Datos sin base jurídica
Tratamientos que se hacen desde siempre sin que nadie sepa en qué se amparan. Es lo primero que pregunta la Agencia.
Área de práctica
Protección de datos y propiedad intelectual en Canarias
Lo que su empresa ha creado y los datos que custodia. Dos activos que casi nunca están en el balance y que, mal protegidos, son los que más caro salen.
En qué intervenimos
- Adecuación al RGPD y a la LOPDGDD, con registro de actividades
- Contratos de encargado de tratamiento y transferencias internacionales
- Evaluaciones de impacto y análisis de riesgo
- Brechas de seguridad: notificación en 72 horas y plan de respuesta
- Procedimientos sancionadores e inspecciones de la AEPD
- Registro y defensa de marcas y nombres comerciales
- Cesión de derechos sobre software, contenidos y desarrollos externos
- Contratos tecnológicos: desarrollo, SaaS, licencia y soporte
Dos cosas suelen descubrirse tarde. La primera, que el software o la marca sobre los que se ha construido el negocio no están realmente a nombre de la empresa, sino del programador externo o del socio que se marchó. La segunda, que el tratamiento de datos que se hace a diario no tiene detrás ni base jurídica ni contrato de encargado.
Trabajamos las dos: propiedad intelectual e industrial —registro de marcas, cesión de derechos sobre software y contenidos, contratos de desarrollo— y protección de datos —adecuación al RGPD y a la LOPDGDD, encargados de tratamiento, evaluaciones de impacto y respuesta ante brechas.
Cuando aparece una brecha de seguridad, el plazo de notificación a la Agencia Española de Protección de Datos es de 72 horas. Lo que se decida en ese margen determina buena parte de la sanción posterior.
Cuatro riesgos que se pasan por alto
Los cuatro son baratos de prevenir y muy caros de corregir.
La brecha y sus 72 horas
Protocolo de respuesta escrito antes de necesitarlo, porque el plazo empieza a correr cuando se detecta, no cuando se entiende.
Software que no es suyo
Sin cesión expresa de derechos, el desarrollo encargado a un tercero sigue siendo de ese tercero, por mucho que lo haya pagado.
La marca sin registrar
Usar un nombre no da derecho a impedir que otro lo registre. Y recuperarlo después cuesta un procedimiento.
Cómo trabajamos
01
Auditoría de partida
Qué datos trata, con qué base, quién los toca y qué activos tiene sin proteger.
02
Documentación y contratos
Registro de actividades, cláusulas, contratos de encargado y cesiones pendientes.
03
Mantenimiento
Revisión periódica y respuesta si llega una reclamación, una brecha o la AEPD.
Preguntas frecuentes
¿Mi empresa necesita delegado de protección de datos?
Solo es obligatorio en determinados supuestos: autoridades públicas, tratamientos que exijan observación habitual y sistemática a gran escala, o tratamiento a gran escala de categorías especiales de datos. Fuera de ellos puede designarse voluntariamente, y hacerlo tiene efectos: una vez designado, hay que cumplir todo su régimen.
Hemos sufrido un ataque y puede haber datos comprometidos. ¿Qué hacemos primero?
Documentar el incidente desde el minuto uno y valorar si procede notificar a la AEPD, algo que debe hacerse sin dilación indebida y, cuando sea posible, en el plazo de 72 horas desde que se tiene constancia. También hay que valorar si procede comunicarlo a los afectados. Improvisar en ese margen es lo que más agrava el expediente posterior.
Encargué el desarrollo de una aplicación. ¿Es mía?
No necesariamente. Salvo cesión expresa y por escrito, los derechos de explotación del software pueden seguir siendo del desarrollador. Conviene revisar el contrato antes de construir el negocio encima, y regularizarlo cuanto antes si no existe.
¿Basta con usar mi marca para tenerla protegida?
El uso otorga cierta protección limitada, pero no equivale al registro. Sin marca registrada no puede impedirse con facilidad que un tercero registre un signo idéntico o similar, y recuperar la situación exige un procedimiento de oposición o nulidad.
Nos ha llegado una reclamación de un cliente ante la AEPD. ¿Es sancionador?
No siempre. La Agencia puede trasladar la reclamación para que el responsable conteste antes de abrir procedimiento sancionador. Esa primera respuesta es decisiva: bien construida, evita con frecuencia que el expediente avance.
Artículos relacionados
Brecha de seguridad: las 72 horas que determinan la sanción
Qué obliga a notificar el artículo 33 del RGPD, desde cuándo cuentan las 72 horas y por qué documentar bien es lo que más reduce el expediente.
La Reserva para Inversiones en Canarias (RIC): guía práctica
El 90 % del beneficio no distribuido puede reducir la base imponible, pero solo si la inversión se materializa en plazo y en los activos correctos.
Impuesto de Sucesiones para herederos no residentes en Canarias
Qué normativa se aplica cuando el heredero no vive en España, y por qué el plazo de seis meses no espera a que la familia se organice.
¿Hablamos de su caso?
Analizamos su situación sin compromiso y le decimos con claridad qué vías tiene y cuál recomendamos.