Lista de verificación de cumplimiento de GDPR

Si su organización recopila o procesa datos personales de residentes de la Unión Europea, está sujeta al Reglamento General de Protección de Datos (GDPR). El GDPR enumera requisitos específicos tanto para los data controllers (organizaciones que determinan el propósito y los medios del procesamiento de datos personales) como para los data processors, y las penalizaciones por incumplimiento son severas.

Este artículo proporciona listas de verificación para ayudarlo a lograr y mantener el cumplimiento del GDPR. También podría considerar buscar asesoramiento legal profesional.

Lista de verificación para comenzar

Su lista de requisitos principales de GDPR debería incluir, como mínimo, lo siguiente:

• Contrate a un delegado de protección de datos o designe a una persona para asumir el rol de DPO — Un delegado de protección de datos es responsable de supervisar la estrategia de protección de datos de una empresa y su implementación. El rol de DPO es obligatorio si se procesa cualquier “categoría especial” de datos o si el procesamiento de datos lo lleva a cabo una autoridad pública. Si su empresa no tiene una oficina en la UE, debe nombrar un representante oficial en la UE.
• Realice una evaluación de impacto de protección de datos (DPIA) — Inventario todos sus procesos que involucran la recolección, almacenamiento, uso o eliminación de datos personales, y luego evalúe cuán valiosa o confidencial es la información y qué daño o angustia podrían sufrir los individuos en caso de una violación de seguridad. Utilice los resultados para ayudar a elegir medidas de seguridad, políticas y procedimientos apropiados. Recuerde que todos los procesos deben ser diseñados con la protección de la privacidad en mente, y la privacidad debe aplicarse por defecto siempre que se lancen nuevos productos o servicios al público.
• Defina su gobernanza de datos plan — La gobernanza de datos implica reunir a las personas, procesos y tecnologías necesarias para manejar los datos de manera consistente y adecuada en toda la empresa.
• Obtenga consentimiento para la recolección, retención y eliminación de datos — El cumplimiento del GDPR exige garantizar transparencia y otorgar a los consumidores más control sobre sus datos.
• Documente sus técnicas de cumplimiento, auditoría y registro — Los responsables del tratamiento deben poder demostrar que su organización cumple con las regulaciones del GDPR. En particular, asegúrese de tener una base legal documentada para almacenar y procesar datos.
• Prepárese para las violaciones de datos — Los responsables del tratamiento de datos están obligados a notificar a la autoridad de control en un plazo de 72 horas después de tener conocimiento de una violación de datos, mientras que los procesadores de datos deben notificar a los responsables del tratamiento relevantes sobre cada violación de datos. Si una violación representa un alto riesgo para los sujetos de los datos, entonces también deben ser informados a menos que se hayan implementado medidas de protección efectivas, como la seudonimización o la anonimización completa.
• Documente sus medidas de protección de datos — Los auditores querrán ver qué controles ha implementado.
• Mantenga una lista actualizada de actividades de procesamiento. Si su organización tiene al menos 250 empleados o participa en el procesamiento de datos de alto riesgo, necesitará mantener una lista de sus actividades de procesamiento que pueda mostrar a los reguladores en cualquier momento.

Lista de verificación de auditoría GDPR

Su lista de verificación final de auditoría dependerá de varios factores, incluyendo la escala de sus operaciones, la cantidad y tipos de datos que recopila y los resultados de su evaluación de impacto de protección de datos. Sin embargo, aquí están las cosas clave que necesita hacer y las preguntas que debe hacerse mientras trabaja para cumplir con el GDPR:

• Documente los datos personales que recopila — ¿Qué datos estamos recopilando?
• Minimiza lo que recolectas — ¿Tenemos una función para cada pieza de datos?
• Comprenda sus flujos de datos — ¿Dónde estamos almacenando los datos?
• Elija medidas de seguridad fuertes — ¿Cómo protegemos y documentamos los datos?
• Refine su política de retención de datos — ¿Cuánto tiempo conservamos los datos?
• Evaluar riesgos — ¿Tenemos medidas adecuadas para proteger los datos de todas las fuentes, incluidos correos electrónicos y formularios?
• Tenga una política de seguridad interna — ¿Qué necesitan saber los miembros del equipo para mantener los datos seguros? ¿Hay pasos que deben seguir para mantener los niveles de seguridad?
• Prepárese para las solicitudes de acceso por parte del interesado (DSARs) — ¿Cuál es el proceso para atender una solicitud de eliminación, modificación o acceso a los datos que almacenamos? (Los derechos de los sujetos de datos y sus obligaciones correspondientes se detallan a continuación.)

Lista de verificación de los derechos del interesado

Asegúrese de mantener los siguientes ocho derechos de los sujetos de datos:

• Derecho a ser informado — Las personas pueden exigirle que proporcione información clara y concisa sobre lo que hace con sus datos personales.
• Derecho de acceso— Cualquier interesado puede requerir que se le proporcione una copia de sus datos personales, junto con información adicional para ayudarles a comprender cómo y por qué se están utilizando sus datos y verificar si se está haciendo de manera legal.
• Derecho de rectificación— Las personas tienen el derecho de corregir datos personales inexactos. Dependiendo de los propósitos del procesamiento de datos, las personas también pueden tener el derecho de requerir que se completen los datos personales incompletos (por ejemplo, añadiendo una declaración complementaria).
• Derecho al olvido (derecho a ser olvidado) — Las personas tienen el derecho de que se borren sus datos personales. El derecho no es absoluto y solo se aplica en ciertas circunstancias.
• Derecho a restringir el procesamiento — El GDPR otorga a las personas el derecho a limitar cómo una organización puede usar sus datos.
• Derecho a la portabilidad de los datos— Las personas tienen el derecho de recibir los datos personales que proporcionaron a un responsable en un formato estructurado, de uso común y legible por máquina. También pueden solicitar que el responsable transmita estos datos directamente a otro responsable.
• Derecho a oponerse al procesamiento — Las personas pueden oponerse al procesamiento de sus datos personales en cualquier momento, y el controlador debe detener dicho procesamiento.
• Derechos relacionados con la toma de decisiones automatizada durante el procesamiento de datos personales — Las personas tienen el derecho de no ser sujetas a decisiones basadas únicamente en el procesamiento automatizado (como la elaboración de perfiles) que tengan un efecto legal sobre ellas.

Es necesario facilitar a los sujetos de los datos el ejercicio de estos derechos, ya sea proporcionando una página de autoservicio con botones y opciones claras, o mediante solicitud directa a través de formas de contacto externas.

Lista de verificación de divulgación

Haga pública la siguiente información en un lenguaje claro y fácil de entender:

• Política de privacidad — Explique su enfoque de privacidad y seguridad de datos. Detalle qué información personal y no personal recopila y por qué.
• Política de retención de datos — Asegúrese de que quede claro que nunca almacena datos durante más tiempo del necesario para los fines para los que se recopilaron. Asegúrese de eliminar o anonimizar automáticamente los datos personales que ya no sean necesarios.
• Términos de transferencia de datos a otros países — Explique bajo qué condiciones permite transferencias internacionales de datos personales.
• Política de protección de datos — Explique cómo se protegerán los datos personales en cumplimiento con el GDPR.
• Información de contacto — Proporcione la dirección legal de su organización, así como los detalles para contactar a su oficial de protección de datos (si tiene uno).
• Términos de uso — Si su sistema no recopila datos de forma intencionada de o sobre niños, especifique lo siguiente en texto en negrita: “Este sitio web está disponible solo para individuos que tienen al menos 16 años de edad.” De lo contrario, necesita agregar una casilla de verificación a su página de registro (como se describe a continuación) y obtener el consentimiento de los padres para usuarios menores de 16 años.
• Política de pagos & política de cookies — Especifique cómo se procesan los pagos y qué cookies establece y utiliza el sistema.

Lista de verificación de la página de registro

Tenga en cuenta los siguientes requisitos al diseñar su página de registro:

• El número de campos debe ser mínimo y razonable.
• Debe quedar claro para los sujetos de los datos a qué están dando su consentimiento. Debe proporcionarles un control granular sobre qué materiales de marketing desean recibir de usted, no solo agrupar todo el consentimiento en una sola casilla. Necesita una casilla de verificación separada si desea permitir a los usuarios suscribirse a una lista de correo.
• Es obligatorio que los usuarios acepten explícitamente tus términos de uso y política de privacidad.

Lista de verificación de auditoría de documentos

Los siguientes documentos son necesarios durante una verificación de cumplimiento del GDPR:

• Política de privacidad
• Política de protección de datos personales
• Inventario de actividades de procesamiento
• Política de respuesta a incidentes de seguridad
• Formulario de notificación de violación de datos a la autoridad supervisora
• Formulario de notificación de violación de datos a los sujetos de datos
• Política de retención de datos
• Las siguientes políticas se pueden combinar en una única política de gobernanza de la información:
• Política de eliminación de datos
• Política de respaldo y continuidad del negocio
• Política de control de acceso al sistema
• Procedimientos de SLA y escalado
• Política de control criptográfico
• Política de recuperación de desastres y continuidad del negocio
• Normas de codificación y procedimiento de implementación
• Política y procesos de empleo
• Política de terminación de usuario
• Política de auditoría
• Política de evaluación de riesgos
• Política de concienciación y formación

Listas de verificación de protección de datos

El GDPR no especifica controles de seguridad particulares para el cumplimiento, pero sí requiere que usted honre el principio de protección de datos por diseño y por defecto. Las siguientes listas de verificación le ayudarán a implementar medidas y prácticas técnicas y organizativas apropiadas.

Lista de verificación de Data Protection: Medidas técnicas

• Seguridad de red — Diseño de seguridad de red, cortafuegos, acceso VPN
• Cifrado para datos en reposo — Cifrado de disco completo, cifrado de base de datos
• Cifrado para datos en tránsito — HTTPS, IPSec, TLS, PPTP, SSH
• Controles de acceso (físicos y técnicos):
• Restrinja el acceso a su sistema a fuentes confiables
• Implemente la detección y prevención de amenazas internas
• Limite los permisos de usuarios y grupos de acuerdo con las necesidades del trabajo
• Restrinja el uso de cuentas privilegiadas
• Haga cumplir una política de contraseñas fuerte
• Implemente una política de bloqueo
• Prevención y detección de intrusiones
• Monitoreo de salud
• Copias de seguridad regulares
• Cifrado de copias de seguridad
• Autenticación multifactor (MFA), autorización estricta
• Solución antivirus
• Escaneos regulares de infraestructura
• Política de instalación de software, política de actualización de software, política de actualización de equipos

Lista de verificación de Data Protection: Medidas organizativas

• Debida diligencia — Sus medidas de seguridad son inútiles si transfiere datos a terceros que no pueden garantizar la protección de los mismos. Revisar minuciosamente a sus proveedores y prestadores de servicios es tan importante como las auditorías internas y la presentación de informes.
• Revisiones y auditorías — Para asegurar que sus políticas y procedimientos sean efectivos, debe realizar revisiones y auditorías regulares de políticas. Puede ser útil tener plantillas para estas revisiones.
• Capacitación — Debe asegurarse de que sus empleados y contratistas estén conscientes de los riesgos legales y posean las habilidades adecuadas.
• Informes — Los informes regulares a la alta dirección son esenciales para la responsabilidad en toda la empresa, así como para obtener financiación adecuada y otros recursos para el cumplimiento del GDPR.