Soluciones · Protección de datos
Como delegado o coordinador de protección de datos, su función es asesorar y supervisar, pero al final la documentación acaba en sus manos. Sightadel ordena el registro de actividades de tratamiento, los encargados del tratamiento, las medidas técnicas, las evaluaciones de impacto y las violaciones de datos de forma que los departamentos aporten su parte y usted pueda mostrar la situación en cualquier momento.
Punto de partida
El RGPD no solo exige que los datos se traten de forma lícita. Según el art. 5, apartado 2, el responsable también debe poder demostrar su cumplimiento. En la práctica, esto significa un registro de actividades de tratamiento actualizado, contratos con todos los encargados del tratamiento, medidas técnicas y organizativas demostradas, evaluaciones de impacto documentadas y un registro de todas las violaciones de datos, también de las no notificadas.
Normalmente gran parte de esto existe, pero no en un mismo lugar. El registro está en una hoja de cálculo en una unidad de red, los contratos en compras, las medidas técnicas las describe TI en un documento propio y para el SGSI existe una segunda versión de las mismas medidas. Cuando la autoridad de control pregunta o un cliente envía un cuestionario, empieza la búsqueda.
A ello se suma su posición especial. Como delegado de protección de datos, usted asesora y supervisa; la responsabilidad de la implantación recae en la dirección y en los departamentos. Sightadel refleja exactamente eso: los departamentos trabajan sus partes por sí mismos y usted revisa y ve dónde falta algo. Como delegado de protección de datos externo, trabaja con un rol propio en la cuenta de su cliente.
Por qué ahora
Tras una reclamación o una violación de datos, la autoridad pide el registro, las medidas y los contratos. El plazo de respuesta es corto. Quien tiene la situación ordenada responde en días y no en semanas.
Un envío a una dirección equivocada, un portátil perdido, un ataque a un buzón de correo. Las violaciones sujetas a notificación se comunican a la autoridad, por regla general, en un plazo de 72 horas. Para ello, la evaluación, los responsables y la vía de notificación deben estar definidos de antemano.
Un departamento quiere introducir una herramienta en la nube. Antes de ponerla en marcha hace falta una entrada en el registro, un contrato de encargado del tratamiento, una revisión de los subencargados y, si el riesgo es alto, una evaluación de impacto.
Los empleados utilizan herramientas de inteligencia artificial, a menudo sin autorización. Surgen preguntas sobre la base jurídica, las transferencias a terceros países y la evaluación de impacto. Un proceso de autorización ordenado sustituye al descontrol.
Como encargado del tratamiento, responde continuamente a cuestionarios sobre medidas técnicas y subencargados. Una situación bien mantenida y un Trust Center responden a las preguntas habituales una sola vez para todos.
La empresa implanta un SGSI según ISO 27001 o queda sujeta a NIS2. Es el momento de mantener las medidas técnicas de forma conjunta en lugar de por duplicado.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
Se aplica a toda organización que trate datos personales y en Alemania se complementa con la ley federal alemana de protección de datos (BDSG). El núcleo de la documentación lo forman el registro del art. 30, los contratos del art. 28, las medidas del art. 32, las evaluaciones de impacto del art. 35 y la documentación de violaciones de datos del art. 33. No existe un certificado general del RGPD; quienes supervisan son las autoridades de control.
Ver el framework →Las medidas técnicas y organizativas del art. 32 pueden demostrarse con las mismas evidencias que muchos controles del anexo A, por ejemplo sobre control de acceso, cifrado, copias de seguridad o proveedores. El anexo A contiene además un control propio sobre la protección de los datos personales. Las bases jurídicas y los derechos de los interesados no tienen equivalente en la norma.
Ver el framework →Si su empresa está sujeta a la ley alemana del BSI (BSIG), el proceso de incidentes, el control de acceso y la gestión de proveedores sirven para ambos marcos. Un incidente de seguridad puede dar lugar a la vez a una notificación a la Oficina Federal de Seguridad de la Información (BSI) y a la autoridad de control de protección de datos, con plazos y destinatarios distintos.
Ver el framework →Quien utiliza sistemas de IA con datos personales debe tener en cuenta los requisitos de ambos marcos. La evaluación de impacto, la transparencia frente a los interesados y la evaluación de los proveedores pueden gestionarse de forma conjunta.
Ver el framework →Orden recomendado
Los registros existentes se incorporan a Sightadel mediante importación desde Excel. Para cada tratamiento quedan definidos la finalidad, la base jurídica, las categorías de datos y de interesados, los destinatarios, las transferencias y los plazos de supresión. Los departamentos completan sus entradas y usted las revisa.
Todos los proveedores que tratan datos por encargo pasan a la lista de proveedores con su contrato, sus subencargados y sus evidencias. Los contratos que faltan o están desactualizados se convierten en medidas con plazo.
Las medidas del art. 32 se responden como preguntas y se vinculan con evidencias, por ejemplo el concepto de autorizaciones, el cifrado, la prueba de copias de seguridad o el certificado de formación. Si existe un SGSI, vincule las evidencias existentes en lugar de crear otras nuevas.
Las preguntas guía muestran dónde hace falta una evaluación de impacto relativa a la protección de datos. Las autoridades de control han publicado listas de tratamientos al respecto. La evaluación en sí la realiza el responsable con su asesoramiento; Sightadel aporta la estructura y deja constancia del resultado.
¿Quién evalúa una violación de datos, quién la notifica, quién informa a los interesados? ¿Quién responde a las solicitudes de acceso dentro de plazo? Se registran los responsables, los suplentes y las plantillas, y se ensaya el proceso una vez.
Recordatorios de revisión para el registro, los contratos y las medidas. Las evidencias tienen fecha de caducidad. Los nuevos tratamientos y proveedores se incorporan antes de ponerse en marcha, no en la siguiente auditoría.
Su rol
El RGPD atribuye al delegado de protección de datos el asesoramiento y la supervisión. Las obligaciones en sí recaen en el responsable. Esta separación también debería reflejarse en la forma de trabajar.
Personal, ventas y TI son quienes mejor conocen sus tratamientos. Con el rol Contributor mantienen sus entradas en el registro y suben las evidencias. Usted revisa y aprueba.
Tratamientos sin plazo de supresión, proveedores sin contrato, medidas sin evidencia. Los puntos abiertos aparecen como problemas y planes de acción con un responsable, no como una nota en su agenda.
Si desaconseja un tratamiento o recomienda una evaluación de impacto, queda registrado con fecha en el registro de actividad. Si la dirección decide otra cosa, también queda constancia.
Con el rol «Consultant externo» trabaja en la cuenta de cada cliente. Cada cliente tiene su propia situación, separada de las demás, y el registro indica que el acceso se produjo desde fuera.
Cómo ayuda Sightadel
Las obligaciones del RGPD están preparadas como preguntas guiadas, desde los principios hasta los derechos de los interesados y la obligación de notificación. Cada pregunta incluye explicación, respuesta y evidencia. Así ve de un vistazo en qué punto está la documentación.
Más información →Los encargados del tratamiento se gestionan con su país, su contrato, sus subencargados y sus evidencias con fecha de validez. Usted indica qué datos trata cada proveedor. De ahí se deriva su evaluación de riesgos, y los contratos que faltan saltan a la vista.
Más información →Contratos, conceptos, certificados de formación y evaluaciones de impacto se guardan con versión y fecha de caducidad en la biblioteca de evidencias. Una evidencia sobre control de acceso sirve a la vez para las medidas del art. 32 y para los controles correspondientes de ISO 27001.
Más información →Plantillas para el registro de actividades de tratamiento, la información sobre protección de datos, el concepto de supresión y las respuestas a solicitudes de los interesados, adaptadas a su sector. La IA ayuda a redactar. La valoración jurídica de cada caso sigue siendo suya.
Más información →Los contratos que faltan, los plazos de supresión pendientes o las medidas tras una violación de datos se convierten en tareas con responsable y plazo. La dirección ve los puntos vencidos en el panel sin que usted tenga que comunicarlos uno por uno.
Más información →Los clientes encuentran sus medidas técnicas, la lista de subencargados y los documentos autorizados en un solo lugar. Como encargado del tratamiento, eso le ahorra muchas consultas.
Más información →Esfuerzo y duración
Los plazos son valores basados en la experiencia, no un compromiso. Lo que más influye es lo bien que colaboren los departamentos y si ya existe un SGSI cuyas evidencias puedan aprovecharse.
Qué licencia contrata · normalmente Basic
Para la protección de datos por sí sola suele bastar la edición Basic, con cinco usuarios y diez proveedores. Quien implanta a la vez un SGSI añade ISO 27001 y utiliza las evidencias para ambos. Si ISO 27001 está incluida, el RGPD tiene un descuento permanente. Con muchos encargados del tratamiento encaja mejor la edición Professional, con 25 proveedores.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
En Alemania, según el § 38 de la ley federal alemana de protección de datos (BDSG), por regla general cuando al menos 20 personas se dedican de forma permanente al tratamiento automatizado de datos personales. Con independencia de esa cifra, la obligación existe, por ejemplo, cuando hay tratamientos que requieren una evaluación de impacto o, según el art. 37 RGPD, en determinadas actividades principales como el tratamiento a gran escala de datos de salud. La clasificación de cada caso debe aclararla con su asesoría jurídica.
Las violaciones sujetas a notificación se comunican a la autoridad de control sin dilación indebida y, a ser posible, en un plazo de 72 horas desde que se tiene conocimiento de ellas. No es necesario notificar si es improbable que exista un riesgo para los interesados. Si el riesgo es alto, también se informa a los interesados. Toda violación se documenta, aunque no se notifique.
Por regla general, un mes desde su recepción. En solicitudes complejas o numerosas, el plazo puede prorrogarse otros dos meses, pero hay que informar de ello al interesado dentro del primer mes. En Sightadel deja constancia de la recepción, la tramitación y la respuesta como evidencia.
Las medidas del art. 32 RGPD y muchos controles del anexo A tratan los mismos temas, como los accesos, el cifrado, las copias de seguridad y los proveedores. En Sightadel puede vincular una evidencia con ambos. Deliberadamente no damos una cifra de solapamiento, porque depende del alcance.
Sí. Cada cliente tiene su propia cuenta y le invita con el rol «Consultant externo». Las situaciones se mantienen separadas, y en el registro de actividad consta que el acceso se produjo desde fuera.
No. Sightadel aporta estructura, plantillas y una situación demostrable. Las cuestiones sobre bases jurídicas, ponderación de intereses o transferencias a terceros países las valora usted mismo o con su asesoría jurídica. Para los casos difíciles puede contratar asesoramiento como paquete en la aplicación.
No existe un certificado general que confirme el cumplimiento del RGPD. Lo que puede presentar es una documentación ordenada y demostrada en el sentido de la responsabilidad proactiva. Sightadel no certifica.
Sightadel se desarrolla y se opera en Alemania. Con cada cliente firmamos un contrato de encargado del tratamiento conforme al art. 28 RGPD. En Sightadel está la documentación de sus medidas, no los datos personales de sus clientes o empleados.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
