Introducción
El principio de accountability, también denominado responsabilidad proactiva, es la obligación que establece el Reglamento General de Protección de Datos (RGPD) por la que el responsable del tratamiento no solo debe cumplir la normativa de protección de datos, sino también ser capaz de demostrar que la cumple mediante documentación, medidas técnicas y organizativas verificables.
En muchos de los casos, el origen de las sanciones está en el incumplimiento formal de la normativa vigente de protección de datos como, por ejemplo, en la falta de legitimidad para el tratamiento de los datos. Hay otras ocasiones en las que el origen está en errores en la gestión de los datos, que comprometen seriamente los derechos de los usuarios desde el punto de vista de la privacidad. Por ejemplo, al facilitar información a terceros sin autorización.
Hoy, en nuestro nuevo contenido de la serie que dedicamos al RGPD vamos a hablar del principio de accountability.
Protege los activos reputacionales y financieros de tu organización implementando protocolos automatizados que mitigan cualquier riesgo legal o sanción en la gestión de datos gracias a nuestras soluciones para el cumplimiento normativo.
La importancia del principio de accountability
Es cierto que hoy en día, con el desarrollo de la ciberdelincuencia y su especialización tecnológica, es complicado evitar que una violación de seguridad se convierta en una fuga o robo de datos de clientes. Por ello, el Reglamento General de Protección de Datos (RGPD) obliga al responsable del tratamiento a poner todos los medios posibles para minimizar su impacto en la organización. Tal es así que cuando la brecha se produce es obligatorio avisar a las autoridades de control en un plazo máximo de 72 horas. Esto forma parte del principio de accountability, también llamado responsabilidad proactiva.
Entendemos por accountability la capacidad del responsable de cumplir (y demostrar que lo hace) la normativa de protección de datos. Algunas de las empresas sancionadas recientemente por la AEPD, conforme el pronunciamiento de la propia agencia, no respetaban este principio. Por ejemplo, una de las multas impuestas a una empresa se debió a la falta de actualización de los datos de un cliente lo cual derivó en su inclusión en un fichero de impagos. En otros casos de compañías sancionadas, el motivo fue la falta de una base de datos que permitiese su tratamiento con garantías. O, también, su incapacidad para demostrar que el cliente o usuario del servicio prestó su consentimiento. En este casos, el resultado fue el incumplimiento del artículo 7.1 del RGPD:
1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
En cualquiera de los casos comentados anteriormente se detecta falta de cumplimiento del principio de responsabilidad proactiva del responsable, por lo que se evidencia que la gestión de los datos no respeta lo exigido por el reglamento.
| Obligación de accountability | Descripción práctica | Base legal RGPD |
|---|---|---|
| Registro de actividades de tratamiento | Documentar todos los tratamientos de datos realizados por la organización | Art. 30 |
| Evaluación de impacto (EIPD) | Realizar análisis de riesgo previo en tratamientos de alto riesgo | Art. 35 |
| Privacy by design and default | Incorporar protección de datos desde el diseño de procesos y sistemas | Art. 25 |
| Contratos con encargados del tratamiento | Documentar relaciones con proveedores que traten datos en nombre del responsable | Art. 28 |
| Notificación de brechas de seguridad | Comunicar a la AEPD en 72 horas cualquier brecha que afecte a derechos de personas | Art. 33 |
| Demostración del consentimiento | Acreditar que el interesado prestó consentimiento válido e informado | Art. 7.1 |
| Nombramiento de DPO (cuando procede) | Designar Delegado de Protección de Datos en organizaciones obligadas | Art. 37 |
Selección de herramientas eficaces para la gestión del dato
Es justo reconocer que la gestión de los datos no es sencilla por su volumen y complejidad. En muchos casos dependerá además de otros factores como, por ejemplo, la necesaria inversión (económica y humana) para manejarlos conforme a la ley.
Sin embargo, hoy en día existen herramientas ágiles que permiten centralizar y custodiar los consentimientos de los usuarios durante todo el ciclo de vida de su relación contractual, lo que incluye la posibilidad de que el interesado retire su autorización en cualquier momento, y con garantías.
Además, estas herramientas cumplen con los principios de privacy by design and default, que incorporan las medidas de seguridad y los más altos estándares de privacidad de los datos de los clientes. También ayudan a que se demuestre, llegado el caso, que el responsable de tratamiento lo ha obtenido de forma legítima.
En la práctica, una plataforma de gestión del consentimiento (CMP) integrada con los canales de comunicación — email, SMS, WhatsApp — permite centralizar los registros de consentimiento, gestionar su vigencia, registrar las retiradas y generar evidencia auditable en tiempo real. Cuando esa plataforma está operada por un Prestador de Servicios de Confianza Cualificado (PSCC) bajo eIDAS, la evidencia generada tiene presunción legal de validez en toda la UE, lo que refuerza significativamente la posición del responsable ante la AEPD.
Evita costosas penalizaciones y auditorías de datos en tus campañas y comunicaciones garantizando una captación de permisos 100% auditable y transparente bajo los estándares del RGPD y la gestión de consentimiento.
¿Cómo te ayuda un prestador de servicios de confianza cualificado?
Muchos de los errores cometidos en el tratamiento de los datos, se deben a una falta en la obtención del consentimiento por parte de los interesados o su imposibilidad de custodiarlo de manera adecuada y poder demostrarlo en consecuencia.
En este sentido, un prestador de servicios de confianza cualificado, como MailComms Group, certifica que la comunicación del consentimiento se ha producido de forma correcta y puede aportar toda la trazabilidad de envío y recepción de su consentimiento por cualquier canal: email, SMS, WhatsApp, etc. De esta manera, el responsable del tratamiento tendrá la oportunidad de acreditar que el consentimiento se ha recabado correctamente. Así lo podrá aportar como prueba en caso de reclamación por parte del cliente o incluso en el procedimiento de alegaciones en caso de reclamación por parte de la AEPD.
MailComms Group también facilita a los responsables del principio de accountability el cumplimiento normativo al ser un proveedor certificado en la ISO 27001 (Sistema de Gestión de Seguridad de la Información) y la ISO 27701 (Sistema de Gestión de la Información sobre la Privacidad).
Esta última norma es una extensión de las ISO 27001 y 27002, en las que se abordan requisitos específicos que garantizarán que las organizaciones dispongan de una gobernanza de datos completa y universalmente aplicable, que se ajuste directamente a los requisitos legislativos de sus jurisdicciones. De ahí la importancia de seleccionar tanto soluciones como proveedores que garanticen la seguridad 360º en torno a estas ISO y a sus conceptos destacados: seguridad y privacidad de la información.
Mejora la navegación en tus portales web y optimiza la interacción de todos tus usuarios sin importar sus capacidades, adelantándote a los requisitos de diseño inclusivo que establece la Nueva Ley de Accesibilidad Europea.
| Necesidad de accountability | Cómo lo resuelve un PSCC como MailComms |
|---|---|
| Demostrar que el consentimiento se obtuvo correctamente | Certificación del envío, recepción y contenido del consentimiento con trazabilidad completa por canal (email, SMS, WhatsApp) |
| Acreditar la validez del consentimiento ante la AEPD | El PSCC genera evidencia electrónica con valor probatorio bajo eIDAS, con presunción legal de autenticidad |
| Gestión de retiradas del consentimiento | Registro certificado de la retirada con fecha, canal y contenido exacto de la comunicación |
| Cumplimiento de notificación de brechas en 72 h | Trazabilidad de accesos y comunicaciones que facilita la identificación y alcance de la brecha |
| Demostrar seguridad de la información (ISO 27001) | MailComms Group está certificado en ISO 27001 (seguridad) e ISO 27701 (privacidad), acreditando el estándar de gestión exigido |
Si tu organización opera en sectores como banca, seguros, utilities o telecomunicaciones, la demostración del accountability no es una tarea puntual sino un proceso continuo que debe estar respaldado por evidencia certificada. En MailComms Group, como Prestador de Servicios de Confianza Cualificado (PSCC) certificado en ISO 27001 e ISO 27701, te ayudamos a gestionar el ciclo completo del consentimiento — obtención, custodia, retirada y demostración — con plena validez jurídica bajo eIDAS y trazabilidad auditable por la AEPD en cualquier momento.
Preguntas frecuentes
¿Qué es el principio de accountability en el RGPD?
El principio de accountability, o responsabilidad proactiva, es la obligación establecida en el artículo 5.2 del RGPD por la que el responsable del tratamiento no solo debe cumplir los principios de protección de datos, sino también ser capaz de demostrar ese cumplimiento mediante documentación y medidas verificables. Implica un enfoque activo: no basta con no incumplir, hay que poder probar que se cumple.
¿Qué obligaciones concretas implica el accountability para una empresa?
Entre las obligaciones principales: mantener un registro de actividades de tratamiento (art. 30), realizar evaluaciones de impacto en tratamientos de alto riesgo (art. 35), aplicar privacidad por diseño y por defecto (art. 25), documentar contratos con encargados del tratamiento (art. 28), notificar brechas de seguridad a la AEPD en 72 horas (art. 33), y poder demostrar en cualquier momento que el consentimiento del interesado fue obtenido de forma válida (art. 7.1).
¿Qué sanciones puede imponer la AEPD por incumplimiento del accountability?
Las sanciones pueden alcanzar hasta 10 millones de euros o el 2% de la facturación global anual para infracciones graves, y hasta 20 millones de euros o el 4% para infracciones muy graves. La AEPD ha sancionado recientemente a empresas de banca, seguros, telecomunicaciones y utilities por incumplimientos relacionados con la falta de base legal para el tratamiento, inclusión indebida en ficheros de morosos y ausencia de demostración del consentimiento.
¿Cómo puede una empresa demostrar que obtuvo el consentimiento correctamente?
Mediante evidencia electrónica certificada que acredite el envío, la recepción y el contenido de la comunicación de consentimiento, con marca de tiempo y trazabilidad del canal utilizado. Cuando esta evidencia es generada por un Prestador de Servicios de Confianza Cualificado (PSCC) bajo eIDAS, tiene presunción legal de validez en toda la UE, lo que convierte al responsable en una posición de ventaja probatoria ante cualquier reclamación o procedimiento de la AEPD.
¿Qué diferencia hay entre ISO 27001 e ISO 27701 en el contexto del RGPD?
La ISO 27001 certifica el Sistema de Gestión de Seguridad de la Información (SGSI) de una organización, acreditando que dispone de controles técnicos y organizativos para proteger la información. La ISO 27701 es una extensión específica de la ISO 27001 centrada en la privacidad: extiende el SGSI para incluir la gobernanza de datos personales y los requisitos del RGPD, facilitando la demostración del cumplimiento del principio de accountability.