Responsabilidad proactiva en el RGPD: cómo acreditan las empresas el cumplimiento de sus obligaciones

La responsabilidad proactiva del art. 5, apdo. 2 RGPD obliga a las empresas no solo a garantizar el cumplimiento de los principios de protección de datos, sino también a poder demostrarlo activamente. La prueba consiste en documentos concretos: un registro de las actividades de tratamiento (art. 30), medidas técnicas y organizativas documentadas (art. 32), contratos de encargo del tratamiento (art. 28) y justificantes de formación. Si falta la prueba, en caso de duda se considera: no hecho.

Por la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es información general y no constituye asesoramiento jurídico.

¿Qué significa la responsabilidad proactiva según el art. 5, apdo. 2 RGPD?

El artículo 5, apartado 2 del RGPD formula una única frase, pero de gran alcance: el responsable del tratamiento es responsable del cumplimiento de los seis principios del apartado 1 y debe poder demostrar su cumplimiento («responsabilidad proactiva»). Esto distingue al RGPD de muchas normas de protección de datos más antiguas: no basta con comportarse conforme a la protección de datos. Una empresa debe poder acreditar, llegado el caso —en una inspección de la autoridad de control, tras una brecha de datos o ante una reclamación—, que ha cumplido las normas.

En la práctica, esto significa que la documentación no es un fin burocrático en sí mismo, sino la obligación propiamente dicha. Quien no documenta nada no puede presentar nada en caso de litigio, aunque internamente todo haya ido correctamente.

¿De qué exactamente debe rendir cuentas?

La responsabilidad proactiva se refiere a los seis principios del art. 5, apdo. 1 RGPD, que todo tratamiento de datos debe cumplir simultáneamente:

• Licitud, lealtad y transparencia – se necesita una base jurídica y transparencia frente a los interesados.
• Limitación de la finalidad – utilizar los datos solo para la finalidad para la que se recogieron.
• Minimización de datos – solo los datos necesarios.
• Exactitud – los datos deben ser exactos y estar actualizados.
• Limitación del plazo de conservación – conservar los datos solo mientras sean necesarios.
• Integridad y confidencialidad – protección adecuada frente a la pérdida y el acceso no autorizado.

Para cada uno de estos principios, una empresa debe poder mostrar, en caso de duda, cómo lo aplica, y no solo afirmar que lo respeta.

¿Qué pruebas cuentan en la práctica?

El RGPD no prescribe una lista de comprobación única para la prueba, pero en la práctica se ha consolidado un núcleo de documentos que se deriva de distintas disposiciones:

El justificante de formación no es un asunto menor: el artículo 39, apartado 1, letra b) menciona expresamente «la concienciación y formación del personal que participa en las operaciones de tratamiento» como una tarea que se supervisa en el marco de la organización de la protección de datos. Una participación documentada y fechada en una formación es, por tanto, un elemento concreto y verificable de la responsabilidad proactiva, con independencia de que se haya designado o no un delegado de protección de datos propio.

¿Qué ocurre si no puede acreditar nada?

Las infracciones de los principios del art. 5 RGPD —y, con ello, también de la responsabilidad proactiva del apartado 2— pertenecen a la categoría superior de multas: hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial, la cuantía que sea más alta (art. 83, apdo. 5 RGPD).

Para la cuantía efectiva en cada caso son determinantes, entre otros factores, la gravedad y la duración de la infracción, así como las medidas técnicas y organizativas adoptadas por el responsable (art. 83, apdo. 2 RGPD): quien ha tomado precauciones demostrables está en mejor posición en la graduación que quien carece de toda documentación. Estas cifras son un marco legal, no un pronóstico para cada caso concreto: muestran por qué la capacidad de acreditar es más que un formalismo.

En cuatro pasos hacia una responsabilidad proactiva demostrable

1. Inventario: ¿qué datos personales trata, con qué finalidad, con qué proveedores? Base del registro de tratamientos.
2. Crear los documentos: elaborar o actualizar el registro, el resumen de TOM y los contratos de encargo con todos los proveedores relevantes.
3. Formar a los empleados y conservar la prueba: una confirmación de participación fechada por persona cierra la laguna documental a la que se refiere el art. 39, apdo. 1, letra b).
4. Mantenerlo actualizado: ante nuevas herramientas, nuevos proveedores o cambios legales, poner al día documentos y formación.

Un programa de formación digital cubre eficazmente el paso 3. Nuestra formación básica en RGPD para empleados se puede reservar en línea y ofrece precisamente esa prueba fechada y verificable mediante código QR para cada persona; el certificado de IA la complementa con un elemento documentado para el requisito de alfabetización en IA del art. 4 del Reglamento de IA (AI Act).

Preguntas frecuentes (FAQ)

¿Qué es la responsabilidad proactiva según el RGPD?

La obligación del art. 5, apdo. 2 RGPD de no solo garantizar el cumplimiento de los seis principios de protección de datos del art. 5, apdo. 1, sino también poder demostrarlo activamente, por ejemplo ante una autoridad de control.

¿Qué pruebas necesito en concreto?

En la práctica, sobre todo un registro de las actividades de tratamiento (art. 30), TOM documentadas (art. 32), contratos de encargo del tratamiento (art. 28) y justificantes de las formaciones de los empleados (art. 39, apdo. 1, letra b).

¿Basta un certificado de participación en una formación como prueba?

Un certificado de participación acredita que una persona ha recibido formación: es un elemento aislado, pero reconocido, de la responsabilidad proactiva. No sustituye a las demás pruebas, como el registro o los contratos de encargo, y no es una certificación oficial de RGPD de la empresa.

¿Qué amenaza si no hay prueba suficiente?

Las infracciones de los principios del art. 5 RGPD pueden sancionarse con multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial (art. 83, apdo. 5 RGPD). La cuantía efectiva depende del caso concreto, entre otros factores, de las medidas de protección adoptadas.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), art. 5, art. 7, apdo. 1, art. 28, apdo. 3, art. 30, art. 32, art. 35, art. 39, apdo. 1, letra b), art. 83, apdos. 2 y 5 – eur-lex.europa.eu