Reglamento de la UE · Protección de datos
Sightadel le guía por las obligaciones del RGPD – desde el registro de actividades de tratamiento, pasando por los encargados del tratamiento y las medidas técnicas, hasta la notificación de violaciones de datos. Con plantillas sectoriales basadas en muchos años de consultoría, una IA como ayuda de redacción y consultores reales para los puntos difíciles.
De qué se trata
El Reglamento General de Protección de Datos (RGPD) se aplica directamente en toda la UE desde mayo de 2018. En Alemania lo complementa la Ley Federal alemana de Protección de Datos (BDSG). Regula en qué condiciones pueden tratarse datos personales y qué derechos tienen los interesados.
En el centro están los principios del art. 5: licitud, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, así como integridad y confidencialidad. A ello se suma la responsabilidad proactiva. No solo debe garantizar el cumplimiento, sino también poder demostrarlo.
Por eso, la pregunta rara vez es si el RGPD se aplica, sino en qué medida. La mayoría de las organizaciones tiene el registro, los contratos y las medidas en algún sitio. El problema es su estado: dispersos, desactualizados y difíciles de reunir ante una solicitud de la autoridad de control.
El registro de actividades de tratamiento es de 2018 y la lista de prestadores de servicios ya no es correcta. Sightadel lo convierte en un estado mantenido con revisiones periódicas.
Como encargado del tratamiento, responde constantemente a cuestionarios sobre medidas técnicas y subencargados. El Trust Center responde a las preguntas habituales una sola vez para todos.
Las medidas técnicas y organizativas se mantienen por duplicado, una vez para protección de datos y otra para el SGSI. Una sola evidencia puede demostrar ambas cosas.
Requisitos
Resumido con nuestras propias palabras. Prevalece siempre el texto original en su versión vigente.
Cada tratamiento necesita una base jurídica y sigue los principios. El responsable aplica medidas apropiadas y puede demostrar su cumplimiento.
En SightadelPreguntas guiadas sobre principios y bases jurídicas. La valoración de cada caso sigue correspondiendo a usted y a su delegado de protección de datos; Sightadel la registra con su justificación.
Información, acceso, rectificación, supresión, limitación, portabilidad y oposición – dentro de plazo y de forma trazable.
En SightadelControles sobre avisos de privacidad, proceso y plazos para las solicitudes. Hay plantillas de respuesta preparadas, y la tramitación se archiva como evidencia.
La protección de datos se tiene en cuenta ya en la planificación y selección de sistemas; la configuración por defecto solo recoge lo necesario.
En SightadelControles para la adquisición y el desarrollo, vinculados a sus procesos de aprobación. Las decisiones se documentan con fecha y responsable.
Los prestadores de servicios que tratan datos por cuenta del responsable se eligen con diligencia y quedan vinculados por contrato; se conocen los subencargados.
En SightadelEn el módulo Proveedores registra a los prestadores de servicios con contrato, subencargados y evidencias con fecha de validez. Los contratos que faltan se convierten en acciones pendientes.
Un registro de todos los tratamientos con finalidad, categorías de datos y de interesados, destinatarios, transferencias, plazos de supresión y medidas.
En SightadelLa plantilla sectorial propone tratamientos habituales; usted los confirma, completa o elimina. Las revisiones periódicas mantienen el registro actualizado.
Medidas técnicas y organizativas apropiadas al riesgo, con una verificación periódica de su eficacia.
En SightadelMedidas como preguntas guiadas con vinculación de evidencias. Una evidencia sobre el control de acceso o la copia de seguridad demuestra a la vez requisitos de la ISO 27001 o de NIS2.
Las violaciones que deben notificarse se comunican, por regla general, a la autoridad de control en un plazo de 72 horas. Si el riesgo es alto, también se informa a los interesados. Cada violación se documenta.
En SightadelEl canal de notificación, los responsables y los criterios de valoración están definidos de antemano. Las violaciones se registran con momento, valoración y medidas, aunque no haya sido necesaria la notificación.
Para los tratamientos que probablemente entrañen un alto riesgo, se evalúan de antemano los riesgos y las medidas para afrontarlos.
En SightadelLas preguntas guía ayudan a reconocer dónde es necesaria una evaluación de impacto. La evaluación en sí la realiza usted; Sightadel aporta la estructura y registra el resultado.
Cuando sea necesario, se designa un delegado de protección de datos, se comunica a la autoridad de control y se le implica desde el principio.
En SightadelLa designación, la comunicación y la participación se gestionan como evidencia. Los delegados de protección de datos internos o externos colaboran en Sightadel con un rol propio.
Proceso
Entre dos y cuatro meses para una documentación básica sólida, si alguien de la organización impulsa el tema. Después, la protección de datos es un estado continuo, no un proyecto con final.
Designar responsables, cargar los documentos existentes y asignarlos a los 45 controles. Al final queda claro qué está demostrado y qué falta.
Registrar los tratamientos con finalidad, base jurídica, destinatarios y plazos de supresión. Los departamentos aportan la información; la estructura procede de la plantilla.
Registrar a los encargados del tratamiento, revisar los contratos y los subencargados, crear las lagunas como acciones pendientes.
Demostrar las medidas técnicas y organizativas, valorar los tratamientos de riesgo y, cuando sea necesario, realizar una evaluación de impacto.
Definir los procesos para las solicitudes de los interesados y las violaciones de datos, designar responsables, simularlos una vez.
Revisiones periódicas del registro, los contratos y las medidas. Los nuevos tratamientos y prestadores de servicios se incorporan antes de entrar en funcionamiento.
Listo para empezar
Quien aclara pronto estas preguntas se ahorra semanas después. En Sightadel están creadas como primeras tareas.
Reparto del trabajo
Si un software lo rellenara todo, la norma no cumpliría su finalidad, y el auditor lo notaría. Por eso está claramente definido qué queda en sus manos.
De la práctica
De muchos años de experiencia en consultoría y certificación: estos son los puntos que más tiempo cuestan o que provocan no conformidades en la auditoría.
Al poco tiempo faltan nuevas herramientas y procesos. Establezca una revisión periódica y convierta el registro en una etapa de cada adquisición.
Las herramientas pequeñas y los accesos de prueba suelen pasarse por alto. Compare con regularidad la lista de prestadores de servicios con compras y TI.
Un consentimiento es revocable y a menudo no es la base jurídica adecuada. Compruebe para cada tratamiento qué base lo sustenta y documéntelo.
Una política de supresión que nunca se aplica es un hallazgo. Planifique ciclos de supresión y deje constancia de que se han realizado.
También deben documentarse las violaciones que no requieren notificación. Registre cada una con momento, valoración y medidas.
Quien aclara dónde están los datos solo cuando llega la primera solicitud incumple el plazo de un mes. Defina de antemano responsabilidad, verificación de identidad y aprobación.
Una evidencia, varios frameworks
No damos a propósito un porcentaje: depende de su alcance. Donde los requisitos coinciden, una misma evidencia queda vinculada a todos.
Las medidas técnicas y organizativas del art. 32 del RGPD pueden demostrarse con las mismas evidencias que muchos controles del anexo A. Las bases jurídicas y los derechos de los interesados no tienen equivalente allí.
NIS2El proceso de incidentes, el control de acceso y la gestión de proveedores sirven para ambos. Un incidente de seguridad puede activar a la vez obligaciones de notificación al BSI y a la autoridad de control de protección de datos.
SOC 2Los criterios de confidencialidad y privacidad se basan en las mismas medidas y en los mismos datos de los prestadores de servicios. Útil si también suministra a clientes estadounidenses.
ISO 42001Quien utiliza IA con datos personales valora los riesgos para los interesados en ambos marcos. La evaluación de impacto y la valoración de riesgos de la IA pueden gestionarse de forma conjunta.
Auditoría y acreditación
Son competentes las autoridades de control de protección de datos de los estados federados alemanes y, en determinados ámbitos, el Comisionado Federal de Protección de Datos. Investigan reclamaciones, solicitan documentación y pueden imponer multas. A ello se suman los clientes que le auditan como encargado del tratamiento y los delegados de protección de datos internos o externos. Sightadel no certifica ni presta asesoramiento jurídico.
Quien audita recibe en Sightadel un rol propio: lee, comenta y, tras su aprobación, edita, pero nunca elimina nada. El registro de actividad muestra sin lagunas quién hizo qué y cuándo, y en el Trust Center muestra a sus clientes las medidas, los documentos y los subencargados. La ISO 27001 es una base probada y estructurada para las medidas técnicas, pero no es obligatoria. Para auditorías externas, elija un auditor de nuestra red de socios independiente o uno propio. Por las auditorías no se paga ninguna comisión – ni a nosotros ni a los socios.
Ir a la red de auditores independientesLa protección de datos genera costes continuos, no puntuales. Para la herramienta, la licencia de Sightadel para el RGPD se factura mensualmente según la edición, con una duración mínima de un año. Si su licencia de Sightadel incluye la ISO 27001 o la ISO 9001, obtiene un descuento permanente en el RGPD. Encontrará todos los precios y una calculadora en nuestra página de planes y precios.
A ello se suma el delegado de protección de datos, si debe o quiere designar uno. Puede ser interno o externo. Un delegado interno necesita tiempo, formación y una protección frente al despido que debe tenerse en cuenta en la planificación de personal. Uno externo factura según su propio modelo. Ambas opciones son independientes de Sightadel.
La partida mayor es el esfuerzo interno para la documentación básica: registro de actividades de tratamiento, contratos con prestadores de servicios, medidas técnicas y organizativas, procesos para las solicitudes de los interesados y las violaciones de datos. Entre dos y cuatro meses es realista si una persona trabaja en ello con regularidad y los departamentos colaboran. Después se trata de mantenerlo: registrar nuevos tratamientos, revisar contratos, aplicar los plazos de supresión, formar al personal. Quien necesite apoyo en cuestiones concretas puede contratar asesoramiento como paquete dentro de la aplicación. Sightadel no sustituye el asesoramiento jurídico.
El RGPD prevé dos marcos de multas: hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial, por ejemplo por infracciones de las obligaciones sobre seguridad, registro o encargo del tratamiento, y hasta 20 millones de euros o el 4 % por infracciones de los principios, las bases jurídicas o los derechos de los interesados, en cada caso el importe mayor. Las autoridades de control fijan las multas caso por caso y tienen en cuenta, entre otras cosas, el grado de cooperación y de preparación de la empresa.
Al menos igual de relevantes son las reclamaciones de indemnización de los interesados. Pueden plantearse también por daños inmateriales, por ejemplo tras una violación de datos o un acceso facilitado con retraso. A ello se suman las órdenes de la autoridad de control, que pueden limitar o prohibir un tratamiento, y los requerimientos de competidores, cuya admisibilidad se discute en cada caso.
El núcleo es la responsabilidad proactiva. No solo debe trabajar conforme a la protección de datos, sino poder demostrarlo. Ante una reclamación, la autoridad de control pregunta por el registro, la base jurídica, los contratos y las medidas. Quien presenta esta documentación con rapidez y coherencia está en una posición mucho mejor. Precisamente para eso está pensado el nivel de evidencias en Sightadel.
El RGPD exige expresamente algunos documentos: el registro de actividades de tratamiento, los contratos de encargado del tratamiento, la documentación de las violaciones de datos, las evaluaciones de impacto para los tratamientos que probablemente entrañen un alto riesgo y, cuando sea necesario, la designación del delegado de protección de datos. Otros se derivan de la responsabilidad proactiva: la descripción de las medidas técnicas y organizativas, los avisos de privacidad, la política de supresión, las evidencias de los consentimientos, las ponderaciones de interés legítimo y las evidencias de formación.
El registro es la columna vertebral. Describe para cada tratamiento la finalidad, las categorías de datos y de interesados, los destinatarios, las transferencias a terceros países, los plazos de supresión y las medidas. Si se mantiene bien, de él pueden derivarse los avisos de privacidad, la política de supresión y las respuestas a solicitudes de acceso. Si se elabora una vez y luego se olvida, al cabo de dos años describe otra organización.
En Sightadel, la plantilla sectorial propone tratamientos habituales; usted los confirma, completa o elimina. Los contratos y los subencargados los mantiene en el módulo Proveedores, y las medidas, como preguntas guiadas con evidencia. Las revisiones periódicas garantizan que el registro se compruebe con regularidad.
Dos procesos deciden en el día a día si la protección de datos funciona: la gestión de las solicitudes de los interesados y la de las violaciones de datos. A una solicitud de acceso debe responder, por regla general, en el plazo de un mes. Si las solicitudes son complejas o numerosas, es posible prorrogarlo hasta dos meses más, siempre que lo comunique y justifique dentro del primer plazo. El acceso comprende los propios datos, las finalidades, los destinatarios, el plazo de conservación y el origen, así como una copia.
Para que funcione, debe estar claro quién recibe las solicitudes, cómo se verifica la identidad, dónde se encuentran todos los datos y quién aprueba la respuesta. Las solicitudes llegan a menudo por vías inesperadas: al departamento comercial, a través de un formulario de contacto, como parte de un litigio laboral.
En las violaciones de datos, el plazo de 72 horas empieza a contar desde que se tiene constancia. Establezca quién valora si existe un riesgo para los interesados, quién notifica y quién informa a los interesados. Si a la vez se trata de un incidente de NIS2, ambos canales de notificación funcionan en paralelo. En Sightadel están definidos los responsables y las plantillas, y las solicitudes y violaciones se registran como evidencia con momento y valoración.
Casi ninguna organización trata los datos solo por sí misma. Las nóminas, el correo electrónico, el CRM, el sistema de tickets, la analítica web y el alojamiento funcionan en prestadores de servicios. Cada uno de ellos que trate datos por su cuenta necesita un contrato de encargado del tratamiento, y usted debe haberlo elegido con diligencia. Eso incluye conocer sus medidas y sus subencargados.
Las transferencias a países fuera del Espacio Económico Europeo merecen especial atención. Necesitan una base, por ejemplo una decisión de adecuación de la Comisión Europea o cláusulas contractuales tipo con una evaluación de la situación en el país de destino. Aunque un proveedor aloje los datos en la UE, puede ser posible un acceso desde un tercer país, por ejemplo a través del soporte o de la empresa matriz.
En el módulo Proveedores registra a los prestadores de servicios con contrato, subencargados, transferencias y evidencias con fecha de validez. Los contratos que faltan se convierten en acciones pendientes. Sightadel se desarrolla y se aloja en Alemania, y cada cliente recibe un contrato de encargado del tratamiento conforme al art. 28 del RGPD.
El RGPD exige la seguridad del tratamiento, pero no dice en detalle cómo. Aquí ayuda un SGSI conforme a la ISO 27001: el control de acceso, el cifrado, la copia de seguridad, el registro de eventos y la gestión de incidentes están regulados allí de forma sistemática. Las medidas técnicas y organizativas del art. 32 del RGPD pueden demostrarse con las mismas evidencias. Lo que la ISO 27001 no cubre son las bases jurídicas, la limitación de la finalidad, los derechos de los interesados y el registro de actividades de tratamiento.
Las entidades sujetas a NIS2 aprovechan el proceso de incidentes, la gestión de proveedores y las formaciones para ambos marcos. Quien utiliza IA con datos personales valora los riesgos para los interesados en la evaluación de impacto relativa a la protección de datos y, si se ha implantado, en la evaluación de impacto según la ISO 42001. Ambas pueden gestionarse de forma conjunta, pero no se sustituyen entre sí.
En Sightadel vincula una evidencia una sola vez con todos los requisitos correspondientes. Su delegado de protección de datos interno o externo colabora con un rol propio. En el Trust Center muestra a sus clientes las medidas, los documentos y los subencargados, en lugar de rellenar un nuevo cuestionario para cada solicitud.
Cuánto cuesta
Solo paga por los frameworks que realmente necesita. Las ediciones se diferencian en capacidad y tiempo de respuesta, no en el alcance técnico. Quien gestiona varios frameworks ahorra de forma permanente. Todos los precios, descuentos y una calculadora están en la página de precios.
Los honorarios del organismo de certificación o de auditoría se los factura este directamente a usted. Si lo necesita, puede contratar consultoría como paquete en la aplicación.
Material de trabajo
Encontrará listas de comprobación y plantillas para otros frameworks en Recursos.
Ayudas de trabajo, no asesoramiento jurídico.
Términos
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
Casi siempre, en cuanto trata datos de clientes, personal, candidatos, proveedores o visitantes del sitio web – con independencia del tamaño. Solo queda excluido el uso exclusivamente personal o doméstico. Algunas obligaciones concretas, como la designación de un delegado de protección de datos, dependen de otros requisitos.
Según la infracción, hasta 10 millones de euros o el 2 % del volumen de negocios anual mundial y, en infracciones graves, hasta 20 millones de euros o el 4 %, en cada caso el importe mayor. A ello se suman las reclamaciones de indemnización de los interesados y las órdenes de la autoridad de control.
No uno general. El RGPD prevé mecanismos de certificación que deben ser aprobados por la autoridad de control, pero un certificado no exime de la responsabilidad. Lo que cuenta es su nivel de evidencias documentado.
Una violación que deba notificarse se comunica, por regla general, a la autoridad de control en un plazo de 72 horas desde que se tiene constancia de ella. Si existe un alto riesgo para los interesados, también debe informarse a estos. Debe documentar cada violación, aunque no la notifique.
No. Sightadel aporta estructura, plantillas y gestión de evidencias. La valoración jurídica de cada caso sigue correspondiendo a su delegado de protección de datos o a su asesoría jurídica. Ambos pueden colaborar directamente en Sightadel con un rol propio.
En parte. Las medidas técnicas y organizativas del art. 32 del RGPD se solapan en gran medida con el anexo A. Las bases jurídicas, la limitación de la finalidad, los derechos de los interesados, el registro de actividades de tratamiento y la evaluación de impacto no tienen equivalente en la ISO 27001.
Solo como borrador. La IA propone tratamientos habituales de su sector y ayuda a redactar. Las finalidades, las bases jurídicas y los plazos de supresión los decide usted – de lo contrario, el registro describe otra organización distinta de la suya.
En Alemania, por lo general, cuando al menos 20 personas se dedican de forma permanente al tratamiento automatizado de datos personales. Con independencia de ese número, la obligación se aplica, por ejemplo, en el tratamiento a gran escala de categorías especiales de datos, en la observación sistemática o cuando es necesaria una evaluación de impacto relativa a la protección de datos. El delegado puede ser interno o externo.
Por regla general, de un mes desde su recepción. Si las solicitudes son complejas o numerosas, es posible prorrogarlo hasta dos meses más. Debe informar de ello al interesado dentro del primer mes, indicando los motivos.
La licencia de Sightadel para el RGPD se factura mensualmente según la edición; encontrará todos los precios en nuestra página de planes y precios. A ello se suman, en su caso, un delegado de protección de datos externo, que factura de forma independiente, y su esfuerzo interno para la documentación básica y su mantenimiento. Si su licencia incluye la ISO 27001 o la ISO 9001, obtiene un descuento permanente en el RGPD.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
