Privacidad, Datos e IA
Abogado de protección de datos e IA en Madrid
Cumplimiento en materia de privacidad, datos e inteligencia artificial, y defensa ante la Agencia Española de Protección de Datos.
El cumplimiento en protección de datos no es un pack de documentos: es un mapa de tratamientos, bases de licitud y medidas que debe resistir una inspección. Auditamos, corregimos y dejamos la documentación lista para acreditar diligencia.
Añadimos la capa de inteligencia artificial: clasificación de riesgo de los sistemas, obligaciones de transparencia, gobernanza de datos de entrenamiento y contratos con proveedores de IA.
Abogados RGPD en Madrid: qué revisamos en una empresa
Un expediente de la Agencia Española de Protección de Datos no se gana con una carpeta de documentos genéricos, sino acreditando que la empresa sabía qué datos trataba, con qué base de licitud y con qué medidas. Por eso empezamos siempre por el mapa real de tratamientos y no por las plantillas.
Trabajamos con pymes, startups, clínicas, despachos, comercio electrónico y plataformas digitales de Madrid, y asumimos también la función de DPO externo cuando la empresa no puede sostenerla internamente.
Auditoría y adecuación al RGPD
Registro de actividades de tratamiento, bases de licitud, información y consentimientos, contratos con encargados, plazos de conservación, atención de derechos y medidas de seguridad. Puede autoevaluarse en cinco minutos con nuestro test RGPD gratuito.
DPO externo y evaluaciones de impacto
Asumimos la figura del Delegado de Protección de Datos con comunicación a la AEPD, informes periódicos, gestión de derechos y elaboración de evaluaciones de impacto cuando el tratamiento lo exige.
Brechas de seguridad y expedientes de la AEPD
Actuamos con plazo de 72 horas para la notificación, documentamos el incidente y preparamos la defensa si se abre procedimiento sancionador o una reclamación de un afectado.
Cumplimiento del Reglamento Europeo de IA
Clasificación de riesgo de los sistemas, obligaciones de transparencia, gobernanza de los datos de entrenamiento, formación del personal y revisión de los contratos con proveedores de IA. El diagnóstico combinado RGPD y AI Act permite ver el punto de partida.
Sanciones y por qué conviene adelantarse
El RGPD prevé multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, y la AEPD sanciona con frecuencia incumplimientos básicos: información deficiente, cookies sin consentimiento válido, videovigilancia mal señalizada o falta de contrato con proveedores.
En la práctica, acreditar diligencia previa reduce el importe de la sanción y, en muchos casos, permite que el expediente termine en apercibimiento. Ese es el objetivo del trabajo preventivo.
Cómo le ayudamos
- Auditoría y adecuación al RGPD y a la LOPDGDD
- DPO externo y evaluaciones de impacto (EIPD)
- Cumplimiento del Reglamento Europeo de IA (AI Act)
- Transferencias internacionales de datos
- Brechas de seguridad y notificación a la AEPD
- Defensa en procedimientos sancionadores de la AEPD
Casos y situaciones representativas
Ejemplos anonimizados o representativos de asuntos que atendemos. Cada caso es distinto y ningún resultado descrito garantiza uno similar.
Expediente sancionador de la AEPD por videovigilancia
- Situación
- Una empresa de servicios recibió una reclamación por cámaras instaladas sin cartel informativo ni base de licitud documentada.
- Actuación
- Regularizamos la instalación, documentamos la finalidad y los plazos de conservación y presentamos alegaciones acreditando la corrección inmediata.
- Resultado
- El procedimiento terminó sin multa económica, con apercibimiento.
Brecha de seguridad en un comercio electrónico
- Situación
- Acceso no autorizado a la base de datos de clientes de una tienda online, con riesgo para varios miles de usuarios.
- Actuación
- Notificación a la AEPD dentro del plazo de 72 horas, comunicación a los afectados, informe forense y plan de medidas correctoras.
- Resultado
- Notificación aceptada sin apertura de expediente sancionador y protocolo de incidentes implantado.
Uso de IA generativa en un departamento de recursos humanos
- Situación
- Una pyme usaba una herramienta de IA para filtrar candidaturas sin información ni control humano documentado.
- Actuación
- Clasificamos el sistema conforme al AI Act, introdujimos revisión humana, información a los candidatos y adenda contractual con el proveedor.
- Resultado
- Proceso de selección conforme al RGPD y al AI Act, con documentación lista para acreditar diligencia.
Preguntas frecuentes
- ¿Mi empresa necesita un Delegado de Protección de Datos?
- Es obligatorio en los supuestos del artículo 37 del RGPD y del artículo 34 de la LOPDGDD. En el resto de casos suele ser recomendable si se tratan datos sensibles o a gran escala.
- ¿Qué plazo hay para notificar una brecha de seguridad?
- 72 horas desde que se tiene conocimiento, salvo que sea improbable que suponga un riesgo para los derechos de los afectados.
- ¿Cuánto puede sancionar la AEPD a una pyme?
- El RGPD permite multas de hasta 20 millones de euros o el 4 % de la facturación global anual. En pymes las sanciones habituales son muy inferiores y se gradúan según la gravedad, la intencionalidad y la diligencia acreditada por la empresa.
- ¿Qué documentación mínima debe tener una empresa en materia de protección de datos?
- Registro de actividades de tratamiento, análisis de bases de licitud, cláusulas informativas, contratos con encargados del tratamiento, política de conservación, procedimiento de atención de derechos y registro de brechas.
- ¿Usar ChatGPT u otra IA en la empresa obliga a algo?
- Sí. Como responsable del despliegue debe controlar qué datos se introducen en la herramienta, informar a las personas afectadas, formar al personal y revisar el contrato con el proveedor. Son obligaciones del AI Act y del RGPD que ya resultan exigibles.
- ¿Atienden solo a empresas de Madrid?
- Trabajamos presencialmente en Madrid y por videollamada con clientes de toda España. La adecuación al RGPD y el DPO externo se prestan sin problema en remoto.