Cumplimiento del RGPD
El RGPD es la ley que muchas empresas fuera de Europa dan por sentado que no les afecta, hasta que se dan cuenta de que se aplica a cualquiera que trate datos personales de ciudadanos de la UE, independientemente de dónde tenga su sede la propia empresa. También es la ley que muchas empresas dentro de Europa han «cumplido» en el sentido de contar con una política de privacidad, sin haber llevado a cabo el trabajo real que ello conlleva: la base legal para el tratamiento, el mapeo de datos, la preparación para responder ante violaciones de seguridad y los mecanismos reales para respetar los derechos de los interesados.
Dónde suele estar la laguna
Lo que más suelo encontrar no es la falta de una política, sino una desconexión entre lo que dice la política y lo que la organización puede demostrar realmente. Una base legal indicada para un tipo de tratamiento que, en realidad, nadie puede justificar cuando se plantean preguntas difíciles. Un proceso de solicitud de acceso de los interesados que existe sobre el papel, pero que nunca se ha puesto a prueba con una solicitud real. Un requisito de notificación de violaciones en un plazo de e 72 horas que nadie tiene un plan realista para cumplir, ya que la detección y la escalación, por sí solas, llevarían más tiempo que eso.
Mi enfoque
Comienzo con un mapeo de datos basado en la realidad: qué datos personales recopila, por qué, dónde se almacenan, con quién se comparten y cuál es realmente la base jurídica para cada categoría de tratamiento. A partir de ahí, ayudo a desarrollar los mecanismos que hacen realidad los derechos recogidos en el reglamento: un proceso operativo para las solicitudes de acceso, rectificación, supresión y portabilidad que pueda cumplir con los plazos exigidos, así como acuerdos de tratamiento de datos con los proveedores que reflejen realmente lo que dichos proveedores hacen con los datos.
Presto especial atención a la respuesta ante infracciones, ya que el plazo de notificación de 72 horas es implacable y la mayoría de las organizaciones no lo han ensayado. Elaboramos un plan de respuesta a incidentes realista que incorpora desde el principio las obligaciones de notificación del RGPD, en lugar de añadirlas a posteriori, y, si procede, analizamos si es necesaria una evaluación de impacto relativa a la protección de datos para las actividades de tratamiento de mayor riesgo.
A quién va dirigido
Empresas que tratan datos personales de residentes de la UE y que nunca han realizado una evaluación real de las deficiencias con respecto al reglamento, organizaciones que se están expandiendo a los mercados europeos y cualquier persona que haya estado a punto de recibir una solicitud de un interesado o de sufrir una infracción y se haya dado cuenta de que su plan era, en su mayor parte, meramente teórico.
Si desea obtener una visión clara de cuál es la situación real de su programa de cumplimiento del RGPD, póngase en contacto con nosotros.