Una parte de lo que solicita una entidad contratante o un asegurador puede prepararla usted mismo: un resumen de qué datos personales procesa, qué herramientas utiliza para ello y qué acuerdos tiene con proveedores. Lo que es más difícil hacer por cuenta propia es mantener ese resumen completo y actualizado, y acreditar que las medidas adoptadas son realmente apropiadas para lo que procesa. Esto último requiere una estructura que evolucione con el tiempo, no una instantánea puntual.
La suficiencia de hacerlo usted depende en gran medida de lo que se solicite exactamente. Un asegurador que envía un cuestionario sobre medidas básicas de seguridad es algo distinto a una entidad contratante que quiere ver un registro completo de tratamientos, acuerdos con encargados de tratamiento y un análisis de impacto relativo a la protección de datos (AIPD). Cuanto más amplia sea la solicitud, más trabajo costará ponerlo en orden y mantenerlo.
Lo que realmente solicita una entidad contratante o un asegurador
La pregunta «demuestre que cumple con la RGPD» casi nunca se formula así literalmente en la práctica. Normalmente se solicitan documentos concretos: un registro de tratamientos, prueba de acuerdos con encargados de tratamiento que son sus proveedores, una descripción de medidas técnicas y organizativas, y a veces un informe sobre cómo se gestionan las brechas de datos. La RGPD en sí obliga a las organizaciones a poder rendir cuentas sobre los tratamientos que realizan; lo que une entidad contratante o asegurador adiciona como requisito es una exigencia suplementaria propia que puede variar según cada parte.
Por tanto, es importante aclarar primero qué se solicita exactamente antes de decidir cuánto trabajo cuesta gestionarlo por cuenta propia. Un cuestionario breve se puede responder con media jornada de investigación; una auditoría completa requiere documentación mantenida de forma continuada.
Lo que puede preparar usted mismo
Un primer inventario lo pueden hacer la mayoría de los empresarios por sí solos: qué herramientas SaaS utilizan, cuáles de ellas procesan datos personales, y si cuenta con un acuerdo con cada proveedor. También una descripción general de medidas de seguridad —política de contraseñas, quién tiene acceso a qué sistemas, si hay copias de seguridad— se puede hacer con sentido común sin ayuda externa. la base de conocimientos con explicaciones por tema proporciona para cada situación una respuesta breve y la referencia en el texto oficial, para que sepa de dónde viene una obligación antes de ponerse a trabajar en ella.
Quien dude si una brecha de datos notificada en el pasado debería haber sido notificada, también puede comprobarlo por sí mismo: ver en pocas preguntas dónde se encuentra aproximadamente ofrece una primera indicación, al margen de si ese caso específico debería haberse notificado o no en su momento.
Dónde es más difícil hacerlo por cuenta propia
La complejidad normalmente no reside en un documento aislado, sino en la coherencia y la actualidad del conjunto. Un registro de tratamientos elaborado hace un año y no actualizado desde entonces queda obsoleto con una nueva herramienta SaaS o un proveedor modificado. Los acuerdos con encargados de tratamiento que firmó hace tiempo deben coincidir con lo que realmente hace ahora con ese proveedor. Y un asegurador o entidad contratante a menudo no solo pide la existencia de documentos, sino un relato coherente: un registro, acuerdos y medidas que se encadenen lógicamente unos con otros.
Precisamente ese mantenimiento es lo que consume tiempo en muchas pymes que no tienen tiempo que perder. Un sistema que completa el registro a partir de una biblioteca de herramientas conocidas y que supervisa si los acuerdos con encargados de tratamiento siguen siendo válidos elimina ese mantenimiento sin que usted tenga que convertirse en jurista.
Lo que permanece, incluso si lo asume por cuenta propia
Ninguna herramienta asume la evaluación final por su cuenta: usted decide qué comunica a un cliente o asegurador y si eso es suficiente para el requisito establecido. La estructura y la orientación pueden aligerar considerablemente el trabajo. En la página de donde procede la información se explica cómo gdpria.eu basa el contenido en el Reglamento (UE) 2016/679 y en las orientaciones del Comité Europeo de Protección de Datos y la Autoridad Holandesa de Protección de Datos, incluyendo la referencia, de modo que no tiene que fiarse de nuestra palabra sino que puede consultar la fuente original.
El límite en la práctica
Como regla práctica: una pregunta única y limitada a menudo se puede responder uno mismo con un día de investigación. En cuanto se trata de un registro continuo, múltiples proveedores con acuerdos variables sobre el tratamiento, o preguntas recurrentes de varios clientes, el mantenimiento se convierte en el cuello de botella, no la primera elaboración. En ese momento, externalizar a un sistema o asesor suele ser menos un lujo y más una forma de recuperar tiempo.
¿Le gustaría saber qué diferencia haría en su situación? Realice el análisis rápido gratuito o explore las preguntas frecuentes sobre este tema para ver qué paso es más apropiado para usted.