Cumplir RGPD es demostrarlo: la realidad que nadie cuenta a las asesorías
Lo descubrimos en Accountex 2025 (y no fue cómodo). En noviembre de 2025 tuvimos un espacio como expositores en Accountex. Hablamos con decenas de asesorías. Escuchamos las mismas frases una y otra vez.
- “Sí, RGPD lo tenemos hecho.”
- “Eso lo lleva un proveedor externo.”
- “Nunca hemos tenido ningún problema.”
No sonaba a excusa. Sonaba a tranquilidad. A trabajo ya hecho.
Meses después, tras auditar más de 100 asesorías y empresas, entendimos algo incómodo: esa frase era casi siempre una ilusión peligrosa sobre el cumplimiento RGPD en asesorías.
“Cumplir RGPD no es tener documentación firmada, sino poder demostrar en cualquier momento qué medidas técnicas y organizativas están activas en la empresa.”
El día que el RGPD deja de ser teoría
Hay un momento muy concreto en el que el RGPD deja de ser un documento bonito.
- No es cuando se firma.
- No es cuando se contrata un servicio externo.
Es cuando alguien te pide que lo demuestres.
Y el RGPD es muy claro en esto, aunque casi nadie lo lea así.
Artículo 5.2 RGPD – Responsabilidad proactiva
“El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo.”
No dice “tendrá intención de cumplir”. No dice “habrá contratado a alguien”. Dice: CAPAZ DE DEMOSTRARLO.
Cuando preguntamos en una auditoría RGPD a asesorías o empresas:
- ¿Qué evidencias técnicas tienes hoy?
- ¿Qué registros puedes enseñar?
- ¿Qué controles de seguridad RGPD están activos ahora mismo?
El silencio es habitual. No por mala fe. Por desconocimiento.
“Muchas asesorías creen cumplir RGPD, pero no pueden demostrarlo porque la protección de datos no está integrada en sus sistemas técnicos reales.”
El error no es no cumplir. Es no poder probarlo
En la mayoría de las auditorías que realizamos vimos el mismo patrón:
- Documentación correcta.
- Procedimientos escritos.
- Sensación de estar “cubiertos”.
Pero cuando bajábamos a la operativa real:
- “Antivirus” sin logs ni evidencias.
- Accesos sin doble factor de autenticación.
- Copias sin verificación ni pruebas de restauración.
- Equipos sin control centralizado.
Aquí entra el artículo que más sanciones provoca… y menos se entiende.
Artículo 32 RGPD – Seguridad del tratamiento
“El responsable y el encargado aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.”
No habla de productos concretos. Habla de capacidad real para:
- proteger,
- detectar,
- responder,
- y recuperar.
Y eso solo se demuestra con hechos técnicos, no solo con papeles.
El momento incómodo de muchas reuniones
Empresas solventes. Asesorías con reputación. Equipos comprometidos.
Y aun así, cuando preguntábamos:
“Si mañana hay una brecha, ¿Qué podrías enseñar a la AEPD?”
La respuesta era siempre la misma:
“Tendríamos que pedirlo.”
Ese “tendríamos” es el problema. Porque el RGPD no espera.
La pregunta que lo cambia todo
¿Tu proveedor de protección de datos se ha puesto en contacto con tu equipo técnico?
La reacción suele ser inmediata:
-
- miradas cruzadas,
- duda,
- un “creo que no”,
- o un “eso lo lleva él”.
Y ahí aparece el problema real.
Porque cuando los papeles y documentos RGPD no recogen las medidas técnicas reales, cuando la protección de datos vive aislada del sistema, no se está demostrando el cumplimiento RGPD, aunque haya documentos firmados.
El RGPD no separa lo legal de lo técnico
Esto no es una interpretación. Está literalmente en el Reglamento. Artículo 24 RGPD – Responsabilidad del responsable “El responsable aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento.” Las medidas técnicas RGPD no pueden definirse sin hablar con quien gestiona:
- sistemas,
- accesos,
- copias,
- seguridad,
- continuidad del negocio.
Si el proveedor de protección de datos no conoce:
- cómo se accede a los datos,
- dónde están,
- qué controles existen,
- qué pasa ante un incidente,
entonces la documentación no representa la realidad técnica. Y eso es incumplimiento.
Cuando la protección de datos se queda en papel
En más de 100 auditorías vimos el mismo patrón:
- el proveedor legal por un lado,
- el técnico por otro,
- y la empresa en medio, creyendo que todo encaja.
Pero el RGPD exige coherencia entre lo documentado y lo ejecutado. Artículo 32 RGPD – Cuando la seguridad deja de ser teórica “El responsable y el encargado aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.”
No puedes definir medidas técnicas y organizativas adecuadas:
- sin conocer el firewall,
- sin saber cómo se accede en remoto,
- sin validar las copias,
- sin entender los flujos reales de datos.
Cuando la protección de datos no aterriza en la operativa, no protege. Solo tranquiliza… hasta que deja de hacerlo.
Y si hay proveedores implicados, la exigencia es mayor
Aquí cae otro mito habitual. Artículo 28 RGPD – Encargados del tratamiento El RGPD exige que el responsable controle y supervise que sus encargados aplican medidas adecuadas. Traducido a la realidad empresarial:
- no basta con contratar,
- no basta con firmar,
- hay que coordinar, validar y alinear medidas de seguridad RGPD.
Si nadie ha hablado con el técnico, si nadie ha bajado la normativa al sistema, no hay control efectivo ni demostrable. ¿Tu proveedor de protección de datos ha hablado con tu equipo técnico? Porque revela algo muy concreto:
- que la protección de datos se ha tratado como un trámite,
- que no se ha integrado en el modelo operativo,
- y que, sin saberlo, la empresa asume un riesgo de incumplimiento RGPD que cree cubierto.
Lo que aprendimos tras más de 100 auditorías
Las empresas no incumplen por dejadez. Incumplen porque nadie les explicó que: RGPD no es solo legal o solo técnico. Es legal + técnico + operativo. En YWEN no “implantamos RGPD”. Traducimos normativa a control real, conectando:
- ley,
- tecnología,
- y procesos diarios.
Porque solo así se puede demostrar el cumplimiento RGPD.
La pregunta que lo cambia todo (de verdad)
No es: “¿Tenemos RGPD?” Es: “¿Nuestra documentación refleja exactamente lo que pasa en nuestros sistemas hoy?” Cuando la respuesta es sí, el RGPD deja de ser miedo y se convierte en criterio, control y ventaja profesional.
Conclusión
Cumplir RGPD no es un trámite. Es una responsabilidad viva. Y la realidad que nadie cuenta es esta:
“Quien no puede demostrar cumplimiento RGPD, no está cumpliendo, aunque lleve años creyendo que sí.”
Cumplir RGPD es poder demostrarlo
#RGPD #Asesorías #CumplimientoNormativo #Ciberseguridad #ProtecciónDeDatos #AuditoríaRGPD
