Salamanque concentre un tissu économique et professionnel diversifié — cabinets d'avocats, cliniques, cabinets comptables, entreprises agroalimentaires et entités liées à l'Université de Salamanque — dans lequel le traitement de données personnelles est une réalité quotidienne et la mise en conformité avec le Règlement (UE) 2016/679 (RGPD) et la Loi organique 3/2018 sur la protection des données personnelles et la garantie des droits numériques (LOPDGDD) est une obligation légale. Chez Summum Consultoría, nous accompagnons les organisations salmantines dans leur démarche de mise en conformité : nous diagnostiquons leur situation, mettons en place la documentation requise par la norme et les aidons à maintenir leur conformité dans la durée.
Salamanque est une ville de services et de savoir dont l'activité quotidienne génère un flux constant de données personnelles. Les PME et les travailleurs indépendants de la province — des consultations médicales et des kinésithérapeutes aux cabinets de gestion, aux écoles de langues et aux établissements hôteliers du centre historique — traitent des données de clients, d'employés et de fournisseurs soumises au RGPD. L'obligation ne dépend pas de la taille de l'entreprise : toute structure qui collecte une adresse e-mail, gère des bulletins de salaire ou conserve des dossiers clients doit se conformer à la réglementation, le documenter et être en mesure de le démontrer à l'Agence espagnole de protection des données (Agencia Española de Protección de Datos, AEPD).
Le secteur sanitaire salmantin — avec le Complexe d'assistance universitaire de Salamanque (Complejo Asistencial Universitario de Salamanca, CAUSA) comme référence publique et un dense réseau de cliniques privées, de cabinets de psychologie et de centres de kinésithérapie — est soumis à des obligations renforcées, les données de santé constituant une catégorie particulière au sens de l'art. 9 du RGPD. De même, les cabinets d'avocats et de procuradores (mandataires judiciaires) de la ville — ancrés dans une longue tradition juridique liée à l'une des plus anciennes facultés de droit d'Espagne — traitent des informations particulièrement sensibles qui exigent des clauses de confidentialité, des contrats avec les sous-traitants et des protocoles internes rigoureux. Le secteur agroalimentaire, avec des productions emblématiques comme le jambon ibérique de Guijuelo ou les vins des Arribes del Duero, intègre de plus en plus des canaux de vente directe et de commerce en ligne qui ajoutent des obligations découlant de la loi espagnole sur les services de la société de l'information (LSSI) et du RGPD lui-même en matière de gestion des données des acheteurs.
Chez Summum Consultoría, nous accompagnons les organisations salmantines selon une approche pragmatique : nous partons d'un diagnostic réel qui identifie les traitements en cours, la documentation manquante et les risques prioritaires. À partir de là, nous mettons en place le registre des activités de traitement (art. 30 RGPD), adaptons les clauses d'information, révisons les politiques de confidentialité des sites web, formalisons les contrats avec les fournisseurs agissant en tant que sous-traitants (art. 28 RGPD) et formons l'équipe. Nous ne garantissons pas un résultat déterminé devant l'AEPD, mais nous veillons à ce que l'organisation soit en mesure de démontrer, en cas d'inspection, qu'elle a agi avec diligence et de manière documentée, comme l'exige le principe de responsabilité (« accountability ») de l'art. 5.2 du RGPD.
Nous analysons les activités de traitement de données de l'organisation, la documentation existante et le niveau réel de conformité au RGPD et à la LOPDGDD. Nous identifions les lacunes prioritaires et élaborons un plan d'action concret, avec des délais et des responsables, adapté à la taille et au secteur de l'entreprise salmantine.
Nous rédigeons ou mettons à jour le registre des activités de traitement (art. 30 RGPD), les clauses d'information (art. 13-14 RGPD), la politique de confidentialité du site web, les contrats avec les sous-traitants (art. 28 RGPD) et les procédures internes. Nous révisons également les mesures de sécurité techniques et organisationnelles appliquées.
Nous accompagnons le personnel dans l'application pratique des procédures mises en place : gestion des demandes d'exercice des droits, identification des éventuelles violations de données et utilisation correcte des outils numériques. La formation est dispensée en présentiel ou en ligne, selon les besoins du client.
Le RGPD est un système vivant : lorsque l'activité évolue, que de nouveaux fournisseurs arrivent ou que de nouvelles technologies sont adoptées, la documentation doit être mise à jour. Nous proposons des révisions périodiques, des réponses aux questions du quotidien et une assistance en cas d'incident ou de demande de l'AEPD.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Registre des activités de traitement
Inventaire complet des activités de traitement de données de l'organisation (art. 30 RGPD) : finalités, bases juridiques, catégories de données, destinataires et durées de conservation, prêt à être présenté à l'AEPD.
Clauses d'information et gestion du consentement
Rédaction et révision des avis de confidentialité pour les formulaires, contrats et fiches clients et employés, conformément aux exigences de transparence des art. 13 et 14 du RGPD et adaptés au secteur d'activité.
Contrats avec les sous-traitants
Révision et formalisation des contrats avec les fournisseurs qui accèdent aux données personnelles (art. 28 RGPD) : logiciels de gestion, cabinets comptables externes, prestataires informatiques, plateformes d'e-mail marketing ou tout autre sous-traitant.
Politique de confidentialité et mentions légales
Adaptation des textes légaux du site web au RGPD et à la LSSI : politique de confidentialité, politique de cookies, mentions légales et configuration de la bannière de consentement conformément aux lignes directrices de l'AEPD.
Gestion des droits des personnes concernées
Mise en place de canaux et de procédures pour traiter les demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (art. 15-22 RGPD) dans le délai d'un mois prévu à l'art. 12 du RGPD.
Protocole en cas de violation de données
Conception et mise en place de la procédure interne pour détecter et gérer les incidents affectant des données personnelles, y compris la notification à l'AEPD dans les 72 heures (art. 33 RGPD) et la communication aux personnes concernées lorsque le risque est élevé (art. 34 RGPD).
La protection des données à Salamanque n'est pas une simple formalité ponctuelle : c'est un système de gestion qui relie la mise en conformité générale au RGPD avec la fonction du Délégué à la protection des données, la gestion des incidents de sécurité et l'exercice des droits des citoyens. Chez Summum Consultoría, nous intégrons tous ces éléments pour que les organisations salmantines disposent d'un cadre de conformité solide et auditable.
Le service général de mise en conformité au RGPD couvre l'intégralité du cadre réglementaire : registre des activités de traitement, contrats avec les sous-traitants, clauses d'information et système de gestion de la confidentialité applicable à tout type d'organisation.
Voir le service → consultoríaLe Délégué à la protection des données externe est obligatoire pour certaines organisations en vertu de l'art. 37 du RGPD et de l'art. 34 de la LOPDGDD — notamment les centres de santé privés et les établissements d'enseignement — et recommandé pour toute entité qui traite des données à grande échelle ou des catégories particulières de données.
Voir le service → consultoríaDisposer d'un protocole de gestion des violations de données avant tout incident est le seul moyen de répondre dans le délai de 72 heures imposé par l'art. 33 du RGPD et de démontrer la diligence requise à l'AEPD.
Voir le service →Toute organisation — entreprise, travailleur indépendant, association, clinique ou cabinet — qui traite des données personnelles dans le cadre de son activité est soumise au RGPD et à la LOPDGDD, indépendamment de sa taille ou de son secteur. À Salamanque, cela concerne aussi bien les cabinets de kinésithérapie que les cabinets fiscaux, les agences immobilières, les écoles de langues, les établissements hôteliers et les entreprises agroalimentaires disposant d'une boutique en ligne. L'obligation naît du traitement des données, et non du chiffre d'affaires ni du nombre d'employés.
La désignation d'un DPD est obligatoire dans les cas prévus à l'art. 37 du RGPD et à l'art. 34 de la LOPDGDD : notamment les centres de santé privés, les entités d'assurance, les organisations structurées en société qui traitent des données à grande échelle et les établissements d'enseignement. En dehors des cas d'obligation, désigner un DPD externe est une bonne pratique qui apporte une sécurité juridique et un interlocuteur expert auprès de l'AEPD.
L'art. 83 du RGPD établit un régime de sanctions à deux niveaux. Les infractions les plus graves — traiter des données sans base juridique adéquate ou violer les droits des personnes concernées — peuvent être sanctionnées par des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total. Les infractions moins graves sont plafonnées à 10 millions d'euros ou 2 % du chiffre d'affaires. La LOPDGDD prévoit également l'avertissement comme alternative à l'amende pour les PME dans certaines situations susceptibles d'être corrigées (art. 58.2 RGPD). Summum Consultoría aide les organisations à mettre en place des mesures qui réduisent le risque de commettre ces infractions.
Oui. Bien que notre principal bureau en Castille-et-León soit situé à Valladolid, nous intervenons auprès d'organisations dans toute la région, y compris à Salamanque et dans sa province, aussi bien en présentiel — en nous déplaçant dans les locaux du client — qu'à distance. L'essentiel de la mise en conformité documentaire et du suivi périodique est géré de manière efficace par voie télématique, sans que cela nuise à la profondeur ni à la qualité de l'accompagnement.
En cas d'inspection — déclenchée par la plainte d'une personne concernée ou à l'initiative du régulateur — l'organisation doit être en mesure de démontrer qu'elle a pris des mesures proactives de conformité. Le principe de responsabilité (« accountability ») de l'art. 5.2 du RGPD exige que la conformité non seulement existe, mais puisse être prouvée par des documents : registre des activités de traitement à jour, contrats avec les sous-traitants signés, clauses d'information en vigueur et preuves de formation du personnel. Chez Summum Consultoría, nous préparons les organisations à répondre à toute demande de l'AEPD avec un dossier solide et bien organisé.