la Autoridad de Protección de Datos viene a hacer una inspección, ¿qué debo poder mostrar

El registro de actividades de tratamiento es central en una inspección

Durante una inspección de la Autoridad de Protección de Datos, en la mayoría de los casos todo gira en torno a un documento como punto de partida: el registro de actividades de tratamiento. En él consta qué datos personales se tratan, con qué finalidad, quién tiene acceso a ellos, cuánto tiempo se conservan y si se comparten con otros. Este registro no es opcional — el artículo 30 del RGPD describe qué debe contener y a quién le aplica la obligación. Además del registro, una autoridad de supervisión suele preguntar también por los contratos de encargo de tratamiento con los proveedores que tratan datos en nombre de la empresa, y por la forma en que está organizada la seguridad de esos datos.

Lo que una inspección arroje además depende de dónde se centre la empresa. Así, se puede preguntar por la declaración de privacidad que va dirigida a clientes o visitantes del sitio web, por pruebas de que una fuga de datos fue evaluada a tiempo en su día, o por la valoración que se realizó en un tratamiento de riesgo. Para quienes tienen que determinar qué debe incluirse exactamente en el registro, proporciona ¿qué debe contener un registro de actividades de tratamiento? una descripción general de los componentes. Y como una inspección también se extiende a los acuerdos con proveedores SaaS u otras partes que tratan datos, la respuesta a ¿qué debe contener un contrato de encargo de tratamiento? es relevante para lo que debe poder demostrarse.

De dónde procede esto: artículos 30 y 32 del RGPD

La obligación de mantener un registro consta en el artículo 30 del RGPD, y en la práctica ese registro es el primer documento que aparece en una inspección. El artículo 32 del RGPD describe la obligación de adoptar medidas técnicas y organizativas apropiadas para asegurar la protección de los datos, y una autoridad de supervisión puede preguntar cómo se han implementado esas medidas. Estos dos artículos son directamente aplicables en toda la Unión Europea, por lo que la esencia de lo que debe poder demostrarse es la misma en todas partes. Quién realiza la inspección y dónde se solicita o se tramita varía según el país: en los Países Bajos es la Autoridad de Protección de Datos, en otros Estados miembros otra autoridad de supervisión nacional con sus propios procedimientos. Más información sobre el papel de la autoridad de supervisión neerlandesa está en el sitio web de la Autoridad de Protección de Datos.