Abogados de protección de datos y RGPD

Cuándo necesitas un abogado de protección de datos

Si eres empresa o profesional:

• Vas a lanzar una web, una app o una tienda online y necesitas aviso legal, política de privacidad y cookies; puedes empezar con nuestra gestión de textos legales RGPD.
• Has sufrido una brecha: un ransomware, un correo enviado a quien no debía, un portátil robado o un acceso indebido.
• Has recibido un requerimiento o el inicio de un procedimiento sancionador de la AEPD.
• Tratas datos de salud, de menores, biométricos o haces perfiles a gran escala y no sabes si necesitas delegado o evaluación de impacto.
• Quieres instalar cámaras o controlar el uso de dispositivos por parte de tus trabajadores.

Si eres particular:

• Una empresa no responde cuando pides acceso, rectificación o supresión de tus datos.
• Te incluyeron en un fichero de morosos por una deuda que no debes; aquí entra nuestra gestión de salida de ficheros de morosos.
• Recibes llamadas o correos comerciales que nunca autorizaste.
• Tus datos se han filtrado o se han usado para pedir préstamos a tu nombre.

Qué podemos conseguir

Para empresas, el objetivo es cumplir sin burocracia innecesaria y poder demostrarlo:

• Registro de actividades de tratamiento, análisis de riesgos y, cuando proceda, evaluación de impacto.
• Contratos de encargado del tratamiento con todos los proveedores que acceden a datos: hosting, software en la nube, asesoría o marketing.
• Cookies con consentimiento previo y un botón de rechazo tan fácil como el de aceptar.
• Delegado de protección de datos externo cuando es obligatorio o conveniente.
• Protocolo de brechas y defensa en procedimientos sancionadores, buscando el archivo o la reducción de la sanción.

Para particulares, el objetivo es que se respeten tus derechos y se repare el daño:

• Que la empresa atienda tu derecho o que la AEPD le ordene hacerlo.
• Tu salida de ficheros de morosos cuando la inclusión no cumple los requisitos legales.
• La desindexación de resultados en buscadores mediante el derecho al olvido.
• Una indemnización por daños materiales e inmateriales ante los tribunales civiles, porque la AEPD sanciona pero no indemniza.

Cómo trabajamos, paso a paso

1. Diagnóstico. Revisamos tu web, formularios, contratos con proveedores y tratamientos internos. Puedes hacer una primera comprobación con nuestro simulador de cumplimiento RGPD y derechos.
2. Plan de adaptación. Priorizamos lo que más sanciona la AEPD y lo que más riesgo tiene en tu actividad.
3. Documentación. Redactamos registro, cláusulas informativas, contratos de encargado, políticas internas y protocolos de brechas y de ejercicio de derechos.
4. Implantación. Configuramos contigo los avisos de la web y formamos al personal que trata datos.
5. Mantenimiento. Como delegado externo o con cuota periódica, atendemos consultas, solicitudes de derechos y cambios en la actividad.
6. Defensa. Si llega un requerimiento o un procedimiento de la AEPD, preparamos las alegaciones y las pruebas de cumplimiento.

En reclamaciones de particulares, primero enviamos la solicitud a la empresa por un medio que deje constancia, después reclamamos ante la AEPD si no responde en plazo y, si hubo daño, valoramos la demanda de indemnización.

Plazos y normativa clave

Las normas básicas son el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales, junto con la Ley 34/2002 de servicios de la sociedad de la información para cookies y comunicaciones comerciales.

• 72 horas para notificar una brecha a la AEPD desde que la conoces, salvo que sea improbable que suponga un riesgo. Si el riesgo es alto, hay que comunicarla también a los afectados.
• Un mes para responder a una solicitud de derechos, ampliable dos meses más si se justifica.
• Delegado de protección de datos obligatorio en los casos del artículo 37 del RGPD y del artículo 34 de la LOPDGDD, como centros sanitarios, centros educativos, entidades financieras o empresas de publicidad que hacen perfiles.
• Menores de 14 años: necesitan el consentimiento de sus padres o tutores.
• Ficheros de morosos: solo deudas ciertas, vencidas y exigibles, con requerimiento previo de pago.

Brechas de seguridad: qué hacer en las primeras horas

1. Contén el incidente: aísla equipos, cambia credenciales y conserva registros y evidencias.
2. Evalúa el riesgo: qué datos, cuántas personas, si estaban cifrados y qué consecuencias puede tener.
3. Notifica a la AEPD en 72 horas si hay riesgo. Si te falta información, notifica con lo que tengas y complétalo después.
4. Comunica a los afectados si el riesgo es alto, con lenguaje claro y recomendaciones concretas.
5. Documenta todo en el registro de brechas, también las que no notificas.

Notificar tarde es mejor que no notificar, pero hay que explicar los motivos del retraso. Y no borres ni formatees equipos antes de hacer una copia de las evidencias: las necesitarás para demostrar qué pasó, para la aseguradora y, en su caso, para la denuncia.

Si el incidente es un ciberataque, puede haber además obligaciones de notificación propias de la Directiva NIS2 y conviene denunciar; lo coordinamos con ciberseguridad y NIS2.

Documentación y honorarios

• Dirección de tu web y capturas de formularios y banner de cookies.
• Listado de proveedores con acceso a datos y contratos firmados con ellos.
• Descripción de los tratamientos: clientes, empleados, candidatos, videovigilancia, marketing.
• Requerimientos o comunicaciones de la AEPD, con su fecha de notificación.
• Si eres particular: tu solicitud a la empresa, su respuesta si la hay y pruebas del daño sufrido.

La primera consulta es gratuita. Para empresas trabajamos con un presupuesto cerrado por escrito para la adaptación inicial y, si lo deseas, una cuota periódica de mantenimiento o de delegado externo. Para particulares, te indicamos desde el principio el coste de cada fase y, en demandas de indemnización, podemos pactar una parte de los honorarios ligada al resultado.

Errores frecuentes en protección de datos

• Copiar la política de privacidad de otra web sin adaptarla a lo que realmente haces con los datos.
• Banner de cookies sin opción de rechazo o con cookies que se instalan antes de aceptar, una de las causas de sanción más habituales; revísalo junto con los textos de e-commerce y plataformas.
• No firmar contratos de encargado con proveedores de software, hosting o asesoría.
• Ocultar una brecha esperando que nadie se entere. La falta de notificación es una infracción en sí misma.
• Grabar a trabajadores sin informarles previamente de forma expresa, clara y concisa.
• Gestionar el canal de denuncias sin garantías de confidencialidad; lo vemos con canal de denuncias.
• Usar IA con datos personales sin revisar la base jurídica ni el proveedor; lo coordinamos con inteligencia artificial.

¿Te ha llegado algo de la AEPD o han vulnerado tus datos? Escríbenos y te respondemos con los plazos que corren.