El cumplimiento del RGPD no termina cuando se prepara la documentación inicial. Los tratamientos evolucionan, aparecen nuevos proveedores y herramientas, cambian los sistemas de información y pueden surgir nuevos riesgos. Revisamos la situación real de tu organización y actualizamos la documentación, procedimientos y medidas que lo requieran para mantener un cumplimiento efectivo y demostrable.
Solicitar actualización RGPDEl cumplimiento del Reglamento General de Protección de Datos (RGPD) no debería entenderse como una actuación que se realiza una sola vez y queda terminada indefinidamente. Una empresa cambia con el tiempo: incorpora trabajadores, contrata proveedores, utiliza nuevas aplicaciones, modifica su página web, instala sistemas de videovigilancia, comienza nuevas campañas comerciales, traslada información a servicios en la nube o introduce tecnologías que antes no utilizaba.
Cada uno de esos cambios puede afectar a la forma en que se tratan los datos personales.
Por eso, una correcta actualización RGPD debe partir de la realidad actual de la organización y comprobar si la documentación, las medidas de seguridad y los procedimientos implantados continúan representando los tratamientos que realmente se realizan.
No se trata simplemente de cambiar la fecha de unos documentos. Se trata de comprobar que existe coherencia entre lo que la empresa hace, lo que tiene documentado y las medidas que aplica.
En RGPD Málaga revisamos el sistema de protección de datos de empresas, profesionales y organizaciones para identificar cambios, documentación desactualizada y aspectos que deban revisarse o adaptarse.
Actualizar el RGPD significa revisar el sistema de cumplimiento para comprobar si continúa siendo adecuado a las actividades de tratamiento actuales.
Dependiendo de cada organización, esta revisión puede afectar a elementos como:
Registro de Actividades de Tratamiento (RAT).
Bases jurídicas de los tratamientos.
Información facilitada a clientes, usuarios, trabajadores u otros interesados.
Contratos con encargados del tratamiento.
Proveedores tecnológicos.
Plazos de conservación.
Procedimientos para atender derechos.
Medidas técnicas y organizativas de seguridad.
Gestión de brechas de datos personales.
Análisis de riesgos.
Evaluaciones de impacto cuando resulten necesarias.
Transferencias internacionales de datos.
Políticas y procedimientos internos.
Formación y concienciación del personal.
Página web, formularios y mecanismos de recogida de datos.
El alcance de la actualización debe determinarse en función de los tratamientos que realiza realmente la organización, no mediante una lista idéntica para todas las empresas.
Uno de los errores frecuentes consiste en considerar la protección de datos como una documentación que simplemente debe “renovarse” una vez al año.
El RGPD establece un enfoque diferente.
Las medidas técnicas y organizativas adoptadas por el responsable deben ser apropiadas para garantizar y poder demostrar el cumplimiento y deben revisarse y actualizarse cuando sea necesario.
Por tanto, no existe una regla general según la cual toda la documentación RGPD caduque automáticamente al cumplir doce meses.
Una revisión periódica puede ser una buena práctica de gestión para detectar cambios que hayan pasado inadvertidos, pero no debe confundirse esa recomendación con un plazo universal de caducidad de la documentación.
Lo realmente importante es que el sistema de protección de datos continúe reflejando la realidad de la organización.
Existen numerosos acontecimientos que pueden justificar una revisión.
La incorporación de un nuevo servicio o una nueva línea de negocio puede implicar tratamientos que anteriormente no existían.
Por ejemplo, una empresa que hasta ahora atendía exclusivamente en establecimiento físico puede comenzar a prestar servicios online y recoger información mediante formularios web.
Será necesario analizar cómo se obtienen esos datos, para qué se utilizan, durante cuánto tiempo se conservan, qué proveedores intervienen y qué información debe facilitarse a los usuarios.
Cambiar el programa de gestión, CRM, ERP, plataforma de reservas, software médico, sistema de recursos humanos o herramienta de facturación puede modificar la forma en que se tratan los datos personales.
Debe analizarse, entre otros aspectos:
Qué datos se introducen en la aplicación.
Dónde se almacenan.
Quién puede acceder.
Qué proveedor presta el servicio.
Si existen subencargados.
Qué medidas de seguridad se aplican.
Si se producen transferencias internacionales de datos.
No debería darse por supuesto que una herramienta es adecuada únicamente porque sea ampliamente utilizada.
Una organización puede trabajar con asesorías, empresas informáticas, servicios cloud, plataformas de correo electrónico, empresas de hosting, software de gestión, empresas de videovigilancia u otros proveedores que tengan acceso a datos personales.
Cuando un proveedor actúa como encargado del tratamiento, debe analizarse si ofrece garantías suficientes y formalizarse correctamente la relación conforme al RGPD.
Cambiar de proveedor puede hacer necesario revisar contratos, accesos, medidas de seguridad y documentación.
La contratación de trabajadores puede introducir o modificar tratamientos relacionados con:
Recursos humanos.
Nóminas.
Prevención de riesgos laborales.
Control horario.
Formación.
Selección de personal.
Control de accesos.
Uso de dispositivos corporativos.
Videovigilancia.
Sistemas de geolocalización, cuando proceda.
También puede ser necesario actualizar permisos y procedimientos cuando un trabajador cambia de funciones o abandona la organización.
La instalación o modificación de cámaras supone un tratamiento de datos personales que debe analizarse específicamente.
No basta con colocar un cartel.
Debe estudiarse la finalidad, legitimación, ubicación de las cámaras, acceso a las imágenes, conservación, información a los interesados y medidas de seguridad, entre otros aspectos.
Una web también evoluciona.
Pueden incorporarse:
Formularios.
Newsletter.
Comercio electrónico.
Sistemas de reservas.
Chats.
Analítica.
Mapas.
Vídeos externos.
CAPTCHA.
Plataformas publicitarias.
Herramientas de seguimiento.
Nuevas cookies o tecnologías similares.
Por ello, una actualización RGPD puede requerir revisar la política de privacidad, información de los formularios, política de cookies y mecanismos de consentimiento, según los servicios realmente utilizados.
La incorporación de herramientas de inteligencia artificial merece especial atención cuando se introducen en ellas datos personales.
Antes de utilizar una nueva plataforma debe conocerse, entre otras cuestiones, qué información se enviará, con qué finalidad, qué proveedor interviene, qué condiciones se aplican y qué riesgos puede introducir.
La utilización de una herramienta tecnológica no elimina las obligaciones de la organización respecto a los datos personales que trata.
La interpretación y aplicación práctica de la normativa también evoluciona.
Nuevas resoluciones, directrices, recomendaciones o cambios normativos pueden hacer recomendable revisar determinados procedimientos.
Por ello, el mantenimiento del cumplimiento también implica comprobar si las prácticas implantadas continúan siendo adecuadas.
El Registro de Actividades de Tratamiento (RAT) debería reflejar las actividades de tratamiento que realmente desarrolla la organización.
Si aparece un nuevo tratamiento o se modifica uno existente, puede ser necesario actualizarlo.
Entre los cambios que pueden afectar al RAT se encuentran:
Nuevas finalidades.
Nuevas categorías de interesados.
Nuevas categorías de datos.
Nuevos destinatarios.
Nuevos proveedores.
Cambios en transferencias internacionales.
Cambios en los plazos previstos de supresión.
Modificaciones relevantes en las medidas de seguridad.
Puedes consultar nuestra página específica sobre Registro de Actividades de Tratamiento (RAT) .
La actualización del RAT es especialmente importante porque puede servir como punto de partida para comprender cómo ha evolucionado el tratamiento de datos dentro de la organización.
Los riesgos no permanecen necesariamente iguales durante toda la vida de un tratamiento.
La introducción de nuevas tecnologías, cambios en los sistemas, nuevas amenazas, modificaciones en los accesos o incorporación de proveedores pueden modificar el escenario de riesgo.
Por ello, el análisis de riesgos RGPD debe entenderse como parte de un proceso de gestión, no como un documento aislado.
Cuando se produce un cambio relevante debe valorarse si aparecen nuevos riesgos o si las medidas existentes continúan siendo apropiadas.
Puedes ampliar esta cuestión en nuestra página sobre Análisis de Riesgos RGPD .
La Evaluación de Impacto en Protección de Datos (EIPD) no es necesaria para todos los tratamientos.
Debe realizarse cuando sea probable que un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas, atendiendo a sus características.
Cuando existe una EIPD y se producen modificaciones relevantes en el tratamiento, puede ser necesario revisar la evaluación.
Esto es particularmente importante si cambian:
Las finalidades.
La tecnología empleada.
La naturaleza o volumen de los datos.
Las categorías de interesados.
Los destinatarios.
Los riesgos identificados.
Las medidas adoptadas.
Puedes consultar nuestra página dedicada a la Evaluación de Impacto en Protección de Datos (EIPD) .
El RGPD no establece un catálogo único de medidas de seguridad aplicable de manera idéntica a todas las organizaciones.
Las medidas deben ser apropiadas al riesgo.
Por ello, durante una actualización conviene revisar si las medidas implantadas siguen siendo adecuadas respecto a los sistemas y tratamientos actuales.
La revisión puede abarcar aspectos como:
Gestión de usuarios y permisos.
Control de accesos.
Contraseñas y autenticación.
Actualizaciones de sistemas.
Protección frente a software malicioso.
Copias de seguridad.
Recuperación ante incidentes.
Cifrado cuando resulte apropiado.
Seguridad de equipos y dispositivos.
Acceso remoto.
Redes y comunicaciones.
Registro y gestión de incidencias.
Eliminación segura de información.
Continuidad de los servicios.
Seguridad de los proveedores.
Puedes ampliar esta información en nuestra página de Medidas Técnicas y Organizativas .
Cuando un tercero trata datos personales por cuenta de una organización puede actuar como encargado del tratamiento.
No todos los proveedores son encargados, por lo que primero debe determinarse qué función desempeña cada uno.
Cuando existe una relación responsable-encargado, debe formalizarse mediante el correspondiente contrato o acto jurídico conforme al artículo 28 del RGPD.
Durante una actualización conviene comprobar:
Qué encargados siguen activos.
Qué proveedores han dejado de prestar servicios.
Si existen nuevos encargados.
Si los contratos siguen correspondiendo con el servicio real.
Si existen subencargados.
Qué medidas de seguridad ofrece el proveedor.
Qué ocurre con los datos al finalizar el servicio.
Si existen transferencias internacionales que deban analizarse.
Este inventario de proveedores resulta especialmente importante en organizaciones que utilizan numerosos servicios tecnológicos.
La utilización de determinados servicios tecnológicos puede implicar que los datos sean tratados fuera del Espacio Económico Europeo o que intervengan entidades situadas en terceros países.
Por ello, al incorporar o cambiar plataformas cloud, herramientas de marketing, servicios de soporte u otras aplicaciones debe comprobarse si existen transferencias internacionales de datos y, en su caso, qué mecanismo permite realizarlas.
Este análisis no debería basarse únicamente en dónde está situada físicamente la empresa que contrata el servicio. Es necesario conocer cómo funciona realmente la cadena de tratamiento.
Cuando cambia la forma de recoger o utilizar datos personales también puede ser necesario actualizar la información que reciben los interesados.
Por ejemplo, un formulario creado para responder consultas no debería utilizarse posteriormente para nuevas finalidades incompatibles sin analizar previamente la situación.
La revisión puede afectar a:
Formularios web.
Formularios en papel.
Contratos.
Altas de clientes.
Procesos de selección.
Información a trabajadores.
Sistemas de videovigilancia.
Formularios de contacto.
Suscripciones.
Campañas comerciales.
La información debe corresponder con el tratamiento que efectivamente se realiza.
La organización debe poder gestionar correctamente las solicitudes relacionadas con los derechos reconocidos por la normativa de protección de datos.
Una actualización debe comprobar que existe un procedimiento operativo y que las personas que pueden recibir una solicitud saben cómo actuar.
Esto cobra especial importancia cuando cambian responsables internos, departamentos, direcciones de contacto o sistemas donde se encuentran almacenados los datos.
No basta con disponer de un documento si en la práctica nadie sabe cómo ejecutar el procedimiento.
Una organización debe estar preparada para identificar y gestionar posibles brechas de datos personales.
No todos los incidentes tienen las mismas consecuencias ni todas las brechas requieren las mismas actuaciones.
Debe existir un procedimiento que permita, entre otras cuestiones:
Detectar el incidente.
Comunicarlo internamente.
Analizar qué ha ocurrido.
Determinar los datos afectados.
Evaluar las posibles consecuencias para las personas.
Adoptar medidas de contención.
Documentar la brecha.
Valorar las obligaciones de notificación o comunicación que puedan resultar aplicables.
Después de un incidente también debe analizarse si las medidas existentes continúan siendo apropiadas y qué cambios resultan necesarios para reducir el riesgo de situaciones similares.
Muchas medidas de protección de datos dependen directamente de las personas que manejan la información.
Un trabajador puede tener acceso a datos de clientes, empleados, pacientes, alumnos o proveedores y debe conocer las normas que le resulten aplicables.
La formación debería adaptarse a las funciones y riesgos reales.
Algunos contenidos habituales son:
Confidencialidad.
Gestión de contraseñas.
Correos electrónicos fraudulentos.
Uso de dispositivos.
Envío de información.
Gestión documental.
Incidentes de seguridad.
Ejercicio de derechos.
Trabajo remoto.
Uso de aplicaciones y servicios cloud.
La incorporación de nuevas tecnologías o cambios importantes en los procedimientos puede justificar actualizar también la formación.
Consulta nuestra página de Formación RGPD para Empresas para ampliar esta cuestión.
La documentación interna debe tener una utilidad práctica.
Dependiendo de la organización, puede resultar conveniente revisar políticas relativas a:
Control de accesos.
Contraseñas.
Dispositivos.
Teletrabajo.
Copias de seguridad.
Gestión de soportes.
Eliminación de información.
Uso del correo electrónico.
Gestión de incidentes.
Ejercicio de derechos.
Altas y bajas de usuarios.
Confidencialidad.
El objetivo no es acumular documentos, sino establecer reglas que puedan aplicarse realmente.
Uno de los principios fundamentales del RGPD es la responsabilidad proactiva.
La organización no solo debe cumplir las obligaciones que le correspondan, sino estar en condiciones de demostrar que ha adoptado medidas apropiadas.
Esto hace especialmente importantes las evidencias.
Según cada caso pueden existir:
Registros.
Contratos.
Informes.
Revisiones.
Evaluaciones.
Procedimientos.
Evidencias de formación.
Registros de incidencias.
Decisiones documentadas.
Controles de seguridad.
Puedes ampliar este concepto en nuestra página sobre Responsabilidad Proactiva .
Imaginemos una empresa que sustituye su programa local por un nuevo ERP en la nube.
No sería suficiente con instalar la aplicación.
Desde la perspectiva de protección de datos convendría determinar qué información se migrará, quién presta el servicio, dónde se trata la información, quién tendrá acceso, qué medidas de seguridad existen, si intervienen terceros y si la documentación de la organización debe modificarse.
El RAT, el análisis de riesgos, los contratos y determinadas medidas podrían verse afectados.
Una clínica comienza a prestar un nuevo tipo de asistencia y recoge información que anteriormente no trataba.
Debe comprobarse si cambian las finalidades, categorías de datos, personal autorizado, aplicaciones utilizadas, destinatarios o periodos de conservación.
Al tratarse potencialmente de datos relativos a la salud, el análisis requiere especial atención.
Dependiendo de las características del nuevo tratamiento también habrá que valorar los riesgos y si concurren circunstancias que hagan necesaria una EIPD.
Una empresa decide utilizar una herramienta de inteligencia artificial para analizar documentos que contienen información de clientes.
Antes de introducir datos reales debería analizar qué información se enviará al proveedor, qué finalidad tiene el tratamiento, qué condiciones contractuales se aplican, qué ocurre con los datos enviados, qué medidas existen y si el uso de la herramienta introduce nuevos riesgos.
El hecho de que la herramienta sea técnicamente accesible no significa automáticamente que cualquier uso de datos personales sea adecuado.
Una empresa instala cámaras por motivos de seguridad.
Este cambio introduce un nuevo tratamiento y puede exigir actualizar el RAT, analizar las medidas aplicables, establecer los accesos autorizados, determinar el plazo de conservación y facilitar la información correspondiente.
Si posteriormente se añaden cámaras o se modifica sustancialmente su finalidad, debe volver a analizarse la situación.
Una actualización eficaz debería comenzar por conocer qué ha cambiado.
Revisamos la actividad, organización, sistemas, tratamientos, proveedores y documentación disponible.
Comparamos la situación documentada con la realidad actual de la organización.
No todos los cambios obligan a modificar toda la documentación.
Determinamos qué tratamientos, documentos, procedimientos o medidas requieren actualización.
Cuando los cambios afectan al escenario de riesgo, revisamos su evaluación y las medidas aplicables.
Modificamos los elementos afectados para que representen la situación real.
La actualización también debe dejar evidencia de las decisiones y actuaciones adoptadas cuando resulte pertinente.
Una fecha reciente no convierte una documentación antigua en documentación actualizada.
Los tratamientos, riesgos y proveedores pueden ser completamente diferentes.
Si la organización incorpora herramientas, servicios o proveedores sin analizarlos, la documentación puede dejar de representar la realidad.
El cumplimiento no es exclusivamente documental.
Servicios cloud, hosting, correo electrónico, copias de seguridad, CRM y otras plataformas pueden desempeñar un papel importante en el tratamiento.
Una revisión periódica puede detectar problemas, pero los cambios relevantes deben analizarse cuando se producen.
En RGPD Málaga realizamos revisiones y actualizaciones adaptadas a la realidad de cada organización.
Podemos trabajar con empresas y profesionales de diferentes sectores, entre ellos:
Comercios.
Hostelería.
Clínicas y centros sanitarios.
Academias y centros formativos.
Inmobiliarias.
Despachos profesionales.
Empresas tecnológicas.
Empresas de servicios.
Autónomos y profesionales.
Entidades y organizaciones con tratamientos de datos personales.
El alcance del trabajo dependerá de los tratamientos y necesidades concretas de cada organización.
Una clínica que trata datos de salud no presenta el mismo escenario que un pequeño comercio, y una empresa tecnológica que utiliza numerosos proveedores cloud puede requerir un análisis diferente al de un profesional que trabaja con una estructura sencilla.
La finalidad de una actualización no es generar más documentos.
Es conseguir que exista coherencia entre la actividad de la organización y su sistema de protección de datos.
El RAT debe representar los tratamientos existentes. Las medidas de seguridad deben responder a los riesgos actuales. Los contratos deben corresponder con los proveedores utilizados. Los formularios deben informar sobre las finalidades reales. Los procedimientos deben poder aplicarse y las personas que intervienen en el tratamiento deben conocer sus responsabilidades.
Cuando estos elementos evolucionan junto con la empresa, la protección de datos deja de ser una carpeta estática y pasa a integrarse en la gestión ordinaria de la organización.
No existe un plazo general que obligue a renovar toda la documentación exactamente cada doce meses. Las medidas deben revisarse y actualizarse cuando sea necesario. Además, resulta conveniente realizar revisiones periódicas que permitan detectar cambios en tratamientos, proveedores, tecnologías, riesgos o procedimientos que no hayan sido previamente analizados.
El responsable debe mantener medidas apropiadas para garantizar y poder demostrar que los tratamientos cumplen el RGPD y revisarlas y actualizarlas cuando sea necesario. Esto no significa que exista una “renovación RGPD” anual obligatoria idéntica para todas las empresas.
Entre otras, la incorporación de nuevos tratamientos, servicios, trabajadores, proveedores, aplicaciones, sistemas cloud, cámaras, formularios web o tecnologías; los cambios en las finalidades o en los datos tratados; la aparición de nuevos riesgos o la modificación de las medidas de seguridad.
No necesariamente. Primero debe analizarse el cambio y determinar qué tratamientos, documentos, contratos, procedimientos o medidas están afectados. Un cambio concreto no implica automáticamente rehacer todo el sistema de cumplimiento.
El RAT debe reflejar las actividades de tratamiento de la organización. Cuando aparecen nuevos tratamientos o se modifican aspectos relevantes de los existentes, debe comprobarse si el registro necesita actualizarse.
Sí, cuando resulte pertinente. Debe comprobarse qué proveedores intervienen en el tratamiento de datos, qué función desempeñan, si ofrecen las garantías necesarias y, cuando actúan como encargados del tratamiento, si la relación está correctamente regulada.
Una brecha debe analizarse y documentarse conforme a las obligaciones aplicables. También conviene evaluar sus causas y comprobar si las medidas técnicas y organizativas continúan siendo adecuadas o deben modificarse para gestionar los riesgos identificados.
No. La fecha de los documentos no demuestra por sí sola el cumplimiento. La documentación, los procedimientos y las medidas deben corresponder con los tratamientos reales de la organización y aplicarse efectivamente.
En RGPD Málaga revisamos la situación actual de tu organización para identificar qué elementos del sistema de protección de datos necesitan actualizarse. Analizamos tratamientos, documentación, proveedores, contratos, riesgos, medidas de seguridad y procedimientos para que el cumplimiento refleje la actividad real de la empresa y no una situación que ya ha quedado desactualizada.
Solicitar actualización RGPD