Para una pequeña empresa con un número manejable de actividades de tratamiento — administración de personal, contabilidad, una base de datos de clientes, un par de herramientas SaaS — el primer resumen general suele ser posible en algunas horas. El tiempo total hasta un registro que sea realmente completo y útil es en la práctica mayor: calcule algunos días de trabajo, distribuidos durante dos a cuatro semanas. Esta distribución no se debe a que el trabajo de cumplimentación en sí sea largo, sino a que mientras tanto espera respuestas de otras personas.
La ley misma no fija un plazo para la elaboración de un registro. Lo que exige la RGPD es que un responsable del tratamiento mantenga un inventario de las actividades de tratamiento bajo su responsabilidad, que incluya, entre otras cosas, la finalidad, las categorías de datos y destinatarios, y los períodos de conservación. Por lo tanto, el tiempo que tarde en llegar allí no depende de un plazo legal, sino de cuán bien conoce su propia organización lo que sucede con los datos.
Dónde se va el tiempo en los primeros días
La primera fase trata de hacer un inventario: qué sistemas utiliza, quién tiene acceso y qué datos contienen. Para un trabajador autónomo o una empresa con unos pocos empleados, esto suele ser identificable en una mañana. En una organización con varios departamentos, esto crece rápidamente, simplemente porque nadie tiene el panorama completo: Recursos Humanos sabe qué herramientas utiliza para contratación y ausencias, la administración sabe qué paquete contable se ejecuta, y la dirección a menudo no sabe que el departamento de marketing ha contratado una suscripción a un CRM independiente. Esta fragmentación es la primera y mayor fuente de demora, no el trabajo de cumplimentación en sí.
Un enfoque práctico es comenzar con las facturas: cada suscripción que se carga mensualmente es una buena indicación de una actividad de tratamiento que debe incluirse en el registro. Una biblioteca de herramientas SaaS conocidas puede acelerar esta parte, porque el software más común ya incluye las finalidades y períodos de conservación habituales, por lo que no tiene que identificarlos por su cuenta. En la base de conocimientos encontrará por tema una respuesta breve con la referencia en el texto oficial, lo que es útil para determinar qué debe y qué no debe incluirse en el registro.
Dónde se atasca: contratos de encargo de tratamiento
La segunda demora surge al vincular contratos de encargo de tratamiento a las actividades de tratamiento del registro. Para cada proveedor de SaaS que trate datos personales en su nombre, debe haber un contrato. En la práctica, a menudo no existe, o nadie está seguro de la versión más reciente. Esto significa que debe contactar a los proveedores, lo que puede llevar días o semanas de espera — no porque redactar lleve tiempo, sino porque depende de la rapidez de respuesta de otra empresa.
Por lo tanto, es más sensato no ver el registro y el seguimiento de contratos de encargo de tratamiento como dos proyectos separados, sino como un proceso continuo: tan pronto como se adquiere una nueva herramienta, el contrato debe incluirse directamente, en lugar de tener que reconstruir después qué se acordó alguna vez.
Tiempo de ejecución con crecimiento y cambio
Un registro nunca está terminado en el sentido de que después no cambie. Nuevas herramientas, nuevos empleados, nuevos procesos de clientes — cada uno de ellos afecta el registro nuevamente. Por lo tanto, la duración de un inventario único dice poco sobre su mantenimiento posterior. Las empresas que rellenan el registro solo en el momento de la constitución y lo dejan después corren el riesgo de que después de un año ya no corresponda con la realidad. Quien deja que el registro crezca junto con la biblioteca de herramientas y que automáticamente le señale cuando falta algo, se ahorra el inventario repetido que de otro modo sería necesario en cada auditoría o licitación.
Para quien debe demostrar que la base está en orden — por ejemplo ante una aseguradora o en una licitación — no solo cuenta que exista un registro, sino también lo actualizado que está. Un resumen de hace medio año, mientras que entretanto se han añadido tres nuevas herramientas, ofrece una imagen diferente que un registro que se actualiza semanalmente.
Hacerlo usted mismo o dejar que progrese
Ya sea que mantenga el registro usted mismo en una hoja de cálculo o deje que se complete desde un sistema, en ambos casos la duración se encuentra principalmente en la recopilación de información, no en su introducción. La diferencia está en el mantenimiento: una hoja de cálculo requiere que usted recuerde por sí mismo cuándo debe actualizarse algo, mientras que un sistema que está vinculado a su biblioteca de herramientas y a sus acuerdos de procesador, se lo señala. Puede leer más sobre cómo funciona exactamente ese vínculo en la página sobre cómo funciona el sistema.
Si desea saber qué le costaría en tiempo y recursos un registro completo y actualizado para su situación, consulte el resumen de tarifas que le da una indicación de lo que se adapta al tamaño de su empresa. Y si tiene dudas sobre si su descripción general actual es suficiente, encontrará las preguntas más frecuentes la respuesta a varios casos prácticos de duda.
La evaluación final de si su registro cumple con los requisitos legales depende de usted o de un abogado, y en caso de duda de la Autoridad Holandesa de Protección de Datos. Si primero desea hacerse una idea de su situación, realice el escaneo rápido gratuito o explore los temas en la base de conocimientos.