Recibir un requerimiento de la AEPD asusta, y más si no tienes la documentación preparada. La buena noticia: casi siempre pide lo mismo. Esta es la lista de lo que debes poder enseñar.
Los documentos que casi siempre piden
- Registro de Actividades de Tratamiento (art. 30 RGPD) actualizado.
- Cláusulas informativas de formularios, contratos, currículums, videovigilancia y web.
- Política de privacidad, aviso legal y política de cookies de la web.
- Contratos con encargados del tratamiento (gestoría, hosting, software, PRL, mantenimiento).
- Análisis de riesgos y medidas de seguridad aplicadas (art. 32), y evaluación de impacto si procede.
- Protocolo de ejercicio de derechos y registro de las solicitudes atendidas.
- Procedimiento de brechas de seguridad y registro de incidentes.
- Evidencias de formación y de información al personal, y compromisos de confidencialidad.
- Designación del DPD si estás obligado, y su comunicación a la AEPD.
Qué valora la AEPD al sancionar
El RGPD pide graduar la sanción teniendo en cuenta la intención, las medidas adoptadas para paliar los daños, el grado de cooperación y las medidas técnicas y organizativas aplicadas. Tener el sistema documental al día y demostrar que se aplica es lo que más reduce el riesgo de multa o permite quedarse en un apercibimiento.
Cómo prepararte antes del requerimiento
- Haz una auditoría y completa los huecos.
- Guarda evidencias (firmas, actas de formación, registros) de lo que haces, no solo los documentos.
- Designa a una persona que responda a los requerimientos en plazo.
- Contrata un mantenimiento anual para que todo siga vigente.
Es justo lo que cubre nuestro servicio de protección de datos, incluido el acompañamiento en caso de requerimiento.
Te hacemos un diagnóstico gratuito y te decimos qué te aplica, qué te falta y cuánto cuesta ponerlo en regla. Solicitar diagnóstico.
Este artículo es informativo y no sustituye al asesoramiento jurídico para un caso concreto.