Adaptación de protección de datos: paso a paso
Por qué la adaptación se hace por fases
La adaptación a la protección de datos no es un trámite puntual, sino un proyecto que ordena cómo una organización trata los datos personales. Hacerlo por fases permite priorizar los riesgos más altos, integrar la normativa en la actividad real y no saturar al equipo. En LOPD ADAPTA trabajamos con un método contrastado que describimos a continuación.
Fase 1: Auditoría inicial
La primera fase es la auditoría de protección de datos. Se inventarían los tratamientos de datos personales que realiza la organización: clientes, empleados, proveedores, usuarios web, videovigilancia, etc. Para cada tratamiento se identifican las finalidades, las categorías de datos, las bases jurídicas, los destinatarios de cesiones, las transferencias internacionales y las medidas de seguridad aplicadas.
El resultado es un diagnóstico que señala las brechas y los riesgos, y que sirve de base para el plan de adecuación. Sin una auditoría seria, la adaptación se construye sobre suposiciones y no sobre la realidad.
Fase 2: Plan de adecuación
Con el diagnóstico se elabora un plan de adecuación que prioriza las acciones según el riesgo. No todo es urgente: hay medidas que deben aplicarse de inmediato (por ejemplo, regularizar un tratamiento sin base jurídica) y otras que pueden programarse a medio plazo.
El plan se presenta de forma clara, con responsables y plazos, para que la organización sepa qué le toa hacer a cada área.
Fase 3: Alta de ficheros en la AEPD
Aunque el RGPD eliminó la notificación previa generalizada, la LOPDGDD mantiene obligaciones de notificación de ficheros en determinados sectores. Damos de alta los ficheros que lo requieran, con sus finalidades, categorías de datos y medidas de seguridad.
Fase 4: Registro de actividades de tratamiento
Elaboramos el registro de actividades de tratamiento del artículo 30 del RGPD, el documento interno que inventaría los tratamientos. Este registro es la pieza central de la adaptación y la primera documentación que solicita la AEPD en una inspección.
Fase 5: Contratos con encargados y cesiones
Cualquier proveedor que acceda a datos personales por cuenta de la organización (gestorías, plataformas de email marketing, hosting, CRM, proveedores de nóminas, etc.) debe firmar un contrato de encargado del tratamiento conforme al artículo 28 del RGPD. Revisamos también las cesiones de datos a terceros y las autorizaciones legales que las amparan.
Fase 6: Cláusulas legales y web
Redactamos las cláusulas legales web: aviso legal, política de privacidad, política de cookies y cláusula LSSI. Implementamos el banner de cookies con un consentimiento válido conforme a las directrices de la AEPD.
Fase 7: Medidas de seguridad
Aplicamos las medidas de seguridad técnicas y organizativas proporcionadas al riesgo. Para datos especialmente protegidos (salud, ideología, etc.) las medidas son más estrictas: control de accesos, cifrado, registro de accesos, copias de seguridad y planificación de respuesta a incidentes.
Fase 8: Formación del equipo
La protección de datos se sostiene también en el comportamiento de las personas. Formamos al equipo en buenas prácticas: gestión de contraseñas, correo electrónico, tratamiento de datos de clientes, respuesta a brechas y atención de solicitudes de ejercicio de derechos.
Fase 9: Mantenimiento y respuesta a incidentes
La última fase no es el final, sino el inicio del mantenimiento anual: revisión del registro, actualización de contratos, respuesta a brechas de seguridad y atención a solicitudes de la AEPD o de los interesados. La adaptación que no se mantiene se deteriora con el tiempo.
Cómo empezar
Si quieres adaptar tu empresa a la normativa de protección de datos, lo más práctico es empezar con una auditoría inicial sin compromiso. En LOPD ADAPTA asesoramos a pymes, autónomos, clínicas, despachos y comercios de Bizkaia, Bilbao y toda España. Escríbenos a hola.lopdadapta@gmail.com o llámanos al 638 707 936.