¿Qué documentos necesita para demostrar el cumplimiento de protección de datos en una licitación o compañía de seguros?
Si una entidad adjudicadora o una aseguradora le pide que demuestre que trata los datos personales con cuidado, normalmente se reduce a un paquete fijo: un registro de actividades de tratamiento, los contratos de encargo de tratamiento con sus propios proveedores, una declaración de privacidad, un resumen de las medidas de seguridad que aplica y una breve descripción de cómo maneja una infracción de seguridad o una solicitud del interesado. En una licitación, a menudo se adjunta un cuestionario cumplimentado o una declaración; en una aseguradora, se trata más bien de un formulario de entrada para una póliza de ciberseguro.
La razón por la que este paquete se repite constantemente es que el RGPD establece una obligación de rendición de cuentas: una organización no solo debe tratar los datos personales con cuidado, sino que también debe poder demostrarlo. Por lo tanto, un adjudicador o asegurador no evalúa si "hace algo en materia de privacidad", sino si puede demostrarlo por escrito. Este es precisamente el detalle que importa en este momento de compra: no la intención, sino la prueba.
El registro de actividades de tratamiento como columna vertebral
El registro de actividades de tratamiento es normalmente la primera documentación que se solicita, y también la documentación sobre la que se construye el resto. En él consta qué datos personales trata, con qué finalidad, quién los recibe y durante cuánto tiempo los conserva. Una entidad adjudicadora reconoce rápidamente si una organización ha reflexionado estructuralmente sobre sus flujos de datos, o si el registro se ha elaborado específicamente para la solicitud. Para saber exactamente qué debe incluirse y con qué detalle, consulte la banco de conocimiento con explicaciones por tema.
Contratos de encargo de tratamiento con sus propios proveedores
El segundo documento que casi siempre se solicita es el resumen de los contratos de encargo de tratamiento: los contratos que ha celebrado con las herramientas SaaS y los prestadores de servicios que tratan datos personales en su nombre. Piense en un paquete de nómina, un sistema de gestión de relaciones con clientes o un servicio en la nube para archivos. Un adjudicador o asegurador no solo quiere ver que esos contratos existen, sino también que están actualizados y se ajustan a las herramientas que realmente se utilizan. Un registro que menciona tres proveedores cuando en la práctica hay ocho activos se detecta rápidamente en una evaluación exhaustiva.
Seguridad y gestión de incidentes
Además del registro y los contratos, a menudo se solicita información sobre las medidas organizativas y técnicas adoptadas: quién tiene acceso a qué sistemas, cómo se cifran los datos, si hay una estrategia de copia de seguridad. Las aseguradoras a menudo lo solicitan explícitamente en un cuestionario para el cálculo de la prima. Puede consultar un resumen de las medidas adoptadas en la página sobre seguridad de los datos personales. Además, se pregunta regularmente cómo una organización detecta y gestiona una infracción de seguridad: ¿hay un procedimiento, sabe alguien quién advierte y en qué plazo? Puede recorrer el árbol de decisiones que determina si un incidente debe notificarse en unas pocas preguntas para ver dónde se encuentra aproximadamente.
Lo que una lista no resuelve
Es tentador ver estos documentos como una lista de verificación que marca en una tarde. Eso no funciona bien, y es precisamente la trampa de este momento de compra. Un registro de actividades de tratamiento que no se ajusta a las herramientas reales, o un contrato de encargo de tratamiento que nunca se ha revisado, no resistirá un examen exhaustivo. Los supervisores y también las entidades adjudicadoras buscan coherencia: ¿encajan los documentos entre sí y es razonable que se mantengan vivos en lugar de estar redactados de una sola vez?
Por lo tanto, es más útil ver estos documentos como un conjunto continuo que se mueve con las herramientas y procesos que utiliza, en lugar de como un conjunto único de documentos para una solicitud. Cómo se estructura esa construcción y de dónde proviene la información se explica en la página cómo está estructurado el sistema.
¿Cuándo debe recurrir a un abogado?
Un pliego de condiciones de licitación o una cláusula de póliza puede establecer requisitos específicos que van más allá del RGPD en sí, por ejemplo, una certificación ISO obligatoria o una cláusula de responsabilidad. Si sus documentos cumplen con eso es una evaluación legal que corresponde al encargo o póliza específica, y es mejor que la haga revisar por un abogado o, en caso de dudas sobre el RGPD en sí, consultando a la Autoridad de Protección de Datos.
¿Desea ver qué documentos ya están en orden para su situación y cuáles faltan todavía? Realice el análisis rápido gratuito o lea los otros temas en la base de conocimientos para determinar dónde se encuentra ahora.