No todas las cuestiones de protección de datos requieren una adaptación completa. Analizamos consultas específicas relacionadas con tratamientos de datos personales, proveedores, nuevas tecnologías, derechos, contratos, videovigilancia, inteligencia artificial, brechas de seguridad y otras situaciones que necesitan una respuesta adaptada a la realidad de tu organización.
Solicitar asesoramiento RGPDEl Reglamento General de Protección de Datos afecta a numerosas decisiones que una empresa, profesional u organización adopta en su actividad diaria. Contratar un nuevo proveedor, implantar un programa de gestión, utilizar servicios en la nube, instalar cámaras, incorporar herramientas de inteligencia artificial, diseñar un formulario, responder a una solicitud de derechos o actuar ante una posible brecha de datos personales puede plantear cuestiones que necesitan ser analizadas desde la perspectiva de la protección de datos.
No todas estas situaciones requieren iniciar una adaptación completa al RGPD. En muchas ocasiones, la organización ya dispone de documentación y procedimientos, pero necesita asesoramiento especializado para resolver una cuestión concreta, valorar las implicaciones de una decisión o determinar cómo actuar ante una situación determinada.
En RGPD Málaga prestamos asesoramiento especializado en protección de datos para empresas, autónomos, profesionales y organizaciones que necesitan analizar este tipo de situaciones de forma individualizada.
El objetivo no es proporcionar una respuesta genérica, sino estudiar el contexto de la consulta, los tratamientos afectados, las categorías de datos utilizadas, las personas implicadas, los proveedores o tecnologías que intervienen y los posibles riesgos para determinar qué actuaciones pueden resultar necesarias.
El asesoramiento especializado RGPD es un servicio de consultoría destinado a analizar y resolver cuestiones concretas relacionadas con el tratamiento de datos personales.
Puede utilizarse, por ejemplo, cuando una organización necesita determinar:
qué implicaciones tiene un nuevo tratamiento de datos;
cuál puede ser la base jurídica adecuada para una determinada operación;
qué información debe facilitarse a las personas afectadas;
cómo debe responderse ante una solicitud de ejercicio de derechos;
qué aspectos deben revisarse antes de contratar un proveedor;
si una nueva herramienta tecnológica plantea riesgos adicionales;
cómo debe analizarse una posible brecha de datos personales;
si un determinado proyecto puede requerir una Evaluación de Impacto relativa a la Protección de Datos;
qué documentación debe modificarse después de un cambio concreto;
o cómo trasladar a la práctica una determinada obligación del RGPD.
Por tanto, el asesoramiento no consiste necesariamente en elaborar toda la documentación de protección de datos de una empresa. Su finalidad puede ser mucho más concreta: resolver correctamente una cuestión determinada y establecer qué actuaciones deben realizarse a partir de ella.
No.
El RGPD no establece una obligación general para las empresas, pymes o autónomos de contratar una consultora externa para cumplir la normativa.
La responsabilidad sobre el cumplimiento corresponde a la organización que actúa como responsable o encargado del tratamiento, según corresponda.
Una empresa puede gestionar internamente determinadas obligaciones de protección de datos si dispone de los conocimientos y recursos necesarios. También puede decidir recurrir a asesoramiento externo cuando la complejidad de sus tratamientos, sus recursos internos o una situación concreta hagan conveniente contar con apoyo especializado.
La contratación de una consultora tampoco traslada automáticamente a esta la responsabilidad que corresponde al responsable del tratamiento.
Por ello, nuestro servicio de asesoramiento parte del análisis de la situación real de la organización y no de la aplicación automática de un conjunto de documentos o soluciones idénticas para todos los clientes.
Dos empresas del mismo tamaño pueden necesitar respuestas completamente diferentes.
Una pequeña tienda que únicamente gestiona datos básicos de clientes, proveedores y trabajadores no presenta necesariamente el mismo contexto que una clínica, una academia, una empresa tecnológica, una inmobiliaria o una organización que realiza perfiles de usuarios.
Para responder correctamente a una consulta puede ser necesario conocer aspectos como:
la finalidad del tratamiento;
las categorías de personas afectadas;
los tipos de datos utilizados;
el volumen y alcance del tratamiento;
los sistemas de información empleados;
los proveedores que intervienen;
las comunicaciones de datos previstas;
la existencia de transferencias internacionales;
los plazos de conservación;
las medidas técnicas y organizativas existentes;
y los riesgos que el tratamiento puede generar para los derechos y libertades de las personas.
Esta información permite contextualizar el problema y evitar respuestas genéricas que podrían no ser adecuadas para la organización.
Una de las cuestiones que puede generar más dudas es determinar si un tratamiento de datos personales puede realizarse y sobre qué base jurídica debe sustentarse.
El consentimiento es una de las bases jurídicas previstas por el RGPD, pero no es la única ni debe utilizarse automáticamente para todos los tratamientos.
Dependiendo de las circunstancias, un tratamiento puede estar basado, entre otros supuestos, en la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, una misión realizada en interés público o el interés legítimo cuando concurran sus requisitos.
Por ello, antes de redactar una cláusula o solicitar un consentimiento conviene identificar correctamente:
qué datos se quieren tratar;
para qué finalidad;
quiénes son las personas afectadas;
qué relación existe con ellas;
y qué fundamento jurídico resulta aplicable.
El asesoramiento puede ayudar a analizar estas circunstancias y a trasladar la decisión adoptada a la información facilitada al interesado, al Registro de Actividades de Tratamiento y al resto de documentación afectada.
Una empresa puede incorporar nuevos tratamientos como consecuencia de cambios aparentemente cotidianos.
Por ejemplo:
implantar un programa de fidelización;
introducir un sistema de control de acceso;
utilizar una nueva plataforma de reservas;
crear una aplicación para clientes;
grabar llamadas;
instalar un sistema de videovigilancia;
utilizar herramientas de geolocalización;
implantar biometría;
incorporar inteligencia artificial;
utilizar sistemas de análisis de comportamiento;
o crear nuevas campañas y procesos comerciales.
Antes de poner en funcionamiento el nuevo tratamiento conviene analizar sus implicaciones.
La protección de datos desde el diseño exige precisamente integrar las garantías necesarias desde la fase de definición de un tratamiento, producto o servicio y no esperar a que el sistema esté completamente implantado para plantearse sus consecuencias.
La incorporación de inteligencia artificial y otras tecnologías puede modificar sustancialmente la forma en la que una organización trata información personal.
No toda utilización de inteligencia artificial implica automáticamente un tratamiento de alto riesgo ni exige las mismas actuaciones.
El análisis debe realizarse sobre el uso concreto.
Puede ser necesario estudiar cuestiones como:
qué datos se introducen en el sistema;
para qué se utilizan;
si existen datos personales o categorías especialmente protegidas;
quién presta el servicio;
dónde se procesan los datos;
durante cuánto tiempo se conservan;
si la información se utiliza para entrenar modelos;
si existen decisiones automatizadas o elaboración de perfiles;
qué información reciben los interesados;
qué controles humanos existen;
y qué riesgos pueden derivarse para las personas.
El asesoramiento previo permite integrar la protección de datos en el proyecto antes de que una herramienta quede incorporada a los procesos habituales de la organización.
La contratación de servicios externos es una fuente frecuente de consultas.
Servicios informáticos, hosting, almacenamiento cloud, software de gestión, asesorías, plataformas de correo electrónico, mantenimiento, videovigilancia o determinados servicios profesionales pueden acceder o tratar datos personales.
Sin embargo, no todo proveedor es automáticamente un encargado del tratamiento.
Debe analizarse qué servicio presta y cuál es su relación real con los datos personales.
Cuando un proveedor trata datos por cuenta del responsable, será necesario valorar, entre otros aspectos:
las garantías que ofrece;
las instrucciones aplicables al tratamiento;
las medidas de seguridad;
la confidencialidad;
las posibles subcontrataciones;
el destino de los datos cuando termina el servicio;
la asistencia al responsable;
y las condiciones exigidas por el artículo 28 del RGPD.
Podemos revisar contratos y condiciones de proveedores para detectar los aspectos que deben ser valorados antes de contratar o continuar utilizando un determinado servicio.
Utilizar un servicio en la nube no implica por sí mismo que exista una transferencia internacional de datos.
Sin embargo, determinados proveedores, infraestructuras, entidades del grupo empresarial o servicios de soporte pueden implicar accesos o transferencias que deben analizarse.
Cuando una empresa plantea utilizar una plataforma internacional conviene identificar:
qué entidades participan;
dónde se encuentran;
dónde se alojan o procesan los datos;
qué accesos internacionales pueden producirse;
qué mecanismo jurídico se utiliza cuando resulta necesario;
y qué información contractual proporciona el proveedor.
El análisis debe realizarse sobre la arquitectura y condiciones reales del servicio y no únicamente sobre la ubicación comercial de la empresa que lo ofrece.
Un cambio en los procesos de una organización puede hacer necesario crear o modificar determinadas actividades dentro del Registro de Actividades de Tratamiento.
La incorporación de un nuevo servicio, una nueva finalidad, categorías diferentes de datos, nuevos destinatarios, transferencias internacionales o modificaciones relevantes en los sistemas utilizados son ejemplos de circunstancias que pueden afectar al registro.
El RAT debe representar los tratamientos reales de la organización y no convertirse en un documento estático que deja de corresponderse con su actividad.
Puedes consultar nuestra página específica sobre el Registro de Actividades de Tratamiento .
Las decisiones relacionadas con protección de datos deben tener en cuenta los riesgos que los tratamientos pueden generar para los derechos y libertades de las personas.
El riesgo no debe limitarse a pensar únicamente en ataques informáticos.
También pueden existir consecuencias derivadas de:
accesos indebidos;
utilización de datos para finalidades incompatibles;
recogida excesiva de información;
conservación durante periodos injustificados;
divulgaciones no autorizadas;
perfiles incorrectos;
decisiones automatizadas;
pérdida de control sobre los datos;
vigilancia excesiva;
discriminación;
suplantación de identidad;
o utilización de tecnologías especialmente intrusivas.
Cuando una consulta afecta a un tratamiento nuevo o modifica sustancialmente uno existente puede ser necesario revisar el análisis de riesgos.
Puedes ampliar esta materia en nuestra página de Análisis de Riesgos RGPD .
El asesoramiento también puede utilizarse para determinar si un proyecto requiere una Evaluación de Impacto relativa a la Protección de Datos.
La EIPD no es necesaria automáticamente por utilizar datos personales ni por introducir una nueva tecnología.
Debe realizarse cuando un tipo de tratamiento, teniendo en cuenta su naturaleza, alcance, contexto y fines, pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas.
Por tanto, situaciones como el uso de inteligencia artificial, videovigilancia, geolocalización, datos de salud, datos de menores o elaboración de perfiles deben analizarse en su contexto y no tratarse automáticamente como equivalentes.
Cuando proceda, la evaluación debe realizarse antes de iniciar el tratamiento de alto riesgo.
Puedes consultar nuestra página dedicada a la Evaluación de Impacto relativa a la Protección de Datos .
Otra situación habitual aparece cuando una empresa necesita determinar qué medidas debe aplicar para proteger adecuadamente los datos personales.
El RGPD no establece una lista única de medidas idénticas para todas las organizaciones.
Las medidas deben seleccionarse teniendo en cuenta el tratamiento y sus riesgos.
Dependiendo del caso pueden intervenir controles de acceso, gestión de usuarios y privilegios, copias de seguridad, cifrado, seudonimización, procedimientos internos, formación, gestión de incidencias, recuperación, eliminación segura, control de proveedores y muchas otras medidas.
El asesoramiento puede utilizarse para analizar una cuestión concreta o determinar cómo debe integrarse una nueva medida dentro de los procesos existentes.
Dispones de información más amplia en nuestra página de Medidas Técnicas y Organizativas RGPD .
Una pérdida de información, un acceso indebido, un correo enviado al destinatario equivocado, el robo de un dispositivo, una infección informática o la exposición accidental de información pueden dar lugar a una posible brecha de datos personales.
Cuando ocurre un incidente es importante no asumir automáticamente ni que debe notificarse ni que puede ignorarse.
Primero debe analizarse qué ha sucedido.
Entre otras cuestiones, puede ser necesario determinar:
qué datos se han visto afectados;
cuántas personas pueden estar implicadas;
qué consecuencias podrían producirse;
si existían medidas de protección;
si el acceso o pérdida ha sido confirmado;
qué actuaciones de contención se han realizado;
y cuál es el riesgo para los derechos y libertades de las personas.
Cuando una brecha pueda entrañar un riesgo para los derechos y libertades de las personas, el RGPD establece su notificación a la autoridad de control sin dilación indebida y, de ser posible, dentro de las 72 horas desde que el responsable tenga constancia de ella.
Cuando sea probable que la brecha entrañe un alto riesgo, puede resultar además necesaria su comunicación a las personas afectadas, salvo que concurra alguna de las excepciones previstas por el RGPD.
Por ello, el análisis debe realizarse caso por caso y documentarse adecuadamente.
Las personas pueden ejercer los derechos reconocidos por la normativa de protección de datos y las organizaciones necesitan disponer de procedimientos para atender correctamente estas solicitudes.
Una petición puede plantear dudas sobre:
la identidad del solicitante;
el alcance de la información solicitada;
datos de terceras personas;
conservación de determinada información;
oposición a un tratamiento;
solicitudes de supresión;
limitación del tratamiento;
portabilidad;
o tratamientos automatizados.
No todas las solicitudes pueden resolverse simplemente eliminando o entregando información.
Es necesario analizar el derecho ejercitado, las circunstancias del tratamiento y las posibles limitaciones o excepciones aplicables.
El asesoramiento especializado permite estudiar solicitudes concretas y determinar la respuesta que corresponda.
La instalación o modificación de sistemas de videovigilancia puede plantear cuestiones relacionadas con la legitimación, proporcionalidad, ubicación de cámaras, información a las personas, acceso a las grabaciones, conservación o cesión de imágenes.
No todos los sistemas tienen las mismas características.
Puede ser especialmente importante analizar sistemas que incorporen:
grabación de audio;
analítica avanzada;
reconocimiento o identificación;
acceso remoto;
almacenamiento cloud;
cámaras orientadas hacia espacios públicos;
control laboral;
o tecnologías adicionales.
Por ello, antes de instalar o modificar un sistema conviene estudiar su finalidad y configuración concreta.
La gestión laboral implica numerosos tratamientos de datos personales.
Control horario, nóminas, prevención de riesgos, selección de personal, correo corporativo, dispositivos de empresa, teletrabajo, videovigilancia, geolocalización o controles de acceso son algunos ejemplos.
La existencia de una relación laboral no elimina las obligaciones de protección de datos ni significa que todas las operaciones necesiten consentimiento del trabajador.
Cada tratamiento debe analizarse conforme a su finalidad y fundamento jurídico, teniendo en cuenta además las normas específicas que puedan resultar aplicables en el ámbito laboral.
Una página web puede incorporar numerosos tratamientos y servicios externos.
Formularios de contacto, registros de usuarios, comercio electrónico, newsletters, analítica, publicidad, mapas, vídeos incrustados, chats, sistemas antifraude, plataformas de reservas o herramientas de terceros pueden requerir diferentes análisis.
La revisión puede comprender cuestiones como:
información de privacidad;
formularios;
bases jurídicas;
proveedores;
cookies y tecnologías similares;
transferencias internacionales;
conservación de datos;
comunicaciones comerciales;
y configuración de servicios externos.
El objetivo es analizar qué ocurre realmente en la web y no limitarse a insertar textos legales genéricos.
Una organización puede estar correctamente adaptada y, sin embargo, introducir posteriormente cambios que modifiquen sus tratamientos.
Por ejemplo:
abrir una nueva línea de negocio;
crear una tienda online;
comenzar a prestar servicios a menores;
contratar trabajadores;
instalar cámaras;
cambiar el software de gestión;
migrar a la nube;
incorporar inteligencia artificial;
internacionalizar servicios;
o contratar nuevos proveedores.
En estos casos, una consulta especializada puede determinar qué elementos del sistema de cumplimiento deben revisarse.
Cuando los cambios afectan de manera amplia al sistema de protección de datos puede resultar más apropiado realizar una actualización RGPD completa.
Recibir una comunicación o requerimiento relacionado con protección de datos requiere estudiar exactamente qué se solicita, los hechos que lo originan y la documentación disponible.
El asesoramiento puede ayudar a:
identificar el alcance del requerimiento;
localizar la documentación relacionada;
revisar los tratamientos afectados;
ordenar las evidencias existentes;
detectar posibles deficiencias;
y preparar técnicamente la información necesaria para responder.
Cuando la cuestión exceda nuestro ámbito de actuación o requiera representación o defensa jurídica especializada, deberá valorarse la intervención del profesional jurídico correspondiente.
No todas las organizaciones necesitan el mismo nivel de asistencia.
Una empresa puede requerir una consulta puntual para resolver una cuestión específica y continuar posteriormente gestionando el cumplimiento con sus propios recursos.
Otras organizaciones prefieren disponer de apoyo recurrente para consultar cambios, nuevos proyectos, proveedores, incidencias o decisiones relacionadas con protección de datos.
Por ello, el asesoramiento puede plantearse como:
Indicada cuando existe una cuestión claramente delimitada que necesita análisis.
Adecuada cuando la consulta afecta a varios elementos y requiere estudiar documentación, proveedores, tratamientos o tecnologías.
Útil para organizaciones que generan de forma recurrente nuevas cuestiones de protección de datos y desean disponer de apoyo especializado.
El alcance debe definirse en función de las necesidades reales de cada organización.
Es importante diferenciar estos servicios.
Resuelve una consulta, situación, proyecto o decisión concreta relacionada con protección de datos.
Construye o reconstruye de manera integral el sistema de cumplimiento de una organización.
Si tu empresa necesita implantar su sistema desde el principio o revisar profundamente una adaptación insuficiente, consulta Adapta tu negocio al RGPD.
Revisa un sistema existente cuando la actividad, tratamientos, tecnologías, proveedores o riesgos han cambiado.
Puedes consultar nuestro servicio de Actualización RGPD en Málaga.
Evalúa la situación existente para comprobar el grado de adecuación, identificar deficiencias y establecer actuaciones de mejora.
Estos servicios pueden relacionarse entre sí, pero responden a necesidades diferentes.
Contar con apoyo especializado puede facilitar la interpretación y aplicación de la normativa, pero la organización continúa teniendo sus propias responsabilidades como responsable o encargado del tratamiento.
El asesoramiento tampoco debe convertirse en una colección de documentos que la empresa conserva sin conocer su contenido.
Para que resulte útil es necesario que las recomendaciones puedan trasladarse a los procesos reales de la organización.
Esto puede implicar decisiones internas, cambios técnicos, modificación de procedimientos, formación del personal, revisión de proveedores o actualización de documentación.
La protección de datos debe funcionar en la práctica.
El principio de responsabilidad proactiva exige que las organizaciones no se limiten a reaccionar cuando aparece un problema.
Deben conocer sus tratamientos, valorar sus riesgos, adoptar medidas apropiadas y estar en condiciones de demostrar el cumplimiento.
El asesoramiento especializado puede formar parte de este proceso cuando ayuda a una organización a analizar previamente una decisión, resolver una incidencia, revisar un nuevo proyecto o determinar qué medidas necesita adoptar.
Puedes ampliar este concepto en nuestra página sobre Responsabilidad Proactiva RGPD.
Antes de introducir información de clientes, trabajadores o usuarios, analizamos qué datos se utilizarán, qué proveedor presta el servicio, para qué finalidad se utilizarán, qué condiciones ofrece la plataforma, si existen transferencias internacionales y qué riesgos pueden aparecer.
El resultado puede determinar cambios de configuración, restricciones de uso, información a los interesados, actualización documental o la necesidad de realizar análisis adicionales.
El cambio puede afectar a datos de salud y a otros datos personales.
Será necesario estudiar al proveedor, el acceso a la información, las medidas de seguridad, la migración de datos, las copias de seguridad, los posibles subencargados y las condiciones contractuales.
No debe asumirse automáticamente que toda la información debe eliminarse.
Debe analizarse qué datos existen, para qué se conservan, si existe alguna obligación o fundamento que justifique mantener determinada información y qué respuesta corresponde facilitar al solicitante.
Se analiza si el incidente constituye una brecha de datos personales, qué información se ha visto afectada, cuáles pueden ser las consecuencias para las personas y si procede adoptar medidas adicionales, notificar a la autoridad de control o comunicar la situación a los afectados.
Se estudia la finalidad, ubicación y campo de visión de las cámaras, la proporcionalidad del sistema, la información necesaria, el acceso a las imágenes, la conservación y las características técnicas del servicio.
Cada caso requiere estudiar sus circunstancias concretas.
Definimos exactamente qué cuestión necesita resolver la organización.
Solicitamos la información y documentación necesaria para comprender el tratamiento, proyecto o situación.
Estudiamos las finalidades, datos, interesados, proveedores, tecnologías y riesgos relacionados con la consulta.
Identificamos las obligaciones y criterios aplicables al caso.
Establecemos las actuaciones que consideramos necesarias o recomendables según las circunstancias analizadas.
Si la consulta afecta a documentos, procedimientos o registros existentes, determinamos qué elementos deben crearse o modificarse dentro del alcance contratado.
Cuando la naturaleza del asunto lo requiere, podemos revisar la implantación de las actuaciones propuestas o resolver cuestiones derivadas de ellas.
Puede ser especialmente útil cuando:
vas a iniciar un nuevo tratamiento;
vas a contratar una plataforma tecnológica;
tienes dudas sobre una base jurídica;
necesitas responder a una solicitud de derechos;
quieres utilizar inteligencia artificial;
vas a instalar o modificar videovigilancia;
has sufrido un incidente de seguridad;
necesitas revisar un contrato con un proveedor;
vas a migrar datos a un servicio cloud;
vas a cambiar un procedimiento interno;
tienes dudas sobre conservación de información;
quieres implantar una nueva herramienta de recursos humanos;
necesitas analizar una posible transferencia internacional;
has recibido un requerimiento relacionado con protección de datos;
o existe cualquier otra decisión que pueda afectar al tratamiento de datos personales.
Prestamos asesoramiento especializado en protección de datos a empresas, autónomos, profesionales y organizaciones de distintos sectores.
El tamaño de una organización no determina por sí solo la complejidad de sus tratamientos.
Una pequeña empresa puede utilizar tecnologías o tratar categorías de datos que requieran un análisis detallado, mientras que una organización de mayor tamaño puede plantear consultas muy concretas.
Por ello, el punto de partida siempre debe ser el mismo: entender qué está ocurriendo realmente y qué cuestión necesita resolverse.
El objetivo del asesoramiento especializado no es añadir documentación innecesaria ni convertir cualquier consulta en un proyecto completo de adaptación.
Una cuestión concreta debe recibir una respuesta proporcionada a su alcance.
Y cuando el análisis revela que el problema afecta a otras partes del sistema de cumplimiento, debe identificarse con claridad para que la organización pueda decidir las actuaciones necesarias.
La protección de datos no consiste en acumular documentos. Consiste en tomar decisiones fundamentadas, aplicar las medidas apropiadas y poder demostrar que los tratamientos de datos personales se gestionan de forma responsable.
Puede ser útil cuando una empresa, autónomo u organización necesita resolver una cuestión concreta relacionada con el tratamiento de datos personales. Por ejemplo, antes de implantar una nueva tecnología, contratar un proveedor, utilizar inteligencia artificial, instalar videovigilancia, responder a una solicitud de derechos, analizar una posible brecha de datos o modificar un tratamiento existente.
No existe una obligación general para las empresas, pymes o autónomos de contratar una consultora externa de protección de datos. La organización puede gestionar internamente sus obligaciones si dispone de los conocimientos y recursos necesarios o recurrir a asesoramiento externo cuando lo considere adecuado. La contratación de una consultora tampoco elimina las responsabilidades que correspondan al responsable o encargado del tratamiento.
El asesoramiento especializado está pensado para analizar una consulta, proyecto, incidencia o decisión concreta. Una adaptación RGPD tiene un alcance más amplio y pretende construir o reconstruir el sistema de cumplimiento de la organización, analizando sus tratamientos, documentación, riesgos, proveedores, procedimientos y medidas aplicables.
Sí. Podemos analizar las implicaciones de protección de datos relacionadas con la utilización de una nueva aplicación o proveedor, incluyendo el tratamiento realizado, las funciones del proveedor, las condiciones contractuales, las medidas de seguridad, los posibles subencargados y las transferencias internacionales cuando resulten aplicables. La valoración debe realizarse sobre el servicio y uso concretos.
Sí. El análisis puede estudiar qué datos se utilizarán, la finalidad del tratamiento, el proveedor y funcionamiento del servicio, las posibles transferencias, la conservación de información, la elaboración de perfiles o decisiones automatizadas cuando existan y los riesgos para las personas. Las actuaciones necesarias dependerán del uso concreto de la herramienta.
Sí. El ejercicio de derechos puede plantear cuestiones sobre la identidad del solicitante, el alcance de la solicitud, datos de terceras personas, obligaciones de conservación o posibles limitaciones. Podemos analizar la situación concreta para determinar qué actuaciones corresponden y cómo debe gestionarse la solicitud.
Lo primero es analizar el incidente y adoptar las medidas necesarias para contenerlo cuando sea posible. Debe determinarse qué datos y personas pueden estar afectados y evaluar el riesgo para sus derechos y libertades. No todas las brechas deben notificarse automáticamente a la AEPD; la necesidad de notificación y, en determinados casos, de comunicación a los afectados depende del riesgo existente.
Puede plantearse de ambas formas. Una organización puede necesitar únicamente resolver una consulta concreta o requerir acompañamiento recurrente para revisar nuevos proyectos, proveedores, tecnologías, incidencias o cambios que afecten al tratamiento de datos personales. El alcance del servicio se determina en función de las necesidades de cada organización.
Cuéntanos qué necesitas analizar. En RGPD Málaga estudiamos consultas relacionadas con tratamientos de datos personales, proveedores, nuevas tecnologías, inteligencia artificial, derechos, videovigilancia, brechas de datos y otros aspectos del cumplimiento para ayudarte a determinar qué actuaciones corresponden en tu situación.
Solicitar asesoramiento RGPD