RGPD: “Principio de responsabilidad proactiva”

La clave para satisfacer la responsabilidad proactiva es documentar los tratamientos de datos personales que llevas a cabo e identificar las áreas de riesgo. Este sería el primer paso por el que deberíamos empezar e implica hacer un inventario de todas las actividades de tratamiento que llevas a cabo en tu compañía. Qué datos tienes, de dónde vienen, con quién los compartes. Esto es importante no sólo para conocer con precisión qué datos estás tratando, sino también cómo los estás tratando.

Además, el proceso de revisión puede revelar que algún tratamiento requiere precauciones adicionales. Una buena manera de abordar esta tarea es formar un grupo de trabajo dentro de la empresa, con representación de los distintos departamentos. No recomendamos que esta labor sea realizada únicamente por el equipo legal, el delegado de protección de datos.

Comprender todos los procesos es clave. Para ello, mantener entrevistas con empleados de todos los departamentos te permitirá identificar qué tipo de tratamientos de datos se llevan a cabo en la empresa.

Elementos a documentar en tus tratamientos de datos

Todas las actividades de tratamientos de datos deben ser revisadas y documentadas identificando “cuando, por qué y quién” realizando un análisis de riesgo en cada tratamiento. También incluye los datos de empleados. A modo de ejemplo, algunas de las preguntas que deberíamos hacernos para una responsabilidad proactiva son las siguientes:

• ¿Qué información doy en la recogida de datos?

• ¿Dónde, cuándo y por qué trato los datos?

• ¿Tengo un fundamento jurídico para tratarlos?

• ¿Estoy aplicando los principios del tratamiento de datos?

• ¿Qué datos se anonimizan?

• ¿Por cuánto tiempo almaceno estos datos?

• ¿Con quién comparto estos datos?

• ¿Cuál es el nivel de riesgo por tratamiento?

• ¿En qué casos soy el responsable del tratamiento, el encargado o comparto la responsabilidad?

• ¿Estoy tratando los datos por razones de seguridad?

• ¿Estoy transfiriendo datos fuera de la UE?

• ¿Pido el consentimiento solo para mi empresa o para terceros?

• ¿He revisado y documentado los procesos de seguridad?