Guía de gobernanza de datos del concesionario y RGPD

1. Inventarie las finalidades antes que los sistemas

La misma persona puede ser un lead, un comprador, un prestatario, un usuario del vehículo, un cliente de servicio, un reclamante o un empleado. El mismo VIN puede aparecer en la tasación, la matriculación, la financiación, el seguro, la garantía, la reparación, la asistencia en carretera y los servicios conectados. Un inventario de sistemas por sí solo no puede mostrar si la reutilización es lícita o esperada.

Cree un mapa de tratamientos por finalidad. Para cada actividad, registre los interesados, las categorías de datos, el origen, la base jurídica, los destinatarios, las transferencias, la conservación, la seguridad, las decisiones automatizadas y el responsable. Vincúlelo al registro de actividades del artículo 30 cuando proceda. Distinga los datos necesarios para ejecutar un contrato de los de marketing y analítica opcionales. No agrupe finalidades distintas bajo un mismo consentimiento.

El RGPD exige licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; seguridad; y responsabilidad proactiva. [1] Estos principios no son requisitos meramente documentales. Deben determinar qué campos del CRM son obligatorios, qué roles pueden exportar una lista de clientes y cuándo se eliminan los datos de leads obsoletos.

2. Clasifique los datos de clientes y vehículos según el contexto

Los nombres, las direcciones de correo personales, los números de teléfono, las firmas y los datos financieros son claramente datos personales. Los datos del vehículo requieren un análisis contextual. Un VIN, una matrícula, un rastro de ubicación, un patrón de conducción, un historial de servicio o un identificador del vehículo pueden relacionarse con un propietario, poseedor, conductor o pasajero identificable. La seudonimización reduce el riesgo, pero no necesariamente saca los datos del ámbito del RGPD si sigue siendo posible la reidentificación.

Las directrices del Comité Europeo de Protección de Datos (CEPD) sobre vehículos conectados subrayan que gran parte de los datos generados por el vehículo son datos personales y destacan la ubicación, los datos biométricos y los datos relativos a infracciones como categorías especialmente sensibles según el contexto. Favorecen el tratamiento local cuando sea posible y el control del usuario sobre la recogida. [2]

Clasifique los campos por sensibilidad y finalidad, no por aplicación. Un dato de registro puede ser ordinario en un flujo de trabajo y revelador al combinarse con otros. Las notas de texto libre son especialmente arriesgadas porque el personal puede introducir datos de salud, familia, finanzas o reclamaciones sin ninguna estructura. Utilice avisos, formación y campos restringidos para reducir la recogida innecesaria.

3. Delimite los roles entre el concesionario, el grupo, el OEM y los proveedores

Un concesionario suele ser responsable del tratamiento para la actividad de venta y servicio, aunque las relaciones varían. Un OEM puede ser responsable independiente para la garantía o los servicios conectados, corresponsable de una campaña definida conjuntamente, o recibir datos bajo otro acuerdo definido. Un proveedor de DMS suele actuar como encargado del tratamiento de los datos alojados del concesionario, pero puede ser responsable de la administración de su propia cuenta o de sus registros de seguridad.

No copie una etiqueta de rol de un contrato sin contrastarla con la realidad. Pregunte quién decide la finalidad y los medios esenciales, quién responde a las solicitudes de derechos, quién notifica una violación de seguridad a quién, qué subencargados intervienen y si los datos se usan para entrenar modelos o comparar clientes. Documente el fundamento de cada cesión y la minimización de datos en cada interfaz.

El acceso a los datos de vehículos conectados se cruza ahora también con la Ley de Datos de la UE. Las orientaciones no vinculantes de la Comisión Europea para el sector de automoción de 2025 explican cómo se aplican los conceptos de la Ley de Datos a los datos del vehículo, subrayando al mismo tiempo que el RGPD sigue siendo aplicable a los datos personales. [3] Un derecho de acceso o de compartición de datos del producto no es una autorización general para ignorar la normativa de privacidad.

4. Diseñe la base jurídica y la transparencia en torno al recorrido del cliente

Esta tabla es un punto de partida, no una determinación jurídica. Las normas de privacidad electrónica y marketing directo varían según el canal y la transposición nacional. El consentimiento debe ser libre, específico, informado, inequívoco y revocable. Los intereses legítimos requieren evaluaciones de finalidad, necesidad y ponderación.

Ofrezca avisos por capas en los momentos relevantes, no una única página de privacidad remota. Explique el tratamiento esencial en la consulta, la prueba de conducción, la compra, el servicio y la conexión de la aplicación. Facilite el cambio de preferencias y propague la revocación a todos los sistemas de campañas pertinentes.

5. Controle la identidad, la exactitud, el acceso y la conservación

La conciliación de clientes favorece la continuidad, pero también puede combinar incorrectamente a dos personas. Utilice identificadores verificados, niveles de confianza, revisión para las fusiones de mayor impacto y un rastro de auditoría reversible. Conserve qué fuente aportó cada valor. Un concesionario debe poder explicar por qué una persona recibió un mensaje y corregir rápidamente un cambio de titularidad.

Implante el acceso basado en roles y la segregación de funciones. Un comercial puede necesitar el contacto actual y el contexto del acuerdo, no exportaciones sin restricciones ni datos de nómina. Los informes de grupo pueden necesitar datos agregados por sucursal en lugar de detalle a nivel de cliente. Revise los roles privilegiados y las cuentas inactivas. Registre el acceso a los conjuntos de datos de alto riesgo e investigue las exportaciones masivas.

Fije la conservación por registro y finalidad. Los documentos fiscales, los contratos, la evidencia de garantía, los leads no concluidos, las grabaciones de llamadas, los datos de ubicación y las muestras de entrenamiento de modelos necesitan plazos distintos. Tenga en cuenta los plazos de prescripción y las retenciones legales, y después elimine o anonimice. Compruebe las copias de seguridad y las integraciones posteriores para que una eliminación en la interfaz no sea meramente cosmética.

6. Operacionalice los derechos, las EIPD y los incidentes

Construya un proceso de recepción verificado para las solicitudes de acceso, rectificación, supresión, limitación, oposición y portabilidad. Busque por identificadores de cliente y de vehículo en los sistemas de CRM, DMS, llamadas, documentos y marketing. Revise los datos de terceros y los derechos de otras personas antes de divulgar la información. Registre la decisión y la fecha de respuesta.

Utilice una evaluación de impacto relativa a la protección de datos cuando el tratamiento pueda entrañar un alto riesgo, en particular la supervisión sistemática, los nuevos datos conectados o las decisiones automatizadas significativas. Una EIPD debe influir en el diseño antes del lanzamiento. No es un formulario de aprobación retrospectiva.

Prepare el triaje de violaciones de seguridad. El personal debe reconocer las facturas mal dirigidas, las exportaciones expuestas, el compromiso de cuentas y el ransomware como posibles incidentes de datos personales. Recopile los hechos con rapidez, contenga el acceso, conserve las evidencias y respalde la evaluación del responsable sobre sus obligaciones de notificación. El RGPD establece un plazo de notificación a la autoridad de control de 72 horas cuando se alcanza el umbral de riesgo aplicable. [1]

Dónde encaja Omnetic

Los módulos documentados de Omnetic incorporan el contexto de cliente, vehículo, operación, comunicación, inspección, stock y precio en los flujos de trabajo operativos. Esa continuidad puede favorecer la exactitud, la visibilidad del origen y menos traspasos sin control. Por sí sola, no establece el cumplimiento del RGPD.

Los concesionarios deben preguntar a Omnetic por los roles de responsable y encargado, la ubicación de los datos, los subencargados, el comportamiento de conservación y eliminación, los controles de acceso, los registros de auditoría, el soporte a la exportación, las condiciones ante incidentes y los detalles del tratamiento con IA. El país, el paquete y las opciones de despliegue pueden cambiar la respuesta.