Muchas empresas deben auditar sus negocios y proyectos para saber si están cumplimiento con la normativa vigente. Existen muchos tipos de auditoria. Hoy vamos a tratar sobre la importancia de la auditoría de protección de datos.
El Reglamento General de Protección de Datos (REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016) y el Reglamento de Medidas de Seguridad de los Ficheros automatizados (Real Decreto 1720/2007) obligaban a una gran parte de las empresas a realizar auditorías en materia de protección de datos hasta mayo de 2018.
Una vez que dichas auditorias se han efectuado, estas mismas empresas están obligadas a hacer otra auditoria cada cierto tiempo; sobre todo, en aquellos casos en que las empresas tratasen datos de nivel medio y/o alto.
¿Por qué es importante la auditoría sobre protección de datos?
Siempre es bueno que se efectúen las diferentes auditorias, porque gracias a éstas conocemos que elementos estamos incumpliendo sobre esa materia y; en caso de inspección, no sufriremos sanciones económicas por su incumplimiento.
En concreto, en la materia de protección de datos, debemos comunicar que los responsables y encargados de tratamientos de ficheros personales están obligados a garantizar un nivel de seguridad adecuado al riesgo de los datos de su fichero (artículo 32.1d del RGPD).
Asimismo, es obligatorio que exista un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad de su tratamiento.
En palabras de Jorge Torres (Director General de Grupo Adaptalia): »La no realización de auditoria en protección de datos podría conllevar una sanción grave tal y como señala el artículo 73.f de la LOPDGDD».
De hecho, si la empresa tiene un DPD o Delegado de Protección de Datos, esta persona será la encargada y responsable de supervisar el cumplimiento de la normativa, así como establecer periodicidades de autorías por parte de agentes externos.
Aunque la normativa no establece una periodicidad para auditar en esta materia, es aconsejable que se realice periódicamente.
¿Qué información debe contener el informe de auditoría?
Todos los informes de auditorías deben contener información que ayude a la empresa para solventar aquellos elementos que no cumplen con la normativa vigente y; en caso que cumplan con todos los elementos, reseñarlos en un informe para que constituya prueba frente a terceros.
En materia de protección de datos el informe deberá de dictar las medidas adecuadas para que la empresa actualice todos los elementos de esta materia a la nueva normativa; así como identificar sus deficiencias y proponer soluciones o medidas correctoras.
Verificación y evaluación del RGPD
El Reglamento de RGPD establece que el Delegado de Protección de Datos o cualquier otro sujeto responsable del tratamiento de ficheros de la empresa es el responsable de llevar a cabo “el proceso de verificación y evaluación”.
Este proceso está sujeto bajo el principio de responsabilidad proactiva, que significa que el encargado del tiramiento de ficheros debe tener una actitud consciente, diligente y dinámica. Esa actitud no consiste unicamente en reaccionar cuando algo ocurre, sino en adelantarse a los acontecimientos. Por tanto, se trata de implantar la materia de protección de datos de una forma preventiva, que se actualice continuamente conforme se altera la normativa vigente.
Para cumplir con ese principio de proactividad, es necesario realizar auditorías para que éstas puedan sacar a la luz aquellas deficiencias existentes en materia de protección de datos. Asimismo, de forma indirecta, las auditorias nos ayudan a eludir sanciones, ya que nos adelantamos en resolver las deficiencias que se van originando.
Enrique Ruiz Prieto
¡Hola! Soy abogado, consultor jurídico de empresas y asesor fiscal y laboral. Amo los viajes, las historias y las narraciones, la tecnología, la justicia social y el emprendimiento. Si te gustan estos temas, te invito a quedarte y leer mi blog, donde te enseñaré a comprender el apasionante mundo del derecho y el funcionamiento de las tecnológicas digitales.
