La respuesta corta es: para muchas empresas, sí. La respuesta completa es algo más matizada. El RGPD no usa la palabra «auditoría», pero el principio de responsabilidad activa que establece convierte la revisión periódica del cumplimiento en una exigencia práctica. Y la LOPDGDD sí introduce una auditoría bienal explícita para ciertos supuestos.
La auditoría en el RGPD: ¿requisito legal directo?
El RGPD no exige una «auditoría» como trámite formal. Lo que sí exige, y de forma muy clara, es que el responsable del tratamiento pueda demostrar en cualquier momento que cumple con todos sus principios. Esto es el principio de responsabilidad activa o accountability (artículo 5.2 RGPD).
Sin un proceso de revisión periódica del cumplimiento, es prácticamente imposible demostrar esa responsabilidad activa. Por eso, aunque el RGPD no use la palabra «auditoría», la exige de facto.
Adicionalmente, el artículo 32 del RGPD, sobre seguridad del tratamiento, establece que el responsable debe aplicar «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas». Eso es, en esencia, una auditoría.
La auditoría bienal LOPDGDD: para quién aplica
El artículo 28.6 de la LOPDGDD establece que los responsables y encargados del tratamiento que realicen tratamientos de alto riesgo deben someterse a una auditoría al menos cada dos años.
¿Qué se considera tratamiento de alto riesgo? Los artículos 35 del RGPD y 28 de la LOPDGDD señalan varios supuestos:
- Tratamientos que impliquen evaluación sistemática y exhaustiva de aspectos personales (perfilado, scoring).
- Tratamiento a gran escala de categorías especiales de datos (salud, biometría, datos sobre condena penal).
- Observación sistemática a gran escala de una zona de acceso público (videovigilancia extensiva).
- Tratamientos que utilicen nuevas tecnologías y presenten riesgo alto para los derechos y libertades.
Una pyme que trata datos de empleados, clientes y proveedores de forma estándar, sin tratamientos de alto riesgo, no tiene esta obligación bienal formal. Pero sí tiene la obligación de responsabilidad activa, que prácticamente exige lo mismo.
Sectores con mayor obligación práctica
Hay sectores donde la auditoría periódica es especialmente importante por la naturaleza de los datos que tratan:
- Empresas de seguridad privada: videovigilancia, datos biométricos.
- Sector sanitario: datos de salud (categoría especial), obligaciones específicas de seguridad y confidencialidad.
- Recursos humanos y empresas con muchos empleados: tratamiento habitual de datos sensibles (salud, sindical, económico).
- Tecnología y SaaS: tratamiento de datos de usuarios a gran escala, perfil como encargado del tratamiento para clientes.
- Servicios financieros: datos económicos, scoring, evaluación de solvencia.
- Educación: datos de menores, especialmente protegidos.
Cuándo es prácticamente obligatoria aunque no seas de alto riesgo
Si tu empresa está obligada a la auditoría bienal y no la realiza, está cometiendo una infracción directa del artículo 28.6 de la LOPDGDD. Las consecuencias pueden ser:
- Sanción de la AEPD: las infracciones de obligaciones formales pueden considerarse graves, con multas de hasta 10 millones de euros o el 2% del volumen de negocio global.
- Imposibilidad de demostrar responsabilidad activa ante una inspección o reclamación.
- Mayor exposición ante brechas de seguridad no detectadas a tiempo.
Pero más allá de las sanciones formales, el riesgo real es no saber qué está pasando con los datos hasta que el problema es demasiado grande. La auditoría no es un coste, es la herramienta de control básica de cualquier empresa que trate datos personales de forma habitual.
¿Cuándo deberías hacer la tuya?
La respuesta práctica: si nunca has hecho una, ahora.
Si ya tienes una en marcha, el ciclo recomendado es:
- Auditoría extraordinaria: ante cambios significativos, brechas o inspecciones.
- Auditoría inicial completa al adaptar la empresa al RGPD o al montar un nuevo servicio/producto.
- Revisión anual ligera: actualización del RAT, revisión de nuevos tratamientos, comprobación de contratos.
- Auditoría completa bienal: revisión exhaustiva de todo el sistema de cumplimiento.
Proceso completo de una auditoría paso a paso: Cómo realizar una auditoría de protección de datos