Lista de verificación
Legitimación
- ¿Tiene establecida claramente cuál es la base legal de los tratamientos que realiza y ha documentado de alguna forma el modo en que la ha establecido?
- Si alguno de los tratamientos que realiza está basado en el consentimiento de los interesados:
- ¿ha verificado que ese consentimiento reúne los requisitos que exige el RGDP? En caso contrario, ¿ha previsto cómo recabar el consentimiento de forma adaptada al RGPD o ha encontrado otra base legal adecuada para esos tratamientos?
Información y derechos
La información que se proporciona a los interesados
- ¿Está presentada de forma clara, concisa, transparente y de fácil acceso?
- ¿Contiene esa información todos los elementos que prevé el RGPD?
- ¿Dispone de mecanismos para el ejercicio de derechos visibles, accesibles y sencillos?
- ¿Pueden ejercerse los derechos por vía electrónica?
- ¿Tiene establecidos procedimientos o mecanismos que le permitan verificar la identidad de quienes solicitan acceso o ejercen los demás derechos ARCO?
- ¿Tiene establecidos procedimientos que le permitan responder a los ejercicios de derechos en los plazos previstos por el RGPD?
- ¿Ha valorado si sería necesaria la colaboración de los encargados para responder a las solicitudes de los interesados y, si es así, tiene previsto incluir esta colaboración en los contratos de encargo?
- En particular,¿tiene previstos mecanismos para atender a posibles ejercicios del derecho a la limitación del tratamiento, de forma que los datos afectados puedan ser conservados sin ser objeto de las operaciones de tratamiento que corresponden?
- ¿Ha valorado si los tratamientos de datos que realiza pueden ser objeto del derecho a la portabilidad? En caso, afirmativo:
- ¿ha previsto procedimientos o mecanismos para poder atender a este derecho y proporcionar los datos al interesado (o a otro responsable) en un formato estructurado, de uso común y susceptible de lectura mecánica?
Relaciones responsable-encargado
- ¿Ha previsto cómo valorar si los encargados con los que haya contratado o vaya a contratar operaciones de tratamiento ofrecen garantías de cumplimiento del RGPD cuando sea de aplicación?
- ¿Contienen los contratos de encargo que actualmente tenga suscritos todos los elementos que prevé el RGPD? En caso contrario,
- ¿está dando pasos para adaptarlos antes de la aplicación del RGPD?
Medidas de responsabilidad proactiva
- ¿Ha hecho una valoración de los riesgos que los tratamientos que desarrolla implican para los derechos y libertades de los ciudadanos?
- ¿Ha determinado qué medidas de responsabilidad activa corresponden a su situación de riesgo y cómo debe aplicarlas?
- ¿Ha previsto cómo establecer el registro de actividades de tratamiento en su organización?
- ¿Ha valorado si le es de aplicación alguna de las excepciones a esta obligación?
- ¿Ha previsto quién se encargará de mantener actualizado el registro?
- ¿Ha revisado las medidas de seguridad que aplica a sus tratamientos a la luz de los resultados del análisis de riesgo de los mismos?
- ¿Considera que puede seguir aplicando las medidas de seguridad previstas en el Reglamento de la LOPD?
- ¿Ha valorado suficientemente la posibilidad de introducir medidas adicionales en función del tipo de tratamiento o del contexto en que se realiza?
- Atendiendo al tipo de tratamientos que realiza, ¿ha establecido mecanismos para identificar con rapidez la existencia de violaciones de seguridad de los datos?
- ¿Tiene previstas medidas de reacción frente a los diferentes tipos de quiebras de seguridad, incluidos los procedimientos para evaluar el riesgo que puedan suponer para los derechos y libertades de los afectados?
- ¿Ha establecido procedimientos para notificar las violaciones de seguridad a las autoridades de protección de datos y, si fuera necesario, a los interesados?
- ¿Dispone de un registro o herramienta similar en que pueda documentar los incidentes de seguridad que se produzcan, aunque no sean notificados a las autoridades de protección de datos?
- ¿Ha valorado si los tratamientos que realiza requieren una Evaluación de Impacto sobre la Protección de Datos porque supongan un alto riesgo para los derechos y libertades de los interesados?
- ¿Dispone de una metodología para la realización de la Evaluación de Impacto?
- Según el tipo de tratamiento que realiza y los resultados del análisis de riesgos previo, ¿tiene que nombrar un Delegado de Protección de Datos?
- ¿Ha establecido los criterios para seleccionar al Delegado de Protección de Datos y, en particular, para valorar sus cualificaciones profesionales y sus conocimientos?
- El puesto de DPD tal y como está configurado en su organización, ¿respeta los requisitos de independencia en el ejercicio de las funciones, posición en el organigrama, ausencia de conflicto de intereses y disponibilidad de los recursos necesarios establecidos por el RGPD?
- ¿Ha hecho pública la designación del DPD y sus datos de contacto y los ha comunicado a la autoridad de protección de datos?
- ¿Ha establecido procedimientos para que los interesados contacten con el DPD?
Lista de verificación simplificada
Los responsables que realicen un número limitado de tratamientos que probablemente presenten un bajo nivel de riesgo para los derechos y libertades de los interesados, podrán simplificar la valoración de los aspectos relevantes a la hora de determinar que están en condiciones de aplicar adecuadamente el RGPD.
Estos responsables serán en muchos casos pymes o micropymes, aunque también pueden incluirse entre ellos organizaciones de mayor tamaño. El elemento realmente decisivo es el tipo de tratamientos que lleven a cabo. Empresas que realicen tratamientos básicos sobre los datos de sus empleados, clientes y proveedores, o comunidades de copropietarios que hagan tratamientos limitados a la gestión de las tareas propias de la comunidad, se encontrarían entre ellos.
Esta aproximación simplificada no sería válida para responsables que, con independencia de su tamaño, desarrollen tratamientos que impliquen un nivel de riesgo mayor. Por el tipo de tratamiento (por ejemplo, elaboración de perfiles), por el tipo de datos tratados (por ejemplo, uso de datos sensibles) o por el uso de determinados medios de tratamiento (por ejemplo, tecnologías de análisis masivo de información).
Para aplicar esta versión simplificada del Listado de Verificación, los responsables deberán ante todo confirmar que los tratamientos que realizan son de bajo riesgo y no tienen algún rasgo particular que elevaría ese nivel de riesgo.
A partir de ahí, podrán concentrar su análisis en las siguientes cuestiones:
Identificación de la base jurídica de los tratamientos que se realizan
Estos tratamientos básicos normalmente se basan en la existencia de una relación contractual entre el interesado o el responsable o en el consentimiento del interesado. También es habitual que existan obligaciones legales para el responsable, por ejemplo en el ámbito de la legislación laboral, que determinen el tratamiento de los datos. Puede haber algunos casos en que sea el interés legítimo del responsable. El responsable debe asegurarse de que todos los tratamientos que realiza pueden apoyarse en alguna de esas bases.
Verificación de la información que se proporciona a los interesados
El RGPD obliga a ofrecer a los interesados una mayor información sobre los tratamientos que se realizan. Todos los responsables han de cumplir con esta obligación de transparencia, con independencia de su tamaño como organización. Por ello, los responsables han de asegurarse de que disponen de esa información y han previsto los medios adecuados para ofrecer a los interesados. Sin embargo, los responsables que utilicen esta Lista Simplificada, teniendo en cuenta el tipo de tratamientos que realizan, no tendrían en principio que informar sobre cuestiones tales como los datos de contacto del Delegado de Protección de Datos, o la adopción de decisiones automatizadas.
La información podrá proporcionarse por diversos medios, como son avisos en páginas webs, espacios reservados en formularios o carteles informativos. También podrá ofrecerse en diversos momentos, como por ejemplo cuando se recogen los datos de los empleados o cuando se recogen los datos para contratación con los clientes.
Establecimiento de un registro de actividades de tratamiento
El responsable debe prever la existencia de este registro e incluir en él los contenidos previstos por el RGPD. Si tiene ficheros notificados al Registro General de Datos, puede organizarlo relacionando los tratamientos con las finalidades con que notificó los ficheros.
Ejercicio de derechos de los interesados
El responsable debe prever mecanismos para facilitar el ejercicio de derechos y la respuesta a las solicitudes. Estos mecanismos dependerán de las entidades, pero pueden ser tan simples como establecer una dirección de correo electrónico específica que sea operativa y que permita identificar a los interesados y atribuir a una persona de la organización que se responsabilice de tramitar todas las solicitudes que eventualmente se reciban. No obstante, es importante que estos mecanismos, por sencillos que sean, estén claramente establecidos. El modo de ejercer los derechos forma parte de la información que debe proporcionarse a los interesados.
Identificación de medidas de seguridad
Las medidas de seguridad tienen como finalidades principales garantizar la integridad de la información, permitir su recuperación en caso de incidentes y evitar los accesos no autorizados a las mismas. Por ello, el RGPD contempla medidas de seguridad que deben adaptarse a las características de los tratamientos, al tipo de datos tratados o a la tecnología disponible en cada momento.
Los tratamientos que implican un bajo riesgo para los derechos o libertades de los interesados no requerirían, en principio, medidas de seguridad más complejas que las que actualmente establece el Reglamento de Desarrollo de la LOPD para el nivel básico. El responsable debe asegurarse de que esas medidas se aplican y también valorar si en el caso de los tratamientos que realiza, por ejemplo, por el contexto concreto en que se desarrollan o el tipo de interesados a que se refiere, sería necesaria alguna medida de seguridad distinta o adicional. En este caso, podrían servir como orientación las medidas de nivel medio que se recogen en el Reglamento de la LOPD.
Verificación de las relaciones con los encargados de tratamiento
Cuando el responsable del tratamiento encomienda parte de las operaciones, como puede ser el almacenamiento de la información o la realización de determinadas tareas sobre la base de los datos personales, la entidad que presta esos servicios es un encargado de tratamiento. El responsable debería asegurarse, ante todo, de que estos encargos estén siempre amparados en un contrato de encargo, que tiene un contenido distinto del que regula el servicio que se contrata, aunque puede formar parte de él.
Igualmente, debe verificar que los contratos de encargo de tratamiento con prestadores de servicios incluye todos los aspectos que establece el RGPD, especialmente en lo relativo a que el encargado sólo tratará los datos para los fines que le encomiende el responsable, que aplicará las medidas de seguridad adecuadas y que mantendrá estricta confidencialidad sobre la información tratada.
En algunos casos, el modelo de contrato será ofrecido por el prestador. Si es así, el responsable debe ser consciente de que al suscribirlo convierte su contenido en las instrucciones para el tratamiento y se responsabiliza de ellas. En otros casos, será el responsable el que pueda preparar el modelo de contrato. En estos supuestos, sería aconsejable que recurriera a los modelos ya aprobados por la Comisión Europea o presentados por las autoridades de protección de datos.
La AEPD está desarrollando herramientas específicamente dirigidas a facilitar a estas organizaciones, en particular pymes y micropymes, la valoración de la existencia de un bajo nivel de riesgo y el cumplimiento de los anteriores requisitos. Estas herramientas estarán disponibles en la página web de la AEPD.
Fuente: Te ayudamos a analizar el nivel de riesgo de los tratamientos con Evalúa_Riesgo RGPD.
