Una pequeña muestra de los errores cometidos durante el primer año de RGPD

  1. Contratar a encargados del tratamiento que no ofrecen garantías suficientes.
  2. Aceptar cláusulas de limitación de responsabilidad de los encargados del tratamiento.
  3. Delegar la selección y homologación de encargados del tratamiento a Compras sin las instrucciones adecuadas.
  4. Seleccionar a los encargados del tratamiento tomando como único criterio el coste del servicio.
  5. Aceptar que un encargado del tratamiento tiene la ISO 27001 sin verificar su alcance real.
  6. Solicitar el consentimiento a los clientes y a los interesados con contrato.
  7. Solicitar el consentimiento a los trabajadores.
  8. Facilitar información incompleta a los trabajadores sobre los datos que la empresa trata y sobre todas las finalidades de los tratamientos que realiza con sus datos.
  9. Aplicar una política de uso de dispositivos móviles basada en el BYOD.
  10. Nombrar a un DPO y no dotarlo de recursos suficientes.
  11. Aplicar el interés legítimo como base de legitimación sin la debida ponderación.
  12. Realizar la ponderación del interés legítimo de manera inadecuada.
  13. No conservar una prueba documental de la ponderación del interés legítimo.
  14. Notificar como brecha un incidente de seguridad que no ha generado riesgos para los interesados.
  15. Desarrollar un detallado protocolo de notificación de brechas y no disponer de un protocolo para verificar si realmente hay que notificar la brecha.
  16. Elaborar un registro de actividades del tratamiento excesivamente extenso, sin agrupar e imposible de gestionar y actualizar.
  17. Aplicar un proceso de desvinculación de trabajadores inadecuado, especialmente en los departamentos comerciales y de marketing, sin ningún tipo de control sobre los datos que se llevan o se han llevado.
  18. Devolver los equipos informáticos al finalizar el renting sin un procedimiento adecuado de eliminación de los datos, y, en la medida de lo posible, mediante la extracción del disco duro.
  19. Aceptar el certificado de destrucción de documentos o soportes con datos como única prueba de su destrucción.
  20. Aceptar que todavía haya departamentos de Marketing que inician campañas de marketing directo sin aplicar el procedimiento de privacy by design y sin contar con la validación jurídica correspondiente. O solicitándola el día antes del lanzamiento de la campaña.

Datos y conclusiones de las notificaciones relativas a brechas de seguridad realizadas a la AEPD desde el 25/05/18

Analizar los datos relativos a las brechas de seguridad que se han notificado hasta ahora a la AEPD puede ayudarnos a conocer las causas más habituales de los incidentes de seguridad y a identificar las medidas más eficaces para prevenirlas.

Desde el 25 de mayo de 2018 hasta el 31 de marzo de 2019, los datos publicados por la AEPD indican que el número de notificaciones relativas a brechas de seguridad recibidas por dicha Agencia superan las 800. Este número parece bajo si tienen en cuenta los siguientes escenarios que pueden ser considerados como una brecha de seguridad con violación de la confidencialidad de los datos:

  1. Cada vez que se pierde o es objeto de hurto o robo un dispositivo informático, la probabilidad de que contenga datos personales es alta.
  2. Cada vez que un empleado es víctima de un ataque que utiliza la ingeniería social, incluyendo el engaño, la suplantación de identidad, el phishing para acceder a datos o para instalar malware, la probabilidad de que este ataque genere una brecha de seguridad es alta.
  3. Cada vez que un empleado causa baja en una organización, especialmente en las áreas de marketing y comercial, la probabilidad de que conserve datos en su poder de forma no autorizada es alta.

Origen de las notificaciones

De acuerdo con los datos de la AEPD, el número de notificaciones realizadas por organizaciones privadas es muy superior al de las realizadas por organizaciones públicas.

Tipología de las brechas de seguridad

Podemos apreciar que la gran mayoría de las notificaciones se refieren a violaciones de la confidencialidad de los datos, es decir, a incidentes de seguridad que han permitido un acceso no autorizado o una divulgación no autorizada de los datos personales. Ello permite actualizar el mapa de riesgos y optimizar el esfuerzo realizado en medidas de seguridad, confirmando que los riesgos que tienen mayor probabilidad son los relacionados con la confidencialidad de los datos. También permite acumular los esfuerzos realizados en materia de protección de los activos intangibles a las medidas derivadas de la reciente normativa relativa a los secretos empresariales.

Medios de materialización de las brechas de seguridad

Se confirma la sospecha de que el usuario sigue siendo el elemento más débil de la seguridad. Si analizamos los medios de materialización de las brechas de seguridad y agrupamos los que se tienen como origen un descuido, un engaño o cualquier otro escenario en la que la actuación del usuario puede provocar o facilitar la brecha de seguridad, veremos que son la mayoría. Por ello es necesario seguir reforzando la inversión en formación y concienciación. También es importante tener en cuenta que la violación de la confidencialidad puede producirse de manera verbal.

Contexto y nivel de intencionalidad

Se puede comprobar que cuando el origen es interno, los incidentes provienen generalmente de un descuido o de otras causas no intencionadas. Por el contrario, cuando el origen es externo, la mayor parte de los incidentes son intencionados. Entendemos que los incidentes externos no intencionados provienen en su mayoría de los encargados del tratamiento que no han invertido suficientes medidas de seguridad para la protección de los datos tratados. Ello confirma la necesidad de extremar el control sobre los proveedores críticos y de verificar el alcance real de las certificaciones ISO 27001 aportadas.

NOTA: pueden producirse pequeñas discrepancias en la suma de cada tabla a causa de la conversión de porcentajes a unidades en relación a los datos de origen del año 2018.

FUENTE DE LOS DATOS: Agencia Española de Protección de Datos.

 

Acciones a realizar por un DPO con recursos insuficientes

Son muchas las empresas que han nombrado un DPO y no lo han dotado de recursos suficientes para realizar su función. En este artículo analizaremos las acciones que puede realizar el DPO para superar esta situación, agrupándolas en dos apartados: (1) En un mundo ideal, en el que se platean las acciones que un DPO puede desarrollar en un plano teórico y (2) En el mundo real, en el que comentamos las acciones más prácticas que puede realizar un DPO al que no le queda otra opción que adaptarse a un esquema low cost.

EN UN MUNDO IDEAL

Infracción grave

El artículo 38.2 del RGPD, impone al responsable del tratamiento la obligación de facilitar al DPO los recursos necesarios para el desempeño de sus funciones. El incumplimiento de esta obligación es una infracción grave, prevista en el artículo 83.4.a del RGPD.

Es evidente que el DPO no va a denunciar a la empresa que lo ha contratado, pero al menos puede argumentar que la asignación de recursos insuficientes a un DPO es una infracción tan grave como no tener DPO, cuando es exigible su nombramiento. Este argumento se basa en la necesidad de dar coherencia al nombramiento del DPO, dándole recursos para evitar que su función quede sin cumplir. También se basa en el riesgo de que la insuficiencia de recursos quede acreditada en una inspección de la autoridad de control y se imponga la correspondiente sanción.

Posición correcta

Otra acción a realizar en el plano teórico es verificar que la posición del DPO en el organigrama de la empresa es la adecuada. De acuerdo con el artículo 38.3 del RGPD el DPO rendirá cuentas directamente al más alto nivel jerárquico y no recibirá ninguna instrucción en lo que respecta al desempeño de sus funciones. Si el DPO no está en esa posición, su independencia no está garantizada y se producirá una infracción grave del RGPD, al incumplir las obligaciones establecidas en el artículo 38 del RGPD.

En la rendición de cuentas, el DPO puede reiterar la necesidad de contar con más recursos, o de ocupar una posición más cercana al nivel jerárquico más alto, dejando constancia del riesgo de infracción grave del RGPD en ambos casos.

Delegación de autoridad

Otra anomalía consiste en que el DPO no tenga la autoridad suficiente, tanto a nivel jurídico como práctico. Ello se traducirá en una escasa eficacia de las instrucciones dirigidas al negocio, de la actividad de supervisión y de la aplicación del principio de privacidad desde el diseño. Un ejemplo clásico es el de las campañas de marketing que se diseñan, se elaboran sin contar con el DPO hasta la fase final, previa al lanzamiento.

En este caso el DPO debe realizar un esfuerzo adicional para demostrar la utilidad de la labor preventiva, sensibilizando al negocio sobre la necesidad de revisar con suficiente antelación cualquier iniciativa que pueda tener impacto en materia de privacidad. La delegación de autoridad debe contribuir al objetivo de que el negocio tenga un nivel de sensibilización y alerta adecuado sin tener que recurrir a mensajes apocalípticos ni al constante envío de noticias sobre incidentes de seguridad e infracciones en otras empresas. Aunque ello sigue siendo bastante efectivo en la práctica.

Justificación del presupuesto

Siguiendo en el plano teórico e ideal, el presupuesto del DPO se puede justificar fácilmente siguiendo los siguientes pasos:

  1. Elaboración de una lista de tareas a realizar, clasificándolas en función del nivel de criticidad y de la gravedad de las infracciones que pretenden evitar.
  2. Cuantificación de la carga de trabajo del DPO a través de la asignación de un tiempo estimado de dedicación a cada tarea.
  3. Suma del total de horas necesarias para realizar las tareas recurrentes y puntos de verificación.
  4. Cálculo del equipo necesario para realizar las tareas seleccionadas, teniendo en cuenta que cada persona dedica toda su jornada laboral a esta función, es decir, entre 1.700 y 1.800 horas al año.

En la lista de 364 tareas derivadas del RGPD elaborada por nuestro despacho, la suma total del tiempo de dedicación asciende a más de 4.000 horas al año, lo cual sugeriría un equipo ideal de al menos 2 personas a jornada completa para una gran empresa. Estas cifras pueden cambiar en función del sector al que pertenece la empresa (B2B o B2C) y del número de empresas que formen el grupo.

Estos pueden ser los datos a utilizar en el momento de justificar y negociar el presupuesto. Otra cosa es conseguirlo.

Cabe añadir que la externalización total o parcial de las funciones del DPO puede permitir un ahorro importante gracias a la especialización en la materia y al uso de una metodología orientada a la eficiencia operativa.

Comparativa con otros riesgos de incumplimiento

Cabe añadir a la lista de argumentos el hecho de que la normativa de protección de datos ha llegado a un nivel de complejidad, probabilidad e impacto que no tiene nada que envidiar a otras normativas, como la tributaria o la laboral. Si la prevención de los riesgos tributarios, contables, laborales y societarios tienen asignados unos recursos internos y externos proporcionados a su complejidad, probabilidad e impacto potencial, es lógico que el DPO también cuente con recursos similares.

Sensibilización de los directivos que tienen que aprobar el presupuesto

Dado que estamos hablando de cumplimiento normativo, en la tarea de concienciación de los directivos que tienen que aprobar su presupuesto, el DPO puede aprovechar algunos de los 25 argumentos que en su día elaboramos para el Compliance Officer.

EN EL MUNDO REAL

Creación de una estructura de control

Si el DPO no consigue presupuesto para disponer de un equipo propio o externo, deberá recurrir a los recursos internos de la empresa. Ello significa utilizar la estructura de control ya existente, estableciendo una colaboración directa con los responsables de las distintas funciones de control, siempre que ello no afecte a su independencia ni genere conflictos de interés.

Otra opción consiste en que el DPO cree su propia estructura de control. Para ello puede solicitar la colaboración de los responsables internos de cada tratamiento, a los que identificó en el momento de realizar el registro de actividades de tratamiento. Estos responsables deben asumir la ejecución de cada tarea o delegarla a otros miembros de su equipo.

Si el DPO no ha conseguido la suficiente delegación de autoridad, deberá utilizar habilidades de comunicación y persuasión que le permitan conseguir la colaboración de los distintos departamentos en la creación de la estructura de control.

Asignación de tareas periódicas

Una vez creada la estructura interna de control, habrá que distribuir las tareas relacionadas en la lista de tareas recurrentes y puntos de verificación antes comentada. La asignación de estas tareas requerirá la correspondiente formación, que puede impartirse de forma presencial o a través de fichas, manuales o tutoriales en vídeo que puede elaborar el propio DPO. También puede utilizar los elaborados por nuestro despacho.

Seguimiento de la ejecución de las tareas

Al delegar una buena parte de las tareas recurrentes, el DPO podrá destinar más tiempo al seguimiento y a la supervisión de su ejecución. Este trabajo puede hacerse de forma manual o incluso se puede automatizar con aplicaciones genéricas de gestión de proyectos o con aplicaciones especializadas como Compliance 3.0.

Recogida de evidencias

Finalmente, y de acuerdo con el principio de responsabilidad proactiva establecido en el artículo 5.2 del RGPD, el DPO deberá utilizar la estructura de control creada para obtener las pruebas que acrediten la ejecución de las acciones de prevención y control, así como el cumplimiento del RGPD y de la LOPD. La conservación ordenada de estas pruebas puede realizarse a través de un sistema de gestión documental genérico o a través de un repositorio de evidencias especializado y con sellado de tiempo automático, como el de la aplicación Compliance 3.0.

La creación de una cultura de cumplimiento en materia de protección de datos es un objetivo que necesita un tiempo de maduración cuya duración depende mucho del sector al que pertenece la empresa. Mientras se alcanza el nivel de madurez apropiado, el DPO puede argumentar que los recursos destinados al cumplimiento del RGOD y la LOPD no son un gasto únicamente asociado al cumplimiento, sino también una inversión destinada a proteger otros activos intangibles que conviven con los datos personales en los mismos sistemas informáticos: la información confidencial, la información privilegiada, la propiedad intelectual y la propiedad industrial.

 


 

ACTUALIZACIÓN – 09/03/2019

Añado al artículo las aportaciones de Jordi Civit, al que agradezco su colaboración.

Nombramiento voluntario del DPO

En el supuesto que el nombramiento del DPO haya sido voluntario, por no cumplir con las exigencias que establece el Reglamento, cabe recordar que la gravedad del incumplimiento es la misma ya que en el caso de dicha designación voluntaria le atienden las mismas obligaciones al responsable del tratamiento.

Relación de controles asignados a los responsables

Como último recurso, cabría la posibilidad que el DPO defina una relación de controles a llevar a cabo por parte de los Responsables de las diferentes actividades de tratamiento de la organización con objeto de remitir una autoevaluación de controles que deban ser valorados de forma objetiva por su parte. De esta forma se conseguirían dos objetivos, i) el DPO demostraría diligencia en la supervisión y asesoramiento de la organización en cuanto el cumplimiento normativo y; ii) el Responsable del tratamiento sería consciente de las obligaciones que le atienden así como de las acciones que debería llevar a cabo (son los controles) para alinearse con la regulación.

Reputación empresarial

Adicionalmente, y como activo intangible más importante a proteger por parte de las organizaciones estaría la REPUTACIÓN EMPRESARIAL.
¿Se ha parado su organización a reflexionar sobre la dificultad de conseguir la fidelidad de sus consumidores? La confianza es una labor que se trabaja día a día, y que cuesta mucho alcanzar pero cuesta muy poco perder.

Jornadas de sensibilización

En aquellas organizaciones donde sea difícil evidenciar el valor de la función del DPO, es recomendable que se realicen jornadas de sensibilización con la Dirección o las diferentes áreas que componen la organización.
El hecho de realizar una jornada específica puede dificultar la captación de la atención, es por ello que es recomendable participar como un ponente más en jornadas de reuniones departamentales o ejecutivas que puedan realizarse. En dicho foro, es el momento de exponer los objetivos de la organización en materia de Privacidad, las obligaciones que nos atienden por nuestra práctica sistemática así como los riesgos a los que estamos sujetos.
A la hora de mostrar la debida diligencia, por parte del DPO, es importante mantener un registro de los asistentes y la duración de dichas jornadas.
Como se comentaba anteriormente, es importante una adecuada gestión de la comunicación con las Direcciones de las diferentes áreas de negocio con objeto de que vean con buenos ojos la participación en dichas reuniones, así como evidenciar el beneficio que les pueda suponer a ellos como responsables de las actividades de tratamiento de la organización.

Publicar Infografía o resúmenes periódicos

La gestión de la comunicación es un factor fundamental para ir creando las estructuras de control necesarias en las organizaciones. Una acción bastante sencilla y que puede tener una gran repercusión es la creación de breves resúmenes con aspectos más relevantes a tener en cuenta en la operación habitual de la organización. Incluso, se podrían desarrollar una relación de DO’s & DONT’s a llevar a cabo por cada una de las áreas de negocio en base al nivel de aplicación del reglamento en sus tratamientos de datos. Si se dispone de un portal interno, o repositorio común de información, es importante que se publique y se encuentre dicha información disponible para consulta de todos los colaboradores.

Atrapados entre las reclamaciones de los interesados y las limitaciones de responsabilidad de los encargados del tratamiento

Si hacemos un análisis de las brechas de seguridad que se han conocido desde el 25 de mayo veremos que un gran número de ellas han tenido su origen en el proveedor que trataba los datos.

En el momento de distribuir las responsabilidades veremos que el incumplimiento de las obligaciones del proveedor encargado del tratamiento puede afectar al responsable del tratamiento que ha contratado sus servicios. 

El responsable del tratamiento tiene la obligación de contratar proveedores que ofrezcan garantía suficientes (culpa in eligendo) y controlar su actividad, llegando a auditarlos en el caso de los proveedores críticos (culpa in vigilando)

En la siguiente tabla se puede ver cómo podrían distribuirse las responsabilidades entre el responsable y el encargado del tratamiento en cada uno de los escenarios en los que puede incurrir un proveedor.

Esta tabla no contempla las posibles acciones penales derivadas de un eventual delito contra la intimidad en el caso de violación de la confidencialidad o de un delito de daños en el caso de violación de la integridad.

 

En la práctica, la empresa responsable del tratamiento será la que tendrá que hacer frente a las reclamaciones de los interesados, por ser la que tiene legitimación pasiva en virtud del contrato suscrito con ellos.

Salvo en el caso de las excepciones contempladas en la tabla anterior, el interesado no tiene acción directa contra el encargado del tratamiento, por lo que si quiere reclamar los daños y perjuicios sufridos tendrá que demandar al responsable del tratamiento, que es el que tiene una relación contractual con el interesado. 

El problema surge cuando el responsable del tratamiento quiere repercutir al encargado del tratamiento las sanciones de la AEPD y las indemnizaciones pagadas a los interesados, ya que puede encontrar limitaciones de responsabilidad en el contrato o limitaciones de cobertura en la póliza de seguros del proveedor.

La empresa responsable del tratamiento puede verse entonces atrapada entre las reclamaciones de los perjudicados y las limitaciones de responsabilidad del proveedor que ha incumplido el RGPD y ha causado el perjuicio a los interesados. 

La primera barrera, es decir, la limitación de responsabilidad por vía contractual puede ser de tres tipos:

  1. Cuantitativa: establecida en una cantidad determinada o en el resultado de multiplicar el coste del servicio por una cifra.
  2. Cualitativa: basada en la exclusión de unos supuestos determinados de responsabilidad.
  3. Indirecta: derivada del incumplimiento de otros requisitos o provocada de facto por la insolvencia del proveedor.

En el caso de que no existan limitaciones contractuales, o éstas sean anuladas tras una negociación con el proveedor o por vía judicial, aparece la segunda barrera, consistente en las limitaciones de la póliza de seguros de responsabilidad civil o en la de ciberriesgo. La limitación de responsabilidad en este caso también puede ser tres tipos:

  1. Cualitativa: supuestos excluidos de la cobertura.
  2. Cuantitativa individual: límite por siniestro.
  3. Cuantitativa anual: límite por la suma anual de siniestros.

Un ejemplo de supuesto excluido de la cobertura del seguro de responsabilidad civil son las sanciones de la AEPD, que acostumbran a formar parte de la cobertura del seguro de ciberriesgo.

La tercera barrera sería la solvencia económica del proveedor.

El análisis de la existencia y la dimensión de las tres barreras que pueden impedir la repercusión al proveedor de las sanciones impuestas por la AEPD y de las cantidades pagadas a los interesados en concepto de indemnización por daños y perjuicios, debe hacerse en la fase de selección y homologación de proveedores, es decir, en la fase previa a la contratación.

Si la empresa no hace sus deberes en esa fase previa, tendrá que hacerlos en un momento en que puede ser demasiado tarde:

  1. Durante la fase de negociación del contrato con el proveedor seleccionado.
  2. Durante la vigencia del contrato, tras una auditoría contractual, o de seguros, que evidencia la existencia de limitaciones a la responsabilidad.
  3. Tras la brecha de seguridad o el incidente o imcumplimiento que ha causado el perjuicio, negociando una distribución adecuada de responsabilidades en función del nivel de implicación en las causas del incidente o por vía judicial.

Una vez constatado el papel de los proveedores en las brechas de seguridad y en las infracciones del RGPD que se han producido hasta el momento, las empresas responsables del tratamiento deberán revisar su metodología de selección, homologación, contratación y control continuado de los proveedores que traten datos personales, con el fin de introducir medidas que permitan una distribución adecuada de las responsabilidades. 

Estas medidas deberán incluir una revisión del contrato, de la cobertura del seguro y de la solvencia del proveedor, con el fin de identificar, gestionar y tener en cuenta, en el proceso de toma de decisiones a aplicar en la fase de selección, las limitaciones que puedan existir a la responsabilidad del proveedor.

 

Cómo prevenir la pérdida de la iniciativa en un proyecto continuado de RGPD o de compliance

La gestión continuada de proyectos tan exigentes como los relativos al RGPD, el compliance penal o el compliance general implica un trabajo de verificación periódica del modelo de prevención y de la eficacia de los controles. Esta gestión está rodeada de amenazas que pueden provocar cambios en las prioridades, retrasos en la planificación y otros efectos que ponen en peligro la consecución de los objetivos establecidos por el órgano de control.

En este artículo se relacionan las principales circunstancias que pueden provocar la pérdida de la iniciativa, y, en consecuencia el cambio de las prioridades del responsable del proyecto, interno o externo, así como las medidas aplicables para evitar que ello ocurra.

Objetivos del proyecto continuado

El responsable interno o externo del proyecto, y preferiblemente ambos de mutuo acuerdo, establecen, al inicio del ejercicio, los objetivos del proyecto continuado de RGPD o de compliance. Entre estos objetivos cabe citar los siguientes:

  1. Mantener actualizado el mapa de riesgos.
  2. Mantener actualizada la estructura de control.
  3. Mantener actualizada la estructura normativa.
  4. Verificar el cumplimiento de las obligaciones legales.
  5. Verificar la eficacia de los controles.
  6. Obtener evidencias de la eficacia de los controles.
  7. Crear pruebas del esfuerzo realizado, la diligencia y la cultura de cumplimiento.
  8. Prevenir incumplimientos.
  9. Prevenir sanciones en caso de infracción.
  10. Mantener actualizado el repositorio de evidencias.

Estos objetivos generan una larga lista de tareas recurrentes que deben ser realizadas con la frecuencia establecida para cada una de ellas y que corresponden al concepto de la verificación periódica, común a todos los proyectos orientados al cumplimiento normativo.

El problema reside en la constancia y la regularidad de la realización de estas tareas, que puede quedar afectada por cualquiera de las circunstancias comentadas en el punto siguiente.

Circunstancias que pueden hacer perder la iniciativa

Entre las circunstancias o cambios que pueden provocar interferencias en la rutina establecida para la verificación periódica del cumplimiento, o agotar todas las horas y recursos disponibles para esta labor, cabe citar las siguientes:

  1. Cambios legislativos o jurisprudenciales.
  2. Nuevas guías o instrucciones del regulador de la autoridad de control.
  3. Cambios en los criterios del regulador o de la autoridad de control.
  4. Alta frecuencia de consultas.
  5. Alta frecuencia de incidentes y conflictos internos o externos.
  6. Conflictos de competencias. Por ejemplo, entre Asesoría Jurídica y Auditoría Interna.
  7. Redefinición permanente de los órganos de control y de la estructura de control.
  8. Apuesta de la empresa por una cultura abierta que huye de las normas y el control previo.
  9. Falta de acuerdo sobre las prioridades.
  10. Cambio constante en las prioridades.
  11. Empresa familiar no profesionalizada.
  12. Crecimiento acelerado del negocio que dificulta la aplicación del modelo de prevención.
  13. Problemas de comunicación con el negocio.
  14. Falta de recursos.
  15. Falta de apoyo de la alta dirección.
  16. Falta de autoridad o de reconocimiento frente al negocio.
  17. Exceso de confianza con el negocio.
  18. Falta de claridad en la asignación de las distintas responsabilidades y tareas a realizar.
  19. Alto nivel de ocupación de los interlocutores.

Consecuencias de la pérdida de la iniciativa y escenarios en los que ésta puede evidenciarse

La pérdida de la iniciativa en estos proyectos que exigen dedicación constante se traduce irremediablemente en el retraso de las tareas planificadas. En algunas ocasiones, el retraso puede ser muy grande y puede poner en peligro los objetivos de cumplimiento.

El responsable del proyecto intentará de forma repetida recuperar la iniciativa y volver a la planificación, pero antes de que lo consiga, pueden darse una serie de escenarios que evidenciarán el retraso, generando la apariencia de que éste es imputable al responsable del proyecto, cuando en realidad no es así. 

Entre estos escenarios cabe destacar aquéllos en los que se va a requerir un informe de la situación del proyecto y del modelo de prevención:

  1. Auditoría solicitada por un accionista o un consejero.
  2. Due diligence de un posible inversor.
  3. Proceso de profesionalización de la empresa familiar, en el que la familia se aparta y se renueva el equipo directivo.
  4. Relevo generacional en la empresa familiar.
  5. Compra de la empresa y cambio del equipo directivo
  6. Cambios en la dirección de la empresa.
  7. Cambio de interlocutores internos o externos en el proyecto.

Medidas para prevenir la pérdida de la iniciativa

Es evidente que la mejor forma de mantener la iniciativa es aprender a nadar y a guardar la ropa, es decir, atender todas las exigencias del proyecto y hacer frente a las amenazas que pueden poner en peligro los objetivos marcados sin desatender las tareas recurrentes y la verificación periódica.

Ello puede parecer muy fácil al planificar el ejercicio, pero entraña una gran dificultad en la práctica.

Entre las medidas que pueden contribuir a mantener la iniciativa, cabe citar las siguientes:

  1. Negociar con el Consejo de Administración la delegación de autoridad necesaria para el proyecto.
  2. Conseguir el reconocimiento del negocio a la utilidad del proyecto a través de la prevención de la responsabilidad individual de los directivos.
  3. Negociar y aprobar los objetivos y las prioridades al inicio de cada ejercicio.
  4. Bloquear un porcentaje de tiempo y recursos para las tareas recurrentes y la verificación periódica.
  5. Identificar los puntos de verificación más críticos y marcar los que son irrenunciables. En el RGPD hemos identificado más de 325 puntos de verificación. En Compliance, la lista tiende al infinito.
  6. Simplificar las tareas de verificación.
  7. Acordar con el negocio la creación de indicadores que faciliten la verificación.
  8. Asignar a una persona el control del cumplimiento de las tareas recurrentes y la verificación periódica.
  9. Establecer alertas automáticas para el momento en que se superen los plazos acordados para la aplicación de un control y para la entrega de las evidencias.
  10. Incrementar las acciones de formación y concienciación.
  11. Utilizar el canal de denuncias y el sistema disciplinario interno para corregir las malas prácticas y prevenir incumplimientos, siendo las sanciones una prueba de la eficacia del modelo de prevención.

Paco Umbral consiguió que la frase “He venido a hablar de mi libro”, se convirtiese en un ejemplo de vehemencia e insistencia en la consecución de un objetivo. Aunque en este artículo sólo hemos realizado una aproximación a las medidas que podemos aplicar para intentar evitar que las interferencias externas pongan en peligro el proyecto, la solución pasa por colaborar con todos los niveles de la empresa y asegurar el tiempo y los recursos que necesitamos para hablar de nuestro libro, y para que lo compren.

Invitación a la jornada “RGPD: ¿Qué ha pasado en las empresas desde su obligada aplicación?

El próximo 27 de septiembre tendrá lugar la jornada “RGPD: ¿Qué ha pasado en las empresas desde su obligada aplicación?, en la que participaré con la ponencia “Impacto y valoración de la aplicación del RGPD”.

En ella trataré los siguientes puntos:

  1. Buenas prácticas y errores identificados en los últimos cuatro meses.
  2. Cuál será su coste para las empresas españolas.
  3. Brechas de seguridad que se han conocido desde el 25 de mayo, cómo se han gestionado y cómo podían haberse evitado.

Acceso a la invitación

Nuevo curso RGPD básico en vídeo para empresas de más de 250 usuarios

La semana pasada finalizamos el curso RGPD básico en vídeo, que ya está plenamente disponible en nuestro campus online.

El curso va dirigido a empresas con más de 250 usuarios, ya que contempla escenarios propios de una estructura organizativa y orgánica de empresa mediana o grande. Se recomienda que el curso se imparta a los usuarios que tienen acceso o que tratan datos personales en la empresa.

El objetivo es formar y concienciar a los usuarios en materia de protección de datos, información confidencial y ciberseguridad, con escenarios cotidianos en los que se espera una actuación determinada.

El curso está formado por 18 vídeos de una media de 6 minutos cada uno y un total de 1 hora y cuarenta y cinco minutos si se seleccionan los 18 vídeos.

El cliente puede seleccionar los vídeos que quiere que los usuarios visualicen y los que quiere ocultar, de manera que el contenido y la duración total del curso se adapte al sector, a la empresa o al perfil del usuario (por grupos o categorías).

Cada vídeo tiene su propio test de evaluación, por lo que la secuencia natural es ver el vídeo y después contestar el test. Los tests de evaluación tienen una media de tres preguntas que son clave para la concienciación del usuario.

También hay 5 casos prácticos autoevaluables.

La duración total del curso, sumando los vídeos, los tests y los casos prácticos permite cumplir los requisitos establecidos por Fundae.

El certificado de finalización del curso se suministra en formato PDF, con fima electrónica y sellado de tiempo, con el fin de que la empresa disponga de una prueba del esfuerzo formativo realizado.

Los clientes de nuestro despacho pueden solicitar un acceso temporal al campus a xavier.ribas@ribastic.com con el fin de que puedan valorar el contenido y el formato del curso.

Nuevo contenido y formato de las capas de información sobre las cookies

En 2013, tras la elaboración de la Guía sobre cookies por parte de la AEPD, Adigital, Autocontrol e IAB, publicamos una infografía que resumía los puntos más importantes de la guía.

Este año la AEPD ha modificado los criterios relativos al consentimiento y a las capas de información, con el fin de adaptarlos al RGPD. Posteriormente, Adigital ha publicado un resumen de los cambios que suponen los nuevos criterios de la AEPD.

A continuación relacionamos, a modo de checklist, los puntos a tener en cuenta en las dos capas de información sobre las cookies de un sitio web.

Primera capa

  1. Identificación del titular de la página web.
  2. Advertencia sobre el uso de cookies propias.
  3. Advertencia sobre el uso de cookies de terceros.
  4. Información sobre las finalidades de las cookies.
  5. Información sobre la elaboración de perfiles, en su caso.
  6. Información sobre la monitorización de los hábitos de navegación, en su caso.
  7. Opción del usuario de aceptar o rechazar las cookies.
  8. Opción del usuario de configurar las cookies.
  9. Ver el detalle de estas opciones en el resumen de Adigital.
  10. Acceso directo al panel de configuración de las cookies

Segunda capa

  1. Información sobre el tipo de cookies y su finalidad.
  2. Panel de configuración de las cookies.
  3. Botón para habilitar las cookies.
  4. Posibilidad de seleccionar las cookies a habilitar agrupadas por finalidad.
  5. Posibilidad de agrupar las cookies en función de la empresa que las instala.
  6. El nivel de detalle o granularidad de las cookies activables no debe ser excesivo.
  7. Botón para desactivar todas las cookies.
  8. Identificación de los terceros cuyas cookies se utilizan en la página web.

Aspectos destacados del nuevo RDL de medidas urgentes para la adaptación del Derecho español al RGPD

Estos son los aspectos más destacados del nuevo RDL de medidas urgentes para la adaptación del Derecho español al RGPD, publicado hoy en el BOE:

Resumen general

Inspección en materia de protección de datos

Régimen sancionador en materia de protección de datos

Régimen transitorio de los contratos de encargado del tratamiento

Texto completo del RDL

Régimen transitorio de los contratos de encargado del tratamiento

El RDL de medidas urgentes para la adaptación del Derecho español del RGPD establece que los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 al amparo de lo dispuesto en el artículo 12 de la LOPD mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos.

En el caso de haberse pactado de forma indefinida, hasta el 25 de mayo de 2022. 

Durante dichos plazos cualquiera de las partes podrá exigir a la otra la modificación del contrato a fin de que el mismo resulte conforme a lo dispuesto en el artículo 28 del RGPD. 

Ver otros temas destacados de este RDL