Checklist RGPD para las pymes

El RGPD (Reglamento General de Proteccion de Datos) obliga a las organizaciones a tratar los datos personales de forma cuidadosa y demostrable. Para las pymes esto no tiene por que ser complicado: con una serie de medidas basicas ya avanza mucho y demuestra en una inspeccion que se lo toma en serio.

Los principios fundamentales del RGPD

• Limitacion de la finalidad: recopile datos solo para una finalidad clara y legitima.
• Minimizacion de datos: no conserve mas de lo necesario, ni durante mas tiempo del necesario.
• Licitud: asegurese de una base juridica valida (por ejemplo el consentimiento o un contrato).
• Seguridad: adopte medidas tecnicas y organizativas adecuadas.
• Responsabilidad proactiva: puede demostrar que cumple el RGPD?

La checklist practica

1. Dispone de un registro de las actividades de tratamiento en el que conste que datos personales trata, por que y durante cuanto tiempo?
2. Dispone de una politica de privacidad actualizada y comprensible en su sitio web?
3. Existen contratos de encargo del tratamiento con los proveedores que tratan datos en su nombre (como su proveedor de hosting o de software)?
4. Dispone de un proceso para atender a tiempo las solicitudes de los interesados (acceso, rectificacion, supresion)?
5. Es capaz de reconocer una brecha de datos y notificarla en un plazo de 72 horas a la autoridad neerlandesa de proteccion de datos?
6. Estan los datos protegidos tecnicamente (gestion de accesos, MFA, cifrado, copias de seguridad)?
7. Sabe donde se almacenan sus datos y si permanecen dentro de la UE?
8. Ha evaluado si necesita una DPIA (evaluacion de impacto relativa a la proteccion de datos) o un delegado de proteccion de datos?
9. Son los empleados conscientes de como tratan los datos personales?

El RGPD y la seguridad van de la mano

El RGPD exige una "seguridad adecuada", pero no concreta exactamente que es. En la practica, el RGPD y la ciberseguridad se solapan en gran medida: la gestion de accesos, el cifrado, las copias de seguridad y la deteccion de incidentes son medidas tanto de privacidad como de seguridad. Quien tiene su seguridad en orden ya tiene resuelta una gran parte de la vertiente tecnica del RGPD.