Cumplir con el RGPD no se resuelve firmando un par de documentos y colgándolos en una carpeta. La normativa exige mantener registros actualizados, gestionar brechas de seguridad en plazos muy ajustados, atender solicitudes de derechos de los interesados, revisar contratos con proveedores y realizar evaluaciones de impacto cuando el riesgo lo justifica. Ninguna de esas obligaciones es puntual: todas necesitan continuidad, control y evidencia de que se están cumpliendo. Un software RGPD convierte ese conjunto de obligaciones en algo que se puede revisar, auditar y demostrar.
Hay empresas que llevan años “adaptadas al RGPD” con un documento de 2018, una cláusula en el contrato de trabajo y una política de privacidad en la web. Legalmente, eso no es cumplimiento demostrable. El principio de responsabilidad proactiva del artículo 5.2 del Reglamento obliga a poder acreditar el cumplimiento en cualquier momento, no solo cuando surge un problema. Un software diseñado para eso es la diferencia entre tener los documentos y tener el sistema.
Qué hace exactamente un software de RGPD
Un software de RGPD es una herramienta diseñada para ayudar a las organizaciones a gestionar sus obligaciones de protección de datos de forma sistemática y continua. No es un generador de documentos PDF ni una solución de firma electrónica. Su función es mantener vivo el sistema de cumplimiento: que los registros reflejen la situación actual, que las incidencias se tramiten según los plazos legales, que los contratos con proveedores estén al día y que cualquier cambio en los tratamientos quede documentado.
Las áreas que cubre un software serio responden siempre a las mismas obligaciones concretas del RGPD: el inventario de tratamientos que exige el artículo 30, la gestión de incidencias de seguridad que regula el artículo 33, las evaluaciones de impacto del artículo 35, los procedimientos de atención de derechos de los artículos 15 a 22 y la gestión de los contratos con encargados del tratamiento del artículo 28. Si alguna de esas piezas falta, el software no cubre las obligaciones mínimas.
El Registro de Actividades de Tratamiento: qué debe contener y por qué importa
El artículo 30 del RGPD obliga a los responsables del tratamiento a mantener un registro de las actividades que realizan con datos personales. Es la base de cualquier sistema de cumplimiento. Sin el RAT, la organización no puede demostrar que conoce sus propios tratamientos, y mucho menos que los controla.
Cada actividad de tratamiento en el RAT tiene que recoger quién es el responsable y, en su caso, el corresponsable, qué finalidades persigue el tratamiento, qué categorías de datos personales se tratan, qué categorías de interesados están afectados, a qué destinatarios se comunican los datos, si hay transferencias internacionales y a qué países o qué garantías se aplican, cuánto tiempo se conservan los datos y qué medidas de seguridad se aplican. El RGPD dice que el registro puede mantenerse en formato electrónico. Un software lo convierte en algo navegable, actualizable y exportable para inspecciones.
El error más habitual con el RAT es crearlo una vez y no volver a tocarlo. La realidad de cualquier empresa cambia: se incorporan nuevos sistemas, se cambia de CRM, se incorporan datos de nuevos clientes, se subcontrata un servicio que antes se hacía internamente. Cada uno de esos cambios puede generar un nuevo tratamiento o modificar uno existente. Un software bien configurado tiene alertas y procesos para que esas actualizaciones no se pierdan.
Gestión de brechas de seguridad: el reloj de 72 horas
El artículo 33 del RGPD establece que el responsable del tratamiento debe notificar a la autoridad de control competente cualquier brecha de seguridad que suponga un riesgo para los derechos y libertades de las personas, y debe hacerlo en un plazo de 72 horas desde que tenga conocimiento de ella. Setenta y dos horas es un plazo muy ajustado cuando una organización no tiene un proceso previo para gestionar ese tipo de incidencias.
El proceso que debe activarse ante una brecha tiene varias fases. La primera es la detección: alguien en la organización identifica que ha ocurrido algo, un acceso no autorizado, un correo enviado a quien no debía, un dispositivo perdido con datos, un proveedor que comunica un incidente. La segunda es la valoración: hay que determinar si lo ocurrido constituye una brecha en el sentido del RGPD y, en caso de que sí, evaluar el riesgo que supone para los interesados. La tercera es la decisión: según el nivel de riesgo, la brecha puede requerir notificación a la AEPD, comunicación a los propios interesados o ambas. La cuarta es el registro: aunque la brecha no sea notificable, tiene que quedar documentada en el registro interno de brechas que exige el mismo artículo 33.
Un software de RGPD tiene que incluir ese flujo de gestión. Debe permitir registrar la brecha con todos los datos necesarios (fecha de detección, fecha estimada de ocurrencia, tipo de datos afectados, número estimado de interesados, origen del incidente, medidas adoptadas), generar el borrador de notificación a la AEPD con los campos que exige el artículo 33 y calcular y mostrar el tiempo restante hasta el vencimiento del plazo. Si el software no tiene esa funcionalidad, no cubre una de las obligaciones operativas más críticas del Reglamento.
Análisis de riesgos y cuándo es obligatoria la Evaluación de Impacto
El RGPD introduce el concepto de riesgo como eje del cumplimiento. Las medidas técnicas y organizativas que debe adoptar el responsable no son una lista fija: son las que resultan apropiadas para el nivel de riesgo de cada tratamiento. El software de RGPD tiene que permitir hacer ese análisis tratamiento a tratamiento.
El análisis de riesgos básico evalúa la probabilidad y la gravedad de los riesgos que un tratamiento puede suponer para los derechos y libertades de las personas. Los riesgos típicos que hay que considerar son el acceso no autorizado a los datos, la alteración no autorizada, la pérdida, la destrucción y la divulgación accidental. Para cada uno se valora su probabilidad y su impacto potencial, y esa combinación determina el nivel de riesgo del tratamiento.
Cuando el análisis de riesgos indica que un tratamiento tiene un riesgo alto, entra en juego la Evaluación de Impacto en la Protección de Datos (EIPD), regulada en el artículo 35. La EIPD es obligatoria antes de iniciar tratamientos que puedan entrañar un alto riesgo para los interesados. El artículo 35.3 establece tres casos en los que siempre es necesaria: la evaluación sistemática y exhaustiva de aspectos personales mediante elaboración de perfiles, el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas y delitos, y la observación sistemática a gran escala de zonas de acceso público.
Más allá de esos tres casos concretos, la AEPD publicó una lista de tratamientos que considera de alto riesgo y que, por tanto, siempre requieren EIPD. Entre ellos están los sistemas de geolocalización, los sistemas de vigilancia y control del rendimiento de los trabajadores, los tratamientos de datos biométricos y los sistemas de elaboración de perfiles de clientes con datos de diversas fuentes. Un software de RGPD tiene que incluir un módulo de EIPD que guíe ese proceso y genere la documentación que exige el Reglamento.
Gestión de los derechos de los interesados
Los interesados tienen seis derechos reconocidos en el RGPD: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición. Las siglas habituales en el sector son ARSULIPO. Atender una solicitud de derechos tiene plazos legales: un mes desde la recepción de la solicitud, con posibilidad de ampliar otros dos meses en casos complejos, siempre notificando al interesado dentro del primer mes.
La gestión de solicitudes de derechos sin un sistema de control es uno de los puntos más frecuentes de incumplimiento. La solicitud llega por correo electrónico, se reenvía a quien corresponde y se pierde en la bandeja de entrada. El plazo vence sin que nadie haya respondido. La AEPD recibe la reclamación del interesado y abre un expediente. Ese patrón se repite con regularidad en las resoluciones sancionadoras publicadas.
El módulo de gestión de derechos de un software de RGPD tiene que registrar cada solicitud con la fecha de recepción, asignar la gestión a una persona responsable, calcular y mostrar el plazo límite de respuesta, registrar las acciones tomadas y el resultado, y generar la respuesta al interesado. Algunos sistemas incluyen un formulario web para que los interesados puedan ejercer sus derechos directamente, lo que facilita el registro automático de la solicitud.
Contratos con encargados del tratamiento
El artículo 28 del RGPD obliga al responsable del tratamiento a formalizar un contrato escrito con cada proveedor o colaborador que trate datos personales por su cuenta. El contrato tiene que regular qué datos se tratan, con qué finalidades, durante cuánto tiempo, qué medidas de seguridad aplica el encargado, qué pasa con los datos cuando termina la relación y cómo se gestionan las solicitudes de derechos o las brechas de seguridad que afecten a esos datos.
La lista de encargados del tratamiento de una empresa mediana es más larga de lo que parece. El proveedor de correo electrónico es un encargado. El CRM en la nube también. El software de contabilidad. La empresa de gestión de nóminas. La plataforma de comercio electrónico. El proveedor de hosting. Todos ellos procesan datos personales por cuenta del responsable y necesitan un contrato que cumpla el artículo 28.
Un software de RGPD tiene que incluir un módulo de gestión de encargados del tratamiento que permita registrar cada uno, vincularle los tratamientos en los que interviene, almacenar el contrato firmado o el acuerdo de encargado vigente, registrar las revisiones periódicas y alertar cuando un contrato está pendiente de renovación o cuando un proveedor cambia sus condiciones de servicio. Sin esa visibilidad, es difícil saber en cualquier momento si todos los encargados están cubiertos contractualmente.
Lo que diferencia un software de un servicio
Hay una confusión habitual en el mercado entre comprar una herramienta y contratar un servicio de cumplimiento. El software da la plataforma para gestionar. El servicio incluye a alguien que ayuda a rellenarla, mantenerla actualizada, interpretar la normativa cuando surgen dudas y resolver situaciones que el software no puede anticipar.
Muchas empresas empiezan con el software y descubren que no tienen ni el tiempo ni los conocimientos para mantenerlo al día. El RAT inicial se crea, pero cuando incorporan un nuevo proveedor de herramientas de marketing automation nadie recuerda que hay que añadirlo al registro y firmar un contrato de encargado. La EIPD se hace para el tratamiento que era obligatoria en 2018, pero cuando en 2024 implementan un sistema de scoring de clientes nadie evalúa si ese nuevo tratamiento requiere una nueva evaluación.
Por eso el modelo más habitual en el mercado es software más servicio: accedes a la plataforma y un consultor especializado la supervisa y actualiza contigo. La ventaja frente a un servicio puro sin plataforma es que el cliente tiene visibilidad directa sobre el estado de su cumplimiento y puede acceder a la documentación en cualquier momento sin depender de que el consultor le mande un fichero.
La decisión entre solo herramienta y herramienta con servicio depende del tamaño de la empresa, la complejidad de sus tratamientos y los recursos internos disponibles. Una empresa con una persona dedicada a privacidad y cumplimiento puede gestionar el software con soporte puntual. Una empresa sin esa figura necesita el acompañamiento continuo.
Formación del personal: la obligación que más se omite
El artículo 39 del RGPD señala la formación del personal en materia de protección de datos como una de las funciones del Delegado de Protección de Datos. Pero la formación no es solo una atribución del DPD: es una medida técnica y organizativa que el responsable del tratamiento debe adoptar según el artículo 24. Y es, además, un elemento de prueba en cualquier investigación de la AEPD.
La formación que requiere el RGPD no es una presentación anual de una hora sobre qué es el Reglamento. Es una formación ajustada a las funciones de cada persona: el equipo de ventas tiene que saber qué datos puede recoger y en qué condiciones, el equipo técnico tiene que conocer los requisitos de privacidad por diseño y por defecto, el personal de atención al cliente tiene que saber cómo atender una solicitud de derechos y qué hacer ante un posible incidente de seguridad.
Un software de RGPD que incluya módulo de formación permite registrar qué personas han recibido formación, en qué fecha, sobre qué contenidos y con qué resultado. Esa evidencia es útil cuando la AEPD pregunta si el personal conocía las obligaciones. Sin registro, es imposible acreditar que la formación se impartió.
Revisión anual: el sistema de cumplimiento como proceso vivo
El RGPD no establece una frecuencia de revisión obligatoria para los sistemas de cumplimiento, pero el principio de responsabilidad proactiva implica que la documentación y los procedimientos tienen que reflejar la realidad actual. Una empresa que tiene el RAT actualizado a 2021 y no lo ha tocado desde entonces no puede demostrar que sus tratamientos actuales cumplen el Reglamento.
La revisión anual es el mínimo razonable para la mayoría de las empresas. Ese proceso debe incluir una verificación del RAT completo, la comprobación de que todos los contratos con encargados del tratamiento están firmados y vigentes, la revisión de las evaluaciones de impacto existentes para ver si los tratamientos han cambiado, una actualización de las políticas internas si ha habido cambios en los procesos, y un repaso de la formación para detectar nuevas incorporaciones que necesiten recibirla o personal que no ha renovado la formación en el último año.
Algunos tratamientos requieren revisiones más frecuentes. Los que usan sistemas automatizados de toma de decisiones, los que tratan categorías especiales de datos o los que han tenido incidentes de seguridad durante el año son candidatos a revisiones semestrales. Un software bien configurado puede enviar alertas periódicas para que esas revisiones no dependan de que alguien lo recuerde.
Prepararse para una inspección de la AEPD
Cuando la AEPD inicia una investigación, ya sea por reclamación de un interesado o de oficio, evalúa el sistema de cumplimiento de la organización en su conjunto, no solo el incidente concreto que motivó la apertura del expediente. La pregunta que la autoridad intenta responder no es solo “¿qué pasó?” sino “¿esta organización tenía medidas en marcha para que no pasara?”
La diferencia entre una sanción alta y una advertencia, o entre una multa y un apercibimiento, depende con frecuencia de si la organización puede aportar documentación que acredite que tenía medidas. El artículo 83.2 del RGPD recoge como criterio de graduación de las sanciones las medidas técnicas y organizativas aplicadas y el grado de responsabilidad del responsable teniendo en cuenta esas medidas. Una empresa que aporta el RAT actualizado, los contratos con encargados firmados, el registro de formaciones y el historial de gestión de derechos parte de una posición radicalmente diferente a la de una que solo puede presentar un documento desactualizado.
Un software de RGPD permite exportar en cualquier momento la documentación que la AEPD puede requerir: el RAT completo, el registro de brechas, los contratos de encargados, los registros de solicitudes de derechos atendidas, las actas de formación. Esa capacidad de exportación es uno de los criterios que hay que verificar antes de elegir un software: si la herramienta no permite exportar la documentación en un formato legible por un auditor externo, es un punto débil.
Software multinnormativa: cuando el RGPD no es lo único
La realidad de muchas empresas en 2026 es que la protección de datos ya no es la única normativa que exige un sistema de gestión documentado. El AI Act, que entró en aplicación por fases a partir de agosto de 2024 y cuyas obligaciones más sustanciales están vigentes desde agosto de 2025 y agosto de 2026, exige a las empresas que despliegan o usan sistemas de IA de alto riesgo mantener registros, documentación técnica y procedimientos de supervisión humana. La NIS2, cuya transposición al ordenamiento español está en proceso, exige a sectores críticos mantener sistemas de gestión de seguridad de la información con documentación de riesgos y medidas.
El problema práctico de gestionar varias normativas en plataformas separadas es la duplicidad: el mismo proveedor de software que procesa datos personales y usa IA puede requerir documentación en el módulo de encargados del tratamiento del RGPD, en el inventario de sistemas de IA del AI Act y en el registro de proveedores de la NIS2. Si cada normativa tiene su propia herramienta, la empresa mantiene tres registros sobre el mismo proveedor sin que estén relacionados.
La tendencia del mercado es hacia plataformas que integran la gestión de varias normativas en un único panel. La ventaja es la coherencia: un cambio en los datos de un proveedor se refleja en todos los módulos. El riesgo es la superficialidad: un software que dice cubrir tres normativas pero tiene módulos básicos para cada una puede dejar huecos importantes en normativas que requieren documentación específica.
Señales de que el software que usas no es suficiente
El RAT se generó de forma automática, sin que nadie del equipo analizara los tratamientos reales de la empresa. Es la señal de alerta más común. Muchos proveedores ofrecen un RAT prefabricado según el sector de actividad: “este es el RAT de una consultoría” o “este es el RAT de una clínica dental”. Un RAT que no ha sido construido sobre los tratamientos reales de la organización es, en el mejor de los casos, un punto de partida que luego hay que completar; en el peor, una declaración de tratamientos que no refleja la realidad y que, si la AEPD lo revisa, puede empeorar la situación.
Otra señal: el software no tiene módulo de brechas de seguridad. Sin ese módulo, cuando ocurra un incidente (y antes o después ocurre en todas las organizaciones) el proceso de gestión y notificación tendrá que improvisarse. La improvisación bajo presión, con el reloj de 72 horas en marcha, es exactamente el escenario que genera errores.
Un tercer indicador: no hay ningún sistema de alerta o recordatorio. El cumplimiento del RGPD no es una tarea que se hace y se olvida. Los plazos de las solicitudes de derechos vencen. Los contratos con encargados requieren revisión periódica. Las evaluaciones de impacto pueden necesitar actualización. Si el software no avisa de que algo requiere atención, la responsabilidad de recordarlo recae enteramente en las personas, y las personas tienen muchas otras cosas de las que preocuparse.
Un cuarto síntoma: no se puede exportar la documentación en un formato que pueda presentarse ante la AEPD o un auditor externo. Si el software guarda los datos pero no los hace accesibles fuera de la plataforma, el día que la autoridad pida la documentación el proceso se complica innecesariamente.
Y el quinto: el software no ha tenido ninguna actualización relevante en el último año. La normativa de protección de datos no es estática. Las guías de la AEPD se actualizan. El Comité Europeo de Protección de Datos publica directrices. Las resoluciones sancionadoras establecen criterios interpretativos que afectan a cómo hay que documentar determinados tratamientos. Un software que no evoluciona con la normativa queda rápidamente desfasado.
Cuánto cuesta un software RGPD
El rango de precios en el mercado español va desde los 150 hasta los 600 euros anuales para soluciones orientadas a empresa mediana, aunque los extremos son amplios. Las soluciones más baratas suelen ser herramientas básicas de documentación sin soporte especializado ni actualizaciones normativas incluidas. Las más caras incluyen servicio de consultoría, formación, revisiones periódicas y atención personalizada ante incidencias.
En ese rango hay diferencias importantes de funcionalidad. Un software de 150 euros puede tener un módulo de RAT sin gestión de brechas ni módulo de EIPD. Un software de 600 euros puede incluir todos los módulos pero sin servicio de actualización, lo que significa que si la normativa cambia y el software no se actualiza, el problema de mantenimiento lo asume el cliente.
El coste del software es solo parte del coste real del cumplimiento. Si la herramienta no incluye acompañamiento de un especialista, hay que añadir el tiempo interno del equipo que tiene que aprender a usarla, actualizarla y resolver las dudas que van surgiendo. Para una empresa sin conocimientos de protección de datos, ese tiempo puede ser considerable y difícil de estimar por adelantado.
SIGNA360, la plataforma de gestión de Adapta RGPD, cubre el RGPD, el AI Act y la NIS2 en un único panel. Para empresas con perfiles de riesgo elevado o con varias normativas activas, la tarifa es de 199 €/año. Para empresas de riesgo bajo con un único ámbito normativo, la tarifa es de 79 €/año. En ambos casos el precio incluye acceso a la plataforma y soporte del equipo especializado en las tres normativas.
Cómo evaluar las opciones del mercado
El primer criterio de evaluación no es el precio ni el diseño de la interfaz: es la cobertura funcional. Antes de pedir una demo o solicitar un precio, hay que tener claro qué módulos son obligatorios para las obligaciones de la empresa. Si la empresa trata datos de salud, necesita módulo de EIPD con plantillas específicas para tratamientos de alto riesgo. Si tiene proveedores en países fuera del Espacio Económico Europeo, necesita que el módulo de encargados gestione las garantías de transferencia internacional. Si tiene más de 250 empleados o trata habitualmente datos de categorías especiales, el módulo de formación y el registro de evidencias tienen que ser sólidos.
El segundo criterio es quién actualiza el contenido cuando cambia la normativa. La pregunta hay que hacerla directamente al proveedor: ¿quién se encarga de actualizar las plantillas del RAT, los criterios de riesgo y los textos de las notificaciones cuando la AEPD publica nuevas guías o cuando el CEPD emite directrices? La respuesta define si el software es una herramienta viva o un sistema que envejece solo.
El tercero es qué pasa cuando surge una duda o una incidencia real. Algunos proveedores ofrecen soporte técnico pero no soporte jurídico. Si se detecta una brecha de seguridad un viernes por la tarde y hay dudas sobre si es notificable a la AEPD, el soporte técnico no sirve. La pregunta que hay que hacer es: ¿puedo consultar a un especialista en protección de datos sobre esta situación específica, o solo puedo abrir un ticket para problemas del software?
El cuarto criterio es la portabilidad de los datos. Si en algún momento la empresa decide cambiar de proveedor, ¿puede exportar toda su documentación en un formato estándar que pueda importarse en otra plataforma o que pueda archivarse como documentación histórica? Un proveedor que no garantiza la portabilidad completa de los datos crea una dependencia que puede ser costosa.
Qué preguntar antes de firmar
Antes de contratar cualquier solución, hay preguntas que filtran rápidamente las opciones válidas de las que no lo son. La primera: ¿el software incluye gestión de brechas con flujo de notificación a la AEPD integrado? La segunda: ¿permite registrar y revisar los contratos con encargados del tratamiento con vinculación a los tratamientos del RAT? La tercera: ¿quién actualiza el contenido y la normativa, y con qué frecuencia? La cuarta: ¿qué tipo de soporte está disponible si tengo una duda jurídica o una incidencia, no solo técnica? La quinta: ¿puedo exportar toda la documentación en un formato legible por un auditor externo?
Una pregunta adicional que pocas empresas hacen pero que filtra muy bien: ¿puede el software generar un informe de estado del cumplimiento, con fecha, que indique qué obligaciones están cubiertas y cuáles tienen pendientes? Ese tipo de informe es exactamente lo que sirve de punto de partida en una inspección de la AEPD y lo que demuestra que la empresa tenía el sistema en marcha en un momento dado.
Si quieres ver cómo funciona SIGNA360 antes de decidir, solicita una demo sin compromiso. También puedes consultar los precios completos de nuestra adaptación al RGPD incluyendo el software más el servicio de acompañamiento.
