La protección de datos no consiste únicamente en disponer de documentos o textos legales. Analizamos los tratamientos reales de tu empresa o actividad profesional, sus bases jurídicas, riesgos, proveedores, sistemas y procedimientos para determinar las medidas que corresponden y construir un sistema de cumplimiento adaptado a tu organización.
Consultar mi situación RGPDEmpresas, profesionales, asociaciones, comunidades, centros sanitarios, comercios, establecimientos de hostelería y muchas otras organizaciones utilizan diariamente datos personales.
Nombres, teléfonos, correos electrónicos, facturas, nóminas, currículums, imágenes, cámaras de videovigilancia, datos bancarios, información sanitaria o datos recogidos mediante una página web son solamente algunos ejemplos.
Tratar datos personales implica asumir obligaciones.
Pero esas obligaciones no son idénticas para todas las organizaciones.
Una pequeña tienda, una clínica, una inmobiliaria, una comunidad de propietarios y una empresa con cincuenta trabajadores pueden estar sujetas al mismo Reglamento General de Protección de Datos y, sin embargo, necesitar tratamientos, documentación, procedimientos y medidas diferentes.
Por eso, en RGPD Málaga partimos de una idea fundamental:
Cumplir el RGPD no consiste en comprar una carpeta de documentos. Hay que conocer los tratamientos reales de la organización, determinar qué obligaciones resultan aplicables, gestionar los riesgos e implantar las medidas y procedimientos necesarios.
El incumplimiento de las obligaciones de protección de datos puede dar lugar a actuaciones correctivas y, dependiendo de las circunstancias, a sanciones. Puedes consultar con más detalle el régimen sancionador y algunos criterios relevantes en nuestra página sobre Sanciones RGPD .
El cumplimiento debe trasladarse a la actividad real de la organización.
No basta con disponer de una política de privacidad en la página web o conservar varios documentos con las siglas RGPD.
Hay que analizar cuestiones como:
qué datos personales se utilizan;
para qué finalidades;
cuál es la base jurídica de cada tratamiento;
de dónde proceden los datos;
quién puede acceder a ellos;
a quién se comunican;
qué proveedores intervienen;
dónde se almacenan;
durante cuánto tiempo se conservan;
qué sistemas y aplicaciones se utilizan;
qué riesgos existen para las personas;
qué medidas técnicas y organizativas se han implantado;
cómo se atienden los derechos;
y cómo se responde ante una posible brecha de datos personales.
El sistema de protección de datos debe reflejar cómo funciona realmente la organización.
Uno de los conceptos fundamentales del RGPD es la responsabilidad proactiva.
El responsable del tratamiento debe aplicar medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que los tratamientos se realizan de conformidad con el Reglamento.
Esto supone pasar de una visión meramente documental a un modelo de gestión.
La organización debe poder justificar las decisiones adoptadas.
Por ejemplo:
¿Por qué se recogen determinados datos?
¿Por qué se conservan durante ese plazo?
¿Quién puede acceder?
¿Qué base jurídica permite utilizarlos?
¿Qué riesgos se han identificado?
¿Por qué se han seleccionado determinadas medidas?
¿Qué ocurre cuando una persona solicita ejercer sus derechos?
¿Cómo se gestiona un incidente?
Puedes ampliar este concepto en nuestra página sobre Responsabilidad Proactiva RGPD .
Antes de generar documentos debemos comprender qué hace realmente la organización con los datos personales.
Un tratamiento puede consistir, entre muchas otras operaciones, en:
recoger datos;
registrarlos;
organizarlos;
almacenarlos;
consultarlos;
utilizarlos;
comunicarlos;
modificarlos;
conservarlos;
o eliminarlos.
Una empresa puede realizar numerosos tratamientos diferentes.
Por ejemplo:
gestión de clientes;
facturación;
proveedores;
recursos humanos;
selección de personal;
videovigilancia;
marketing;
usuarios web;
gestión de consultas;
control de acceso;
o comunicaciones comerciales.
Identificarlos correctamente es el punto de partida para determinar las obligaciones aplicables.
El Registro de Actividades de Tratamiento (RAT) permite identificar y documentar los tratamientos realizados por la organización.
Dependiendo de si se actúa como responsable o como encargado, el artículo 30 del RGPD establece contenidos diferentes.
Entre otras cuestiones, el RAT puede documentar finalidades, categorías de personas y datos, destinatarios, transferencias internacionales cuando existan, plazos previstos de supresión cuando sea posible y una descripción general de las medidas técnicas y organizativas de seguridad cuando sea posible.
No debe entenderse como una simple lista administrativa.
Bien elaborado, ayuda a obtener una visión estructurada de los tratamientos de la organización.
Tener datos personales no significa que podamos utilizarlos para cualquier finalidad.
Cada tratamiento necesita una base jurídica válida.
Dependiendo del caso, puede tratarse de:
consentimiento;
ejecución de un contrato;
cumplimiento de una obligación legal;
protección de intereses vitales;
misión realizada en interés público o ejercicio de poderes públicos;
o interés legítimo cuando concurran los requisitos correspondientes.
No todo necesita consentimiento.
Y pedir consentimiento cuando existe otra base jurídica tampoco es necesariamente la solución correcta.
Además, el tratamiento de categorías especiales de datos requiere analizar las condiciones específicas previstas por el RGPD.
Por eso la adaptación debe comenzar estudiando qué se hace y por qué puede hacerse.
Las personas deben recibir la información correspondiente sobre el tratamiento de sus datos.
La información debe ser clara, accesible y adaptada al contexto en el que se recogen los datos.
Puede ser necesario preparar cláusulas para:
clientes;
formularios;
empleados;
candidatos;
proveedores;
videovigilancia;
página web;
comunicaciones;
u otras situaciones.
No existe una única cláusula universal válida para cualquier tratamiento.
La información debe corresponderse con la realidad.
No.
Este es uno de los errores más frecuentes.
El consentimiento es una de las bases jurídicas previstas por el RGPD, pero no es la única.
Una empresa puede necesitar tratar determinados datos para ejecutar un contrato o cumplir una obligación legal, por ejemplo.
Por eso no debemos llenar todos los procesos de casillas de consentimiento sin analizar previamente cuál es la base jurídica adecuada.
Cuando el consentimiento sí sea la base jurídica, deberá cumplir los requisitos establecidos por el RGPD.
Las organizaciones deben disponer de mecanismos adecuados para atender el ejercicio de los derechos reconocidos por la normativa.
Dependiendo de las circunstancias pueden entrar en juego derechos como:
acceso;
rectificación;
supresión;
oposición;
limitación del tratamiento;
portabilidad;
y derechos relacionados con determinadas decisiones automatizadas.
No basta con mencionar los derechos en una política.
La organización debe saber qué hacer cuando recibe una solicitud.
Esto puede requerir:
identificar la solicitud;
comprobar la identidad cuando corresponda;
localizar los datos;
determinar el derecho aplicable;
responder dentro del plazo;
documentar la actuación;
y coordinarse con proveedores cuando sea necesario.
La protección de datos actual utiliza un enfoque basado en el riesgo.
El Análisis de Riesgos RGPD permite valorar las posibles consecuencias que los tratamientos pueden producir para los derechos y libertades de las personas.
El análisis debe considerar el tratamiento en su contexto.
Entre otros elementos pueden influir:
naturaleza de los datos;
volumen;
número de personas;
tecnologías utilizadas;
accesos;
comunicaciones;
finalidad;
colectivos afectados;
exposición de los sistemas;
proveedores;
y posibles consecuencias.
No debemos confundir el análisis de riesgos RGPD con un análisis exclusivamente informático.
La ciberseguridad es importante, pero el riesgo en protección de datos se analiza fundamentalmente desde la perspectiva de las personas afectadas.
Después de comprender los tratamientos y sus riesgos deben determinarse las medidas apropiadas.
Las Medidas Técnicas y Organizativas RGPD pueden abarcar tanto controles tecnológicos como procedimientos internos.
Según las circunstancias, pueden incluir cuestiones relacionadas con:
control de accesos;
autenticación;
gestión de usuarios;
copias de seguridad;
cifrado;
protección de dispositivos;
actualización de sistemas;
gestión de soportes;
almacenamiento;
confidencialidad;
gestión de proveedores;
procedimientos internos;
respuesta a incidentes;
instrucciones al personal;
y revisión de las medidas.
No existe una lista idéntica para todas las empresas.
Las medidas deben adecuarse al riesgo y al contexto del tratamiento.
No como funcionaban en la normativa española anterior.
El RGPD utiliza un enfoque basado en el riesgo y exige medidas apropiadas para garantizar un nivel de seguridad adecuado a ese riesgo.
Por tanto, actualmente no debemos adaptar una empresa limitándonos a asignarle automáticamente un supuesto nivel básico, medio o alto.
Explicamos este cambio con detalle en Niveles de seguridad.
La seguridad constituye una parte esencial del sistema de protección de datos.
El artículo 32 del RGPD exige valorar factores como el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento y los riesgos para los derechos y libertades de las personas.
Dependiendo del caso pueden ser apropiadas medidas relacionadas con:
seudonimización;
cifrado;
confidencialidad;
integridad;
disponibilidad;
resiliencia;
recuperación ante incidentes;
y verificación de la eficacia de las medidas.
Nuestra página de Medidas de Seguridad RDPG desarrolla específicamente esta materia.
Muchas empresas permiten que terceros accedan o traten datos personales para prestar un servicio.
Por ejemplo:
asesorías;
proveedores informáticos;
hosting;
servicios cloud;
plataformas de gestión;
empresas de mantenimiento;
marketing;
destrucción documental;
o determinadas aplicaciones.
Cuando un proveedor actúa como encargado del tratamiento, deben analizarse sus garantías y formalizarse las condiciones exigidas por el artículo 28 del RGPD.
Pero no todo proveedor es automáticamente un encargado.
Hay que analizar la relación y el papel que desempeña cada parte.
El contrato de encargado no debería consistir simplemente en descargar una plantilla y firmarla.
Debe reflejar adecuadamente la relación existente.
Entre otras cuestiones, puede ser necesario determinar:
objeto;
duración;
naturaleza;
finalidad;
tipos de datos;
categorías de personas;
instrucciones;
confidencialidad;
medidas;
subencargados;
asistencia al responsable;
destino de los datos al finalizar el servicio;
y mecanismos para demostrar el cumplimiento.
Además, el responsable debe seleccionar encargados que ofrezcan garantías suficientes.
Una página web puede implicar diferentes tratamientos y obligaciones.
Dependiendo de sus funcionalidades puede ser necesario revisar:
formularios de contacto;
política de privacidad;
cookies y tecnologías similares;
analítica;
publicidad;
newsletter;
comercio electrónico;
proveedores externos;
mapas;
vídeos incrustados;
reCAPTCHA;
fuentes externas;
redes sociales;
o herramientas de terceros.
No basta con copiar tres páginas denominadas “Aviso legal”, “Privacidad” y “Cookies”.
Hay que comprobar qué hace realmente la web.
Las cámaras también pueden implicar tratamiento de datos personales cuando permiten identificar a personas.
Una implantación adecuada puede requerir analizar:
finalidad;
legitimación;
ubicación;
campo de visión;
información mediante cartelería;
acceso a las imágenes;
conservación;
medidas de seguridad;
solicitudes de derechos;
y posibles comunicaciones de imágenes.
Las obligaciones dependerán del contexto.
No es lo mismo una cámara en un comercio que un sistema de videovigilancia con características y finalidades diferentes.
Las empresas también tratan datos personales de sus trabajadores.
Por ejemplo:
contratación;
nóminas;
control horario;
prevención;
bajas;
comunicaciones;
formación;
dispositivos;
correo corporativo;
imágenes;
control de acceso;
o videovigilancia.
Estos tratamientos deben integrarse dentro del sistema de protección de datos de la organización.
También pueden ser necesarias instrucciones claras sobre el uso de información, sistemas y dispositivos.
Una organización puede disponer de buenas medidas y procedimientos y, aun así, sufrir problemas si las personas que trabajan con datos desconocen cómo deben actuar.
Nuestro servicio de Formación y Concienciación RGPD para Empresas no consiste en impartir cursos presenciales u online.
Preparamos, cuando resulte necesario:
manuales;
guías;
tutoriales;
instrucciones;
procedimientos;
normas de seguridad;
y documentación práctica adaptada a la organización.
Además, explicamos las medidas implantadas para que las personas que trabajan con datos personales sepan cómo aplicarlas en su actividad.
Un error, robo, pérdida, acceso indebido o incidente de seguridad puede afectar a datos personales.
Cuando ocurre, no debemos asumir automáticamente que siempre hay que notificarlo a la AEPD.
Primero hay que determinar qué ha sucedido.
Una gestión adecuada puede requerir:
detectar el incidente;
contenerlo;
identificar los datos afectados;
analizar sus consecuencias;
evaluar el riesgo para las personas;
documentar la brecha;
determinar si debe notificarse a la autoridad de control;
y valorar si también debe comunicarse a las personas afectadas.
La organización debe estar preparada antes de que ocurra el incidente.
Nuestra página sobre Ciberataques y RGPD desarrolla esta relación entre seguridad, incidentes y brechas de datos personales.
No todos los tratamientos requieren una Evaluación de Impacto.
La Evaluación de Impacto en Protección de Datos (EIPD) resulta necesaria cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.
Debe realizarse antes del tratamiento correspondiente.
La EIPD analiza de forma reforzada aspectos como:
operaciones previstas;
finalidades;
necesidad;
proporcionalidad;
riesgos;
y medidas destinadas a afrontarlos.
No debe confundirse con el análisis general de riesgos.
No todas las organizaciones están obligadas a designar un Delegado de Protección de Datos.
El RGPD y la LOPDGDD establecen los supuestos en los que esta figura resulta obligatoria.
También puede designarse voluntariamente.
El Delegado de Protección de Datos (DPD/DPO) tiene funciones específicas de información, asesoramiento, supervisión y cooperación con la autoridad de control, entre otras.
Contratar un servicio general de adaptación RGPD no equivale automáticamente a designar un DPD.
Por eso debemos analizar por separado si la organización necesita esta figura.
El sector sanitario puede realizar tratamientos especialmente relevantes por la naturaleza de la información utilizada.
Pueden intervenir cuestiones relacionadas con:
datos de salud;
historias clínicas;
información a pacientes;
conservación;
accesos;
proveedores;
sistemas;
medidas de seguridad;
comunicaciones;
y posibles obligaciones relacionadas con el DPD.
No debemos reducir su adaptación a utilizar un supuesto “nivel alto”.
Hay que estudiar los tratamientos concretos.
El tratamiento de información de alumnos, familias, trabajadores y otras personas puede requerir especial atención.
Pueden intervenir:
datos de menores;
imágenes;
plataformas educativas;
comunicaciones con familias;
aplicaciones;
proveedores;
servicios cloud;
actividades;
publicaciones;
y medidas de seguridad.
Además, las obligaciones relacionadas con el DPD deben determinarse conforme al tipo de centro y a la normativa aplicable, no mediante una regla genérica.
Un comercio, restaurante u otro establecimiento puede realizar tratamientos aparentemente sencillos pero muy diversos.
Por ejemplo:
clientes;
reservas;
facturación;
proveedores;
trabajadores;
currículums;
videovigilancia;
Wi-Fi;
promociones;
redes sociales;
y página web.
El hecho de que una empresa sea pequeña no elimina las obligaciones derivadas de los tratamientos que realiza.
Los profesionales autónomos también pueden quedar sujetos al RGPD cuando tratan datos personales dentro de su actividad.
Pero tampoco todos necesitan exactamente la misma documentación.
Debemos analizar:
actividad;
tratamientos;
clientes;
proveedores;
sistemas;
datos utilizados;
riesgos;
y obligaciones sectoriales.
La adaptación debe ser proporcional a la realidad.
Las comunidades pueden tratar datos de:
propietarios;
residentes;
empleados;
proveedores;
personas de contacto;
o personas captadas mediante videovigilancia.
La gestión documental, comunicaciones, administradores de fincas, cámaras y acceso a información pueden plantear diferentes cuestiones de protección de datos.
También aquí resulta necesario analizar el contexto concreto.
La incorporación de inteligencia artificial, sistemas automatizados y nuevas herramientas puede modificar los tratamientos existentes o crear otros nuevos.
Antes de utilizar una nueva tecnología con datos personales conviene determinar:
qué información utiliza;
con qué finalidad;
quién la recibe;
dónde se procesa;
qué proveedor interviene;
si se reutilizan los datos;
qué decisiones se adoptan;
qué riesgos aparecen;
y qué garantías son necesarias.
En determinados casos puede ser necesario revisar el análisis de riesgos o valorar una EIPD.
La tecnología no debe implantarse primero y analizar la privacidad después.
El RGPD pretende que la protección de datos se tenga en cuenta desde el diseño de los tratamientos.
Esto significa que, al crear un nuevo proceso, contratar una herramienta o desarrollar un servicio, debemos integrar las garantías necesarias desde el principio.
También debe procurarse que, por defecto, únicamente se traten los datos personales necesarios para cada finalidad.
Esta perspectiva puede evitar muchos problemas posteriores.
Dos empresas del mismo sector tampoco tienen por qué ser idénticas.
Una puede:
utilizar servidores locales;
y otra:
trabajar completamente en cloud.
Una puede:
disponer de cinco trabajadores;
y otra:
de cincuenta.
Una puede:
utilizar videovigilancia;
y otra no.
Una puede:
realizar campañas comerciales;
y otra:
limitarse a gestionar clientes existentes.
Una puede:
utilizar inteligencia artificial;
y otra:
no utilizar ninguna herramienta similar.
Por eso una adaptación basada exclusivamente en el CNAE o en una plantilla sectorial puede resultar insuficiente.
Hay que conocer la organización.
No existe una carpeta idéntica que deba contener exactamente los mismos documentos en todos los casos.
Dependiendo de los tratamientos y circunstancias pueden resultar necesarios documentos relacionados con:
RAT;
información y transparencia;
contratos con encargados;
procedimientos de derechos;
análisis de riesgos;
medidas técnicas y organizativas;
políticas internas;
gestión de brechas;
confidencialidad;
videovigilancia;
conservación;
EIPD;
DPD;
transferencias internacionales;
página web;
empleados;
y otros tratamientos específicos.
La documentación debe responder a las obligaciones reales.
Cuando una organización comienza desde cero, dispone de documentación obsoleta o necesita reconstruir sustancialmente su sistema, puede ser necesaria una Adaptación RGPD para Empresas y Profesionales .
En ese proceso analizamos la actividad y construimos el sistema documental y organizativo que corresponda.
Pero una organización que ya está correctamente adaptada puede no necesitar comenzar de nuevo.
Las empresas cambian.
Aparecen:
nuevos trabajadores;
proveedores;
aplicaciones;
cámaras;
páginas web;
servicios cloud;
tratamientos;
finalidades;
sistemas;
tecnologías;
o procedimientos.
Cuando el sistema existente ya no refleja esa realidad puede ser necesaria una Actualización RGPD .
Actualizar no significa renovar automáticamente los documentos todos los años.
Significa mantener el sistema adecuado a la realidad actual.
En ocasiones la empresa ya dispone de documentación y medidas, pero no sabe si están correctamente implantadas.
Una Auditoría RGPD permite revisar el sistema existente, identificar deficiencias, comprobar su coherencia con los tratamientos reales y establecer acciones correctoras.
No debe confundirse con una obligación universal de contratar una auditoría externa anual.
Es una herramienta de evaluación y mejora.
No todos los problemas requieren una adaptación completa.
Puede surgir una duda concreta:
¿Podemos instalar esta cámara?
¿Cómo tratamos estos currículums?
¿Este proveedor puede acceder a los datos?
¿Qué hacemos ante esta solicitud?
¿Podemos utilizar esta aplicación?
¿Necesitamos una EIPD?
¿Tenemos que designar un DPD?
En estos casos puede resultar más adecuado nuestro servicio de Asesoramiento Especializado RGPD .
La solución debe guardar proporción con el problema.
No existe un plazo universal de 24, 48 o 72 horas.
El tiempo necesario depende de factores como:
complejidad;
número de tratamientos;
tamaño;
información disponible;
proveedores;
sistemas;
riesgos;
documentación existente;
sectores afectados;
y medidas que sea necesario implantar.
Algunas organizaciones sencillas pueden analizarse y documentarse rápidamente.
Otras necesitan un trabajo más amplio.
Preferimos determinar primero qué necesita realmente la organización antes de prometer un plazo genérico.
El coste también depende del trabajo necesario.
No requiere el mismo análisis:
un autónomo con tratamientos sencillos;
una pequeña tienda;
una empresa con trabajadores y videovigilancia;
una clínica;
una organización con múltiples sedes;
o una actividad con tratamientos complejos.
Por eso valoramos previamente la situación y el alcance del servicio.
Ningún servicio profesional puede garantizar que nunca vaya a existir:
un error;
un incidente;
una brecha;
una reclamación;
una inspección;
o una sanción.
El objetivo es implantar un sistema adecuado que permita gestionar los tratamientos de forma conforme con la normativa, reducir riesgos y poder demostrar las decisiones y medidas adoptadas.
La protección de datos es un proceso de gestión, no una garantía de que nunca ocurrirá ningún problema.
Un documento que nadie utiliza aporta poco valor práctico.
Si existe un procedimiento para atender derechos, las personas responsables deben saber cómo actuar.
Si existe un procedimiento de brechas, debe conocerse el canal para comunicar un incidente.
Si se establecen controles de acceso, deben aplicarse.
Si existen instrucciones de seguridad, deben llegar a las personas que necesitan conocerlas.
Si cambia un tratamiento, la documentación debe poder actualizarse.
La protección de datos debe formar parte del funcionamiento de la organización.
Nuestro trabajo parte de la realidad de cada cliente.
El proceso puede incluir:
Analizamos actividad, estructura, tratamientos, sistemas, proveedores y procedimientos.
Determinamos qué elementos del RGPD, LOPDGDD y, cuando corresponda, normativa sectorial deben tenerse en cuenta.
Identificamos finalidades, datos, personas afectadas, bases jurídicas, destinatarios, conservación y demás características relevantes.
Analizamos los riesgos que los tratamientos pueden generar para los derechos y libertades de las personas.
Establecemos las medidas técnicas y organizativas que correspondan según el contexto y los riesgos.
Elaboramos los documentos necesarios para reflejar el sistema implantado.
Preparamos instrucciones, procedimientos y materiales para que las medidas puedan aplicarse realmente.
Cuando cambian los tratamientos o las circunstancias, revisamos si es necesario actualizar el sistema.
La pregunta no debería ser:
“¿Qué paquete RGPD tengo que comprar?”
La pregunta correcta es:
“¿Qué tratamientos realiza mi organización y qué necesita para gestionarlos correctamente?”
A partir de ahí podemos determinar si necesitas una adaptación completa, actualizar un sistema existente, revisar los riesgos, implantar medidas, realizar una EIPD, resolver una consulta concreta o simplemente corregir determinados aspectos.
Ese es el enfoque que aplicamos en RGPD Málaga: analizar primero y documentar e implantar después.
El RGPD se aplica cuando una empresa, profesional u organización realiza tratamientos de datos personales incluidos dentro de su ámbito de aplicación. Esto puede afectar a negocios de prácticamente cualquier tamaño o sector: comercios, clínicas, despachos profesionales, hostelería, comunidades de propietarios, asociaciones, centros formativos, empresas de servicios o profesionales autónomos, entre otros.
Las obligaciones concretas no son necesariamente iguales para todos. Dependen de los tratamientos realizados y de las circunstancias de cada organización.
No existe una carpeta universal con exactamente los mismos documentos para todas las empresas.
Dependiendo de los tratamientos pueden ser necesarios el Registro de Actividades de Tratamiento, cláusulas informativas, contratos con encargados, procedimientos para el ejercicio de derechos, análisis de riesgos, medidas técnicas y organizativas, procedimientos de gestión de brechas, documentación relacionada con trabajadores, videovigilancia, página web, conservación de datos y otros documentos específicos.
En determinados casos también pueden ser necesarias actuaciones adicionales, como una Evaluación de Impacto en Protección de Datos o la designación de un Delegado de Protección de Datos.
No. La documentación es una parte del sistema de cumplimiento, pero debe corresponderse con la actividad real de la organización.
También hay que analizar los tratamientos, sus bases jurídicas, los riesgos, los proveedores, los sistemas utilizados, las medidas de seguridad, los procedimientos internos y la forma en que se atienden situaciones como el ejercicio de derechos o las brechas de datos personales.
No existe un plazo universal. Depende de la complejidad de la organización, el número y tipo de tratamientos, los sistemas utilizados, los proveedores, los riesgos, la documentación existente y las medidas que sea necesario implantar.
Una actividad sencilla puede requerir un trabajo muy diferente al de una organización con numerosos tratamientos, trabajadores, sedes, sistemas o categorías especiales de datos.
No todas las organizaciones están obligadas a designar un DPD. El RGPD y la LOPDGDD establecen determinados supuestos en los que su designación resulta obligatoria y también permiten realizarla voluntariamente.
Por eso debe analizarse la actividad y los tratamientos de la organización antes de determinar si necesita esta figura.
Sí pueden tenerlas. El tamaño de la organización no determina por sí solo la aplicación del RGPD ni las medidas necesarias.
Un autónomo o una pequeña empresa pueden tratar datos de clientes, trabajadores, proveedores, candidatos, usuarios de una página web o personas captadas mediante videovigilancia, entre otros. Las obligaciones deben determinarse atendiendo a los tratamientos concretos.
Cuando resulte necesario, preparamos manuales, instrucciones, guías, tutoriales y procedimientos para que las personas que trabajan con datos personales conozcan las medidas que deben aplicar.
No ofrecemos cursos presenciales u online de RGPD. Nuestro objetivo es trasladar las medidas y procedimientos implantados a la actividad diaria de la organización mediante documentación y explicación práctica adaptada a sus necesidades.
No. Ningún servicio puede garantizar que una organización nunca vaya a sufrir un incidente, una reclamación, una inspección o una sanción.
El objetivo es implantar medidas adecuadas, gestionar correctamente los tratamientos y riesgos y disponer de evidencias que permitan demostrar las actuaciones realizadas. El sistema también debe poder revisarse cuando cambien los tratamientos o las circunstancias.
Analizamos tu actividad, los tratamientos de datos personales, la documentación existente, los proveedores, los sistemas y las medidas implantadas para determinar qué actuaciones necesita realmente tu organización.
Consultar mi situación RGPD