Contratar protección de datos: guía para elegir bien, evitar riesgos y pagar lo justo

Si estás pensando en contratar protección de datos, no te quedes solo con los papeles. Un servicio serio alinea legal y tecnología, deja evidencias y se mantiene vivo con revisiones periódicas.
En esta guía te explicamos qué debe incluir un buen servicio de protección de datos, cómo detectar ofertas que no lo son… y en qué deberías fijarte antes de firmar nada.

Lo mínimo que deberían ofrecerte al contratar protección de datos

1. Una toma de datos real y un mapa de tratamientos
   Nada de formularios genéricos. Un consultor debería entrevistarte personalmente (ya sea presencialmente o por videoconferencia, en función de tu presupuesto) para levantar un inventario de tratamientos, flujos, bases legales y riesgos iniciales. Si no hay esta fase, el resto es humo. Esta fase debe incluir también la identificación de la base jurídica de cada tratamiento, conforme a los artículos 6 y 9 del RGPD, distinguiendo los casos en que se traten categorías especiales de datos (por ejemplo, salud o afiliación sindical).

2. Registro de Actividades de Tratamiento (RAT) completo
   El RAT no es un formulario bonito: es el documento que la Agencia Española de Protección de Datos (AEPD) puede solicitarte en cualquier momento. Debe reflejar las finalidades, categorías de interesados, cesiones, transferencias internacionales, plazos de conservación y medidas técnicas. Además, debe mantenerse actualizado al menos una vez al año o siempre que cambien procesos, herramientas o proveedores, e incluir referencias a las medidas técnicas y organizativas aplicadas (art. 30.1.g RGPD y art. 31 LOPDGDD). Aunque el consultor pueda ayudarte a mantenerlo, la responsabilidad última recae siempre en el responsable del tratamiento.

3. Contratos y cláusulas adaptadas a tu negocio
   Tu consultora de protección de datos debe facilitarte modelos para redactar contratos de encargo de tratamiento (art. 28 RGPD), acuerdos de confidencialidad y cláusulas informativas (arts. 12, 13 y 14 RGPD) que expliquen quién trata los datos, con qué fin y durante cuánto tiempo. Los contratos de encargo deben detallar las obligaciones del encargado, las condiciones para recurrir a subencargados, y las medidas de seguridad que aplicará. Las cláusulas informativas, por su parte, deben presentarse con un lenguaje claro y comprensible, cumpliendo el principio de transparencia.

4. Actuación en caso brechas de seguridad de datos, con notificación a la AEPD en menos de 72 horas
   Este es un punto diferencial de un servicio de protección de datos: ¿sabes si tu proveedor actual estará ahí cuando ocurra una catástrofe? ¿Se encargarán ellos de preparar la documentación para declarar la brecha ante la Agencia Española de Protección de Datos? Porque en Edorteam no lo entendemos de otra manera. Cuando ocurra algo, no puedes improvisar, necesitas más que nunca el apoyo de un especialista. Incluso si la brecha no requiere notificación, debe registrarse internamente para demostrar diligencia.

5. Análisis de riesgos y, si procede, Evaluación de Impacto (DPIA)
   En tratamientos con riesgo elevado (por ejemplo, videovigilancia masiva, geolocalización, datos de salud o perfiles de clientes), el proveedor debe valorar si procede realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD), conforme al artículo 35 del RGPD.
   Incluso cuando no sea obligatoria, debería elaborarse al menos un análisis de riesgos, que justifique las medidas técnicas y organizativas implantadas.
   Lo normal es que tu consultora de protección de datos te asesore sobre si es necesario hacerla o no (e incluirla como parte de sus servicios, por supuesto). En la mayoría de ocasiones, la necesidad de realizar una evaluación de impacto puede surgir con el tiempo, a medida que la empresa crece o ante circunstancias eventuales, de ahí la importancia de contar siempre con un proveedor que te asesore conforme pasen los años.

6. Auditoría técnica de seguridad
   Validación de accesos, contraseñas, MFA, cifrado, copias, registros de actividad, recuperación ante desastres… Un servicio serio no se queda en el papel: evalúa tus sistemas reales. ¿De qué te sirve tener toda la documentación legal perfecta si luego tu red informática empresarial (donde guardas tus datos) está totalmente obsoleta y no lo sabes? Una buena empresa de protección de datos se preocupará por conocer también cómo es tu infraestructura informática y, si no cumple con los estándares actuales, te informará debidamente.

7. Plataforma cloud para gestionar toda la documentación relativa a la protección de datos
   Una buena consultora te ofrece una app o portal donde ver todo tu RAT, contratos, incidencias y evidencias. Idealmente con servidores en España, cifrado y control de accesos.

8. Mantenimiento y revisión anual
   El cumplimiento en protección de datos no es estático: debe revisarse siempre que haya cambios en tratamientos o proveedores, conforme al principio de responsabilidad proactiva (art. 5.2 RGPD). Además, las revisiones ayudan a adaptar contratos y políticas a nuevas normativas y herramientas (como IA, biometría o analítica avanzada). En Edorteam, trabajamos con cuotas mensuales en lugar de grandes pagos anuales que tu organización podrá pagar fácilmente.

Red flags al contratar protección de datos (si ves estas, no firmes)

• Te ofrecen “hazlo tú con plantillas” o una versión automática sin entrevista.
• Prometen un “certificado de cumplimiento” con validez legal (no existe tal cosa).
• Usan cursos bonificables para rebajar el precio del servicio.
• Ignoran la parte técnica o la gestión de proveedores.

👉 Si ves alguna de estas señales, no estás contratando protección de datos, estás comprando papel.

¿Qué entregables deberías recibir tras la primera reunión de toma de datos?

• Inventario de tratamientos y RAT operativo.
• Contratos de encargo con listado de subencargados.
• Cláusulas informativas y protocolo de brechas.
• Informe de riesgos y evaluación de impacto (si aplica).
• Auditoría técnica con plan de medidas concretas.
• Acceso a la app cloud con toda la documentación y evidencias versionadas.

Cada uno de estos entregables sirve para demostrar el principio de responsabilidad activa, que es el corazón de la protección de datos.

Proveedores: el punto más débil de muchas empresas

El 70 % de las incidencias sancionadas por la AEPD tienen relación con encargados o subencargados que no estaban bien documentados. Tu consultora debe ayudarte a:

• Mantener actualizada la lista de subencargados.
• Revisar tus contratos y cláusulas de subencargados.
• Si hay transferencias internacionales, documenta SCC/TIA y medidas suplementarias (cifrado, control de accesos).
• Asegurar el plan de salida: devolución o borrado certificable de los datos al terminar el contrato.

¿Necesito DPO? Opciones sin liarte

Si tu actividad lo exige, externalizar el Delegado de Protección de Datos (DPO) evita conflicto de interés y asegura supervisión continua. El Delegado de Protección de Datos (DPO) es obligatorio solo en ciertos casos (art. 37 RGPD y art. 34 LOPDGDD). Si tu empresa trata datos sensibles, realiza observación de datos habitual y sistemática o gestiona un gran volumen de datos personales, debes designarlo. Si en un presupuesto te incluyen el servicio de DPO externo sin siquiera preguntarte si cumples con alguno de esos 3 requisitos, desconfía. Y si encima lo incluye de forma gratuita o a un precio asombrosamente bajo, en realidad no te está vendiendo ningún servicio de DPO.

El DPO puede ser un profesional de tu organización (siempre y cuando cuente con la formación adecuada para ello) o puedes externalizar este rol para evitar conflictos de interés y garantizar supervisión continua. Lo más habitual es la empresa te asesore y te informe sobre si tu organización se encuentra entre los sujetos obligados a nombrar un Delegado de Protección de Datos. Un DPO debe actuar como interlocutor ante la AEPD, asesorar en evaluaciones de impacto, formar al personal y reportar a dirección.

Hablemos del precio en la protección de datos: ¿sabes por qué estás pagando realmente?

• Tarifa baja + promesa total → documentación genérica y cero evidencias.
• Tarifa razonable por fases → entregables medibles (RAT, contratos, auditoría técnica, protocolo de brechas, app cloud y revisión anual).

Checklist para contratar protección de datos

1. Toma de datos real + inventario de tratamientos.
2. RAT completo y actualizado.
3. Contratos art. 28 + subencargados + cláusulas web/email/boletines.
4. Protocolo de brechas en 72 h con plantillas.
5. Auditoría técnica y plan de medidas (MFA, cifrado, copias, logs).
6. App cloud con histórico y evidencias; datos en España y cifrados.
7. Revisión anual incluida y soporte experto continuo.
8. Si procede, DPO externo con alcance definido por plan.

¿Quieres contratar protección de datos sin sorpresas?

Recuerda que, aunque delegues la gestión en una consultora, la responsabilidad sigue siendo tuya como responsable del tratamiento. Un buen proveedor te ayuda a entender lo que firmas y a mantener tu cumplimiento vivo en el tiempo. En Edorteam unimos consultoría legal y auditoría técnica, con RAT, contratos, protocolo de brechas, revisión anual y app cloud en servidores españoles para gestionar todo con evidencias. Pide una sesión de 20 minutos y te enseñamos cómo quedará tu carpeta de evidencias para superar una inspección.