Antes del RGPD, el modelo europeo de protección de datos era reactivo. Las empresas se inscribían en los registros de las autoridades nacionales, notificaban sus ficheros y cumplían una serie de obligaciones formales. La responsabilidad se verificaba cuando surgían problemas.

El RGPD invirtió esa lógica. El artículo 5.2 establece que el responsable del tratamiento será responsable del cumplimiento de los principios del Reglamento y capaz de demostrarlo. Esa última frase es la clave: no basta con cumplir, hay que poder acreditar el cumplimiento. Es lo que se conoce como principio de accountability o responsabilidad proactiva.

No es un principio declarativo. Es una obligación operativa que implica diseñar procesos, mantener documentación y poder responder ante la autoridad de control con evidencias concretas, no con declaraciones genéricas.

Qué medidas concretas constituyen el accountability

El RGPD no lista de forma exhaustiva qué hay que hacer para cumplir el principio de responsabilidad proactiva. Pero a lo largo del Reglamento, y especialmente en los artículos 24, 25, 30, 35 y 37 a 39, establece un conjunto de medidas que en su conjunto constituyen el sistema de cumplimiento que la autoridad espera encontrar.

El registro de actividades de tratamiento del artículo 30 es el mapa de todo lo que hace la organización con datos personales. Sin él, la organización no puede demostrar que conoce sus propios tratamientos, y mucho menos que los controla.

Las políticas internas de protección de datos son el conjunto de normas que gobiernan cómo se tratan los datos dentro de la organización: quién puede acceder a qué datos, cómo se gestiona una brecha de seguridad, qué hacer ante una solicitud de derechos, cómo se evalúa la privacidad en nuevos proyectos.

La formación del personal es otra medida que el RGPD menciona explícitamente en el artículo 39 como función del DPO. El personal que trata datos personales debe conocer las obligaciones básicas del Reglamento y las políticas internas de la organización. Sin formación documentada, no hay accountability real.

Los contratos con encargados del tratamiento del artículo 28 son la evidencia de que la organización controla cómo sus proveedores tratan los datos que les confía. Sin contratos firmados, no hay control demostrable.

Las evaluaciones de impacto del artículo 35 documentan que la organización analiza los riesgos de sus tratamientos más sensibles antes de ponerlos en marcha y adopta medidas para mitigarlos.

Los procedimientos de gestión de derechos y de brechas de seguridad demuestran que la organización sabe cómo responder cuando las cosas se complican: cuando un interesado ejerce su derecho de supresión, cuando se detecta una brecha que hay que notificar a la AEPD en 72 horas.

Cómo lo verifica la AEPD

Cuando la AEPD inicia una actuación de investigación, ya sea de oficio o por reclamación de un interesado, lo que evalúa no es solo el incidente concreto que motivó la investigación sino el sistema de cumplimiento de la organización en su conjunto.

La diferencia entre una sanción alta y una baja, o entre una sanción y un apercibimiento, frecuentemente depende de si la organización puede demostrar que tenía medidas en marcha. Una empresa que tiene el RAT actualizado, los contratos con encargados firmados, las políticas internas documentadas y la formación del personal registrada parte de una posición muy distinta ante la AEPD que una que solo puede presentar un documento de adaptación firmado años atrás y sin actualizar.

El artículo 83 del RGPD establece como criterio de graduación de las sanciones el grado de cooperación con la autoridad de control y las medidas adoptadas para paliar los daños sufridos por los interesados. Pero también el nivel de responsabilidad del responsable, teniendo en cuenta las medidas técnicas y organizativas aplicadas. Las organizaciones con sistemas de cumplimiento documentados y operativos demuestran un nivel de responsabilidad que las autoridades consideran en la graduación de la sanción.

El error más frecuente: confundir el documento con el sistema

La mayoría de las empresas españolas que dicen estar adaptadas al RGPD tienen un conjunto de documentos: política de privacidad, cláusulas informativas, registro de actividades. Eso es necesario pero no suficiente para la responsabilidad proactiva.

El principio de accountability exige que esos documentos reflejen la realidad actual de los tratamientos, que las políticas internas se apliquen efectivamente y se actualicen cuando cambian los procesos, que el personal conozca y siga esas políticas, que los contratos con encargados existan y estén firmados (no solo redactados), y que los procedimientos de gestión de incidencias se activen cuando son necesarios.

Un documento de adaptación elaborado en 2018 y no tocado desde entonces no es un sistema de cumplimiento. Es un registro histórico de lo que la empresa pretendía hacer hace ocho años.

Responsabilidad proactiva y el ciclo de revisión

El RGPD no establece una frecuencia de revisión obligatoria para los sistemas de cumplimiento, pero el principio de accountability implica que la documentación y los procedimientos deben reflejar la realidad actual. Eso significa revisar el RAT cuando se incorporan nuevos tratamientos, actualizar los contratos con encargados cuando cambian los proveedores o sus condiciones de servicio, revisar las evaluaciones de impacto cuando cambian significativamente los sistemas o los riesgos, y actualizar la formación del personal cuando hay cambios normativos relevantes.

La revisión anual es una práctica mínima razonable. Las organizaciones que tratan volúmenes altos de datos o datos especialmente sensibles deben hacer revisiones más frecuentes.

En Adapta RGPD construimos el sistema de cumplimiento completo que exige el principio de accountability: RAT actualizado, contratos con encargados, políticas internas, procedimientos de gestión de derechos y brechas, y formación documentada del equipo, con seguimiento continuo desde 119€/año.

La entrada Responsabilidad proactiva en el RGPD: qué obliga el principio de accountability y cómo demostrarlo ante la AEPD se publicó primero en Adaptación RGPD.