Toda explicación del Reglamento General de Protección de Datos parte del interesado. Una empresa de software lo encuentra desde el otro lado: como la parte que guarda los datos de otras personas, en dos roles a la vez, con un conjunto de obligaciones que se activa y desactiva con el tamaño de la empresa y el tipo de datos. Esta es la lectura desde ese lado, disposición por disposición, para una empresa que entrega o explota software en la Unión. La determinación gratuita hace nueve preguntas y deja por escrito la misma lectura para su caso.

Dos roles, por tratamiento, no por empresa

El artículo 4, punto 7, le convierte en responsable de todo tratamiento cuyos fines y medios determina. Sus datos de relación con clientes, su lista de prospectos, sus expedientes de personal, la analítica de su propio sitio web: usted decide por qué y cómo, así que es el responsable, haga lo que haga su producto.

El artículo 4, punto 8, le convierte en encargado del tratamiento que efectúa por cuenta de un responsable. Un SaaS que almacena los datos de los usuarios finales de sus clientes, una API alojada que recibe datos personales para devolver un resultado, un servicio gestionado que administra los sistemas de un cliente: para esos datos decide el cliente, y usted trata siguiendo sus instrucciones. La mayoría de las empresas de software son por tanto ambas cosas, y los roles van unidos al tratamiento, no a la empresa. El catálogo detrás de la página del RGPD lleva las filas de cada rol, y la determinación enumera aparte las filas del encargado.

El rol de encargado trae un contrato. El artículo 28, apartado 3, exige que el tratamiento se rija por un contrato que fije el objeto, la duración, la naturaleza y la finalidad, el tipo de datos y las categorías de interesados, y ocho condiciones: tratamiento solo siguiendo instrucciones documentadas, confidencialidad de las personas autorizadas, las medidas de seguridad del artículo 32, las condiciones para recurrir a otro encargado, la asistencia con los derechos de los interesados, la asistencia con los artículos 32 a 36, la supresión o devolución al final, y la información necesaria para demostrar el cumplimiento, auditorías incluidas. Un cliente bancario sujeto a DORA envía sus propias cláusulas encima; los dos juegos conviven en el mismo acuerdo.

El registro de actividades de tratamiento, y por qué la exención de 250 personas nunca libra a un producto en uso

El artículo 30, apartado 1, exige a cada responsable un registro de las actividades de tratamiento: el nombre y los datos de contacto del responsable, del corresponsable, del representante y del delegado si lo hay; los fines; las categorías de interesados y de datos personales; las categorías de destinatarios; las transferencias a terceros países con la documentación de las garantías cuando se invoca el artículo 49, apartado 1; cuando sea posible, los plazos de supresión; y cuando sea posible, una descripción general de las medidas de seguridad del artículo 32, apartado 1. El artículo 30, apartado 2, exige a cada encargado el registro espejo de los tratamientos efectuados por cuenta de cada responsable.

El artículo 30, apartado 5, dice que la obligación no se aplica a una empresa que emplee a menos de 250 personas, y lo retira en la misma frase: a menos que el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos o datos relativos a condenas penales. Un producto en uso trata datos personales cada día del año. Ese tratamiento no es ocasional, así que la exención desaparece antes de contar el tamaño de la empresa. El registro es una obligación a cualquier tamaño para toda empresa de software con un producto en producción, y es el documento al que remite cada otra obligación de este artículo.

El delegado de protección de datos

El artículo 37, apartado 1, exige un delegado de protección de datos en tres casos, de los que dos alcanzan a una empresa privada: cuando las actividades principales consisten en operaciones de tratamiento que, por su naturaleza, alcance o fines, requieren una observación habitual y sistemática de interesados a gran escala (letra b), y cuando las actividades principales consisten en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos relativos a condenas e infracciones penales con arreglo al artículo 10 (letra c).

«Actividades principales» es la prueba que decide la mayoría de los casos. Una empresa cuyo producto es la analítica del comportamiento, la publicidad programática, la localización o el control de los empleados observa a personas como negocio; una empresa que explota un producto de facturación no lo hace, por muchos registros que guarde. El delegado puede ser un miembro de la plantilla o un externo (artículo 37, apartado 6), se designa atendiendo a sus cualidades profesionales y sus conocimientos especializados del Derecho de protección de datos (artículo 37, apartado 5), y sus datos de contacto se publican y se comunican a la autoridad de control (artículo 37, apartado 7).

Donde el artículo 37, apartado 1, no lo exige, puede hacerlo el Derecho de un Estado miembro (artículo 37, apartado 4). Alemania lo hace: el artículo 38 de la BDSG exige un delegado a partir de 20 personas dedicadas de forma permanente al tratamiento automatizado de datos personales. Una empresa que vende en Alemania desde otro lugar no queda atrapada por esa regla; una empresa establecida allí, sí.

La evaluación de impacto

El artículo 35, apartado 1, exige una evaluación de impacto relativa a la protección de datos antes de cualquier tratamiento que entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas, en particular si utiliza nuevas tecnologías. El artículo 35, apartado 3, nombra tres casos en los que se exige en todo caso: una evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, sobre cuya base se toman decisiones con efectos jurídicos o similarmente significativos; el tratamiento a gran escala de categorías especiales o de datos penales; y la observación sistemática a gran escala de una zona de acceso público. Las autoridades de control publican otras listas en virtud del artículo 35, apartado 4.

El contenido es el artículo 35, apartado 7: una descripción sistemática del tratamiento y de sus fines, una evaluación de la necesidad y la proporcionalidad, una evaluación de los riesgos, y las medidas previstas para afrontarlos. Si el riesgo residual sigue siendo alto, el artículo 36, apartado 1, exige la consulta previa a la autoridad de control antes de iniciar el tratamiento. Para una empresa de software, el primer caso es el que hay que vigilar: una función de puntuación, clasificación o filtrado que produce decisiones sobre personas es una evaluación sistemática y exhaustiva, la llame alguien elaboración de perfiles o no.

El representante, para una empresa fuera de la Unión

El artículo 3, apartado 2, aplica el Reglamento a un responsable o encargado no establecido en la Unión cuando el tratamiento está relacionado con la oferta de bienes o servicios a interesados en la Unión, o con el control de su comportamiento en ella. Cuando se aplica, el artículo 27, apartado 1, exige un representante en la Unión, designado por escrito. El artículo 27, apartado 2, letra a, exime el tratamiento ocasional, sin categorías especiales a gran escala, y que sea improbable que entrañe un riesgo. Un producto ofrecido a personas en la Unión no es un tratamiento ocasional, así que una empresa fuera de la Unión con clientes en ella necesitará normalmente el representante; la exención está escrita para la empresa que se encuentra con el Reglamento por accidente, no para la que vende en la Unión.

Las transferencias, y las bases que un contrato de nube tiene que nombrar

El artículo 44 solo permite una transferencia a un tercer país en las condiciones del capítulo V, transferencias ulteriores incluidas. Las bases son tres: una decisión de adecuación de la Comisión conforme al artículo 45, la de Estados Unidos es la decisión sobre el Marco de Privacidad de Datos de 10 de julio de 2023, que cubre solo a las empresas certificadas bajo él; garantías adecuadas conforme al artículo 46, en la práctica las cláusulas contractuales tipo que la Comisión adoptó el 4 de junio de 2021; y las excepciones del artículo 49 para situaciones específicas, que no son base para un servicio en marcha. Un proveedor de nube con regiones europeas sigue siendo una cuestión de transferencia el día en que el soporte, las copias de seguridad o la telemetría llegan fuera del EEE, y el registro del artículo 30 es donde se deja constancia de la base de cada transferencia.

Los dos plazos

El artículo 33, apartado 1, exige al responsable notificar una violación de la seguridad de los datos personales a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella; una notificación posterior lleva los motivos de la dilación. El artículo 33, apartado 2, exige al encargado notificar al responsable sin dilación indebida tras tener constancia, lo que para un SaaS significa que el plazo del cliente empieza con su mensaje. El artículo 34, apartado 1, añade la comunicación a los interesados cuando la violación entrañe probablemente un alto riesgo para ellos.

El artículo 12, apartado 3, fija el otro plazo: la información sobre las actuaciones a raíz de una solicitud de un interesado se facilita sin dilación indebida y en cualquier caso en el plazo de un mes desde la recepción, prorrogable otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. Ambos plazos corren desde un hecho, no desde una fecha, y por eso pertenecen a los registros de incidentes y de solicitudes y no a un calendario; NIS2 y el CRA hacen correr los suyos de la misma manera, desde que se tiene constancia.

Lo que ISO 27701 le da, y lo que no

ISO/IEC 27701 extiende un sistema de gestión ISO 27001 a la privacidad: el anexo A enumera los controles para un responsable, el anexo B los de un encargado, y el catálogo detrás de la determinación nombra, para cada obligación, el control cuyo registro es la evidencia en la lectura de StandardOS. El registro de actividades de tratamiento, las condiciones del contrato de encargo, el procedimiento de violaciones, el registro de transferencias y la gestión de solicitudes de los interesados tienen todos un control detrás. El Reglamento no nombra ninguna norma ni concede presunción de conformidad: un certificado es evidencia de que el proceso existe, y la autoridad de control lee el proceso contra el texto. El artículo 83 fija los techos por hacerlo mal en EUR 10 millones o el 2 % del volumen de negocio anual mundial para las obligaciones de los artículos 25 a 39, y EUR 20 millones o el 4 % para los principios, las bases jurídicas, los derechos de los interesados y las transferencias.

Nueve respuestas deciden cuáles de estas obligaciones se activan para su empresa. La determinación las deja por escrito con la disposición detrás de cada línea, en su idioma, para copiar o descargar.