Verificación del cumplimiento: control periódico y auditoría

Una vez finalizado el proyecto de adecuación a la normativa de protección de datos, se deberá continuar garantizando el cumplimiento mediante la realización de controles periódicos o auditorías de cumplimiento.

El cumplimiento de la normativa de protección de datos no puede ser acometido desde una perspectiva pasiva, dado que podrían producirse cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en la tipología de datos personales o la finalidad del tratamiento, entre otros.

En este sentido, es necesario que toda organización, una vez haya implantado todas las medidas organizativas y técnicas necesarias para cumplir con la normativa, definan, tal y como se indica en el reglamento general de protección de datos, un proceso de verificación, evaluación y valoración regular de la eficacia de estas medidas para garantizar la seguridad del tratamiento.

Igualmente, en el marco del respeto al principio de responsabilidad proactiva, que supone dar cumplimiento a los principios de protección de datos siendo capaz de demostrarlo, se deberá llevar a cabo una monitorización periódica del cumplimiento de la normativa, de manera que se generen evidencias de dicho cumplimiento.

Desde un punto de vista práctico, este proceso se puede llevar a cabo mediante la realización de controles periódicos o una auditoría de cumplimiento.

En relación con los controles periódicos, estos implicarán la verificación del cumplimiento de las principales obligaciones que impone la regulación, analizando en un primer momento la modificación en los datos personales objeto de tratamiento o la finalidad de este.
Desde un punto de vista organizativo, esta revisión nos permitiría detectar la necesidad de modificar los procedimientos de atención a los ejercicios de derechos, la notificación de brechas de seguridad, o la existencia de terceros prestadores de servicios con acceso a datos personales que no hubieran suscrito el pertinente contrato de encargo del tratamiento.
Desde un punto de vista técnico, se deberá verificar la eficacia de las medidas de seguridad implantadas, tales como la correcta realización de copias de seguridad, la efectividad del registro de accesos, cuando este se haya considerado necesario, o el mantenimiento actualizado de diferentes inventarios, tales como el de documentación o de soportes.
En cuanto a la auditoría de cumplimiento, nos permitirá de una manera más exhaustiva, determinar el estado de cumplimiento de la normativa, así como fijar mediante la emisión de un informe, las pertinentes acciones de mejora y recomendaciones necesarias para optimizar el cumplimiento. En este sentido, la normativa actual no recoge tal y como hacia la anterior, la obligación de realización de una auditoría, sin embargo, si encontramos mención a esta en diferentes preceptos del Reglamento, como, por ejemplo, entre las funciones del delegado de protección de datos, que deberá supervisar el cumplimiento de la normativa mediante la realización de auditorías, cuando lo estime conveniente.

Por lo tanto, os recordamos que, una vez finalizado el proyecto de adecuación, se deberá continuar garantizando el cumplimiento, así como disponer de abogados especializados en la materia que puedan asesorar a la hora de realizar nuevos tratamientos o responder a cualquier reclamación recibida.