Protección de datos para empresas en Barcelona
En Cataluña hay dos autoridades de protección de datos. Saber cuál te vigila es el primer paso para cumplir.
RGPD y LOPDGDD para empresas de Barcelona, Badalona y Sant Adrià, también cuando trabajan para la Administración catalana.
AEPD o Autoritat Catalana: depende de para quién trabajes
Casi todas las empresas barcelonesas dan por hecho que su único interlocutor en materia de datos personales es la Agencia Española de Protección de Datos. Para la mayoría es así. Pero Cataluña tiene su propia autoridad de control, la Autoritat Catalana de Protecció de Dades (APDCAT), con sede en el carrer del Rosselló, 214, y su ámbito no se limita a la Administración.
La Llei 32/2010 le encarga supervisar los tratamientos de la Generalitat, de los ayuntamientos y consejos comarcales, de sus organismos y consorcios, de las universidades del sistema universitario catalán y de los colegios profesionales que actúan solo en Cataluña. Y, en determinados casos, también los de empresas privadas. Muchas sociedades lo descubren al recibir un requerimiento de la Autoritat.
Cuándo una empresa privada responde ante la Autoritat Catalana
El artículo 3 de la Llei 32/2010 recoge varios supuestos. Estos son los que más afectan a sociedades mercantiles.
Sociedades participadas por lo público
Empresas cuyo capital pertenece mayoritariamente a la Generalitat o a un ente local, que se financian sobre todo con sus fondos o cuyo consejo nombran mayoritariamente ellos.
Gestoras de servicios públicos
La empresa que gestiona un servicio público catalán, de forma directa o indirecta, por los tratamientos ligados a ese servicio. El resto de su actividad sigue bajo la AEPD.
Funciones públicas encomendadas
Quien ejerce funciones públicas en materias de competencia catalana o local, respecto de los datos que trata para ejercerlas en Cataluña.
Todo lo demás
Tu web, tu CRM, tus clientes privados y tus campañas comerciales dependen de la Agencia Española, aunque tu domicilio esté en el Eixample.
Una misma empresa, dos reguladores
Piensa en una sociedad de Badalona que gestiona por concesión unas instalaciones deportivas municipales y además vende servicios a gimnasios privados. Los datos de los abonados del polideportivo municipal se tratan para prestar un servicio público, así que los supervisa la APDCAT. Su base de clientes privados, sus correos comerciales y sus cámaras de seguridad en la sede de la empresa, la AEPD.
Eso tiene consecuencias prácticas. El registro de actividades de tratamiento tiene que separar ambos mundos. Una brecha de seguridad que afecte a los abonados se notifica a la Autoritat, y una que afecte al CRM, a la Agencia. Y conviene revisar si, en el servicio público, la empresa actúa como responsable o como encargada por cuenta del ayuntamiento, porque eso cambia quién decide y quién responde.
Además, la Ley 9/2017 de Contratos del Sector Público exige que, cuando el contratista vaya a tratar datos por cuenta de la Administración, la empresa adjudicataria declare antes de formalizar el contrato dónde estarán sus servidores y desde dónde prestará los servicios asociados (artículo 122.2), y que comunique cualquier cambio posterior. Es un detalle que se pasa por alto en muchas licitaciones del Ayuntamiento de Barcelona, del Área Metropolitana o de la Generalitat.
Si tu empresa trabaja para la Administración catalana, revisemos qué datos tratas y para quién
El cumplimiento de base, para cualquier empresa
Trabajes o no con lo público, la base es la misma: saber qué datos personales tratas, con qué legitimación y quién accede a ellos. A partir de ahí preparamos el registro de actividades, los contratos con encargados del artículo 28 del RGPD (el software de gestión, la asesoría, la agencia de marketing), los textos de la web y un protocolo para decidir en 72 horas si una brecha se notifica y a quién.
Lo enfocamos desde el Derecho Mercantil, porque muchos riesgos nacen en los contratos. Si vas a comprar o vender una empresa, la base de clientes es un activo que se revisa en la compraventa de empresas en Barcelona, y si cierras acuerdos con proveedores, la cláusula de datos va dentro de los contratos mercantiles, no en un anexo olvidado. Para negocios digitales tienes la visión general en abogado RGPD para negocios digitales.
Cómo lo ordenamos contigo
Mapa de tratamientos
Una entrevista con quien conoce cada área, distinguiendo lo que haces para clientes privados de lo que haces para la Administración.
Documentos y contratos
Registro de actividades, contratos con encargados, cláusulas para pliegos y textos legales, redactados para tu actividad real.
Seguimiento
Una pauta para atender derechos y brechas, y una revisión cuando ganes un nuevo contrato público.
Dudas sobre protección de datos en Barcelona
¿Es lo mismo una consultoría de protección de datos que un abogado?
No siempre. Una consultoría suele centrarse en la documentación. Nosotros revisamos además la base jurídica de cada tratamiento y los contratos con terceros, y te defendemos si llega un expediente.
Trabajo para un ayuntamiento. ¿A quién notifico una brecha?
Si afecta a datos que tratas para prestar ese servicio público, en principio a la Autoritat Catalana de Protecció de Dades, o al ayuntamiento si actúas como su encargado y así lo prevé el contrato. Conviene tenerlo resuelto antes de que ocurra.
¿Atendéis empresas de Badalona, Sant Adrià de Besòs o L'Hospitalet?
Sí. Trabajamos en remoto con empresas de toda el área metropolitana desde nuestra sede en Madrid, y nos desplazamos cuando una reunión o una inspección lo requiere.
¿Sanciona igual la Autoritat a una empresa privada que a un ayuntamiento?
No. La LOPDGDD prevé para las administraciones públicas un régimen propio, normalmente con apercibimiento. Una empresa privada que entra en el ámbito de la Autoritat queda sujeta al régimen sancionador ordinario del RGPD.
Mercedes Batanero, abogada mercantilista
Asesoro en protección de datos a empresas a las que también llevo contratos y operaciones societarias. Con las de Barcelona trabajo a distancia y en el idioma que prefiera su equipo.
Me interesa que el cumplimiento encaje con cómo trabaja la empresa, no un dosier que solo se abre cuando llega una inspección.
Colegiada ICAM 138229.