Módulo 4 de 8 · Unos 15 minutos
Responsabilidad proactiva: registros, EIPD y encargados
La documentación y la gobernanza que permiten demostrar el cumplimiento.
Registro y diseño
El artículo 30 exige un registro de actividades de tratamiento: fines, categorías de datos e interesados, destinatarios, transferencias, plazos de supresión y medidas de seguridad. Las organizaciones con menos de 250 empleados solo están exentas si el tratamiento es ocasional, no entraña riesgo y no incluye datos sensibles ni penales; en la práctica, la mayoría necesita un registro. El artículo 25 exige protección de datos desde el diseño y por defecto: garantías integradas desde el principio y, por defecto, solo los datos necesarios.
Evaluaciones de impacto (EIPD)
El artículo 35 exige una EIPD antes de un tratamiento que probablemente entrañe un alto riesgo para las personas, en particular la evaluación sistemática y exhaustiva (elaboración de perfiles) con efectos significativos, el tratamiento a gran escala de datos sensibles o penales y la observación sistemática a gran escala de una zona de acceso público. Las autoridades de control publican listas de tratamientos que requieren EIPD. La EIPD describe el tratamiento, evalúa su necesidad y proporcionalidad y los riesgos para los interesados, y fija las medidas para afrontarlos. El responsable debe recabar el asesoramiento del DPD. Si tras mitigar persiste un alto riesgo, debe consultar a la autoridad de control antes del tratamiento (artículo 36).
Encargados y corresponsables
El encargado actúa únicamente siguiendo instrucciones documentadas del responsable. El artículo 28 exige un contrato vinculante que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento y los tipos de datos, con obligaciones de confidencialidad, seguridad, subencargados, asistencia con los derechos y las brechas, supresión o devolución al final y auditorías. Los corresponsables (artículo 26) deben fijar sus respectivas responsabilidades en un acuerdo cuyos aspectos esenciales se pongan a disposición de los interesados.
Ideas clave
- La mayoría de las organizaciones necesitan un registro de actividades, sea cual sea su tamaño.
- Hace falta una EIPD antes de un tratamiento probablemente de alto riesgo, con asesoramiento del DPD.
- Un alto riesgo que no se puede mitigar exige consulta previa a la autoridad de control.
- Toda relación con un encargado necesita un contrato conforme al artículo 28.
Compruebe lo aprendido
¿Quién realiza la EIPD: el DPD o el responsable?
Ver respuesta: El responsable; el DPD asesora y supervisa su aplicación.
Un proveedor cloud almacena sus expedientes de RR. HH. y solo actúa siguiendo sus instrucciones. ¿Qué es y qué necesita?
Ver respuesta: Un encargado del tratamiento; necesita un contrato conforme al artículo 28.