La protección de datos no termina al preparar la documentación RGPD. Las personas que trabajan con datos personales deben conocer las medidas, instrucciones y procedimientos que les afectan. Preparamos manuales, guías, tutoriales y documentación práctica adaptada a la actividad de cada organización para facilitar la correcta aplicación del RGPD en el trabajo diario.
Solicitar Formación RGPD
Una empresa puede disponer de un Registro de Actividades de Tratamiento, contratos con encargados, cláusulas informativas, políticas de seguridad y procedimientos correctamente redactados y, sin embargo, tener problemas si las personas que trabajan con datos personales desconocen cómo deben aplicarlos.
La protección de datos debe trasladarse a la actividad cotidiana.
¿Qué documentos pueden enviarse por correo electrónico?
¿Quién puede acceder a determinadas carpetas?
¿Qué hacer cuando llega una solicitud de ejercicio de derechos?
¿Cómo deben utilizarse las contraseñas?
¿Puede utilizarse un pendrive?
¿Qué hacer si se envía información al destinatario equivocado?
¿Dónde debe guardarse determinada documentación?
¿Cómo actuar ante un correo sospechoso?
¿Puede compartirse una contraseña entre compañeros?
¿Qué hacer cuando una persona deja de trabajar en la empresa?
Estas cuestiones no se resuelven únicamente entregando una carpeta de documentación RGPD.
Las personas que participan en los tratamientos necesitan disponer de instrucciones comprensibles y adaptadas a las tareas que realizan.
Ese es el enfoque de nuestro servicio de formación y concienciación RGPD.
Cuando hablamos de formación RGPD para empresas no estamos ofreciendo cursos presenciales, clases online ni programas académicos de protección de datos.
Nuestro servicio está orientado a trasladar las obligaciones, medidas y procedimientos de protección de datos a las personas que deben aplicarlos en su trabajo.
Para ello podemos preparar y proporcionar:
manuales internos;
guías prácticas;
tutoriales;
instrucciones de seguridad;
procedimientos de actuación;
normas de utilización de sistemas;
recomendaciones adaptadas a los puestos de trabajo;
documentación de concienciación;
y explicaciones sobre las medidas implantadas.
El objetivo no es convertir a los trabajadores en especialistas en Derecho de protección de datos.
El objetivo es que sepan qué deben hacer, qué no deben hacer y cómo deben actuar ante las situaciones relacionadas con datos personales que pueden encontrarse en su actividad cotidiana.
Uno de los problemas que puede aparecer en un sistema de cumplimiento es la distancia entre la documentación formal y el funcionamiento real de la empresa.
Una política puede establecer restricciones de acceso.
Pero el trabajador necesita saber qué carpetas puede utilizar.
Un procedimiento puede regular las brechas de datos.
Pero el empleado necesita saber a quién debe avisar si envía información a la persona equivocada.
Las medidas de seguridad pueden establecer autenticación individual.
Pero el personal necesita saber que no debe compartir sus credenciales.
Una política de conservación puede determinar cuándo debe eliminarse información.
Pero alguien debe conocer cómo aplicar esa decisión en los documentos con los que trabaja.
Por eso la formación y concienciación debe convertir los requisitos generales en instrucciones utilizables.
El RGPD exige que responsables y encargados adopten medidas técnicas y organizativas apropiadas atendiendo a las características del tratamiento y a los riesgos existentes.
Dentro de esas medidas, el factor humano puede resultar especialmente relevante.
Las personas pueden necesitar instrucciones para utilizar correctamente:
equipos;
aplicaciones;
documentos;
correo electrónico;
almacenamiento;
dispositivos;
contraseñas;
sistemas de acceso;
copias;
comunicaciones;
y procedimientos internos.
Por ello, cuando realizamos una adaptación o actualización RGPD, no planteamos la documentación como algo separado de las personas que deben aplicarla.
Las medidas deben poder trasladarse al funcionamiento diario.
No debe responderse simplemente:
“Sí, todas las empresas tienen obligación de realizar un curso RGPD”.
El RGPD no establece una obligación general de contratar un determinado curso, utilizar una modalidad concreta, realizar un número fijo de horas o expedir un certificado anual a todos los trabajadores.
Sin embargo, la organización debe aplicar medidas técnicas y organizativas apropiadas y conseguir que las políticas, responsabilidades y procedimientos necesarios funcionen en la práctica.
Además, cuando existe Delegado de Protección de Datos, el RGPD incluye expresamente entre sus funciones de supervisión la concienciación y formación del personal que participa en las operaciones de tratamiento.
Por tanto, la necesidad y alcance de la información, concienciación o formación interna debe determinarse atendiendo a las funciones que realizan las personas, los tratamientos existentes y los riesgos.
Tampoco existe una regla general que obligue a realizar un curso cada seis meses o cada año.
Una organización puede establecer revisiones o acciones periódicas dentro de su sistema interno.
Pero eso no debe confundirse con una periodicidad universal impuesta por el RGPD.
Puede ser especialmente conveniente revisar o actualizar las instrucciones cuando:
se incorporan trabajadores;
cambian las funciones;
aparecen nuevos tratamientos;
se implantan nuevas aplicaciones;
cambian proveedores;
se modifican procedimientos;
se introducen nuevas medidas de seguridad;
se detectan errores;
se producen incidentes;
aparecen nuevos riesgos;
o cambia la normativa aplicable.
Lo importante es que las personas dispongan de información adecuada a las funciones que realmente desarrollan.
No todas las personas de una organización necesitan conocer exactamente lo mismo.
Un trabajador de administración puede necesitar instrucciones sobre:
facturación;
documentación de clientes;
conservación;
envío de documentos;
acceso a carpetas;
correo electrónico;
y destrucción de documentación.
Una persona que trabaja con recursos humanos puede necesitar conocer procedimientos relacionados con:
currículums;
contratos;
nóminas;
bajas;
datos especialmente sensibles;
documentación laboral;
control de acceso;
y confidencialidad.
Quien atiende al público puede necesitar saber cómo actuar cuando una persona solicita acceso, rectificación o supresión de sus datos.
El personal que utiliza sistemas informáticos puede necesitar instrucciones específicas sobre credenciales, dispositivos, aplicaciones, accesos o incidentes.
Por tanto, la formación interna resulta más útil cuando se adapta a las funciones reales.
Uno de los elementos que podemos preparar dentro de una adaptación es un manual destinado a las personas que trabajan con datos personales.
Este documento traduce determinadas obligaciones y políticas a reglas prácticas de utilización.
Puede recoger cuestiones como:
deber de confidencialidad;
utilización de datos personales;
acceso a la información;
gestión de documentos;
uso de equipos;
contraseñas;
correo electrónico;
dispositivos externos;
impresión;
almacenamiento;
destrucción;
incidencias;
ejercicio de derechos;
comunicaciones;
teletrabajo cuando proceda;
y otras medidas aplicables.
El contenido debe adaptarse a la organización.
Un manual genérico que incluye instrucciones que no corresponden con los sistemas reales puede resultar poco útil.
Las personas que acceden a datos personales deben conocer sus obligaciones de confidencialidad.
Esto implica comprender que el acceso a información por razón del puesto de trabajo no autoriza a utilizarla para cualquier finalidad.
Las instrucciones pueden abordar cuestiones como:
acceso únicamente cuando sea necesario;
prohibición de comunicar información a personas no autorizadas;
precauciones al hablar sobre datos personales;
documentación que no debe dejarse expuesta;
utilización de pantallas;
custodia de documentos;
envío de información;
y actuación cuando se detecta un acceso indebido.
La confidencialidad no debe limitarse a la firma de una cláusula.
La persona debe comprender qué comportamiento se espera de ella.
Las credenciales constituyen uno de los elementos básicos de control de acceso.
El personal puede necesitar instrucciones sobre:
uso de cuentas individuales;
prohibición de compartir contraseñas;
protección de credenciales;
utilización de autenticación adicional cuando exista;
actuación ante sospechas de compromiso;
bloqueo de equipos;
y comunicación de incidencias.
Las reglas concretas deben ser coherentes con los sistemas utilizados por la organización.
El correo electrónico es una herramienta habitual y también una fuente potencial de errores.
Las instrucciones pueden incluir:
comprobar destinatarios antes del envío;
verificar los documentos adjuntos;
utilizar correctamente CC y CCO cuando corresponda;
evitar enviar información innecesaria;
reconocer mensajes sospechosos;
no facilitar credenciales;
utilizar los canales establecidos;
y comunicar rápidamente los errores.
Enviar información personal a un destinatario equivocado puede constituir una violación de seguridad de los datos personales.
Por ello, el personal debe saber cómo reaccionar.
Si una persona detecta que ha enviado información al destinatario equivocado, no debería ocultarlo ni esperar a comprobar si ocurre algo.
Debe existir un canal interno para comunicar el incidente.
La organización podrá entonces:
analizar qué información se ha enviado;
identificar a las personas afectadas;
intentar contener el incidente;
determinar las posibles consecuencias;
documentarlo;
y valorar las obligaciones correspondientes.
El trabajador no necesita realizar por sí mismo toda la evaluación jurídica de una brecha.
Necesita saber que debe comunicarla y a quién.
Puedes ampliar esta cuestión en Ciberataques y RGPD .
La concienciación puede incluir instrucciones básicas para identificar posibles intentos de engaño.
Por ejemplo:
remitentes inesperados;
solicitudes urgentes de credenciales;
enlaces sospechosos;
archivos inesperados;
cambios de cuentas bancarias;
peticiones inusuales;
o mensajes que intentan eludir procedimientos internos.
El objetivo no es impartir un curso técnico de ciberseguridad.
Es proporcionar pautas útiles para reducir errores y establecer qué debe hacer el trabajador cuando sospecha que algo no es correcto.
Dependiendo de la organización pueden establecerse instrucciones sobre:
ordenadores;
portátiles;
teléfonos;
tablets;
unidades USB;
discos externos;
equipos compartidos;
impresoras;
y otros dispositivos.
Las normas deben responder a la política real de la empresa.
Por ejemplo, si no está permitido utilizar dispositivos USB personales, el personal debe conocer esa restricción.
Si determinados equipos no pueden salir de las instalaciones, esa instrucción debe comunicarse.
La protección de datos no afecta únicamente a los sistemas informáticos.
También puede ser necesario establecer pautas para la documentación en papel.
Entre otras:
no dejar documentación sensible expuesta;
recoger documentos de las impresoras;
utilizar sistemas adecuados de archivo;
controlar el acceso;
destruir documentación mediante procedimientos apropiados;
evitar abandonar documentos en zonas comunes;
y mantener precauciones cuando se atiende a terceros.
Las medidas concretas dependerán de los riesgos y de la actividad.
Una persona no debería disponer de acceso a toda la información de la organización simplemente porque trabaja en ella.
Los permisos deben responder a las necesidades de las funciones desempeñadas.
Las instrucciones internas pueden ayudar a explicar:
qué información puede consultar cada perfil;
dónde debe guardarse;
con quién puede compartirse;
qué canales deben utilizarse;
y qué hacer cuando se necesita un acceso adicional.
Este principio conecta directamente con las Medidas Técnicas y Organizativas RGPD .
La incorporación de una persona es un momento especialmente adecuado para facilitarle las instrucciones de protección de datos relacionadas con su puesto.
Dependiendo de las funciones puede ser necesario proporcionarle:
normas de confidencialidad;
manual de usuario;
política de seguridad;
instrucciones sobre sistemas;
procedimientos de incidencias;
información sobre derechos;
y otras normas internas.
Esto permite que las reglas se conozcan desde el comienzo de la relación.
Cuando una persona cambia de puesto pueden cambiar también:
los datos a los que accede;
los sistemas utilizados;
los permisos;
las responsabilidades;
y los riesgos.
Por tanto, puede resultar necesario actualizar las instrucciones proporcionadas.
No debemos asumir que una explicación realizada años antes para otro puesto continúa siendo suficiente.
La finalización de una relación laboral o profesional también debe contemplarse.
Dependiendo de la organización pueden existir procedimientos para:
retirar permisos;
desactivar usuarios;
recuperar dispositivos;
devolver documentación;
revisar accesos;
recordar obligaciones de confidencialidad;
y gestionar información almacenada en los equipos o cuentas correspondientes.
La protección de datos debe contemplar todo el ciclo de vida del acceso.
Un trabajador puede recibir una solicitud relacionada con protección de datos sin ser la persona responsable de tramitarla.
Por ejemplo:
“Quiero saber qué datos tenéis sobre mí”.
“Quiero que borréis mis datos”.
“Quiero modificar mis datos”.
“Quiero oponerme a este tratamiento”.
La formación interna debe permitir reconocer que existe una solicitud que necesita ser canalizada.
No es necesario que todos los trabajadores conozcan en profundidad el procedimiento jurídico.
Sí es importante que sepan:
no ignorarla;
no responder improvisadamente;
identificar el canal interno;
y trasladarla a la persona responsable.
Una organización necesita detectar los incidentes para poder gestionarlos.
El personal puede encontrarse con situaciones como:
pérdida de documentación;
envío incorrecto;
robo de un dispositivo;
acceso no autorizado;
malware;
pérdida de un soporte;
publicación accidental;
eliminación indebida;
o exposición de información.
Por eso resulta importante que exista un procedimiento interno sencillo.
La instrucción esencial para muchos trabajadores puede resumirse en:
si detectas un incidente relacionado con datos personales, comunícalo inmediatamente por el canal establecido.
La organización será quien posteriormente determine las consecuencias y las actuaciones que correspondan.
Un trabajador no necesita decidir si debe notificarse una brecha a la AEPD.
Tampoco debemos enseñarle simplemente:
“si ocurre un incidente hay 72 horas para comunicarlo”.
La regla jurídica es más precisa.
Cuando existe una violación de seguridad de datos personales que deba notificarse a la autoridad de control, el responsable debe hacerlo sin dilación indebida y, de ser posible, dentro de las 72 horas desde que haya tenido constancia de ella.
Por eso es importante que los incidentes se comuniquen internamente con rapidez.
La página Ciberataques y RGPD desarrolla esta cuestión con mayor detalle.
Las personas que reciben currículums pueden necesitar instrucciones específicas.
Por ejemplo:
dónde deben remitirse;
quién puede acceder;
dónde deben almacenarse;
qué información debe facilitarse al candidato;
cuánto tiempo se conservarán conforme al criterio establecido;
y cómo deben eliminarse cuando corresponda.
Una práctica tan cotidiana como recibir un currículum por correo electrónico puede implicar tratamiento de datos personales.
El personal de atención puede manejar:
nombres;
teléfonos;
correos electrónicos;
direcciones;
incidencias;
pedidos;
documentación;
y otra información personal.
Las instrucciones deben ayudar a evitar comunicaciones indebidas y a verificar adecuadamente determinadas solicitudes cuando resulte necesario.
Administración suele concentrar una cantidad importante de información personal.
Puede necesitar instrucciones relacionadas con:
facturas;
contratos;
datos bancarios;
documentación fiscal;
comunicaciones;
proveedores;
archivo;
conservación;
y accesos.
No se trata de enseñar todo el RGPD al departamento.
Se trata de explicar cómo afecta a las operaciones que realiza.
Las funciones de recursos humanos pueden implicar tratamientos especialmente delicados.
Entre otros:
selección;
contratos;
nóminas;
bajas;
control horario;
formación;
prevención;
documentación laboral;
medidas disciplinarias;
y finalización de relaciones laborales.
Las personas que gestionan esta información necesitan instrucciones adaptadas al nivel de acceso y sensibilidad de los datos.
Cuando una organización realiza acciones comerciales, las personas responsables pueden necesitar conocer las reglas internas sobre:
origen de los datos;
bases jurídicas;
listas de contactos;
oposición;
bajas;
utilización de plataformas;
comunicaciones;
y conservación de evidencias cuando proceda.
El objetivo es que las decisiones comerciales respeten las condiciones establecidas para cada tratamiento.
Cuando existen cámaras, determinadas personas pueden tener acceso a las imágenes.
Debe definirse:
quién puede acceder;
con qué finalidad;
cómo se gestionan solicitudes;
cómo se extraen imágenes cuando resulte necesario;
quién puede recibirlas;
y qué medidas deben respetarse.
No todo trabajador debe poder visualizar o copiar grabaciones.
Cuando se permite trabajar fuera del centro pueden aparecer riesgos diferentes.
Dependiendo del caso pueden ser necesarias instrucciones sobre:
transporte de dispositivos;
redes;
pantallas;
documentación;
almacenamiento;
acceso remoto;
terceros presentes;
y custodia de equipos.
Las medidas deben adaptarse al sistema utilizado realmente por la organización.
Las personas responsables de contratar servicios pueden necesitar conocer que determinados proveedores tratarán datos personales por cuenta de la organización.
Por ejemplo:
asesorías;
servicios cloud;
hosting;
mantenimiento informático;
software;
destrucción documental;
marketing;
videovigilancia;
o plataformas de gestión.
No es necesario que cualquier empleado evalúe jurídicamente al proveedor.
Pero quienes participan en las contrataciones deben conocer el procedimiento establecido para evitar que nuevos servicios comiencen a utilizar datos sin la revisión correspondiente.
La concienciación del personal debe ser coherente con las medidas implantadas.
No tendría sentido entregar un manual que exige autenticación multifactor si la organización no dispone de ella.
Tampoco prohibir herramientas que la propia empresa utiliza habitualmente.
Primero debemos conocer:
tratamientos;
sistemas;
usuarios;
proveedores;
riesgos;
y medidas.
Después podemos redactar instrucciones coherentes.
Esta relación es una de las razones por las que integramos la formación dentro del proceso de adaptación y mantenimiento RGPD.
El Análisis de Riesgos RGPD puede identificar riesgos relacionados con las actuaciones de las personas.
Por ejemplo:
accesos excesivos;
errores de envío;
pérdida de documentos;
utilización inadecuada de dispositivos;
credenciales compartidas;
desconocimiento de procedimientos;
o comunicación tardía de incidentes.
Cuando el análisis identifica estas situaciones, una de las medidas organizativas puede consistir en mejorar las instrucciones, procedimientos o concienciación.
Por tanto, la formación no debería diseñarse al margen de los riesgos.
Las Medidas Técnicas y Organizativas RGPD deben poder aplicarse.
Algunas funcionan automáticamente.
Otras dependen de las personas.
Por ejemplo:
Una política de control de acceso necesita que los usuarios no compartan credenciales.
Una política de destrucción necesita que el personal utilice el procedimiento correcto.
Una política de incidencias necesita que los trabajadores comuniquen los problemas.
Una política de confidencialidad necesita que las personas conozcan sus límites.
Por eso las instrucciones y la concienciación forman parte de la implantación práctica de determinadas medidas organizativas.
La Responsabilidad Proactiva RGPD implica adoptar las medidas necesarias y poder demostrar que se ha actuado de forma adecuada.
La organización debe analizar qué necesita en función de sus tratamientos.
En materia de personal esto puede traducirse, según el caso, en:
políticas;
instrucciones;
procedimientos;
manuales;
comunicaciones internas;
controles;
asignación de responsabilidades;
y acciones de concienciación.
No existe una única fórmula válida para todas las empresas.
No existe un “certificado RGPD para empleados” que, con carácter general, deba expedirse para que una empresa pueda demostrar que cumple el Reglamento.
Por tanto, no ofrecemos un certificado presentado como “válido ante la AEPD”.
Lo importante es que las medidas adoptadas sean adecuadas y puedan demostrarse cuando resulte necesario.
Una organización puede documentar las actuaciones realizadas de diferentes maneras dependiendo del sistema implantado.
Por ejemplo, puede conservar:
manuales entregados;
instrucciones comunicadas;
versiones de políticas;
registros internos;
comunicaciones;
confirmaciones de recepción cuando se consideren apropiadas;
y otras evidencias proporcionadas al contexto.
La documentación debe reflejar actuaciones reales.
Nuestro enfoque consiste en preparar documentación que pueda utilizarse realmente.
No se trata de entregar un manual de cien páginas idéntico a todas las empresas.
Las instrucciones deben responder a preguntas concretas.
¿Qué aplicaciones utiliza la empresa?
¿Dónde almacena los datos?
¿Quién tiene acceso?
¿Utiliza dispositivos móviles?
¿Hay teletrabajo?
¿Dispone de videovigilancia?
¿Utiliza almacenamiento cloud?
¿Quién recibe las solicitudes de derechos?
¿Quién gestiona las incidencias?
¿Quién autoriza nuevos accesos?
¿Qué documentación existe en papel?
¿Hay categorías especiales de datos?
Las respuestas determinan qué información necesita el personal.
Podemos preparar un documento práctico que reúna las principales instrucciones que debe conocer el personal.
El contenido puede adaptarse e incluir, cuando corresponda:
Reglas para proteger la información a la que se tiene acceso por razón del puesto.
Instrucciones sobre usuarios, credenciales, permisos y utilización de sistemas.
Cómo almacenar, utilizar, trasladar y destruir documentación.
Precauciones para enviar datos y detectar posibles errores o fraudes.
Reglas aplicables a ordenadores, móviles, portátiles y soportes.
Qué situaciones deben comunicarse y mediante qué procedimiento.
Cómo identificar y canalizar solicitudes relacionadas con datos personales.
Medidas específicas cuando la actividad se desarrolla fuera de las instalaciones.
Procedimientos relacionados con accesos, dispositivos y documentación.
El manual debe ajustarse a la organización y mantenerse coherente con las políticas existentes.
No siempre es necesario incluir todo en un único manual.
En ocasiones resulta más práctico preparar instrucciones específicas.
Por ejemplo:
“Cómo actuar ante un posible phishing”.
“Qué hacer si envío un correo al destinatario equivocado”.
“Cómo gestionar una solicitud de acceso”.
“Normas de utilización de dispositivos USB”.
“Procedimiento de alta y baja de usuarios”.
“Cómo destruir documentación con datos personales”.
“Normas de utilización de correo electrónico”.
“Procedimiento ante pérdida de un dispositivo”.
Este formato permite que la información sea más fácil de consultar cuando aparece una situación concreta.
Cuando realizamos la adaptación de una organización, la formación interna puede integrarse en el propio proceso.
Primero analizamos cómo se tratan los datos.
Después determinamos las medidas y procedimientos necesarios.
Y finalmente trasladamos al personal las instrucciones que le afectan.
Así evitamos entregar recomendaciones desconectadas de la realidad.
Puedes consultar el servicio de Adaptación RGPD para Empresas .
Cuando cambian tratamientos, aplicaciones, proveedores o procedimientos puede ser necesario modificar también las instrucciones internas.
Por ejemplo, si la empresa cambia su sistema de almacenamiento:
pueden cambiar los accesos;
puede cambiar el procedimiento de trabajo;
pueden aparecer nuevas medidas;
y puede ser necesario explicar esos cambios a las personas afectadas.
Por ello, la Actualización RGPD puede incluir también la actualización de manuales e instrucciones.
Una Auditoría RGPD en Málaga puede detectar que las políticas existen documentalmente pero no se aplican correctamente.
Por ejemplo:
trabajadores que comparten usuarios;
documentación expuesta;
incidencias que no se comunican;
permisos innecesarios;
procedimientos desconocidos;
o utilización de herramientas no autorizadas.
En estos casos, la acción correctora puede incluir nuevas instrucciones o medidas de concienciación.
Los incidentes también proporcionan información sobre las medidas que deben mejorarse.
Si se produce un error porque el procedimiento era desconocido, puede ser necesario:
modificarlo;
simplificarlo;
comunicarlo de nuevo;
preparar una instrucción específica;
o revisar cómo se está aplicando.
El objetivo no debe ser únicamente buscar quién cometió el error.
También debemos analizar por qué ocurrió y qué medidas pueden reducir la probabilidad de repetición.
No podemos garantizarlo.
Las brechas pueden tener múltiples causas.
La información y concienciación pueden ayudar a reducir determinados riesgos relacionados con la actuación humana, pero no sustituyen:
controles técnicos;
actualizaciones;
copias de seguridad;
gestión de accesos;
medidas de red;
cifrado cuando corresponda;
gestión de proveedores;
ni otros controles necesarios.
Por eso formación y seguridad deben trabajar conjuntamente.
No.
Ningún manual, tutorial o actuación formativa garantiza que una organización no pueda recibir una sanción.
La autoridad analizará las circunstancias del caso y el cumplimiento de las obligaciones aplicables.
La formación y concienciación pueden formar parte de las medidas organizativas y del sistema de responsabilidad proactiva, pero no deben venderse como un mecanismo para “evitar multas”.
Tampoco.
El cumplimiento depende de múltiples elementos.
Entre otros:
licitud de los tratamientos;
información;
derechos;
RAT;
riesgos;
seguridad;
contratos;
proveedores;
conservación;
EIPD cuando corresponda;
procedimientos;
y medidas técnicas y organizativas.
La formación es una pieza dentro de ese sistema.
No sustituye al resto.
El servicio puede formar parte de una adaptación, actualización, auditoría o mantenimiento del sistema de protección de datos.
Dependiendo de las necesidades podemos preparar:
manual de usuario RGPD;
instrucciones de confidencialidad;
normas de seguridad;
procedimientos internos;
tutoriales;
guías rápidas;
instrucciones sobre incidencias;
normas de utilización de sistemas;
documentación específica por funciones;
y material de concienciación.
No ofrecemos una formación genérica idéntica para todas las empresas.
Partimos de los tratamientos y procedimientos reales.
Identificamos:
tratamientos;
puestos;
sistemas;
documentación;
riesgos;
procedimientos;
y medidas existentes.
No todas las personas necesitan la misma información.
Seleccionamos las instrucciones relevantes para cada contexto.
Elaboramos manuales, guías, tutoriales o procedimientos adaptados.
Cuando realizamos la adaptación RGPD, trasladamos las instrucciones necesarias para comprender cómo deben aplicarse las medidas establecidas.
El objetivo es que la organización disponga de materiales que puedan utilizarse posteriormente cuando aparezcan dudas.
Si cambian los tratamientos, herramientas, procedimientos o riesgos, revisamos si los materiales deben modificarse.
Una firma en un documento no demuestra por sí sola que una persona sabe cómo actuar.
Un curso genérico tampoco garantiza que las instrucciones coincidan con los sistemas reales de una empresa.
Nuestro enfoque busca algo más práctico:
que cada persona conozca las reglas que afectan a su trabajo.
Que sepa dónde encontrar las instrucciones.
Que pueda reconocer determinadas situaciones.
Que sepa cuándo debe pedir ayuda.
Y, especialmente, que sepa cómo comunicar rápidamente un error o incidente.
La protección de datos funciona mejor cuando deja de ser únicamente una carpeta de documentos y se convierte en una parte comprensible de los procedimientos cotidianos.
Ese es el objetivo de nuestro servicio de formación y concienciación RGPD para empresas: convertir las medidas y procedimientos de protección de datos en instrucciones que las personas puedan comprender y aplicar en su trabajo diario.
No existe una obligación general de que todos los trabajadores realicen un curso RGPD determinado, con una duración concreta o con una periodicidad fija. Sin embargo, la organización debe implantar adecuadamente las medidas y procedimientos de protección de datos que correspondan y conseguir que las personas que participan en los tratamientos conozcan las instrucciones necesarias para desempeñar correctamente sus funciones.
Nos referimos a la formación interna y concienciación necesarias para trasladar la protección de datos al trabajo cotidiano. Preparamos manuales, guías, tutoriales, instrucciones de seguridad y procedimientos adaptados a la organización y explicamos las medidas que deben conocer las personas que trabajan con datos personales.
No. Nuestro servicio no consiste en impartir cursos presenciales, clases online ni programas académicos de protección de datos. Nos centramos en proporcionar a las empresas documentación práctica, instrucciones y explicaciones adaptadas a sus tratamientos, procedimientos, sistemas y medidas de protección de datos.
No necesariamente. La información debe adaptarse a las funciones que desempeña cada persona. Administración, recursos humanos, atención al cliente o las personas con acceso a sistemas pueden necesitar instrucciones diferentes. El objetivo es proporcionar a cada perfil la información necesaria para actuar correctamente en las situaciones que puede encontrar en su trabajo.
Dependiendo de la organización, podemos preparar manuales de usuario RGPD, normas de confidencialidad, instrucciones de seguridad, procedimientos de gestión de incidencias, guías para el correo electrónico, reglas sobre contraseñas y dispositivos, procedimientos para solicitudes de derechos y otros materiales relacionados con las medidas implantadas.
El RGPD no establece una obligación general de realizar un curso anual para todos los trabajadores. Las instrucciones y medidas deben mantenerse adecuadas a la realidad de la organización. Puede ser necesario revisarlas cuando cambien los tratamientos, sistemas, puestos, procedimientos o riesgos, cuando se incorporen nuevas personas o cuando se detecten errores o incidentes.
No ofrecemos un supuesto certificado como garantía de cumplimiento o como documento “validado por la AEPD”. Lo relevante es que la organización adopte medidas adecuadas y pueda demostrar las actuaciones realizadas. Los manuales, instrucciones, comunicaciones y otras evidencias internas pueden contribuir a documentar las medidas de información y concienciación implantadas.
No puede garantizarlo. La concienciación puede ayudar a reducir determinados errores humanos y mejorar la detección y comunicación de incidentes, pero debe complementarse con las medidas técnicas, organizativas y jurídicas que correspondan. Tampoco puede garantizarse que una organización nunca vaya a sufrir una brecha o una sanción.
Preparamos manuales, guías, tutoriales, procedimientos e instrucciones adaptados a los tratamientos, sistemas y medidas de tu organización para que las personas que trabajan con datos personales sepan cómo actuar en su actividad diaria.
Solicitar formación RGPD