RGPD y DPO externalizado

Auditoría de conformidad RGPD y plan de adecuación

Levantamos la distancia entre lo que usted hace y lo que el reglamento exige, y después la traducimos en un plan fechado y jerarquizado. El detalle del perímetro y de los entregables figura más abajo.

DPO externalizado y seguimiento continuado

Ejercemos la función de delegado de protección de datos por su cuenta, sobre la base de un contrato de servicios. Funciones, ritmo y modalidades de designación: véase también más abajo.

Registro de actividades, políticas y cláusulas informativas

El registro del artículo 30 no es una tabla que se rellena una vez: es el documento que la CNIL pide en primer lugar en una inspección, y el que debe reflejar sus tratamientos reales el día de esa inspección. Lo construimos con sus equipos de negocio y después redactamos lo que de él se deriva — cláusulas informativas de los artículos 13 y 14, política de privacidad, política de conservación, procedimiento de atención a las solicitudes de derechos, procedimiento de notificación de violaciones. Formamos también a las personas que tendrán que utilizarlo: un registro que nadie sabe actualizar queda obsoleto en seis meses.

Contratos digitales: encargo, alojamiento, SaaS

Cada proveedor que toca sus datos exige un contrato de encargo conforme al artículo 28 §3. A ello se añaden, cuando los servidores o el soporte salen de la Unión, las garantías del capítulo V — cláusulas contractuales tipo de la Comisión y evaluación de impacto de la transferencia. Auditamos sus contratos de proveedores existentes, redactamos los que usted impone a sus propios clientes y negociamos los anexos que los grandes editores presentan como no negociables — lo son más a menudo de lo que se cree. Este trabajo enlaza con el que llevamos sobre sus condiciones generales y sus contratos de prestación, y, para el propio activo de software, sobre la protección de su código y de sus bases de datos.

La auditoría de conformidad RGPD: perímetro, duración, entregables

Ninguna norma impone una auditoría. Lo que el reglamento impone es el artículo 5 §2: usted debe estar en condiciones de demostrar su cumplimiento. La auditoría es el camino más corto para lograrlo — y el único que produce una prueba fechada si la CNIL le interroga.

Nuestra auditoría cubre ocho bloques: el mapa de los tratamientos, la base jurídica de cada uno (art. 6), los plazos de conservación, la información a los interesados (arts. 13 y 14), el ejercicio de los derechos (arts. 15 a 22), la seguridad (art. 32), la cadena de encargados (art. 28) y las transferencias fuera de la Unión (capítulo V). A ello se añade la revisión del sitio web: los rastreadores y el consentimiento se rigen por el artículo 82 de la loi Informatique et Libertés (ley francesa de protección de datos), distinto del RGPD y a menudo el punto más visible desde fuera.

Se desarrolla en tres tiempos: entrevistas con los responsables de negocio — comercial, recursos humanos, informática, marketing —, revisión documental y técnica, y después la entrega de resultados. Usted se lleva el registro de actividades cumplimentado, la lista de desviaciones jerarquizadas por riesgo y no por orden alfabético, el plan de acción fechado con un responsable por acción y las plantillas documentales que desplegar.

El DPO externalizado: funciones, ritmo, designación

El artículo 37 §6 lo prevé expresamente: el delegado puede ser un miembro de la plantilla o desempeñar sus funciones «sobre la base de un contrato de servicios». La externalización no es, por tanto, un arreglo tolerado, sino una modalidad inscrita en el texto.

Sus funciones las fija el artículo 39: informar y asesorar, supervisar el cumplimiento del reglamento, ofrecer asesoramiento sobre la evaluación de impacto (art. 35), cooperar con la CNIL y actuar como punto de contacto. El artículo 38 §3 protege ese ejercicio: el delegado no recibe ninguna instrucción sobre sus funciones, no puede ser sancionado por haberlas ejercido y rinde cuentas al más alto nivel de la dirección.

En concreto, la misión toma la forma de una reunión periódica, de una vigilancia sobre las decisiones de la CNIL y del Comité Europeo, de la atención a las solicitudes de derechos que van llegando, de la conducción de las evaluaciones de impacto cuando un nuevo tratamiento lo justifica, y de una disponibilidad útil el día en que un incidente activa el plazo de 72 horas. Una vez designado, el delegado debe publicarse y comunicarse a la CNIL (art. 37 §7).

Por qué un abogado y no un consultor

Dos razones, ambas jurídicas y verificables.

El secreto profesional. Las consultas dirigidas por un abogado a su cliente y la correspondencia intercambiada con él están amparadas por el artículo 66-5 de la loi n.º 71-1130, de 31 de diciembre de 1971 (ley francesa que rige la profesión de abogado), cuya vulneración se sanciona por el artículo 226-13 del code pénal (código penal francés). Un informe de auditoría que enumera negro sobre blanco sus incumplimientos es, en manos de un consultor, un documento como cualquier otro: comunicable, embargable, transmisible. Es una diferencia de naturaleza, no de grado — y pesa en el momento preciso en que el documento se vuelve sensible.

La ausencia de conflicto de intereses. El artículo 38 §6 prohíbe que las demás funciones del delegado den lugar a un conflicto de intereses. El Tribunal de Justicia de la Unión Europea lo precisó en su sentencia de 9 de febrero de 2023 (X-FAB Dresden, C-453/21): al delegado no se le pueden encomendar funciones que le lleven a determinar los fines y los medios de los tratamientos. Un DPO interno que es a la vez director de sistemas de información, director jurídico o administrador está estructuralmente expuesto a ese reproche. Un abogado ajeno al organigrama no lo está — y por su parte verifica la ausencia de conflicto antes de aceptar el encargo, pues el artículo 4 del Règlement Intérieur National (reglamento deontológico nacional de la abogacía francesa) ya se lo impone.

Seguimos aquí las cuatro etapas que aplicamos en todos nuestros expedientes, adaptadas a la protección de datos.

1. Escuchamos su situación. Una primera conversación, en el despacho o por videoconferencia, para establecer sus calificaciones — responsable, encargado, o ambas — y el origen real de la solicitud: un cliente, un inversor, la CNIL, o una decisión interna.
2. Construimos una estrategia a medida. Usted recibe una propuesta escrita: perímetro de la auditoría, opciones, plazo, importe acordado. Nada empieza sin su acuerdo.
3. Tramitamos el expediente. Auditoría, registro, documentación, contratos de encargo, evaluaciones de impacto o ejercicio de la función de delegado: su interlocutor sigue siendo el mismo de principio a fin.
4. Seguimos disponibles. El cumplimiento no tiene final: una nueva herramienta, un nuevo país, una nueva oferta reabren el expediente. Es lo que la misión de DPO externalizado cubre de forma continua.

Nuestros honorarios siguen los tres formatos que practica el despacho, detallados con los importes de nuestros paquetes y de nuestra tarifa: la cuota mensual para un acompañamiento continuo — es la fórmula de la misión de delegado de protección de datos, cuya carga es regular por naturaleza; el importe cerrado por misión para la auditoría RGPD, cuyo perímetro se delimita antes de empezar; y la hoja de encargo detallada para un litigio o un procedimiento sancionador ante la CNIL.

El importe se anuncia y se acepta antes de que la misión empiece. Es un compromiso del despacho, no una fórmula: usted nunca descubre el coste de una intervención a posteriori.

El despacho se presenta como un despacho de negocios digital desde mucho antes de que el cumplimiento se convirtiera en un asunto de comité de dirección, y el derecho digital forma parte de sus áreas históricas.

• La trayectoria. Me Jérôme Pujol prestó juramento en 2000. Máster ESSEC, paso por Gide Loyrette Nouel en Bucarest, abogado socio del despacho.
• Tres oficinas. París, Perpiñán y Barcelona — esta última mediante inscripción en la Lista E del colegio de la abogacía de la ciudad.
• El ecosistema startup. Mecenazgo de la incubadora UPVD iN CUBE, presencia en el Mobile World Congress 2021: las empresas cuyo producto es el tratamiento de datos no nos resultan ajenas.
• La transparencia en las tarifas, practicada públicamente por el despacho desde hace años — algo poco frecuente en la profesión, y verificable.

Un último punto, que preferimos decir nosotros mismos: este sitio registra el origen de sus visitas — parámetros de campaña, identificadores de clic, referente — a fin de saber qué acciones de comunicación funcionan. Esa medición no se ampara en las excepciones de consentimiento previstas por el artículo 82 de la loi Informatique et Libertés. Está descrita en nuestra propia política de privacidad. Rara vez asesoramos a una empresa sobre un asunto que no nos aplicamos a nosotros mismos.

El RGPD es un reglamento: se aplica en los mismos términos en toda la Unión, y la autoridad francesa es nacional. El lugar de la oficina no cambia, por tanto, el derecho aplicable — cambia lo demás: la capacidad de mantener entrevistas de negocio en las instalaciones y la presencia regular que espera un delegado de protección de datos.

Desde nuestra oficina del distrito VII, intervenimos para editores de software, grupos e inversores, en los que el bloque de datos llega casi siempre por la due diligence o por el cuestionario de un cliente principal.

En Perpiñán, la demanda procede más bien de las pymes y empresas medianas del Rosellón que designan a su primer delegado, a menudo después del contrato de una gran cuenta o de una administración que lo exige.

Nuestra implantación catalana trata los flujos franco-españoles. Para un grupo establecido a ambos lados de la frontera, el artículo 56 del RGPD designa una autoridad de control principal según el lugar del establecimiento principal: el mecanismo de ventanilla única decide si su interlocutor es la CNIL o la AEPD española. Esta cuestión se resuelve al estructurar, no en el momento de la inspección.