Cuando se habla de protección de datos, muchas empresas piensan en ciberataques, hackers o grandes filtraciones. Pero la realidad es mucho menos cinematográfica y, a la vez, mucho más peligrosa: la mayoría de los riesgos no están en un fallo técnico, sino en procesos cotidianos que “siempre se han hecho así”.
Para una empresa, el verdadero problema no es desconocer la normativa, sino dar por sentado que cumplir una vez es suficiente. La protección de datos no funciona como una licencia: no se obtiene y se archiva. Funciona como un sistema vivo que depende de cómo se gestiona la información cada día en recursos humanos, en marketing, en atención al cliente o en la relación con proveedores.
Aquí es donde aparecen las zonas grises: prácticas que no parecen ilegales a simple vista, que no generan alarmas inmediatas, pero que carecen de una base jurídica clara, de documentación o de controles. Son los puntos ciegos del cumplimiento. Y, precisamente por eso, son los que más sanciones generan.
Desde 4D Legal, como consultora LegalTech especializada en cumplimiento normativo y protección de datos, vemos a diario cómo empresas bienintencionadas asumen riesgos innecesarios simplemente por no haber revisado estos “detalles”.
Antes de entrar en casos concretos, conviene fijar una idea clave.
¿Qué se considera una “zona gris” en el RGPD y por qué es un riesgo silencioso?
Una zona gris en protección de datos es una práctica que no parece ilegal de forma evidente, pero que no tiene una base jurídica documentada, un propósito definido o un control adecuado conforme al RGPD.
No hablamos de vulneraciones flagrantes, sino de usos de datos que:
- No están alineados con el principio de limitación de la finalidad.
- No respetan claramente los plazos de conservación.
- Carecen de información transparente al interesado.
- O no están respaldados por contratos, registros o medidas técnicas suficientes.
El problema de estas zonas grises es que pasan desapercibidas durante años… hasta que hay una reclamación, una inspección o una denuncia.
¿Por qué son tan frecuentes?
Porque el RGPD no solo exige “no hacer cosas mal”, sino demostrar que se hacen bien. Y eso implica documentación, trazabilidad y coherencia entre lo que la empresa dice y lo que realmente hace con los datos.
La Agencia Española de Protección de Datos (AEPD) viene advirtiendo en sus memorias anuales que una parte significativa de los procedimientos sancionadores no se origina en brechas técnicas, sino en deficiencias administrativas, falta de información al interesado o ausencia de base jurídica adecuada. La Comisión Europea y el Comité Europeo de Protección de Datos (EDPB) han insistido en la misma línea en sus directrices sobre responsabilidad proactiva.
Si tu empresa ya dio “los pasos básicos” para cumplir con la normativa, este es el siguiente nivel: revisar dónde el cumplimiento es formal… pero no real. Si necesitas un marco general previo, es útil repasar nuestra guía de cumplimiento de GDPR.
A partir de aquí, entramos en las zonas grises más habituales.
El cajón desastre de recursos humanos: la gestión de currículums (CVs)
En la mayoría de las empresas, los currículums llegan por múltiples vías: correo electrónico, formularios web, LinkedIn, recomendaciones internas. El problema no es recibirlos, sino qué se hace con ellos después.
El riesgo real
Es habitual encontrar:
- Carpetas compartidas con cientos de CVs acumulados durante años.
- Correos de managers con archivos adjuntos que nunca se eliminan.
- Bases de datos de candidatos “por si acaso surge algo”.
Desde el punto de vista del RGPD, esto genera varios problemas:
- Conservación excesiva: los datos personales solo pueden conservarse durante el tiempo necesario para la finalidad para la que se recogieron.
- Falta de información: muchos candidatos no han sido informados de cuánto tiempo se conservarán sus datos ni de sus derechos.
- Ausencia de base jurídica: sin consentimiento o sin una finalidad legítima actual, mantener esos datos es injustificable.
Qué exige la normativa
La AEPD ha reiterado que, salvo que exista consentimiento expreso del candidato para conservar su CV para futuros procesos, lo adecuado es eliminarlo una vez finalizado el proceso de selección. Algunas organizaciones establecen plazos razonables (por ejemplo, 6 o 12 meses), siempre que informen claramente de ello y permitan al interesado revocar su consentimiento.
Cómo salir de la zona gris
- Definir un plazo de conservación documentado.
- Informar al candidato desde el primer contacto.
- Implantar una política de borrado automático o revisión periódica.
Este tipo de prácticas, aparentemente menores, son un foco recurrente de reclamaciones y sanciones.
Videovigilancia y control laboral: la delgada línea de la privacidad
Las cámaras de videovigilancia son un clásico de las zonas grises. Se instalan por seguridad, pero acaban utilizándose para control laboral sin haber definido claramente esa finalidad.
Errores frecuentes
- Colocar cámaras en zonas de trabajo sin informar adecuadamente.
- Grabar áreas sensibles como zonas de descanso o comedores.
- Utilizar imágenes para imponer sanciones disciplinarias sin haber advertido previamente de ese uso.
El RGPD y la normativa laboral exigen aplicar el principio de proporcionalidad: la medida debe ser adecuada, necesaria y equilibrada respecto al derecho a la intimidad del trabajador.
Qué dice la autoridad de control
La AEPD y los tribunales han sido claros: si la finalidad del sistema no está definida e informada, el uso de las imágenes para otros fines (como sanciones) puede considerarse ilícito, incluso aunque el hecho grabado sea real.
Enfoque de cumplimiento
Aquí no basta con tener cámaras. Es imprescindible contar con:
- Cartelería informativa adecuada.
- Cláusulas específicas en la política interna.
- Un protocolo claro de uso y conservación de las grabaciones.
Desde una perspectiva de compliance, la videovigilancia debe tratarse como cualquier otro tratamiento de datos: con base jurídica, finalidad concreta y controles documentados.
El marketing agresivo y los emails comerciales “fríos”
Muchas empresas asumen que, en el entorno B2B, pueden enviar comunicaciones comerciales sin mayores restricciones. Y ahí se abre otra zona gris.
Prácticas de riesgo
- Enviar emails a direcciones genéricas (info@empresa.com) sin analizar si hay datos personales detrás.
- Contactar con antiguos clientes sin ofrecer un mecanismo claro de oposición.
- Justificar campañas bajo un “interés legítimo” sin haber realizado una ponderación real.
El matiz legal
Aunque el RGPD distingue entre datos de personas físicas y contactos profesionales, no todo lo que parece B2B queda fuera de la normativa. Cuando una dirección identifica directa o indirectamente a una persona (nombre.apellido@empresa.com), se trata de un dato personal.
El interés legítimo solo es válido si:
- Existe una relación previa o una expectativa razonable del interesado.
- Se ha realizado una ponderación documentada de derechos e intereses.
- Se ofrece siempre una opción clara y sencilla de oposición.
Cómo evitar problemas
- Revisar bases de datos antiguas.
- Documentar la base jurídica de cada campaña.
- Incluir mecanismos de baja visibles y efectivos.
No es raro que reclamaciones por comunicaciones no deseadas acaben en procedimientos sancionadores por falta de base legal o de información adecuada.
Herramientas no corporativas (Shadow IT): WhatsApp y la nube personal
La tecnología ha facilitado el trabajo… y ha multiplicado las zonas grises. El uso de herramientas no corporativas (Shadow IT) es uno de los mayores riesgos invisibles.
El problema de fondo
Para ganar agilidad, muchos empleados:
- Atienden clientes por WhatsApp personal.
- Comparten documentos en cuentas privadas de Google Drive o Dropbox.
- Guardan información en dispositivos propios (BYOD: Bring Your Own Device).
Esto implica:
- Pérdida de control sobre dónde están los datos.
- Dificultad para garantizar derechos de acceso, rectificación o supresión.
- Posibles transferencias internacionales sin garantías adecuadas.
Por qué es una zona gris peligrosa
No suele haber mala fe. El problema es que la empresa sigue siendo responsable del tratamiento, aunque los datos estén en dispositivos o cuentas personales.
La AEPD ha señalado en múltiples resoluciones que la falta de medidas organizativas y técnicas para evitar estos usos constituye un incumplimiento del principio de responsabilidad proactiva.
Cómo abordarlo
- Definir políticas claras de uso de herramientas corporativas.
- Restringir o regular el BYOD.
- Formar a los equipos en buenas prácticas.
La responsabilidad sobre terceros: proveedores y encargados de tratamiento
Externalizar servicios no significa externalizar responsabilidades. Este es uno de los puntos donde más se concentran las sanciones por “descuido administrativo”.
El riesgo habitual
- No firmar contratos de encargo de tratamiento con proveedores que acceden a datos personales.
- Mantener contratos desactualizados.
- No verificar mínimamente las medidas de seguridad de terceros.
Desde el RGPD, la empresa responsable tiene un deber de “culpa in vigilando”: debe seleccionar, contratar y supervisar adecuadamente a sus encargados.
Un contexto cada vez más exigente
Aunque normativas como NIS2 o DORA no se centran exclusivamente en protección de datos, refuerzan una idea clave: la cadena de suministro también debe cumplir. El nivel de diligencia exigido a las empresas está aumentando.
Cómo reducir la exposición
- Revisar y actualizar contratos con proveedores.
- Mantener un registro de encargados de tratamiento.
- Establecer controles periódicos, aunque sean básicos.
Este es uno de los puntos donde más empresas descubren que “creían cumplir”, pero no pueden demostrarlo.
Cómo la tecnología y la IA eliminan estas zonas grises
La mayoría de las zonas grises no existen por falta de voluntad, sino por limitaciones humanas: olvidos, criterios subjetivos, procesos no documentados. Aquí es donde la tecnología y la inteligencia artificial marcan la diferencia.
Qué aporta la automatización al cumplimiento
- Auditoría continua: revisión sistemática de tratamientos, plazos y bases jurídicas.
- Clasificación de datos: identificación de información personal en repositorios digitales.
- Control de plazos de conservación: eliminación automática o alertas cuando un dato supera su vida útil.
- Trazabilidad: registro de quién accede, modifica o comparte información.
A diferencia de los procesos manuales, los sistemas automatizados no tienen “dudas” ni interpretaciones informales. Aplican reglas objetivas y generan evidencias.
Beneficio para dirección y responsables de cumplimiento
- Para el CEO: tranquilidad. Menos dependencia del “ojo humano” y menor exposición a sanciones inesperadas.
- Para el DPO o responsable legal: eficiencia. Menos tiempo en tareas repetitivas y más foco en decisiones estratégicas.
En 4D Legal integramos conocimiento jurídico y tecnología precisamente para convertir estas zonas grises en procesos claros, documentados y verificables.
Las zonas grises en protección de datos no suelen aparecer en titulares, pero son responsables de buena parte de las sanciones y conflictos reputacionales. No se trata de grandes fallos de seguridad, sino de:
- CVs almacenados sin criterio.
- Cámaras usadas sin protocolos claros.
- Emails enviados con bases jurídicas dudosas.
- Datos gestionados desde herramientas personales.
- Proveedores sin contratos adecuados.
El patrón es siempre el mismo: prácticas cotidianas, aparentemente inofensivas, que carecen de una base jurídica documentada.
La buena noticia es que estas situaciones son prevenibles. Con una revisión adecuada, políticas claras y el apoyo de tecnología e IA, es posible convertir la incertidumbre en control.
Si quieres comprobar si tu empresa tiene alguna de estas zonas grises y valorar cómo resolverlas de forma práctica, te invitamos a visitar nuestro servicio de protección de datos.
Porque en protección de datos, como en cualquier área de cumplimiento, prevenir siempre es más barato que sancionar.