Las Palmas de Gran Canaria concentre le plus grand tissu d'entreprises des Îles Canaries : tourisme international, sociétés établies dans la Zone Spéciale des Canaries (ZEC — Zona Especial Canaria), commerce atlantique et un secteur sanitaire et éducatif en pleine croissance. Toutes ces organisations sont soumises au Règlement (UE) 2016/679 — le RGPD — et à la LOPDGDD (loi organique 3/2018 relative à la protection des données à caractère personnel et à la garantie des droits numériques), avec les mêmes obligations que n'importe quelle entreprise espagnole. Summum Consultoría accompagne les entreprises et les entités de Las Palmas dans leur mise en conformité au RGPD : diagnostic, mise en œuvre, DPO externe et maintien continu, principalement à distance, avec des déplacements ponctuels lorsque le projet l'exige.
Las Palmas de Gran Canaria abrite l'un des écosystèmes d'affaires les plus actifs de l'Atlantique : la Zone Spéciale des Canaries (ZEC) attire des entreprises à activité internationale qui traitent des données à caractère personnel de clients, fournisseurs et employés issus de nombreux pays ; le Port de La Luz est l'un des plus fréquentés de l'Atlantique Sud ; et le secteur touristique — avec des millions de nuitées annuelles dans des hôtels, appartements et hébergements de vacances — traite quotidiennement des données de voyageurs en provenance de toute l'Europe et du monde entier. À cet écosystème s'ajoutent des cliniques privées, des cabinets professionnels, des établissements d'enseignement et un réseau de PME commerciales qui, ensemble, génèrent d'immenses volumes de données personnelles. Pour toutes ces entités, la conformité au RGPD et à la LOPDGDD n'est pas une option : c'est une obligation légale exigible dès le premier traitement de données.
Contrairement à la Catalogne, au Pays Basque ou à l'Andalousie, les Îles Canaries ne disposent pas d'une autorité de contrôle régionale propre en matière de protection des données. L'autorité de contrôle compétente pour l'ensemble des entreprises et entités établies dans l'archipel — y compris celles relevant du Cabildo de Gran Canaria et du Gouvernement des Îles Canaries — est l'AEPD (Agencia Española de Protección de Datos), dont le siège est à Madrid. Les réclamations des citoyens canariens et les procédures de sanction sont traitées par l'AEPD selon les mêmes délais et critères que dans les autres communautés autonomes. Cela signifie que le cadre réglementaire est identique à celui du reste de l'Espagne : les obligations du RGPD s'appliquent avec la même intensité à Gran Canaria qu'à Valladolid ou à Burgos, de même que le régime de sanctions prévu à l'article 83 du RGPD.
Les secteurs présentant le plus grand risque de non-conformité à Las Palmas sont l'hôtellerie et le tourisme — traitement de données de voyageurs internationaux, vidéosurveillance dans les établissements et utilisation de plateformes de gestion des réservations —, les cliniques et centres de santé privés traitant des données de catégorie particulière, les cabinets de conseil et d'expertise agissant comme sous-traitants de données pour le compte de tiers, les copropriétés dans les complexes touristiques et le commerce électronique à destination de la clientèle européenne. Le Gouvernement des Îles Canaries et le Cabildo de Gran Canaria impulsent également des projets de numérisation — administration électronique, dossier médical partagé, plateformes de gestion touristique — dans lesquels les partenaires privés doivent respecter les exigences du RGPD en tant que sous-traitants.
Summum Consultoría fournit ses services de protection des données à Las Palmas principalement à distance, par visioconférence pour le diagnostic et la planification, via des plateformes sécurisées pour l'échange de documents et avec un support continu. Pour les projets plus complexes — audits sur site, formation présentielle des équipes, mise en place de mesures de sécurité physique — nous organisons des déplacements ponctuels. Ce modèle permet aux entreprises canariennes de bénéficier d'un accompagnement expert sans les coûts de déplacement qu'implique une présence physique permanente. Nous accompagnons les organisations en matière de protection des données depuis 2007, et depuis l'entrée en vigueur du RGPD dans leur mise en conformité au Règlement ; notre expérience dans le secteur touristique nous permet d'apporter une approche pratique, adaptée aux réalités insulaires.
Nous analysons les traitements de données réalisés par l'organisation, la documentation existante, les mesures de sécurité mises en place et les relations avec des tiers (sous-traitants). Le résultat est un rapport de diagnostic identifiant les écarts de conformité, classés par niveau de risque et assortis de recommandations hiérarchisées, adaptées au secteur et à la taille de l'entreprise.
À partir du diagnostic, nous concevons le plan de mise en conformité : registre des activités de traitement (art. 30 RGPD), bases juridiques pour chaque traitement, documentation d'information (politique de confidentialité, mentions, formulaires), contrats avec les sous-traitants (art. 28 RGPD) et évaluation de la nécessité de réaliser une Analyse d'Impact relative à la Protection des Données (AIPD). Nous convenons du calendrier de mise en œuvre avec l'organisation.
Nous accompagnons la mise en œuvre de tous les éléments du plan : nous rédigeons la documentation, conseillons sur les mesures techniques et organisationnelles de sécurité, et formons les équipes sur leurs obligations au titre du RGPD et les procédures internes. La formation est adaptée au profil et au secteur de chaque organisation : le programme destiné à un hôtel diffère de celui conçu pour une clinique ou un cabinet d'avocats.
La mise en conformité au RGPD n'est pas un projet ponctuel : les activités de traitement évoluent, les réglementations changent et l'AEPD publie des lignes directrices et des résolutions qui actualisent les critères de conformité. Nous proposons un service de maintenance comprenant la révision périodique du système, la mise à jour de la documentation, le traitement des demandes d'exercice de droits des personnes concernées et le support pour tout incident ou question survenant au quotidien.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Registre des activités de traitement
Élaboration et tenue du registre des activités de traitement (art. 30 RGPD) : inventaire complet de l'ensemble des traitements de données, avec finalités, bases juridiques, catégories de données, destinataires et durées de conservation adaptées à l'activité de l'entreprise à Las Palmas.
Documentation sur la confidentialité
Rédaction ou révision de la politique de confidentialité, des mentions légales, des mentions d'information et des formulaires de collecte de données, adaptés au RGPD, à la LOPDGDD et à l'activité spécifique de l'organisation : tourisme, santé, commerce, services professionnels ou autres.
Contrats avec les sous-traitants
Identification des fournisseurs agissant en tant que sous-traitants — plateformes de réservation, terminaux de paiement, experts-comptables, logiciels en nuage — et rédaction ou révision des contrats prévus à l'article 28 RGPD régissant leur accès aux données de l'organisation.
DPO externe (Délégué à la Protection des Données)
Service de Délégué à la Protection des Données externe pour les organisations tenues d'en désigner un en vertu de l'article 37 du RGPD — administrations, cliniques, établissements d'enseignement, entreprises de sécurité — ou souhaitant renforcer leur conformité avec un interlocuteur qualifié auprès de l'AEPD.
Gestion des droits des personnes concernées
Procédure interne permettant de traiter dans les délais légaux les demandes d'accès, de rectification, d'effacement, d'opposition, de portabilité et de limitation du traitement susceptibles d'être exercées par les employés, clients, voyageurs et toute autre personne dont l'organisation traite les données.
Formation et sensibilisation des équipes
Sessions de formation pour le personnel sur les obligations du RGPD, les bonnes pratiques en matière de traitement des données et les procédures internes de l'organisation, adaptées au secteur — hôtellerie, santé, commerce, services — et au profil des participants.
Le conseil RGPD à Las Palmas s'intègre à l'ensemble des services de protection des données de Summum Consultoría : le DPO externe comme figure de référence auprès de l'AEPD, le conseil sectoriel pour le tourisme et l'hôtellerie, si importants aux Îles Canaries, et la mise en conformité générale au Règlement comme fondement de tout projet de conformité.
La mise en conformité générale au RGPD est le point de départ de tout projet de conformité : registre des activités de traitement, bases juridiques, documentation et mesures de sécurité, pour tout type d'organisation établie à Las Palmas ou aux Îles Canaries.
Voir le service → consultoríaLe Délégué à la Protection des Données externe est la figure de référence auprès de l'AEPD et le responsable de la supervision du système de protection des données : particulièrement pertinent pour les cliniques, les établissements d'enseignement, les entreprises de sécurité et les administrations à Las Palmas.
Voir le service → consultoríaLe secteur de l'hôtellerie et du tourisme aux Îles Canaries traite des données de voyageurs internationaux, exploite des systèmes de vidéosurveillance et utilise des plateformes de réservation : un domaine aux exigences spécifiques que Summum Consultoría connaît en profondeur.
Voir le service →Oui. Le RGPD (UE 2016/679) et la LOPDGDD (loi organique 3/2018) s'appliquent sur l'ensemble du territoire espagnol, y compris l'archipel des Canaries, avec une portée identique et sans aucune exception liée à la situation géographique. Les entreprises de Las Palmas de Gran Canaria doivent respecter les mêmes obligations que toute autre entreprise espagnole : registre des activités de traitement, information des personnes concernées, bases juridiques valables, mesures de sécurité adéquates et procédures permettant d'exercer les droits des personnes concernées, entre autres.
Non. Contrairement à la Catalogne (Autoritat Catalana de Protecció de Dades), au Pays Basque (Agencia Vasca de Protección de Datos) ou à l'Andalousie (Consejo de Transparencia y Protección de Datos de Andalucía (CTPDA)), les Îles Canaries ne disposent pas d'une autorité de contrôle régionale en matière de protection des données. L'autorité de contrôle compétente pour l'ensemble des entreprises et entités établies dans l'archipel est l'AEPD (Agencia Española de Protección de Datos). Les réclamations des citoyens canariens et les procédures de sanction dirigées contre des entreprises des îles sont traitées intégralement par l'AEPD.
Les secteurs qui font l'objet du plus grand nombre d'actions de l'AEPD à l'échelle nationale comprennent la vidéosurveillance avec un angle excessif ou sans signalétique d'information, l'envoi de communications commerciales sans consentement valable et le traitement de données sans base juridique suffisante. À Las Palmas, le secteur du tourisme et de l'hôtellerie — qui gère de grands volumes de données de voyageurs internationaux et utilise couramment des caméras dans les établissements — et le commerce électronique sont particulièrement exposés. Le régime de sanctions prévu à l'article 83 du RGPD prévoit des amendes pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial total annuel, bien que l'AEPD tienne compte de la taille et de la capacité économique de l'entreprise pour moduler la sanction.
L'article 37 du RGPD établit l'obligation de désigner un DPO pour les autorités et organismes publics, pour les responsables du traitement ou les sous-traitants effectuant un suivi systématique à grande échelle de personnes physiques, et pour ceux qui traitent à grande échelle des catégories particulières de données — santé, biométrie, origine ethnique, opinions politiques, données relatives aux condamnations pénales. À Las Palmas, les cliniques et centres médicaux privés, les établissements d'enseignement accueillant un grand nombre d'élèves, les entreprises de sécurité privée et les grands opérateurs d'hébergement touristique peuvent se trouver dans l'un de ces cas. La désignation du DPO doit être communiquée à l'AEPD via son siège électronique.
Le service est fourni principalement à distance : diagnostic initial par visioconférence, échange et révision de documents via des plateformes sécurisées, et support continu par courriel et téléphone. Pour les projets nécessitant une présence physique — audits sur site, formation présentielle de la direction ou mise en place de contrôles de sécurité physique — nous organisons des déplacements ponctuels. Ce modèle permet aux entreprises canariennes de bénéficier du même niveau d'accompagnement expert que les entreprises de Castilla y León, où Summum Consultoría dispose d'une présence directe, sans frais de déplacement inutiles au quotidien.