Modelo de Auditoría: Guía Completa para Empresas

¿Qué es y para qué una auditoría RGPD?

Un modelo de auditoría RGPD es una herramienta clave para evaluar el tratamiento de los datos personales en una empresa. Permite comprobar cómo se gestionan los datos, qué medidas de seguridad se han implementado, la finalidad de su recogida y quiénes son los responsables.

Realizar una auditoría RGPD es obligatorio para empresas que manejan datos personales de nivel medio o alto. Debe efectuarse al menos cada dos años, siempre que no haya cambios sustanciales en la gestión de los datos. Además, es recomendable para cualquier empresa, ya que garantiza el cumplimiento normativo.

¿Quién debe realizar la auditoría RGPD?

El responsable de seguridad es quien evalúa el modelo de auditoría RGPD, asegurándose de que se implementan las medidas necesarias y comunicando sus conclusiones al responsable del tratamiento de datos. Este último debe aplicar las medidas correctoras para garantizar el cumplimiento de la normativa.

Dado que la auditoría puede resultar compleja, se recomienda contar con abogados especializados en protección de datos. Estos profesionales revisan procedimientos, sistemas informáticos y medidas de seguridad para asegurar que la empresa cumple con la normativa vigente.

Pasos clave en una auditoría RGPD

Fases del modelo de auditoría

• Definición del objeto de la auditoría: Determinar el alcance y los datos a analizar.
• Plan de trabajo: Identificación de puntos críticos, checklist de auditoría y recomendaciones.
• Evaluación del cumplimiento: Revisión de principios de tratamiento, licitud, consentimiento y categorías especiales de datos.
• Análisis de derechos del interesado: Acceso, rectificación, supresión, portabilidad y oposición.
• Revisión de medidas de seguridad: Protección de datos desde el diseño, corresponsables del tratamiento y seguridad en el procesamiento de datos.
• Gestión de brechas de seguridad: Notificación a la AEPD y medidas correctivas.

• Evaluación de impacto y Delegado de Protección de Datos (DPO): Análisis de riesgos y cumplimiento de transferencias internacionales.

   

Consentimiento en el RGPD: Aspectos clave

El consentimiento debe ser:

• Libre: La persona debe tener la opción de aceptar o no, sin ningún tipo de intervención, los términos regulados por el Código Civil.
• Específico: Se le debe pedir a la persona que consienta tipos individuales de tratamiento de los datos, es decir, referido a una determinada operación de tratamiento.
• Informado: La persona debe conocer con anterioridad el tratamiento, la existencia de este y la finalidad por las que se produce
• Inequívoco: El lenguaje debe ser claro y sencillo. Es necesario que exprese claramente una acción que implique que hay consentimiento.
• Clara acción afirmativa: La persona debe consentir expresamente haciendo o diciendo algo. No son válidas aceptaciones tácitas como ocurría hasta ahora en la LOPD con casillas ya marcadas.
• Revocable: El RGPD establece un sexto requisito y es que el consentimiento debe poder retirarse fácilmente. Es decir, una vez se disponga de consentimiento, se debe facilitar su retirada.

Ejemplo de consentimiento válido:

“Si desea recibir información comercial, marque la casilla correspondiente.”