Auditoría de protección de datos: qué revisa

Una auditoría de protección de datos compara lo que la empresa hace con los datos personales con lo que exigen el RGPD y la LOPDGDD. El resultado es un informe con lo que está bien, lo que falla y qué hay que corregir primero. Sirve como punto de partida para adecuarse, como revisión periódica y como prueba ante la Agencia Española de Protección de Datos o ante un cliente que pide garantías.

¿Es obligatoria la auditoría de protección de datos?

El RGPD no obliga a hacer una auditoría con ese nombre. Lo que sí exige, en su artículo 32.1.d, es un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas. Además, el principio de responsabilidad proactiva del artículo 5.2 obliga a la empresa a poder demostrar que cumple.

Por eso, aunque no sea obligatoria como tal, la auditoría periódica es la forma más directa de cumplir esas dos exigencias y de tener la prueba por escrito.

Qué revisa una auditoría de protección de datos

Una auditoría completa recorre estas áreas:

• Inventario de tratamientos. Qué datos se recogen, de quién, para qué y durante cuánto tiempo. Se contrasta con el registro de actividades de tratamiento, si existe.
• Base legal de cada tratamiento. Contrato, obligación legal, interés legítimo o consentimiento, según el caso.
• Información a las personas. Cláusulas en formularios, contratos de trabajo, web y carteles de videovigilancia.
• Encargados del tratamiento. Gestoría, informática, nube, vigilancia y cualquier proveedor que acceda a datos, con su contrato firmado.
• Medidas de seguridad. Accesos, copias de seguridad, cifrado, dispositivos y teletrabajo.
• Derechos de las personas. Cómo se atienden las solicitudes de acceso, rectificación, supresión u oposición.
• Brechas de seguridad. Si existe un procedimiento para detectarlas, registrarlas y notificarlas a la AEPD cuando corresponde.
• Evaluaciones de impacto y delegado. Si la empresa las necesita y si las tiene.
• Derechos digitales de la plantilla. Uso de dispositivos, desconexión digital, videovigilancia y geolocalización, que regula la LOPDGDD.

Cuándo conviene pedirla

Hay momentos en los que la auditoría deja de ser una buena práctica y pasa a ser urgente:

• Antes de adecuarse por primera vez, para saber de dónde se parte.
• Cuando un cliente o una licitación pide acreditar el cumplimiento.
• Tras una brecha de seguridad o una reclamación ante la AEPD.
• Al cambiar de sistemas: nuevo ERP, software en la nube, control de presencia o videovigilancia.
• En una compra o fusión de empresas, como parte de la revisión previa.
• De forma periódica, aunque no haya cambios, para cumplir la verificación regular del artículo 32.

Qué entrega la auditoría

Al terminar, la empresa recibe:

1. Informe de situación, con el grado de cumplimiento por área.
2. Lista de incumplimientos ordenada por riesgo, para saber qué corregir primero.
3. Plan de acción con responsables y prioridades.
4. Evidencia documental de que se hizo la verificación, útil ante una inspección.

Si después de la auditoría quieres corregir lo que falta, la consultoría de protección de datos cubre la adecuación completa.

Qué determina el presupuesto de una auditoría

• Número de tratamientos y de centros de trabajo.
• Sistemas de información y proveedores con acceso a datos.
• Tipo de datos: salud, biométricos o videovigilancia exigen más revisión.
• Si incluye pruebas técnicas de seguridad o solo revisión documental.
• Si se encarga junto con la adecuación, lo que suele abaratar el conjunto.

Preguntas frecuentes sobre la auditoría de protección de datos

¿Es obligatoria la auditoría de protección de datos?

El RGPD no usa la palabra auditoría como obligación general, pero su artículo 32 exige un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas de seguridad. En la práctica, la auditoría periódica es la forma habitual de cumplirlo y de demostrarlo.

¿Cada cuánto conviene auditar la protección de datos?

La norma no fija una frecuencia. Lo razonable es revisar cuando cambian los tratamientos, los sistemas o los proveedores, y de forma periódica aunque no haya cambios. La consultoría propone la frecuencia según el riesgo de la empresa.

¿Qué diferencia hay entre auditoría y adecuación al RGPD?

La auditoría revisa y mide el cumplimiento. La adecuación corrige lo que falta: redacta documentos, firma contratos y aplica medidas. Muchas empresas encargan las dos cosas juntas.

¿Quién puede hacer la auditoría?

Un auditor interno o una consultoría externa con conocimientos de protección de datos y de seguridad. Lo importante es que sea independiente de quien gestiona los tratamientos que revisa.

También te puede interesar leer sobre las obligaciones de la ley de protección de datos y sobre el delegado de protección de datos.

Normatia no presta asesoramiento jurídico ni realiza auditorías. La aplicación concreta a tu empresa debe confirmarla un profesional cualificado.