3 despachos con esta área de práctica en el directorio.
Si su empresa trata datos de clientes o empleados, ha recibido una reclamación o un requerimiento, o acaba de sufrir una brecha de seguridad, el trabajo se reparte en dos frentes muy distintos: el preventivo, que se hace antes, y la defensa cuando ya hay expediente. Aquí encontrará qué exige tener ordenado el tratamiento, cómo se decide si hace falta delegado, qué hacer ante una brecha y los despachos especializados de su provincia.
La protección de datos regula qué puede hacerse con la información de personas identificadas o identificables. En España conviven dos normas que hay que leer juntas: el Reglamento europeo, que fija el régimen general, y la ley orgánica española, que lo adapta y completa. El área tiene dos caras muy distintas: la preventiva —contratos, informaciones, registros y medidas— y la defensiva, cuando llega una reclamación o un procedimiento sancionador, donde las cuantías son altas y los plazos, propios.
Despachos especializados
Cuando alguien te necesita, decide en los primeros segundos
Quien busca abogado ahora mismo no está comparando con calma: está en un apuro y elige a quien ve primero. Destacar tu despacho pone tu ficha arriba del todo en tu especialidad y ciudad, justo en el momento en que esa decisión se toma — más llamadas y más clientes reales, no solo más visitas.
Destacar no sustituye tu colegiación verificada — es visibilidad extra sobre una confianza que tu ficha ya tiene. Siempre marcada como contenido patrocinado, nunca mezclada con el orden natural.
La ley orgánica declara su propio objeto en el primer artículo: adaptar el ordenamiento español al Reglamento (UE) 2016/679 y completar sus disposiciones, y garantizar los derechos digitales de la ciudadanía conforme al mandato del artículo 18.4 de la Constitución, que es donde el derecho fundamental tiene su asiento. Por eso ninguna de las dos normas se entiende sola.
En el plano de las obligaciones, responsables y encargados deben determinar las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme, valorando en particular si procede la evaluación de impacto y la consulta previa. Deben mantener el registro de actividades de tratamiento, que puede organizarse en torno a conjuntos estructurados de datos y ha de especificar las actividades llevadas a cabo. Y deben designar delegado de protección de datos en los supuestos del Reglamento y, en todo caso, en una lista de entidades que la ley enumera expresamente: colegios profesionales y sus consejos generales, centros docentes de cualquier nivel y universidades públicas y privadas, entidades que exploten redes y presten servicios de comunicaciones electrónicas cuando traten datos a gran escala de forma habitual y sistemática, y otras.
En el plano de los derechos, la ley permite cumplir el deber de información por capas: facilitar al afectado una información básica —identidad del responsable, finalidad del tratamiento y posibilidad de ejercer sus derechos— indicándole una dirección electrónica u otro medio para acceder de forma sencilla e inmediata al resto. Los derechos pueden ejercerse directamente o por representante, el responsable debe informar de los medios disponibles, esos medios han de ser fácilmente accesibles, y el ejercicio no puede denegarse por el solo motivo de que el afectado haya optado por otro medio.
Cuándo necesitas un abogado de protección de datos
Su empresa trata datos de clientes o empleados y necesita ordenar registro, contratos e informaciones.
Duda de si está obligada a nombrar delegado de protección de datos.
Ha recibido una reclamación de un afectado o un requerimiento de la autoridad de control.
Le han abierto un procedimiento sancionador y quiere saber a qué se expone y qué ha prescrito.
Ha sufrido una brecha de seguridad y hay que decidir qué comunicar y a quién.
Le han denegado o ignorado el ejercicio de sus derechos de acceso, supresión u oposición.
Cómo funciona el proceso
Inventario y registro de actividades. Antes de redactar nada se levanta qué datos se tratan, para qué y con qué base. El registro de actividades de tratamiento es obligatorio y es también el documento que primero se pide en una inspección.
Bases de licitud y consentimiento bien pedido. El consentimiento es manifestación libre, específica, informada e inequívoca mediante declaración o clara acción afirmativa. Si se busca amparar varias finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas.
Información al afectado, y por capas si conviene. Cabe dar la información básica —responsable, finalidad y posibilidad de ejercer derechos— remitiendo por medio electrónico al resto. Lo que no cabe es dar menos de esa base.
Medidas, evaluación de impacto y delegado. Se determinan las medidas técnicas y organizativas apropiadas, se valora si procede evaluación de impacto y consulta previa, y se comprueba si la entidad está en los supuestos que obligan a designar delegado.
Atender los derechos y, si llega, el expediente. Los medios para ejercer los derechos deben ser fácilmente accesibles y no puede denegarse el ejercicio por haber elegido otro medio. Si se abre expediente, lo primero es situar la infracción en su categoría y mirar el reloj.
Plazos
Aquí hay dos relojes que se confunden a menudo y no son el mismo. El primero es la prescripción de las infracciones: las muy graves prescriben a los tres años, las graves a los dos y las leves al año, y la propia ley lo dice al definir cada categoría. El segundo es la prescripción de las sanciones ya impuestas, que no depende de la gravedad sino del importe: un año las de cuantía igual o inferior a 40.000 euros, dos años las comprendidas entre 40.001 y 300.000, y tres años las superiores a 300.000; ese plazo empieza a contarse desde el día siguiente a que la resolución sea ejecutable o haya transcurrido el plazo para recurrirla, y se interrumpe por la iniciación del procedimiento de ejecución con conocimiento del interesado. Una infracción prescrita y una sanción prescrita son cosas distintas y se alegan en momentos distintos.
Hay dos gastos que conviene no confundir. El de cumplimiento es previsible y se contrata como proyecto o como iguala: registro de actividades, contratos con encargados, información a los interesados y, cuando procede, delegado de protección de datos. El de defensa aparece de golpe, con una reclamación o un requerimiento, y concentra mucho trabajo en pocos días. Invertir en el primero abarata el segundo, porque casi todo lo que se pide después es documentación que debía existir de antes. Ante una brecha de seguridad el reloj corre desde que se conoce: pregunta si tu asesoría cubre la respuesta urgente o si se factura como actuación aparte.
Los importes son orientativos y varían según el caso, la complejidad y el despacho. No constituyen una tarifa ni una oferta.
Documentación necesaria
Registro de actividades de tratamiento
Políticas de privacidad y textos informativos publicados
Contratos de encargo de tratamiento con proveedores
Evaluación de impacto, si la actividad la exigía
Documentación de la brecha: qué pasó, cuándo se detectó y qué se hizo
Requerimiento o reclamación recibida, con su fecha
Normativa aplicable
Constitución Española (se abre en una pestaña nueva), art. 18 Garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen, y en su apartado 4 ordena que la ley limite el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. Es el asiento constitucional al que remite la ley orgánica.
Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (se abre en una pestaña nueva), art. 6 El consentimiento es toda manifestación de voluntad libre, específica, informada e inequívoca por la que el afectado acepta el tratamiento mediante declaración o clara acción afirmativa; para varias finalidades debe constar de manera específica e inequívoca que se otorga para todas ellas, y no puede supeditarse la ejecución del contrato a que se consienta el tratamiento para finalidades ajenas a él.
Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (se abre en una pestaña nueva), art. 13 Sobre el derecho de acceso: cuando el responsable trate una gran cantidad de datos y el afectado no especifique el alcance de su solicitud, podrá pedirle que concrete los datos o actividades a los que se refiere; y el derecho se entiende otorgado si se facilita un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a su totalidad.
Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (se abre en una pestaña nueva), art. 34 Obliga a designar delegado de protección de datos en los supuestos del Reglamento y, en todo caso, en las entidades que enumera: colegios profesionales y sus consejos generales, centros docentes de cualquier nivel y universidades públicas y privadas, y entidades que exploten redes y presten servicios de comunicaciones electrónicas cuando traten habitual y sistemáticamente datos a gran escala, entre otras.
¿Tengo obligación de nombrar delegado de protección de datos?
Depende de la entidad. Además de los supuestos del Reglamento, la ley obliga en todo caso a una lista concreta: colegios profesionales y sus consejos generales, centros docentes de cualquier nivel y universidades, entidades de comunicaciones electrónicas que traten datos a gran escala de forma habitual y sistemática, y otras que enumera.
¿Vale un consentimiento genérico para todo?
No. Cuando se quieren amparar varias finalidades debe constar de manera específica e inequívoca que el consentimiento se otorga para todas ellas. Y no puede supeditarse la ejecución de un contrato a que se consienta el tratamiento para finalidades ajenas a él.
¿Puedo informar por capas en un formulario?
Sí. Cabe dar la información básica —identidad del responsable, finalidad y posibilidad de ejercer los derechos— indicando una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata al resto.
Me han impuesto una sanción antigua. ¿Ha prescrito?
Depende del importe, no de la gravedad: prescribe al año si es de 40.000 euros o menos, a los dos años entre 40.001 y 300.000, y a los tres si supera los 300.000. Se cuenta desde el día siguiente a que la resolución sea ejecutable o venza el plazo para recurrirla.
¿Pueden negarme el acceso porque lo pedí por un canal que no era el suyo?
No. La ley dice que el responsable debe informar de los medios disponibles, que han de ser fácilmente accesibles, y que el ejercicio del derecho no podrá ser denegado por el solo motivo de que el afectado haya optado por otro medio.
Términos de protección de datos explicados
Palabras que aparecen en esta página y que conviene tener claras antes de una primera consulta.
Lo que más caro sale en protección de datos, y por qué.
Confundir la prescripción de la infracción con la de la sanción. La infracción prescribe por su gravedad —tres, dos o un año— y la sanción ya impuesta por su importe. Son dos relojes distintos y se alegan en momentos distintos.
Tener el registro de actividades sin mantenerlo. El registro es obligatorio y vivo: si hay delegado designado, hay que comunicarle cualquier adición, modificación o exclusión. Un registro congelado es peor que uno inexistente, porque documenta lo que ya no se hace.
Poner obstáculos al ejercicio de derechos. Los medios deben ser fácilmente accesibles y no cabe denegar por el canal elegido. Obstaculizar el ejercicio de derechos es además una de las infracciones graves que la ley enumera.
Copiar textos legales de otra empresa. La información y el consentimiento tienen que corresponder a las finalidades reales del tratamiento. Un texto heredado suele describir tratamientos que no se hacen y omitir los que sí.
Qué no es
Confusiones que salen caras en protección de datos: qué las distingue y qué cambia según cuál sea tu caso.
≠Ser responsable del tratamiento y ser encargado
El responsable decide para qué y cómo se tratan los datos; el encargado los trata por cuenta de aquél. De esa posición dependen las obligaciones, las responsabilidades y hasta el contrato que hay que firmar entre ambos. Es lo primero que pregunta la autoridad y lo que más veces está mal definido.
≠El consentimiento y el interés legítimo
No todo tratamiento necesita consentimiento: la ley prevé otras bases, y elegir la correcta condiciona los derechos del interesado y la forma de documentarlo. Pedir consentimiento donde no procedía es tan defectuoso como no pedirlo donde sí, y además obliga a rehacer la información entregada.
≠El derecho de acceso y el de supresión
El acceso permite saber qué datos se tratan y con qué finalidad; la supresión pide eliminarlos, y no siempre procede, porque hay conservaciones obligatorias. Responder a un derecho con lo que corresponde a otro es motivo de reclamación por sí solo, aunque la intención fuera colaborar.
≠Tener delegado de protección de datos porque toca y por decisión propia
En determinados supuestos la designación es obligatoria y hay que comunicarla; en el resto es voluntaria, pero una vez designado se le aplican las mismas garantías de independencia. Nombrar a alguien de forma informal, sin ese estatuto, deja la figura sin efecto.
Casos típicos
Situaciones habituales y el camino que suelen seguir. Describen un itinerario general, no lo que va a pasar en tu caso.
Sufre una brecha de seguridad. Se abren obligaciones con plazos muy cortos y decisiones que no son sólo técnicas. Lo que agrava la mayoría de los expedientes no es la brecha sino cómo se gestionó después.
Recibe una reclamación de un afectado. La respuesta se prepara con el rastro documental del tratamiento: qué se recogió, con qué base y qué se informó. Sin esa documentación la defensa parte muy por detrás.
Duda de si necesita delegado de protección de datos. No depende del tamaño de la empresa sino de la actividad y del tipo de tratamiento. Conviene resolverlo por escrito y conservar el análisis que llevó a la conclusión.
Le abren un procedimiento sancionador. Lo primero es acotar el alcance real de lo que se investiga y reunir la documentación previa. Improvisar la respuesta suele ampliar el objeto del expediente.
La primera consulta
Qué llevar
El registro de actividades de tratamiento.
Las políticas y textos informativos publicados.
El requerimiento o la reclamación recibida.
Los contratos con proveedores que traten datos.
Qué te preguntarán
Qué datos trata y con qué finalidad.
Cómo obtiene y documenta el consentimiento.
Si tiene delegado de protección de datos.
Qué ocurrió exactamente si hubo brecha.
Qué deberías preguntar tú
Estoy obligado a nombrar delegado.
Qué plazo tengo para responder.
Debo notificar la brecha y a quién.
Qué documentación me falta.
Cómo elegir abogado de protección de datos
Criterios para decidir. Este portal no recomienda despachos concretos: los del listado están ordenados al azar en cada visita.
Que trabaje lo preventivo y también la defensa
Son dos oficios distintos. Si sólo hace documentación, cuando llegue el expediente habrá que empezar de cero con otro despacho.
Que revise el tratamiento real, no sólo los textos
La política de privacidad describe lo que se hace; si no coincide con la realidad, el documento acusa en vez de proteger.
Que tenga protocolo para brechas
El incidente se gestiona en horas. Interesa quien ya tenga previsto qué hacer, a quién avisar y qué documentar.
Que sepa tratar con la autoridad de control
La forma de contestar un requerimiento condiciona el resto del expediente. La experiencia previa en esa relación se nota.
Que entienda el sector en el que trabajas
Sanidad, educación, seguros o recursos humanos tienen tratamientos y riesgos propios. El asesoramiento genérico deja fuera lo que más importa.
Justicia gratuita
En protección de datos hay dos caminos y no se cubren igual, así que conviene saber en cuál estás antes de contar con la justicia gratuita. La reclamación ante la autoridad de control es vía administrativa, y la asistencia jurídica gratuita alcanza la vía administrativa previa sólo cuando así lo establece la legislación específica; además, ahí no son preceptivos abogado ni procurador, de modo que ese primer tramo puedes hacerlo tú. El otro camino es el judicial —la tutela de derechos fundamentales o la reclamación de una indemnización por el daño sufrido—, y ahí la ley se aplica con normalidad a todo tipo de procesos judiciales, incluidos los recursos de amparo constitucional, lo que en esta materia no es un detalle menor. El reconocimiento del derecho exige carecer de patrimonio suficiente y no superar unos umbrales de ingresos brutos anuales por unidad familiar, fijados en múltiplos del IPREM vigente el día de la solicitud y no en euros. Reconocido, cubre el asesoramiento y la orientación previos al proceso, la defensa y la representación y la exención del pago de tasas y de los depósitos necesarios para interponer recursos.
Dónde se pide. En el servicio de orientación jurídica del Colegio de Abogados del lugar donde esté el juzgado o tribunal que ha de conocer del asunto, o en el juzgado de su domicilio, que dará traslado al colegio competente. Si su reclamación sigue ante la autoridad de control, pregunte allí qué parte queda cubierta antes de encargar nada.
