Software RGPD para su
gestión de la protección de datos

El Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, en inglés GDPR) es el derecho de protección de datos de la Unión Europea. Se aplica directamente desde el 25 de mayo de 2018 en todos los Estados miembros y regula en qué condiciones pueden tratarse datos personales, qué derechos tienen los interesados y qué obligaciones recaen sobre responsables y encargados del tratamiento. En Alemania lo complementa la ley federal de protección de datos (BDSG).

Un sistema de gestión de la protección de datos (DPMS, Data Protection Management System) es el conjunto de normas, procesos, roles y evidencias con los que una organización cumple el RGPD y puede demostrarlo. Abarca el registro de actividades de tratamiento, las bases jurídicas, las medidas técnicas y organizativas, la tramitación de solicitudes e incidentes y la revisión periódica.

Un software RGPD representa los requisitos del reglamento como catálogo y los vincula con aquello a lo que se refieren — actividades de tratamiento, sistemas, categorías de datos, proveedores, personas. Las actividades recurrentes se gestionan como expedientes con flujo de trabajo y plazo, y el registro, el informe EIPD y la documentación de incidentes se generan a partir de los datos en lugar de en tablas.

El Data Protection Kit es el contenido inicial preparado del software DPMS de Complaica: estructura organizativa típica, plantilla de registro según el art. 30, evaluación e informe EIPD y catálogos de amenazas y medidas. Esta página describe las funciones y los procesos del software RGPD; el contenido del kit se presenta en la página del software DPMS.

Diez tipos de expediente con flujo de trabajo propio: actividad de tratamiento (PA), solicitud del interesado (DSR), reclamación (CMP), incidente de protección de datos (DPI), análisis de umbral (TA), evaluación de impacto relativa a la protección de datos (DPIA), evaluación de impacto de la transferencia (TIA), registro de consentimiento (CR), ponderación de intereses legítimos (LIA) y compromiso de confidencialidad (CC). Además, verificación del encargado del tratamiento, incidente de seguridad y lección aprendida.

Según el art. 12.3 RGPD, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Ese plazo puede prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes; hay que informar al interesado de la prórroga y de los motivos de la dilación dentro del primer mes. En Complaica cada solicitud lleva su plazo, y el cuadro de mando muestra qué vence.

Según el art. 33.1 RGPD, el responsable notifica la violación de la seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella — a menos que sea improbable que constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación no tiene lugar en el plazo de 72 horas, debe ir acompañada de la indicación de los motivos de la dilación. Un encargado del tratamiento notifica la violación al responsable sin dilación indebida. Si es probable que entrañe un alto riesgo, según el art. 34 también hay que comunicarla a los interesados sin dilación indebida. Según el art. 33.5 se documenta toda violación.

Según el art. 35 RGPD, cuando es probable que un tratamiento — en particular si utiliza nuevas tecnologías — entrañe un alto riesgo para los derechos y libertades de las personas físicas. El art. 35.3 menciona en particular la evaluación sistemática y exhaustiva de aspectos personales, incluida la elaboración de perfiles, como base de decisiones que produzcan efectos jurídicos, el tratamiento a gran escala de categorías especiales o de datos relativos a condenas e infracciones penales y la observación sistemática a gran escala de una zona de acceso público; las autoridades de control publican listas según el art. 35.4. Si hace falta una EIPD lo aclara en Complaica el análisis de umbral de cada actividad de tratamiento.

El examen de si una transferencia de datos personales a un tercer país es admisible: qué instrumento del capítulo V se aplica — decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes —, si el derecho del país de destino menoscaba la protección y qué medidas complementarias son necesarias. El Tribunal de Justicia de la Unión Europea exigió este examen en la sentencia Schrems II (C-311/18). En Complaica la TIA es un tipo de expediente con fecha de revisión.

Según el art. 7.1 RGPD, el responsable debe ser capaz de demostrar que el interesado consintió. Según el art. 7.3 puede retirarse en cualquier momento, y retirarlo debe ser tan fácil como darlo. Complaica gestiona los consentimientos como expedientes con los estados Activo, Revocado y Caducado, vinculados a la actividad de tratamiento que se apoya en ellos.

El examen de si un tratamiento puede basarse en el interés legítimo según el art. 6.1 f) RGPD: ¿existe un interés legítimo, es el tratamiento necesario para ese fin y no prevalecen los intereses o los derechos fundamentales del interesado? El resultado se documenta — en Complaica como expediente vinculado a la actividad de tratamiento.

Las personas que actúan bajo la autoridad del responsable o del encargado y tienen acceso a datos personales solo pueden tratarlos siguiendo instrucciones (art. 29, art. 32.4); el personal de los encargados del tratamiento debe haberse comprometido a respetar la confidencialidad según el art. 28.3 b). El compromiso de confidencialidad por escrito es la evidencia habitual de ello. Complaica lo gestiona por persona: enviado, firmado, caducado o rechazado, con documento y fecha.

Un concepto de supresión establece cuándo se suprimen qué datos personales y cómo. Las categorías de datos se asignan a reglas de supresión — con momento de inicio y plazo, derivados del fin y de las obligaciones legales de conservación —, y las unidades de supresión describen en qué sistema y con qué granularidad se suprimen los datos. El método lo describe la norma DIN EN ISO/IEC 27555:2025-09, que en septiembre de 2025 sustituyó a la DIN 66398. En el RGPD lo respaldan la limitación del plazo de conservación (art. 5.1 e)), el derecho de supresión (art. 17) y los plazos previstos para la supresión en el registro (art. 30.1 f)).

Según el art. 30 RGPD, todo responsable y todo encargado del tratamiento. El art. 30.5 exceptúa a las empresas y organizaciones que empleen a menos de 250 personas — pero no si el tratamiento que realicen puede entrañar un riesgo para los derechos y libertades de los interesados, no es ocasional o incluye categorías especiales de datos según el art. 9.1 o datos relativos a condenas e infracciones penales según el art. 10. En Complaica el registro se genera como informe a partir de las actividades de tratamiento aprobadas.

La ley federal alemana de protección de datos utiliza las cláusulas de apertura del RGPD. Entre otras cosas, el § 38 BDSG obliga a designar un delegado de protección de datos cuando, por regla general, al menos veinte personas se dedican de forma permanente al tratamiento automatizado de datos personales o se realizan tratamientos sujetos a una evaluación de impacto relativa a la protección de datos. En Complaica la BDSG se evalúa como catálogo de requisitos propio junto al RGPD.

Sí, como servicio adicional. Nuestros expertos en protección de datos asumen el rol según el art. 37 RGPD y el § 38 BDSG — como interlocutor para la autoridad de control, los interesados y la dirección, con Complaica como herramienta de trabajo. Además, asesoramos en análisis de brechas, registro, EIPD, encargo del tratamiento y formación.