RGPD MÁLAGA

No existe una única documentación válida para todas las empresas. Primero es necesario conocer qué datos personales se tratan, con qué finalidad y base jurídica, quién puede acceder a ellos, qué proveedores intervienen y qué riesgos existen.

A partir de ese análisis pueden determinarse las medidas y documentos necesarios: información a los interesados, contratos con encargados, Registro de Actividades de Tratamiento, procedimientos para atender derechos, medidas de seguridad y, cuando corresponda, otras actuaciones específicas.

Adaptación RGPD

Puede seguir siendo válida en parte, pero debe comprobarse que continúa reflejando la actividad real de la organización. Con el tiempo pueden cambiar los tratamientos, proveedores, programas informáticos, personal, sistemas de seguridad, formularios, página web o servicios ofrecidos.

No se trata de renovar automáticamente unos documentos cada año, sino de revisar el cumplimiento cuando se producen cambios relevantes y mantener las medidas y documentación adecuadas a la situación actual.

Actualización RGPD

El Registro de Actividades de Tratamiento es un documento en el que se recoge información esencial sobre las actividades de tratamiento realizadas por una organización: finalidades, categorías de interesados y datos, destinatarios, transferencias internacionales cuando existan, plazos previstos de supresión y, cuando sea posible, una descripción general de las medidas de seguridad.

El RGPD contempla una excepción para determinadas organizaciones de menos de 250 empleados, pero está sometida a condiciones y no debe interpretarse como una exención general para pequeñas empresas.

Registro de Actividades de Tratamiento (RAT)

El enfoque del RGPD está basado en el riesgo. El responsable debe valorar los riesgos que sus tratamientos pueden generar para los derechos y libertades de las personas y adoptar medidas apropiadas.

El análisis debe ser proporcional a las características del tratamiento. No requiere necesariamente utilizar una metodología compleja ni una matriz determinada en todos los casos, pero sí comprender los riesgos existentes para poder decidir qué medidas técnicas y organizativas resultan adecuadas.

Análisis de riesgos RGPD

No. La designación de un Delegado de Protección de Datos (DPD) es obligatoria en determinados supuestos establecidos por el RGPD y la normativa española, pero no para todas las empresas.

Una organización también puede designarlo voluntariamente. El DPD informa y asesora, supervisa el cumplimiento y actúa como punto de contacto en materia de protección de datos, manteniendo la independencia necesaria para desarrollar sus funciones.

Delegado de Protección de Datos

La Evaluación de Impacto en Protección de Datos (EIPD) debe realizarse cuando sea probable que un tipo de tratamiento, especialmente mediante nuevas tecnologías y atendiendo a su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas.

Por tanto, no todos los tratamientos necesitan una EIPD. Antes debe analizarse el tratamiento y determinar si concurren las circunstancias que hacen necesaria esta evaluación.

Evaluación de Impacto en Protección de Datos (EIPD)

El RGPD no establece una lista única de medidas de seguridad válida para todas las organizaciones. Las medidas deben ser apropiadas al riesgo teniendo en cuenta, entre otros factores, la naturaleza de los datos, el contexto y finalidad del tratamiento, el estado de la técnica y los riesgos existentes.

Según cada caso pueden incluir controles de acceso, copias de seguridad, cifrado, gestión de usuarios, actualizaciones, recuperación ante incidentes y procedimientos organizativos, entre otras medidas.

Medidas de seguridad RGPD

No existe una obligación general en el RGPD que establezca que todas las empresas deban contratar una auditoría externa anual.

Lo importante es poder garantizar y demostrar que las medidas adoptadas siguen siendo adecuadas y que el cumplimiento se mantiene actualizado. Una revisión o auditoría puede ser especialmente útil cuando han cambiado los tratamientos, sistemas, proveedores o procedimientos, o cuando se quiere comprobar el estado real del cumplimiento de la organización.

Auditoría RGPD

Las personas que acceden a datos personales deben conocer las instrucciones, medidas y procedimientos que les afectan para poder tratar la información correctamente y reducir errores e incidentes.

Esta formación no tiene por qué consistir necesariamente en realizar un curso anual. Puede adaptarse a las funciones y riesgos de cada puesto mediante instrucciones, manuales, procedimientos, sesiones internas, recomendaciones de seguridad y acciones de concienciación.

Formación y concienciación RGPD

Lo primero es analizar y contener el incidente, determinar qué ha ocurrido, qué datos y personas pueden estar afectados y valorar las posibles consecuencias.

No todas las brechas deben notificarse a la AEPD. Cuando sea probable que la brecha suponga un riesgo para los derechos y libertades de las personas, el responsable debe notificarla a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que tenga constancia de ella. Las brechas deben documentarse y, en determinados casos de alto riesgo, también puede ser necesario informar a las personas afectadas.

Ciberataques y brechas de datos personales

El incumplimiento puede dar lugar a reclamaciones, requerimientos, medidas correctivas y, dependiendo de las circunstancias, sanciones económicas.

No existe una multa automática o una cantidad fija para cada incumplimiento. La autoridad de control debe valorar factores como la naturaleza, gravedad y duración de la infracción, el número de personas afectadas, las medidas adoptadas, el grado de responsabilidad y otras circunstancias del caso concreto.

Más allá de las sanciones, una gestión adecuada de los datos personales ayuda a reducir riesgos y a generar confianza en clientes, empleados y colaboradores.

Sanciones RGPD