¿En qué etapas necesarias suelen gastarse los costes de cumplimiento del RGPD?

El aspecto más fácil de subestimar del presupuesto del RGPD no es «si hay que hacerlo», sino creer que basta con haber redactado una política de privacidad. Para las empresas que tienen clientes, tráfico o empleados en Europa, o que utilizan datos sobre el comportamiento de usuarios europeos para publicidad y remarketing, el RGPD no es un trabajo documental que deba gestionar únicamente el departamento jurídico, sino un proyecto sistemático que abarca el sitio web, el marketing, el CRM, el almacenamiento de datos, las herramientas de terceros y los procesos internos.

Para quienes aprueban los presupuestos, lo verdaderamente importante es entender con claridad: en qué etapas necesarias suele gastarse el presupuesto de cumplimiento del RGPD, cuáles son inversiones únicas, cuáles se convierten en costes operativos a largo plazo y qué gastos, si no se realizan, pueden aumentar los riesgos posteriores. Si no se distingue bien cada elemento, el resultado habitual es reducir demasiado el presupuesto inicial y tener que añadir costes posteriormente debido a retrabajos del sistema, firmas complementarias de contratos, restricciones en las campañas o requisitos de auditoría de clientes.

En los proyectos reales, los costes de cumplimiento del RGPD suelen concentrarse en cinco categorías: inventario de datos, evaluación jurídica y de cumplimiento, rectificación del sitio web y los sistemas, gestión de proveedores y contratos, y operación y auditoría continuas. La preparación de documentos representa solo una parte relativamente pequeña.

Por qué los presupuestos suelen ser inexactos: las empresas subestiman la complejidad del «flujo de datos»

La lógica inicial de muchas empresas es la siguiente: añadir una ventana emergente de cookies al sitio web, actualizar la política de privacidad y firmar un acuerdo de tratamiento de datos no debería requerir un presupuesto elevado. Sin embargo, cuando el negocio incluye captación de clientes mediante un sitio web independiente, consultas a través de formularios, seguimiento publicitario, email marketing, sistemas de atención al cliente, gestión de oportunidades en el CRM y despliegue de servidores en varias regiones, el asunto deja de ser un simple cumplimiento a nivel de página y pasa a ser una rectificación del flujo de datos.

Durante la aprobación financiera, lo que más debe vigilarse no es que el presupuesto del proveedor sea elevado, sino que solo cubra la «parte visible». Una solución de implementación del RGPD aparentemente económica, si no incluye el mapa de datos, la revisión de scripts de terceros, la gestión del consentimiento, los mecanismos de eliminación de datos, los contratos de transferencia internacional y la formación sobre los procesos del equipo, casi inevitablemente requerirá presupuesto adicional más adelante.

Esta distorsión es especialmente habitual en los escenarios que integran el sitio web y los servicios de marketing. Los datos no permanecen estáticos en el sitio corporativo, sino que pasan a plataformas publicitarias, herramientas de análisis, sistemas de automatización de marketing, sistemas comerciales y herramientas de atención al cliente. Cada etapa adicional implica un límite de responsabilidad más y una fuente de costes adicional.

El primer gasto necesario: inventario de datos y creación del mapa de datos

Este suele ser el gasto menos visible, pero también el más importante. La empresa debe responder primero a varias preguntas básicas: qué datos personales recopila, cuál es su origen, con qué finalidad los utiliza, dónde los almacena, quién puede acceder a ellos, durante cuánto tiempo los conserva, si los transmite a terceros y si realiza transferencias internacionales.

Si estas preguntas no pueden responderse con claridad, las políticas, los sistemas y los contratos posteriores no podrán implementarse correctamente. Muchas empresas intentan saltarse este paso y realizar directamente las modificaciones en las páginas. Al final descubren que el contenido de la declaración de privacidad no coincide con los procesos comerciales reales, lo que aumenta aún más el riesgo.

Los costes de esta etapa suelen proceder de:

• el coste de recursos humanos de las entrevistas con varios departamentos y del inventario de procesos;
• los honorarios de consultoría externa para identificar los activos de datos y organizar los registros de actividades de tratamiento;
• el inventario de los datos presentes en el sitio web, los formularios, los códigos de seguimiento, los campos del CRM, los complementos de atención al cliente y las herramientas de email.

Para el departamento financiero, el valor de este gasto consiste en establecer los límites para las rectificaciones posteriores. Sin esos límites, el proyecto puede convertirse fácilmente en «solucionar cada problema cuando aparece», haciendo que el presupuesto sea incontrolable.

El segundo coste que suele subestimarse: la evaluación jurídica y la determinación de aplicabilidad

No todas las empresas están sujetas al mismo nivel de obligaciones. El grado de aplicación del RGPD depende del modelo de negocio, el tipo de datos, la escala del tratamiento, si se ofrecen bienes o servicios a residentes de la Unión Europea y si se supervisa su comportamiento, entre otros factores. Las prioridades varían mucho de una empresa a otra: algunas se centran en las cookies y el seguimiento publicitario; otras, en los formularios de consultas B2B y la gestión del CRM; y otras, en los datos de empleados, los datos de distribuidores o los sistemas posventa.

Los gastos necesarios de esta etapa suelen incluir:

• la determinación preliminar de la aplicabilidad del RGPD;
• la revisión de la política de privacidad, la política de cookies, la explicación del tratamiento de datos y otros textos;
• la determinación de si es necesario realizar una DPIA (Evaluación de Impacto relativa a la Protección de Datos);
• la delimitación de las responsabilidades del responsable y del encargado del tratamiento;
• la revisión de los mecanismos de transferencia internacional, como las cláusulas contractuales tipo (SCC);
• la definición de las responsabilidades de cumplimiento entre clientes, distribuidores y proveedores de servicios tecnológicos.

Este tipo de gasto parece «no producir ninguna página», pero determina si las posteriores rectificaciones técnicas se realizan en la dirección correcta. Durante la aprobación financiera conviene plantear una pregunta clave: ¿los honorarios jurídicos corresponden a la entrega de una plantilla o a una evaluación personalizada basada en los flujos de datos comerciales existentes? Si solo se aplica una plantilla, aunque el presupuesto sea bajo, su valor práctico puede ser limitado.

Lo que realmente marca la diferencia en el presupuesto son las rectificaciones del sitio web y del sistema de marketing

Dentro de los costes de cumplimiento del RGPD, el elemento que más fácilmente puede pasar de unos miles a decenas de miles de yuanes o incluso más suele ser la rectificación a nivel de sistema, no el trabajo jurídico. La razón es sencilla: una vez que el sitio web, la publicidad y la automatización de marketing de la empresa ya están operativos, el cumplimiento no se diseña desde cero, sino que se corrige sobre una actividad comercial existente que debe seguir funcionando.

Los costes habituales incluyen:

• la integración y configuración de una plataforma de gestión del consentimiento de cookies;
• la clasificación, el bloqueo y el ajuste de la lógica de activación de scripts de seguimiento de terceros;
• el consentimiento explícito en los formularios, la explicación de las finalidades, las casillas de suscripción y la conservación de evidencias;
• la implementación funcional de los procesos de acceso, rectificación, eliminación y exportación de los datos de los usuarios;
• el ajuste de las reglas de sincronización de datos entre el CRM, el sistema de email, el servicio de atención al cliente en línea y el sitio web;
• la configuración de los periodos de conservación en los registros, las bases de datos y los sistemas de copias de seguridad;
• la configuración de los avisos y mecanismos de autorización para las versiones de distintas regiones en los sitios multilingües.

Si la empresa utiliza una arquitectura formada por varios instrumentos de marketing integrados, el coste de esta parte suele aumentar, ya que es necesario confirmar el comportamiento lógico de cada herramienta dentro del mecanismo de consentimiento. Por ejemplo, cuando un visitante no ha consentido las cookies analíticas, hay que comprobar si la herramienta de análisis, el píxel de remarketing y los eventos de automatización de marketing siguen activándose. Todo ello está relacionado con la profundidad de la rectificación.

Para quienes aprueban el presupuesto, un criterio de evaluación importante es: ¿la oferta del proveedor cubre únicamente la «presentación en el frontend» o también el «comportamiento de los datos en el backend»? La primera opción tiene un coste menor, pero a menudo no resuelve realmente el problema.

Los proveedores de servicios externos y la gestión contractual son costes ocultos que se olvidan fácilmente

Los datos personales de muchas empresas no se encuentran únicamente en sus propios servidores, sino que fluyen hacia plataformas de creación de sitios web, servicios en la nube, herramientas de formularios, sistemas de email, herramientas de análisis, plataformas publicitarias, sistemas de atención al cliente y proveedores de CRM. Una de las dificultades del RGPD es que estos terceros no son simplemente «complementos técnicos»: pueden constituir encargados del tratamiento, responsables conjuntos o implicar acuerdos de transferencia internacional.

Los gastos habituales de esta parte incluyen:

• la identificación de los proveedores externos existentes y de las relaciones de tratamiento de datos;
• la firma complementaria o revisión de los DPA (Acuerdos de Tratamiento de Datos);
• la evaluación de la ubicación de los servidores, el mecanismo de subencargados y las medidas de seguridad del proveedor;
• la sustitución de herramientas económicas que no cumplen los requisitos;
• las cuotas de suscripción adicionales derivadas de la actualización del plan del proveedor o de la activación de módulos de cumplimiento.

Desde el punto de vista financiero, hay un aspecto especialmente importante: los costes de cumplimiento del RGPD no siempre aparecen como «honorarios de consultoría», sino que también pueden reflejarse en la sustitución de software y en la mejora de las suscripciones. Se trata de un coste típico del ciclo de vida. Si solo se observa el presupuesto de implementación inicial, es fácil calcular mal la inversión total.

Los costes operativos continuos no deben tratarse como opcionales

Muchos proyectos parecen cumplir con el RGPD cuando se ponen en marcha, pero tres meses después el riesgo vuelve a aparecer debido a un cambio en el negocio. La incorporación de una nueva cuenta publicitaria, un nuevo complemento de formularios, una nueva página de destino para una campaña o una nueva herramienta de gestión de clientes puede dejar sin efecto el diseño de cumplimiento original. Por eso, el RGPD se acerca más a una «gobernanza continua» que a una «entrega única».

Estos costes suelen incluir:

• la formación de los empleados y la actualización de las responsabilidades de cada puesto;
• la revisión del cumplimiento antes de poner en marcha nuevas páginas, campañas o herramientas;
• la gestión de solicitudes de los usuarios, como la eliminación de datos, el acceso o la retirada del consentimiento;
• la revisión periódica de los cambios en cookies, scripts y servicios de terceros;
• las auditorías internas y la conservación de evidencias;
• la preparación de la respuesta ante incidentes de datos.

En la clasificación presupuestaria, estos gastos deberían considerarse costes operativos anuales, en lugar de incluirse por completo en el proyecto inicial. De lo contrario, el presupuesto del primer año parecerá demasiado elevado y la dirección puede interpretar erróneamente que «el cumplimiento se realiza una sola vez». Al año siguiente no habrá fondos para el mantenimiento y se acabará entrando en un ciclo de rectificaciones repetidas.

Durante la aprobación financiera, lo más útil no es negociar el precio, sino desglosar la estructura de costes

Si la empresa está evaluando una adquisición relacionada con el RGPD, se recomienda no solicitar únicamente un precio total, sino exigir que el proveedor desglose las distintas etapas: evaluación inicial, revisión jurídica, rectificación técnica, integración del sistema, gestión contractual y formación y operación. Después de realizar este desglose, muchos problemas quedan claros de inmediato.

Por ejemplo:

• qué conceptos son costes únicos del proyecto y cuáles son cuotas anuales o mensuales;
• cuáles dependen de la colaboración del departamento interno de TI y cuáles serán entregados por consultores externos;
• qué costes están directamente relacionados con el tamaño del sitio web, el número de idiomas y la cantidad de herramientas de terceros;
• cuáles son elementos imprescindibles y cuáles son únicamente mejoras de baja prioridad.

Este desglose también ofrece una ventaja práctica para el departamento financiero: facilita la aprobación de proyectos por fases. Para muchas empresas de comercio exterior, especialmente las que se encuentran en una etapa de expansión de la captación de clientes en el extranjero, el método más prudente no es buscar desde el principio la «optimización total», sino completar primero el cumplimiento esencial en las áreas de mayor riesgo y exposición, y después mejorar gradualmente la gobernanza más profunda.

Qué situaciones pueden aumentar notablemente los costes de cumplimiento del RGPD

Desde el punto de vista de las adquisiciones, las siguientes situaciones suelen indicar que el presupuesto no será bajo:

• un gran número de sitios web, con versiones en varios idiomas y regiones;
• un proceso de marketing complejo que utiliza simultáneamente SEO, Google Ads, publicidad en redes sociales, automatización de email y CRM;
• numerosos sistemas heredados, datos dispersos y ausencia de una trazabilidad clara de los flujos de datos;
• una gran dependencia de complementos de terceros, herramientas SaaS y equipos externos;
• la necesidad de realizar remarketing a largo plazo, creación de perfiles de usuarios o análisis de comportamiento de clientes europeos;
• clientes pertenecientes a sectores con requisitos elevados de cumplimiento en la cadena de suministro.

Por el contrario, si la empresa solo dispone de un sitio web corporativo básico de presentación, utiliza pocos formularios y herramientas de terceros y apenas realiza un seguimiento complejo, los costes suelen ser más controlables. La clave no es el tamaño de la empresa, sino la complejidad del tratamiento de datos.

Error habitual: considerar el RGPD una «adquisición jurídica» en lugar de una «gobernanza del sistema comercial»

Muchos retrasos en las aprobaciones y desviaciones presupuestarias se deben a un error: creer que lo principal que se compra con el RGPD son textos jurídicos. En realidad, en los negocios que integran el sitio web y los servicios de marketing, los textos son solo el resultado; el verdadero gasto consiste en proporcionar capacidades ejecutables para cumplir los compromisos que esos textos contienen.

Por ejemplo, si la política de privacidad establece que «el usuario puede solicitar la eliminación de sus datos», ¿dispone realmente la empresa de un mecanismo de eliminación? Si indica que «el análisis y el seguimiento de marketing solo se realizan después del consentimiento», ¿es técnicamente posible bloquear los scripts? Si afirma que «los datos solo se comparten con proveedores de servicios necesarios», ¿está completa la lista de terceros? Estas no son cuestiones de redacción, sino de procesos y sistemas.

Desde la perspectiva del control financiero, el objetivo más razonable no es lograr «el menor coste de cumplimiento del RGPD», sino realizar una «inversión eficaz en cumplimiento con el menor coste de retrabajo». Cuando las distintas fases del proyecto no están bien coordinadas, cada reparación posterior resulta más cara que aclarar los límites desde el principio.

Tres aspectos que conviene revisar durante la aprobación

En primer lugar, el nivel de exposición al riesgo. ¿La empresa entra realmente en contacto con interesados de la Unión Europea? ¿Depende del tráfico y las consultas procedentes del mercado europeo? ¿Utiliza numerosas herramientas de seguimiento y remarketing? Cuanto mayor sea la exposición, menos adecuado será limitar el cumplimiento a aspectos superficiales.

En segundo lugar, si la estructura de costes está completa. Si una solución económica no incluye el inventario de datos, la rectificación del sistema, los contratos con proveedores y el mantenimiento continuo, lo más probable es que simplemente retrase los costes.

En tercer lugar, si la inversión permite mantener la continuidad del negocio. Una buena inversión en cumplimiento no debe detener el marketing, sino ajustar la forma de tratar los datos mientras se mantiene la capacidad de captar clientes. Para las empresas de comercio exterior y transfronterizas, este aspecto es más importante que «cuántos documentos se han elaborado».

Volviendo a la cuestión central, ¿en qué etapas necesarias suele gastarse el presupuesto de cumplimiento del RGPD? La respuesta no es complicada: no se gasta principalmente en redactar documentos, sino en comprender los datos, corregir los sistemas, aclarar las responsabilidades y mantener la operación continua. Para quienes aprueban los presupuestos, basta con seguir esta línea principal para distinguir con mayor precisión qué partidas son realmente necesarias, cuáles solo representan un cumplimiento superficial y cuáles están generando costes de retrabajo para el futuro.