En la pieza Cliente cero contamos cómo Alethexis se aplica el método que vende. Esta es la parte menos cómoda: lo que encontramos cuando auditamos nuestra propia captación —los formularios de recursos, el diagnóstico y el boletín— y vimos que cinco cosas que nuestros textos prometían no las cumplía ningún mecanismo.
El patrón
Ninguno de los cinco era una frase falsa escrita a sabiendas. Todos tenían la misma forma: un texto público declaraba una práctica, y el mecanismo que debía ejecutarla no existía o no estaba encendido. El texto se escribió antes que el mecanismo, y nadie volvió a comprobar que el mecanismo hubiera llegado.
El RGPD llama a esto por su nombre. Su art. 5.2 dice que «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo». Una promesa sin mecanismo no se puede demostrar.
Los cinco
1. Doce meses de conservación que nadie contaba. Tres superficies —el aviso del formulario de recursos, el texto del diagnóstico y el registro de tratamientos— declaraban que las solicitudes se conservaban doce meses. Ninguna tarea las borraba. Es el principio del art. 5.1.e) del RGPD: datos mantenidos «durante no más tiempo del necesario para los fines del tratamiento». El primer plazo habría vencido el 10 de julio de 2027, así que no llegó a producir efectos. Ahora una tarea diaria borra las solicitudes que superan los doce meses, salvo las de quien llegó a ser cliente.
2. Treinta días de preaviso sin nadie que los pidiera. El acuerdo de encargo del tratamiento (DPA) que firmamos con los clientes obliga a avisarles con al menos 30 días naturales antes de incorporar un subencargado. El alta de un subencargado en julio de 2026 no dejó constancia de ese preaviso: la cláusula existía, pero el proceso de alta no la pedía. Ahora una comprobación automática falla si un subencargado nuevo del anexo del DPA no tiene registrada la fecha de su aviso.
3. Una primera capa con lo que no le tocaba. La información que aparece junto a un formulario —la primera capa— llevaba el plazo de conservación, que corresponde a la información ampliada, y no decía quién recibe los datos ni si salen del Espacio Económico Europeo. El delegado de protección de datos fijó el orden: responsable, finalidad, base jurídica, destinatarios y transferencias, derechos y enlace a la segunda capa. Ahora es así en los formularios de recursos y del boletín, y junto a la casilla de comunicaciones se dice que no marcarla no impide descargar el recurso.
4. Un boletín sin reloj. La política de privacidad declaraba que los datos de los suscriptores se conservan hasta la baja o 24 meses de inactividad. Nada lo ejecutaba: la tarea de retención solo trataba la lista de contactos, no la del boletín, ni el contacto guardado en el proveedor de envíos. Ahora una tarea mensual borra el contacto de cada suscriptor con 24 meses de inactividad en el proveedor de envíos, conserva su baja si la tenía y anonimiza su ficha. No depende de ningún interruptor que se pueda quedar apagado.
5. Una baja que se perdía al anonimizar. Cuando alguien se daba de baja, la exclusión vivía en su propia ficha de contacto. Pero la tarea de retención anonimizaba también las fichas dadas de baja, y al anonimizar se perdía el email. Si esa misma persona volvía a dejar su email meses después, entraba como contacto nuevo, sin baja. No llegó a pasar: ninguna ficha se había anonimizado. Ahora la exclusión vive en un registro aparte que guarda una huella del email, nunca el email, sobrevive a la anonimización y se consulta en toda alta y antes de cada envío comercial. Si la consulta falla, no se envía.
Cómo se encontraron
No fue un incidente. Fue el criterio escrito del delegado de protección de datos, entre el 29 y el 30 de septiembre de 2026, contrastado con lo que hacía producción: para cada compromiso de los textos públicos, cuál es el mecanismo que lo cumple, dónde se ejecuta y cómo se sabe que se ha ejecutado. En cinco casos, la respuesta a la primera pregunta era «ninguno».
Lo que sirve a otros
La comprobación es corta y no necesita herramientas. Coge tu aviso de privacidad y tu registro de tratamientos y, para cada frase que promete algo —un plazo, un aviso, una baja—, contesta tres preguntas:
- ¿Qué mecanismo lo cumple: una tarea, un proceso, una persona con nombre?
- ¿Está encendido en producción, no solo escrito en el código?
- ¿Cómo sabrías que ha dejado de funcionar?
Si una frase no tiene respuesta a la primera pregunta, la frase va por delante del mecanismo. Es más barato encontrarlo así que el día que alguien pregunta.
Contenido con arreglo al artículo 5, apartados 1 y 2, del Reglamento (UE) 2016/679. Los hechos relatados son de Alethexis y están documentados en sus registros internos de cambios.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.