Hay una frase que aparece en casi todas las reuniones posteriores a una brecha: «pero si nosotros esto lo hacíamos». Probablemente sea cierto. Y es exactamente igual de irrelevante que si fuera falso, porque el artículo 5.2 del RGPD no valora lo que usted hace: valora lo que usted puede demostrar.
Qué añade el apartado 2 al apartado 1
El artículo 5.1 enumera los principios del tratamiento: licitud, lealtad, transparencia, minimización, exactitud, limitación del plazo de conservación. El apartado 2 añade una obligación de naturaleza distinta. No le pide cumplir un principio más. Le pide poder acreditar que cumple los anteriores. Es una obligación de segundo grado, y es la que se pierde por el camino en casi todas las empresas.
Y, según el art. 5.2. RGPD «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)»
«Responsabilidad proactiva» suena a lenguaje administrativo y es, en realidad, una regla procesal: coloca la carga de la prueba de su lado. Usted no llega al juicio a rebatir lo que la otra parte demuestre. Llega a demostrar lo suyo.
La carga de la prueba decide pleitos
En un litigio civil ordinario, quien afirma, prueba. Aquí no. Aquí quien trata los datos tiene que probar que los trató bien, aunque nadie haya probado que los trató mal. Esa inversión cambia la estrategia entera del asunto y, sobre todo, cambia el momento en que hay que trabajar: antes.
La consecuencia de negocio es incómoda de leer y conviene leerla igual. Dos empresas con prácticas reales idénticas pueden terminar una absuelta y otra condenada. La única diferencia entre ellas será un archivo ordenado.
La Audiencia Provincial de Madrid ha llevado el mismo principio a un terreno donde casi nadie lo espera: la finalidad. Puesto el artículo 5.2 en relación con el 6.4, corresponde al responsable del tratamiento determinar y demostrar que una finalidad posterior es compatible con la que justificó recoger los datos (SAP Madrid 123/2026).
Traducido a su día a día: si usted usa para algo nuevo unos datos que recogió para otra cosa —y tras una brecha esto ocurre constantemente, al cruzar listados para avisar a los afectados o para depurar registros—, no basta con que la nueva finalidad le parezca razonable. Tiene que haberla valorado y tiene que poder demostrar esa valoración.
El principio de exactitud lleva reloj
La segunda pieza del artículo 5 que se rompe tras un incidente es la exactitud. No es un principio decorativo: es una obligación de actuar, y con un plazo implícito.
Conforme al artículo 5.1.d) RGPD, los datos serán exactos y, si fuere necesario, actualizados, lo que obliga a los responsables del tratamiento a adoptar todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos inexactos
Dos palabras mandan sobre las demás: «sin dilación». No dice cuando se revise el fichero. No dice en la próxima actualización. Dice sin dilación, es decir, desde el momento en que usted sabe que el dato es inexacto. El reloj empieza con el conocimiento, no con la queja.
Tras una brecha esto se vuelve crítico. Los datos se mueven, se duplican en listados de trabajo, se corrigen a mano, se rectifican en un sistema y no en el otro. Cada divergencia que sobreviva será, meses después, un dato inexacto que usted mantenía a sabiendas.
Cómo es un registro que sirve
- Fecha de entrada: cuándo supo usted que el dato era inexacto, y por quién.
- Decisión: qué se rectificó o suprimió, en qué sistemas y quién lo autorizó.
- Fecha de salida: cuándo quedó hecho, para poder medir la dilación.
- Comunicación: a quién se avisó del cambio, dentro y fuera de la empresa.
- Cierre: constancia de que el dato antiguo no sobrevive en ningún listado de trabajo.
Un cuadro con esas cinco columnas resuelve buena parte del artículo 5. No exige herramienta ninguna. Exige una decisión de organización: que alguien tenga el encargo, por escrito, de mantenerlo al día.
Lo mismo vale para el protocolo y la formación
La responsabilidad proactiva no se agota en la exactitud. Alcanza a todo lo que usted afirmará el día del juicio. Dos ejemplos que fallan siempre: el protocolo de actuación ante incidentes y la formación de la plantilla.
Casi todas las empresas tienen «un procedimiento». Muy pocas tienen un documento fechado que diga quién decide la notificación, en qué plazo y con qué información mínima. Y casi todas «forman a la gente», pero sin lista de asistentes ni fecha. La formación que no se documenta no cuenta como prueba: ante el juez equivale a no haberla dado.
Qué se juega, en términos de negocio
Una empresa que puede entregar su expediente probatorio en una semana negocia. Una empresa que necesita tres meses para reconstruirlo, transige. El expediente no cambia el fondo del asunto: cambia la posición desde la que usted se sienta a hablar, y eso decide casi todo lo que viene después.
Añada un efecto que aparece antes del pleito: sus clientes grandes empiezan a pedir evidencia documental, no declaraciones. Quien la tiene preparada responde en días. Quien no, retrasa la firma. En qué mira un tribunal cuando llega la reclamación están los cinco puntos donde esa evidencia se echa de menos siempre.
¿Basta con tener las políticas redactadas?
No. Una política sin fecha, sin aprobación y sin rastro de aplicación demuestra que alguien la escribió, no que usted la cumplía. Lo que acredita cumplimiento es la huella de su uso: decisiones, registros y comunicaciones.
¿Cuánto tiempo debo conservar esa evidencia?
Al menos mientras pueda reclamarle alguien por los hechos que documenta. Conviene fijarlo por escrito y aplicarlo con criterio uniforme, porque conservar de más también es un incumplimiento.
Si quiere saber en qué puntos concretos cumple sin poder acreditarlo, el Test de Gestión de Brecha lo señala uno a uno, con la regla aplicable.
Compruebe qué podría demostrar mañana
No evaluamos sus sistemas. Evaluamos si podría probar ante un tribunal lo que su empresa ya hace todos los días.
Hacer el Test de Gestión de Brecha