En la práctica profesional, uno de los escenarios más sensibles en un traspaso de negocio es la transmisión de datos personales, especialmente cuando el activo incluye datos de clientes o pacientes.
Aunque a menudo se percibe como una cuestión secundaria frente a los aspectos mercantiles o fiscales, la realidad es que la correcta gestión de estos datos resulta clave para evitar riesgos legales y sancionadores.
Más allá de la teoría, la aplicación práctica del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), exige planificación, cautela y una comunicación transparente, aspectos que no siempre se abordan con la profundidad necesaria en este tipo de operaciones.
Marco normativo aplicable y principios clave
La normativa vigente en materia de protección de datos no se limita a proclamar principios generales como la licitud, la transparencia, la limitación de la finalidad o la minimización de datos. El RGPD y la LOPDGDD imponen obligaciones concretas y exigibles, especialmente en contextos de cambio de titularidad del negocio.
Los artículos 5 a 14 del RGPD regulan, entre otras cuestiones, los principios del tratamiento, el deber de información a los interesados y las condiciones en las que puede producirse un cambio de responsable del tratamiento, situación típica en un traspaso.
Desde un punto de vista práctico, uno de los errores más frecuentes consiste en asumir que la base de datos forma parte del negocio y puede transmitirse automáticamente al nuevo titular. Esta idea es jurídicamente incorrecta.
Los datos personales están siempre vinculados a una finalidad concreta y a un responsable determinado; por ello, cualquier cambio de responsable debe respetar escrupulosamente los derechos de los interesados y contar con una base jurídica válida, conforme a los artículos 6 y 9 del RGPD.
Riesgo sancionador: una realidad contrastada
La relevancia de esta materia no es meramente teórica. En los últimos años, los organismos de control y los tribunales han intensificado su supervisión sobre las operaciones de transmisión de datos personales, especialmente cuando afectan a colectivos sensibles como clientes o pacientes.
Un ejemplo especialmente ilustrativo es la Sentencia del Tribunal Supremo de 22 de noviembre de 2024, que reconoce la facultad de la Agencia Española de Protección de Datos (AEPD) para extender sus procedimientos sancionadores al análisis de las políticas generales de protección de datos de una organización, cuando infracciones concretas revelan deficiencias estructurales o prácticas estandarizadas incorrectas.
Este pronunciamiento refuerza el amplio alcance del control administrativo sobre las prácticas de tratamiento de datos.
Los datos estadísticos de la AEPD confirman esta tendencia. Solo en los años 2024 y 2025, las sanciones impuestas por vulneraciones de los principios de protección de datos superaron los 35,5 millones de euros, con procedimientos iniciados por brechas de seguridad, ausencia de medidas técnicas y organizativas adecuadas o falta de notificación de incidentes que suponían un alto riesgo para los derechos de los afectados.
La conclusión es clara: no basta con transmitir los datos como parte del negocio. Es imprescindible hacerlo con una base jurídica sólida, información transparente a los interesados y medidas de seguridad proporcionales al riesgo del tratamiento.
Claves prácticas para la transmisión de datos en un traspaso
Desde un enfoque operativo, la transmisión de datos personales en un traspaso de negocio exige planificación anticipada y una auditoría previa de los flujos de información. Entre los aspectos esenciales que deben analizarse destacan los siguientes:
Identificación y delimitación de los datos necesarios
Solo deben transmitirse aquellos datos estrictamente imprescindibles para garantizar la continuidad del negocio o, en su caso, de la atención sanitaria. Debe excluirse cualquier información que no resulte necesaria para la nueva finalidad perseguida por el adquirente.
Determinación clara de responsabilidades
El cedente continuará siendo responsable del tratamiento hasta la fecha efectiva del traspaso. A partir de ese momento, el adquirente asumirá dicha condición, con todas las obligaciones asociadas en materia de registro de actividades, seguridad y responsabilidad proactiva.
Información a clientes y pacientes
Conforme a los artículos 13 y 14 del RGPD, una vez producido el cambio de responsable, los interesados deben ser informados de forma clara, comprensible y en plazo razonable sobre quién trata sus datos, con qué finalidad y cuáles son los mecanismos para el ejercicio de sus derechos.
Seguridad en la transmisión de los datos
Durante el proceso de cesión deben implementarse medidas técnicas y organizativas adecuadas, como el cifrado, el control de accesos o la trazabilidad de las transferencias. La falta de estas medidas constituye uno de los motivos de sanción más recurrentes por parte de la AEPD, especialmente cuando existe riesgo elevado para los derechos y libertades de los afectados.
Particularidades en clínicas dentales y datos de salud
En los traspasos de clínicas dentales u otros negocios que tratan datos de salud, considerados datos de categoría especial conforme al artículo 9 del RGPD, el nivel de exigencia es aún mayor.
A la regla general de licitud se añaden requisitos reforzados de necesidad y proporcionalidad, así como una legitimación específica cuando la transmisión de los datos resulta imprescindible para garantizar la continuidad asistencial de los pacientes.
En estos casos, una planificación deficiente puede generar no solo sanciones administrativas, sino también conflictos éticos y reputacionales
Cómo proteger a clientes, pacientes y al propio negocio
La transmisión de datos personales en un traspaso de negocio no es un trámite automático ni accesorio, sino una actuación jurídica de alto impacto que exige responsabilidad legal, ética profesional y una gestión operativa rigurosa.
Tratar los datos como un simple activo más de la operación es uno de los errores más frecuentes y, al mismo tiempo, uno de los que mayor exposición genera.
Una planificación adecuada del proceso (limitando la transmisión a los datos estrictamente necesarios, garantizando la transparencia exigida por el RGPD y aplicando medidas de seguridad técnicas y organizativas proporcionales al riesgo) permite proteger eficazmente tanto al cedente como al adquirente y, de forma prioritaria, a los clientes y pacientes cuyos datos personales se ven afectados por el cambio de responsable.
En este contexto, Hedilla Abogados presta un asesoramiento integral en los procesos de transmisión de datos y en la comunicación a clientes y pacientes, asegurando el cumplimiento de la normativa de protección de datos y reduciendo de forma significativa la exposición a sanciones de la Agencia Española de Protección de Datos, mediante soluciones prácticas adaptadas a cada sector y a cada tipo de operación.
La clave final es entender que los datos personales no se transmiten solos ni de forma neutra: viajan siempre acompañados de derechos, obligaciones y estándares legales elevados que deben respetarse en cada traspaso para evitar incumplimientos, sanciones económicas, daños reputacionales y conflictos legales posteriores.
Abogada con más de 10 años de experiencia en Derecho Mercantil, Fusiones y Adquisiciones (M&A) y Cumplimiento Normativo, liderando el asesoramiento jurídico estratégico a sociedades cotizadas, grupos empresariales y empresas familiares.
