Una auditoría de protección de datos es una revisión ordenada de cómo trata tu empresa los datos personales comparada con lo que exigen el RGPD y la LOPDGDD: registro de actividades, contratos con proveedores, web, cámaras, seguridad y atención de derechos. No es obligatoria con carácter general, pero el art. 32 del RGPD sí exige verificar y evaluar con regularidad la eficacia de las medidas de seguridad.
Una auditoría de protección de datos es una revisión de lo que hace tu empresa con los datos personales, comparado con lo que exige la normativa y con lo que dicen tus propios documentos. Su resultado es un informe con lo que está bien, lo que falla y lo que hay que corregir primero. Para una pyme no es una obligación con ese nombre, pero el RGPD sí le pide comprobar de forma periódica que sus medidas funcionan, y una auditoría es la manera más ordenada de hacerlo.
¿Es obligatoria la auditoría de protección de datos?
Con carácter general, no. Ni el RGPD ni la LOPDGDD obligan a una pyme a encargar una auditoría formal cada cierto tiempo, ni fijan una periodicidad.
Lo que sí exige el RGPD es esto:
- Artículo 32.1.d: entre las medidas de seguridad, «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas». Es decir, no basta con poner medidas: tienes que comprobar de vez en cuando que funcionan.
- Artículo 24.1: el responsable aplica medidas para cumplir y poder demostrarlo, y esas medidas se revisarán y actualizarán cuando sea necesario.
- Artículo 28.3.h: el contrato con cada proveedor que trata datos por cuenta tuya (encargado del tratamiento) debe permitirte hacer auditorías e inspecciones, o encargarlas a otro.
- Artículo 39.1.b: si tienes delegado de protección de datos, entre sus funciones está supervisar el cumplimiento, incluidas las auditorías correspondientes.
En resumen: no te obligan a llamarlo auditoría, pero si la AEPD te pregunta cómo compruebas que tus medidas funcionan, «no lo compruebo» es mala respuesta.
Cuándo conviene hacer una
- Nunca te has adaptado, o lo hiciste en 2018 y no has vuelto a mirarlo.
- Ha cambiado mucho tu negocio: más empleados, una tienda online, un programa de gestión en la nube, cámaras nuevas, fichaje con huella.
- Tratas datos sensibles: una clínica, una farmacia, una academia con menores, un gimnasio que registra lesiones.
- Has tenido un susto: una brecha de seguridad, un portátil robado, un correo enviado a quien no debía, una queja de un cliente.
- Te lo pide un cliente grande o una administración antes de contratarte como proveedor.
- Vas a comprar o vender un negocio y quieres saber qué datos y qué riesgos vienen con él.
Qué revisa una auditoría de protección de datos
| Área | Qué se mira | Fallo típico en pymes |
|---|---|---|
| Registro de actividades | Que exista y que coincida con lo que se hace (art. 30 RGPD y art. 31 LOPDGDD) | Hecho hace años, sin la web ni las cámaras |
| Información a las personas | Cláusulas en formularios, fichas, contratos y currículums (arts. 13 y 14 RGPD) | Fichas en papel sin ninguna cláusula |
| Bases legales y consentimientos | Que cada uso tenga su base y que los consentimientos se puedan demostrar | Publicidad por correo a contactos sin permiso |
| Proveedores | Contratos de encargado (art. 28 RGPD) y si hay datos fuera de la UE | Gestoría e informático sin contrato firmado |
| Web | Aviso legal, política de privacidad, cookies y formularios | Analítica que se carga antes de aceptar las cookies |
| Videovigilancia | Cartel, ángulo de las cámaras, plazo de borrado de un mes (art. 22 LOPDGDD) y quién ve las imágenes | Grabaciones de varios meses en el grabador |
| Seguridad | Contraseñas, accesos por persona, copias de seguridad, cifrado de portátiles y móviles, papel bajo llave | Un usuario compartido para todo el personal |
| Derechos | Procedimiento para atender solicitudes en un mes (art. 12.3 RGPD) y registro de las recibidas | Nadie sabe quién contesta ni dónde |
| Brechas | Procedimiento para detectarlas, registrarlas y notificar en 72 horas cuando toque (art. 33 RGPD) | No hay registro de incidentes |
| Personal | Deber de confidencialidad, formación, uso del correo y los dispositivos | Empleados que usan WhatsApp personal con clientes |
Según el caso, también se revisa si hace falta un delegado de protección de datos o una evaluación de impacto.
Cómo es una auditoría por dentro
- Recogida de información: cuestionario y documentos que ya tienes (registro, contratos, textos de la web).
- Entrevista con quien conoce el día a día: recepción, administración, el informático.
- Comprobaciones: la web en vivo, el grabador de las cámaras, cómo se entra al programa de gestión, dónde están las copias.
- Informe con cada hallazgo, su riesgo y la acción para corregirlo, ordenados por prioridad.
- Plan de corrección con responsables y fechas, y una revisión posterior para comprobar que se hizo.
El paso que más se salta es el último. Un informe que se guarda en un cajón no mejora nada; lo que cuenta ante la AEPD es lo que corregiste.
Auditoría interna o externa
Puedes revisarte tú, sobre todo si tu negocio es pequeño: coge la tabla de arriba y repásala con honestidad una vez al año. La ventaja de que lo haga alguien de fuera es que no da nada por supuesto y que conoce los fallos habituales de tu sector. Lo que no tiene sentido es pagar una auditoría que solo mira si existen los documentos sin comprobar si lo que dicen es verdad.
Y una advertencia: desconfía de quien te ofrece una «auditoría obligatoria» con prisas y amenazas de multa. Presionar con sanciones para vender servicios de protección de datos es una práctica agresiva según la propia LOPDGDD, como contamos en protección de datos a coste cero.
Qué hacer esta semana
- Busca tu documentación de protección de datos y mira la fecha. Si es de hace más de un año, ya toca revisarla.
- Pasa tu web por la revisión gratuita: es la parte que más rápido se comprueba.
- Haz una lista de proveedores que ven datos de tus clientes o empleados y marca los que no tienen contrato firmado.
- Si tienes cámaras, comprueba en el grabador cuántos días guarda.
- Comprueba que tienes copia de seguridad y que sabes recuperarla.
Si prefieres que lo miremos nosotros, el diagnóstico gratuito es una primera revisión sin compromiso que te dice en qué punto estás. Para empresas con varios centros, datos sensibles en volumen o que necesitan un informe formal, preparamos un plan A medida con presupuesto; los planes estándar los tienes en precios.
Preguntas frecuentes
¿Es obligatorio hacer una auditoría de protección de datos?
No con carácter general. El RGPD no obliga a una pyme a encargar una auditoría formal, pero su artículo 32 sí exige un proceso para verificar y evaluar con regularidad que las medidas de seguridad funcionan, y el artículo 24 pide revisarlas cuando sea necesario.
¿Cada cuánto hay que revisar la protección de datos?
La ley no fija una periodicidad. Lo razonable es una revisión al año y otra cada vez que cambie algo importante: empleados nuevos, una web o tienda online, cámaras o un proveedor nuevo.
¿Quién puede hacer una auditoría de protección de datos?
La propia empresa, su delegado de protección de datos si lo tiene, o un consultor externo. La normativa no exige una acreditación concreta para revisar el cumplimiento del RGPD en una pyme; lo importante es que quien la haga conozca la norma y compruebe la realidad además de los papeles.
¿Puedo auditar a mis proveedores?
Sí. El artículo 28 del RGPD exige que el contrato con cada encargado del tratamiento te permita hacer auditorías e inspecciones, o encargarlas a otro, y que te dé la información necesaria para demostrar que cumple.
