En la era digital, la protección de datos personales se está convirtiendo en una de las tareas principales para las empresas que interactúan con un gran número de particulares y con los datos personales de candidatos a puestos de trabajo y empleados. El control interno sobre el tratamiento de datos personales se refiere a las funciones críticas del Delegado de Protección de Datos (DPO). En este artículo, analizaremos cómo el DPO ejerce el control interno sobre el tratamiento de datos personales y destacaremos las etapas clave que le ayudan en esta función fundamental.
Es imposible que el DPO cumpla su función vital de control interno sobre el tratamiento de datos personales sin desempeñar otras funciones, en particular:
Tras ser nombrado para el puesto, el DPO suele ejercer el control interno sobre el tratamiento de los datos personales de la empresa. Para ello, el DPO puede actuar de forma secuencial según un plan (secuencia paso a paso). Por ejemplo:
Paso 1. Evaluar la eficacia del método elegido de tratamiento de datos personales.
El DPO puede definir un período (por ejemplo, un año natural u otro período) durante el cual supervisará el tratamiento de datos personales en todos los departamentos de la empresa.
Paso 2. Analizar los procesos de negocio relacionados con el tratamiento de datos personales.
Al implementar este paso, puede ser necesario redactar el procedimiento de interacción con los departamentos de la empresa en el tratamiento de datos personales (el registro de tratamiento de datos personales). En este documento se pueden definir, en particular, los procesos de tratamiento y los departamentos que llevan a cabo dichos procesos. También es lógico determinar la finalidad del tratamiento para cada proceso, la lista de categorías de datos personales tratados, la fuente de su obtención y el plazo de conservación.
Paso 3. Preparar proyectos de documentos o comprobar los documentos
En esta fase, el DPO prepara los proyectos de documentos que definen la política de la empresa operadora o de una persona autorizada para el tratamiento de datos personales, o comprueba si dichos documentos cumplen los requisitos en caso de que ya existan en la empresa. El DPO también comprueba que un número ilimitado de particulares tenga acceso a la política.
Pueden ser necesarias políticas separadas para diferentes procesos de negocio relacionados con el tratamiento de datos personales. Por ejemplo, se pueden desarrollar políticas individuales relativas al tratamiento de datos personales de los empleados, la videovigilancia y las cookies.
En la política o políticas es necesario indicar claramente (por ejemplo, en forma de tabla) la correlación entre los fines y las bases jurídicas del tratamiento de datos personales, los interesados, la lista de datos personales y el plazo de tratamiento.
El acceso de un número ilimitado de personas a la política está justificado cuando esta se refiere al tratamiento de datos personales de los visitantes del sitio web, usuarios de servicios, etc. Dicha política se publica en el sitio web de la empresa.
La política de tratamiento de datos de los empleados de la empresa no necesita ser publicada en el sitio web de la empresa. Basta con familiarizar a los empleados con ella, lo cual se realiza mediante su publicación en lugares públicos, incluidos los digitales.
Paso 4. Comprobar si los empleados y otras personas que tratan datos personales están familiarizados con los requisitos de protección, con las políticas y si se ha impartido la formación
Se comunican los requisitos de protección de datos personales, las políticas y las medidas de responsabilidad por infracciones en el tratamiento de datos a los empleados, así como a becarios y contratistas.
Los empleados que tratan datos personales suelen formarse en la propia empresa. No obstante, esto también puede realizarse en organizaciones como el Centro Nacional de Protección de Datos Personales.
Tras la formación, la empresa suele realizar una prueba de conocimientos de la forma que determine. Esta puede consistir, por ejemplo, en un test o una entrevista.
Paso 5. Comprobar si las obligaciones laborales de las personas que tratan datos personales se han complementado con disposiciones sobre el tratamiento de datos personales y la responsabilidad disciplinaria durante el tratamiento
Se comprueba si las descripciones de puestos de trabajo de las personas que tratan directamente datos personales contienen disposiciones que establecen que deben cumplir los requisitos de tratamiento de datos personales establecidos a nivel estatal y corporativo.
Paso 6. Determinar si se ha definido el procedimiento de acceso a los datos personales
El procedimiento de acceso a los datos personales puede constituir un documento único o varios cuando la empresa haya adoptado procesos de negocio separados y no superpuestos para el tratamiento de datos personales. Por ejemplo, al tratar datos personales en sistemas de información durante la videovigilancia, puede haber varios documentos sobre el procedimiento de acceso a los datos personales.
Paso 7. Verificar la existencia de protección técnica y criptográfica de la información
En caso de que la empresa posea recursos de información que contengan datos personales, es necesario comprobar si la lista de dichos recursos y las categorías de datos personales contenidos en ellos se mantienen actualizadas.
Paso 8. Comprobar si la lista de personas autorizadas está establecida y actualizada, en su caso
La lista de personas autorizadas se suele mantener en una tabla que detalla, en particular, a las personas autorizadas, los datos personales que tratan y los fines de su tratamiento.
Paso 9. Determinar si es obligatorio inscribir información en el Registro de Operadores de Datos Personales
Las empresas con recursos y sistemas de información en los que se traten datos personales no siempre deben inscribir información sobre dichos recursos y sistemas en el Registro de Operadores. Solo es necesario inscribir información en el Registro en determinados supuestos:
Paso 10. Comprobar cómo se registra la información sobre la transferencia de datos personales a terceros.
El registro de dicha información ayuda a proporcionar a los particulares información sobre el tratamiento de sus datos. Por lo general, para este fin se mantienen tablas en formato electrónico y sistemas de registro en recursos electrónicos. De estas fuentes debe desprenderse claramente a quién, cuándo y sobre qué base la empresa operadora transfirió los datos personales.
Paso 11. Comprobar si se ha definido el procedimiento de respuesta ante incidentes de vulneración de la protección de datos personales y de notificación al Centro Nacional de Protección de Datos Personales
El operador debe notificar al Centro Nacional de Protección de Datos Personales las violaciones de los sistemas de protección de datos personales de forma inmediata, a más tardar tres días hábiles después de que el operador tenga conocimiento de dichas violaciones.
Si la violación no conllevó la difusión ilícita de datos personales, su modificación o destrucción, no es necesario enviar una notificación.
Paso 12. Comprobar si se ha definido el procedimiento de almacenamiento, supresión y bloqueo de datos personales
La supresión de datos personales comprende acciones para destruir soportes de datos o acciones que den lugar a la imposibilidad de restaurar los datos personales en un recurso (sistema) de información. El orden de supresión depende del soporte en el que estén almacenados los datos personales. Al determinar el período de conservación de los datos personales, el Estado debe guiar el proceso estableciendo plazos de conservación de documentos.
Cumplir todos los pasos puede indicar que el tratamiento de datos personales en la empresa cumple en general con los requisitos establecidos. Sin embargo, no existe un enfoque único para todas las empresas operadoras. Cada empresa presenta sus propios riesgos; por lo tanto, al ejercer el control interno sobre el tratamiento de datos personales, es necesario contrastar las medidas adoptadas para proteger los datos personales con los riesgos inherentes a esta empresa en particular. Este enfoque se denomina «enfoque basado en el riesgo».
Mediante el control interno sobre el tratamiento de datos personales, el DPO puede detectar riesgos en procesos de negocio individuales. Las inspecciones del Centro Nacional de Protección de Datos Personales y las reclamaciones de los particulares relativas al tratamiento de sus datos también pueden identificar riesgos.
Basándose en esta información, el DPO informa a la dirección de la empresa sobre los riesgos del tratamiento de datos personales y propone medidas para minimizar dichos riesgos, complementando las medidas existentes de protección de datos personales.
Nuestros abogados y especialistas en seguridad de la información cuentan con experiencia en el control interno del tratamiento de datos personales y en la protección de la información relativa a estos datos.
Podemos ayudarle en lo siguiente:
Si tiene alguna pregunta o disputa relacionada con el control interno del tratamiento de datos personales, ¡estaremos encantados de ayudarle! Nuestra dilatada experiencia le ayudará a resolver cualquier controversia en esta materia.
En la actualidad, la confidencialidad y la protección de la información personal se han convertido en aspectos clave de la actividad empresarial. Habida cuenta de las estrictas exigencias normativas en materia de tratamiento de datos personales, las empresas deben asumir una alta responsabilidad y atención en esta materia. Este artículo analiza la relevancia del consentimiento […]
Cualquier empresa que trate datos personales de ciudadanos de la Unión Europea (UE) debe conocer las complejidades del Reglamento General de Protección de Datos (RGPD) en el sector de las TI en Bielorrusia. Mantener los estándares legales y éticos en la gestión de datos requiere comprender y cumplir los principios del RGPD para evitar multas […]
En la sociedad actual, se entiende por datos personales cualquier información que identifique directa o indirectamente a una persona física. En Bielorrusia, la normativa legal clasifica dentro de los datos personales no solo los identificadores estándar como el nombre completo, la fecha de nacimiento y la dirección, sino también la información biométrica (por ejemplo, huellas […]
