Antes de empezar: conocer la realidad de la empresa
No existe una adaptación válida para todas las organizaciones. El punto de partida es conocer la actividad, la estructura, los colectivos afectados y las herramientas utilizadas.
El análisis debe abarcar clientes, potenciales clientes, trabajadores, candidatos, proveedores, contactos web, videovigilancia y cualquier otro tratamiento real.
El cumplimiento debe integrarse en la gestión diaria.
Documenta las decisiones y revisa el sistema cuando cambien la actividad, la tecnología o el nivel de riesgo.
Paso 1. Elaborar un inventario de tratamientos
La empresa debe identificar qué datos recoge, de quién proceden, para qué se utilizan, quién accede a ellos, dónde se almacenan y durante cuánto tiempo se conservan.
Este inventario sirve de base para el Registro de Actividades de Tratamiento y para detectar tratamientos que no estaban documentados.
Paso 2. Determinar la base jurídica
Cada finalidad necesita una base jurídica válida. Puede ser la ejecución de un contrato, una obligación legal, el interés legítimo, el consentimiento u otra prevista por el RGPD.
El consentimiento no debe utilizarse por defecto. Debe ser libre, específico, informado e inequívoco cuando realmente sea la base adecuada.
Paso 3. Preparar la información de privacidad
Las cláusulas deben explicar quién es el responsable, las finalidades, la base jurídica, los destinatarios, los plazos de conservación y los derechos.
Debe revisarse cada punto de recogida de datos: contratos, formularios web, presupuestos, procesos de selección, comunicaciones comerciales y videovigilancia.
El cumplimiento debe integrarse en la gestión diaria.
Documenta las decisiones y revisa el sistema cuando cambien la actividad, la tecnología o el nivel de riesgo.
Paso 4. Revisar proveedores y encargados
Debe identificarse qué proveedores tratan datos por cuenta de la empresa y formalizar los contratos correspondientes.
También conviene comprobar las medidas ofrecidas, las ubicaciones de los datos, las subcontrataciones y, cuando proceda, las transferencias internacionales.
Paso 5. Analizar los riesgos y establecer medidas
La empresa debe valorar los riesgos para los derechos y libertades de las personas y aplicar medidas técnicas y organizativas proporcionales.
Entre ellas pueden figurar controles de acceso, copias de seguridad, cifrado, actualizaciones, procedimientos de incidencias, confidencialidad y formación.
Paso 6. Preparar los procedimientos internos
El sistema debe permitir atender solicitudes de derechos, gestionar brechas, controlar la conservación y responder ante reclamaciones.
Definir responsables, plazos y canales internos evita improvisaciones y facilita una respuesta coherente.
Paso 7. Mantener y revisar la adaptación
La adaptación no termina con la entrega de documentos. Debe revisarse cuando cambien los tratamientos y mediante controles periódicos.
El mantenimiento permite detectar nuevas herramientas, finalidades, proveedores o riesgos antes de que generen incumplimientos.
Conclusión
La protección de datos debe adaptarse a la realidad de cada organización. Un análisis ordenado, documentación coherente, medidas proporcionadas y revisiones periódicas permiten mantener el cumplimiento y reducir riesgos.
En LIRO Consultoras ayudamos a empresas y organizaciones a implantar y mantener actualizado su sistema de protección de datos. Consulta nuestro servicio de Protección de Datos.