El punto de partida de la adaptación al RGPD es pensar qué tipo de datos de carácter personal se tratan en la empresa.
Se trata de establecer en primer lugar las categorías de datos: clientes, proveedores, trabajadores, etc…
Dentro de cada “categoría” identificada, por ejemplo, clientes, se debe recoger toda la información que se disponga sobre el tratamiento de los datos de los clientes, para ello cada empresa puede plantearse preguntas como:
- ¿Qué datos necesito de mis clientes? (ojo, el principio de minimización de los datos exige que sólo se traten los datos necesarios)
- ¿Para qué necesito los datos? (finalidad)
- ¿Qué base legal legitima el uso que voy a dar a los datos?
- ¿Quién tiene acceso a los datos?
- ¿Encargo el tratamiento de los datos a terceros? (encargados del tratamiento)
- ¿Cedo los datos a terceros? (transferencias internacionales, cesión a otros responsables…)
- ¿Durante cuánto tiempo conservo los datos?
- ¿Qué cantidad de datos voy a tratar? ¿Masivos? ¿Big data? ¿Análisis de perfiles?
Para identificar toda la información se debe hacer de una forma muy sencilla, haciendo pequeñas listas en forma de tablas que recogerán las respuestas a las preguntas anteriores.
El registro de actividades de tratamiento debe guardarse en la empresa y tenerlo siempre actualizado y a disposición de la Autoridad de Control si ésta nos lo solicita.
¿Qué Puede Ocurrir Si No Se Dispone Del Registro De Actividades Del Tratamiento?
El Anteproyecto de la nueva LOPD también considera como infracción grave el no disponer de un Registro de actividades de tratamiento en los casos en que sea necesario.
La empresa podrá ser sancionada con multas de hasta varios millones de euros o el 4% del volumen global de facturación anual de la empresa.
El RGPD considera como infracción grave el no disponer de un Registro de actividades de tratamiento en los casos en que sea necesario.
¿Quién está obligado a realizar el registro de actividades de tratamiento?
Cualquier empresa, independientemente de su forma jurídica está obligada a realizar un registro de actividades de tratamiento de datos siempre y cuando:
- Se realicen tratamientos que puedan entrañar un riesgo para los derechos y libertades de los interesados, no sean ocasionales, o incluyan categorías especiales de datos personales.
- Se realice un tratamiento de datos personales relativos a condenas e infracciones penales.
- La empresa u organización que tenga más de 250 empleados.
Si analizamos este apartado, cualquier empresa que realice un tratamiento continuado de datos está obligada a cumplir con la normativa establecida y tiene que realizar este tratamiento de datos.
El registro de las actividades del tratamiento deberá contener toda la información indicada en el artículo 30 del RGPD:
El nombre y los datos de contacto del responsable del tratamiento.
Los fines del tratamiento.
Una descripción de las categorías de interesados y de las categorías de datos personales.
EN GRUPO ALTABIR TE AYUDAMOS A CUMPLIR CON LA NORMATIVA VIGENTE ESTABLECIDA POR LA NUEVA LOPDGDD ( 3/2018 De 5 de Diciembre ) Y TE GENERAMOS TODA LA DOCUMENTACIÓN Y TE DESIGNAMOS UN DPO QUE ASUMIRÁ LA RESPONSABILIDAD DE TU IMPLANTACIÓN, ASESORÁNDOTE Y ACTUANDO COMO INTERMEDIARIO ANTE LA AUTORIDAD DE CONTROL
¡CONTRATA AHORA TU PROTECCIÓN DE DATOS!
Artículo publicado por Elisa Campoy Soler