Auditoría RGPD

Actualmente ni el RGPD ni la LOPDGDD requieren incluir la auditoría como una medida de seguridad obligatoria, sino que ésta vendrá determinada por los propios riesgos que tengan los tratamientos realizados, sin embargo si es recomendable que dentro de los procesos para verificar la eficacia de todas las medidas adoptadas se incluya la realización de auditorías de cumplimiento de forma preventiva.

El RGPD dentro de las funciones del Delegado de Protección de Datos (DPD) recoge expresamente, en su artículo 39, la obligación de supervisar el cumplimiento de la normativa, de las políticas internas de la Compañía, incluida las auditorías correspondientes. Por lo que el RGPD sí, incluye, por lo menos en los casos en los que la empresa esté obligada a designar un DPD, la realización de auditorías como procedimiento de revisión y evaluación.

Fases de una Auditoria de Protección de Datos

Objetivos o ámbito de la Auditoria

En la primera fase de una auditoría se detallarán cuáles son los objetivos que tiene la auditoría. Para ello, se determinarán a qué activos se va a aplicar la misma como los sistemas, los tratamientos, los espacios físicos, los tratamientos soporte papel, los  usuarios con acceso a datos,  las medidas de seguridad etc…

También se fijarán los responsables de la auditoría.

Planificación y recopilación

Esta fase de la auditoría consiste en recopilar información y hacer una planificación. Es decir, se definirá un calendario que indique cuándo se les harán las entrevistas a los trabajadores. También, se recopilará la documentación de los mismos y se comprobarán todos los datos recogidos.

Se verificará que se cumple la normativa aplicable (RGPD;LOPDGDD; LSSICE)

A partir de este momento, la auditoría consiste en verificar que se está cumpliendo los requisitos legales obligatorios dentro de la empresa. Igualmente, se comparará con la información que se haya obtenido en la fase anterior, para así detectar errores posibles o aspectos que se puedan mejorar.

Informe final

En  la etapa final de la auditoría de RGPD se determina la conclusión, y se detallan los aspectos que se deben mejorar: las propuestas, las deficiencias y en qué medida la empresa se adapta a las exigencias legislativas.

Finalmente, los datos recogidos durante la auditoría de protección de datos deben estar a disposición de la AEPD.