntaria reduce además la multa, pero esa decisión conviene tomarla con criterio, porque cierra la puerta a discutir el fondo del asunto después.
Datos de empleados, cámaras y control laboral
Los datos de la plantilla son de los que más problemas dan: cámaras, geolocalización, control del correo y del ordenador, registro de jornada con huella o fichas médicas mal guardadas.
La ley permite a la empresa controlar, pero con límites y avisando antes. Lo coordinamos con nuestra asesoría laboral, porque una prueba mal obtenida puede tumbar un despido.
Protección de datos y canal de denuncias
El canal de denuncias trata datos especialmente delicados: la identidad de quien informa, la de la persona denunciada y los hechos. Tiene reglas propias de confidencialidad y de conservación.
Por eso, cuando implantamos el canal de denuncias de una empresa, su tratamiento de datos entra en el mismo registro y lo revisa el mismo equipo, sin huecos entre las dos obligaciones.
Cuánto cuesta la protección de datos para empresas
El precio de la protección de datos para empresas no depende de un paquete cerrado, sino de tu empresa: cuántos tratamientos tienes, qué tipo de datos, cuántos proveedores y si necesitas DPO.
Por eso no publicamos tarifas. Te damos un presupuesto cerrado por escrito que separa la adaptación inicial del mantenimiento periódico y del servicio de delegado, para que elijas qué contratas.
Revisión inicial de tu protección de datos
Revisamos la documentación que tienes, la web, los formularios, los proveedores que acceden a datos y las cámaras o sistemas de control que usas. Con eso te decimos qué está bien, qué falta, qué es urgente y si estás obligado a nombrar un Delegado de Protección de Datos. Sin compromiso y sin venderte lo que no necesitas.
Adaptación o auditoría con presupuesto cerrado
Si hay que adaptar, presupuestamos la adaptación completa. Si ya tienes una documentación aprovechable, presupuestamos solo la auditoría y las correcciones. En los dos casos sabes el precio antes de empezar, con cada entregable detallado y sin partidas abiertas que crezcan por el camino.
Mantenimiento y DPO externo con cuota periódica
El mantenimiento y el servicio de Delegado de Protección de Datos externo se contratan con una cuota periódica que incluye la consulta ordinaria, la actualización de la documentación y la revisión anual. Las brechas, los expedientes y los proyectos nuevos se presupuestan aparte y siempre antes de empezar.
Por qué elegir Deferre para la protección de datos de tu empresa
Una asesoría que además es despacho de abogados
Desde 1993 en Valladolid
Más de treinta años acompañando a empresas de Castilla y León y del resto de España en sus obligaciones.
DPO externo continuado
Disponibilidad permanente para consultar antes de decidir, no una designación de trámite ante la agencia.
Abogados en casa
Los contratos con proveedores y las alegaciones ante la agencia los revisa nuestro propio despacho.
Parte de tu cumplimiento
La protección de datos se coordina con el canal de denuncias, el plan de igualdad y el compliance penal.
Otros servicios de consultoría
Planificación fiscal, impuestos y defensa ante requerimientos, con el control del riesgo penal tributario que exige un modelo de prevención.
Nóminas, contratación y relaciones laborales, incluida la documentación de plantilla que activa el plan de igualdad y el canal de denuncias.
Contabilidad al día y cuentas anuales en plazo, con los controles internos sobre los que se apoya cualquier sistema de cumplimiento.
Contratos, sociedades e impagos. Los contratos con encargados del tratamiento y los acuerdos con proveedores salen de aquí.
Ayudas y subvenciones para tu empresa, incluido el plan de medidas antifraude que exigen los fondos europeos y la contratación pública.
Protección de datos, canal de denuncias, plan de igualdad y compliance penal, con un solo interlocutor que responde por las cuatro.
Compraventas, arrendamientos y la fiscalidad de cada operación, resuelta por la misma casa que lleva tus cuentas.
Financiación, ahorro y previsión para la empresa y para el empresario, dentro del asesoramiento habitual.
nuestra calidad habla por si sola a través de
Nuestros clientes
Enrique Clérigo
CEO de Barro-Gres
«Gestoría y consultora de confianza y profesionalidad absoluta. Muchos años trabajando con ellos y siempre ofreciendo un servicio excelente además de cercanía al cliente. Totalmente recomendado!!!»
Jose Rey Sanchez
Autónomo
«Siempre accesibles y con magníficos profesionales. Me siento tranquilo con ellos en la presentación de impuestos y formularios varios. Me han resuelto varios requerimientos con Hacienda con éxito, sin ninguna sanción administrativa, librándome de todas las gestiones y con el archivo de los expedientes.»
Carlos, Daytona Motos
Propietario de negocio local
«Gestoría de mucha seriedad. Buenos profesionales con mucha experiencia.»
Preguntas frecuentes sobre protección de datos para empresas
¿Es obligatorio contratar una empresa de protección de datos?
No. Lo obligatorio es cumplir el RGPD y la ley de protección de datos, y poder demostrarlo con documentación. Se puede hacer internamente si alguien de la empresa tiene los conocimientos y el tiempo, pero la mayoría de las empresas lo externaliza porque la norma cambia y la documentación caduca.
¿Qué empresas deben cumplir el RGPD?
Prácticamente todas. Cualquier empresa o autónomo que trate datos de personas físicas, sean clientes, proveedores, empleados o candidatos, está sujeto al RGPD. No hay un tamaño mínimo ni una facturación que lo active: una lista de clientes o una cámara en la puerta ya son tratamientos de datos.
¿Mi empresa necesita un Delegado de Protección de Datos?
Solo si su actividad principal supone observar a personas a gran escala, tratar datos especialmente protegidos a gran escala o si está en la lista de actividades de la ley, como centros sanitarios, educativos o aseguradoras. Lo comprobamos en la revisión inicial y te decimos si estás obligado o si te compensa tenerlo.
¿Qué diferencia hay entre adaptarse al RGPD y mantenerlo?
La adaptación es el proyecto inicial: registro de actividades, textos, contratos con encargados y medidas de seguridad. El mantenimiento es lo que evita que todo eso quede obsoleto cuando cambian los tratamientos, entra software nuevo o se contrata a otro proveedor. Sin mantenimiento, la adaptación caduca.
Me adapté a la protección de datos hace años. ¿Tengo que hacer algo?
Casi siempre sí. Una adaptación de hace años describe una empresa que ya no existe: otros tratamientos, otro software, otros proveedores y otra plantilla. La auditoría de protección de datos comprueba si lo documentado sigue coincidiendo con lo real y te dice qué hay que corregir y en qué orden.
¿Qué hago si sufro una brecha de seguridad?
Contactar cuanto antes, porque el plazo para notificar a la agencia es muy corto. Hay que valorar el riesgo, decidir si se notifica a la agencia y a los afectados, contener la brecha y registrarla internamente. Aunque se decida no notificar, esa decisión tiene que quedar razonada por escrito.
¿Puedo poner cámaras en mi empresa?
Sí, con límites. Hay que señalizarlas con el cartel informativo, no grabar zonas de descanso ni aseos, conservar las imágenes solo el tiempo que permite la ley e informar a la plantilla antes de usarlas para control laboral. Es de las infracciones que más sanciona la agencia en pymes y comercios.
¿Cuánto cuesta la protección de datos para una empresa?
Depende del número y tipo de tratamientos, de los proveedores que acceden a datos y de si necesitas Delegado de Protección de Datos. Por eso no damos una cifra genérica: hacemos una revisión inicial sin coste y te enviamos un presupuesto cerrado que separa la adaptación del mantenimiento.
¿Qué pasa si me llega una reclamación de la AEPD?
Normalmente la agencia da traslado de la reclamación y pide explicaciones antes de abrir expediente. Esa primera respuesta es decisiva: bien planteada, puede terminar en archivo. Analizamos qué se denuncia, reunimos la documentación que acredita el cumplimiento y redactamos la respuesta y, si hace falta, las alegaciones.
¿Trabajáis con empresas de fuera de Valladolid?
Sí. Trabajamos desde Valladolid con empresas de toda Castilla y León y del resto de España. La adaptación, la auditoría y el servicio de DPO externo funcionan bien en remoto, y cuando hace falta visitar instalaciones, por ejemplo para revisar la videovigilancia, lo organizamos con la empresa.
¿Cumple tu empresa con la protección de datos?
Revisamos, sin compromiso, cómo tratas hoy los datos de clientes, proveedores y empleados, y te decimos qué te falta para cumplir con el RGPD.