El registro RGPD no es una simple tabla
El registro de actividades de tratamiento permite comprender cómo circulan los datos personales dentro de la organización. Debe permitir identificar los tratamientos, los responsables, las finalidades, las bases jurídicas, las categorías de personas, los datos utilizados, los destinatarios, los plazos de conservación, los encargados del tratamiento, las transferencias y las medidas de seguridad.
Un registro útil ayuda a tomar decisiones: ¿es necesario corregir un tratamiento, realizar una EIPD, revisar un plazo de conservación, documentar un encargado del tratamiento, limitar un acceso o preparar una respuesta a una solicitud de ejercicio de derechos? Si no sirve para tomar estas decisiones, se convierte en un archivo administrativo difícil de mantener.
La información que debe documentarse
Cada línea del registro debe responder a una finalidad concreta. La finalidad describe por qué existe el tratamiento y no debe sustituirse por el nombre de un software. La base jurídica debe determinarse según el contexto: obligación legal, contrato, interés legítimo, misión realizada en interés público, consentimiento u otro fundamento aplicable.
Las categorías de personas y datos deben ser suficientemente claras para evaluar el riesgo: empleados, candidatos, clientes, usuarios, proveedores, datos identificativos, datos de recursos humanos, datos financieros, datos de salud, datos de conexión o datos sensibles, si los hubiera. Los destinatarios y encargados del tratamiento deben identificarse o describirse de forma verificable.
Plazos, seguridad, transferencias y responsabilidades
Los plazos de conservación deben estar vinculados a una norma operativa o jurídica. Cuando se desconozcan, el registro debe señalar la carencia en lugar de ocultar la falta de una decisión. Las transferencias de datos a terceros países fuera de la UE/EEE, cuando existan, deben identificarse y documentarse conforme al mecanismo jurídico aplicable.
Las medidas de seguridad deben describirse de forma operativa: derechos de acceso, registro de actividad, cifrado cuando proceda, segregación, copias de seguridad, eliminación y controles periódicos. El registro también debe indicar el responsable del área de negocio correspondiente al tratamiento y la persona responsable de actualizarlo.
Crear el registro en cinco etapas
La primera etapa consiste en definir el alcance: entidades, departamentos, aplicaciones, tratamientos prioritarios e interlocutores. La segunda consiste en recopilar los tratamientos existentes junto con las áreas de negocio y el departamento de TI. La tercera consiste en evaluar los riesgos y las carencias: datos sensibles, ausencia de base jurídica, conservación no controlada, documentación incompleta de encargados del tratamiento o accesos demasiado amplios.
La cuarta etapa formaliza las correcciones y decisiones. La última etapa consiste en organizar la actualización del registro cuando se produzcan cambios significativos en los tratamientos y establecer una frecuencia de revisión adaptada a la organización.
Utilizar el registro para gestionar el cumplimiento
El registro permite elaborar un mapa de los tratamientos, pero también preparar auditorías, responder a solicitudes de acceso o supresión, identificar los tratamientos que requieren una EIPD, realizar un seguimiento de los cambios en las aplicaciones y mantener las evidencias de cumplimiento.
Debe estar vinculado a los proyectos de sistemas de información. Una nueva herramienta, una interfaz, una migración de datos, una externalización o un cambio de finalidad deben activar una revisión del registro. Este vínculo entre cumplimiento y proyecto evita que las carencias se descubran después de la puesta en producción.
No confundir el registro con la EIPD
El registro enumera y describe los tratamientos. La EIPD analiza en profundidad los riesgos de un tratamiento que pueda entrañar un alto riesgo para las personas. El registro puede hacer necesaria una EIPD, pero no la sustituye.
La articulación adecuada consiste en utilizar el registro como punto de partida: deben detectarse los tratamientos sensibles, los grandes volúmenes, la vigilancia, las categorías especiales de datos o las decisiones automatizadas para determinar si es necesario realizar una evaluación de impacto.
Para reforzar la fiabilidad de un registro, subsanar carencias y organizar las evidencias de cumplimiento, consulte nuestro acompañamiento operativo en materia de RGPD. Cuando se trata de la gobernanza sostenible del cumplimiento, el registro también puede contribuir a la gobernanza del RGPD y del DPO. Para profundizar en el paso del registro al análisis de riesgos, consulte también el método de EIPD conforme al RGPD.
¿Necesita reforzar la fiabilidad de un registro existente o reorganizar un cumplimiento del RGPD disperso? Hablemos sobre su registro RGPD.