Una checklist RGPD resulta útil cuando permite comprobar una práctica, encontrar su evidencia y asignar una corrección. Marcar «cumple» porque existe una política no demuestra que los datos se utilicen como esa política describe. Para revisar una empresa en España, conviene recorrer tratamientos reales: desde el formulario de recogida hasta la conservación, las comunicaciones a proveedores y la atención de los derechos.
Esta guía propone una revisión por bloques, con referencias verificadas el 29 de septiembre de 2026. Sirve tanto a un delegado de protección de datos como a una pyme que organiza su cumplimiento. No constituye una certificación ni sustituye las reglas sectoriales. Cada conclusión debería indicar qué se ha examinado, qué falta y quién debe resolverlo.
1. Delimitar el alcance de la revisión
Identifique las personas jurídicas, establecimientos, actividades y sistemas incluidos. El ámbito territorial del RGPD no se reduce a tratar datos de cualquier persona situada en Europa. El artículo 3 contempla, entre otros supuestos, los tratamientos en el contexto de un establecimiento en la Unión y determinadas ofertas de bienes o servicios o controles del comportamiento de personas que se encuentran en ella por entidades no establecidas. Examine la relación concreta antes de concluir.
Compruebe además qué actividades están sujetas a regímenes específicos y qué papel desempeña la empresa. No es lo mismo decidir para qué se usa una base de clientes que alojarla siguiendo instrucciones de otra entidad. Un proveedor puede actuar como responsable en unas operaciones y como encargado en otras. La checklist debe reflejar esa distinción, porque afecta a los contratos, el registro y la atención de solicitudes.
Para cada bloque, utilice estados que distingan cumplimiento verificado, acción pendiente y cuestión no aplicable con motivo. «No revisado» no equivale a «no aplicable». Por ejemplo, no encontrar transferencias en el inventario puede significar que no existen o que aún no se han preguntado las ubicaciones de soporte. Anote la fuente de cada conclusión para que otro miembro del equipo pueda continuar el trabajo.
2. Contrastar el inventario con lo que hacen los equipos
Seleccione un tratamiento representativo y siga su recorrido. Examine el formulario, la aplicación, los correos que se generan, las descargas y los documentos en papel. Pregunte al personal cómo resuelve excepciones: un cliente sin cuenta, una devolución o una incidencia. Esas situaciones suelen mostrar copias o usos que no aparecen en la descripción inicial del proceso.
El registro del artículo 30 debe distinguir el contenido exigido al responsable del exigido al encargado. Para el primero, incluya finalidades, categorías de interesados y datos, destinatarios y transferencias, entre otros elementos; los plazos de supresión y la descripción general de medidas de seguridad llevan la calificación «cuando sea posible». El registro del encargado se organiza por categorías de actividades realizadas por cuenta de responsables, con sus propios campos legales.
Añadir la base jurídica y su razonamiento resulta útil, aunque no sea un campo expresamente enumerado como mínimo en el artículo 30. La plantilla del registro de actividades debe adaptarse a esa distinción. En organizaciones de menos de 250 personas, examine cada actividad: la excepción no cubre tratamientos no ocasionales, susceptibles de entrañar un riesgo para los derechos y libertades, o relativos a datos de los artículos 9 o 10. El tamaño no dispensa globalmente del registro.
3. Comprobar finalidad, necesidad y base jurídica
Para cada uso, pregunte qué resultado persigue y qué datos hacen falta. Una finalidad como «gestión general de clientes» puede esconder facturación, publicidad, prevención del fraude y estadísticas. Estos usos requieren análisis diferenciados. La guía de bases legales permite documentar la justificación, en lugar de elegir el consentimiento como opción automática.
La ejecución contractual solo permite los tratamientos necesarios para el contrato con la persona o para las medidas precontractuales que ella solicita. No legitima cualquier actividad económicamente útil. La obligación legal debe corresponder a una norma aplicable; el interés legítimo exige identificar el interés, comprobar la necesidad y ponderar los derechos de los afectados. Conserve el razonamiento y revise si la práctica sigue respetando sus límites.
Cuando se utilice consentimiento, verifique libertad, información, especificidad y una manifestación inequívoca. Examine cómo se demuestra y cómo se retira, sin imponer una dificultad mayor que para otorgarlo. Si aparecen datos de salud u otras categorías especiales, debe identificarse también una condición aplicable del artículo 9. Los datos de condenas e infracciones tienen su régimen en el artículo 10, y no deben mezclarse con aquella lista.
4. Revisar la información en el momento adecuado
Abra los formularios tal como los ve la persona, también en un teléfono o en papel. Compruebe si la información permite conocer al responsable, los fines, las bases jurídicas, los destinatarios, la conservación y los derechos, junto con los demás elementos exigibles. Un enlace a una política extensa puede ser poco útil si no se entiende qué tratamiento corresponde a la acción realizada.
El artículo 13 se refiere a datos obtenidos de la propia persona. Cuando los datos proceden de terceros, examine el artículo 14: la información debe facilitarse dentro de un plazo razonable y, en principio, como máximo en un mes, o antes si se produce la primera comunicación con el interesado o la primera revelación a otro destinatario en los supuestos previstos. Las excepciones deben evaluarse y justificarse, no presumirse por tratarse de información pública.
Compare las promesas con el funcionamiento. Si la política afirma que no se comparten datos, revise las empresas que intervienen en pagos, soporte o campañas. Si anuncia una eliminación inmediata al cerrar la cuenta, compruebe los documentos que siguen sujetos a conservación. Corregir una frase puede ser necesario, pero también puede serlo cambiar el proceso para que deje de recopilar información innecesaria.
5. Verificar cookies y comunicaciones por separado
En España, el artículo 22.2 de la LSSI regula el almacenamiento o acceso a información en los equipos terminales. Compruebe qué tecnologías se activan y cuáles requieren información y consentimiento previo. La excepción técnica para transmitir una comunicación o prestar un servicio expresamente solicitado no convierte cualquier herramienta de medición o publicidad en necesaria. La etiqueta que asigna el proveedor no sustituye el examen de su función real.
Pruebe también la retirada de una elección y el comportamiento posterior del sitio. No basta con mostrar un aviso si los componentes siguen actuando igual con independencia de la decisión. Registre la versión del mecanismo revisado y las incidencias. Las comunicaciones comerciales requieren, además, su propia evaluación según el canal, la relación y la norma aplicable; una aceptación de cookies no autoriza por sí sola cualquier campaña.
Distinga las listas de exclusión de los perfiles de marketing. Puede ser necesario conservar información mínima para respetar una oposición o retirada, sin mantener todos los intereses y hábitos anteriores. La checklist debería comprobar que los sistemas externos y las campañas ya preparadas reciben la instrucción correspondiente. Una baja correcta en la aplicación principal puede fallar si el siguiente envío utiliza una exportación antigua.
6. Recorrer una solicitud de derechos completa
Los derechos ARCO y los demás derechos del RGPD no se atienden con una respuesta idéntica. Pruebe al menos un acceso a los datos y una solicitud de supresión. Revise recepción, identidad cuando existan dudas razonables, búsqueda en sistemas, decisión, entrega y prueba. No imponga siempre una copia completa del DNI si resulta desproporcionada.
El artículo 12 exige actuar sin dilación indebida y, como máximo, en un mes. La prolongación de hasta dos meses adicionales depende de la necesidad por complejidad y número de solicitudes, y debe comunicarse con sus motivos dentro del primer mes. Si no se actúa, hay que informar sin dilación y a más tardar en un mes de los motivos, la posibilidad de reclamar ante la autoridad y de acudir a la vía judicial.
Compruebe los límites propios del derecho, sin convertirlos en negativas generales. Conservar una factura por obligación legal no impide eliminar datos comerciales innecesarios. Una copia con información sobre terceros exige valorar sus derechos y aplicar salvaguardas. La portabilidad tiene condiciones específicas y no comprende cualquier dato derivado. En España, distinga también el bloqueo del artículo 32 de la LOPDGDD de la limitación del artículo 18 del RGPD.
7. Revisar contratos y ejecución de los encargos
Inventaríe a los encargados del tratamiento y localice el contrato u otro acto jurídico vinculante previsto por el Derecho de la Unión o de un Estado miembro, en forma escrita, incluida la electrónica. Debe concretar objeto, duración, naturaleza, finalidad, tipos de datos y categorías de interesados, además de obligaciones y derechos. Un acuerdo comercial genérico puede no cubrir estos extremos.
Revise instrucciones, confidencialidad de las personas autorizadas, medidas de seguridad, asistencia y condiciones para recurrir a otros encargados. Cuando exista subcontratación, deben imponerse las obligaciones pertinentes y mantenerse la responsabilidad que establece el artículo 28. No basta con conocer el nombre del proveedor principal si el servicio depende de otros actores que reciben datos o acceden a ellos.
Examine la salida: por elección del responsable, los datos se devuelven o suprimen, y las copias existentes se eliminan, salvo conservación exigida por el Derecho de la Unión o de un Estado miembro. Si una norma de esos ordenamientos obliga al encargado a tratar al margen de las instrucciones, debe informar previamente al responsable, salvo prohibición legal por razones importantes de interés público. Pida una explicación práctica de cómo se cumplirán estas condiciones.
8. Verificar conservación y eliminación efectiva
Para cada categoría, identifique finalidad, plazo o criterio, hecho inicial y responsable de ejecución. «Mientras sea necesario» no ayuda a un administrador si nadie sabe qué evento termina esa necesidad. Una obligación que afecta a determinados documentos no justifica conservar todo el expediente ni utilizarlo para fines diferentes. Separe los archivos restringidos de los datos disponibles para el trabajo cotidiano.
Pruebe una eliminación con datos ficticios o un caso autorizado: base principal, documentos, exportaciones, integraciones y copias locales. Determine si el dato se borra, se oculta o se traslada. Una copia de seguridad exige un ciclo definido y medidas para evitar que una restauración reactive información suprimida. No puede convertirse en una excepción general de conservación indefinida.
En los supuestos sujetos al bloqueo de la LOPDGDD, compruebe la reserva de datos, las restricciones y los plazos de posibles responsabilidades, con destrucción posterior y las excepciones aplicables. Documente también una suspensión concreta por litigio, con alcance y revisión. La mera posibilidad de una reclamación futura no justifica congelar de forma indiscriminada todos los datos de la empresa.
9. Relacionar seguridad con riesgos y evidencias
El artículo 32 exige medidas técnicas y organizativas apropiadas al riesgo. Revise confidencialidad, integridad, disponibilidad y resiliencia, así como restauración y evaluación de la eficacia. El cifrado, los controles de acceso y las copias de seguridad deben examinarse en su contexto. Una lista de tecnologías adquiridas no demuestra que estén bien configuradas o que protejan la operación concreta.
Seleccione un acceso de alta privilegiación y compruebe quién lo autorizó, cuándo se revisó y qué sucede al terminar la relación de trabajo. Haga que el equipo explique un procedimiento de restauración y su última verificación. Compruebe que las incidencias detectadas originan acciones y que estas se cierran con evidencia. La formación debe corresponder a los riesgos del puesto, sin inventar una frecuencia anual universal impuesta por el RGPD.
Las medidas de seguridad del artículo 32 deben revisarse cuando cambian los sistemas o las amenazas relevantes. No es suficiente copiar la política de otro proveedor. Incluya instalaciones, papel, teletrabajo y soporte remoto en la comprobación. La seguridad de una aplicación no compensa que los documentos impresos queden disponibles para personas no autorizadas. La guía de gestión de brechas de seguridad ayuda a conectar estas medidas con la respuesta cuando fallan.
10. Documentar brechas y separar las decisiones de comunicación
Compruebe que el equipo distingue un incidente técnico de una violación de datos personales. Esta puede afectar a la confidencialidad, integridad o disponibilidad, incluso sin una filtración pública. El procedimiento debe recoger hechos, efectos, medidas y decisiones. Toda violación de datos personales debe documentarse según el artículo 33.5, aunque no resulte necesario notificarla a la autoridad.
La notificación debe efectuarse sin dilación indebida y, de ser posible, dentro de las 72 horas desde que se tenga constancia, salvo que sea improbable que la violación entrañe un riesgo para los derechos y libertades. Si es posterior, hay que explicar el retraso. La información puede completarse por fases cuando no se dispone de todo a la vez, sin demoras indebidas. El encargado informa al responsable sin dilación indebida.
La comunicación a los afectados bajo el artículo 34 es una decisión distinta, ligada al alto riesgo y a sus excepciones. Realice un ejercicio de mesa: quién detecta, quién reúne información, quién evalúa y quién comunica durante una ausencia. Las sanciones RGPD no se evitan únicamente con un registro; es necesario que la organización pueda contener el incidente y actuar con los datos disponibles.
11. Examinar riesgos elevados, automatización y transferencias
Una evaluación de impacto debe realizarse antes de un tratamiento susceptible de entrañar alto riesgo en los términos del artículo 35. Compruebe criterios, listas aplicables, necesidad, proporcionalidad y medidas. Si persiste el riesgo elevado que activa el artículo 36 en ausencia de medidas suficientes para mitigarlo, procede la consulta previa a la autoridad antes de iniciar el tratamiento.
Identifique decisiones exclusivamente automatizadas que produzcan efectos jurídicos o afecten significativamente de modo similar, en lugar de considerar que toda clasificación informática entra en el artículo 22. Revise condiciones, excepciones y salvaguardas cuando se aplique. Los sistemas que utilizan inteligencia artificial siguen requiriendo analizar finalidad, datos, transparencia y seguridad; una etiqueta tecnológica no sustituye esa evaluación ni determina por sí sola todas las normas adicionales aplicables.
En transferencias internacionales, mapee los flujos, incluidos accesos remotos y subencargados. Compruebe si existe una decisión de adecuación aplicable o qué garantías y evaluaciones exige el mecanismo utilizado. No presente una evaluación de transferencias como obligación idéntica en cualquier supuesto. Las cláusulas contractuales deben corresponder a los papeles y flujo reales, y las derogaciones del artículo 49 no deben convertirse en una solución general para operaciones habituales.
12. Asignar responsables y mantener la revisión
Examine si debe nombrarse DPD por el artículo 37 del RGPD y por el catálogo adicional del artículo 34 de la LOPDGDD. En el RGPD, las actividades principales de observación requieren habitualidad, sistematicidad y gran escala; el tratamiento principal de categorías de los artículos 9 y 10 también requiere gran escala. El supuesto de autoridad u organismo público conserva la excepción de las funciones judiciales de los tribunales. La obligación no depende únicamente del número de empleados.
La comparación entre LOPDGDD y RGPD ayuda a localizar las reglas españolas que completan el marco europeo. Para equipos internacionales, pueden servir de apoyo la explicación de principios en inglés y la guía de sanciones europeas en inglés, sin trasladar automáticamente criterios nacionales de otro país. Mantenga en el expediente la norma concreta utilizada para cada decisión.
La herramienta Facilita RGPD de la AEPD está orientada a tratamientos de escaso riesgo y sus documentos necesitan adaptación. La propia Agencia advierte que obtenerlos no implica cumplimiento automático. Del mismo modo, esta checklist requiere responsables y seguimiento. Una revisión periódica puede ser una buena práctica, pero el RGPD no establece una auditoría general obligatoria cada dos años para todas las empresas.
Convertir los hallazgos en acciones comprobables
Priorice según el riesgo y la urgencia: un acceso abierto a expedientes sensibles no debe esperar al cambio de formato de una política. Para cada hallazgo, asigne responsable, medida, plazo interno y evidencia de cierre. Si faltan recursos o existe una decisión pendiente de dirección, deje constancia y eleve el asunto. Una casilla marcada como «en curso» durante meses puede ocultar que nadie ha asumido la decisión.
Compruebe el cierre con una muestra. Si se corrigió un formulario, vuelva a utilizarlo; si se retiró un acceso, verifique que ya no funciona; si un proveedor confirmó una supresión, contraste qué datos y copias cubría. La revisión debe actualizarse ante cambios relevantes de actividad, sistemas, proveedores o normas. Su resultado útil es un conjunto de prácticas verificadas y problemas resueltos, no una promesa abstracta de cumplimiento total.