Conocer los tratamientos de la actividad
La protección de datos empieza por saber qué información personal se utiliza, para qué, de dónde procede y quién accede. Clientes, trabajadores, proveedores o usuarios de una web pueden plantear tratamientos y obligaciones diferentes.
Revisamos ese funcionamiento para identificar la documentación y las medidas que correspondan. Copiar una política de otra empresa no permite saber si describe tus procesos ni si existen obligaciones que todavía no se han atendido.
Información, legitimación y conservación
Cada finalidad necesita una base jurídica adecuada. El consentimiento no es la única posible ni resuelve por sí solo todas las obligaciones. También se estudia qué información debe facilitarse y cómo se acredita cuando sea necesario.
La conservación debe guardar relación con las finalidades, obligaciones y responsabilidades. No te comprometas a eliminar de inmediato cualquier dato ni conserves toda la información sin criterio. El trabajo puede incluir definir pautas para archivo, acceso y supresión, coordinadas con la operación de la empresa.
Proveedores y herramientas que tratan datos
Un servicio de nóminas, un CRM, un alojamiento web o una plataforma de comunicaciones puede implicar acceso a datos personales. Hay que determinar el papel de cada parte y qué contratos, instrucciones y garantías resultan necesarios.
Si existen transferencias internacionales, se analizan los mecanismos aplicables. Que una herramienta sea habitual o anuncie cumplimiento normativo no sustituye la revisión de cómo se utiliza y de los compromisos asumidos por la empresa.
Derechos e incidencias
Conviene disponer de un procedimiento para reconocer y tramitar solicitudes de acceso, rectificación u otros derechos. Debe poder identificarse la solicitud, verificar lo necesario y responder dentro del marco aplicable, sin pedir datos excesivos.
Ante una posible brecha de seguridad, la empresa necesita coordinar contención técnica y valoración jurídica. La obligación de notificar depende de las circunstancias y del riesgo. Si existe una incidencia en curso, indícalo al contactar; no adjuntes bases de datos ni contraseñas al formulario.
Riesgos y obligaciones específicas
La evaluación de impacto, la designación de un delegado o ciertas medidas reforzadas no se determinan solo por el tamaño de la plantilla. Importan la actividad y los tratamientos. El análisis debe identificar cuándo son exigibles y qué apoyo especializado hace falta.
El asesoramiento jurídico puede coordinarse con responsables técnicos, pero no equivale a una auditoría de ciberseguridad ni garantiza que nunca se produzca una brecha. Documentación, procesos y medidas reales deben mantener coherencia.
Cómo se concreta el trabajo
Para preparar una propuesta, describe la actividad, las herramientas principales, si hay personal y si ya existe documentación. Podemos delimitar una revisión inicial, documentos concretos, contratos con proveedores o apoyo periódico. Una web, un sistema de videovigilancia y una base de datos comercial no necesitan necesariamente el mismo trabajo.
Fuentes y fecha de revisión
Contenido contrastado el . La normativa y su aplicación pueden cambiar.