El papel de la CNIL y sus publicaciones oficiales
La Comisión Nacional de Tecnologías de la Información y Libertades (CNIL) es la autoridad administrativa independiente responsable de garantizar el respeto de los derechos y libertades en materia de datos personales. Apoya, regula, controla y sanciona a los actores públicos y privados en el marco del Reglamento General de Protección de Datos (RGPD).
Cada año, la CNIL publica varios documentos importantes:
- El informe anual, que hace balance de las acciones de control, sanciones, novedades regulatorias y tecnológicas;
- El programa de control, publicado en forma de comunicado de prensa, que fija los temas de control prioritarios para el año;
- El plan estratégico plurianual, que establece las principales orientaciones a medio plazo;
- Comunicados de prensa relacionados con sanciones, recomendaciones, herramientas y guías prácticas para responsables del tratamiento.
Estas publicaciones constituyen referencias para los actores públicos, en particular las autoridades locales, que regularmente son objeto de controles.
Dos publicaciones importantes que las comunidades deben conocer en 2025
Dos documentos publicados por la CNIL a principios de 2025 deberían llamar la atención de las autoridades locales:
- El plan estratégico 2025-2028, publicado en enero de 2025, define cuatro áreas prioritarias: ciberseguridad, inteligencia artificial, protección de menores y usos digitales cotidianos.
https://www.cnil.fr/sites/cnil/files/2025-01/plan_strategique_cnil_2025-2028.pdf - El programa de control 2025* anunciado en marzo de 2025 mediante comunicado de prensa, indica que la ciberseguridad de las autoridades locales es una de las prioridades de control del año:
“En 2025, la CNIL se centrará en los datos recopilados a través de aplicaciones móviles, la ciberseguridad de las autoridades locales y el procesamiento de datos por parte de la administración penitenciaria. »
https://www.cnil.fr/fr/les-controles-de-la-cnil-en-2025
Los seis principios fundamentales del RGPD
Para que conste, el artículo 5 del RGPD establece seis principios fundamentales que cualquier responsable del tratamiento debe respetar:
- Legalidad, lealtad y transparencia;
- Limitación de finalidades;
- Minimización de datos;
- Precisión;
- Limitación de retención;
- Integridad y confidencialidad (seguridad).
El sexto principio es particularmente crucial para las comunidades: requiere garantizar la seguridad de los datos personales mediante la implementación de medidas técnicas y organizativas adaptadas a los riesgos. El artículo 32 del RGPD especifica que estas medidas deben garantizar un nivel adecuado de seguridad, incluso contra pérdida, destrucción o acceso no autorizado a los datos.
Ejemplos de medidas técnicas:
- Seguridad de las estaciones de trabajo: Instalación de antivirus, firewalls y actualización periódica de los sistemas para evitar el acceso fraudulento.
- Gestión de acceso: Implementación de autenticación fuerte, contraseñas complejas e individuales y derechos de acceso limitados a las necesidades de los agentes.
- Cifrado de datos: Uso de técnicas de cifrado para datos confidenciales, particularmente durante el almacenamiento o la transmisión.
- Copias de seguridad periódicas: Realización de copias de seguridad frecuentes de los datos para evitar pérdidas en caso de incidencia.
Ejemplos de medidas organizativas:
- Sensibilización y formación: Organización de sesiones de formación a agentes sobre buenas prácticas en protección de datos.
- Gestión de autorizaciones: Definición clara de responsabilidades y derechos de acceso para cada agente, en función de sus misiones.
- Procedimientos internos: Desarrollo de políticas de seguridad, planes de continuidad del negocio y procedimientos de gestión de incidentes.
- Supervisión de subcontratistas: Verificación de que los proveedores de servicios cumplen con los requisitos del RGPD, particularmente en términos de seguridad de datos.
La implementación de estas medidas permite a las comunidades cumplir con los requisitos del GDPR, proteger los datos de los ciudadanos y fortalecer la confianza en los servicios públicos digitales.
El papel estratégico del Delegado de Protección de Datos (DPO)
También para que conste, el nombramiento de un Delegado de Protección de Datos es obligatorio para las autoridades públicas, incluidas las autoridades locales (artículo 37 RGPD).
El DPO es responsable de:
- Informar y asesorar a la comunidad sobre sus obligaciones GDPR;
- Vigilar internamente el cumplimiento de la normativa;
- Cooperar con la CNIL y actuar como punto de contacto;
- Realizar análisis de impacto y alertar en caso de alto riesgo.
La ausencia de un DPO constituye un incumplimiento formal. En 2024, la CNIL sancionó al municipio de Kourou con una multa de 5.000 euros seguida de una multa de 150 euros al día. https://www.cnil.fr/fr/la-cnil-sanctionne-la-commune-de-kourou-pour-non-designation-dun-dpo
El Delegado de Protección de Datos (DPO) desempeña un papel clave en la definición, implementación y seguimiento de medidas de seguridad técnicas y organizativas dentro de una autoridad local. Como punto de contacto entre la comunidad y la CNIL, garantiza que el procesamiento de datos cumpla con los requisitos del RGPD, en particular los del artículo 32 relativo a la seguridad de los datos. En concreto, el DPO apoya los servicios en la identificación de riesgos, la implementación de medidas adecuadas (cifrado, registro, gestión de autorizaciones, etc.) y la redacción de procedimientos internos (plan de gestión de incidentes, cláusulas contractuales con subcontratistas, cartas informáticas). También sensibiliza a los agentes sobre las buenas prácticas y participa activamente en la respuesta en caso de violación de datos: análisis del incidente, evaluación de las consecuencias, documentación y notificación a la CNIL si es necesario. Sin un DPO, una comunidad está expuesta a una gobernanza incompleta de la seguridad de los datos y a mayores riesgos legales, particularmente en caso de una auditoría.
Cómo LEGALPROTECH-AVOCATS apoya a las comunidades
LEGALPROTECH-AVOCATS lleva varios años trabajando con entidades públicas para garantizar su cumplimiento del RGPD.
Nuestra experiencia:
- DPO subcontratado: asumimos el rol de Delegado de Protección de Datos en su nombre;
- Auditor GDPR: auditoría de cumplimiento, recomendaciones operativas, mapeo de procesamiento;
- Formador GDPR: formación a medida, práctica y contextualizada para agentes, referentes y cargos electos;
- Asistencia CNIL: preparación de controles, respuesta a medidas cautelares, apoyo en caso de sanciones y gestión de notificaciones de vulneración de datos personales.
Testimonio
“En un entorno insular, el cumplimiento del RGPD plantea desafíos muy específicos. Entre la multiplicidad de sitios remotos, el acceso a veces limitado a los recursos digitales y la diversidad de las misiones de los agentes, garantizar una gobernanza coherente y segura de los datos personales sigue siendo un verdadero desafío. Es al mismo tiempo una responsabilidad jurídica, un imperativo operativo y un requisito ético hacia nuestros ciudadanos.
Para nosotros era fundamental contar con un apoyo que comprendiera la realidad de las comunidades de ultramar y que pudiera aportar soluciones pragmáticas adaptadas a nuestro territorio. Desde enero de 2025, LEGALPROTECH-AVOCATS ha llevado a cabo esta misión con experiencia y pedagogía que han sabido involucrar a nuestros equipos. Su enfoque concreto, lejos de auditorías puramente teóricas, nos permite avanzar con tranquilidad y establecer una verdadera cultura de protección de datos dentro de nuestros servicios. »
Florus NESTAR
Director General de Servicios del Consejo Departamental de Guadalupe
Artículo publicado el 17 de julio de 2025. Su contenido refleja el contexto de su publicación.
¿Alguna pregunta sobre tu situación? Contacta con la firma ↗
