¿Mi Empresa Cumple con el RGPD?

Cómo Usar el Test de Autoevaluación RGPD

Paso 1: Registro de Actividades de Tratamiento

El Registro es un documento donde identificas todos los tratamientos de datos que realizas: clientes, empleados, proveedores, newsletter... Para cada uno debes indicar: finalidad, base legal, categorías de datos, destinatarios, plazos y medidas de seguridad. Es obligatorio si tienes +250 empleados o si tus tratamientos habituales incluyen datos sensibles.

Paso 2: Consentimiento expreso e informado

No puedes usar datos sin base legal. Si tu base es el CONSENTIMIENTO, debe ser: LIBRE (sin presión), ESPECÍFICO (para cada finalidad), INFORMADO (explicas qué harás) e INEQUÍVOCO (acción afirmativa clara, no vale el silencio). Las casillas premarcadas están prohibidas. Debe poder retirarse fácilmente.

Paso 3: Política de Privacidad completa

Debes informar ANTES de recoger datos sobre: identidad del responsable, finalidad del tratamiento, base legal (consentimiento, contrato, interés legítimo...), destinatarios de los datos, plazo de conservación, derechos ARCO-POL, derecho a reclamar ante AEPD, DPO si existe y transferencias internacionales si las hay.

Paso 4: Medidas de seguridad

TÉCNICAS: cifrado, copias de seguridad, antivirus, firewall, contraseñas robustas, control de accesos, logs de actividad. ORGANIZATIVAS: formación del personal, contratos de confidencialidad, control de entradas/salidas, destrucción segura de documentos, política de seguridad documentada.

Paso 5: Derechos ARCO-POL

Debes atender en 1 MES: Acceso (saber qué datos tienes), Rectificación (corregir errores), Cancelación/Supresión (borrar datos), Oposición (dejar de tratarlos), Portabilidad (recibir en formato electrónico), Olvido (borrar de internet), Limitación (suspender temporalmente). Si no respondes o lo haces mal, pueden denunciarte a la AEPD.

Paso 6: Contratos de Encargado

Si un tercero trata datos por tu cuenta (hosting, gestoría, CRM, email marketing, software RRHH...), debes firmar un CONTRATO DE ENCARGADO DE TRATAMIENTO que regule: instrucciones, seguridad, confidencialidad, subencargados, ayuda en derechos, devolución/destrucción de datos. Sin este contrato, ambos sois responsables de sanciones.

Paso 7: Protocolo de brechas

Si hay filtración, pérdida, robo o acceso no autorizado a datos, debes notificar a la AEPD en 72 HORAS. Si hay alto riesgo para los afectados, también debes informarles a ellos. Tienes que documentar todas las brechas aunque no las notifiques. Fundamental tener un protocolo de actuación preparado ANTES de que ocurra.

Paso 8: Delegado de Protección de Datos

Es OBLIGATORIO designar DPO si: eres administración pública, realizas monitorización sistemática y a gran escala (ej: videovigilancia extensiva, geolocalización), tratas a gran escala datos sensibles (salud, biométricos, penales, orientación sexual, religión). Puede ser interno o externo. Debes comunicarlo a la AEPD.

Interpretación de los Resultados

Puntuación 0-5 puntos (CUMPLIMIENTO ALTO): Tu empresa tiene un buen nivel de cumplimiento RGPD. Has implementado las medidas esenciales. Recomendamos auditoría anual para mantener el cumplimiento y adaptarte a cambios normativos.

Puntuación 6-14 puntos (CUMPLIMIENTO MEDIO - RIESGO): Tienes carencias significativas que te exponen a sanciones. Debes corregir urgentemente: falta de documentación, consentimientos deficientes, medidas de seguridad insuficientes o ausencia de procedimientos obligatorios. Riesgo de sanción: 10.000-600.000€.

Puntuación 15-24 puntos (INCUMPLIMIENTO GRAVE - ALTO RIESGO): Tu empresa NO cumple el RGPD en aspectos fundamentales. Exposición máxima a sanciones: hasta 20 millones € o 4% facturación anual global. Necesitas URGENTE adaptación completa: registro, políticas, medidas de seguridad, procedimientos, contratos. La AEPD puede inspeccionar en cualquier momento.

Ejemplo Práctico

Limitaciones Importantes a Considerar

Sanciones económicas muy elevadas: La AEPD puede sancionar hasta 20 millones de euros o el 4% de la facturación anual global (se aplica la mayor). En 2025 la multa media fue 85.000€. Las sanciones más comunes: ausencia de legitimación (150.000€), medidas de seguridad insuficientes (100.000€), no atender derechos (60.000€).

Inspecciones y denuncias: La AEPD puede inspeccionar sin previo aviso. Cualquier empleado descontento, cliente o competidor puede denunciarte. En 2025 se abrieron 14.000 expedientes sancionadores. El 70% se originaron por denuncias de particulares.

Responsabilidad proactiva: No basta con cumplir, debes DEMOSTRAR que cumples. Si la AEPD te requiere documentación y no puedes acreditar el cumplimiento (registro, análisis de riesgos, formación...), se presume el incumplimiento y se invierte la carga de la prueba.

Cumplimiento continuo: El RGPD no es un trámite único. Debes revisar y actualizar periódicamente: cuando cambies tratamientos, cuando cambies proveedores, cuando haya cambios normativos, tras brechas de seguridad. Recomendamos auditoría anual.