Tecnología e innovación
Protección de datos y ciberseguridad: cumplir, reaccionar y defender
El área de protección de datos y ciberseguridad ayuda a tu empresa a cumplir el RGPD y la LOPDGDD, a reaccionar ante una brecha o un ciberataque dentro del plazo legal de 72 horas y a defenderse en procedimientos de la AEPD. La necesitas si tratas datos de clientes, empleados o pacientes a escala, o si ya has sufrido un incidente.
Protección de datos y ciberseguridad
Cualquier empresa que guarda datos de clientes, empleados o proveedores es responsable de un tratamiento y responde de él. El riesgo no es solo la multa, que en el Reglamento General de Protección de Datos (RGPD) puede llegar a 20 millones de euros o al 4 % de la facturación mundial. Es también la paralización del negocio tras un ataque, la reclamación de los afectados y la pérdida de contratos con clientes que exigen garantías a sus proveedores.
La norma no pide papeles: pide poder demostrar. El principio de responsabilidad proactiva obliga a acreditar qué datos tratas, con qué base jurídica, quién accede a ellos y qué medidas aplicas. Cuando la Agencia Española de Protección de Datos (AEPD) requiere información, o cuando un atacante cifra los servidores, lo que cuenta es lo que estaba documentado antes. Por eso empezamos casi siempre por el registro de actividades y los contratos con proveedores.
Trabajamos junto a tus responsables técnicos, no en su lugar: el análisis forense corresponde al equipo de seguridad y nosotros fijamos qué se notifica, a quién y con qué palabras. Si el incidente tiene origen delictivo, coordinamos la denuncia con el área de penal económico. Si afecta a sistemas automatizados o a decisiones algorítmicas, con la de derecho digital e inteligencia artificial.
En qué trabajamos
Auditoría RGPD
Revisión de cómo trata datos tu organización frente a lo que exige el Reglamento: registro de actividades, bases jurídicas, cláusulas informativas, plazos de conservación, contratos con proveedores y medidas de seguridad. Suele encargarse antes de una venta de empresa, de una certificación o tras una reclamación. El resultado es un informe con los incumplimientos ordenados por riesgo sancionador y un plan de corrección con responsables y fechas, que sirve además como prueba de diligencia ante la AEPD.
Arts. 5, 24 y 30 RGPD
Brechas de seguridad
Una brecha es cualquier pérdida, acceso o alteración no autorizada de datos personales: un portátil robado, un correo enviado al destinatario equivocado, un cifrado por ransomware. Desde que la conoces tienes 72 horas para notificarla a la AEPD, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, también hay que avisar a los afectados sin dilación. Valoramos el riesgo, redactamos la notificación y documentamos la decisión, incluso cuando se decide no notificar.
Arts. 33 y 34 RGPD
Delegado de protección de datos
El delegado de protección de datos (DPD) es obligatorio para las administraciones, para quien observa a personas de forma habitual y sistemática a gran escala o trata a gran escala datos sensibles, y para las entidades que enumera la ley española: aseguradoras, entidades de crédito, centros sanitarios, colegios profesionales o empresas de seguridad privada, entre otras. Su designación se comunica a la AEPD en diez días. Asumimos la función como DPD externo o damos apoyo jurídico al interno.
Art. 37 RGPD y art. 34 LOPDGDD
Evaluación de impacto en protección de datos
La evaluación de impacto (EIPD) es un análisis previo y obligatorio cuando un tratamiento puede entrañar un alto riesgo: videovigilancia a gran escala, perfilado con efectos sobre las personas, datos de salud o biométricos, geolocalización de empleados. Debe hacerse antes de empezar, no después. Si tras aplicar medidas el riesgo sigue siendo alto, procede la consulta previa a la AEPD. Dirigimos la evaluación con tu equipo técnico y dejamos por escrito por qué el tratamiento es necesario y proporcionado.
Arts. 35 y 36 RGPD
Contratos de encargado del tratamiento
Todo proveedor que accede a datos por tu cuenta (nube, nóminas, marketing, soporte informático) es encargado del tratamiento y necesita un contrato con contenido mínimo legal: instrucciones documentadas, confidencialidad, seguridad, régimen de subencargados, asistencia ante derechos y brechas, devolución o destrucción al terminar y auditorías. Redactamos y negociamos estos contratos desde los dos lados y revisamos las cadenas de subencargo, que es donde suelen aparecer las transferencias internacionales que nadie había previsto.
Art. 28 RGPD
Sanciones de protección de datos
Defensa en procedimientos de la AEPD desde el primer requerimiento de información. El procedimiento sancionador caduca a los doce meses del acuerdo de inicio y las actuaciones previas de investigación no pueden superar dieciocho. Las infracciones prescriben a los tres, dos o un año según sean muy graves, graves o leves. Valoramos si conviene alegar, reconocer la responsabilidad o pagar de forma anticipada, opciones que reducen la multa pero condicionan los recursos posteriores.
Arts. 64, 67 y 72-74 LOPDGDD
Transferencias internacionales de datos
Enviar datos fuera del Espacio Económico Europeo, o permitir que se acceda a ellos desde fuera, solo es lícito con una garantía: decisión de adecuación de la Comisión Europea para el país de destino, cláusulas contractuales tipo, normas corporativas vinculantes o una de las excepciones tasadas. Con cláusulas tipo hay que evaluar además la legislación del país importador. Identificamos las transferencias reales, que a menudo se esconden en herramientas de uso diario, elegimos el instrumento y preparamos la evaluación que lo respalda.
Arts. 44-49 RGPD
Ciberincidentes
Un ransomware o una suplantación del correo del director financiero abren varios frentes a la vez: continuidad del negocio, notificación a autoridades, aviso a clientes según contrato, cobertura de la póliza de ciberriesgo y denuncia penal. El acceso ilícito a sistemas y los daños informáticos son delito. Las entidades financieras tienen además obligaciones propias de notificación bajo el Reglamento europeo DORA. Coordinamos la respuesta jurídica desde la primera hora y preservamos la prueba para reclamar después.
Arts. 197 bis y 264 CP
- 72 horas
- Plazo para notificar una brecha a la AEPD desde que se tiene constancia de ella (art. 33 RGPD).
- 20 M€ o 4 %
- Multa máxima por las infracciones más graves: la mayor de las dos cifras, sobre el volumen de negocio mundial (art. 83.5 RGPD).
- 1 mes
- Plazo para responder a quien ejerce un derecho de acceso o supresión, prorrogable dos meses más en casos complejos (art. 12.3 RGPD).
- 12 meses
- Duración máxima del procedimiento sancionador de la AEPD; superada, caduca (art. 64.2 LOPDGDD).
Qué hacer en las primeras 72 horas de una brecha
El plazo corre desde que la empresa tiene constancia del incidente, no desde que termina de investigarlo.
Contener sin destruir prueba
Aislar los sistemas afectados y conservar registros de actividad, imágenes de disco y correos. Borrar o reinstalar antes de tiempo impide saber qué datos salieron y dificulta la reclamación al seguro o al responsable.
Fijar la hora de constancia
Dejar por escrito cuándo y cómo se supo que había datos personales comprometidos. Esa hora inicia el cómputo y será lo primero que pregunte la AEPD.
Valorar el riesgo para las personas
Qué categorías de datos, cuántos afectados, si estaban cifrados y qué puede hacer un tercero con ellos. De esta valoración depende si hay que notificar a la Agencia, a los afectados o a nadie.
Notificar con lo que se sabe
La notificación puede hacerse por fases: una inicial dentro de plazo y otra complementaria cuando se conozcan más detalles. Si se supera el plazo, hay que explicar el motivo del retraso.
Avisar a terceros obligados
Clientes para los que actúas como encargado, aseguradora de ciberriesgo, entidades bancarias si hay credenciales de pago y, cuando hay indicios de delito, Policía o Guardia Civil.
Registrar el incidente
Toda brecha se anota en un registro interno con sus hechos, efectos y medidas, se notifique o no. Es obligatorio y es la mejor defensa si después llega una reclamación.
Documentos que pedimos para una auditoría RGPD
Si alguno no existe, ese ya es el primer hallazgo.
- Registro de actividades de tratamiento actualizado
- Cláusulas informativas de web, formularios, contratos y videovigilancia
- Contratos de encargado del tratamiento con proveedores y listado de subencargados
- Análisis de riesgos y evaluaciones de impacto realizadas
- Política de seguridad, control de accesos y copias de respaldo
- Registro de brechas y procedimiento de respuesta a incidentes
- Procedimiento y registro de solicitudes de derechos atendidas
- Designación del delegado de protección de datos y su comunicación a la AEPD, si procede
- Inventario de herramientas que alojan datos fuera del Espacio Económico Europeo
Preguntas frecuentes sobre protección de datos
¿Qué empresas están obligadas a tener delegado de protección de datos?
Las administraciones públicas, las organizaciones cuya actividad principal consiste en observar a personas de forma habitual y sistemática a gran escala, y las que tratan a gran escala datos sensibles como los de salud. Además, el artículo 34 de la LOPDGDD enumera sectores concretos: centros docentes, aseguradoras, entidades de crédito, centros sanitarios, operadores de juego o empresas de seguridad privada, entre otros. El resto puede designarlo de forma voluntaria.
¿Cuánto tiempo hay para notificar una brecha de seguridad a la AEPD?
Setenta y dos horas desde que el responsable tiene constancia de la brecha, según el artículo 33 del RGPD. No hay que notificar si es improbable que la brecha suponga un riesgo para los derechos de las personas, pero esa conclusión debe quedar documentada. Si la notificación llega tarde, debe acompañarse de los motivos del retraso. El encargado del tratamiento, por su parte, debe avisar al responsable sin dilación indebida.
¿Qué multa puede imponer la AEPD a una pyme?
El RGPD no fija tramos por tamaño de empresa. Los topes son 10 millones de euros o el 2 % de la facturación, y 20 millones o el 4 % para las infracciones más graves. Dentro de ellos, la Agencia gradúa según la gravedad, la duración, la intencionalidad, las medidas adoptadas y el volumen de negocio. En casos de menor entidad puede dirigir un apercibimiento con medidas correctivas en lugar de una multa.
¿Se pueden usar proveedores de Estados Unidos cumpliendo el RGPD?
Sí, con garantías. Si el proveedor está adherido al Marco de Privacidad de Datos UE-EE. UU., la transferencia se ampara en la decisión de adecuación adoptada por la Comisión Europea en julio de 2023. Si no lo está, hacen falta cláusulas contractuales tipo y una evaluación de la transferencia. En ambos casos conviene revisar el contrato de encargo, la ubicación de los servidores y los subencargados, y comprobar que la adhesión sigue vigente.
¿Es obligatorio denunciar un ciberataque?
No existe una obligación general de denunciar penalmente, pero sí obligaciones de notificación: a la AEPD si hay datos personales afectados y a las autoridades sectoriales si la empresa es operador de servicios esenciales o entidad financiera. La Directiva europea NIS2 amplía ese círculo a medianas y grandes empresas de sectores críticos. Denunciar es aconsejable en la práctica: las aseguradoras suelen exigirlo y permite reclamar después al autor.
Jurisprudencia de referencia
Resoluciones que marcan cómo se deciden hoy estos asuntos.
STJUE C-634/21, SCHUFA Holding (Scoring) · TJUE (Sala Primera) ·
El scoring crediticio puede ser una decisión automatizada prohibida
Generar automáticamente un valor de probabilidad sobre la solvencia de una persona es una decisión individual automatizada cuando de él depende de forma determinante que un tercero celebre, ejecute o termine un contrato con ella.
Texto oficial en EUR-LexSTJUE C-311/18, Schrems II · TJUE (Gran Sala) ·
Schrems II: anulado el Escudo de Privacidad con Estados Unidos
La Decisión 2016/1250 es inválida. Las cláusulas tipo siguen siendo válidas, pero exportador e importador deben comprobar que el país de destino ofrece una protección sustancialmente equivalente, y suspender la transferencia si no es así.
Texto oficial en EUR-LexSTJUE C-131/12, Google Spain · TJUE (Gran Sala) ·
Google Spain: el buscador responde del tratamiento de datos personales
El gestor de un motor de búsqueda es responsable del tratamiento y queda sujeto al Derecho europeo si tiene una filial publicitaria en un Estado miembro. Debe retirar de los resultados por nombre los enlaces cuando proceda.
Texto oficial en EUR-Lex
Resoluciones reales consultadas en fuentes oficiales. El resumen es propio y no sustituye la lectura del texto íntegro ni el análisis de cada caso.
Análisis relacionados
- Legal Report nº 06Inteligencia artificial y responsabilidad jurídica empresarialQué obligaciones tiene una empresa que usa IA, desde cuándo se aplican tras el aplazamiento de 2026, y cómo responde por datos, contratos y daños.
- Guía prácticaCanal de denuncias: qué empresas están obligadas y cómoQué exige la Ley 2/2023 sobre el canal de denuncias: empresas obligadas desde 50 trabajadores, plazos de respuesta, responsable del sistema y sanciones.
Áreas relacionadas
- Tecnología e innovaciónDigital e inteligencia artificialContratos de software y SaaS, Reglamento europeo de IA, comercio electrónico, marketplaces, licencias y secretos empresariales: qué obliga hoy y qué después.
- Litigación y defensaCompliance e investigacionesModelos de prevención de delitos, canal interno de información, mapas de riesgo, prevención del blanqueo e investigaciones internas que resisten un juicio.
- Litigación y defensaPenal económicoDefensa y acusación en administración desleal, estafa, delitos societarios, insolvencia punible, blanqueo y delito fiscal. Riesgos, penas y primeros pasos.
- Tecnología e innovaciónPropiedad intelectual e industrialRegistro y defensa de marcas, patentes, software y secretos empresariales. Qué protege cada derecho, cuánto dura y qué plazo hay para reclamar.
Cuéntanos tu asunto
Un abogado valorará los antecedentes y si podemos asumir el encargo, previa comprobación de conflictos de intereses. Enviar una solicitud no supone aceptación del encargo ni suspende plazos legales.