¿Qué es el RGPD y la LOPDGDD?
El Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) regula el tratamiento de datos personales de las personas en la UE. Se aplica desde el 25 de mayo de 2018 y en España se complementa con la LOPDGDD (Ley Orgánica 3/2018); la autoridad de control es la AEPD.
Las infracciones más graves pueden sancionarse con hasta 20 millones de euros o el 4% del volumen de negocio anual mundial, la cantidad que sea mayor. En la práctica, las empresas suelen encontrarse con el RGPD en contratos con clientes, contratos de encargo de tratamiento y cuestionarios de seguridad.
¿Quién debe cumplir el RGPD?
- Cualquier organización establecida en la UE que trate datos personales
- Empresas de fuera de la UE que ofrecen bienes o servicios a personas en la UE o controlan su comportamiento (art. 3.2)
- Proveedores SaaS y empresas de TI que tratan datos por cuenta de clientes como encargados del tratamiento
- Áreas de RR. HH., marketing, comercio electrónico y salud que manejan datos de clientes o empleados
Qué comprueba la autoevaluación gratuita del RGPD
- Bases de legitimación del tratamiento y validez del consentimiento
- Registro de actividades de tratamiento (art. 30)
- Información a los interesados y atención de derechos: acceso, supresión, portabilidad, oposición
- Encargados del tratamiento y contratos (art. 28) y transferencias internacionales
- Seguridad del tratamiento (art. 32): control de accesos, cifrado, copias de seguridad
- Gestión de brechas de seguridad y notificación en 72 horas (arts. 33–34)
- Evaluación de impacto (art. 35) y delegado de protección de datos (art. 37)
Brechas típicas en la implantación del RGPD
La autoevaluación muestra cuáles le afectan antes de que un cliente o la AEPD lo pregunten.
- No existe un registro de actividades de tratamiento actualizado
- Faltan contratos de encargo con algunos proveedores, sobre todo herramientas SaaS
- No hay un procedimiento documentado para ejercicios de derechos ni para notificar brechas
- El consentimiento no es libre, específico o demostrable
- No hay plazos de conservación definidos y los datos se guardan indefinidamente
Evaluación, no certificación
No existe un certificado RGPD obligatorio. Clientes y autoridades buscan evidencias de que se cumplen los requisitos. La autoevaluación le da una visión estructurada de esas evidencias y de las brechas.
Para la parte de seguridad de la información, muchas empresas usan también ISO/IEC 27001 e ISO/IEC 27701. baltum.ai es un software independiente, no un organismo de certificación ni un despacho de abogados; la evaluación no es asesoramiento jurídico.