Tu palabra vale; tus datos, también.
Consultoras, ingenierías, agencias y estudios trabajan con los datos de sus clientes: sois encargados del tratamiento (Art. 28 RGPD). Contratos de encargo, subcontratación, teletrabajo, dispositivos corporativos y la propiedad intelectual de los entregables — el cumplimiento del que vive de su criterio.
Ficha en preparación. Todavía no tiene todo lo que pedimos a una ficha completa: cinco casos de sanción comprobados, cinco situaciones, cinco plantillas y la base sectorial del copiloto. Los casos que ves están comprobados uno a uno en su resolución de aepd.es.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
El contrato de encargo que tu cliente te exige mañana
Qué puede costar si se incumpleCaso real: 15.000 € a una empresa de servicios que incumplió el encargo y no contestó a la AEPD (PS/00668/2022)
- El problema
- Un cliente grande te pide firmar «su DPA» o te exige el tuyo antes de empezar, y cada uno llega distinto.
- Qué exige la normativa
- Art. 28 RGPD: contrato de encargo con medidas, subencargados y devolución/supresión.
- Cómo lo resuelve AIM ÆGIS
- Genera el contrato de encargo citado al artículo, con el anexo de medidas de tu firma, listo para revisar y firmar.
-
Situación 02
Teletrabajo sin agujeros
Qué puede costar si se incumpleCaso real: 100.000 € a una consultora por un ciberataque con datos de sus clientes (PS/00312/2025)
- El problema
- Media plantilla en remoto, equipos propios y corporativos mezclados, y nadie firmó nada.
- Qué exige la normativa
- Ley 10/2021 de trabajo a distancia: acuerdo individual, compensación y política.
- Cómo lo resuelve AIM ÆGIS
- Acuerdos de trabajo a distancia y política de dispositivos generados sobre tu realidad, con registro de entrega.
-
Situación 03
Subcontratas a un freelance para un proyecto
Qué puede costar si se incumpleSubcontratar sin autorización del cliente es infracción del art. 28.2 RGPD (art. 83.4 RGPD: hasta 10 M€ o el 2 % del volumen de negocio anual, si es mayor)
- El problema
- Necesitas refuerzo externo ya, pero el dato del cliente no puede salir de la cadena pactada.
- Qué exige la normativa
- Autorización previa y por escrito del cliente, específica o general (Art. 28.2 RGPD), y contrato con el subencargado que le imponga las mismas obligaciones de protección de datos que tú tienes con el cliente (Art. 28.4). Si el subencargado incumple, respondes tú ante el cliente.
- Cómo lo resuelve AIM ÆGIS
- Contrato de subencargo en cadena y registro de subencargados por cliente, con las autorizaciones a la vista.
-
Situación 04
¿De quién es el entregable?
Qué puede costar si se incumpleLitigios y pérdida del activo si no se pacta
- El problema
- El cliente asume que el informe, el diseño o el modelo es suyo; tu plantilla cree que es de la firma.
- Qué exige la normativa
- TRLPI: la cesión de derechos de los entregables debe pactarse por escrito y con alcance definido.
- Cómo lo resuelve AIM ÆGIS
- Cláusulas de cesión de propiedad intelectual por proyecto, coherentes con tus contratos laborales.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Tres procedimientos de la AEPD contra consultoras y empresas de servicios profesionales, cada uno con su resolución enlazada
Importes que citan las resoluciones: de 2.000 € (PS/00578/2022) a 100.000 € (PS/00312/2025)
-
PS/00312/2025 · Stratesys
100.000 €Importe que cita el caso
Una consultora tecnológica (Stratesys Technology Solutions, S.L.) sufrió un ciberataque en el que le robaron información, con datos que trataba para sus clientes. La AEPD fijó 100.000 € por vulnerar la integridad y confidencialidad de los datos (art. 5.1.f RGPD); pagó 60.000 € el 24/07/2025 con las dos reducciones.
CausaCiberataque a una consultora encargada del tratamiento (art. 5.1.f RGPD)
-
PS/00668/2022 · Gesterpool
15.000 €Importe que cita el caso
Una empresa que prestaba a Naturgy servicios de asesoría y apoyo comercial, con venta telefónica, como encargada del tratamiento (Gesterpool, S.L.U.) incumplió sus obligaciones de encargada y no atendió los requerimientos de la AEPD. Le impuso 10.000 € (art. 28 RGPD) y 5.000 € (art. 58.1).
CausaEncargado que incumple el encargo y no contesta a la AEPD (arts. 28 y 58.1 RGPD)
-
PS/00578/2022 · Consultoría Peritaciones Almerienses
2.000 €Importe que cita el caso
El formulario de contacto de la web de una consultora de peritaciones (Consultoría Peritaciones Almerienses, S.L.) no informaba del tratamiento ni del responsable, y no contestó a un derecho de acceso. La AEPD le abrió procedimiento por el art. 13 RGPD con 2.000 €; pagó 1.200 € el 30/03/2023 con las dos reducciones.
CausaFormulario web sin información (art. 13 RGPD)
3 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
Contrato de encargo de tratamiento (Art. 28)
Con anexo de medidas y subencargados.
Base legal: Art. 28 RGPDPDF + Word editable -
Acuerdo y política de trabajo a distancia
Acuerdo individual + política de dispositivos.
Base legal: Ley 10/2021PDF + Word editable -
Cláusulas de cesión de PI de entregables
Cesión por proyecto, alcance y exclusividad.
Base legal: TRLPIPDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
~300.000 empresas de servicios profesionales y técnicos en España (consultoría, ingeniería, agencias, estudios).
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta