Una auditoría RGPD permite evaluar de forma estructurada cómo se está aplicando la protección de datos en una organización. Analizamos si la documentación refleja los tratamientos reales, si las medidas y procedimientos son adecuados y si existen deficiencias que deban corregirse, proporcionando una visión clara del estado del cumplimiento y de las actuaciones necesarias.
Solicitar Auditoría RGPDUna organización puede disponer de políticas de privacidad, contratos, un Registro de Actividades de Tratamiento, procedimientos internos y medidas de seguridad y, sin embargo, existir diferencias importantes entre lo que está documentado y lo que ocurre realmente en la actividad diaria.
Los tratamientos evolucionan. Se incorporan nuevos programas, proveedores y servicios cloud, se contrata personal, aparecen nuevas finalidades, se modifican formularios, se instalan cámaras, se utilizan nuevas tecnologías y cambian los sistemas de información.
Por eso, evaluar el cumplimiento no debería limitarse a comprobar que existen documentos.
Una auditoría RGPD permite revisar de forma estructurada el sistema de protección de datos de una organización para determinar qué elementos están correctamente implantados, qué aspectos necesitan actualizarse, dónde existen incoherencias o deficiencias y qué actuaciones deberían priorizarse.
El objetivo es obtener una imagen real del estado del cumplimiento y convertir los resultados de la revisión en un plan de mejora práctico.
Una auditoría RGPD es un proceso de revisión y evaluación del sistema de protección de datos de una organización.
Dependiendo de su alcance, puede comprender el análisis de:
los tratamientos de datos personales realizados;
la documentación existente;
las bases jurídicas utilizadas;
la información facilitada a los interesados;
el Registro de Actividades de Tratamiento;
los análisis de riesgos;
las Evaluaciones de Impacto cuando resulten necesarias;
las medidas técnicas y organizativas;
los proveedores y encargados del tratamiento;
las transferencias internacionales;
los procedimientos para atender derechos;
la gestión de brechas de datos personales;
las políticas internas;
la formación y concienciación del personal;
los sistemas de información;
y las evidencias disponibles sobre las medidas implantadas.
El alcance concreto debe adaptarse a las características de la organización y a los tratamientos que realiza.
No tiene sentido auditar de la misma forma una pequeña empresa que gestiona datos básicos de clientes y proveedores que una clínica, una empresa tecnológica o una organización que realiza tratamientos de mayor complejidad.
Uno de los errores más habituales consiste en identificar cumplimiento con documentación.
Los documentos son importantes, pero deben representar lo que ocurre realmente.
Por ejemplo, una organización puede disponer de un Registro de Actividades de Tratamiento perfectamente redactado y, sin embargo:
utilizar un proveedor que no aparece identificado;
haber incorporado una nueva finalidad;
conservar datos durante más tiempo del previsto;
utilizar aplicaciones diferentes de las documentadas;
haber creado nuevos accesos a información;
realizar transferencias internacionales no analizadas;
o aplicar medidas distintas de las descritas.
La auditoría debe contrastar documentación y realidad operativa.
Esta diferencia es fundamental.
El RGPD no establece una obligación general de realizar una denominada “auditoría RGPD” anual para todas las empresas, autónomos u organizaciones.
Por tanto, no sería correcto afirmar que toda empresa debe contratar una auditoría externa una vez al año.
Esto no significa que el cumplimiento pueda permanecer sin revisión.
El RGPD exige aplicar medidas técnicas y organizativas apropiadas y estar en condiciones de demostrar que los tratamientos se realizan conforme a la normativa. En materia de seguridad también contempla procesos de verificación, evaluación y valoración de la eficacia de las medidas aplicadas.
Una auditoría puede ser una herramienta útil para realizar esa verificación de forma estructurada, detectar desviaciones y obtener evidencias sobre el estado del sistema.
También pueden existir obligaciones específicas de auditoría, revisión o control derivadas de otras normas, sectores, contratos, certificaciones o marcos aplicables a una organización concreta. Esas situaciones deben analizarse separadamente.
La protección de datos actual se basa en el principio de responsabilidad proactiva.
Esto implica que una organización debe conocer los tratamientos que realiza, aplicar las medidas apropiadas y estar en condiciones de demostrar que actúa conforme al RGPD.
Una auditoría puede contribuir a esta responsabilidad porque permite comprobar si aquello que la organización afirma hacer coincide con lo que realmente ocurre.
Por ejemplo, puede verificar:
si los tratamientos están correctamente identificados;
si la documentación continúa actualizada;
si existen evidencias de las medidas implantadas;
si los procedimientos internos se utilizan;
si los proveedores han sido correctamente analizados;
si el personal conoce las instrucciones aplicables;
y si las decisiones adoptadas pueden justificarse.
Puedes ampliar este concepto en nuestra página sobre Responsabilidad Proactiva RGPD .
No existe un único momento válido para todas las organizaciones.
Una auditoría puede resultar especialmente útil cuando ha transcurrido un periodo significativo desde la implantación inicial del sistema y se quiere comprobar si continúa reflejando la actividad real.
También puede ser conveniente cuando:
la empresa ha crecido;
han cambiado sus procesos;
se han incorporado nuevos proveedores;
se han implantado nuevos programas;
se ha migrado información a servicios cloud;
se utilizan nuevas tecnologías;
se han incorporado nuevas categorías de datos;
han cambiado las finalidades de determinados tratamientos;
se ha instalado videovigilancia;
se han producido incidentes de seguridad;
existen dudas sobre la documentación existente;
se prepara una operación corporativa o cambio organizativo;
o la dirección desea conocer el estado real del cumplimiento.
La decisión debe responder a las características y riesgos de la organización, no a una periodicidad artificial idéntica para todas las empresas.
No existe una frecuencia universal establecida por el RGPD para realizar una auditoría general de protección de datos.
Por tanto, no podemos afirmar que todas las organizaciones deban auditarse obligatoriamente cada año ni que las organizaciones de mayor riesgo deban hacerlo automáticamente cada seis meses.
La periodicidad puede establecerse internamente atendiendo, entre otros factores, a:
la naturaleza de los tratamientos;
los riesgos existentes;
la velocidad con la que cambia la organización;
la incorporación de tecnologías;
el historial de incidencias;
los cambios de proveedores;
los resultados de revisiones anteriores;
y las obligaciones específicas que puedan resultar aplicables.
Una revisión periódica puede ser una buena práctica de control, pero su frecuencia debe ser proporcionada y justificada.
El Registro de Actividades de Tratamiento es uno de los elementos que puede revisarse durante una auditoría.
No basta con comprobar que existe.
Debe contrastarse con la actividad real para determinar si los tratamientos que corresponda registrar están correctamente reflejados.
La revisión puede comprobar aspectos como:
responsables y, cuando proceda, corresponsables;
finalidades;
categorías de interesados;
categorías de datos personales;
destinatarios;
transferencias internacionales;
plazos previstos de supresión;
y descripción general de las medidas de seguridad cuando corresponda.
También resulta útil comprobar si han aparecido tratamientos que todavía no se han incorporado al registro o si existen tratamientos documentados que ya no se realizan.
Puedes consultar nuestra página específica sobre el Registro de Actividades de Tratamiento (RAT) .
Una auditoría puede comprobar si la organización ha identificado y evaluado adecuadamente los riesgos relacionados con sus tratamientos.
La revisión no debe limitarse a buscar una matriz o un documento denominado “análisis de riesgos”.
Debe analizarse si el proceso realizado tiene relación con los tratamientos reales.
Entre otras cuestiones puede revisarse:
qué tratamientos fueron analizados;
qué riesgos para los derechos y libertades se identificaron;
qué factores se tuvieron en cuenta;
cómo se valoraron probabilidad y gravedad;
qué medidas se aplicaron;
qué riesgos residuales permanecen;
y si posteriormente se han producido cambios relevantes.
Además, el riesgo en protección de datos no se limita a vulnerabilidades informáticas.
Pueden existir riesgos derivados de una recogida excesiva de datos, accesos injustificados, utilización para finalidades diferentes, conservación inadecuada, perfiles, decisiones automatizadas, vigilancia excesiva, divulgaciones o pérdida de control sobre la información.
Puedes ampliar esta materia en Análisis de Riesgos RGPD .
Cuando una organización realiza tratamientos que pueden entrañar un alto riesgo para los derechos y libertades de las personas, puede resultar necesaria una Evaluación de Impacto relativa a la Protección de Datos.
Dentro de una auditoría podemos comprobar si se ha analizado adecuadamente la necesidad de realizarla y, cuando existe una EIPD, revisar si continúa siendo coherente con el tratamiento real.
La auditoría no debe asumir que cualquier utilización de inteligencia artificial, datos de salud, videovigilancia o geolocalización implica automáticamente una EIPD.
Es necesario analizar el tratamiento atendiendo a su naturaleza, alcance, contexto y fines.
Cuando corresponda profundizar específicamente en esta materia, puede realizarse una revisión de la Evaluación de Impacto relativa a la Protección de Datos (EIPD) .
La auditoría puede evaluar las medidas implantadas para determinar si continúan siendo apropiadas para los riesgos existentes.
Dependiendo de los sistemas y tratamientos pueden revisarse cuestiones relacionadas con:
gestión de usuarios;
permisos y privilegios;
autenticación;
acceso remoto;
dispositivos;
actualizaciones;
copias de seguridad;
restauración;
cifrado;
seudonimización;
seguridad física;
eliminación de soportes;
gestión de incidencias;
continuidad;
procedimientos internos;
y controles sobre proveedores.
No todas estas medidas son obligatorias en todos los casos.
La auditoría debe comprobar si las medidas seleccionadas son coherentes con los riesgos y si funcionan realmente.
Por ejemplo, no basta con que una política indique que se realizan copias de seguridad. Puede ser necesario comprobar cómo se realizan, dónde se almacenan, quién puede acceder a ellas y si existen pruebas de restauración cuando corresponda.
Puedes consultar nuestra página sobre Medidas Técnicas y Organizativas RGPD .
Los accesos a la información pueden cambiar con rapidez.
Trabajadores que cambian de puesto, usuarios que abandonan la organización, cuentas compartidas, permisos excesivos o accesos administrativos innecesarios pueden generar riesgos.
Una auditoría puede revisar si:
cada usuario dispone de los accesos que necesita;
existen cuentas antiguas;
se utilizan cuentas compartidas;
los privilegios elevados están limitados;
existen mecanismos adecuados de autenticación;
y se aplican procedimientos de alta, modificación y baja de usuarios.
El objetivo no es imponer una configuración idéntica a todas las empresas, sino verificar que el modelo de acceso resulta apropiado para los datos y sistemas utilizados.
Una parte importante de los tratamientos puede depender de proveedores externos.
Software de gestión, hosting, servicios cloud, mantenimiento informático, plataformas de comunicación, asesorías u otros servicios pueden intervenir en el tratamiento de datos personales.
La auditoría puede comprobar:
qué proveedores intervienen;
qué función desempeña cada uno;
cuáles actúan como encargados del tratamiento;
si existen los contratos correspondientes cuando son necesarios;
qué subencargados intervienen;
qué garantías ofrece el proveedor;
qué medidas de seguridad declara;
y si existen posibles transferencias internacionales.
No todo proveedor es automáticamente un encargado del tratamiento. Su función debe determinarse atendiendo al servicio que presta y a la relación que mantiene con los datos.
El uso de servicios internacionales puede implicar tratamientos en diferentes países o accesos desde fuera del Espacio Económico Europeo.
Una auditoría puede revisar si la organización conoce:
qué proveedores realizan estos tratamientos;
qué entidades participan;
dónde se procesan los datos;
qué accesos pueden producirse;
y qué mecanismos se utilizan cuando resulta necesaria una garantía para la transferencia.
No debe presumirse una transferencia internacional únicamente porque el proveedor sea una empresa extranjera. Debe analizarse el flujo real de información y las entidades que intervienen.
El deber de información debe trasladarse correctamente a los puntos en los que se recogen datos personales.
La auditoría puede revisar, según corresponda:
formularios;
contratos;
páginas web;
formularios de empleo;
formularios de clientes;
sistemas de videovigilancia;
comunicaciones;
aplicaciones;
registros;
y otros canales de recogida de información.
El objetivo es comprobar que la información se corresponde con el tratamiento realmente realizado y que no existen textos antiguos o genéricos que describan operaciones diferentes.
También puede comprobarse si las bases jurídicas documentadas son coherentes con los tratamientos realizados.
Uno de los errores frecuentes es utilizar el consentimiento de manera automática.
El RGPD contempla diferentes bases jurídicas y la adecuada depende de la finalidad y circunstancias de cada tratamiento.
La auditoría puede detectar, por ejemplo:
consentimientos innecesarios;
tratamientos sin una base correctamente identificada;
cláusulas que no coinciden con la finalidad real;
o cambios de finalidad que no han sido analizados.
Conservar información indefinidamente “por si algún día hace falta” puede resultar incompatible con el principio de limitación del plazo de conservación.
La auditoría puede comprobar si la organización ha establecido criterios para conservar, bloquear cuando proceda y eliminar información.
Estos criterios deben analizarse por tratamientos.
No existe un único plazo de conservación aplicable a todos los datos de una empresa.
Puede ser necesario tener en cuenta obligaciones legales, responsabilidades, relaciones contractuales y otras circunstancias específicas.
La organización debe estar preparada para recibir y gestionar solicitudes relacionadas con los derechos reconocidos por la normativa.
La auditoría puede revisar:
cómo se reciben las solicitudes;
quién las gestiona;
cómo se verifica la identidad cuando resulta necesario;
cómo se localizan los datos;
cómo se documenta la actuación;
cómo se controlan los plazos;
y cómo se prepara la respuesta.
No basta con disponer de un documento denominado “procedimiento de derechos” si las personas responsables de aplicarlo desconocen cómo actuar.
La auditoría puede comprobar si existe un procedimiento que permita detectar, gestionar, analizar y documentar posibles brechas de datos personales.
Puede revisarse:
cómo se comunican internamente los incidentes;
quién debe evaluarlos;
cómo se documentan;
qué información se recopila;
cómo se adoptan medidas de contención;
y cómo se decide si procede una notificación o comunicación.
No todas las brechas de datos personales deben notificarse automáticamente a la AEPD.
Cuando sea probable que una brecha entrañe un riesgo para los derechos y libertades de las personas, debe notificarse a la autoridad de control sin dilación indebida y, de ser posible, dentro de las 72 horas desde que el responsable tenga constancia de ella.
Cuando sea probable que exista un alto riesgo, puede resultar además necesaria la comunicación a las personas afectadas, salvo las excepciones previstas en la normativa.
La auditoría debe comprobar, por tanto, que existe un proceso de evaluación y no simplemente una regla automática de “notificar todo en 72 horas”.
Las medidas organizativas dependen también de las personas que manejan información.
La auditoría puede comprobar si el personal conoce las instrucciones que necesita para desarrollar sus funciones.
Según la actividad puede ser relevante revisar cuestiones como:
confidencialidad;
gestión de contraseñas;
correo electrónico;
phishing;
dispositivos;
acceso a información;
incidencias;
derechos;
documentos en papel;
teletrabajo;
o procedimientos específicos de la organización.
No existe una frecuencia universal de formación aplicable a todas las empresas.
La formación debe adaptarse a las funciones, riesgos y necesidades existentes.
Cuando sea necesario reforzar este ámbito puede recurrirse a Formación RGPD para Empresas .
Una página web puede cambiar sin que la documentación de protección de datos se actualice.
Durante una auditoría puede revisarse la utilización de:
formularios;
cookies y tecnologías similares;
analítica;
servicios externos;
mapas;
vídeos incrustados;
reCAPTCHA u otros mecanismos antifraude;
newsletters;
comercio electrónico;
áreas de usuario;
o herramientas de marketing.
El análisis debe comprobar qué tecnologías se cargan realmente y qué tratamientos generan.
No basta con revisar el texto de una política de privacidad o cookies de forma aislada.
Cuando existen cámaras puede comprobarse si el sistema implantado se corresponde con la finalidad declarada y si se han analizado correctamente aspectos como:
ubicación;
campo de visión;
acceso a las imágenes;
conservación;
información;
encargados;
acceso remoto;
y tecnologías adicionales.
Los sistemas con funcionalidades avanzadas pueden requerir análisis adicionales en función de sus características.
La incorporación de herramientas de inteligencia artificial puede introducir nuevos tratamientos o modificar los existentes.
Una auditoría puede identificar si la organización utiliza este tipo de herramientas y comprobar, cuando existe tratamiento de datos personales:
qué información se utiliza;
con qué finalidad;
qué proveedor interviene;
dónde se procesan los datos;
si existen transferencias;
si se generan perfiles;
si existen decisiones automatizadas;
qué información reciben los interesados;
y qué riesgos pueden producirse.
La auditoría no debe partir de la idea de que toda inteligencia artificial incumple el RGPD ni de que toda utilización es automáticamente de alto riesgo.
Debe analizarse el caso concreto.
Las políticas internas deben ser útiles y aplicables.
Una auditoría puede comprobar si existen procedimientos adecuados para las áreas relevantes y si realmente son conocidos y utilizados.
Por ejemplo:
gestión de usuarios;
uso de dispositivos;
trabajo remoto;
gestión de incidencias;
copias de seguridad;
ejercicio de derechos;
conservación;
destrucción de documentación;
altas y bajas de personal;
gestión de proveedores;
y respuesta ante incidentes.
Una política que nadie aplica aporta poco valor como medida organizativa.
La responsabilidad proactiva implica poder demostrar las actuaciones realizadas.
Por ello, una auditoría también puede comprobar qué evidencias conserva la organización.
Dependiendo del caso pueden existir:
contratos;
registros;
decisiones documentadas;
revisiones;
controles;
registros de formación;
pruebas técnicas;
comunicaciones;
análisis;
actas;
incidencias;
verificaciones;
y otras evidencias.
El objetivo no es generar documentación por generar, sino disponer de evidencias proporcionadas que permitan justificar las decisiones y medidas realmente adoptadas.
No son lo mismo.
El análisis de riesgos se centra en identificar y valorar los riesgos que los tratamientos pueden generar para los derechos y libertades de las personas y en determinar las medidas apropiadas para gestionarlos.
La auditoría RGPD tiene un alcance diferente: revisa el estado del sistema de cumplimiento y comprueba si diferentes obligaciones, medidas y procedimientos están correctamente implantados.
Un análisis de riesgos puede ser uno de los elementos revisados durante una auditoría.
La adaptación RGPD tiene como finalidad construir o reconstruir el sistema de cumplimiento de una organización.
La auditoría parte normalmente de una situación existente y la examina para determinar su estado.
Por tanto:
Adaptación: implantamos.
Auditoría: verificamos.
Si una auditoría detecta numerosas deficiencias, posteriormente puede ser necesario realizar una Adaptación RGPD total o parcial.
La auditoría identifica y evalúa el estado existente.
La Actualización RGPD introduce los cambios necesarios para que la documentación, procedimientos y medidas vuelvan a reflejar correctamente la actividad de la organización.
Podemos resumirlo de esta manera:
Auditoría: qué está bien, qué está mal y qué debemos mejorar.
Actualización: realizamos los cambios que correspondan.
Ambos servicios pueden complementarse, pero no son equivalentes.
El Asesoramiento Especializado RGPD se utiliza principalmente para analizar una consulta, proyecto, incidencia o decisión concreta.
La auditoría tiene un alcance de revisión más sistemático.
Por ejemplo, decidir cómo implantar una nueva plataforma cloud puede requerir asesoramiento especializado.
Comprobar posteriormente si los proveedores cloud utilizados por toda la organización están correctamente identificados, contratados y documentados puede formar parte de una auditoría.
Determinamos qué áreas, tratamientos, sistemas, departamentos o procesos van a formar parte de la auditoría.
Revisamos la documentación y evidencias necesarias para conocer el sistema existente.
Contrastamos la documentación con la actividad real de la organización.
Analizamos las obligaciones y procedimientos relacionados con los tratamientos incluidos en el alcance.
Comprobamos las medidas técnicas y organizativas relevantes y las evidencias disponibles sobre su aplicación.
Documentamos deficiencias, incoherencias, elementos pendientes y oportunidades de mejora.
Los hallazgos no tienen necesariamente la misma importancia.
Priorizamos las actuaciones atendiendo a su relevancia, riesgos y posibles consecuencias.
Recogemos los resultados de la revisión y las actuaciones propuestas.
Organizamos las medidas correctoras o mejoras para facilitar su implantación posterior.
El contenido dependerá del alcance contratado, pero puede incluir:
alcance de la revisión;
áreas analizadas;
metodología utilizada;
documentación revisada;
hallazgos;
deficiencias detectadas;
riesgos asociados;
recomendaciones;
prioridades;
y plan de acción.
El informe constituye una evidencia de que se ha realizado una revisión y puede integrarse dentro del sistema de responsabilidad proactiva de la organización.
Sin embargo, un informe de auditoría no debe presentarse como un certificado oficial de cumplimiento ni como una garantía de que la AEPD considerará automáticamente conforme a la organización.
Su valor depende del alcance, metodología, evidencias revisadas y actuaciones posteriores.
La auditoría no debería terminar con la entrega de un informe que queda archivado.
Los hallazgos deben convertirse en actuaciones.
Dependiendo de los resultados puede ser necesario:
actualizar el RAT;
revisar un análisis de riesgos;
modificar contratos;
mejorar medidas de seguridad;
actualizar información de privacidad;
modificar procedimientos;
revisar proveedores;
impartir formación;
realizar una EIPD;
eliminar accesos innecesarios;
corregir configuraciones;
o revisar plazos de conservación.
Cuando los cambios afectan a una parte amplia del sistema puede resultar conveniente realizar una Actualización RGPD .
Realizamos auditorías de protección de datos adaptadas a empresas, autónomos, profesionales y organizaciones con diferentes niveles de complejidad.
El alcance no se determina únicamente por el número de trabajadores.
Una pequeña organización puede tratar datos especialmente sensibles, utilizar tecnologías complejas o depender de numerosos proveedores, mientras que una organización mayor puede realizar tratamientos relativamente estables.
Por eso definimos el alcance atendiendo a la realidad de la actividad y a los tratamientos existentes.
El valor de una auditoría no está en el número de páginas de su informe.
Está en su capacidad para responder preguntas concretas:
¿Qué tratamientos realiza realmente la organización?
¿La documentación los refleja?
¿Las personas saben cómo deben actuar?
¿Los proveedores están correctamente gestionados?
¿Las medidas funcionan?
¿Existen riesgos que no se han considerado?
¿Hay procedimientos que solo existen sobre el papel?
¿Qué debemos corregir primero?
Una auditoría útil transforma esas respuestas en actuaciones concretas.
Ese es el objetivo: conocer el estado real del cumplimiento, detectar las deficiencias y disponer de un plan razonado para corregirlas.
No existe una obligación general en el RGPD que establezca que todas las empresas y profesionales deban realizar una auditoría RGPD anual. La necesidad y frecuencia de las revisiones debe determinarse atendiendo a los tratamientos realizados, los riesgos, los cambios producidos en la organización y las obligaciones específicas que puedan resultar aplicables.
Permite conocer el estado real del sistema de protección de datos de una organización, contrastando la documentación existente con los tratamientos, proveedores, sistemas, medidas y procedimientos que se utilizan en la práctica. Su finalidad es detectar deficiencias, incoherencias y oportunidades de mejora y establecer las actuaciones necesarias para corregirlas.
El alcance depende de cada organización. Puede incluir el Registro de Actividades de Tratamiento, bases jurídicas, información a los interesados, análisis de riesgos, medidas técnicas y organizativas, proveedores, transferencias internacionales, conservación de datos, ejercicio de derechos, brechas de datos personales, formación, políticas internas, página web y otras áreas relacionadas con los tratamientos realizados.
No. El Análisis de Riesgos RGPD estudia los riesgos que los tratamientos pueden generar para los derechos y libertades de las personas y las medidas necesarias para gestionarlos. Una auditoría tiene un alcance más amplio y revisa el estado del sistema de cumplimiento. El análisis de riesgos puede ser uno de los elementos examinados durante la auditoría.
No debe considerarse un certificado oficial ni una garantía absoluta de cumplimiento. La auditoría permite evaluar una situación concreta, identificar hallazgos y proponer actuaciones. Su utilidad depende del alcance de la revisión, de las evidencias analizadas y, especialmente, de que posteriormente se implanten y mantengan las medidas necesarias.
Los hallazgos se analizan y pueden organizarse en un plan de acción atendiendo a su importancia y a los riesgos existentes. Dependiendo de los resultados puede ser necesario actualizar documentación, modificar procedimientos, revisar proveedores, mejorar medidas de seguridad, impartir formación o realizar una Actualización RGPD más amplia.
Puede incluirla cuando forme parte del alcance contratado. Se analizan las Medidas Técnicas y Organizativas RGPD relevantes para los tratamientos y sistemas de la organización, comprobando no solamente si están documentadas, sino también si existen evidencias de su aplicación y si resultan apropiadas para los riesgos identificados.
El resultado puede documentarse mediante un informe de auditoría que recoja el alcance de la revisión, los elementos analizados, los hallazgos detectados, las recomendaciones y las actuaciones que conviene priorizar. Este informe puede servir como evidencia de la revisión realizada dentro del sistema de Responsabilidad Proactiva RGPD , pero no constituye por sí mismo una certificación oficial de cumplimiento.
En RGPD Málaga revisamos los tratamientos, documentación, proveedores, riesgos, medidas de seguridad y procedimientos de tu organización para identificar posibles deficiencias y determinar qué actuaciones conviene priorizar. Obtendrás una visión estructurada del estado del cumplimiento y un plan de mejora adaptado a la realidad de tu actividad.
Solicitar auditoría RGPD