Curso online de Implantación de la protección de datos según el RGPD bonificado

💻 Software

• Navegador web actualizado (Chrome, Firefox, Edge) — gratuito
• Procesador de textos para redactar documentos y plantillas: LibreOffice Writer (gratuito) o Microsoft Word
• Lector de PDF: el propio navegador o Adobe Acrobat Reader (gratuito)
• Acceso a aepd.es para consultar guías oficiales, modelos de cláusulas y herramientas Facilita Pro (gratuitas)

?️ Hardware

• Cualquier PC, portátil o Mac de los últimos 6 años
• 4 GB de RAM son suficientes — este curso es 100% teórico-documental, sin máquinas virtuales
• Conexión a internet para acceder a recursos oficiales y normativa actualizada

🔑 Cuentas y accesos

• No se necesita ninguna cuenta de pago
• Cuenta de correo para acceder a documentos y guías descargables de la AEPD (registro gratuito)

📚 Conocimientos previos

• No se requiere formación jurídica previa: el curso parte desde cero normativo
• Útil (no obligatorio) haber gestionado datos de clientes o empleados en tu trabajo habitual
• Capacidad de leer y analizar textos legales con ayuda de los materiales del curso

A lo largo del curso trabajarás con documentos y casos reales que puedes adaptar directamente a tu organización. Estos son los proyectos principales:

1. Registro de Actividades de Tratamiento (RAT) completo — Elabora el RAT de una empresa ficticia con 5 tratamientos distintos (clientes, empleados, videovigilancia, marketing y proveedores), identificando base jurídica, plazos de conservación y medidas de seguridad aplicables.
2. Contrato tipo de Encargado del Tratamiento — Redacta un contrato de encargado conforme al art. 28 RGPD para un caso de externalización de nóminas a una gestoría, incluyendo todas las cláusulas mínimas obligatorias.
3. Política de privacidad y cláusulas informativas en dos capas — Diseña la política de privacidad web y los textos de información en formularios de recogida de datos para una tienda online, aplicando el principio de transparencia.
4. Protocolo de gestión de brechas de seguridad — Crea el procedimiento interno de notificación a la AEPD en 72 horas y de comunicación a los afectados, partiendo de un supuesto de fuga de datos por ransomware.
5. Evaluación de Impacto relativa a la Protección de Datos (EIPD) — Realiza una EIPD básica para un sistema de control horario biométrico de empleados, identificando riesgos y medidas mitigadoras siguiendo la metodología de la AEPD.
6. Plan de formación interna en RGPD — Diseña un plan de concienciación para trabajadores de un departamento de RRHH, con contenidos, frecuencia, registro de asistencia y evidencias de cumplimiento.

Estos son los fallos más frecuentes al implantar el RGPD en organizaciones reales. Conocerlos de antemano te ahorra problemas serios:

• Pedir consentimiento cuando existe otra base jurídica válida. Si tratas datos para ejecutar un contrato o cumplir una obligación legal, el consentimiento no es la base adecuada y genera falsas expectativas al interesado.
• Registro de Actividades de Tratamiento incompleto o desactualizado. Omitir tratamientos (como videovigilancia o control de accesos) o no actualizar el RAT cuando cambian los procesos es una de las infracciones más detectadas en inspecciones.
• No notificar brechas de seguridad a la AEPD en 72 horas. Muchas organizaciones esperan a tenerlo todo investigado antes de notificar, incumpliendo el plazo obligatorio aunque la notificación sea provisional.
• Contratos de encargado del tratamiento inexistentes o con contenido insuficiente. Subcontratar servicios (gestoría, nube, mantenimiento IT) sin contrato art. 28 en vigor es una infracción directa, independientemente del tamaño de la empresa.
• Cláusulas informativas copiadas y genéricas. Usar plantillas sin adaptarlas a los tratamientos reales de la organización invalida el cumplimiento del deber de información y puede derivar en sanciones.
• Confundir datos sensibles con datos ordinarios. Tratar datos de salud, sindicales o biométricos sin las garantías adicionales exigidas (base jurídica reforzada, EIPD previa) es un error de alto riesgo sancionador.
• No realizar EIPD cuando es obligatoria. Implantar sistemas de videovigilancia masiva, perfilado o tratamiento biométrico sin evaluación de impacto previa infringe directamente el art. 35 RGPD.
• Enviar datos personales por correo electrónico sin cifrado. Reenviar listados de clientes, nóminas o historiales médicos en adjuntos sin protección constituye una brecha de seguridad en sí misma.
• Asumir que el antivirus o el firewall cubren todas las obligaciones técnicas. Las medidas de seguridad del RGPD incluyen también control de accesos, pseudonimización, registros de actividad y gestión de soportes.
• Ignorar los derechos ARCO-POL por no tener procedimiento definido. Sin un cauce interno para gestionar solicitudes de acceso, rectificación, supresión u oposición, los plazos legales se incumplen casi inevitablemente.

Recursos gratuitos y herramientas que complementan el curso y te serán útiles en tu trabajo diario con el RGPD:

📖 Documentación oficial imprescindible

• aepd.es — Guías prácticas, modelos de cláusulas, herramienta Facilita Pro para pymes, listado de tratamientos que requieren EIPD y formularios de notificación de brechas. Es tu referencia principal.
• edpb.europa.eu — Directrices del Comité Europeo de Protección de Datos: consentimiento, transferencias internacionales, brechas, cookies. Versiones en español disponibles.
• boe.es — Texto consolidado de la LOPDGDD (Ley Orgánica 3/2018) y del RGPD publicado en el DOUE. Siempre consulta la versión vigente.

?️ Herramientas gratuitas de la AEPD

• Facilita Pro (aepd.es) — Genera automáticamente el Registro de Actividades de Tratamiento y el contrato de encargado para pymes y micropymes. Sin instalación, desde el navegador.
• Gestiona EIPD (aepd.es) — Herramienta oficial para realizar Evaluaciones de Impacto paso a paso, con metodología validada por la propia autoridad.
• Comunica Brecha (aepd.es) — Asistente para valorar si una brecha debe notificarse a la AEPD y/o a los afectados, con formulario de notificación integrado.

📑 Referencia normativa rápida

• INCIBE (incibe.es) — Guías de ciberseguridad para empresas, incluyendo protección de datos en entornos técnicos y gestión de incidentes.
• CCN-CERT (ccn-cert.cni.es) — Guías del Esquema Nacional de Seguridad (ENS) aplicables cuando el RGPD se cruza con administraciones públicas o sus proveedores.

👥 Comunidades y foros profesionales

• r/gdpr en Reddit — Comunidad activa en inglés con casos prácticos, resoluciones de autoridades europeas y debate sobre interpretación normativa.
• Foro de la Asociación Española de Delegados de Protección de Datos (AEPD-DP) — Red profesional de DPOs en España con recursos y formación continua.
• LinkedIn — grupos de DPO España — Grupos activos donde profesionales comparten resoluciones de la AEPD, criterios interpretativos y plantillas.