Existe una diferencia fundamental entre cumplir el RGPD y poder demostrar que lo cumples. El reglamento no solo establece obligaciones sustantivas —qué debes hacer— sino también una obligación procesal: acreditar que lo haces. A eso se llama principio de responsabilidad activa o, en inglés, accountability.
Es uno de los cambios más relevantes que introdujo el RGPD respecto a la normativa anterior. Antes bastaba con no infringir la ley; ahora hay que probar activamente que se cumple. Y si no puedes probarlo, el regulador puede tratarlo como si no lo cumplieras.
Qué es el principio de responsabilidad activa (accountability)
El principio de responsabilidad activa está recogido en el artículo 5.2 del RGPD, que establece: «El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo.»
Esa segunda parte —»capaz de demostrarlo»— es la clave. No basta con afirmar que tu empresa protege los datos de sus clientes y empleados: necesitas documentación, procedimientos y evidencias que acrediten ese cumplimiento ante la AEPD si fuera necesario.
El accountability opera en dos dimensiones:
→ Externa: la empresa debe poder acreditar ese cumplimiento ante el regulador, los interesados y cualquier tercero legitimado para pedirlo.
→ Interna: la empresa debe implantar medidas y procedimientos que garanticen el cumplimiento en la práctica, no solo sobre el papel.
Por qué el RGPD exige demostrar, no solo cumplir
La lógica detrás de este principio es clara: la privacidad no puede depender de que el regulador detecte una infracción para que la empresa actúe. El RGPD introduce un modelo de autorresponsabilidad: cada organización gestiona el cumplimiento de forma proactiva, continua y documentada.
Esto tiene consecuencias prácticas inmediatas:
- Una empresa que no puede mostrar su Registro de Actividades de Tratamiento (RAT) está incumpliendo, aunque sus tratamientos sean en la práctica conformes con la ley.
- Una empresa que tiene el RAT pero no lo actualiza desde hace dos años también tiene un problema: la responsabilidad activa es continua, no puntual.
- Una empresa que aplica medidas de seguridad pero no las documenta ni evalúa periódicamente no puede demostrar que son «apropiadas al riesgo» como exige el art. 32.
En definitiva: la ausencia de documentación es, en sí misma, una infracción posible, independientemente de si los tratamientos son correctos.
Qué medidas implica la responsabilidad activa en la práctica
El RGPD no da una lista cerrada de lo que debes hacer para cumplir la responsabilidad activa, pero la práctica regulatoria y las guías de la AEPD apuntan a un conjunto de elementos que toda empresa debería tener:
- Registro de Actividades de Tratamiento (RAT): obligatorio para empresas con más de 250 empleados o que traten datos de categoría especial. En la práctica, la AEPD recomienda que todas las empresas lo tengan. Recoge todos los tratamientos de datos, sus finalidades, bases jurídicas, plazos de conservación y medidas de seguridad.
- Política de protección de datos interna: procedimientos documentados para gestionar derechos de los interesados, brechas de seguridad, relaciones con encargados de tratamiento y formación del personal.
- Evaluaciones de Impacto (DPIA/EIPD): obligatorias para tratamientos de alto riesgo. También son la herramienta que documenta el análisis de riesgo realizado.
- Contratos con encargados de tratamiento: cualquier proveedor que acceda a datos personales de tu empresa debe firmar un contrato de encargo conforme al art. 28 RGPD.
- Cláusulas informativas y mecanismos de consentimiento: registrar cuándo, cómo y en qué términos obtuviste el consentimiento de cada interesado.
- Evidencia de formación: actas, certificados o registros que acrediten que el personal ha recibido formación en protección de datos.
Cómo documentar el cumplimiento: lo esencial
La documentación del cumplimiento no necesita ser un documento único ni exhaustivo desde el primer día. Lo importante es que sea sistemática, actualizada y proporcional al tamaño y riesgo de tu empresa.
El mínimo viable para una pyme
- RAT actualizado con todos los tratamientos activos.
- Textos legales web (aviso legal, política de privacidad, política de cookies) vigentes y coherentes con los tratamientos del RAT.
- Contratos de encargo firmados con todos los proveedores que traten datos por cuenta de la empresa.
- Protocolo de gestión de brechas de seguridad (aunque sea básico).
- Registro de solicitudes de derechos recibidas y cómo se han gestionado.
Para empresas con mayor volumen o riesgo
- DPIA para los tratamientos que así lo requieran.
- Política interna de protección de datos.
- Programa de formación periódica con registro de asistencia.
- Auditorías internas o externas periódicas.
¿Tienes toda la documentación que el RGPD exige? Si no estás seguro, nuestro equipo puede hacer una revisión. → Solicita una evaluación con nuestro equipo de asesores legales
La diferencia entre cumplir y poder demostrarlo
Este matiz es importante en la práctica inspectora de la AEPD. Cuando la agencia inicia una investigación —ya sea por denuncia, por una brecha notificada o de oficio— no pregunta «¿cumplís el RGPD?» sino «demostradme que cumplís el RGPD». Si no puedes mostrar la documentación, el punto de partida de la investigación es desfavorable.
Casos reales que ilustran esto:
- Empresas sancionadas no por el tratamiento en sí, sino por no poder acreditar la base jurídica del mismo cuando se lo pidieron.
- Empresas con brechas de seguridad donde la multa fue significativamente mayor por no tener documentado el análisis de riesgo previo ni las medidas técnicas implementadas.
- Empresas que gestionaron correctamente los derechos de un interesado pero no guardaron registro de ello, y después no pudieron demostrar que habían respondido.
La documentación no es burocracia: es la única forma de que tu empresa salga airosa de una inspección o un litigio.
El papel del DPD en la responsabilidad activa
El Delegado de Protección de Datos (DPD) es la figura que el RGPD prevé específicamente para apoyar a la organización en el cumplimiento del principio de responsabilidad activa. Sus funciones incluyen:
- Supervisar el cumplimiento del RGPD y las políticas internas de protección de datos.
- Asignar responsabilidades, concienciar y formar al personal.
- Realizar o supervisar las auditorías y evaluaciones de impacto.
- Cooperar con la AEPD y actuar como punto de contacto.
Tener un DPD activo y documentado es, en sí mismo, una evidencia de responsabilidad activa. Las empresas con DPD acreditado parten de una posición más sólida ante cualquier investigación o reclamación.
En Ubimia Compliance construimos el cumplimiento de nuestros clientes bajo el principio de responsabilidad activa desde el primer día: cada acción queda documentada, cada decisión tiene su justificación, y si llega una inspección, la empresa puede demostrar no solo qué cumple, sino cómo y por qué.
Tanto si el DPD es interno como si es externo, lo que importa es que sus funciones sean reales —no nominales— y que quede constancia documental de su actividad.
El DPD garantiza y documenta tu cumplimiento RGPD de forma continua.
Descubre nuestro servicio → /proteccion-de-datos-para-empresas/