Puesto
Protección de datos
¿Qué no sabéis de vuestros datos personales hasta que alguien presenta una solicitud de supresión? Normalmente en cuántos sitios están esos datos, y que el registro de actividades de tratamiento describe solo una parte de ellos.
Conversación inicial
Cuatro preguntas por las que empezaríamos
¿Qué no sabéis de dónde están los datos hasta que llega una solicitud?
Si responder a «¿dónde están los datos de esta persona?» significa llamar a cinco departamentos, el plazo legal es un riesgo con cada solicitud.
¿Con cuánta rapidez os enteráis de una brecha?
La norma da setenta y dos horas desde que se tiene conocimiento. La cuestión es cuánto pasa entre el suceso y el conocimiento.
¿Quién se da cuenta primero de que un departamento ha empezado a recoger datos nuevos?
Si no se da cuenta nadie, el registro de actividades describe el estado del año pasado y no el actual.
¿Qué pasa cuando un proveedor trata datos sin un contrato de encargo?
Si alguien lo detecta al firmar el contrato o solo en una revisión.
Nos quedamos con el registro y los plazos, vosotros con el criterio y las decisiones
Llevar el registro, atender las solicitudes, vigilar los plazos y supervisar a los encargados se pueden quitar del escritorio. Juzgar si hubo una brecha y si notificarla se queda con el delegado.
- El registro de tratamiento vive con los procesos. - Un proceso nuevo o un sistema nuevo se anuncia como actividad que describir, en lugar de esperar a la revisión anual.
- Una solicitud de un interesado tiene su plazo vigilado. - De la recepción a la respuesta, con un resumen de los sitios en los que aparecen los datos de esa persona.
- Un contrato de encargo es una condición, no un trámite. - Un proveedor que trata datos sin él se señala antes de que empiece el trabajo, no después.
Alcance
Qué se puede quitar de la protección de datos
Veintidós tareas de ejemplo. Cada una tiene un punto de aprobación humana. Abajo una selección, y el alcance lo ajustamos a vuestros procesos.
El registro de tratamiento
- Un registro de actividades con la finalidad, la base jurídica y las categorías de datos
- Enlazar una actividad con sistemas y departamentos
- Una señal cuando un sistema nuevo no tiene actividad asignada
- Una revisión de las actividades sin cambios durante mucho tiempo
- Señalar las actividades sin plazo de conservación indicado
Bases jurídicas y consentimientos
- Un registro de bases jurídicas por actividad
- Constancia de los consentimientos con la fecha y el alcance
- Una señal cuando se retira un consentimiento y qué se sigue de ello
- Señalar las actividades basadas en el consentimiento donde cabe otra base (valoración: el delegado)
Solicitudes de los interesados
- Una sola vía de recepción de una solicitud
- Un resumen de los sitios en los que aparecen los datos de una persona
- Vigilar el plazo legal
- Un borrador de respuesta (aprobación: el delegado)
- Un registro de solicitudes con el tipo y cómo se resolvió
Incidentes y brechas
- Una sola vía de aviso de incidente desde cualquier departamento
- Reunir los hechos necesarios para la valoración
- Contar el plazo desde el conocimiento de la brecha
- Una valoración y una recomendación sobre si la brecha es notificable (recomendación: el delegado, decisión: el responsable del tratamiento)
Contratos de encargo
- Un registro de encargados del tratamiento
- Una señal cuando un proveedor trata datos sin contrato
- Una revisión del alcance del contrato frente al tratamiento real
- Fechas y cambios en los contratos de encargo
Un día de trabajo
Hoy
- Actualizáis el registro de tratamiento una vez al año, preguntando a los departamentos
- Os enteráis de un sistema nuevo cuando ya está en marcha
- Ante una solicitud de un interesado llamáis a los departamentos buscando los datos
- Vigiláis el plazo legal en un calendario
- Os enteráis de un incidente por alguien que se enteró de él
- Establecéis qué proveedores tratan datos en una revisión
Con asistencia de IA
- Un sistema o proceso nuevo se anuncia como actividad que describir
- El registro muestra las actividades sin base jurídica o sin conservación
- Ante una solicitud veis un resumen de los sitios en los que aparecen los datos
- El plazo se cuenta y se recuerda
- Un incidente tiene una sola vía de aviso desde cualquier departamento
- Un proveedor sin contrato de encargo se señala antes del inicio
- Un registro completo
el registro describe el estado actual y no el del año pasado
los sistemas y procesos nuevos se anuncian solos
- Tiempo de atención de una solicitud
menos solicitudes atendidas al filo del plazo
los sitios en los que aparecen los datos están resumidos
- Detección de brechas
menos tiempo entre el suceso y el conocimiento
avisar de un incidente tiene una sola vía
- Control sobre los encargados
menos proveedores tratando datos sin contrato
un contrato que falta se señala antes del inicio
Empezamos por el registro de tratamiento, porque todas las demás obligaciones descansan sobre él.
- Paso 1
Un registro enlazado con sistemas y departamentos
Actividades, bases jurídicas, conservación, sistemas. Las lagunas se vuelven visibles como lagunas.
- Paso 2
Atención de solicitudes con el plazo
Una sola vía, un resumen de dónde están los datos, el plazo vigilado.
- Paso 3
Incidentes
Aviso desde cualquier departamento, reunión de los hechos, cuenta del plazo.
- Paso 4
Encargados del tratamiento
Un registro de encargados y señales sobre las lagunas. Al final, porque requiere el registro del paso 1.
Preguntas frecuentes
Preguntas que surgen en la primera reunión
¿Quién responde de valorar una brecha?
Conviene separar dos cosas, porque confundirlas suele detectarse en una inspección. Una brecha la notifica el responsable del tratamiento, es decir, vuestra organización, igual que es el responsable quien lleva el registro de tratamiento. El delegado asesora, supervisa y prepara la valoración, pero no decide por el responsable; asignárselo chocaría de hecho con su función. El sistema reúne los hechos, cuenta el plazo y recuerda; la recomendación pertenece al delegado y la decisión al responsable.
¿Hace menos falta el delegado?
La función del delegado la establece la normativa y consiste en asesorar y supervisar: eso no se traslada a una herramienta y no lo intentamos. Nos quedamos con llevar el registro, vigilar los plazos y reunir los datos para las solicitudes. Un delegado que no hace eso a mano deja de ser una figura formal y empieza a ver qué pasa de verdad con los datos.
¿Esto entra en el ámbito del Reglamento de IA?
Apoyar al delegado no es un uso de alto riesgo, pero el área se refiere a datos personales por su naturaleza, así que llevamos el proyecto según el principio de minimización: la herramienta ve metadatos sobre actividades y sistemas, y el acceso a los propios datos personales se limita a lo necesario al atender una solicitud concreta.
¿Os queda alguna pregunta que no esté aquí? Reservad una llamada
Siguiente paso
¿Cuánto tardaríais hoy en señalar todos los sitios que guardan los datos de una persona?
Os enseñaremos cómo es la protección de datos cuando el registro vive con los procesos y el plazo de una solicitud se vigila.