La mayoría de las empresas tiene la sensación de que cumple con la Ley de Protección de Datos. En algún momento pusieron en marcha «algo» relacionado con el RGPD: redactaron unos documentos, añadieron una política de privacidad a la web y, en el mejor de los casos, contrataron algún servicio de adaptación.
Pero si preguntas al gerente: «¿Qué ocurriría si la AEPD inspeccionara tu empresa mañana?», la respuesta suele ser un silencio incómodo.
La diferencia entre cumplir y creer que cumples es más habitual de lo que parece. Y las consecuencias de confundirlas pueden ser muy concretas: sanciones económicas, reclamaciones de clientes o empleados y una exposición que pudo evitarse.
En este artículo encontrarás una forma práctica de comprobarlo: un checklist de 12 puntos que te dará una imagen real del estado de cumplimiento de tu empresa.
Las señales de que tu empresa podría no estar cumpliendo el RGPD
Antes de entrar en el checklist, hay señales del día a día que suelen pasar desapercibidas pero que indican que el cumplimiento tiene lagunas.
Conviene prestar atención si…
- No tienes claro qué datos personales trata exactamente tu empresa ni con qué finalidad en cada caso.
- La política de privacidad de tu web lleva tiempo sin actualizarse, o no sabes cuándo fue la última revisión.
- Utilizas herramientas de marketing, CRM o gestión en la nube sin haber firmado contratos de encargado de tratamiento con esos proveedores.
- El equipo no ha recibido formación en protección de datos, o la recibió hace años y nunca se actualizó.
- No tienes claro qué hacer si un cliente o empleado te pide que borres sus datos.
- No existe ningún protocolo documentado para actuar si hay una brecha de seguridad.
- Has incorporado nuevas herramientas, abierto nuevos canales o ampliado el equipo sin revisar si el sistema de protección de datos sigue al día.
Si te has reconocido en dos o más de estos puntos, el checklist que sigue te va a resultar muy útil.
Checklist de cumplimiento RGPD para tu empresa: 12 puntos clave
Revisa cada punto y evalúa si está cubierto, si está pendiente o si directamente no sabes cuál es la situación. Ese último caso —«no lo sé»— tiene tanto valor como el «no», porque indica un área sin control.
| Punto de control | Sí | Parcial / No lo sé | No |
| 1. Tengo identificados todos los tipos de datos personales que trata la empresa (clientes, empleados, proveedores…) | □ | □ | □ |
| 2. Existe un Registro de Actividades de Tratamiento (RAT) actualizado | □ | □ | □ |
| 3. Todos los tratamientos tienen una base legal definida (consentimiento, contrato, interés legítimo u obligación legal) | □ | □ | □ |
| 4. Los formularios, contratos y comunicaciones incluyen la información requerida por el RGPD | □ | □ | □ |
| 5. La política de privacidad de la web está actualizada y refleja lo que realmente hacemos con los datos | □ | □ | □ |
| 6. Tenemos contratos de encargado de tratamiento firmados con los proveedores que acceden a datos personales | □ | □ | □ |
| 7. El equipo sabe cómo actuar si recibe una solicitud de derechos (acceso, rectificación, supresión, oposición…) | □ | □ | □ |
| 8. Existe un protocolo documentado para gestionar una brecha de seguridad (incluyendo notificación a la AEPD en 72h) | □ | □ | □ |
| 9. Las medidas de seguridad técnicas y organizativas están implantadas y revisadas periódicamente | □ | □ | □ |
| 10. Los plazos de conservación de datos están definidos y se respetan en la práctica | □ | □ | □ |
| 11. Si la empresa está obligada a tener un DPD, ese rol está cubierto por un profesional certificado | □ | □ | □ |
| 12. El sistema de protección de datos se revisa cuando hay cambios en la empresa (nuevas herramientas, procesos o canales) | □ | □ | □ |
Cómo interpretar tu resultado
No es cuestión de ponerse paranoico, pero los riesgos están ahí:
- 10-12 síes: Tu empresa tiene una base sólida. Conviene hacer una revisión periódica para mantenerla al día conforme evoluciona el negocio.
- 6-9 síes: Hay brechas concretas que resolver. El riesgo existe aunque no sea inmediato. Es el momento de actuar antes de que aparezca un problema.
- Menos de 6 síes o muchos «no sé»: Tu empresa está expuesta. Actuar ahora es mucho más sencillo que reaccionar tras una sanción o una reclamación.
Si has marcado tres o más puntos sin cubrir, tu empresa tiene riesgo real. Nuestros especialistas pueden revisar tu situación sin compromiso. → Ver el servicio de protección de datos para empresas
Si encuentras fallos: los riesgos reales que debes conocer
El riesgo más inmediato: una reclamación ante la AEPD
Cualquier persona —cliente, empleado o proveedor— puede presentar una reclamación ante la Agencia Española de Protección de Datos si considera que sus datos no están siendo tratados correctamente. No hace falta un incidente grave: puede ser un email mal gestionado, una solicitud de derechos que no se atendió en plazo o un formulario web con información incompleta.
Cuando la AEPD recibe una reclamación, abre un procedimiento de investigación. Si detecta incumplimientos, puede imponer sanciones que en el caso de infracciones graves alcanzan los 10 millones de euros o el 2% de la facturación global anual.
Los errores más frecuentes que llevan a sanciones
La mayoría de las sanciones en España no provienen de grandes escándalos, sino de fallos operativos concretos: videovigilancia instalada sin informar correctamente a los empleados, envío de comunicaciones comerciales sin base legal, ausencia de respuesta a solicitudes de derechos o falta de contratos con encargados de tratamiento.
Puedes ver un análisis detallado en nuestro artículo sobre los errores en protección de datos más frecuentes y en el resumen de las sanciones por incumplir el RGPD.
El riesgo menos visible: la desactualización
Muchas empresas cumplían correctamente hace dos o tres años. El problema es que desde entonces han incorporado nuevas herramientas, abierto nuevos canales de captación o ampliado el equipo, y el sistema de protección de datos no ha evolucionado con ellos.
El RGPD no es un trámite que se hace una vez. Es un sistema vivo que debe actualizarse cada vez que cambia algo relevante en la empresa. Si se pregunta cuándo fue la última revisión completa y la respuesta es «hace más de un año», probablemente haya cosas que actualizar.
Si quieres saber con más detalle en qué consiste ese proceso, puedes consultar nuestro artículo sobre si la auditoría de protección de datos es obligatoria para tu empresa.
El siguiente paso: cómo resolver las brechas que has encontrado
Si el checklist ha mostrado áreas sin cubrir, el camino más eficiente no es intentar resolver cada punto de forma aislada. Es hacer una revisión estructurada del cumplimiento que identifique qué está bien, qué falta y qué tiene prioridad.
Qué implica esa revisión
Un análisis de cumplimiento no es una auditoría de varios meses ni un proceso burocrático. Es una revisión sistemática que permite saber el punto de partida real de la empresa y construir a partir de ahí un plan concreto.
En la práctica, cubre:
- El inventario de datos y tratamientos actuales
- La revisión de las bases legales aplicadas a cada tratamiento
- El estado de la documentación: RAT, contratos con encargados, textos legales y formularios
- Las medidas de seguridad técnicas y organizativas
- Los protocolos ante incidencias y solicitudes de derechos
- La formación del equipo
Por qué tiene sentido contar con un DPD externalizado
Para la mayoría de pymes, mantener el cumplimiento de protección de datos de forma interna es complejo y consume tiempo que el equipo no tiene. No porque sea imposible, sino porque requiere un conocimiento técnico-jurídico específico y una actualización constante ante cambios normativos.
Externalizar este servicio significa que un Delegado de Protección de Datos certificado asume la responsabilidad de que la empresa esté siempre al día: revisando, actualizando y respondiendo cuando surgen incidencias, brechas o reclamaciones.
Si quieres ver en detalle cómo funciona el proceso de cumplimiento completo, puedes consultarlo en nuestra guía para cumplir el RGPD en tu empresa.
Si el checklist ha mostrado tres o más puntos sin cubrir, lo más recomendable es no esperar. Una revisión ahora es mucho más sencilla, y mucho menos costosa, que una actuación forzada tras una sanción o una reclamación ante la AEPD.