Consultoría RGPD y cumplimiento para empresas de software

Sí, el artículo 3, apartado 2, da al RGPD alcance extraterritorial. Si ofrece bienes o servicios a interesados en la Unión (de pago o gratuitos) o controla su comportamiento (analítica, elaboración de perfiles, retargeting), está dentro del ámbito de aplicación con independencia de dónde estén sus servidores o su sede. Necesitará un representante en la UE del artículo 27, salvo que encaje en la estrecha excepción. Las sanciones del artículo 83, apartado 5, llegan a 20 millones de euros o al 4 % de la facturación anual mundial, si esta cifra es superior. Entregamos el nombramiento del representante del artículo 27, los registros del artículo 30, los contratos de encargado del artículo 28 y la línea base de seguridad del artículo 32 como un paquete integrado y no como cinco líneas de trabajo separadas.

El RoPA del artículo 30 (registro de actividades de tratamiento) es obligatorio para casi todo responsable y encargado — un inventario vivo de cada finalidad de tratamiento, base jurídica del artículo 6, categorías de interesados y de datos, conservación, destinatarios y transferencias. La DPIA del artículo 35 es obligatoria cuando el tratamiento puede entrañar un alto riesgo para los derechos y libertades — categorías especiales a gran escala, observación sistemática, decisiones automatizadas con efectos jurídicos, nueva tecnología. Una TIA (evaluación del impacto de la transferencia) es necesaria conforme a Schrems II siempre que se recurra a las SCC del artículo 46 para transferencias a un tercer país sin decisión de adecuación. Entregamos las tres con un único mapa de datos como fuente de verdad, para que se mantengan sincronizadas y no se desalineen.

Tres vías lícitas conforme al capítulo V (artículos 44–49). Primera, la adecuación del artículo 45 — el Marco de Privacidad de Datos UE-EE. UU. es válido actualmente; si se certifica en él, puede transferir a importadores certificados de EE. UU. sin más medidas. Segunda, las cláusulas contractuales tipo del artículo 46 (las SCC de la UE de 2021, cuatro módulos) combinadas con una evaluación del impacto de la transferencia y medidas complementarias conforme a las Recomendaciones 01/2020 del EDPB — cifrado en tránsito y en reposo con control exclusivo de la clave, tratamiento dividido, obligaciones contractuales de transparencia. Tercera, las excepciones del artículo 49 para situaciones específicas — limitadas, nunca por defecto. Redactamos el paquete de SCC, la TIA, las medidas técnicas complementarias y el aviso de transparencia de cara al cliente como un único conjunto.

El artículo 32, apartado 1, exige medidas técnicas y organizativas adecuadas al riesgo, incluidas (a) la seudonimización y el cifrado, (b) la confidencialidad, integridad, disponibilidad y resiliencia permanentes, (c) la capacidad de restaurar la disponibilidad y el acceso tras un incidente y (d) un proceso de verificación, evaluación y valoración regulares de la eficacia. En la práctica, para SaaS significa cifrado en tránsito (TLS 1.2+ como mínimo, idealmente 1.3), cifrado en reposo (AES-256, claves gestionadas con KMS), MFA para el acceso de administración, RBAC con mínimo privilegio, registro de auditoría con resistencia a manipulaciones, gestión de vulnerabilidades con SLA documentados, pruebas de penetración anuales, un runbook de respuesta a incidentes vinculado al plazo de notificación de violaciones de seguridad de 72 horas del artículo 33 y un BCP/DRP con RTO/RPO medidos. Implementamos y documentamos cada uno de ellos para acreditar el cumplimiento del artículo 32 en una auditoría.

Se solapan en los controles pero difieren en el planteamiento. Los controles del anexo A de ISO 27001 (en especial A.5, A.8, A.18) se corresponden casi 1:1 con el artículo 32 del RGPD. Los Criterios de Servicios de Confianza de SOC 2 CC6 (acceso lógico), CC7 (operaciones del sistema) y la categoría opcional de Privacidad P1–P8 cubren la mayor parte del terreno de los artículos 25 y 32. La gobernanza de datos del artículo 10 del Reglamento de IA de la UE para sistemas de alto riesgo toma directamente de los artículos 5, 25 y 35 del RGPD. Construimos una única biblioteca de evidencias unificada que cubre los cuatro regímenes — el mismo control de cifrado da evidencia de SOC 2 CC6.7, ISO A.8.24, el artículo 32, apartado 1, letra a), del RGPD y el artículo 15 del Reglamento de IA. Usted hace el trabajo una vez; los auditores obtienen lo que cada uno necesita.

Tres proyectos. La evaluación de preparación para el RGPD es una fase de alcance cerrado de dos semanas con el presupuesto acordado antes de empezar el trabajo: confirmación del alcance, RoPA del artículo 30 en su herramienta de mapeo de datos, análisis de brechas frente a los artículos 5, 6, 12–22, 25, 28, 30, 32, 33–34, 35 y 44–49, hoja de ruta de remediación y sesión informativa ejecutiva. El paquete de implementación es una fase de alcance cerrado de seis a ocho semanas, con el presupuesto acordado de antemano: plantilla de DPA para encargados y subencargados, plantilla de DPIA del artículo 35 más una DPIA resuelta, implementación de las medidas técnicas del artículo 32, flujos de derechos de los interesados de los artículos 12–22 en su producto, paquete de SCC y TIA para transferencias de la UE a terceros países, runbook de respuesta a violaciones de seguridad y aviso de privacidad público. El DPO como servicio continuo es una iguala mensual con alcance transparente: renovación trimestral de las evidencias, seguimiento de reguladores (guías del EDPB, ICO, CNIL, BfDI, AEPD y Garante), apoyo en el triaje de DSAR, apoyo ante violaciones de seguridad, revisiones de DPA de proveedores hasta 10 al mes y ensayo anual de auditoría. Los presupuestos se acuerdan por escrito antes de empezar cualquier trabajo — alcance cerrado por fase, sin recargo empresarial.

El artículo 37 exige un DPO para: (a) autoridades y organismos públicos; (b) responsables o encargados cuyas actividades principales consistan en una observación habitual y sistemática de interesados a gran escala; (c) responsables o encargados cuyas actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos (artículo 9) o de datos relativos a condenas e infracciones penales (artículo 10). «A gran escala» no tiene una cifra fija — el EDPB observa los interesados afectados, el volumen, la duración y el alcance geográfico. La mayoría de las empresas de SaaS con menos de unos 100k usuarios de la UE no alcanzan el umbral, pero un DPO voluntario o el equivalente funcional mediante una iguala de DPO como servicio es defendible y reduce el riesgo del artículo 83, apartado 4. Evaluamos el umbral para su perfil de tratamiento concreto en lugar de aplicar una regla general.

El consentimiento del artículo 7 debe ser libre, específico, informado e inequívoco — un opt-in, no un opt-out. El consentimiento es la base adecuada solo cuando el interesado tiene una elección genuina y granular sin desequilibrio de poder. Las relaciones laborales y la mayoría de los casos de uso de software B2B deben usar el artículo 6, apartado 1, letra b) (contrato) o el artículo 6, apartado 1, letra f) (interés legítimo), no el consentimiento — porque si la retirada detiene el servicio, la elección nunca fue libre. La elaboración de perfiles de marketing y las cookies no esenciales siguen siendo los casos de uso canónicos del consentimiento. Depender en exceso del consentimiento crea fragilidad operativa: cada retirada activa obligaciones de supresión o exclusión en cada sistema que conserva los datos.

Sí. Las direcciones de correo electrónico de empresa (nombre.apellido@empresa.com), los teléfonos de trabajo y los cargos son datos personales conforme al artículo 4, apartado 1, con independencia del contexto B2B. El interés legítimo del artículo 6, apartado 1, letra f), suele ser la base adecuada para la prospección B2B y el marketing basado en cuentas, siempre que se supere la prueba de ponderación. Documentamos la evaluación del interés legítimo (LIA), conectamos el mecanismo de oposición del artículo 21 y construimos la lista de supresión que garantiza que las oposiciones se respeten en todo su CRM y su stack de marketing, no solo en un sistema.

El artículo 12 da un plazo de respuesta de un mes, prorrogable dos meses más en solicitudes complejas. El pipeline de cuatro pasos: recibir y validar la identidad (el artículo 12, apartado 6, permite comprobaciones proporcionadas), localizar los datos en cada sistema del RoPA del artículo 30, compilar y ocultar los datos de terceros (eliminar datos de terceros que revelarían información de otros) y responder. Los modos de fallo son incumplir el plazo, revelar demasiado y revelar demasiado poco — todos abren reclamaciones ante la autoridad de control. Construimos el pipeline de DSAR en su producto, definimos SLA por tipo de solicitud y establecemos la política de ocultación de datos de terceros antes de que llegue la primera solicitud.

El artículo 28, apartado 2, exige la autorización escrita del responsable antes de que un encargado recurra a un subencargado — ya sea una aprobación previa específica (lista nominal) o una autorización general por escrito con un plazo de oposición para nuevas incorporaciones. El artículo 28, apartado 4, exige contratos de encargado a subencargado con idénticas obligaciones del artículo 28, apartado 3. El encargado sigue respondiendo plenamente ante el responsable si el subencargado incumple. En la práctica: mantener una lista actualizada de subencargados (Stripe, AWS, SendGrid, Intercom y otros), actualizar el aviso de cara al cliente en cada cambio, dar a los clientes el plazo de oposición y mantener una matriz que relacione qué subencargado toca qué categoría de datos. Lo construimos como un flujo operativo repetible, no como un documento puntual.